Metodologia

Che cosa succede alle tue sessioni

Le sessioni vengono conservate e analizzate. I risultati complessivi dei viewer non sono attualmente pubblici. Le uniche cifre pubblicate sono quelle di uno studio che l'operatore chiude cancellando un account, elencate automaticamente (vedi che cosa garantiamo, punto 10). Le tue sessioni le ritrovi nella pagina delle tue sessioni, e tutto ciò che contengono in un unico file dalla pagina del tuo account.

Tutto viene contato

Ogni sessione aperta con un account entra nel registro, comprese quelle che scadono senza una classifica (ranking). Entrano come nulli espliciti (explicit nulls) e non vengono mai scartate in silenzio. Una piattaforma che registrasse solo le sessioni portate a termine avrebbe il problema del cassetto (file drawer), e le cifre che ne uscirebbero non vorrebbero dire granché.

La statistica

La statistica principale è la somma dei ranghi (sum of ranks) che dai al target, confrontata con la distribuzione esatta per permutazione per cinque immagini candidate (candidates). Il tasso di centri (direct-hit rate) è secondario: chiede solo se il target è arrivato primo, e così butta via la maggior parte di quello che dice una classifica completa. Questa scelta è stata fissata prima di raccogliere qualsiasi dato e non verrà cambiata dopo aver visto i risultati.

Che cosa dimostra l'impegno crittografico (commitment), e che cosa no

All'apertura della sessione il server fissa il target, ti mostra lo SHA-256 del target, di un valore casuale e dell'id della sessione, e lo registra. Alla rivelazione (reveal) ti dà il target e il valore casuale, così puoi ricalcolare l'hash da te. Questo dimostra che la risposta non è stata cambiata dopo aver visto il tuo lavoro. Non ti protegge da noi: il server lo gestiamo noi, e chi gestisce un server può sempre barare sulla propria macchina. Dirlo è più utile che lasciar intendere una garanzia che non esiste.

Verificare che nulla sia stato riscritto

L'impegno crittografico ti protegge solo se hai conservato l'hash che ti abbiamo mostrato, e non dice nulla di ciò che hai inviato dopo. Perciò, a cadenza oraria programmata, tutto ciò che è stato registrato dopo il lotto (batch) precedente — impegni crittografici, fogli sigillati (sealed sheets), classifiche bloccate, esclusioni dall'analisi (exclusions), i controlli della regola di arresto (stopping rule) e l'hash di ogni immagine del pool di immagini — viene raccolto in un albero di Merkle, concatenato a quello del lotto precedente e marcato temporalmente con OpenTimestamps, i cui calendari pubblici lo scrivono nella blockchain di Bitcoin entro poche ore. Dopo, nessuno, noi compresi, può cambiarne una parte senza che la verifica qui sotto fallisca per chi possiede il record: per la tua sessione, sei tu.

Limiti dichiarati

• I target sono solo immagini fisse. L'unico confronto diretto nella letteratura ha trovato che i target dinamici andavano decisamente meglio di quelli statici, quindi un risultato nullo qui non può distinguere “nessun effetto” da “tipo di target sbagliato”. Lo diciamo in anticipo perché sia un limite noto e non una scusa a posteriori.
• Qui le sessioni sono solitarie. Il protocollo storico dello SRI prevedeva sempre una seconda persona che incalzava e interrogava il viewer; su questo sito non c'è un monitor. È una scelta di prodotto deliberata, e fa di questa una variante solitaria del protocollo, non una riproduzione di quelle condizioni.
• Le immagini candidate le metti in ordine tu. È un protocollo a risposta libera standard e produce statistiche valide, ma una scelta forzata (forced choice) non può cogliere una sessione che ha descritto bene il target e lo ha comunque messo nella posizione sbagliata.

Perché le tue cifre restano indietro

Una sessione che hai classificato ma non rivelato viene contata nella pagina delle tue sessioni e lasciata fuori di proposito dalla tua statistica. Se fosse inclusa potresti ricavarne la posizione con un calcolo, e questo ti darebbe la risposta prima di guardarla. Le tue cifre quindi restano indietro rispetto al registro sottostante di tante sessioni quante ne lasci non rivelate, ciascuna finché il sito non la rivela alla prima esecuzione programmata dopo che sono passati sette giorni da quando è stata bloccata; da quel momento conta.

Che cosa conserviamo su di te

Un nick, l'hash di una password e l'hash di una frase di recupero (recovery phrase). Niente email, niente telefono, nessuno strumento di analisi di terze parti. Il tuo indirizzo IP raggiunge il nostro server e la CDN, come con qualsiasi sito. Non lo conserviamo mai in chiaro: viene troncato, salato con una chiave che cambia ogni 24 ore, trasformato in hash e usato solo per limitare la frequenza delle richieste. Il nostro hosting, Vercel, conserva i propri log delle richieste, che includono l'indirizzo, per un periodo deciso da Vercel. La registrazione e il recupero, e l'accesso o la cancellazione dell'account dopo due tentativi falliti, ti chiedono di dimostrare di essere una persona con Cloudflare Turnstile: si carica da Cloudflare e invia a Cloudflare il tuo indirizzo e segnali dal tuo browser. Una fotografia va dal tuo browser all'archivio esattamente come l'ha prodotta la tua fotocamera, metadati compresi. Al sigillo ne conserviamo una copia senza metadati e cancelliamo l'originale. Un originale che il sigillo non è riuscito a cancellare, o quello di una sessione mai sigillata, viene cancellato dalla prima pulizia programmata (sweep) dopo che la sessione è stata sigillata o si è conclusa, o dalla successiva se il caricamento era ancora in corso. La pulizia ha una cadenza oraria programmata. Per un vero anonimato in rete, usa Tor o una VPN.

Chiedere l'oblio

Puoi cancellare il tuo account da te, dalla pagina del tuo account, scrivendo il tuo nick e la tua password. Che cosa viene cancellato: il tuo nick, che resta riservato perché nessuno possa registrarlo di nuovo (ne conserviamo solo un hash con chiave, che non serve a nient'altro); le tue credenziali, gli hash della tua password e della tua frase di recupero, così non sarà mai più possibile accedere all'account; e le tue fotografie, ogni foglio che hai caricato, dall'archivio. Il sito non ne conserva nessun'altra copia. Il fornitore che ospita il nostro database ne conserva una cronologia mobile delle ultime sei ore, a scopo di ripristino; passato quel tempo, niente di tutto questo può essere recuperato. Che cosa resta, senza alcun nome: le tue sessioni, le loro posizioni, i loro orari, i loro target, le tue risposte prima della sessione, l'eventuale testo che hai scritto e, per ogni fotografia, il suo hash e l'ora di scatto così come è registrata nei dati della fotografia stessa. Le tue sessioni restano collegate tra loro da un identificativo che non porta alcun nome, così continuano a contare come le sessioni di un unico viewer. Il testo scritto non può essere rimosso una volta sigillata la sua sessione, perché fa parte del sigillo; se preferisci che non ne resti nulla, scrivi tutto su carta e lascia vuota la casella di testo. Una sessione ancora aperta, sigillata, o con le cinque immagini candidate mostrate e non ancora classificata quando l'account viene cancellato finisce come abbandonata (abandoned) e viene contata. Una sessione classificata ma non rivelata resta com'è: il sito la rivela una volta passati sette giorni da quando la classifica è stata bloccata, e conta. Due ragioni per conservare le sessioni, e nessuna delle due è la comodità. Le sessioni che si possono cancellare permettono a chiunque di togliere in silenzio quelle andate male, il che distorce l'intero insieme dei dati proprio nella direzione che questo sito esiste per evitare. E gli hash conservati sono ciò che mantiene verificabile una sessione sigillata dopo che la fotografia è stata cancellata: l'hash di una fotografia non identifica nessuno agli occhi di chi non ha già la fotografia, ed è l'unica prova rimasta che il record non è stato scritto dopo.