KoratУ доверия есть решение, которое рано или поздно предлагает любой социальный продукт: дать людям ручаться друг за друга. Его дёшево построить, оно даёт приятное число, и профиль от него оживает. Мы отвергли его официально, по одной причине, которую стоит назвать прямо, потому что из неё следует всё остальное на этой странице. Счётчик, к которому может добавить кто угодно, — счётчик, который кто угодно может подделать. Открытая кнопка поручительства измеряет только то, сколько аккаунтов кто-то был готов завести. Десять аккаунтов, созданных за вечер, дают профиль, выглядящий надёжнее живого человека с тремя настоящими друзьями, и значок тогда сделал хуже, чем ничего: он отмыл незнакомца.
Ручаться может только тот, кому есть что терять
Замена следует прямо из диагноза. Если проблема открытого голосования в том, что голосующий ничем не рискует, то решение — оставить поручительство тем, кто рискует. В Korat поручиться за человека может только заведение. У заведения есть название, физический адрес, публичная страница, история продаж и корпус отзывов — и всё это портится, если оно раздаёт рекомендации небрежно. Дело не в том, что заведения честнее людей; дело в том, что поручительство заведения привязано к тому, что нельзя дёшево бросить, и эта привязка и есть механизм.
Отсюда же и формулировка на значке. Он читается «за него ручаются 3 заведения» — утверждение о том, что произошло, — а не «надёжен» или «проверен»: это выводы, которые читатель вправе сделать, а вправе и не делать. Различие кажется педантичным, пока не заметишь, что у всех скандалов со значками доверия одна форма: платформа заявила вывод, который её доказательства не выдерживали, и люди ей резонно поверили.
Четыре строки, упорядоченные по цене подделки
Профиль может нести четыре вида доказательств, и показаны они в фиксированном порядке: сначала самое сильное, где «сильное» значит «труднее и дороже всего подделать».
- За него ручаются N заведений. Дороже всего подделать, потому что нужно содействие бизнеса, к чьему имени привязана репутация.
- N настоящих оплаченных визитов в N заведениях. Деньги действительно перешли из рук в руки, и платформа это записала. Подделка означает трату настоящих денег в настоящих заведениях — мошенничество с реальной себестоимостью единицы.
- Passkey, привязанный к устройству. Доказывает владение конкретным устройством с закрытым ключом в аппаратном хранилище. Честному пользователю это дёшево, а вот развернуть такое на ферме фальшивых аккаунтов неудобно.
- Подтверждённый адрес почты. Самая слабая строка, оттого и последняя. Она доказывает контроль над почтовым ящиком и больше ничего.
Каждый из этих значков нажимается, и нажатие открывает разбор: из чего сложилось число — какие заведения, сколько визитов, когда. Значок, который нельзя проверить, просит веры. Значок, раскрывающийся в собственные доказательства, просит проверить, и проверка тут и есть смысл.
Откуда именно берётся оплаченный визит: из обеда в зале или доставки, записанных модулем еды, либо из покупки в магазине.
Подтверждённое проживание в модуле жилья и оплаченная услуга считаются так же — это подходящие виды в представлении права на отзыв, и ни один из них нельзя дописать руками.
Что разбор говорит вслух
В разборе прямо написано, что ни один документ, удостоверяющий личность, не проверялся. eKYC в Korat нет, загрузки паспорта нет, обращений к государственным базам нет, и нигде в продукте не написано «личность подтверждена». Человек со всеми четырьмя значками показал, что заведения за него ручаются, что он тратил деньги в реальном мире, что он владеет конкретным устройством и контролирует почтовый ящик. Своё юридическое имя он не показал, и мы не станем намекать, что показал.
Разбор говорит и менее очевидную, но не менее важную вещь: отсутствие значка — не обвинение. У того, кто зарегистрировался неделю назад, нет оплаченных визитов, и у того, кто никогда не ест вне дома, их тоже нет. Если пустое место читается как предупреждение, система тихо превратилась в рейтинг, где новые и закрытые пользователи стартуют виноватыми. Написать это в разборе дёшево; не написать — значит позволить интерфейсу подразумевать то, чего данные не подтверждают.
Утверждение о другом человеке требует его согласия
У поручительства, семейной метки и метки партнёра общее неудобное свойство: это высказывания одного человека о другом, опубликованные там, где их прочтут третьи. Без защиты это механизм публикации утверждений о посторонних, а «X — мой партнёр» способно реально навредить тому, кто на это не соглашался.
Поэтому ни одно из них не публикуется по заявлению. Поручительство заведения, семейная метка и метка партнёра висят в ожидании, пока субъект их не примет. Пока они висят, защита на уровне строк показывает запись только двум участвующим сторонам — больше её не видит никто, — и изменить статус может только субъект. Тот, кого описывают, и решает, будет ли описание опубликовано. Цена этому — небольшое неудобство, а взамен исчезает целый класс злоупотреблений.
Что лежит под значками
Значки — видимый слой; то, что стоит за ними, действует на уровне отдельных полей. Любое поле профиля переключается между «публично», «для друзей» и «приватно», и настройка применяется, когда профиль загружает кто-то другой, а не как фильтр показа на вашем собственном экране. Альбомы, посты и истории несут свою видимость поверх этого. Блокировка убирает человека из ваших переписок и ленты и выводит вас из его колоды знакомств; пожаловаться можно из профиля.
Создание аккаунта закрыто экраном согласия по PDPA, который нужно пролистать до конца, прежде чем принять, с настоящей возможностью отказаться. Разрешения Android объясняются на отдельном экране до появления системного диалога, поэтому запрос несёт причину в тот момент, когда вы решаете.
Ничто в Korat не подтверждает личность, и ничто не шифруется сквозным шифрованием. Документы не проверяются, eKYC нет, подтверждения по телефону или SMS нет — этот эндпоинт не построен. Сообщения, звонки и файлы защищены на сервере политиками уровня строк, а не шифрованием, которое можете снять только вы.
Загруженные файлы читаются по прямой ссылке. Подписанных URL и закрытых хранилищ нет, поэтому считайте загруженную фотографию тем, что откроет любой, у кого есть ссылка, независимо от видимости окружающего поста.
Где находится инженерный разбор
Эта страница — про слой доверия, который видят пользователи. Механика под ним — как устроена аутентификация, как написаны политики защиты на уровне строк, как действия, закрытые токеном, идут через функции SECURITY DEFINER, проверяющие токен сами, и как реализована проверка passkey — отдельный и куда более длинный разговор. У него своя страница, написанная по тому же стандарту: механизмы вместо прилагательных, а незаконченное помечено как незаконченное.
- Строки доказательств
- поручительства заведений · оплаченные визиты · passkey на устройстве · подтверждённая почта
- Порядок
- по цене подделки, сильнейшее первым
- Кто может ручаться
- только заведения — никогда не открытое голосование пользователей
- Согласие
- поручительства и метки семьи или партнёра ждут, пока субъект их не примет
- Видимость ожидающих
- только две стороны, обеспечено защитой на уровне строк
- Проверка документов
- нет — ни eKYC, ни загрузки документов, ни проверки телефона
- Отсутствие значка
- прямо названо не обвинением