Blog: keresés
Összesen 8 találat.
Évkezdő privacy hírcsokor (XII)
|
|
2015.01.03. 05:41:46
Gulyás Gábor
A Princeton egyetem kutatócsoportjában megnézték, hogy egy NSA szintű megfigyelő milyen mértékben képes követni valakinek az online tevékenységét a sütik alapján, és meglepő eredményre jutottak: alapesetben a böngésző tevékenységének kb. 60%-a megfigyelhető, és ezen a különféle eszközök is vajmi keveset tudnak javítani. Az általam is legjobbnak ítélt megoldás, a Ghostery is csak 20% körülire tudja leszorítani ezt az eredményt.
Különféle privátszféra erősítő megoldások esetén (ill. balra alapesetben) az online tevékenység feltüntetett hányadát képes kövezni a sütik alapján egy globális megfigyelő. [forrás]
A karácsonyi dömpingben érdekes színfolt volt a Privacy International adománygyűjtő kampánya, ahol megtudhattuk, hogy a mikulásnak milyen nehézségekkel kell megküzdenie, amikor a kormány a jók és rosszak listájának átadására kötelezi. (És hogy ez a valóságban miért érint mindannyiunkat.)
Itt pedig egy érdekes írás, hogy miért is te vagy a termék, ha Facebook-ot használsz.
Hozzászólások (0 hozzászólás) A Yahoo a hirdetők miatt nem tudja bevezetni minden oldalán a HTTPS-t
|
|
2014.04.07. 05:20:10
Gulyás Gábor
Amióta kiderült, hogy a Google és a hasonló szolgáltatók nem titkosítják az adatközpontjaik közötti forgalmat és ezt az NSA ki is használta, a titkosítatlan webes kommunikációra, így például a HTTPS alapértelmezett bevezetésére is nagyobb figyelem irányult. Valamint azt is nagy figyelem övezi, hogy az egyes szereplők, mint a Yahoo, Google, Microsoft, mit titkosítanak alapértelmezetten és mit nem.
Most úgy tűnik, hogy a Yahoo komoly lépéseket tesz ez irányba, azonban ők sem tudják megoldani, hogy valamennyi oldalukon egységesen a HTTPS legyen az alap. Ehhez ugyanis valamennyi hirdető partnerüknek is HTTPS-en keresztül kellene elérhetővé tenni funkcióikat, ám ez nem megy olyan egyszerűen. Sőt, Askhan Soltani úgy tippeli a blogjában, hogy ahány érintett van az ügyben, ez még akár öt évig is eltarthat.
Az egész ügyet pedig azt teszi igazán pikánssá, hogy a privátszféra védelmében amúgy sem érdekelt reklámhálózatok miatt marad nyitva az ajtó az állami megfigyelés előtt, még ha részlegesen is.
2013 top tech témái - a privacy kiemelten megjelent közöttük!
|
|
2014.01.07. 05:10:53
Gulyás Gábor
A TechPolicy összegyűjtötte azokat a tech témákat, amelyek 2013-ban főszerepet kaptak. Ezek alapján látható, hogy 2013-ban a privacy még kiemeltebb szerepet kapott, és várhatóan ez csak fokozódni fog idén is.
Node melyek is voltak ezek 2013-ban? (A könnyebb egyeztethetőség kedvéért a pontokat számát és nevét meghagytam, de az utána a saját megjegyzéseimet írtam.)
(1) NSA Surveillance. A privátszféra-védő megoldások használóra sok esetben űrlényként tekintettek, de az NSA megfigyelési botrány jelentősen hozzájárult, hogy ez a negatív prekoncepció elkezdett megváltozni. Nem azért használunk ilyen eszközöket, mert rejtegetni valónk van, hanem mert nem egy függönytelen ablak előtt kívánjuk élni az életünket.
...
(3) Bitcoin. Ugyan a tavaly nagy népszerűségre szert tévő fizetési eszköz jövője igen bizonytalan, de legalább van egy ígéretes alternatíva, amely segítségével valóban név nélkül fizethetünk.
(4) Drones and robots. Hazánkban egyelőre nem túlságosan elterjedtek, de a fizikai privátszférát kénytelenek leszünk újraértelmezni, amikor elterjednek – amikor a magas kerítés sem véd a kíváncsi szemek elől (ilyenkor nem feltétlenül csak a paparazzikra, hanem egyszerű köztörvényes bűnözőkre is gondolhatunk, mint a tolvajok), és a tizedik emeleten is számolnunk kell azzal, hogy egyszer csak benézhet valaki az ablakon.
...
(6) Commercial privacy. Erről a témáról rendszeresen írunk a PET Portál indulása óta, és a tavalyi évben sem állt meg ezen a téren az élet. Elég csak néhány kapcsolódó kulcsszót áttekintetünk.
(7) Fairness and algorithms. Sokszor nem tudjuk vagy nem látjuk át, mi alapján kapunk ajánlásokat egy weboldalon, vagy más esetben hogyan befolyásolják döntéseinket, választásainkat. (Például gondoljunk arra, amikor a hitelkérelmet befolyásolhatják a Facebook-os kapcsolatok, vagy amikor a hotelszoba kínálatot a feltételezett anyagi hátterünk.) Ez a probléma tavaly szerencsére többeket foglalkoztatott, ami javulást hozhat ezen a téren.
(8) Cell phone unlocking. A mobiltelefonunk erőteljesen beintegrálódott a privátszféránkba, így joggal várhatjuk el, hogy nagyobb kontrollt akarunk elérni felette, és ha kell, például tűzfalak telepítésével blokkolhassuk az egyes alkalmazások tevékenységét.
...
Végeredmény: a összesen 6 pont érintett, ez elég jelentős arány – kíváncsi vagyok, jövőre feljebb kúszik-e az érintett területek száma.
Infografika: NSA adatgyűjtés
|
|
2013.11.15. 05:01:01
Gulyás Gábor
Persze ez a kedvezőbb eset, USA polgárokra vetítve (a külföldiek még annyi joggal sem rendelkeznek).
Mit jelent az NSA megfigyelése a gyakorlatban?
|
|
2013.11.12. 04:54:25
Gulyás Gábor
Mit figyel meg az NSA?
|
|
2013.10.07. 06:00:55
Gulyás Gábor
Az NSA elsősorban a webes forgalom egy egész kis részét vizsgálja (saját kiemelés):
The seven-page document, titled "The National Security Agency: Missions, Authorities, Oversight and Partnerships", says the agency "touches" 1.6% of daily internet traffic – an estimate which is not believed to include large-scale internet taps operated by GCHQ, the NSA's UK counterpart.
The document cites figures from a major tech provider that the internet carries 1,826 petabytes of information per day. [...] "In its foreign intelligence mission, NSA touches about 1.6% of that," the document states. "However, of the 1.6% of the data, only 0.025% is actually selected for review.
"The net effect is that NSA analysts look at 0.00004% of the world's traffic in conducting their mission – that's less than one part in a million."
Azonban a meta-információk nem foglalnak sokat. Szóval ez akár rettentő sok információ is lehet, és elegendő a teljeskörű megfigyeléshez (nem véletlen, hogy ilyesmit gyűjtenek az EU-ban is Data Retention címen). Bruce Schneier – kissé leegyszerűsítve a dolgokat – odáig is elmegy, hogy egyenlőségjelet tesz a megfigyelés (surveillance) és a meta-adatok gyűjtése közé. Van benne valami.
Aki kíváncsi, mi minden tartozik bele a meta-információk körébe, nézze meg a Guardian kisokosát:
A valóság most sem fekete-fehér: az NSA kistestvérei
|
|
2013.09.13. 05:37:41
Gulyás Gábor
Egy előző bejegyzésben az NSA megfigyelési képességeiről írtam, és most ehhez kapcsolódóan szeretném kissé árnyalni a képet a problémakör EU-s, hazai és gazdasági szereplőinek tevékenységének bemutatásával. Ugyanis ezeket a szereplőket nem tekinthetjük a nagytestvér mellett elhanyagolható méretűnek, csak kevesebbet hallunk róluk, mert sajnos keveset is tudunk a pontos működésükről.
Tehát, hazai pályán mi is a helyzet? Az EU bevezettette a Data Retention direktívát (DRD), aminek köszönhetően a tagállamok többségében kötelező a legtöbb digitális kommunikációs forma automatikus "lehallgatása" (pl. vezetékes- és mobiltelefon, email), hazánkban 2009-ben vezették be. Még van pár ellenálló állam, akik várnak a bevezetéssel, mint Ciprus vagy Németország, de ez nem jelenti, hogy ezekben az államokban egyáltalán nincs online megfigyelés, hanem csak annyit, hogy ez más keretek között zajlik.
Mivel a DRD csupán ajánlás, így alul nem, de túlteljesíteni lehet: például előírja, hogy az email küldésnél a küldő-fogadó párost és a tárgy sort eltárolják, de a törzs részt nem. Azonban a túlbuzgóság megengedett, ezt is eltárolhatják. Sajnos nem láttam még olyan dokumentumot, cikket, ami a hazai helyzetet mutatná be, hogy az egyes szolgáltatók pontosan mit "hallgatnak le", és hogyan tárolják az adatokat (például mennyire nehéz illetékteleneknek hozzáférniük). Még 2008-ban a CEU-n volt egy nemzetközi workshop, ahol egy csehországi szakember szerint az egyik internet szolgáltató önszorgalomból a web böngészésről is tárol információkat (mert nem a direktíva része). A hazai érintett cégek vélhetően a "nép haragjától" tartva inkább nem nyilatkoznak maguktól.
Amiről egyik nagytestvér kapcsán sem esik szó, mégis témába vág: az a gazdasági célú megfigyelés. Ebbe az internethasználók szokásainak, ízlésének, anyagi helyzetének felmérése tartozik bele, amelynek a célja lehet a személyre szabott reklámok megjelenítése, döntések és lehetőségek befolyásolása, vagy akár a dinamikus árazás, amikor a látogató zsebéhez/érdeklődéséhez szabják az árakat (ez utóbbi az EU-ban mondjuk tilos). Mindebben óriási üzlet van, becslések szerint az online hirdetési iparág tavaly 37 mrd. USD bevételt könyvelhetett el (pedig ez csak egy ágazata a problémának), így ezen megfigyelési típus hátulütőit könnyebben érzékelhetik az áltagos web-használók is.
Amerikai kutatók úgy becsülik, hogy bizonyos megfigyelők az emberek online tevékenységének több, mint 20%-át is látják – a felmérések egyértelműen erre utalnak, ugyanis a top weboldalak ijesztő mértékben be vannak "poloskázva". A kutatók az Alexa top 500-ban 524 különböző megfigyelőt azonosítottak, és összesen 7264 poloskát találtak. Más kutatások pedig a közösségi gombok elterjedtségét 35%-ra teszik a top 10 000 oldal között: ugyanis a Like, Tweet, +1 gombok éppúgy poloskaként működnek, mint a rejtett társaik.
A nagy testvér tehát létezik! De mit tehetünk? NSA-botrány összefoglaló.
|
|
2013.09.10. 05:55:38
Gulyás Gábor
Elég sok információ derült ki a PRISM ügy kapcsán már csütörtökig, és akkor gondoltam, hogy írok egy – kissé spekulatív – bejegyzést arról, hogy mire lehet képes az NSA, illetve mit lehet a megfigyelés ellen tenni. Mire elkészült volna, újabb információk kavarták fel a web vizét, jóval kevesebb spekulációra adva lehetőséget: már tudjuk, hogy az NSA bizonyos titkosított forgalmakat/üzeneteket is képes elemezni, megfigyelni. Szerencsére nem arról van szó, hogy feltörték volna a kriptográfia alapjául szolgáló algoritmusokat, hanem gondoskodtak róla, hogy a lehető legtöbb implementációban és szolgáltatónál legyenek kiskapuk, amikor "be szeretnének kukucskálni".
Korábban is lehetett sejteni, hogy a szuperszámítógépek ("adversary is capable of a trillion guesses per second") és az órási szakértői tudás ellenére sem képesek mindenütt permanens megfigyelést végrehajtani (bár behatolni valószínűleg igen, csak ezek a célzott támadások elég körülményesek, rizikósak és túl sokba kerülnek a tömeges alkalmazáshoz).
Ezért az NSA a könnyebb utat választotta: megegyezett a nagyobb cégekkel, hogy biztosítsanak a megfigyeléshez felületet, illetve telekommunikációs szolgáltatókkal is keresték a partneri kapcsolatot, szoftver készítő cégeknél pedig kiskapukat építtetek a termékekbe. Ez utóbbi ráadásul nem is rizikós: zárt kódú szoftvereknél a lebukás esélye minimális, és ha meg is történne, úgy intézték, hogy hibaként lehessen elmaszatolni a felfedezett gyengeséget (pl. protokoll változóinak befolyásolása, rossz véletlengenerátorok).
Ezt támasztja alá a Silent Circle nevű cég biztonságos email szolgáltatásának hirtelen leállítása. A cég mielőtt megkereshették volna őket a kormánytól (a botrány kezdete óta közel 400%-os növekedésük volt), inkább leállították a szolgáltatást és az adatokat törölték. Ugyanis ez esetben kénytelenek voltak belelátni a levelezésbe a protokoll nyíltsága miatt, míg más szolgáltatásaiknál end-to-end titkosítást alkalmaznak.
Emellett voltak törvényi törekvések a "lefedettség" növelésére (illetve szakmai is, ld. a 2013-as célkitűzéseket), erre utal az is, hogy törvényileg szerették volna az USA-ban is jelenlévő cégeket kötelezni a lehallgathatóságra, amit ha egy cég elmulasztana, napi 25 000 USD lenne a büntetése. Ez a törvény egyféle catch-all-ként működne: külön pénzkiadás nélkül be tudnánk poloskázni a fennmaradó cégeket, hiszen mindenki automatikusan partnerré válna (csak szemben a PRISM résztvevőkkel, ezek a cégek mindezt ellenjavadalmazás nélkül tennék, így olcsóbb az államnak).
Mit lehet tenni? A nyílt forráskódú kriptográfiai és PET technológiák kevésbé vannak kiszolgáltatva manipulációnak és nagy mennyiségben ezt nem tudja az NSA sem lehallgatni, így ilyen eszközöket érdemes használni. A következőket ajánljuk (egyeseket Bruce Schneier is használ és ajánl): KeePass, TrueCrypt, Thunderbird + Enigmail + GnuPGP vagy GPG, Tails, OTR, BleachBit. És persze nem érdemes gmail-es címet használni. :-)
Akit érdekel a téma, tudom ajánlani Bruce Schneier útmutatóját az online privátszféra megerősítéséhez. Ez a cikk nem csupán végigveszi az előzményeket (linkekkel) és bemutatja a fennálló helyzetet, hanem konkrét javaslatokat is tartalmaz, illetve a végén Bruce említ néhány PET-jellegű szoftvert, amit ő is használ, mióta a botrány tart (némi átfedésben a fentebbi listával). A theguardian ezen kívül még további érdekes cikkeket is közölt, amit érdemes elolvasni.
UPDATE (2013-09-10 13:35): mivel a TrueCrypt-et azért éri némi – akár óvatosságra intő – kritika, alternatívaként érdemes körbenézni a további lehetőségek között.
Új jelszó 
Regisztráció 
