ChatMeld: bezpečnost bez obvyklé registrační formy

Když jsem poprvé při pohledu na ChatMeld zvenčí pochopil, proč ho mohou moderátoři a platformy distribuce aplikací nesprávně vnímat, bylo mi jasné, jaké může být jeho schéma fungování. Uživatel nezadává e-mail, nevymýšlí heslo, nevolí trvalý nick a nevyplňuje veřejný profil.

Ale absence obvyklé registrační formy neznamená, že registrace jako taková chybí.

Jen že ChatMeld tuto práci nepřevádí na samotného uživatele.

Registrace existuje, ale není třeba ji vyplňovat ručně

Starý přístup bývá většinou stejný: uživatel zadává e-mail, vymýšlí heslo nebo potvrzuje telefonní číslo, a tím získává účet.

Tato forma vytváří pocit pořádku, ale sama o sobě téměř nic neříká o bezpečnosti. Jeden člověk může zaregistrovat více adres, používat dočasná čísla a při každém porušení měnit účty. Výsledkem je, že e-mail nebo telefon se stávají jen přístupovým způsobem, nikoliv zárukou, že před systémem je pokaždé nový nebo skutečně ověřený uživatel.

ChatMeld využívá jiný princip. Při registraci systém vytvoří vlastní unikátní technickou identifikaci a uloží ji na zařízení. Tato identifikace slouží k pozdějšímu rozpoznání registrovaného zařízení a je spojena s interním profilem uživatele.

Uživatel nevidí dlouhý formulář a nezabírá čas tvorbou dalšího jména a hesla, ale systém ho zároveň neberá jako úplně neznámého účastníka.

Pro uživatele proces vypadá jednoduše: spustí se aplikace, technická registrace je vytvořena automaticky, a spolu s ní se vytvoří interní profil, který se používá ve všech chatech.

ChatMeld není určena pro práci přes emulátory: jejich použití je blokováno na technické úrovni. To omezuje možnost masově vytvářet nezávislé virtuální instance aplikace místo použití registrovaného zařízení.

Samo registrace není zvýrazněná a nezní jako samostatná formulářová stránka, kterou je třeba neustále vyplňovat ručně.

Proč jméno „Vase Pupalín“ nic neřeší

Mnoho systémů se snaží vytvořit dojem identity pomocí profilu. Uživatel si vybírá jméno, přidává fotografii, někdy uvádí město nebo jiné údaje. Ale pokud se člověk může pojmenovat jakkoliv, stále to neznamená, že je rozpoznatelný a tím méně odpovědný.

V jednom chatu může být několik uživatelů se stejným jménem. Jeden a tentýž člověk se může dnes pojmenovat jednou a zítra úplně jinak. Samotné jméno nepomůže určit, kdo přesně zprávu odeslal a na koho se mají uplatnit sankce.

Ve ChatMeld je viditelné označení uživatele automaticky vygenerováno ze spojení čísel a barvy a náhodně přiřazeno pro konkrétní chat. V jiném konverzačním prostoru může tento uživatel obdržet již jiné označení.

To není způsob, jak skrýt účastníka, ani náhrada interního profilu. Tento identifikátor je určen pouze pro to, aby si účastníci mohli navzájem poznat v rámci konverzace.

Za tímto označením zůstává stále stejný interní profil, vytvořený systémem při registraci. Proto změna zobrazovaného jména neznamená změnu odpovědnosti.

Dočasný chat je základní model, ne výjimka

Druhá důležitá vlastnost ChatMeld souvisí s dobou platnosti samotného rozhovoru.

Obvyklý chat zde není plánován jako věčná skupina, která existuje roky poté, co všichni účastníci odejdou. Pro něj je nastaven určitou doba platnosti. Pokud pokračuje komunikace, nové zprávy její aktivní dobu prodlužují. Pokud rozhovor skončí, časovač končí, chat se smaže a zprávy už nejsou dostupné jako trvalý archiv.

Toto není žádný speciální režim, ale základní logika běžného chatu.

Takový přístup je vhodný pro dočasné situace: cesty, akce, lokální diskuse, setkání nebo rozhovory na konkrétním místě. Chat existuje tak dlouho, jak je potřeba.

Pokud nikdo nepisuje, rozhovor postupně sám končí. Pokud účastníci pokračují, jeho doba se prodlužuje. Proto aktivní chat může fungovat podstatně déle než původní doba a teoreticky zůstat zachován tak dlouho, jak se bude vést komunikace.

V době platnosti se zde stává součástí bezpečnosti. Nemusí se každý rozhovor stát nekonečnou historií, kterou lze najít po letech. Neaktuální chaty a zprávy jsou odstraňovány, když zmizí důvod jejich existence.

Osobní oslovení neznamená soukromou zprávu

Ve ChatMeld je možné se obrátit na konkrétního účastníka, ale to nepromění konverzaci ve soukromou komunikaci.

Kliknutím na nik příjemce se jeho jméno vloží do pole pro psaní zprávy. Po odeslání je oslovení vizuálně zvýrazněno pro daného účastníka, takže pochopí, že mu je zpráva určena právě jemu.

Ovšem samotná zpráva zůstává součástí obecného chatu a je viditelná všem účastníkům. Nejde o skrytý dialog nebo samostatný osobní kanál.

Tento mechanismus umožňuje zachovat srozumitelnou strukturu komunikace: uživatel se může obrátit na konkrétní osobu, ale konverzace zůstává otevřená a transparentní pro ostatní účastníky.

V chatu také není možné posílat fotografie, videa či hlasové zprávy. Nejsou zde soukromé přílohy ani zvláštní kanál na přenos osobních materiálů. Hlavním formátem je veřejná textová komunikace, při níž je osobní oslovení omezeno viditelným jménem nebo zmínkou účastníka.

To má význam i z pohledu bezpečnosti. ChatMeld od začátku vznikal jako prostředí pro komunikaci lidí různého věku, včetně dětí. Proto když jsou zakázány dospělé a sexualizované témata, nevhodný obsah, obtěžování či jiné zakázané formy chování, nejsou jen výčtem v pravidlech — jsou omezeny na úrovni zpracování zpráv a automatické moderace.

Stížnost není vázána na jméno, ale na událost

Pokud uživatel zaznamená porušení, nemusí hledat profil porušovatele, vzpomenout si na jeho jméno nebo se snažit pochopit, kdo zprávu odeslal. Stačí podržet tlačítko na zprávě a otevře se formulář pro podání stížnosti.

Systém již ví, ve kterém chatu bylo odesláno, který interní profil za tím stál a kdo přesně stížnost podal. Pro moderátora to není jen náhodný údaj na obrazovce, ale konkrétní událost spojená s technickou identifikací účastníka.

Pokud je stížnost potvrzena, opatření se aplikují na interní profil, nikoli na náhodné spojení barvy a čísla. Proto změna viditelného jména nezpůsobí obnovení historie porušení od začátku.

Smazání chatu nevrací rozhodnutí o stížnosti

V modelu s časovým omezením vyvstává přirozená otázka: co se stane, když je na zprávu podána stížnost, ale do doby jejího vyřízení již byl chat ukončen a odstraněn?

Odpověď je dostatečně přímá: smazání chatu nezruší samotnou stížnost ani neodstraňuje možnost rozhodnout o porušení.

Systém uchovává spojení s interním profilem uživatele, což je nutné pro vyřízení stížnosti. Po kontrole mohou být na daný profil uvalena opatření.

Sankce se nevztahují na náhodná jména a nezávisí na tom, jestli konverzace stále existuje nebo ne. Pokud je po vyřízení uživateli omezena dostupnost ChatMeld, odstranění původního rozhovoru tuto restrikci neobchází: uživatel nebude moci využívat chaty do konce stanovené lhůty.

Doba platnosti omezení závisí na závažnosti porušení. U vážného porušení může být přístup dlouhodobě uzavřen, u dočasného omezení se uživatel bude moci vrátit po uplynutí lhůty.

Proto doba existence chatu a doba platnosti sankce jsou odlišné věci. Chat může zmizet jako konverzace, ale rozhodnutí o chování účastníka nezmizí s ním.

Pravidla jsou uživatelům předem známa

Nepovolené činnosti a obsah nejsou určovány arbitrárně jednotlivým moderátorem, ale pravidly služby. Při prvním otevření ChatMeld se uživatel setkává s ujednáním v jeho jazyce a potvrzuje ho.

Na webové stránce je vždy aktuální verze pravidel. Pokud dojde ke změnám, při dalším otevření ChatMeld je uživatel automaticky vyzván, aby se seznámil s novou verzí a potvrdil její souhlas.

Dokud nová verze není přečtena a potvrzena, není mu přístup k chatům umožněn. Tento krok není možné obejít běžnými prostředky. Takto se uživatel nemůže dále používat službu, aniž by přijal aktualizovaná pravidla.

Je to důležité jak z pohledu běžného uživatele, tak moderace. Člověk předem ví, jaké chování je nepřípustné, a tým služby uplatňuje pravidla nikoliv vůči „nechtěnému názoru“, ale vůči konkrétním omezením, kterým uživatel souhlasil při zahájení používání.

I technická registrace nemusí být uchovávána věčně

Podobný princip platí i pro registraci zařízení.

Pro provoz ChatMeld je vytvářena dočasná technická registrace, kterou uživatel nevytváří ručně a nelze ji odstranit samostatným tlačítkem. Pokud zařízení nezaznamenává aktivitu, je záznam po několika dnech automaticky smazán ze serveru – právě po těch dnech, nikoliv týdnech nebo neurčenou dobu.

To neznamená, že uživatel přichází o své nákupy nebo musí začínat od začátku. Zakoupené předplatné jsou uchovávána nezávisle na dočasné registraci zařízení. Při opětovném otevření aplikace a náležité kontrole je přístup ke všem nákupům automaticky obnoven.

Uživatel si tento proces většinou ani neuvědomuje. Vše vypadá jednoduše: appka se otevře a funkce jsou zpět na místě.

Tak systém neuchovává nekonečné množství neaktivních technických záznamů, ale zároveň nevyžaduje od majitele předplatného opakované nákupy při každém návratu.

Moderace již před publikací zprávy v chatu

Nejvýraznější součástí bezpečnosti je moderace. Ve ChatMeld však není omezena jen na pozdní podávání stížností, kdy je zakázaná zpráva již vidět desítkám lidí.

Zprávy procházejí vícestupňovou kontrolou na serveru ještě před jejich publikací. Systém analyzuje nejen jednotlivá slova, ale i význam, kontext, varianty psaní, maskování a jazykové zvláštnosti.

Oproti tomu ChatMeld není volný vícejazyčný proud, kde může kdokoliv psát v jakémkoliv jazyce. Každý běžný chat je určen pro jeden vybraný jazyk komunikace. Uživatel si sám volí jazyk a vidí v seznamu pouze chaty v něm.

Abyste chat viděli, nestačí, že jazyk odpovídá. Uživatel musí splnit i další podmínky dostupnosti: být v určité geografické oblasti, připojit se na požadovanou Wi-Fi nebo splnit jiné podmínky podle režimu chatu.

Zpráva v jiném jazyce běžný chat nepřijme. To pomáhá zachovat srozumitelné rámce konverzace a zároveň usnadňuje kontrolu obsahu. U chatů s překladem jsou jazykové role předem nastavené, takže systém ví, který jazyk je výchozí a který je jazykem zobrazení pro ostatní účastníky.

Urážka, hrozba nebo pokus o sexuální obtěžování mohou být napsány s chybami, slangem nebo úmyslně pozměněnými znaky. Někdy se nebezpečný význam stává zřejmý teprve v kontextu celé věty. Proto kontrola nespočívá jen v jednoduchém hledání zakázaných slov.

Pokud je nalezen nevhodný obsah, není v chatu připuštěn. V závislosti na závažnosti porušení může uživatel dostat varování nebo být na určitou dobu omezen v přístupu.

To neznamená, že žádný systém na světě se nemůže splést. Architektonicky však jde o úplně jinou úroveň ochrany než model, kdy je každá zpráva nejdříve publikována a kontrola začíná až na základě stížnosti.

Proč je to důležité pro komunikaci s dětmi

ChatMeld byl od začátku navržen s důrazem na bezpečnou komunikaci lidí různých věkových skupin, především dětí. Proto zakázaná dospělá témata, sexuální obsah, obtěžování a další zakázané formy chování nejsou jen uvedeny v pravidlech — jsou omezeny na úrovni zpracování zpráv a automatické moderace.

V chatu není možné posílat soukromé fotografie, videa nebo hlasové zprávy. Neexistuje žádný skrytý kanál pro osobní kontakt s dítětem. I osobní oslovení jménem je viditelné všem účastníkům konverzace.

To není zárukou absolutního nulového rizika — takové nemůže žádný komunikační systém slíbit. Ale konstrukce ChatMeld nevytváří mnoho obvyklých možností, které by uživatelé mohli zneužít, a nesleduje princip „nejdříve všechno povolit, pak řešit na základě stížností“.

ChatMeld není anonymní chat a nenavrhoval se jako anonymní služba. Pokud se zdá, že je zde „prázdno“ — žádné formuláře, fotografie, obvyklé jméno nebo dlouhý profil — neznamená to, že systém uvnitř neobsahuje strukturu a kontrolu.

Neobvyklý vzhled ale ještě nevypovídá o uspořádání systému. Na první pohled se nedá posoudit celý komplex za jednoduchým rozhraním ChatMeld: povinná technická registrace, interní profil, pravidla přístupu do chatů, kontrola doby životnosti zpráv a vícestupňová moderace.

Podle mých zkušeností s oblíbenými službami, které jsem sám používal, je vzácné najít kombinaci, kde současně fungují registrace bez tradičního vyplňování formuláře, proměnné zobrazované jména, trvalé spojení aktivity s interním profilem, veřejná oslovení bez soukromých příloh, předběžná jazyková moderace a zachování sankcí po ukončení dočasného chatu.

Uživatelům je ponechána jednoduchost: není třeba vyplňovat dlouhý formulář, zveřejňovat osobní údaje nebo 'vést profil' roky. Ale to neznamená, že se přestává odpovídat. Pokud zpráva poruší pravidla, lze ji spojit s interním profilem, podat stížnost a uvalit sankci, i když se samotný rozhovor smaže.

A právě proto nelze ChatMeld hodnotit jen podle absence známé registrační formy. Není to odmítnutí bezpečnosti, ale jiný způsob její organizace: registrace je systémová, přístup omezen jazykem, lokalitou nebo sítí, zprávy jsou kontrolovány před publikací a dočasnost chatu neznamená zrušení odpovědnosti účastníka.

Více informací o projektu: chatmeld.de