Blog: keresés
Összesen 556 találat.
De-anonimizációs algoritmusok: böngészőből futtatható szimuláció!
|
|
2017.01.10. 11:56:46
Gulyás Gábor
Az alábbi linken olyan algoritmusokat lehet közvetlenül a böngészőben kipróbálni, amelyek két közösségi hálózatban képesek megtalálni ugyanazokat a résztvevőket, pusztán a kapcsolatrendszerük alapján. (Ezek közösségi hálózatok de-anonimizálására készített algoritmusok.) Kellemes kísérletezgetést!
Hozzászólások (0 hozzászólás) Film egy ellopatott telefon visszaszerzéséről
|
|
2016.12.26. 15:00:00
Gulyás Gábor
A film fókuszában részben a telefon tulajdonos kiszolgáltatottsága áll, de abból a szempontból is érdekes, hogy a telefonunk rólunk mit szolgáltat.
Az alkalmazás, amely egy fotó után megtalálja a profilod
|
|
2016.12.07. 09:37:02
Gulyás Gábor
Érdekes koncepció: ebben az alkalmazásban kombináltak képfelismerő neurális hálókat a közösségi oldalak kép adatbázisával. A végeredmény: egy nyilvános fotó alapján megtalálja a közösségi oldalon a profilunkat.
Egy like mennyit ér neked?
|
|
2016.07.07. 10:30:19
Gulyás Gábor
Mennyit ér neked egy like? Nem sokat, igaz? Nos, pedig sokkal többet elárul, mint gondolnád: lehet, hogy te is ennyire meglepődénél. :)
A vezetési stílusod sokkal jobban azonosít, mint gondolnád
|
|
2016.06.23. 05:17:46
Gulyás Gábor
Az idén júliusban esedékes PET Symposium-on mutatják be kutatók azon eredményeiket, amely szerint a vezetési stílus elég egyedi jellemzőket tartalmaz. A vizsgálatokban 15 személy vezetési stílusát rögzítették, azokat az információkat, amelyek az autók belső számítógépes rendszerén (CAN) megjelent, mint például kormány és pedál használatot. Az adatokat vizsgálva kiderült (gépi tanulást alkalmazva), hogy önmagában csak a fék pedál használata is már rövid idő után nagy eséllyel (90%) azonosíthatóvá teszi a sofőrt, hosszú távon pedig teljesen egyértelmű azonosíthatóságot garantál.
Mivel mindössze egy forrásról is kiderült, hogy milyen hatékonyan segíti az azonosítást, valószínűleg jóval nagyobb populáción is működik a módszer, legfeljebb több forrás kombinációjával. Ez egyébként nem meglepő eredmény, inkább amiatt érdekes ez a tanulmány, hogy az ujjlenyomatozásra használt információforrás eléggé eltérő jellegű volt az eddig vizsgáltatoktól: nem diszkrét jellemző, hanem "folytonos" jel alapján történt az azonsítás (bár például a mobiltelefon szenzorok ujjlenyomatozása is slágertéma épp).
Facebook okostelefonon? Jobban hallgat rád, mint a kutyád
|
|
2016.06.02. 05:51:54
Gulyás Gábor
Aki használ Facebook-ot a mobilján, érdemes átnéznie a beállításokat és kikapcsolni a mikrofont: az alkalmazás folyamatosan figyeli az elhangzó beszélgetéseket, a háttérben szóló zenét, stb., hogy ezzel is szinesítse a hirdetőknek értékesíthető profilokat. A fentebb linkelt cikkben ki is próbálták: amikor a telefon mellett elhangzott, hogy a tulajdonos szívesen elmenne egy szafarira, rövidesen megjelentek az asztali gépen a böngészőben a kapcsolódó hirdetések.
Illegális joggyakorlat a hirdetésblokkolók ellenőrzése?
|
|
2016.04.27. 05:36:35
Gulyás Gábor
A weben elterjedt gazdasági modellben a felhasználók az ingyenes szolgáltatásokért cserébe elviselik a reklámok jelenlétét a szolgáltatásokban. Számos weboldal ezen túlmenően megfigyelni a látogatói szokásait, illetve olyan technológiát alkalmaz, amely által hozzáférhet a látogatók más weboldalak meglátogatása során gyűjtött információkhoz is. A zavaró reklámok, a megfigyelés és a reklámok által generált óriási extra forgalom miatt egyre több felhasználó döntött úgy, hogy inkább nem szeretne reklámokat – mi sem bizonyítja ezt jobban, mint hogy a Firefox kiegészítői között a dobogó csúcsán az Adblok Plus áll, jelenleg is már több, mint 20 millió felhasználóval.
Az ebből fakadó bevételkiesést viszont a tartalomszolgáltatók nem nézik jó szemmel; az utóbbi időben egyre több weboldal kezdte el kizárni azokat a látogatókat, akiknél a reklámok nem töltődtek be, illetve sok esetben azokat is, akik a reklámokat engednék, csak a megfigyelést blokkolnák. Azonban úgy tűnik, hogy a reklámblokkoló detektálása illegális joggyakorlat az EU-ban. Alex Hanff, nem rég kapott egy állásfoglalást a témában az Európai Bizottságtól, és ez alapján a böngésző kiegészítők detektálása illegális személyes adat gyűjtésnek minősül.
Ez ugyan orvosolhatja ezt a pillanatnyi történetet a hirdetők és fogyasztók közötti háborúban, a megoldást a web hosszútávú, privátszféra-barát fenntartására azonban tovább kell keresni.
TracEmail: új Thunderbird kiegészítő, ami megmutatja, merre járnak a leveleid
|
|
2016.04.07. 05:28:01
Gulyás Gábor
A TracEmail egy Thunderbird levelezőprogram kiegészítő, amely segítségével megtudhatjuk, milyen országokon haladtak át a leveleink, és mely országokban milyen törvények alapján hallgathatják le a kommunikációnkat (vagy teszik ezt automatikusan). A kiegészítő már elérhető a Thunderbird Addons oldalán, illetve a forráskód foltozgatásához, kibővítéséhez is hozzájárulhatnak a vállalkozó kedvű felhasználók.
Kipróbálom!
Last Week Tonight Show (HBO): Encryption
|
|
2016.03.28. 12:24:07
Gulyás Gábor
Személyes adatokat egy kávéért?
|
|
2016.03.21. 10:32:34
Gulyás Gábor
No para: új oldal a privátszféra védelméért
|
|
2016.03.08. 06:33:43
Gulyás Gábor
A modern kommunikációs eszközök és csatornák egyre nagyobb mennyiségű információt tesznek elérhetővé rólunk egyre szélesebb kör számára – gyakran szenzitív, személyes adatokat is. Az információs önrendelkezési jog folyamatosan sérül az állami és a piaci szereplők megfigyelései során. Legféltettebb, személyes titkainkból listák állnak össze, adatainkat különböző hivatalok és cégek kapcsolhatják össze, és alkothatnak belőlük további visszaélésre lehetőséget adó profilokat. Személyes és gazdasági károk sorát okozhatják a titokban utánunk kémkedő programok és alkalmazások.
A Társaság A Szabadságjogokért (TASZ) a hétköznapi polgároknak, civil szervezeteknek, gazdasági szereplőknek, oknyomozó újságíróknak, és minden, a kémkedéssel érintett áldozatnak kíván segítséget nyújtani azzal, hogy a bevált és globálisan alkalmazott védelmi megoldásokat egy helyen, a nopara.org honlapon teszi elérhetővé számukra; ugyanitt Edward Snowden személyes üzenete, illetve közérthető szöveges és multimédiás felvilágosító tartalmak is várják az érdeklődőket.
Új Chrome kiegészítő a szelektív reklámszűrésért
|
|
2016.02.17. 05:33:06
Gulyás Gábor
A webpoloskák és a reklámok szoros kapcsolatban állnak egymással: a webpoloskák által gyűjtenek cégek információt a célzott hirdetések megjelenítéséhez. Azok számára, akiknek ez a rendszer nem szimpatikus, viszonylag egyszerű eszközkészlettel kell beérniük: tilthatják a reklámokat (pl. AdBlockPlus-szal) és webpoloskákat (pl. Ghostery-vel), vagy nem. Bizonyos rugalmasság ugyan van a rendszerben, mert például az AdBlock lehetővé teszi, hogy egyes oldalakon feloldjuk a tiltást, vagy a Ghostery-ben bizonyos típusú tracker-eket engedélyezhetünk, de azért ez nem az igazi. Már önmagában is nehéz lehet átlátni a rendszer kezelését, ha több kivételt szeretnénk, nem hogy az egyes kivételeknek a következményeit.
Erre kínál alternatív megoldást a MyTrackingChoices Chrome kiegészítő, amelyben megadhatjuk, hogy mely témájú weboldalakon nem szeretnénk, ha követnének bennünket, mint például vásárlási célú oldalak. Miközben böngészünk, a kiegészítő kategorizálja a weboldalakat, és ha a védett kategóriába esik az éppen meglátogatott oldal, tiltja az ott jelenlévő web poloskákat. További érdekesség, hogy a webpoloskák listája sem fix, hanem menet közben tanulja a program: ha többször lát weboldalon kívülről érkező erőforrásokat, akkor egy idő után ez felkerül a listájára.
Rövidhír: közelebb kerültünk a biztonságos cloud felé
|
|
2016.02.10. 09:41:00
Gulyás Gábor
A Microsoft kutatóinak sikerült kifejlesztenie egy olyan mesterséges neurális hálózatokon alapuló eljárást, amely úgy képes dolgozni adatokon, hogy az adatok rejtejelezettek maradnak előtte. A teszt rendszer a MNIST adatok rejtjelezett formáját használta, amely 60 000 kézzel írott számjegyből áll, és tipikus demo felülete az újabb és újabb osztályozó rendszereknek. A cikkben bemutatott feladat a szokásos volt: a rejtjelezett rejtjelezett képekről meg kellett mondani, hogy mi látható rajta. A rendszer 99%-os pontossággal képes volt megmondani ezt helyesen, másodpercenként akár majdnem 15 képre.
Hogy a problémát laikusok számára is érzékeltessük: a feladat elég hasonló az alábbi játékhoz, és ebben érte el ez a rendszer a sikereket.
Bónusz kérdés: mi látható az alábbi képen?
Megoldás: pingvin. Forrás.
Új weboldal: webpoloska.hu
|
|
2016.01.27. 05:51:10
Gulyás Gábor
Sokat írtunk a web poloskákról már, de ha valaki szeretne képbe kerülni, nincs könnyű dolga: lesz mit olvasnia a bejegyzéstengerben. Ezért nem régiben elindítottuk a webpoloska.hu weboldalt, amelynek célja, hogy a webpoloskákhoz, nyomkövetéshez kapcsolódó információdömpingben adjon iránymutatást, illetve kiemelje az aktuális projektjeinket. A tartalom angol nyelven is elérhető a webbug.eu oldalon. Bár apróbb újítás, mégis privátszféra-erősítő hatású, hogy és ezek az oldalak, illetve a PET Portál is immár csak HTTPS-en keresztül érhető el, köszönhetően a StartTLS-nek!
Project Abacus: a te biometrikus ujjlenyomatod
|
|
2016.01.19. 05:44:20
Gulyás Gábor
Ebben az esetben szó szerint személyes ujjlenyomatról van szó: a Google Abacus gyűjti a telefon valamennyi bemenetén a meta-datokat, mint például kit lát az előlapi kamera vagy hogyan gépelünk, majd ez alapján folyamatosan kiértékeli, hogy kinek a kezben lehet a telefon. Mindennek a célja a jelszó kiváltása. Meg kell hagyni, hogy általában véve sokat küzdünk a jelszavakkal, de ez nem jelenti azt, hogy az egész séma rossz; ott vannak például a jelszómenedzser alkalmazások, amelyek kisegíthetnek bennünket a gyenge, elfeledett, vagy újrahasznált jelszavak kátyúiból.
c
Új törekvések a privacy újrapozícionálására
|
|
2016.01.12. 05:32:22
Gulyás Gábor
Sokan abban látják a privátszféra védelem jövőjét, hogy az árral szemben úszás helyett inkább megpróbálják viszaszerezni az irányítást a felhasználónak. Erre eddig is léteztek megoldások, és úgy tűnik, hogy a javaslatok kezdenek megvalósulni. Az egyik CES kiállító például egy alapos kém alkalmazást készített, amelynek végül az lenne a célja, hogy egyedüli közvetítő legyen az adatokat igénylő és az adatalanyok között:
Neura gathers all this data in order to automatically provide notifications that it thinks will help its owner over the course of the day.
But the firm's ultimate goal is to offer its service to other apps, and act as a single secure channel for all of a user's personal data rather than having it handled by multiple parties, as is currently the case.
Ők ezt úgy képzelik el, hogy ők mintegy pénztárcaként vesznek részt a felhasználó életében, aki gyakorlatilag fizethet az adataival, hasonlóan a PayPal-hez. Végül is igazuk van: ma igyanez történik, csak a többség tudta és beleegyezése nélkül.
Egy másik probléma ma a privátszféra-védelemmel, hogy a legtöbb kormány ezt a saját ellenségének látja (vagy legalábbis láttatja), és számos politikus javasol olyan intézkedéseket, amelyek a digitális privátszféra védelmet ellehetlenítik. Ilyen például az a terv Franciaországban, betiltják a nyilvános wifi és TOR használatot, illetve minden szoftvernek kötelező lenne hátsó kaput ajánlania. Az efféle ötletek szinte azonnal számos kritikusra találnak. Ezt a két tábort igyekezne kibékíteni David Chaum, aki a TOR elvi alapjainak számító MIX-eket kitalálta.
Az alapötlet egy olyan MIX hálózatokra épülő megoldás, amely hatékonyan képes mobiltelefonokon is futni (tehát a jelenlegi rendszereknél gyorsabb, és jobban kíméli az erőforrásokat), miközben továbbra is magas megbízhatóságú anonimitást nyújt. Hogy az anonimitás ellenzőit is kiengeszteljék, a rendszer beépített kiskaput is fog tartalmazni, ám efölött nem az egyes országok képviselői rendelkeznek majd: egy felhasználó anonimitásának visszavonásához 9 ország adminisztrátorának kell majd egyöntetűen támogatnia ezt. Bár ez már jóbban hangzik, valószínűleg az új rendszernek így sem kell majd keresni a kritikusokat.
A tömeges megfigyelés rejtett költsége
|
|
2016.01.05. 05:06:23
Gulyás Gábor
A politikusok terrortámadások után előszeretettel hajtogatják, hogy a tömeges megfigyelés kiterjesztésére, illetve a titkosítás és privátszféra-erősítő technológiák visszaszorítására van szükség. Számos kritika éri ezeket a politikai célkitűzéseket. Vajon ha csupán engedjük, hogy a megfigyelés még kiterjedtebb legyen, akkor az hatékonyabb lesz? Snowden szerint nem, de elvi módon is könnyen belátható, hogy a tömeges megfigyelés nagyon alacsony hatásfokú eszköze lehet csupán a terrorelhárításnak, mégpedig a false-positive paradox-nak köszönhetően.
Egyszerűen arról van szó, hogy mivel nagyon kevés a potenciális veszélyforrás a társadalom méretéhez képest, ezért még a legprofibb szűrési mechanizmusok mellett is túl sokan fognak tévedésből fennakadni a rendszerben. Tegyük fel, hogy a rendőrség nagyon hatékonyan szűr, a tömeges megfigyelésre szakosodott alkalmazásuk a terroristákat az esetek 99%-ban kapja el, és ha nem terroristákról van szó, csupán 0,5%-ban téved. Ha a rendőrség rendszere 1 millió embert figyel meg, ahol van 100 terrorista, akkor ez azt jelenti, hogy 5099 embert kell utólagosan kézzel átvilágítani, további megfigyelés alá helyezni és kiszűrni.
Ez még mindig érezhetően nagy szám, pedig a feltételezett rendszerről ideális paramétereket feltételeztünk. Mindamellett sokszor hallhatjuk azt is, hogy az érintett szervek sokszor emberi erőforrás hiányban szenvednek...
LocationGuard és az anonimitási paradoxon
|
|
2015.12.17. 05:16:25
Gulyás Gábor
Nem rég lehetőségem nyílt személyesen is beszélgetni a LocationGuard nevű böngésző kiegészítő (fő) fejlesztőjével, Marco Sonatival. Akik nem ismernék a programot: a LocationGuard egyszerű beállításokon keresztül lehetővé teszi, hogy elrejtsük a pontos tartózkodási helyünket a weboldalak elől, és egy közelítő helyet adjunk meg. Mindezt ahelyett, hogy a jelenlegi megadom/nem használom a szolgáltatást opciók közé lennénk szorítva.
A kiegészítő lehetőséget ad arra, hogy bizonyos körzeten belül zajosítsuk a tartózkodási helyünket, amelyet a program egy időre meg is jegyez (mobil böngészésnél nem hátrány). Marco mondta, hogy több felhasználó is jelezte (ők maguk nem gyűjtenek információt arról, hogy a felhasználóik hogyan használják a kiegészítőiket), hogy ők inkább a fix pozíciót használják. Ez esetben beállítják egy tetszőleges pontra a térképen magukat, és a kiegészítő segítségével a böngésző mindig ezt a helyzetet fogja jelezni, ha egy weboldal hozzáférést kér ehhez. Ez azonban nem túl szerencsés gyakorlat, ugyanis a világ túl nagy ahhoz, hogy könnyen egyedi pozíciót állítsanak be, amely a helyzetinformációhoz való hozzáférés után követhetővé teszi őket. Ezért amíg Marcoék nem javítják a fix pozíció választást pl. egy előre meghatározott csoportra, addig ezt a funkciót nem érdemes használni.
Ez a jelenség egyébként nem újdonság a PET-ek világában. Azok a felhasználók, akik egyedi módon próbálják a privátszférájukat védeni, gyakran belefutnak ebbe a problémába, amelyet anonimitási paradoxnak hívunk: a felhasználók ugyan sikeresen megvédik adataikat, de az új beállításaik annyira egyediek, hogy ez követhetővé teszi őket. (Pontosabban a tevékenységük összekapcsolhatóságát eredményezi.)
A TOR böngésző mégis követhető
|
|
2015.12.03. 09:46:11
Gulyás Gábor
A TOR anonim böngésző, kifejezetten azért fejlesztik, hogy anonim módon lehessen vele böngészni weboldalakat. Egy újonnan felfedezett hiányosságnak köszönhetően a TOR felhasználók mégis követhetőek maradnak, ugyanis egy beépített védelmi funkció egyáltalán nem működik.
A weboldalak ugyanis a számítógépre feltelepített betűkészletek lekérdezével egyedileg azonosítani tudják a látogatóikat, a webpoloskák pedig akár több weboldalon keresztül is. A probléma, hogy a számítógépre jellemző betűkészlet-lista egyedi, már régebbóta ismert, ezért a TOR fejlesztők úgy döntöttek, hogy korlátozzák a weboldalak által maximálisan elérhető betűkészletek számát 10-ben. Azonban, ahogy megmutattuk, ez a korlátozás nem működik egyáltalán a legutóbbi stabil kiadásban (5.0.4), és így a használói könnyen követhetővé válnak.
Erre a megoldást jelenleg azt jelentheti, hogyha a beállításoknál (Beállítások > Tartalom > Haladó) megadjuk, hogy a weboldalak ne használhassanak bármilyen betűkészletet, hanem csak az ott megadott négyet. Más beállítások nem oldják meg a problémát. Hiába állítjuk a TOR védelmi szintjét magasabb fokozatba, a legmagasabb fokozat is csak a JavaScript-ek alapértelmezett letiltásával nyújt átmeneti védelmet.
Az eredeti védelmi korlátozás ráadásul nem volt tökéletes, de más okból nem érhető el. Úgy tudjuk, hogy az új Firefox verziókba való átültetés során implementációs nehézségekbe ütköztek a fejlesztők. Mindeközben egy új megoldáson is dolgoznak, ami végleg megoldaná ezt a problémát: a TOR böngésző saját fontokat is hozna magával, és csak ezeket lehetne használni. Ezt azonban még nem sikerült olyan szintre fejleszteni, hogy a legutóbbi stabil változattal kiadhassák.
Videó: élet az okoslakásban
|
|
2015.11.23. 05:06:47
Gulyás Gábor
Titokban összesúg a tévé és az okostelefon
|
|
2015.11.17. 05:16:16
Gulyás Gábor
A hirdetők számára nehézséget okoz, hogy a potenciális célok több eszközt használnak, s emiatt a hirdetési kampányok megjelenítése pontatlan lehet. A SilverPush nevű cég új ötlettel állt elő a probléma megoldására: a reklámok hangjába az emberi fül számára hallhatatlan jeleket építenek be, amelyet az okostelefon rögzíteni tud, s ezáltal regisztrálni, hogy milyen reklámokat látott/hallott az illető. További részletek itt és itt.
Követés elleni védelem a Firefoxban
|
|
2015.11.09. 05:09:27
Kovács Zoltán
A Firefox legújabb verziójában (42.0) egy eddig más böngészőkben még nem látott funkciót kapunk kézhez. Nem másról van szó, mint a Követés elleni védelemről (Tracking Protection), ami a Firefox Privát böngészési módjában válik elérhetővé.
De mit is jelent ez? A technológia a megnyitott oldalakon blokkol minden olyan scriptet ami a felhasználó azonosítására, illetve böngészési tevékenységének követésére szolgálhat. Aktívan blokkolja a webpoloskákat, trackereket, hirdetéseket, illetve olyan közösségi médiához tartozó eszközöket, mint például a Facebook like gombja.
Ennek következtében bizonyos oldalak betöltődési ideje akár jelentősen is csökkenhet, mivel a hirdetéseknél harmadik féllel való kommunikációnak nem kell lezajlania, illetve statisztikák alapjául szolgáló adatközlés sem történik. Azonban elképzelhető, hogy némelyik oldal nem jelenik meg tökéletesen, ilyenkor a Követés elleni védelem egyszerűen kikapcsolható az adott oldalon a címsorban lévő ikonra kattintva.
Eddig a privát böngészés használatával a következő előnyökhöz juthattunk: a böngészési folyamat végén nem mentődtek el előzményeink, kereséseink, ideiglenes fájljaink illetve a sütik. Ez azonban nem gátolta meg az oldalon harmadik féltől származó scriptek futását, most azonban egy eddiginél sokkal privátabb böngészési módot kaptunk.
Az új verzió már elérhető Windows, Mac, Linux és Android operációs rendszerre, érdemes egy pillantást vetni rá.
Videó: adatóriások és adatbiztonság
|
|
2015.11.05. 11:00:50
Gulyás Gábor
Ezt a videót egy nyári munka során készítette Miklós Dávid 2014-ben (velem közösen, még a CrySyS Lab-ban), eredetileg egy sorozat próba részének szántuk, de végül csupán ennyi készült el. Bár ez még kissé nyers anyag, reméljük sok érdekességgel szolgálhat, és jó szórakozást kívánunk hozzá!
Adatóriások és adatbiztonság - 2. próba rész from Miklós Dávid on Vimeo.
Mouseveillance
|
|
2015.10.30. 14:10:20
Szerencsés Ákos
A web ingyenes, és emiatt legtöbbünk napi életének szerves részévé vált. Azonban az ingyenesség ára, hogy számos hírportál és egyéb weboldal hirdetésekből szerzi bevételeit. Ezek között is egyre népszerűbbek a személyre szabott hirdetések, amelyek a látogatók ízlésvilágához igazodnak, s mivel kevesen nyilatkoznának erről maguk, a hirdetők ezt az információt inkább rejtett megfigyelés útján szerzik meg az ún. webpoloskák segítségével. Ezzel kapcsolatban számos probléma felmerülhet, hiszen ha a felhasználó valahogyan tudomást is szerezne arról, hogy megfigyelik, a legtöbb esetben lehetetlen az adatgyűjtést megakadályozni vagy ellenőrizni (tudj meg többet itt: webpoloska.hu). Ráadásul a webpoloskák egyre trükkösebb módszereket alkalmaznak, amelyekkel szemben egyre nehezebb védekezni.
A Mouseveillance projektünk célja a webpoloskák egyik lehetséges azonosítási módszerének vizsgálata, miszerint a böngészés során az egérmozgás alkalmas-e az azonosításra. Ez ugyanis lehetővé tenné, hogy a hirdetők weboldalakon kövessék tevékenységeinket, még akkor is, ha például számítógépet váltunk. Ez rendkívüli hatással lenne a privátszférára, nagyon megnehezítené a megfigyelés elkerülését. Ezért az is célunk, hogy az ezzel kapcsolatos privacy-védelemi mechanizmusokra is megoldásokat keressünk.
A kutatásunk két fő fázisból tevődik össze. Az első fázisban olyan adatokat szeretnénk gyűjteni, amelyhez egy webpoloska is hozzáférhet bármely oldalon: az egérmozgás pontos menetére. A második fázisban az előzőleg gyűjtött adatokat elemezzük ki, és vizsgáljuk a web-használók azonosíthatóságát. A gyűjtéséhez támogatókat keresünk, akik feltelepítik a kísérletre kifejlesztett Firefox kiegészítőt és használják néhány hétig, vagy letöltik a Firefox portable csomagot.
Cserébe a résztvevőknek lehetőségük van visszatekinteni böngészéseikhez tartozó egérmozgásokat hőtérképek formájában az összes olyan weboldalon, melyen az adatgyűjtést aktiválták. Továbbá feketelistára helyezhetnek olyan oldalakat, amelyeket kizárnának az adatgyűjtésből, illetve a begyűjtött adatok közül utólag kiválaszthatják, mely oldalakhoz kapcsolódó tartalmat szeretnék törölni rendszerünk adatbázisából. E funkciók jelenleg tesztelés alatt állnak, de szabadon kipróbálhatóak.
Az adatgyűjtés névtelenül zajlik (minden telepítéshez véletlen azonosító párosul), és a begyűjtött adatokat is névtelenül kezeljük, és nem kíséreljük meg felfedni a támogató személy identitását sem.
Kérünk, hogy te is segítsd a munkánkat! Töltsd le a gyűjtésre előkészített programok egyikét, és használd a mindennapi böngészéshez (lásd: mv.webpoloska.hu/download.php). A portable csomag letöltésével akár az érzékeny munkameneteket is könnyen kizárhatod az adatgyűjtésből (mint banki vagy munkahelyi intranet oldalak). Az adatgyűjtési időszak lezárását követően az adatok elemzésével foglalkozunk, az eredményeket a későbbiek során publikálni tervezzük, először diplomaterv formájában, valamint az eredmények függvényében tudományos cikk formájában nyilvánosan is tervezzük közölni. Bővebb információ az mv.webpoloska.hu weboldalon található.
The power of privacy (videó)
|
|
2015.10.20. 05:23:35
Gulyás Gábor
Nem minden privacy tipp "tuti"
|
|
2015.10.14. 05:30:00
Gulyás Gábor
A youronlinechoices.com weboldalt hirdetők hálózata üzmelteti, és például hirdetések beállításain keresztül juthatunk el hozzájuk, ha ki akarjuk kapcsolni, hogy a hirdetések személyre szabottak legyenek (azaz a megfigyelésünk alapján javasoljanak releváns hirdetéseket). Ugyanez a weboldal tartalmaz pár rendkívül élelmes javaslatot, hogy megerősítsük a privátszféránkat. Nézzük meg és cáfoljuk ezeket:
- "Az online viselkedés alapú reklámozás biztonságos és átlátható." Ha igaz volna, nem dolgozna számos kutató jelenelg azon, hogy ezt a területet legalább egy kicsit átláthatóbbá tegye. Csak egy nívós példát említsünk: a Data Transparency Lab sem finanszírozna sok ezer euróval (akár 50 000 EUR) ilyen projektet.
- "A hirdetők nem tudják, hogy ki a felhasználó, mert a gyűjtött információ nem alkalmas a felhasználó azonosítására." Nem igaz, számos tudományos cikk bebizonyította, hogy a viselkedési információk is kiválóan alkalmasak a személyes azonosításra.
- "Minden weboldal mely viselkedés alapú reklámozást támogat, leírja, hogy milyen módon és milyen felhasználásra gyűjt adatokat melyik szereplő számára." Nem igaz. Ha lenne ilyen látnánk, de a webpoloskák most is titokban működnek a felhasználók tudta nélkül, miközben elviszik a sávszélességet és az akksi jó részét.
- "A viselkedés alapú hirdetéseket kiszolgáló vállalatok minden esetben rendelkezésre bocsátják az opt-out (kijelentkezés, letiltás) funkcióról az információt." Akad, amelyik igen, de nem mindegyik. Általában ez épp elég bonyolult és körülményes ahhoz, hogy a felhasználók döntő többségét elijesszék.
- "A következő példa azt mutatja, hogy milyen módon lehet az Internet Explorerben 11 a biztonsági beállításokat kezelni." Majd itt egy olyan beállítást mutatnak, ami engedélyezi a harmadik féltől származó sütik elfogadását. Ez nekik fontos és nem nekünk. Az általuk említett nyelvi beállítások, belépési adatok példája csúsztatás, ugyanis ahhoz elég az első féltől származó sütik elfogadása!
Ehelyett a következőket TÉNYLEGES privátszféra-védelmi beállításokat javasoljuk. A legbzitosabb, ha valaki a Tor böngészőjét használja, de egy mezei Firefox vagy Chrome is felturbózható valamelyest:
- Használjon Ghostery, vagy más kiegészítőt (pl. NoScript haladóknak) a webes megfigyelés blokkolására. Ekkor tényleg mi dönthetjük el, hogy mit engedélyezünk és mit nem.
- Használjunk adblock-ot a reklámok kiszűrésére.
- A Flashblock pedig extra biztonságot nyújt megfigyeléssel és malware-kkel szemben egyaránt.
A következő bejegyzésekben pedig majd arról is fogunk írni, hogy nem feltétlenül kell ezek mellett attól tartani, hogy éhen halnak a weboldalak, amelyek hirdetésből élnek.
"Felejteni" nehéz: kütyük másodkézből
|
|
2015.10.08. 08:37:43
Gulyás Gábor
Ma már közhelynek számít, ha arról beszélünk, hogy nehezen kerülhetjük le, hogy a kikerült adataink ne kísértsenek. Azonban sokan arra se veszik a fáradtságot, hogy alaposan töröljék adataikat eszközeikről, mikor értékesítik azokat:
Varying amounts and types of residual data have been found on used mobile devices, hard disk drives and solid state drives purchased online from Amazon, eBay and Gazelle.com. Based on an examination of 122 pieces of second-hand equipment, 48 percent of the hard disk drives and solid state drives contained residual data, while thousands of leftover emails, call logs, texts/SMS/IMs, photos and videos were retrieved from 35 percent of the mobile devices.
Ha titkosítjuk a merevlemezünket, az ilyen esetekben automatikusan megoldja a problémát, telefonok esetében pedig marad az alapos takarítás.
Laptopunk titkosítása, ahogyan szeretnénk
|
|
2015.10.01. 10:44:17
Szerencsés Ákos
Számítógépünk a mindennapi életünk kiegészítőjévé, ezáltal személyes adataink felhalmozójává is vált, és a legtöbb esetben az általunk tárolt fájlok csakis ránk tartoznak, senki másra. Időről-időre egyre világossá vált, hogy az egyik módja a privacy-fenyegetések elleni védekezésnek a számtalan módon véghezvihető titkosítás, kérdés, hogyan lehetséges egy átlagos ember számára.
Az egyik legnyilvánvalóbb a teljes lemez titkosítása, mely funkció a főbb operációs rendszerekbe be is van építve. Ez az egyetlen módja a laptopunk adatait védeni, különben illetéktelenül használhatják a rajta lévő fájlokat. Amennyiben valaki fizikailag hozzáfér a számítógép fájlrendszeréhez, és nincs védve titkosítással, nagyon könnyen ellophatja, módosíthatja, törölheti a rajta lévő adatokat.
Egy jó jelszó sem véd a legtöbb esetben, ugyanis például egy USB stick-ről bootolva könnyen kikerülhető az operációs rendszerek efféle védelme, illetőleg a merevlemez másik számítógépbe történő helyezésével is egyszerűen látható a rajta lévő fájlrendszer. Gyakori félreértés az, miszerint a merevlemez titkosítása a számítógépet védetté teszi. Valójában ez csak az olyan hackerek ellen lehet hasznos, akik számítógépünkhöz fizikai hozzáféréssel rendelkeznek, a hálózaton keresztül támadók ellen sajnos nem.
A támadók a legtöbb esetben egy malware-t igyekeznek telepíteni a számítógépünkre, sok rosszindulatú weboldalnál a telepített programok, böngészőnk vagy akár az operációs rendszer betűtípus- vagy képfeldolgozó hibáit használják ki, vagy más egyéb módon próbálkoznak az illetéktelen behatolással. Ugyanakkor jóindulatúnak látszó oldalak esetében is előfordulhat, hogy titkos módon az adatforgalomba rejtenek káros tartalmakat. Még egy lehetőségként előkerülhetnek a számítógépen futó, de manipulált szolgáltatások, melyekből néhány példaként a fájlmegosztó, az iTunes lejátszásilista-megosztó vagy akár a BitTorrent kliensünkbe rejtett romboló modulok említhetők.
A lemez titkosítása természetesen az internetes kémprogramok ellen sem feltétlen megoldás. Az NSA vagy más kémügynökségek az internet gerincét képező optikai kábelekre tapadnak rá, így szinte bármit képesek kikémlelni az online tevékenységünkből. Mivel a lemez titkosítása csupán a fizikai hozzáférés ellen alkalmazható, egészen más módszer szükséges e probléma kiküszöböléséhez.
A legtöbb titkosítási módszer azt a célt szolgálja, hogy a gépünk illetéktelen elérése esetén a fájlokhoz való hozzáférés helyett egy összekevert, rejtjelezett jelsorozatot adjon vissza, mely önmagában hasznavehetetlen. Általában a jelszó begépelése nem oldja fel az egész lemezt, csak egy titkosítási kulcsot ad, amely segítségével pedig az egész lemezhez hozzáférhetünk. Ez a mechanizmus lehetővé teszi a jelszó megváltoztathatóságát anélkül, hogy az egész lemezt újból, új kulccsal titkosítani kelljen, valamint biztosítja a több jelszóval való levédhetőséget is, amely például több felhasználó esetében lehet hasznos.
A jelszó azonban a leggyengébb védelmek közé tartozik, különösen akkor, ha könnyen kitalálható, ekkor – beírását követően - a támadó azonnali hozzáférést nyer a fájlrendszerhez. Amennyiben nehezebb, praktikusan programmal generált karaktersorozatot alkalmazunk, sokkal nehezebb a betörést megvalósítani egy közönséges támadó számára, már csak különleges feltörési mechanizmusok révén lehet e védelmen túljutni.
A titkosításhoz hozzárendelt kulcsot nem szabad elfelejtenünk, mivel ekkor a saját számítógépünk zárja el előlünk személyes adatainkat. Ha mégsem emlékeznénk a jelszóra, nem fog tudni semmilyen szerv hozzáférni a fájlrendszerhez a titkosítás miatt, mivel éppen ez a lényege. Ugyanakkor alkalmanként érdemes a karaktersorozatot módosítani a biztonság fenntartása érdekében.
Új hétpecsétes diplomaterv a közösségi hálózatok anonimitása terén
|
|
2015.09.21. 14:04:27
Gulyás Gábor
Ezúton szeretnénk gratulálni Simon Benedeknek (konzulens: dr. Gulyás Gábor), aki idén megnyerte a Hétpecsét egyesület információbiztonsági diplomaterv pályázatát:
Simon Benedek a BME hallgatója a „Strukturális deanonimizációs algoritmusok elemzése és fejlesztése” című dolgozatával jelentkezett és nyerte meg a diplomadolgozat kategóriát. Simon Benedek rámutatott arra, hogy a közösségi hálókon megosztott személyes információkhoz számos fél hozzáférhet, többek között a hálózat üzemeltetője, aki közzéteheti az információkat kutatási célra, vagy eladhatja ipari partnereinek, az egyértelmű azonosítókat (név, cím, e-mail cím) eltávolítva. Ám ezek az anonimizációk sajnálatos módon visszafordíthatók, ami visszaélések forrása is lehet.
Ráadásul Benedek dolgozata a HTE diplomaterv pályázatán is 3. helyet ért el! Munkája szívonalát a dolgozat elejét is érintő folyóirat publikáció is jelzi. A kiemelkedő teljesítményhez ismét gratulálunk!
Benedek dolgozata letölthető a tanulmányok szekcióban.
Privnote: önmegsemmisító üzenet olvasás után
|
|
2015.09.15. 05:59:32
Gulyás Gábor
A privnote egy webes üzenettároló alkalmazás, amivel időzített, egyszer olvasható üzeneteket lehet készíteni. Az elkészült URL-t utána pedig levélben tudjuk továbbítani.
Nem gondolnád, hogy a géped ennyit dolgozik a reklámiparért
|
|
2015.09.07. 05:49:17
Gulyás Gábor
Egy francia újságíró, Frédéric Filloux, érdekes módon nézte meg, hogy a reklámcégek webpoloskái milyen haátssal vannak az internetezési élményre: egyszerűen letöltött két nagyjából hasonló méretű tartalmú weboldalt a New York Times és a Wikipedia kínálatából. A végeredmény magáért beszél, ahogy sejteni lehetett a NYT letöltése óriási pluszforgalommal járt:
Consider the following observations: When I click on a New York Times article page, it takes about 4 minutes to download 2 megabytes of data through… 192 requests, some to Times’ hosts, most to a flurry of others servers hosting scores of scripts. Granted: the most useful part — 1700 words / 10,300 characters article + pictures — will load in less that five seconds.
But when I go to Wikipedia, a 1900 words story will load in 983 milliseconds, requiring only 168 kilobytes of data through 28 requests.
To put it another way: a Wikipedia web page carrying the same volume of text will be:
— twelve times lighter in kilobytes
— five times faster to load relevant items
— about 250 times faster to fully load all elements contained in the page because it will send 7 times fewer requests.
Ez a plusz sávszélesség-igény azonban nem csupán a felhasználói élményt károsítja, hanem csökkenti a mobilnet keretét, az akkumulátort meríti és a feleslegesen használja a memória és processzor jelentős hányadát. Ja, és mindamellett a privacy szempontjából is káros, ahogy erről már sokszor írtunk. A következő, Filloux által készített táblázat is jól tükrözi a problémát számokban [forrás]:
Egy másik cikkben pedig azt járta körül, hogy a webpoloskák elterjedése számokban hogyan mutatkozik meg. A korábbi mérésekkel összhangban 20 nyitóoldal meglátogatása 500 webpoloskával való találkozást is jelentett.
Kis tett, de nagy lépés a biztonság felé: te is tiltsd le a Flasht!
|
|
2015.08.31. 05:39:56
Gulyás Gábor
A Flash kiegészítő halálát már évek óta mondogatják (talán azt remélik, hogy így legalább önbeteljesítő lesz a jóslatuk), de még mindig számos helyen találkozhatunk vele. Azonban tényleg több sebből is vérzik a kiegészítő, szinte minden platformra van hozzá sérülékenység, ami miatt be lehet hatolni a rendszerünkbe, és ezt a különböző csoportok ki is használják, ahogy például a Hacker Team is tette. (Ne felejtsük el, hogy a Flash a háttérbe, láthatatlanul is futhat.)
Erre nyújt megoldást a Flash-control, ami letiltja a Flash elemeket, és csak akkor aktiválja őket, ha rájuk kattintunk, így több fronton is nyerünk:
- a biztonsági hibákra játszó tartalmak kockázata jelentősen csökken,
- lehet nyitva akár 227 tab is, a gépünk nem fog belassulni,
- semmi nem fog automatikusan elindulni, és az idegesítő tartalmak sem zavarnak többé :)
Elérhető Chrome és Firefox böngészőhöz is.
Új fontlistára épülő ujjlenyomat technikát fedeztek fel
|
|
2015.08.24. 05:40:15
Gulyás Gábor
A böngészőfüggetlen ujjlenyomattal megmutattuk, hogy a böngésző által elérhető fontok szinte önmagukban egyedileg képesek azonosítani a felhasználót. Amerikai kutatók munkájukban azt mutatták meg, hogy nem csupán a betű megléte vagy hiánya nyerhető ki a böngészőből, hanem a renderelésbeli eltérésekből fakadó apró különbségek is információként szolgálhatnak (ld. az alábbi illusztrációt). Megmutatták, hogy a kb. 1000 ujjlenyomatatból álló adathalmazuk 34%-a egyedileg azonosítható ilyen eltérésekből, és ahol ez sikertelen volt, egész kisméretű anonimitási halmazok jöttek létre, azaz kevés kiegészítő információval ők is azonosíthatóvá válnak. A munkájuk kiválóan megmutatja, hogy a böngészők számos és alapvetően biztonságosnak vélt funkciója milyen könnyen kihasználható követés szempontjából, és hogy ez ellen milyen nehéz védekezni (ez ellen még a TOR sem védhetne minket).
Videó: a data privacy alapjai
|
|
2015.08.17. 08:52:37
Gulyás Gábor
Location Guard, hogy a weboldalak ne tudják, hol vagy
|
|
2015.08.10. 05:43:17
Gulyás Gábor
A weboldalak bizonyos szolgáltatásokért megkérhetnek bennünket, hogy fedjük fel tartózkodási helyünket. A böngészők alapesetben két lehetőséget kínálnak fel számunkra: vagy nem mondunk semmit, vagy megadjuk a pontos helyzetünk. Erre a helzyetre kínál megoldást a Location Guard, nem is akárhogyan, hanem tudományosan is megalapozott háttérrel: a pontos helyzetünkhöz zajt ad, ami bizonyíthatóan olyan szintű garanciát ad a privátszféra védelmére, mint a differential privacy technika. (Aminél jobbat nem ismerünk, kivéve a "ne adjunk meg soha senkinek semmilyen adatot" naiv eljárást.) Ráadásul az alkalmazás elérhető Chrome, Firefox és Opera böngészőkhöz, illetve Android készülékre is, valamint a forráskódját is megismerhetjük.
Átláthatósági eszköz a hatósági lekérdezések követésére
|
|
2015.08.03. 05:20:01
Gulyás Gábor
A hatóságok mindenhol előszeretettel kérnek le adatokat a különböző szolgáltatók felhasználóiról, legyen szó telekommunikációs cégekről vagy webes szolgáltatásokról. Kanadában sincs ez másképp, csak 2011-ben 780 ezer felhasználó adatát kérték le a hatóságok a telekommunikációs cégekről. Kanadában azonban lehetősége van erről érdeklődniük az állampolgároknak, és a szolgáltatók kötelesek is erre válaszolni. Erre készítették az Access My Info eszközt, amely segít megfogalmazni a benyújtandó kérvényt, hogy azt biztosan ne lehessen formai vagy egyéb okok miatt elutasítani. Az ötletet üdvözöljük, ilyen eszközökre máshol is szükség lenne!
Trackography: nézd meg, hová kerülnek az adataid!
|
|
2015.07.27. 05:31:19
Gulyás Gábor
A Trackography segítségével egy interaktív térképen megtekintheted, hogy az egyes online médiumoktól melyik országba és milyen cégekhez kerülnek az adataid. Azt is megnézheted, hogy az egyes cégek mit művelnek az adatokkal, és milyen törvények vonatkoznak rájuk az adatkezelés illetően.
VeraCrypt: a jogos TrueCrypt örökös?
|
|
2015.07.23. 05:18:47
Kovács Zoltán
Aki használ vagy valaha már használt bármiféle merevlemez titkosító programot számítógépén, valószínűleg már belefutott a TrueCrypt-be. A nagy népszerűségnek örvendő alkalmazás fejlesztését azonban 2014-ben, váratlan hirtelenséggel befejezték. Az ezt követően hirtelen felbukkanó trónkövetelők garmadája közül nehéz választani, most megvizsgáljuk az egyik gyakran ajánlott alternatívát, a VeraCrypt-et.
A VeraCrypt az egyébként nyílt forráskódú TrueCrypt-re épít, első letölthető verziója 2013. június 22-én került fel az internetre, azóta pedig számos újabb verziója jelent meg. A program – egyezően a TrueCrypt-tel – egy valósidejű titkosító, vagyis a fájlok automatikusan, számunkra transzparens módon kerülnek titkosításra és feloldásra, amint azokat elmentjük, illetve betöltjük, ugyanis az alkalmazás magát a meghajtót szolgáltatja. Segítségével a teljes lemezünk lekódolható, de létrehozhatunk rejtett tárolókat is, amennyiben fontos a titkosított adat létezésének elrejtése is.
A VeraCrypt sok javítást eszközölt a TrueCrypt-hez képest, melyek között több fontos biztonsági probléma is orvoslásra került. A program 3 féle alap titkosítási algoritmust támogat (AES, Serpent,Twofish), ezen felül kombinálásukkal még további 5 válik elérhetővé (AES-Twofish, AES-Twofish-Serpent, Serpent-AES, Serpent-Twofish-AES, Twofish-Serpent). A hasheléshez használt algoritmusok között (RIPEMD-160, SHA-256, SHA-512, Whirlpool) megjelenik az SHA-256, mint újdonság a VeraCrypt repertoárjában. Továbbá növelték a hash algoritmusoknál használt iterációk számát, ami sebességben ugyan némi csökkenést eredményez, de cserébe bruteforce támadással legalább 10-szeresen (legfeljebb akár 300-szorosan is) több időbe telik a rendszer feltörése.
Érdemes szót ejteni az program gyengeségeiről is. Ugyanazoktól az ismert biztonsági problémáktól szenved, mint bármely másik szoftver alapú eszköz. Ilyen például, ha valaki fizikailag hozzáfér gépünkhöz, arra esetlegesen káros vagy monitorozó szoftvereket telepít, így a továbbiakban könnyen megszerezheti a nem titkosított adatainkat, jelszavainkat. Továbbá egy sikeres támadási forma alapját képezi, hogy a VeraCrypt a RAM-ban tárolja a titkosításhoz használt kulcsot, mely gépünk kikapcsolása után is még egy ideig tárolódik, s ezt egy megfelelően felkészült támadó még akár ki is nyerheti.
Sajnos a VeraCrypt nem teljesen kompatibilis a TrueCrypt-el, de az újabb verziókban már lehetőségünk nyílik a régi TrueCrypt-es tárolóinkat megnyitni, illetve azokat VeraCrypt-es formátumúvá alakítani.
Összességében a VeraCrypt egy könnyen kezelhető, mégis hatékony eszköz a titkosításhoz, mely elérhető mind Windows, Linux és OS X operációs rendszerekre is és a folyamatos fejlesztéseknek köszönhetően mára már nem csak egy remek alternatíva a TrueCrypt mellett, de talán túl is nőtte elődjét.
Mi a probléma a jalszavakkal, amiket használunk?
|
|
2015.07.20. 05:30:41
Gulyás Gábor
WALTER: belenyúl-e az internetszolgáltató a forgalmadba?
|
|
2015.07.13. 23:21:05
Gulyás Gábor
Sok kisebb internet-, és wifi szolgáltató próbálja a keresetét azzal kiegészíteni, hogy azonosítót (ún. supercookie-t) vagy reklámot helyez el a weblapok tartalmában. Ha szeretnéd tudni, hogy te is így jártál-e, próbáld ki WALTER-t! Nem kell hozzá semmit telepítened, ez a weboldal ellenőrzi, hogy menet közben módosult-e a teszt weboldal, s így képes lerántani a leplet az efféle tevékenységekről.
Privacy Badger
|
|
2015.07.10. 05:59:54
Szerencsés Ákos
Manapság számos olyan webes alkalmazás terjedt el, amelyek segítségével a webpoloskák általi kéretlen adatgyűjtés megnehezíthető. A Privacy Badger egyike azon böngésző-kiegészítőknek, amely a felhasználói hozzájárulás szabályait megszegő, titkos adatgyűjtők blokkolására hivatott. Használatához nem szükséges a kiegészítő különösebb beállítása, szaktudás sem, mivel mindezt a kiegészítő készítője biztosítja.
Az alkalmazás különböző algoritmusokat használ annak felderítésére, hogy egy hirdető éppen veszélyes-e. Bár a hasonló funkciókat nyújtó Disconnect, Adblock Plus, a Ghostery egyaránt közkedveltek, közülük egyik sem pontosan a korábban elmondott célokhoz szükséges funkciókat nyújtja. Teszteléseim alapján mindegyik használata során szükség van némi szakértelemre a kéretlen adatgyűjtés blokkolásához, valamint például a Ghostery esetén megkérdőjelezhető, hogy vajon a legmegfelelőbb üzleti modellen alapszik-e (https://www.ghostery.com/en/about-us/privacy-statements/). Az EFP szerint a szigorú védelmi algoritmusok megírása mellett a cél az említetthez hasonló kiegészítőknél, hogy a felhasználók számára a lehető legnagyobb irányítás legyen biztosítva az adatgyűjtők kiszűrése érdekében.
Egy weblap tartalma általában több forrásból épül fel, például egy hírportál esetében a hírek, a reklámok, a kommentek három különböző szolgáltatótól is származhatnak. A Privacy Badger ebben az esetben mindhárom kiszolgálót ellenőrzi, és amennyiben úgy tűnik, hogy egy oldal a felhasználót követi, a továbbiakban (listán rögzítve) nem engedélyezi a böngészőnek a kiszemelt forrástól több oldal betöltését, így az adatgyűjtés is megszakad ennek következtében.
A webpoloskával történő gyűjtés sütiken keresztül is megvalósulhat (ún. tracking cookie-k), ha például a weboldalakon képek, scriptek vagy reklámok vannak elhelyezve (http://pet-portal.eu/blog/read/244/?set_language=hun). Ekkor a Privacy Badger letiltja e helyeken a sütiket, és nem engedi a böngészőnek további kapcsolat létrehozását ezekkel az oldalakkal. Amennyiben az oldal funkcióit tekintve nagy szerepet játszanak térképek, képek, betűtípusok vagy más egyéb, az alkalmazás engedélyezi e részleteket, miközben figyelemmel kíséri a tracking cookie-k használatát is.
A Privacy Badger használata során három kategóriába sorolhatóak a látogatott weboldalak, melyek a zöld, a sárga és a piros. A zöld egy harmadik fél domain-jét jelenti, amely még nem lett besorolva az adatgyűjtést véghezvivő oldalak közé. A kiegészítő telepítését követően minden weboldal ebbe az osztályba esik. A sárga kategóriába vannak sorolva azok az oldalak, amelyekről kiderült már, hogy a felhasználókat követik, azonban a webes funkciói miatt az oldal engedélyezett. Ekkor a követést biztosító sütiket megpróbálja kiszűrni a kiegészítő, viszont a további tartalmat megjeleníti. A harmadik, piros színnel illetett oldalak teljes mértékben letiltottak, megnyitásuk sem engedélyezett. Az alkalmazás minden domain-t automatikusan a megfelelő kategóriába igyekszik sorolni, ugyanakkor a felhasználó módosíthatja ezeket, ha kívánja.
A kiegészítőben blacklist funkció nem található például az Adblock Plus-szal ellentétben, mivel nem az oldalak blokkolása a cél, hanem kifogásolhatóságuk következményeként a káros tartalmak kiszűrése. Ezzel ellentétben azonban fehérlistára csoportosíthatóak azok a weboldalak, amelyekről a felhasználók úgy gondolják, hogy veszélytelenek, azonban az alkalmazás mégis rosszindulatúnak találta ezeket.
A Privacy Badger tehát egy viszonylag könnyen kezelhető alkalmazás lehet azok számára, akik szeretnének tudomást szerezni a tracker-ekről, miközben kedvenc vagy ismeretlen weboldalakon böngésznek. Mindemellett természetesen nyitott szemmel érdemes ezt megtenni, és figyelemmel kísérni a további, hasonló szerepkörű kiegészítők adta lehetőségeket is, amelyekkel – akár e szolgáltatással egyetemben – még jobban készek lehessünk az ismeretlen adatgyűjtők okozta kiszolgáltatottság elkerülésére.
Két doktoranduszi ösztöndíj Oxfordban
|
|
2015.07.08. 10:24:35
Székely Iván
Az Oxfordi Egyetem, az Intel finanszírozásával, két doktoranduszi ösztöndíjat hirdet “Trusted Environments for Privacy-Preserving Analytics” témakörben. Az angol nyelvű felhívás alább olvasható.
Doctoral Studentships: Trusted Environments for Privacy-Preserving
Analytics
Department of Computer Science, University of Oxford
Supervisors: Professors Andrew Martin & Andrew Simpson
Start Date: October 2015
We invite applications for two studentships funded by the Intel
Corporation for a project called "Applying the Trusted Remote
Environment (AppTRE)". One student will study how Trusted Computing
Architectures based on Intel's new SGX technology can be used to
implement "Trustworthy Remote Entities" with strong guarantees of
privacy protection. The other student will study algorithms and
approaches to data analysis which can run in such contexts, processing
privacy-sensitive data without unwanted disclosures.
The studentships are tenable from October 2015, for three years in each
case, subject to satisfactory progress. In special circumstances, it
may be possible to delay the start date. The annual stipend payable is
£17057. The studentship also covers the payment of College and
University fees at the home/EU rate.
More details here: http://www.cs.ox.ac.uk/news/944-full.html
Nehéz sorsú privátszféra-védő kiegészítők
|
|
2015.07.06. 05:06:38
Gulyás Gábor
A Disconnect Androidra elérhető változata többek között egy a követést, megfigyelést nehezítő alkalmazás. Mivel feltételezhetően a puszta létével (és a kellő felhasználói bázis elérésével) a Google bevételeit veszélyezteti, ezért a keresőóriás eltávolította a szoftvert az alkalmazás boltjából, amelyre a Disconnectet készítője per-rel reagált. A Google ebben az esetben is ugyanazzal a kifogással távolította el az alkalmazást, mint korábban az Adblock Chrome kiegészítő esetében is: sérti a szabályzatukat. Bár a Google tett jelentős lépéseket a privátszféra tiszteletben tartása érdekében, de ezek a lépések is jól mutatják, hogy a tényleges kontrollt nem kívánják visszaadni felhasználóik kezébe.
A Firefox böngésző sufnituningolása (2. rész)
|
|
2015.06.29. 06:00:27
Gulyás Gábor
Az előző bejegyzésben a Firefox böngésző speciális privátszféra-védelmére alkalmas beállításainak első csoportját néztük meg, most jöjjön a folytatás!
Ismét lépjünk be a haladó beállításokat tartalmazó felületre az "about:config" beírásával, majd hagyjuk jóvá a figyelmeztetést (amit egyébként ajánlott komolyan venni!).
- network.cookie.cookieBehavior = 1
A sütikezelést lehet szabályozni ezzel a beállítással:
0 - minden süti elfogadása,
1 - harmadik felektől nincsen süti elfogadva (ajánlott, mivel ezzel van esély a webpoloskákat "blokkolni")
2 - minden sütit blokkol - network.cookie.lifetimePolicy = 2
A sütik az aktuális munkamenet lejáratával törlésre kerülnek. További beállítások:
0 - megszokott működés, a kiszolgáló dönti el a süti élettartamát
1 - minden alkalommal engedélyt kér a süti tárolásához
2 - a sütik csak az aktuális munkamenet végéig maradnak meg
3 - a sütik N napig maradnak meg - browser.cache.offline.enable = false
Gyorsítótárazás kikapcsolása. - browser.send_pings = false
Ennek segítségével a weboldalak a látogatók kattintásairól értesülhetnek. - webgl.disabled = true
A WebGL futtatási lehetősége önmagában biztonsági kockázattal jár.
Biztonságos böngészést!
A Firefox böngésző sufnituningolása (1. rész)
|
|
2015.06.23. 05:59:13
Gulyás Gábor
A mai böngészőpiacon Firefox böngésző tekinthető a leginkább privátszféra-barát választásnak, és úgy tűnik, hogy a Mozilla egyre inkább az emelletti elkötelezettségével kíván kiemelkedni a piacon. Nézzük meg, hogy milyen tuningolási lehetőségeket rejt magában a böngésző, amivel még biztonságosabbá tehetjük a böngészésünket!
Először is lépjünk be a haladó beállításokat tartalmazó felületre az "about:config" beírásával, majd hagyjuk jóvá a figyelmeztetést (amit egyébként ajánlott komolyan venni!).
- privacy.trackingprotection.enabled = true
A Mozilla új követésblokkoló opciója, ennek segítségével a webpoloskák az eddiginél hatékonyabban blokkolhatóak! - protection.geo.enabled = false
Letiltja a helyzetinformációnk megosztását weboldalakkal. - browser.safebrowsing.enabled = false
Kikapcsolja a Google biztonságos böngészését. Bár ez biztonsági kockázattal jár, de a privátszféra védelme szempontjából előnyös. (Ugyanis nem küldi el a Google-nek automatikusan, hogy merre járunk.) - browser.safebrowsing.malware.enabled = false
Hasonlóan az előzőhöz, általában előnyösebb megtartani magunknak, merre járunk. - dom.event.clipboardevents.enabled = false
Ha ezt kikapcsoljuk, a weboldalak nem kapnak értesítést arról, hogy például kimásoltunk róluk valamit, illetve a vágólaphoz sem férhetnek hozzá.
A listát hamarosan egy következő bejegyzésben folytatjuk, addig is biztonságos böngészést!
PhD and postdoc állások a Leuven-i Egyetemen
|
|
2015.06.11. 12:32:43
Székely Iván
A Leuven-i katolikus Egyetem doktoranduszi állást ajánl egy olyan projekt keretében, amely
anonim kommunikációs infrastruktúra kifejlesztését célozza, mix-net alapokon. Az állás 2015. szeptemberében foglalható el. A projekt angol nyelvű leírása és a kapcsolati adatok alább találhatók.
Project Description
PANORAMIX is an EU H2020 project that aims to develop a multipurpose infrastructure for privacy-preserving communications based on "mix-networks" (mix-nets) and its integration into high-value applications. Mix-nets protect not only the content of communications from third parties, but also obscure the identity of the senders or receivers of messages, through the use of cryptographic relays. Mix-nets are necessary for implementing strong privacy-preserving systems and protocols. PANORAMIX aims to realize, integrate and demonstrate the use of an infrastructure for mix-nets in the context of three high-value applications. The objectives are: (1) Building a Mix-Net Infrastructure, creating a mix-network open-source codebase; (2) use this infrastructure to implement private electronic voting, where anonymity is necessary to guarantee ballot secrecy, and verifiability is needed for holding fair, transparent and trustworthy elections; (3) apply the infrastructure to privacy- aware cloud data-handling, in the context of privacy-friendly surveys, statistics and big data gathering protocols, where protecting the identity of the surveyed users is necessary to elicit truthful answers and incentivize participation; and (4) apply the infrastructure to privacy-preserving messaging, where two or more users may communicate privately without third parties being able to track what is said or who-is-talking-to-whom.
The project consortium includes leading academic and industry partners, including KU Leuven, University College London, University of Athens, University of Tartu, and SAP.
Research Topic
Modelling, design, analysis, and implementation of anonymous communication systems. The first task of the student will be to identify the feature set, security and performance tradeoffs in mix-nets. Secondly, the student will investigate methods to efficiently and securely anonymize mid-latency, bidirectional message-based communications. This involves analysing the robustness of mix-net designs towards a variety of adversary models and attacks, and proposing secure designs and configurations. Further, the student will investigate how differential privacy definitions and mechanisms can be adapted to the context of mix-nets. The student will also contribute to the implementation of the developed methods in a mix-net infrastructure, as well as to the implementation of a privacy-enhanced messaging application that runs on this infrastructure.
Profile and Skills Required
The candidates should hold a master degree in Mathematics, Engineering, or Computer Science have good grades and have a keen interest in computer security and privacy. Fluency in English is an absolute must. Preferably to have passed courses in Cryptography and/or Computer Security. The applicant should be a team player with the capability to work in an international research team. The candidate should be prepared to deliver high quality research results, attend project meetings with industry partners abroad, work according to tight deadlines and write project deliverables.
To apply, please send following documents (in pdf) to jobs-cosic@esat.kuleuven.be.
• Curriculum Vitae
• Motivation letter
• List of publications
• Relevant research experience
• Study curriculum with rankings
• English proficiency
• Pdf of diploma and transcripts (translation if the original is not in Dutch, English, French or German)
• 1 page research proposal describing which research questions you would like to work on
• Names (and e-mail) of 2 reference persons and the nature of contact with them
Contact: Claudia.Diaz@esat.kuleuven.be
Webpage group: http://www.esat.kuleuven.be/cosic/
Application page: http://www.esat.kuleuven.be/cosic/?page_id=401
Címkék: -
Kétszer fizetsz az ingyenes tartalomért
|
|
2015.05.28. 05:00:25
Gulyás Gábor
Számos alkalommal írtunk már arról, hogy az ingyenességnek ára van; egész pontosan az ingyenes tartalom, amelyért a privátszféránk kiszolgáltatásával fizetünk, nincs is ingyen. Ezt támasztja alá a Firefox legújabb (egyelőre rejtett) beállítása, amellyel a követők tartósan kikapcsolhatóak. Kutatók mérései alapján a webpoloskák kikapcsolása után az Alexa top 200 oldal betöltési sebessége átlagosan 44%-kal gyorsabb lett, és 39%-kal csökkent a betöltés közben keletkező adatforgalom. Ebből jól látszik, hogy nem csupán előnybe hozzuk a megfigyelő vállalatokat a privátszféra eladásával, hanem a megfigyelés alapvetően a mi költségünkön megy: a mi adatforgalmunk csökken ezáltal, és például a mobil készülékek akkumulátorjai is hamarabb lemerülnek.
Az új beállítás könnyen bekapcsolható:
- Írjuk be az about:config szöveget a böngésző címsorába.
- Erősítsük meg, hogy odafigyelünk a beállítások kezelésénél.
- Az itt lévő keresősávba üssük be, hogy privacy.trackingprotection.enabled
- Majd kattintsunk rá kettőt, hogy aktív legyen, és már be is zárhatjuk a tabot.
Új doktori disszertáció az anonimitás témakörében
|
|
2015.05.13. 20:44:12
Székely Iván
Többéves kutatómunkát lezáró doktori disszertáció született "Protecting Privacy Against Structural De-Anonymization Attacks in Social Networks" címmel, amelyet szerzője, Gulyás Gábor György, a Nemzetközi PET Portál és Blog alapító főszerkesztője a mai napon sikerrel védett meg a Budapesti Műszaki és Gazdaságtudományi Egyetem Villamosmérnöki és Informatikai Karán. A nyilvános védés sajátossága volt, hogy nemcsak a disszertáció íródott angol nyelven, hanem a védés is angolul zajlott, sőt az egyik opponens, Julien Freudiger az Egyesült Államokból Skype-kapcsolat révén vett részt az eseményen. A bíráló bizottság a disszertációt és a szóbeli prezentációt maximális pontszámmal fogadta el és ítélte oda a jelöltnek a PhD fokozatot.
A kutatás eredményeit publikáló egyik angol nyelvű tanulmány itt olvasható.
UPDATE (2015-05-15): a disszertáció online is elérhető ezen a címen.
Ghostery: használhatod, de fontold meg a Ghostrank-et!
|
|
2015.04.29. 04:35:18
Gulyás Gábor
Ha valaki nem szeretné, hogy webpoloskák kövessék minden mozzanatát a weben, érdemes böngésző-kiegészítőkkel blokkolni ezeket a kis detektorokat. Erre alkalmas például a Ghostery. A kiegészítő mögött álló cég bevételei azon felhasználók után érkeznek, akik bekapcsolják a Ghostrank funkciót – ugyanis a program ilyenkor statisztikát gyűjt arról, hogy a felhasználó milyen reklámokkal találkozott, azok hogyan jelentek meg a gépén, illetve melyeket tiltott le. Majd ezeket névtelenül eladja hirdetőknek, hogy azok tovább tökéletesíthessék rendszerüket.
Ez a kissé ellentmondásos funkció sokakat aggaszt a programmal kapcsolatban, ami érthető is. Viszont mivel nem igazán akad hasonló felhasználó barát, de mégis hatékony blokkoló a piacon, ezért továbbra is elfogadhatónak tűnik a program használata a Ghostrank kikapcsolása mellett. (Feltételezzük, hogy tisztességes játékos a mögötte lévő Evidon.) A Ghostery álláspontjáról itt olvashatsz.
Privacy hírcsokor (XV)
|
|
2015.04.15. 05:45:59
Gulyás Gábor
Az Android (és valamennyi rendszer) egyik fő hiányossága, hogy a jogosultságkezelés elég durván valósítható csak meg. Ha fel akarunk telepíteni egy alkalmazást, el kell döntenünk, hogy az adott jogosultságot megszavazzuk-e a programnak, vagy sem, de hogy aztán ténylegesen mit kezd az adatainkkal, abba nem sok beleszólásunk van. Ezen a helyzeten kíván enyhíteni a SpyAware alkalmazás, amely ingyenes változata figyeli, hogy mit csinálnak a programok, például akkor, amikor nem is használjuk őket.
Hasonlóan a megfigyeltségre és adatgyűjtésre kívánja felhívni a figyelmünket az UglyEmail alkalmazás, amely Gmail-ben jelöli be a web poloskával követett leveleinket. Egyelőre csak Chrome böngészőhöz érhető el, és kevés követő céget ismer, de reméljük hamarosan bővülni fog a támogatott rendszerek és felismert poloskák száma.
Kissé futurisztikus érdekesség, de talán már nem sokáig: az Amazon abban látja a fantáziát, hogy az utánpótlás jellegű vásárlásainkat ne mi magunk intézzük, hanem a különféle eszközeink, mint például az okoshűtőnk. Ez is egy olyan alkalmazás, amelynek számtalan privátszférát érintő kérdése lehet, és valószínűleg a kényelem érdekében sokan majd együtt is kell, hogy éljenek ezekkel.
Hős vagy áruló? A Citizenfour c. film Magyarországon
|
|
2015.04.09. 10:30:55
Székely Iván
Nemsokára Magyarországon is látható lesz az Edward Snowdennel, az amerikai titkosszolgálat törvénytelen lehallgatási és megfigyelési tevékenységét nyilvánosságra hozó informatikussal konspiratív körülmények között készített interjúkon alapuló, Oscar-díjas dokumentumfilm, a Citizenfour. Az első szakmai vetítés ma este lesz az OSA Archívumban, ahol a vetítést megelőző beszélgetésben Skype kapcsolat útján részt vesz Anthony Romero, Snowden ügyvédje New York-ból, és Gill Phillips, az ügyet nyilvánosságra hozó brit napilap, a The Guardian vezető jogásza Londonból.
A forgalmazó tervei szerint lesz egy előzetes vetítés a Titanic Filmfesztiválon és több elővetítés fiataloknak divatos kocsmákban, bisztrókban.
A film magyar feliratos előzetese itt is megnézheto.
Mit érdemes tudni a tömeges adatlopásokról? Infógrafika!
|
|
2015.03.28. 10:48:56
Gulyás Gábor
Kié az adat-lenyomatod?
|
|
2015.03.21. 13:11:50
Gulyás Gábor
Snowden: 5 tipp a privátszféra védelméért
|
|
2015.03.12. 05:37:26
Gulyás Gábor
Edward Snowden a következőket javasolja a privátszféra online megerősítéséért. Szakmailag egyetértünk, és mivel a javaslatát a kereskedelmi és állami megfigyeléssel szembeni érdekes kombinációnak találjuk, ezért közöljük kiegészítve saját megjegyzéseinkkel.
A tippjeink tehát:
- Kerüld a közkedvelt online szolgáltatásokat, mint a Google, Facebook és a Dropbox. Ha ezeket nem is akarja valaki vagy nem lehet elkerülni, akkor a szolgáltatás portfóliót érdemes diverzifikálni és többféle szolgáltatót is igénybe venni.
- Rejtjelezd a meghajtóid. A megfelelő alkalmazásokkal (és körültekintő használattal) védekezhetsz a lopásokkal és illetéktelen másolásokkal szemben.
- Ne engedd, hogy megfigyeljék, mit csinálsz a weben. A webes szféra gazdasági oldalán ez ma elterjedt gyakorlat, mi is számos cikker írtunk már róla.
- Rejtjelezd az email-jeid és az egyéb online kommunikációkat. Ezek legtöbbször teljesen nyíltan utaznak a hálózaton, ezért igen könnyű lehallgatni őket, ha van valakinek hozzáférése a hálózathoz. Ha érdekel, hol utaznak a leveleid, próbáld ki ezt a Thunderbird plugint. Gondolj bele, minden Gmail-ből vagy Gmail-be küldött levél végül csak kikökt az óceán túlpartján!
- Használj Tor böngészőt vagy JondoFox-ot a böngészéshez. Ezek eleve elég jól védenek a webes tevékenység megfigyelésével szemben. Ha lassú, akkor pedig ki lehet kapcsolni a Tor-t a JondoNym-et, és akkor a webes megfigyeléssel szemben még mindig védett leszel.
Egyetértesz vagy tetszett? Add tovább, hogy mások is tudják!
Privacy hírcsokor (XIV)
|
|
2015.02.27. 05:56:17
Gulyás Gábor
Egy érdekes cikk annak közelségéről, amikor a számítógépek tudni fogják, hogyan érezzük magunkat. Ne gondoljuk, hogy ez nem érintheti negatívan a privátszféránkat: ma már ügyfélszolgálatok figyelik és elemzik a betelefonálók érzelmi állapotát.
Új hirdetési irányvonal: nem te vagy a termék, hanem te magad vagy a termékajánló.
Az utóbbi hónapokban többször felmerült politikusok részéről, hogy be kellene tiltani a titkosítást, hogy nagyobb biztonságban érezhessük magunkat. Nos, az utóbbi idők eseményei sikere sem ezen múlt, de ha valakit érdekel miért fontos a titkosítás, akkor olvassa el az ACLU írását a témában. E nélkül a PET eszközök sem működhetnek.
A Google a Captcha helyett új eljárást vezetett be tavaly év végén a robotok kiszűrésére: megfigyeli, hogyan pipáljuk ki a "nem vagyok robot" mezőt, és hogyan gépelünk. Ez azonban komolyabb privacy aggályokat is felvet.
Boldog adatvédelem napot kívánunk Olvasóinknak! :)
|
|
2015.01.28. 12:47:40
Gulyás Gábor
Ma van a Data Privacy Day, amikor a személyes adatok védelmének fontosságáról emlékezünk meg.
Privacy hírcsokor (XIII)
|
|
2015.01.21. 05:39:45
Gulyás Gábor
A Sony esete megmutatta, hogy igenis szükség van néha a felejtésre: nem árt, ha a cégek időnként archiválják fontos adataikat. A Sonynak többek között azért is fájhat most a feje, mert nem töröltek, és korábbi levelezéseik kapcsán most pereskedhetnek. Magánszemélyeknek is szüksége van erre; nem lehet például valakit a tinédzserkori meggondolatlanságai miatt egy életre megbélyegezni.
Egy egész jó írás a Facebook új arcfelismerő algoritmusáról. A profi arcfelismerés hosszú távon komoly problémákat okozhat.
Közismert, hogy a közösségi gombok az új web bugok. Ezen a helyzeten kíván segíteni a Social Share Privacy, ami visszaadja az irányítást a látogatók kezébe.
Biztonságos azonnali üzenetküldés? Az EFF IM listája segít!
|
|
2015.01.14. 05:09:03
Gulyás Gábor
Az EFF készített (és naprakészen tart) egy listát a népszerűbb, ismert azonnali üzenetküldő szolgáltatásokról, és ezeket néhány egyszerű szempont szerint értékeli: például alkalmaz-e kriptográfiát, illetve ha kompromittálódik valamelyik fél, az azt jelenti-e, hogy a korábbi beszélgetések is olvashatóvá válnak a támadó számára (ún. forward secrecy). Infók és értékelések az alábbi képre kattintva!
AdNaseum: kattintgasson más a reklámokra helyetted!
|
|
2015.01.08. 05:21:58
Gulyás Gábor
Az AdNaseum egy Firefox kiterjesztés, ami együttműködik a reklámblokkoló kiterjesztéssel, és rákattintgat az összes blokkolt reklámra, hogy helyettünk összezavarja a hirdetőket. Erről írtunk korábban, de ami miatt érdemes elővenni a témát újra: ilyen színvonalas kedvcsináló videót (PET-ekhez) ritkán látni!
Évkezdő privacy hírcsokor (XII)
|
|
2015.01.03. 05:41:46
Gulyás Gábor
A Princeton egyetem kutatócsoportjában megnézték, hogy egy NSA szintű megfigyelő milyen mértékben képes követni valakinek az online tevékenységét a sütik alapján, és meglepő eredményre jutottak: alapesetben a böngésző tevékenységének kb. 60%-a megfigyelhető, és ezen a különféle eszközök is vajmi keveset tudnak javítani. Az általam is legjobbnak ítélt megoldás, a Ghostery is csak 20% körülire tudja leszorítani ezt az eredményt.
Különféle privátszféra erősítő megoldások esetén (ill. balra alapesetben) az online tevékenység feltüntetett hányadát képes kövezni a sütik alapján egy globális megfigyelő. [forrás]
A karácsonyi dömpingben érdekes színfolt volt a Privacy International adománygyűjtő kampánya, ahol megtudhattuk, hogy a mikulásnak milyen nehézségekkel kell megküzdenie, amikor a kormány a jók és rosszak listájának átadására kötelezi. (És hogy ez a valóságban miért érint mindannyiunkat.)
Itt pedig egy érdekes írás, hogy miért is te vagy a termék, ha Facebook-ot használsz.
Kellemes ünnepeket kívánunk Olvasóinknak!
|
|
2014.12.23. 21:59:50
Gulyás Gábor
2015 International Workshop on Privacy Engineering – IWPE´15
|
|
2014.12.18. 12:03:24
Székely Iván
2015 International Workshop on Privacy Engineering – IWPE'15
A 36. IEEE Symposium on Security and Privacy társrandezvénye
2015. május 21. Fairmont, San Jose, California, USA
Website: http://ieee-security.org/TC/SPW2015/IWPE/index.html
CfP: http://ieee-security.org/TC/SPW2015/IWPE/topics.html
Határidő: 2015, január 23.
Angol nyelvű ismertető:
The 2015 International Workshop on Privacy Engineering is dedicated to privacy engineering research. Engineers are increasingly expected to build and maintain privacy-preserving and data-protection compliant systems in different ICT domains such as health, energy, transportation, social computing, law enforcement, public services; based on different infrastructures such as cloud, grid, or mobile computing and architectures. While there is a consensus on the benefits of an engineering approach to privacy, concrete proposals for processes, models, methodologies, techniques and tools that support engineers and organizations in this endeavor are few and in need of immediate attention.
Video: Why privacy matters?
|
|
2014.12.15. 09:03:32
Gulyás Gábor
Tabnabbing
|
|
2014.12.11. 05:16:02
adrian
Manapság sokan használják a böngészőjüket jegyzetfüzetnek. Megnyitnak sok sok lapot, majd bezárás nélkül továbblépnek, nyitnak egy új lapot, hogy madj az előbbire visszatérnek. A sok megnyitott lapra nem figyelünk folyamatosan, mondva, hogy ha lesz rá idő, akkor megcsinálom.
Ezt használja ki a tabnabbing adathalász módszer. Figyeli a megnyitott lapokat, és érzékeli, hogy éppen melyiket nézzük. Érzékeli, ha egy lap kikerül a focus-ból, és ekkor jön a támadás. Amíg nem figyelünk oda, egy javascript segítségével betölt egy másik, számunkra ismerős weblapot, például a gmail-t. Természetesen nem a www.gmai.com-ot, hanem egy ehhez hasonló kinlzetű oldalt, ami kéri tőlünk a bejelentkezéshez szükséges adatainkat.
A sok megnyitott lapot lehetetlen nyomonkövetni. Nem látunk mást belőlük, csak a címsorba írt pár szót, de sok esetben ezt sem, csupán a favicont. Amikor a felhasználó visszanavigál erre az oldalra, akkor abban a hitben van, hogy a gmail oldalára tér vissza, hiszen látta a favicont, a megszokott kis piros fehét borítékot. Ekkor látja, hogy ki van jelentkezve. Azt hiheti, hogy véletlen valamikor kijelentezett, pedig ekkor is be van jelentkezve. Szépen megadja az adatait, és rákattint a bejelentkezésre. Ekkor jön az igazi erőssége a módszernek. Mivel nem is voltunk kijelentkezve, a weblap egyszerüen elküldi a megadott felhasználónév jelszó adatainkat az adathalásznak, majd átirányít a gmail-re, ahol megjelennek a leveleink.
Lényegében észrevétlenül lopták el az adatokat, mintha semmi nem is történt volna.
GreedyBTS: elkapja a hívásaid
|
|
2014.12.06. 10:42:51
Gulyás Gábor
A GreedyBTS egy olyan demó célzattal készült GSM bázisállomás, amely sikeresen magához csalja a hívásokat és lehetővé teszi a hívó fél identitásának felfedését, és a hívott számét is, illetve a beszélgetést is le lehet segítségével hallgatni.
Videó:
GreedyBTS - Hacking Adventures in GSM from Hacker Fantastic on Vimeo.
Videó: lehallgatás hangszigetelt üvegen keresztül
|
|
2014.11.30. 05:41:46
Gulyás Gábor
Julia Angwin: a gazdagoknak lesz csak privátszférájuk?
|
|
2014.11.26. 11:33:00
Gulyás Gábor
Az alább meg lehet nézni Julia Angwin előadását arról, hogy mit jelent majd, ha a privacy csak a gazdagok kiváltsága lesz. A hölgy egyébként ismert, a témában jártas szakújságírónak számít, és több színvonalas cikke jelent meg a WSJ-on a témában.
Hat részes sorozat arról, hogyan követ a mobilod (pár perces részekkel)
|
|
2014.11.18. 17:40:54
Gulyás Gábor
Alább meg lehet nézni az első részt, és a végén van link a következő részre ugráshoz!
Privacy hírcsokor (XI): válogatás a privátszférát érintő hírekből
|
|
2014.11.05. 04:38:39
Gulyás Gábor
A Facebook már elérhető TOR felhasználóknak is. Nagyszerű, de ez kissé ellentmondásos: a TOR lényege épp az információk elrejtése, a Facebook pedig álnéven elvben nem használható. Bár bizonyos esetekben van értelme. Azon kívül, hogy az IP címünket így elrejthetjük, arra lehet jó, hogy a TOR használtából nem kell kilépni a Facebook belépéshez, így a kereskedelmi megfigyelőkkel, állami cenzúrával sem kell találkoznunk. Azonban az identitásunk ígyis, úgyis felfedjük, hiszen belépés miatt úgyis azonosítanak.
Kevés olyan példa van, amikor az adatgyűjtés és feldolgozás úgy valósul meg, hogy a felhasználók privacy-ját is figyelembe veszik. (Hozzá kell tenni, hogy nem véletlenül, mert ez nem egy könnyű és általánosan megoldott probléma jelenleg.) Erre mutat jó példát a Google RAPTOR, ami lehetővé teszi a szoftverhasználati statisztikák elemzését anélkül, hogy az egyes felhasználókra következtetni lehetne. Köznyelvre fordítva információk itt, tudományos cikk itt.
Az nem kérdés, hogy a Google sokat tesz annak érdekében, hogy minél több és pontosabb adathoz jusson hozzá, a legtöbb esetben személyre szólóan. Az már inkább kérdésesebb, hogy egyes szolgáltatásainak mi adja a motivációt; ez alól a Google Fonts sem kivétel. Van, aki arra tippelt, hogy ez is egy kém-eszköz, ami automatikusan működésbe lép, ha valaki tőlük használ fontot a weboldalán. A helyzet az, hogy tényleg így van, kipróbáltam: létrehozza a megfelelő sütiket a Google Fonts használata.
Vicces: Invasion of the Data Snatchers
|
|
2014.10.31. 09:54:29
Gulyás Gábor
Interjú a Kossuth Rádióban: árgus szemek figyelnek minket a weben
|
|
2014.10.27. 09:53:28
Gulyás Gábor
A webes nyomkövetésről nyilatkozott a Szonda műsorának Gulyás Gábor, a CrySyS labor munkatársa, illetve a szakmai felügyelete alatt tevékenykedő Szerencsés Ákos, aki elnyerte "az év információvédelmi szakdolgozata 2014" címet az egér-alapú azonosítással foglalkozó munkájával.
Az interjú itt meghallgatható:
http://www.mediaklikk.hu/musor/szonda/
2014. október 26. (kb. 6 perces interjú az első perctől kezdődően)
Új tanulmány a közösségi hálózatok deanonimizálási témaköréből
|
|
2014.10.23. 19:18:31
Gulyás Gábor
Örömmel ajánlom olvasóink figyelmébe az
Kristóf dolgozatába egy a szakirodalomban elterjedtebb, közösségi hálózatok deanonimizálására használt algoritmust vizsgált meg. Ez az algoritmus a támadó háttérismeretétől függően nagymértékben képes újraazonosítani a felhasználókat, amely tipikusan 20-50% között mozog, de akár a 90% körüli értékeket is elérheti. A dolgozat ezen algoritmus inicializációs fázisára fókuszál és azt vizsgálja, vajon a bevett módszerektől ha eltérünk, lehetséges-e hibatűrőbb módon lefuttatni az algoritmust? A dolgozatot tudományosabb és absztraktabb jellege miatt első sorban a technikai részletek iránt érdeklődő olvasóinknak ajánlom!
Kellemes olvasást kívánok!
Privacy hírcsokor X.: válogatás a privátszférát érintő hírekből
|
|
2014.10.14. 04:46:13
Gulyás Gábor
Hirdetések a Snapchat-en
A Snapchat-en is megjelennek hamarosan hirdetések, de nem is akármilyenek: hagyományos, nem célzott hirdetések. Ennek a hírnek kuriózuma, hogy eljutottunk odáig, hogy ha nem a személyes ízlésre szabott hirdetésekről van szó, az számít hírnek. Ebből is jól látszik, hogy a megfigyelés és a célzott hirdetések ma már a status quo a weben. (Bár az is jó kérdés, hogy ettől függetlenül gyűjtenek-e információkaté és ha igen, mire használják – ennek fényében könnyen lehet, hogy ez a hír csupán egy üres marketingfogás.)
Az Apple lesz az új Google?
Az Apple TV lehet a jövőben az okoslakások egyik potenciális agya: "az utasítás eljut az Apple TV-be, a készülék az Apple szervereinek segítségével értelmezi azokat, és kiadja a megfelelő utasításokat a megfelelő rendszereknek". Ezáltal előfordulhat, hogy nem csak Facebook-on lesz nagyobb hatalma az NSA-nek az érintettek profilja felett, hanem az otthonjaikban is. :)
Facebook és privacy: üres metszet :)
Ebben a leírásban arról olvashatunk, hogy hogyan listázhatóak ki valakinek a Facebook baráti listája, akkor is, ha az nem publikusra van állítva. Röviden: ha egy ismerősünk van csupán, akkor az ő ismerősei közül, illetve megerősítés alatt álló kapcsolataiból válogat a rendszer. Néhány próbálkozással így a teljes lista kinyerhető. Ügyes.
Kézikönyv a megfigyelésekkel szembeni ellenállóképességről
|
|
2014.10.13. 20:33:51
Székely Iván
Az EU által támogatott IRISS (Increasing Resilience in Surveillance Societies) nemzetközi kutatási projekt az Eötvös Károly Intézet közreműködésével kézikönyvet jelentetett meg a megfigyelésekkel szembeni reziliencia (rugalmas ellenállóképesség) témájában. Az angol nyelvű kézikönyv első része röviden összefoglalja a megfigyelő társadalmak (surveillance societies) jellegzetességeit és nemkívánt hatásait, a második rész átgondolandó, megválaszolandó kérdéssorokat tartalmaz a megfigyelésekben érintett döntéshozók, a tanácsadó cégek, a szolgáltatók, a média, a civil szervezetek és a társadalom tagjai számára, a harmadik rész pedig összefoglalja azokat az intézkedéseket – köztük a Privátszférát Erősítő Technológiák alkalmazását –, amelyek javíthatják a jelenlegi helyzetet és minimalizálhatják a megfigyelés káros hatásait az egyénekre, csoportjaikra és a társadalom egészére.
A kézikönyv online változata olvasható az IRISS projekt honlapján, és a teljes kiadvány is letölthető PDF formátumban.
Innováció, ahol a mellékhatás a privátszféra eróziója
|
|
2014.10.06. 05:25:56
Gulyás Gábor
Jelentős előrelépés a webes nyomkövetésben
Az Index is írt róla, hogy a Facebook új hirdetési megoldásokkal közelít, amelyekkel az egyes személyek különféle eszközeit is össze tudják majd kapcsolni a hirdetési kampányokban. Bár nem tudni, hogy oldják majd ezt meg, de vannak tippjeim. Kisebb hirdetők már évek óta alkalmaznak ilyen módszereket, amelyek az eszközön végzett tevékenység alapján válogatják össze a hasonlóakat, így végül kiszűrve, hogy mely eszközök tartoznak egy személyhez. (Kicsit bővebben: az eszközöket eszköz ujjlenyomattal azonosítják, majd megfigyelik a tevékenységet, és statisztika, ill. data mining eszközökkel keresnek hasonló tevékenységet mutató eszközöket.)
Ebből a szempontból ez nem egy érdekes hír, ami az újdonság, hogy ilyen mainstream szereplő, mint a Facebook (vagy pl. a Google) még nem alkalmazott ilyesmit. A webes hirdetésiparban ma még a süti alapú nyomkövetés a leginkább fajsúlyos azonosítási módszer, ami legalább ad valamennyi mozgásteret a felhasználónak. Félő, hogy a Facebook-ot további nagyobb szereplők is követik majd, és így a nehezebben kezelhető és megkerülhető ujjlenyomatok lesznek elterjedtek.
Mirriad - személyre szabott termékelhelyezés videóban
Érdekes koncepcióval ált elő a Mirriad nevű cég, amellyel bármely videóban elhelyezhetőek dinamikusan cserélhető hirdetések, akár a néző ízlésprofilja alapján is. Ha ez elterjed (valószínűleg hatékonyabb lesz, mint a video előtti-alatti hirdetések, és így várhatóan el is fog terjedni), akkor ezt erősíteni fogja a célzott hirdetések alapját szolgáltató webes nyomkövetési technikák elterjedését.
Csuklóról indítható drónok
A PTO írt a csuklóról indítható drón koncepciójáról. Ez azon kívül, hogy jópofa játék felnőtt gyerekeknek :), illetve kivételes esetekben hasznos alkalmazás lehet tájkép vagy csoportkép készítésekor, valószínűleg nem fog bekerülni a hétköznap rendszeresen használt tárgyaink közé. Azonban egy újabb olyan technológia, ami elősegíti az átlagember számára is az invazív megfigyelést, pl. mások magánéletének a kifürkészését, kerítésen belülre való betekintést (vannak-e otthon, van-e érték az udvaron), stb. Senki sincs felkészülve az efféle eszközök tömeges elterjedésére, sem a jog, sem a rendészeti szervek, sem az emberek, pedig egész biztos erős negatív hatása lesz, ha ezek tömegesen elterjedtté válnak majd.
Milyen jelszómenedzsert érdemes használni?
|
|
2014.09.24. 05:14:49
Gulyás Gábor
Az idei Usenix Security konferencián két cikk is foglalkozott a jelszómenedzserekkel. Ezeknek az alkalmazásoknak a célja, hogy segítségükkel ne nekünk kelljen biztonságos (és bonyolult) jelszavak tömkelegét megjegyezni, hanem mindössze egyet. Az egyik kritizált szolgáltatása ezeknek az alkalmazásoknak az automatikus kitöltés, amelyet például a keepass is tud: egy adott billentyűkombinációra felkínálja az általa alkalmasnak talált jelszavakat, majd kitölti az aktiváláskor fókuszban lévő űrlapot. (A keepass esetén például az ablak fejléce szerint lehet szűrni, ami weboldalanként eltérő lehet, és függetlenül a konkrét böngészőtől is használható.) Ezzel a probléma a kutatók szerint az, hogy ez nem kívánt információszivárgáshoz vezet. Bruce Schneier a cikkek fényében továbbra is a saját alkalmazását javasolja, bár ez sajnos egyik elemzésben sem került górcső alá.
Aki pedig nem szeretne ilyen programokkal bíbelődni, itt van néhány tipp a biztonságos jelszavak készítéséhez.
Az év információvédelmi szakdolgozata: Webes egér hőtérképek készítése és elemzése
|
|
2014.09.18. 09:53:39
Gulyás Gábor
A Hétpecsét Információbiztonsági Egyesület a tegnapi napon kihirdette az "Év információvédelmi szakdolgozata" címet, amelyet Szerencsés Ákos nyert el Webes egér hőtérképek készítése és elemzése című munkájával. A nyertesnek ezúton is gratulálunk!
A weben ma már szinte sokásos üzletnek mondható egy weboldal látogatóinak az egérműveleteinek figyelése, naplózása, és statisztikai célú feldolgozása. Számos cég értékesít ilyen szogláltatásokat, sőt, ezek akár olyan pontosságúak is lehetnek, hogy az egyes felhasználók tevékenysége videó-szerűen visszajátszható. Ez érzékelhetően átlép egy újabb határt a privátszféránkban.
Azonban felmerülhet a kérdés, hogy hasonlóan ahhoz, ahogy az eszközök ujjlenyomatozhatóak jellmezőik alapján, úgy az efféle egérmozgások is alkalmasak-e a felhasználó beazonosítására. Ez egyféle biometrikus azonosítás lehetőségét veti fel, amely függetlenül a használt eszköztől azonosíthatja tulajdonosát.
Ákos dolgozata alapozó munka, amelyben az azonosíthatóság kérdését vizsgálja: az egérmozgásokból kinyerhetőek-e olyan jellemzők, amelyek konzisztensek az egyes felhasználók esetében, azonban megkülönböztetik bizonyos mértékben az egyes felhasználókat egymástól. Ákos ennek érdekében egy bookmarklet alkalmazást készített, amely lehetővé tette ilyen jellegű adatok gyűjtését. A szakdolgozat kitér az így gyűjtött 5 felhasználó adatának elemzésére is.
Ákos jelenleg egy profibb adatgyűjtő alkalmazáson dolgozik, amellyel több száz felhasználót is be tud vonni az adatgyűjtésbe, és a szakdolgozatban vizsgált állítások precízebben megerősíthetők és cáfolhatóak. Valamint nem csupán a privátszféra potenciális kiszolgáltatottságának a felmérése a cél, hanem olyan megoldások, eszközök készítése, amelyek a kialakuló helyzetben orvoslásul is szolgálhatnak.
Tabnabbing: új phishing koncepció
|
|
2014.09.16. 05:40:52
Gulyás Gábor
Sokan úgy használják a böngészőjüket, hogy az egyféle archívumként is szolgál egyben: több tíz tab van nyitva párhuzamoan, amelyek zömét sosem tervezik bezárni. A tabnabbing támadás ezt használja ki. Ahelyett, hogy gyanús URL-re terelné a felhasználót a phisher, inkább újrahasznosít: amikor detektálja, hogy a felhasználó valamelyik tabját rég használta (másik tabra váltott), akkor az ottani favicon-t, illetve tartalmat átírja úgy, mintha az egyik másik oldal lenne. Mivel eleve nyitott tabról van szó, a felhasználó kevésbé valószínű, hogy meg fogja nézni az URL-t, inkáb csak azt nézi, hogy melyik tabon van ott a gmail ikonja és felirata. Hogy aztán tényleg egy gmail-re hasonlító ablakot kapjon.
Új tanulmányok a PET Portálon
|
|
2014.09.12. 13:22:38
Gulyás Gábor
Két új technikai riportot tettünk közzé a tanulmányok szekcióban – bár a riportok 2010-ben készültek, most tesszük őket közzé először. Az egyik Paulik Tamás szakdolgozata után készült rövidített dokumentum, amely a Blogcrypt webes titkosító alkalmazást és az akkori konkurenciáját mutatja be, és tartalmaz egy részletes összehasonlítást is, amely itt jelenik meg először. A másik dokumentum pedig Dargó Sándor diplomatervét követően egy identitásmenedzsmentet tartalmazó anonim böngésző tervezését és elkészítését mutatja be.
Viszlát TrueCrypt: mit érdemes választani?
|
|
2014.09.09. 05:51:21
Gulyás Gábor
Valószínűleg több olvasónk is használta a TrueCrypt-et, amely egy nyílt forráskódú, széles funkciótárral bíró merevlemez titkosító alkalmazás (volt). Sajnos a fejlesztését abbahagyták arra hivatkozva, hogy az alkalmazás léte ma már nem kritikus, mert alapértelmezettként van a Windows-ban beépített alternatíva. Folyamatában a leállás érdekesre sikerült: egy közösségileg finanszírozott audit után bejelentették, hogy leállnak a fejlesztéssel, és furcsa módon a Microsoft Windows 7-8-ban elérhető merevlemez titkosított ajánlották a TrueCrypt helyett (erről, a Bitlockerről írunk később). Bár a TrueCrypt továbbra is letölthető a hivatalos oldalról, ezzel azonban már nem tudunk új partíciókat (vagy tárolókat) létrehozni. Ebben a bejegyzésben megnézzük, mik a főbb alternatívák.
Gyorstipp: az ingyenes programok közül a DiskCryptor-t, a fizetősek közül pedig a BitLocker-t javasoljuk.
Tovább (0 hozzászólás) PrivacyBadger: blokkolja a webes nyomkövetőket
|
|
2014.08.31. 05:29:48
Gulyás Gábor
A EFF által készített PrivacyBadger hasonló eszköz, mint például a Ghostery: webes követőket lehet vele ellenőrizni és letiltani. Három szintet lehet tracker-enként engedélyezni: le lehet tiltani ezeket, blokkolni a tőlük származó sütiket, illetve engedélyezhetjük is őket. Szimpatikus eszköz, sajnos nálam alapértelmezésként mindent engedett, és kicsit sziszifuszi munkának tűnik mindent beállítgatni.
Firefox és Chrome böngészőhöz is elérhető.
Privacy App - a leleplezett Orwell-i megfigyelés
|
|
2014.08.26. 05:42:32
Miklós Dávid
Mindössze alig 65 évvel ezelőtt, mikor Orwell megírta híres 1984 című regényét, még csak disztópia (negatív jövőkép) volt a mindent felügyelő állam, illetve az ezt megvalósító technológia, a telekép (televízióba épített kamera), ma azonban már a mindennapjainkban is elterjedtek olyan eszközök, melyek segítségével akaratunk ellenére hatolhatnak be a privátszféránkba.
MiniLock: iskolapéldája, hogy egy PET-nek mennyire kell bonyolultnak lennie
|
|
2014.08.23. 05:37:41
Gulyás Gábor
A MiniLock alkalmazás alapfunkcióiban nem nyújt semmi különöset: fájlonkénti titkosítást tesz lehetővé. Azonban nem is ez az érdekes benne, hanem a felülete, ugyanis rendkívül egyszerű használni, és az NSA-biztos titkosítás helyett most ez a lényeg. Nem igényel regisztrációt, hanem a megadott email címből és jelszóból legenerál egy publikus kulcsot, amellyel máris címezhetőek vagyunk. Használata pedig roppant egyszerű, mint az alábbi illusztráció is mutatja. (Az elkészült fájl a Chrome letöltési mappájába kerül.)
Flock, a Google mentes privát android címtár
|
|
2014.08.12. 05:52:44
Miklós Dávid
Napjainkban kezd kialakulni az emberek egy csoportjában egyfajta negatív érzés a legnagyobb online cégekkel szemben, ugyanis e vállalatok lassacskán többet tudnak rólunk, mint mi magunk, hiszen rengeteg adatunkat tároljuk online. Ilyen adatok például a Google fiókban tárolt névjegyeink, illetve naptárbejegyzéseink is. Ha androidos telefont használunk, az összes kontaktunk és esemény bejegyzésünk alapbeállításként automatikusan a Google szervereire mentődik, ezzel is növelve kiszolgáltatottságunkat.
Mire lehet jó egy online álidentitás?
|
|
2014.08.07. 05:34:19
Gulyás Gábor
Curtis Wallen érdekes kísérletbe fogott: létrehozta Aaron Brown-t, egy teljes egészében fiktív személyt, hamis jogosítvánnyal, autóbiztosítással, social security kártya másolattal, saját weboldallal, önálló pénztárcával (10 bitcoinnal feltöltve), stb. Vélekedése szerint lehetetlen feladatba fogott egy fiktív személy teljes felépítésével, de szerintem meglepően jól sikerült a kísérlete, és egyáltalán nem tűnik lehetetlennek a megismétlése. Ami viszont kevésbé tetszetősen kitűnik a leírásából, hogy milyen sok erőfeszítést igényel a valódi és egy fiktív identitás elválasztása, és így a digitális világban az újrakezdés. Ma már ez nem működik csupán TOR, és hasonló PET-ek használatával, számos szolgáltatás valódi identitást kér. Ezt egyes esetekben bemondással is meg lehet kerülni (pl. Facebook), de nem mindig.
A cikk végén azt is összegzi, miért is fogott a kísérletbe:
- mert a web erős tervezett befolyással van ránk, amiről néha mi is értesülünk,
- mert az amerikai kormány is befolyásolni szeretné az emberek véleményét (a hagyományos médiában ezt is itthon is gyakran látjuk),
- mert egyes cégek megválogathatják a lehetőségeinket az alapján, amit kifürkésznek rólunk.
Ezek mind annak a jelei, hogy mi történik, ha feladjuk a privátszféránkat: elveszítjük a szabadságunk egy részét, és lehet, hogy mi magunk se fogunk tudni erről.
Miért keserű a szájíze a Google-nek és az EU jogalkotóinak a felejtéshez való jog miatt?
|
|
2014.07.28. 05:28:02
Gulyás Gábor
A Forbes egyik cikke azt elemzi, hogy miért rémálom a felejtéshez való jog bevezetése a Google és az EU-s jogalkotók számára is. Röviden: magánszemélyek kérhetik, hogy a nevükhöz kapcsolódóan mely találatok ne jelenjenek meg a keresési listában, és ehhez indoklást is kell csatolniuk.
A Google számára azért, mert eddig is már 100 000 kérést kaptak, amely a kérések jellegét tekintve elég vegyes volt, és kb. a felét el is fogadták. Ez egy óriási kérésmennyiség, és nehezen bírkóznak meg a feladattal az illetékesek. Az EU részéről pedig azért problémás, mert a nem kívánatos találatok csak az EU-n belül kerülnek ki a találati listáról (amit manapság nem nehéz kijátszani), ráadásul a link eltávolításakor értesítik az érintett médiumokat is, ami könnyen hozzájárulhat a nem kívánatos ügyek felmelegítéséhez. (Abba is érdemes felhasználóként belegondolni, hogy az efféle kérelmek beküldésekor jelezzük a szolgálatónak és a külvilágnak is, hogy mely témák érzékenyek és fontosak számunkra.)
Az alapprobléma viszont az, hogy a Google mentalitásával ez egy teljesen ellentétes kérés, és ez a rendszer sosem arra volt kitalálva, hogy felejteni tudjon. Hanem hogy mindig, mindent elérhetővé tegyen, és lehetőleg egyre több mindenhez férhessen hozzá. Az efféle funkcióknak nem utólagos foltnak kellene lennie, hanem a rendszer alapelemének. Az internet közemberének is kell, hogy járjon a privacy, és nem csupán a rendszer felett álló milliomosoknak.
Új követésre használt ujjlenyomat technika terjed a weben, a canvas fingerprint
|
|
2014.07.24. 05:23:00
Gulyás Gábor
Egy új tanulmány jelent meg a közelmúltban, amely a permanens tracking cookie-k (evercookie), és a süti-cserélgetés elterjedtsége mellett felmérte az ujjlenyomat technikák egyik ismert módszerének, az ún. canvas fingerprinting-ét is. Ezen technika alapelve, hogy a háttérbe rejtve a meglátogatott weboldalon egy webpoloska a HTML5 canvas elemére renderel egy szöveget vagy más ábrát, és a renderelési idő és a létrejött kép egyéb tulajdonságai alapján egy ujjlenyomatot készít a számítógépnek.
A KU Leuven és a Princeton munkatársai a top 100 000 weboldal több mint 5%-ánál találtak ilyen jellegű nyomkövetést, míg az eddigi felmérések 1% alatti elterjedtségről zámoltak be. Ezek igen jelentős része az addthis.com közösségi toolbar szolgáltatóhoz vezetett vissza, aki el is ismerte ezt. A cikk szerzőinek a célja a problémára való figyelemfelhívás volt, hogy szülessenek jobb eszközök, amelyek az efféle technikáknak is ellene állnak. Pedig nem csupán TBB (Tor Browser Bundle) segítségével lehet védekezni, például a Ghostery is rendelkezik pár mintával, ami ezeket szűri (minták itt).
Érdeklődök letölthetik az érintett forráskódokat, gyűjtött adatokat is, és a szerzők interaktív felületén is elmélyedhetnek a részletekben.
A dailymail írása a tanulmányról itt olvasható.
Érdekességek és hírek
|
|
2014.07.04. 04:06:34
Gulyás Gábor
Az EU-ban bevezetett felejtéshez való jog miatt a Google is kénytelen volt csiszolni felületén (ha valakit érdekel a leírás, hogy ez hogy működik és mit érdemes tudni róla, olvassa el itt). Már egy hónapja is egész sokan éltek vele, és látszólag ez egy hasznos dolog. Azonban ez hosszú távon kontraproduktív is lehet: ezzel a Google felé jelezzük, hogy melyek a nekünk érzékeny információk, és ez által még pontosabb képet kaphat a felhasználóiról.
A reklámcégek szeretnék leolvasztani még inkább az off- és online világ közötti kapcsolatot, hogy az online profilok mellé több offline információt is csatolhassanak.
Itt olvasható Arvind Narayanan bejegyzése arról, hogy a crypto eszközök és a PET-ek nem csupán önvédelemre használhatóak, hanem tüntetőleges fellépés és polgári engedetlenség kifejezésére is. A különbséget a használat módjában látja: az önvédelem inkább az egyéni használat esetén áll fenn, míg a másik amikor sokan használnak ilyen technológiákat. Ez utóbbinál biztos, hogy megnehezítik az NSA és hasonló csoportok tömeges megfigyelési kísérleteit.
Protonmail: önmagát a szólásszabadság fontos eszközeként hirdeti, és valóban fontos is, ahogy ezt a Snowden ügynél láthattuk. Érdemes lehet kipróbálni, de aki biztosra akar menni várja meg, míg kiállja az idő próbáját.
Egy érdekes cikk arról, hogy mennyire nem bízhatunk meg a mobilunkban.
Python Mail Script – az IFTTT kibővítése (2. rész)
|
|
2014.06.26. 05:59:47
Miklós Dávid
A lentebbi munka a CrySyS Lab Privacy munkacsoportjának terméke.
Előzmények
Korábban már foglalkoztunk az ingyenes közösségi kapcsolatokat átláthatóvá tevő szolgáltatással, az „If This Than That”-tel. Akkor azt vizsgáltuk, hogy az alapfunkciók miképp viszonyulnak az online magánszférához, illetve annak védelméhez. Sajnos a tapasztalataink lehangolóak voltak, ugyanis a legtöbb szolgáltatás nem erősíti, sokkal inkább gyengíti a privátszférát.
Ha valaki lemaradt az előző bejegyzésről, ide kattintva elolvashatja.
Ma egy konkrét ötletet meg is valósítunk, ami a privátszféra védelmére alkalmas.
If This Then That : Őrszem a digitális korban?
|
|
2014.06.23. 05:32:23
Miklós Dávid
A lentebbi munka a CrySyS Lab Privacy munkacsoportjának terméke.
Ma egy digitális világban élünk, ahol minden-mindennel össze van kötve, és ahol a kapcsolatok átalakulása miatt a személyes szféra is fellágyult. Ennek köszönhetően ma már természetesnek mondható, ha az emberek olyan információkat, eseményeket, fényképeket, esetleg bensőséges dolgokat osztanak meg másokkal, melyek közzé tétele korábban elképzelhetetlen volt. Sőt, nem csak mi magunk, hanem akár mások is velünk kapcsolatban, ami jelentősen megnehezíti az információáradat kezelését.
Ebben a rengetegben segít rendet teremteni a címben is említett If This Then That – röviden IFTTT (ejtsd: „ift”) –– nevű szolgáltatás, amelynek célja, hogy kezelhetővé tegye a minket körülvevő információ dömpinget azáltal, hogy különböző médiumokat és csatornákat köt össze egyszerű feltételek mentén: ha valami történik a médiumon, automatikusan az általunk megadott módon reagál.
CV Dazzle: stylist technika arcfelismerés ellen
|
|
2014.06.18. 05:29:59
Gulyás Gábor
A CV Dazzle célja, hogy olyan stílusokat ajánljon, amelyek divatosak, vállalhatóak, és legálisak (maszkok viselete például nem mindenhol megengedett). Hasonló koncepcióval készítik a már ténylegesen PET-nek számító Privacy Visor szemüveget.
AdNaseum: zavard össze, akik titokban megfigyelnek!
|
|
2014.06.13. 13:06:58
Gulyás Gábor
Sok esetben olyan nehéz megvédeni egy bizonyos kontextusban a privátszféránkat, hogy jobb, ha egyáltalán kimaradunk. Ennél tovább menni már csak úgy lehet, ha valóságtartalmát illetően kellőképp bizonytalan információt osztunk meg magunkról. Éppen ezt csinálja az AdNaseum: nem csak tiltja a webes reklámokat, hanem össze is zavarja azok rendszergazdáit.
Az AdNaseum a Firefox alá érhető el, és az AdBlock mellé kell telepíteni. Így a reklámok az AdBlock-nak köszönhetően tiltva lesznek, míg az AdNaseum a háttérben ezzel párhuzamosan átkattintásokat szimulál a reklámokon, így összezavarva az ezek mögött futó profilírozó programot. Ez csupán egy proof-of-concept alkalmazás, de kíváncsi lennék, mi történne, ha tömegek kezdenének ilyesmit használni. Egyrészt a hirdetőket egyre inkább az érdekli, mire kattintunk, illetve jelenleg kattintásonként megy a fizetés, amit igen drágává tenne egy ilyen rendszer elterjedése.
SMS Reciever - avagy az "eldobható" SMS
|
|
2014.06.05. 05:18:52
Miklós Dávid
Biztosan sokan tapasztalták már, hogy ha a mai „okostelefonos” világunkban szeretnénk valamilyen széles körben elterjedt mobil szolgáltatást alkalmazni – pl. közösségi oldalakon, internetes telefonálásnál, stb. –, gyakran szükség van a mobiltelefonszámunk megerősítésére.
Ez többnyire úgy működik, hogy a megadott számra egy érvényesítő kód érkezik SMS-ben, majd ezzel a kóddal tudjuk biztosítani a hozzáférésünket. Azt azonban ritkán vesszük számításba, hogy ezzel az alig másfél perces művelettel milyen módon és mértékben szolgáltatjuk ki magunkat, és itt most nem csak a legelterjedtebb kéretlen reklám SMS-ek hadára gondolok.
Mert ha mondjuk egy közösségi oldalon hitelesítjük a telefonszámunkat, az máris hozzákapcsolódik a profilunkhoz, amit mások is láthatnak, akár rosszakaróink is. Azonban ha ez nem is lenne így, nem feltétlenül előnyös, ha sok helyen megjelenik a telefonszámunk, amely később, például a privacy policy lágyítása során akár publikussá is válhat.
Ezért érdemes lehet alternatív megoldások után nézni, amelyben segítségünkre lehetnek az „SMS Reciever” online szolgáltatások. Elegendő mindössze a fenti szövegre rákeresnünk a világhálón és máris eldobható SMS fogadó telefonszámok tömkelegét látjuk. Regisztrálnunk nem kell, adatokat sem osztunk meg senkivel. Egyszerűen a kiválasztott telefonszámmal hitelesítjük az adatainkat.
A megerősítő SMS pedig 1-2 másodperccel a küldés után megjelenik a SMS-hírfolyamban.
Sajnos hátránya is van annak, ha sokan használnak egy telefonszámot. Például a legnagyobb közösségi oldalon - az arckönyvön - egy telefonszámmal csak egyszer lehet hitelesíteni, így minimális az esélyünk rá, hogy mi leszünk az elsők, akik szeretnék megerősíteni az adataikat. Viszont minden más esetben, ahol a szolgáltatást nem zavarja, ha többször, több felhasználó adja meg ugyanazt a telefonszámot, ott hatékonyan működik a dolog.
MyPermissions.org: nézd át melyik alkalmazás mit tud rólad!
|
|
2014.06.02. 05:45:59
Gulyás Gábor
A MyPermissions.com szolgáltatása lehetővé teszi, hogy egyszerre áttekintsük a különböző online szolgáltatásokban, hogy mely más alkalmazások és szolgáltatások férnek hozzá az adatainkhoz. Ehhez mindössze egy böngésző kiegészítő feltelepítésére van szükség, amely az aktuális munkamenetek segítségével ellenőrzi a beállításainkat. Így nem szükséges a MyPermissions számára kiadni a belépési adatokat.
Privacy témájú érdekességek
|
|
2014.05.28. 05:16:37
Gulyás Gábor
Az évtized egyik legfelkapottabb szakmája a data scientist-eké, ezzel párhuzamosan pedig az egyik legizgalmasabb (és égetőbb) kérdések egyike hogy hogyan lehet privátszféra-barát módon élni a mai adatgazdag környezettel. Az egyik fundamentális kérdés, hogy kié az az adat, amit feltöltünk vagy begyűjtenek rólunk? Már hozzászoktunk, hogy ha nem fizetünk valamiért, akkor mi vagyunk az áru, azonban sajnos egyre több esetben lehet hallani, amikor a fizetés mellett így fizettetnek duplán velünk.
Itt egy másik cikk, ami pedig a big data problémákat foglalja össze (hozzátenném, hogy privacy problémákkal lehetne még bővíteni a listán). Sok cég úgy gondolja, hogy ha nagy adat van, akkor a kerítés is kolbászból van és mindent el lehet adni. Azonban a big data nem old meg nagyon sok mindent önmagában, de legalább egy rakás problémát is behoz. És valóban, el lehet adni, egyelőre, de csak amíg van vásárló aki szintén ez a téves gondolatmenet mentén áll a kérdéshez...
"Elemlámpának" álcázott poloska az android marketen.
A sütiket nem csak álneves követésre használják, hanem valós identitáshoz is kötik őket. Ez utóbbit a belépést megkövetelő oldalak segítségével teszik, akik sok esetbe "kiszivárogtatják" az identitásunk. Akit érdekel bővebben is a téma, olvassa el a princeton kutatóinak cikkét, vagy az eredményeket feldolgozó CBC cikket.
Doktoranduszi állás a Regensburgi Egyetemen
|
|
2014.05.27. 19:16:45
Székely Iván
A Regensburgi Egyetem doktoranduszi állást hirdet "Security and Privacy in Smart Environments" témában a 2014-2018 időszakra. A projektet a FORSEC elnevezésű kutatási konzorcium vezeti, amely német egyetemeket és kutatóintézeteket tömörít. Jelentkezési határidőt ugyan nem tartalmaz a felhívás, az állást már 2014 nyarától hirdetik, úgyhogy érdemes mielőbb jelentkezni a heike.gorski@wiwi.uni-regensburg.de címen
Válogatás a privátszférát érintő hírekből
|
|
2014.05.20. 05:05:15
Gulyás Gábor
Sokan úgy gondolják, hogy ha a nagy testvér elől rejtve szeretnének kommunikálni, akkor a Skype a nyerő választás. Ez azonban téves elképzelés; a Microsoft azután, hogy megvásárolta a Skype-t, szépen be is rendezte a megfigyelői eszköztárat. Az Arstechnica arról is ír, hogy a privát üzenetekben küldött linkeket is megnyitották.
A technika egyik nagy hátránya, hogy nem felejt. Az EU ezt jogi szabályozással szeretné mégis elérhetővé tenni, hogy a hálózat is felejthessen. Egy ilyen ügyben állt ki az EU nem rég egy spanyol férfi mellett, aki egy 16 évvel ezelőtti információ eltávolítását szerette volna elérni.
Érdekes megoldás a CCTV kamerák ellen: gumimaszk, ami hihehtő módon maskíroz mindenkit egyformává.
Sztegós üzenerejtés tweet-ekben. Könnyen detektálható, így inkább érdekes-egzotikus, mint hasznos ötlet.
Születési dátum, nem, irányítószám – ez sokkal inkább "te" vagy, mint gondolnád!
|
|
2014.05.13. 05:27:13
Gulyás Gábor
A fenti információkat akár egy közvéleménykutatáskor is elkérhetik, mondván, hogy a kérdőív névtelen, de alapvető demográfiai adatokra szükségük van. Ezt könnyű el is hinni, viszont az a helyzet, hogy ez a három adat egyszerűen végét veti az anonimitásnak: az USA 1990-es kormányzati felmérés adatai alapján egy kutatás során azt találták, hogy a 248 millió fős lakosság 87%-a (216 millió fő!) egyedileg azonosítható ez a három információ alapján. Utóbb egy weboldalt is készítettek, ami a Panopticlick-hez hasonlóan lehetővé teszi, hogy megnézzük mennyire vagyunk azonosíthatóak (legalábbis USA-beli irányítószám esetén).
A kutatás idején (2000 körül) még ez leginkább egy elméleti felvetés volt, mára azonban sokat változott a helyzet. Ugyanis sokkal könnyebb valamilyen külső információforrást találni ezekhez az adatokhoz, ahol rá is lehet keresni az adott személyre – ilyenek például a közösségi hálózatok. Ez egyébként egy tipikus probléma, ami a Big Data témakörben elő szokott jönni, legfeljebb technikaibb jellegű információkról van szó, mint például a minket körbevevő kapcsolatrendszer, vagy a böngészőnk attribútumai.
Válogatás a privátszférát érintő hírekből
|
|
2014.04.23. 05:13:41
Gulyás Gábor
Arról biztosan mindenki hallott, hogy meta-adatokat gyűjtenek az USA-ban (pl. NSA botrány kapcsán), de akár itthon az EU-ban is, bár ez utóbbinak lehet, hogy nemsokára vége szakad. Felmerülhet a kérdés, jogosan, miért gyűjtenek ilyesmit? Erre egy kiváló példa a mobil adatokból a bűnözői hálózatok felkutatása (tudományos cikk itt): ahogyan a normál közösségeknek, úgy a bűnözői változatuknak is megvan a maguk felépítése, és bár ezek nyilvánosan kevésbé láthatóak, a meta-információk alapján felfedhetőek.
Például az alábbi ábrán látható, hogy ha bizonyos idősávra leszűkítjük a kapcsolatok vizsgálatát, egyes közösségek mégis kiugróan egyben maradhatnak – nyilván amelyik aktív volt egy bűnesemény elkövetésekor. Persze mindennek az is az üzenete, hogy a meta-információk gyűjtése igen jelentőségteljes és megfigyelésre is alkalmas, nem mint ahogy azt sokszor hangoztatják.
Időbeli szűrés a hívásokra. A keresett közösségek ilyenkor is aktívak maradhatnak. [forrás]
Heartbleed know-how, Q-A. Érdemes beleolvasgatni.
A Facebook megmondja, ki van a közeledben, és pontosan hol. Tehát akkor is tudja, ha a másoknak nem mondja meg – izgalmasan hangzik. A funkció letiltható, szabályozható, valószínűleg addig, míg a mindenkinek-mindent alapértelmezéssé nem teszik.
Az amerikaiak nem bíznak a hirdetőkben. Jól teszik.
Nem szűk értelemben vett privacy, de ahhoz kapcsolódó érdekesség, ahogy a privacy-erodáló nagyok megváltoztatják tömegek gondolkodását: little lies the internet told me.
Semmis az adatmegőrzési irányelv
|
|
2014.04.13. 18:43:42
Székely Iván
Az Európai Unió Bírósága (az ún. "luxemburgi bíróság") 2014. április 8-i ítéletében semmisnek nyilvánította a sok vitát kiváltó adatmegőrzési vagy adatvisszatartási irányelvet (Data Retention Directive). Az irányelv előírta a tagállamoknak, hogy távközlési szolgáltatóik kötelesek tárolni a vonalas és mobil telefonon, SMS-ben és e-mailben kommunikáló összes partner kilétét, tartózkodási helyét és a kommunikáció egyéb adatait 6 hónaptól 2 évi terjedő időtartamra. Az adatokhoz a nyomozó szervek férhetnek hozzá bűnüldözési és megelőzési célból, az adatmegőrzés költségei általában a szolgáltatót terhelik. (Magyarországon ezeket a rendelkezéseket az elektronikus hírközlésről szóló 2003. évi C. törvény 159/A. paragrafusa tartalmazza.)
Az Európai Unió Bíróságához két nemzeti bíróság, Írország Legfelsőbb Bírósága és az osztrák Alkotmánybíróság fordult, az utóbbi esetében több mint tizenegyezer (!) beadványozó kezdeményezésére. Az EU Bírósága elismerte, hogy az adatmegőrzés közérdekű célt, a bűnözés elleni küzdelmet szolgálja, azonban az irányelv súlyosan és a célhoz képest aránytalan módon sérti a polgárok magánéletét és személyes adataik védelméhez való jogát.
Mivel az irányelvek bevezetésére és érvényesítésére meglehetős mozgástér és tág határidők állnak a tagállamok rendelkezésére, sem az új (a célhoz mérten arányos jogkorlátozást tartalmazó) irányelv, sem annak magyarországi bevezetése nem várható egyik pillanatról a másikra. Az ítélet azonban világosan mutatja, hogy egy demokratikus jogállami környezetben, így a EU-ban is minden jogkorlátozásnak van határa, és a közérdekű cél sem szentesíti az elérésére szolgáló összes eszközt.
Válogatás a privátszférát érintő hírekből
|
|
2014.04.11. 05:34:52
Gulyás Gábor
Egyesek előszeretettel hangoztatják, hogy a privátszféra korának vége és felesleges az online megfigyeléssel foglalkozni. Ebben folyamatban a Facebook és Google is élen jár, de egy online felmérés alapján úgy tűnik sokakat aggaszt, amit csinálnak a személyes adatokkal.
Pedig eleve jó kérdés, hogy ki bizonyos adatok tulajdonosa, hiszen több olyan adat típus van, aminek nincsen deklarált tulajdonosa, mint például az, hogy ki kinek az ismerőse – ez esetben mindkét fél érintett, egyik sem deklarálható tulajdonosként. A lifehacker cikkje kicsit mélyebbre ás az ennél egyértelműbben kezelhető információk tekintetében (azaz amelyeknek mi vagyunk a tulajdonosai). A probléma alapja az, hogy az információ nehezen birtokolható, és így eleve nehezen szabályozható, hogy ki-mit figyel meg.
115 japán üzlet a biztonsági kamerák által készített vásárlói arcképet automatikusan megosztja egymással. Indoklás: lopások háttérbe szorítása. Igen. Aztán ha mindenki kellően hozzászokott, jöhetnek az üzleti alkalmazások.
Ma sokan használnak reklám blokkolókat, de változhat a helyzet. Egy interjúban az IAB magas beosztású munkatársa olyan víziót feszeget, amikor a tartalomhoz csak akkor férhetünk majd hozzá, ha a reklámok is megjelennek. Adblock esetén nincs tartalom sem. Sajnos az egyik fő probléma ezen a területen éppen a kölcsönös együttműködés-kommunikáció hiánya, a hirdetőket nem túlzottan érdekli a webhasználók véleménye vagy privátszférája.
A Yahoo a hirdetők miatt nem tudja bevezetni minden oldalán a HTTPS-t
|
|
2014.04.07. 05:20:10
Gulyás Gábor
Amióta kiderült, hogy a Google és a hasonló szolgáltatók nem titkosítják az adatközpontjaik közötti forgalmat és ezt az NSA ki is használta, a titkosítatlan webes kommunikációra, így például a HTTPS alapértelmezett bevezetésére is nagyobb figyelem irányult. Valamint azt is nagy figyelem övezi, hogy az egyes szereplők, mint a Yahoo, Google, Microsoft, mit titkosítanak alapértelmezetten és mit nem.
Most úgy tűnik, hogy a Yahoo komoly lépéseket tesz ez irányba, azonban ők sem tudják megoldani, hogy valamennyi oldalukon egységesen a HTTPS legyen az alap. Ehhez ugyanis valamennyi hirdető partnerüknek is HTTPS-en keresztül kellene elérhetővé tenni funkcióikat, ám ez nem megy olyan egyszerűen. Sőt, Askhan Soltani úgy tippeli a blogjában, hogy ahány érintett van az ügyben, ez még akár öt évig is eltarthat.
Az egész ügyet pedig azt teszi igazán pikánssá, hogy a privátszféra védelmében amúgy sem érdekelt reklámhálózatok miatt marad nyitva az ajtó az állami megfigyelés előtt, még ha részlegesen is.
Az ingyenesség ára
|
|
2014.04.03. 05:21:14
Gulyás Gábor
Az interneten is ára van az ingyenességnek, és többféleképp fizetünk is érte. Például van, amikor a privátszféránk feltárásával fizetünk, de egy érdekes másik eset is terjedőfélben van, mégpedig amikor erőforrásainkkal nyújtunk ellenszolgáltatást:
Researchers said they have uncovered two apps that were downloaded from the official Google Play market more than one million times that use Android devices to mine the Litecoin and Dogecoin cryptocurrencies without explicitly informing end users.
According to a blog post published Tuesday by a researcher from antivirus provider Trend Micro, the apps are Songs, installed from one million to five million times, and Prized, which was installed from 10,000 to 50,000 times. Neither the app descriptions nor their terms of service make clear that the apps subject Android devices to the compute-intensive process of mining, Trend Micro Mobile Threats Analyst Veo Zhang wrote.
Ebben az esetben sem magával a módszerrel van a probléma, hanem hogy a felhasználók korrekt értesítése nélkül történik mindez.
Dokufilm: Mark Zuckerberg - Inside Facebook
|
|
2014.03.31. 06:12:08
Gulyás Gábor
A legtöbb Olvasó talán már tisztában van vele, hogy a Facebook-on regisztrált felhasználók nem a Facebook valódi kliensei, hanem ők csupán a termékek, amellyel kereskednek. A sorozatunk jelen részében egy a Facebook jelenséget kívül-belül bemutatni igyekvő dokumentumfilm következik. Persze nem árt a filmben elhangzó egyes állításokat fenntartásokkal kezelni, hiszen a like gombok fő célja nem az önfeledt tartalommegosztás, illetve azt is célszerű némi fenntartással kezelni, amikor Mark a privacy fontosságát ecseteli, hiszen korábban a privacy-t már eltemette, mint szükségtelen szociális norma.
Mark Zuckerberg - Inside Facebook [Full Doc] by PayeTaChatte
A webes tracker-ek egyre inkább az egerünk után néznek
|
|
2014.03.19. 05:45:24
Gulyás Gábor
A webes hirdetésiparban (és nyomkövetésben) eddig a siker egyik fő mérőeszköze az átkattintási arány volt, de úgy tűnik, hogy ez meg fog változni. Ugyanis ez az arány szinte egyáltalán nincs összefüggésben a konverziós aránnyal (azaz, hogy a látogatók hány százaléka vásárol vagy végez el egy adott műveletet), derül ki a Pretarget és Comscore közös felméréséből.
A felmérésben 18 hirdető kampányait követték 9 hónapon keresztül, és megmérték a hirdetések átkattintási és a konverziós arányai közötti Pearson korrelációt, amely végül 0,01 lett (a 0 érték azt jelentené, hogy nincs összefüggés). Ez képest jóval erősebb korrelációt mutatott az átkattintási arány azzal, amikor a felhasználó kurzorja a reklám fölé került (az ún. mouse hover eseményekkel). Ez esetben a korreláció 0,49 volt (az 1,0 értékű korreláció utalna a két érték közötti egyértelmű összefüggésre, azaz pl. ha valaki a reklám fölé viszi az egerét, vásárol is).
Az látogatók egér tevékenységek megfigyelésére eddig is léteztek szolgáltatások, de amennyiben a reklámipar megfogadja a tanulmány állításait, ez a jelenség erősödni fog. Ez ellen egyelőre a leghatékonyabban a tracker script-ek szűrésével védekezhetünk, olyan eszközökkel, mint például a Ghostery, amely a legtöbb jelentős követőt képes felismerni és blokkolni.
Dokufilm: The Age of Big Data (BBC Horizon sorozat)
|
|
2014.03.17. 06:05:27
Gulyás Gábor
A dokumentfilmes sorozatunk második részében (az első itt tekinthető meg) az ún. nagy adatot (angolul Big Data) bemutató BBC filmet ajánljuk Olvasóinknak. Hasonlóan az előző részhez, ez a film is inkább ismeretterjesztő jelleggel mutatja be a big data alkalmazásokat. Bár ez a film sem feszegeti a privacy körüli kérdéseket, de számos kérdés most is adja magát.
A következő időben további dokumentumfilmek jelennek meg blogunkban, érdemes visszanézni!
Dokufilm: Monitor Me! (BBC Horizon sorozat)
|
|
2014.03.01. 05:58:58
Gulyás Gábor
Az életünket az okostelefonok és a kiegészítő alkalmazások egyre inkább mérhetővé teszik. Mindezt nem elhanyagolható privacy veszélyfaktorral. A BBC Monitor me című dokumentumfilme ezt a jelenséget veszi górcső alá. Bár a magánszférát érintő kockázatok kevésbé állnak a film fókuszában, a technika árnyoldala körüli kérdések szinte adják magukat.
A következő időben további dokumentumfilmek jelennek meg blogunkban, érdemes visszanézni!
Milyen hatással van az aukciós profilegyesítés a privátszféránkra?
|
|
2014.02.20. 05:49:57
Gulyás Gábor
Rossz hatással. (Előző bejegyzésünk itt olvashatják.)
Bővebben pedig nézzünk meg néhány számot az egyik friss tanulmányból. Az egyik probléma, hogy elterjedtek ezek a módszerek, és így a felhasználók nagy részére rálátásuk van: a tanulmányban vizsgált felhasználók 91%-ánál lehetett találkozni az egyes hirdetők aukcióival (pontosabban a Cookie Matching mechanizmussal). Az alábbi táblázat összesíti az egyes résztvevő párok aukcióinak arányait.
Aukciók arányai a vizsgált profilokban. [Forrás]
Valamint az is probléma, hogy az aukció során az ajánlattevő felek automatikusan hozzáférnek a felhasználó profiljához, ami komoly – és gyakorlatilag ellenőrizetlen – adatszivárgást okoz. A cikk szerzői úgy becsülik, hogy ezáltal a hirdetők a felhasználók teljes tevékenységének akár 27%-át is képesek megismerni. Szerencse, hogy ez ellen – mivel egyszerű sütialapú követésről van szó – nagyon könnyen lehet védekezni, mindössze rendszeresen törölni kell a sütiket.
Az információszivárgás menete a sütiegyeztetési mechanizmuson keresztül. [Forrás]
További problémaként megjegyzem, hogy az aukció erőforrás igénye jelentős mértékben a felhasználóra van terhelve. Az aukció lebonyolítása jelentős mértékű processzoridőt igényel, meríti az akkumulátort és nem kívánt hálózati forgalommal is jár – ezek pedig a mai mobilos világban elég jelentős szempontoknak tekinthetők. Ha valakit érdekel, több cikk is foglalkozik a témával, néhány a fogyasztás oldaláról közelíti meg a témát, míg egy másik cikk szerint a mobil forgalom 7-9%-át is kiteheti a reklámokhoz kapcsolódó forgalom. Az abine.com szerint a böngésző tevékenységének több mint negyedét a reklámokkal való foglalkozás teszi ki.
Ahol Ön képezi az aukció tárgyát: az online hirdetésipar modellje
|
|
2014.02.17. 05:22:39
Gulyás Gábor
Egy 2011-es becslés szerint az online hirdetésipar 10%-a aukciós rendszerben működik (2015-re 25% várható), ahol ha valaki meghirdet egy felhasználói profilt, a hirdetők licitálhatnak rá, és a nyertes kap jogot, hogy az ő reklámja töltődjön le az adott profilú felhasználó gépére (és jelenjen meg az éppen látogatott oldalon). Ez az ún. Real-Time Bidding (RTB) rendszer, és szintén ez áll a Blogon legutóbb tárgyalt eset mögött, amikor a felhasználói profilok áráról írtunk.
Az akcuós rendszer sémája. [Forrás]
Az RTB rendszer működésében a fő frontot a felhasználó számítógépe képviseli. Amikor ellátogat egy web oldalra (fentebb "Publisher"), az ott megjelenő hirdetés-hely indítja az RTB licit folyamatát. Ekkor a web oldal kapcsolatba lép az Ad exchange szereplővel, aki a licitet lebonyolítása során elküldi a felhasználó böngészési előzményeit (profilját) az ajánlattevőknek ("Bidder"). A Biddereknek ekkor lehetősége nyílik összefűzni a kapott előzményeket az általuk tároltakkal, így teljesebb képet kaphatnak a felhasználó profiljának értékről. Ez után pedig a legmagasabb ajánlatot tevő Bidder lehetőséget kap, hogy a reklámja betöltődjön a felhasználó gépére. Mindez tipikusan kevesebb, mint 100 ms idő alatt.
A szisztéma motorját az ún Cookie Matching adja. (Ami egyben azt a meglepő dolgot is felfedi előttünk, hogy továbbra is a süti alapú azonosítás a legelterjedtebb.) Ez egy egyszerű mechanizmus, amelynek célja, hogy az Ad exchange által látott A profil és a Bidder által látott B profilt egyesítse a saját azonosítóik összekapcsolása által. Innentől kezdve tudni fogják, hogy a másik rendszerében az A/B felhasználót a B/A-val kell összekapcsolniuk. A mechanizmust a következő ábra szemléleti.
A Cookie Matching mechanizmus főbb lépései. [Forrás]
És ez milyen hatással van az online privátszféránkra? Nem meglepő módon nem túl kedvező az összhatás, és nyugodtan egyetérthetünk azzal a szakértői állásponttal, hogy alapértelmezett módon magunk elé képzelhetjük a "megfigyelés alatt" táblát, amikor a weben barangolunk. A következő bejegyzésben konkrét számokkal is jelentkezünk.
Ön szerint a Facebook like mire való? Olvassa el, miért nem arra!
|
|
2014.02.12. 05:39:49
Gulyás Gábor
Amikor a weben megjelentek a like gombok, az első között írtunk róla, hogy ez a közösségi élményen kívül még arra lesz jó, hogy a Facebook a saját birodalmán kívül is követhesse (jelenlegi és akár leendő) felhasználói tevékenységét. Aztán a gombok terjedtek, és mások is elkezdtek hasonlóan ténykedni. Végül kiderült, hogy mekkora is a Facebook adatok iránti éhsége, hiszen aktívan törekszik az offline világ adatforrásait is rendszerébe integrálni.
Nos, a Facebook leplezetlennek eddig sem nevezhető tevékenységét más forrás újfent megerősíti. Az online hirdetésipart felfedő kutatásban a Facebook is megjelenik, és nem csupán egy zs kategóriás szereplőként. Hogy hogyan lehet a Facebook a saját határain kívül is ilyen erős szereplő? A like gombokkal! Ezekkel saját profilt építhet a nem regisztráltakról is, amelyet aztán értékesíthet az aukciói során.
A Facebook like-gombok nyújtotta kapacitásáról képet kaphatunk ha hozzámérjük a cég erejét a vetélytársakéhoz. [Forrás]
A kutatásban résztvevők 91%-ánál detektálták a Facebook-ot aukció (pontosabban Cookie Matching) végrehajtásában, és a mérésekben a Facebook a felhasználók össz tevékenységének 27%-ára rendelkezett rálátással. A fentebbi két táblázatból további hirdetők hasonló értékei közül mazsolázhatunk, mint például a DoubleClick (Google), Bing (Microsoft), Amazon, Twitter – úgy látszik a nagyok közül senki sem szeretne kimaradni.
Most megtudhatja, mennyiért adják-veszik az adatait!
|
|
2014.02.05. 08:29:49
Gulyás Gábor
A weben és a mobilos világban egyre inkább domináns szisztéma szerint a szolgáltatások, alkalmazások ingyen vannak, és mi vagy az adatainkkal fizetünk (azaz megengedjük, hogy megfigyeljék tevékenységünket), vagy a képernyőnk egy területével, ahol reklámozhatnak.A legpofátlanabb persze az, amikor a felhasználónak eleve fizetnie kell, és még az előbbi módszerekkel is pénzt csinálnak belőle a másik oldalon. Valahogy úgy, amikor valaki megvesz kb. 200e Ft-ért egy iPhone-t, majd ez után az Apple még évekig pénzért eladja őt a hirdetőknek.
Egy friss tanulmány szerint a felhasználók $5-t lennének hajlandóak fizetni egy alkalmazásért, csak ne figyeljék meg őket, és reklámokkal se tegyék tele a képernyőt. Egy másik 2011-es tanulmány szerzői pedig arra jutottak, hogy egy felhasználó 7 EUR értékűre becsüli, hogy az éppen meglátogatott weboldalon felfedjék jelenlétüket. Vajon mennyire becsülhetjük, ha egy weboldalon egy másik weboldalon tett látogatást kellene mondjuk elismerni? Az előbbiek alapján ez akár több, mint tíz euró is lehetne, de egy biztos: ezek a számok igencsak messze esnek a valóságtól.
A Privatics kutatócsoport tanulmánya alapján egy felhasználó teljes böngészési előzménye nagyjából $0,0005 értékért cserél gazdát (igen, ez mindössze huszad dollárcent, azaz kb. tíz fillér!), azaz egy hirdetőnek ennyit kell fizetnie, hogy megismerje a felhasználó böngészési előzményeit és hirdetést is megjeleníthessen a képernyőjén (az épp látogatott weboldalba ágyazva). Ráadásul ez az ár több tényező függvénye.
Ahol a piacok kisebb vásárlóerővel bírnak, ott ez az érték is kisebb. A tanulmányban közölt mérések szerint az USA-i felhasználók profiljai $0,00069 értékűek voltak, míg a Francia és Japán profilok rendre csupán $0,00036 és $0,00024 összegért "keltek el". Ráadásul ezek az értékek az idő függvényében is változtak: reggel egy profil többért kel el (USA esetén pl. $0,00075), mint este ($0,00062), de hirdetőnkét változhat, hogy milyen felhasználókért hajlandó többet fizetni.
Rövid privacy hírcsokor
|
|
2014.01.30. 05:00:22
Gulyás Gábor
Az IT world cikkje nem csak a manapság hangzatos privacy problémákkal riogat. Azért nem ezzel indít, hanem leírja, hogy a technológia fejlődése ugyan üdvözlendő dolog, de mindig akadtak páran, akik másra használták az újdonságokat, mint amire eredetileg szánták. Ma ugyanezt láthatjuk sokszor privacy vonatkozásban. A megszokotttól igen eltérő privacy-invazív újításokat gyűjteményében szerepel a távoli ujjlenyomat leolvasó, az 50 méter hatótávú molekuláris scanner (pl. robbanóanyag keresésre szánják), mikrofonnal felszerelt okoslámpák (közterület világítás), és további érdekességek.
Ki gondolkodott már azon, hogy vajon mennyit ér a hirdetőknek az online profilja? Ez a cikk kb. fél-egy USD cent értékére becsüli, ami elég kevés, ahhoz képest, hogy mennyit tudnak a cégek keresni vele. A Google és Facebook kapcsán 5-20 USD-re becsülik a keresményt profilonként, ami azért nem kis haszon.
(A technológia ilyen olcsóvá teszik a megfigyelést, ezek a cégek csak kihasználják ezt a rést. Egy korábbi cikkünk az állami megfigyelés olcsóbbá válásáról szól.)
A paymefacebook.com alapján nem mindenki elégedett a Facebook üzleti modelljével. :-)
A tömeges megfigyelés a technológia ára?
|
|
2014.01.18. 05:14:16
Gulyás Gábor
A technológia fejlődése, terjedése és olcsóbbá válása a megfigyelést is könnyebben alkalmazhatóvá teszi. Ez nem csak a különféle kormányok internetes tevékenységére igaz. Kevin Bankston és Ashkan Soltani friss cikkjében az "offline" világban végrehajtott megfigyelések költségeit becsülték meg. Mivel a hagyományos megfigyelési technikáknál (pl. autós követés) 20-50x olcsóbb ha a különböző jeladókat használják, ez nem csak megkönnyíti az állam dolgát, de sajnos az efféle megfigyelések tömeges bevetését is lehetővé teszi. A Forbes cikkét erről itt lehet elolvasni.
Az ofline és online világ találkozásában is olcsóbban kivitelezhető a megfigyelés; gondoljunk csak az internetes adatbázissal működő arcfelismerése. Már évekkel ezelőtt sikerült egy kampuszon felállított webkamerával a hallgatók 31%-át azonosítani a Facebook-os fényképeik segítségével. Egy fokkal merészebb projekt a NameTag, ami egy Google Glass-hez készülő arcfelismerő alkalmazás, ami automatizálja a kísérletben végrehajtott mechanizmust.
Várhatóan a testen viselhető eszközök terjedésével a privacy-invazív eszközök, alkalmazások is nagyobb mértékben el fognak terjedni, ahogy a fenti esetekben is történt. A kérdés az, hogy az ezekkel érkező problémákat megtanuljuk-e előre kezelni, vagy csak utólag okulunk majd a hibákból? (ha egyáltalán ez a pont elérkezik)
Új divat: az internet szolgáltató a tracker, és reklámoz is
|
|
2014.01.10. 05:03:32
Gulyás Gábor
Az utóbbi hetekben érdekes hírek röppentek fel. Úgy látszik, nem csak az Apple és a hasonló óriáscégek látnak fantáziát a nyomkövetésben, hanem egyes tengerentúli internetszolgáltatók is felismerték a benne rejlő lehetőséget.
Idén januári a hír, hogy egy internet szolgáltató sütikkel követi felhasználóit:
My ISP, Access Media 3 has started injecting tracking cookies into html packets going through their network and are potentially making money from tracking their customers.
A probléma az, hogy ebbe kis (semmi) beleszólása van az előfizetőknek, az ISP pedig szép extra profitot termeltet a felhasználóival. Persze, aki ért hozzá, tud tenni ellene. Míg más esetben az ISP-k reklámokkal és kuponokkal traktálják felhasználóikat, és közben úgy gondolják, hogy ezzel mindenki nyer:
Customers blocking pop-ups do not see the coupons. The response so far has been overwhelmingly positive (in view of the number of customers who have taken advantage of savings by using the coupons).
Hosszú távon ezzel senki sem nyer: az árakba beépül a tevékenységből szerzett profit, és normál áron nem éri majd meg előfizetni. A megfigyelésből fakadóan pedig hatalmi aszimmetria alakul ki a szolgáltató-fogyasztó között, ahol az előbbi ebből egyre nagyobb mértékű gazdasági előnyhöz juthat, és a fogyasztónak egyre kevesebb lehetősége lesz a kitörésre.
2013 top tech témái - a privacy kiemelten megjelent közöttük!
|
|
2014.01.07. 05:10:53
Gulyás Gábor
A TechPolicy összegyűjtötte azokat a tech témákat, amelyek 2013-ban főszerepet kaptak. Ezek alapján látható, hogy 2013-ban a privacy még kiemeltebb szerepet kapott, és várhatóan ez csak fokozódni fog idén is.
Node melyek is voltak ezek 2013-ban? (A könnyebb egyeztethetőség kedvéért a pontokat számát és nevét meghagytam, de az utána a saját megjegyzéseimet írtam.)
(1) NSA Surveillance. A privátszféra-védő megoldások használóra sok esetben űrlényként tekintettek, de az NSA megfigyelési botrány jelentősen hozzájárult, hogy ez a negatív prekoncepció elkezdett megváltozni. Nem azért használunk ilyen eszközöket, mert rejtegetni valónk van, hanem mert nem egy függönytelen ablak előtt kívánjuk élni az életünket.
...
(3) Bitcoin. Ugyan a tavaly nagy népszerűségre szert tévő fizetési eszköz jövője igen bizonytalan, de legalább van egy ígéretes alternatíva, amely segítségével valóban név nélkül fizethetünk.
(4) Drones and robots. Hazánkban egyelőre nem túlságosan elterjedtek, de a fizikai privátszférát kénytelenek leszünk újraértelmezni, amikor elterjednek – amikor a magas kerítés sem véd a kíváncsi szemek elől (ilyenkor nem feltétlenül csak a paparazzikra, hanem egyszerű köztörvényes bűnözőkre is gondolhatunk, mint a tolvajok), és a tizedik emeleten is számolnunk kell azzal, hogy egyszer csak benézhet valaki az ablakon.
...
(6) Commercial privacy. Erről a témáról rendszeresen írunk a PET Portál indulása óta, és a tavalyi évben sem állt meg ezen a téren az élet. Elég csak néhány kapcsolódó kulcsszót áttekintetünk.
(7) Fairness and algorithms. Sokszor nem tudjuk vagy nem látjuk át, mi alapján kapunk ajánlásokat egy weboldalon, vagy más esetben hogyan befolyásolják döntéseinket, választásainkat. (Például gondoljunk arra, amikor a hitelkérelmet befolyásolhatják a Facebook-os kapcsolatok, vagy amikor a hotelszoba kínálatot a feltételezett anyagi hátterünk.) Ez a probléma tavaly szerencsére többeket foglalkoztatott, ami javulást hozhat ezen a téren.
(8) Cell phone unlocking. A mobiltelefonunk erőteljesen beintegrálódott a privátszféránkba, így joggal várhatjuk el, hogy nagyobb kontrollt akarunk elérni felette, és ha kell, például tűzfalak telepítésével blokkolhassuk az egyes alkalmazások tevékenységét.
...
Végeredmény: a összesen 6 pont érintett, ez elég jelentős arány – kíváncsi vagyok, jövőre feljebb kúszik-e az érintett területek száma.
OEP adathozzáférés letiltása
|
|
2014.01.04. 05:04:34
Gulyás Gábor
Ezúton kíván a PET Portál boldog, prosperáló új évet kedves Olvasóinak!
Az évet egy aktuális hazai hírrel kezdjük. 2014. január 1-től kezelőorvos jogosult áttekinteni az OEP adatbázisában a beteg ellátásainak előzményeit. Amennyiben valaki ezt nem szeretné, a következő dokumentum második oldalának az OEP-hez való eljuttatásával tilthatja le a hozzáférést.
Kicsit béta, de érdekes: Netograph
|
|
2013.11.28. 05:48:56
Gulyás Gábor
Ez egy érdekes web poloska megjelenítő Firefox plugin – elvileg, ugyanis saját URL-t még nem sikerült beadni neki. Mindenesetre érdekes koncepció.
A Ghostery-t észrevehetik a weboldalak
|
|
2013.11.25. 05:16:44
Gulyás Gábor
Érdekes írást közölt Nick Nikiforakis, amelyben leírja, hogy hogyan detektálhatja egy weboldal, ha Ghostery-t használva látogatunk el rá. Mivel a Ghostery egy rövid időre a lap betöltődésekor beszúr egy HTML elemet, amit a weboldal így detektálhat, vagy akár "el is kaphat":
Lassan elég sokan használnak valamiféle web blokkolót, amelyekkel a weboldalak azonosítási, vagy reklámozási próbálkozásai elől akarnak egyesek elbújni (jogosan!). Előbb-utóbb azonban a weboldalak reagálni fognak erre, és ha detektálják, hogy a felhasználó védekezik, megpróbálhatják majd azt kikerülni. A kör bezárult, kezdődik a játék elölről.
(Érdemes megnézni a Doodle oldalát adblock mellett: észreveszik a turpisságot, és jelzik, hogy ők reklámból élnek, és ha nem szeretnénk reklámot nézni, fizessünk elő prémium csomagra. Abból a szempontból mindenképp dicséretes, hogy legalább felkínálnak alternatívát a reklám nézegetése helyett...)
Allesandro Acquisti arról, hogy miért fontos a privacy
|
|
2013.11.21. 05:20:12
Gulyás Gábor
Infografika: NSA adatgyűjtés
|
|
2013.11.15. 05:01:01
Gulyás Gábor
Persze ez a kedvezőbb eset, USA polgárokra vetítve (a külföldiek még annyi joggal sem rendelkeznek).
Mit jelent az NSA megfigyelése a gyakorlatban?
|
|
2013.11.12. 04:54:25
Gulyás Gábor
Új anonim böngésző: EPIC Privacy Browser
|
|
2013.11.07. 05:42:37
Gulyás Gábor
Talán Olvasóink többsége már hallott az EPIC Privacy Browser elnevezésű új anonim böngészőről. Üdvözlendő kezdeményezés, ami kissé okot adhat a fenntartásokra, az a böngésző alapja:
Az Epic már első pillantásra is egyértelműen a nyílt forráskódú Google Chromium böngészőre épül, ennél pontosabban cikkünk írásának idején a legfrissebb 29-es verzióról volt szó. Ettől függetlenül a fejlesztők első lépésben kiszedtek belőle minden a keresőcéggel kapcsolatos adalékot, amelynek köszönhetően például a könyvjelzők és jelszavak szinkronizálásra sincs lehetőség, sőt: a Chrome Web Store-ból kiegészítők sem telepíthetőek hozzá. Mindez jelen esetben teljesen normális.
Ugyan igyekeztek tisztába tenni a forráskódot, és biztos nagyszerű munkát is végeztek a lehetőségekhez képest. De mi van, ha mégsem sikerült mindent kellőképpen eltávolítani, mert rejtett kiskapuk és gyengeségek is voltak benne? (Szándékosan az NSA programjai miatt.)
Attól még, hogy nyílt forráskódú egy szoftver, nem vagyunk automatikusan előrébb, hiszen ez akkor lesz értékes tulajdonság, ha rendszeresen át is nézik szakértő felhasználók a kódot. Többek között emiatti került a TrueCrypt több ízben kereszttűzbe, és tűzték ki célul lelkes felhasználók a teljes átvizsgálását.
A Collusion kiegészítő utódja: Mozilla Lightbeam
|
|
2013.11.04. 05:31:19
Gulyás Gábor
A Firefox-hoz megjelent a Collusion utódja, a Ligthbeam nevű kiegészítő.
A felhasználóknak nyújtott funkciók (pl. több hasznos nézet) mellett az egyik legjelentősebb előrelépés, hogy nyitnak a hirdetők felé. Jelenleg – kissé leegyszerűsítve – ugyanis a web két szignifikánsabb részre szakadt a webes nyomkövetésről alkotott vélemények tekintetében: az egyik oldalon azt hangoztatják, hogy a nyomkövetés (és minden kapcsolódó dolog) alapvetően rossz, a másik oldalon pedig ugyanezt a szükséges jónak állítják be, hogy ne kelljen unalmas reklámokat nézegetni. Pedig elbeszélnek egymás mellett.
Az alapvető probléma ugyanis a hozzájárulás nélküli megfigyeléssel van, és az ehhez kapcsolódó tevékenységekkel. Egész más a helyzet, ha a felhasználó tudja, hogy mit tárolnak róla, és hogy kicsodák, és hogy a gyűjtött adatok milyen hirdetéseknél, vagy ajánlatoknél kerülhetnek felhasználásra.
Éppen ezért tűnik előrelépésnek, ha a megfigyelőkkel is egyeztetnek.
Használjunk PET-eket, de csak okosan!
|
|
2013.10.31. 05:57:44
Gulyás Gábor
Az alábbi diasor jól mutatja, miért baj, ha rosszul használjuk a technológiát: biztonságban nem leszünk, de azt hisszük. Éppen ezért fontos, hogy minden részletre odafigyeljünk, hangoztatják a Tor fejlesztői, mikor hangsúlyozzák, önmagában a Tor nem elég, de a Tor Browser Bundle-t is mellé kell párosítani.
Az NSA-nél is rájöttek már erre:
Persze ez egy sokkal általánosabb probléma. Gondoljunk például az anonimitási paradoxonra a Panopticlick esetén: a Privoxy (PET) felhasználók a kísérlet során jobban azonosíthatóak voltak, mint az átlag, akik nem igyekeztek védeni a privátszférájukat. De ez igaz azon felhasználók többségére is, akik az ujjlenyomatozással szemben házilag összeválogatott böngésző kiegészítésekkel akarnak védekezni. Ugyanis sok esetben ezek (részlegesen) detektálhatóak, és mivel egyedi az összeállítás, a detektált információ a megfigyelőnek dolgozik...
Don´t get Scroogled: működött a félelemkampány
|
|
2013.10.29. 05:09:31
Gulyás Gábor
A HVG írta:
Talán emlékeznek még a nagy vihart kavart Scroogled kampányra, amelyben a Microsoft azért állította pellengérre a Google-t, mert az rajta tartja a szemét a felhasználók levelein, keresésein, és annak megfelelően bombázza őket hirdetésekkel.
...
Az egyik, reklámhatékonyságot vizsgáló cég, az Ace Metrix kutatása mindezek után meglepő eredményt hozott: a Scroogled kampány hatékony volt, méghozzá a Microsoft szempontjából. A korábban Google-t használók 53 százaléka állította ugyanis, hogy kipróbálja a Binget, vagy legalábbis elkezd közelebbről is tájékozódni róla.
Azért nagyon meglepődnék, ha a Microsoft szennyesét alaposabban megvizsgálva nem derülnének ki roppant hasonló dolgok. Hiszen a legtöbb cég nem a hardver eladásából és a szolgáltatások közzétételéből akar megélni, hanem a felhasználóikat akarják értékesíteni, mert az hosszú távon is pénzt hoz, és több bőr is lehúzható így a "termékről". Az volna a meglepő, ha a Microsoft nem kacsingatna ebbe az irányba.
A kormányzati megfigyelési vonalon már pedzegetik, hogy azért ők sem feddhetetlenek, ugyanis a Windows 8 kapcsán felvetődött a gyanú, hogy beépített kiskapuval rendelkezik.
Videó: Hot on Your Trail: Privacy, Your Data, and Who Has Access to It
|
|
2013.10.25. 05:25:08
Gulyás Gábor
Érdekességek és hírek
|
|
2013.10.21. 05:11:22
Gulyás Gábor
Ujjlenyomatozásnak hívják, bár a blogon használt terminológiától kissé más értelemben, mindenesetre tanulságos: az NSA-nak arra is volt módszere, hogy kiszűrje a feltehetően rejtőzködés során használt kártyás mobilokat. A módszerűk egyszerű: az elkövető rövid ideig használ egy készüléket, majd vagy eldobja, vagy visszateszi a sor végére, és jön a következő – a telefonok használatainak kezdő és befejező időpontjai alapján azonban idővonal-szerűen feltérképezhető az egyén tevékenysége. Tanulság? Elrejtőzni nehéz, mert a meta adatok sok minden elárulnak (collecting meta = surveillance).
Az Apple, a Google után a Microsoft is saját követési technológiát szeretne (noha a Google még nem erősítette meg, vagy cáfolta hivatalosan a terveit). Valamennyi említett cég olyan alapvető termékekkel rendelkezik, amelyeknél ha fennállna a követési rendszerek bevezetése, valószínűleg a döntő többség inkább engedné, csak a kényelmes és bevált megoldásait ne kelljen lecserélni (főleg hogy már egyszer fiezetett is érte).
Végül pedig egy tipp moziba járóknak: a moziban a legjobb ad-blocker a popcorn. :-)
A Shodan legalább arra jó, hogy tükröt tartson elénk
|
|
2013.10.18. 06:03:07
Gulyás Gábor
Mert látványosan megmutatja, milyen szinten állunk biztonság és privátszféra-védelem tekintetében. A kép után a Forbes gyűjteménye következik.
Az NSA botrány innen már csak egy absztrakciós szinttel van feljebb. :-)
Rövidhírek a webes nyomkövetés világából: ahogy ők nézik a világot
|
|
2013.10.14. 05:41:07
Gulyás Gábor
Webes nyomkövetés a marketinges szemével: a Woopra. Bár egy regisztrált felhasználók kezelésére szakosodott eszközt kínálnak, mégis jó rálátást ad, hogyan gondolkodnak ők. (Ez azért is fontos, mert hosszú távon nem oldja meg a problémát a tüneti kezelés, mint például a nyomkövetők blokkolása. Olyan megoldásokra van szükség, amelyek a személyes megfigyelést kiiktatják, de a marketing számára is adnak használható eszközöket.)
Egy másik cég meg statisztikák alapján azt kutatta ki, hogy a nők mely időszakokban a legsérülékenyebbek (például mikor érzik legkevésbé vonzónak magukat), és ezekre az időszakokra koncentrál a reklám- és egyéb tevékenységével. Duplán etikátlan.
Az Inria fejlesztésében egy érdekes kutatás zajlik, amely segítségével megtudhatjuk mennyit ér a böngészési előzményünk (vagyis mennyiért árusítják ki a privátszféránk). Nem túl magas az ára – így joggal kívánhatjuk, hogy bárcsak lenne mód fizetni a privátszféránk feladása helyett...
Az ízlésprofil önmagában azonosít - érdekes fejlemény a webes nyomkövetésben
|
|
2013.10.10. 05:44:23
Gulyás Gábor
Régebben a sütiket arra (is) használták, hogy a felhasználókat azonosítsák segítségükkel. Azonban a webes nyomkövetés kinőtte már ezt a módszert, és új lehetőség után nézett: ez pedig az ujjlenyomat alapú nyomkövetés volt, amelyben eleinte a felhasználó böngészőjét, majd a rendszerét, később pedig az eszközt azonosították. (Bár véleményes, hogy eszköz ujjlenyomatról beszélhetünk-e egy PC esetén, hiszen újratelepítés után viszonylag kevés stabil pont áll rendelkezésre az ujjlenyomat rekonstrukciójához. Mobil eszközök esetén működhet.)
Friss hírek alapján a legkorszerűbb nyomkövetők is alkalmazzák az eszköz ujjlenyomatokat, de csak arra, hogy egy eszközön összekössék a felhasználó tevékenységét. Majd a tevékenységek alapján ízlésprofilt építenek, amely egy idő után egyre jobban jellemző "mintát enged kirajzolni", és így beazonosítja a felhasználót. Ennek segítségével pedig már képesek a felhasználó különféle eszközeit össze is kapcsolni.
Meglepő módon az érintett cég képviselői tudatosan kerülik a "track" kifejezést, és állításuk szerint a kínált megoldás egy privátszférabarát megoldás, de az eddigiek alapján ez inkább hazugságnak és marketingfogásnak tűnik, mint ténynek. Már csak azért is, mert egy kevésbé részletes, de az egyedi jellemzőkre fókuszáló ízlésprofil alkalmas a személyes azonosításra: például a Netflix díj kapcsán kiadott 480 ezer anonimizált felhasználó többsége (99%+) mindössze 6 db film értékelése alapján már egyedileg azonosítható volt az IMDb értékeléseivel összevetve.
Egyszerűen azért, mert ugyan vannak filmek, amit a többség megnéz, de meg lehet találni azokat a filmeket, ami alapján valaki eléggé "kilóg a sorból". Ez pedig nem csak a filmekre, hanem általában véve igaz a nagyobb adatbázisokra – éppen ez az egyik (privacy) veszélye ezeknek, és nem könnyű ezt a problémát kivédeni (bár vannak törekvések, mint például a differential privacy).
Mit figyel meg az NSA?
|
|
2013.10.07. 06:00:55
Gulyás Gábor
Az NSA elsősorban a webes forgalom egy egész kis részét vizsgálja (saját kiemelés):
The seven-page document, titled "The National Security Agency: Missions, Authorities, Oversight and Partnerships", says the agency "touches" 1.6% of daily internet traffic – an estimate which is not believed to include large-scale internet taps operated by GCHQ, the NSA's UK counterpart.
The document cites figures from a major tech provider that the internet carries 1,826 petabytes of information per day. [...] "In its foreign intelligence mission, NSA touches about 1.6% of that," the document states. "However, of the 1.6% of the data, only 0.025% is actually selected for review.
"The net effect is that NSA analysts look at 0.00004% of the world's traffic in conducting their mission – that's less than one part in a million."
Azonban a meta-információk nem foglalnak sokat. Szóval ez akár rettentő sok információ is lehet, és elegendő a teljeskörű megfigyeléshez (nem véletlen, hogy ilyesmit gyűjtenek az EU-ban is Data Retention címen). Bruce Schneier – kissé leegyszerűsítve a dolgokat – odáig is elmegy, hogy egyenlőségjelet tesz a megfigyelés (surveillance) és a meta-adatok gyűjtése közé. Van benne valami.
Aki kíváncsi, mi minden tartozik bele a meta-információk körébe, nézze meg a Guardian kisokosát:
Teaching Privacy: jó összhangban a tartalom és a megjelenés
|
|
2013.10.04. 05:35:40
Gulyás Gábor
Privátszférát érintő hírek röviden
|
|
2013.10.01. 05:23:57
Gulyás Gábor
A Google Hummingbird-ről még nem sokat tudni. Azt azért tudjuk, hogy az új algoritmus inkább a keresőkifejezés emberi értelmezését veszi figyelembe majd, és a mögöttes jelentést próbálja meg a Knowledge Graph nevű tudásbázissal összekapcsolni. Ebben jóval nagyobb szerepet kaphatnak már a felhasználókról gyűjtött információk. Egyező irányba halad az utóbbi tíz évben az online hirdetésipar is, kíváncsi leszek, milyen hatással lesz az új motor a privátszférára, illetve milyen új szolgáltatások, termékek jelenhetnek meg ennek kapcsán.
Érdekes cikk a Facebook "data scientist" csoportjáról – ők azok, akik belelátnak a Facebook teljes adatbázisába, és új eljárásokat keresnek, hogy tudjanak is kezdeni vele valamit. Ez a sohasem látott adatmennysiég kiváló lehetőséget nyújt az emberi viselkedés kutatására, de bizonyos eredményekkel szemben érdemes kételkedni: a Facebook (és az utóbbi évek digitális "forradalma") a megfigyeltek viselkedésére is jelentős hatással volt.
A Google rájött, ha hagyják, hogy továbblépjen valaki a hirdetéseken a YouTube-on, háromszor olyan hatékony lesz a hirdetési ráta. Ez általánosabb kontextusban is igaz lehet. Ha az online hirdetők kikérnék a véleményünket (és hozzájárulásunkat), lehet, hogy a hirdetések is pontosabbak és hatékonyabbak lehetnének.
Végezetül pedig íme néhány kőkorszakinak tűnő mobiltelefon lehallgató eszköz. :-)
Elfedhetjük-e személyünk genetikai vizsgálat közbe anonim böngészéssel?
|
|
2013.09.27. 05:25:30
Gulyás Gábor
Érdekes kísérletet hajtott végre Sarah A. Downey, amikor a személyes genetikai kockázataira volt kíváncsi. Úgy kereste fel a 23andme nevű céget, hogy a DNS elemzéshez szükséges minta és az ő személye közötti kapcsolatot elfedte, tartva attól, hogy az elemzés végeredménye a USA kormánya kezébe kerülhet. Az akcióhoz álnevet használt, és anonim böngészési eszközökkel kereste csak fel a cég weboldalát (a jelentkezés során és az eredmények megtekintésekor is):
First, any time I went to 23andMe’s site, I used a few privacy tools, including a Virtual Private Network (VPN) service. ... Then I opened a new Firefox window in Private Browsing mode while running DoNotTrackMe, a tracker-blocker, and MaskMe, an add-on that creates aliases of your contact and payment information, and went to 23andMe’s website.
[...]
I put a kit in my shopping cart and was asked to provide a name for it, so I gave a fake one. When filling out shipping information, I re-entered the same fake name and gave Abine’s address. I was able to do this because A), I actually work there and would get the package; and B), any virtual cards created in MaskMe automatically have Abine’s address as the card’s billing address.
I used MaskMe to create a new alias email address and auto-fill with my masked phone number. Both of these aliases forward to my real information, so I knew I’d still get email confirmations and phone calls. For billing, I again gave my fake name and Abine’s address, then generated a “Masked Card” in the amount of the testing kit.
Ügyes, és egyéb esetben tényleg nagyszerű eszköz lehet a MaskMe (nem rég írtunk róla), de azért több mindenre oda kell figyelni genetikai elemzéskor.
Bármilyen plusz információ ugyanis nyomra vezethet a minta tulajdonosának megtalálásában. Egy esetben például egy kb. 500 fő anonim DNS mintáját tartalmazó csoport 42%-át tudták újra beazonosítani (97% pontossággal), mert a résztvevők megadtak néhány demográfiai adatot (nem, születési dátum, irányítószám – csak úgy, mint egy "aluljárós kutatásban" :-) ), amelyek nyilvános forrásokból visszakereshetőek voltak. Éppen ezért ügyelni kell az ilyesmire, mint például a szállítási címre is, hogy az kellően sok emberhez tartozhasson potenciálisan (így pl. a hölgy esetén a cég nevére/címére történő rendelés nem volt túl szerencsés).
Egy másik érdekes kutatás arra hívja fel a figyelmet, hogy egy illető DNS mintájának a jelenléte akkor is kimutatható egy "vegyes mintából", ha az összességében csak 0,1%-ot tesz ki belőle. Bizonyos esetkben is segíthet a deanonimizálásban, például ha egy adott helyszínről származó mintáknál kell megmutatni, hogy akit keresnek, szintén jelen szokott lenni – bár ez már inkább az extrém eset, és csak az érdekesség kedvéért említem.
Google Glass Privacy Policy :-)
|
|
2013.09.24. 05:33:04
Gulyás Gábor
Google AdID?
|
|
2013.09.19. 05:20:22
Gulyás Gábor
Kíváncsian várom a további részleteket erről (ahogy gondolom sokan mások is):
Apple's Safari browser has blocked third-party cookies since its introduction in 2003, and the technology giant introduced its own ad identifiers for its iOS mobile platform last year.
If Google follows through with its own version of this approach, that could give users more control over how they are tracked online. However, it will also put more power in the hands of two of the largest technology companies, according to some people in the advertising industry.
...
However, the new tool will give users the ability to limit ad tracking through browser settings, according to the person familiar with the plan.
The AdID may be automatically reset by the browser every year, and users will be able to create a secondary AdID for online browsing sessions they want to keep particularly private, the person explained.
Advertisers will get access to these AdIDs, as long as they adhere to the terms of the program. However, users may be able to change the list of approved advertisers, through controls in the browser, to exclude specific firms, the person added.
Jól és rosszul is könnyen elsülhet egy ilyen kedvezményezés, nagyon sok múlik a részleteken. Elképzelhető, hogy csak centralizálni fogja egyes nagy hirdetők hatalmát (mint a Google is maga), de ha nem, az is érdekes kérdés, hogyan ellenőrzik, hogy a résztvevők betartják-e a feltételeket.
UPDATE (2013-09-20 9:30): két további olvasmány a témáról, sok a találgatás – szerencsés, hogy nem passzívan várja mindenki, hogy mi fog érkezni.
A valóság most sem fekete-fehér: az NSA kistestvérei
|
|
2013.09.13. 05:37:41
Gulyás Gábor
Egy előző bejegyzésben az NSA megfigyelési képességeiről írtam, és most ehhez kapcsolódóan szeretném kissé árnyalni a képet a problémakör EU-s, hazai és gazdasági szereplőinek tevékenységének bemutatásával. Ugyanis ezeket a szereplőket nem tekinthetjük a nagytestvér mellett elhanyagolható méretűnek, csak kevesebbet hallunk róluk, mert sajnos keveset is tudunk a pontos működésükről.
Tehát, hazai pályán mi is a helyzet? Az EU bevezettette a Data Retention direktívát (DRD), aminek köszönhetően a tagállamok többségében kötelező a legtöbb digitális kommunikációs forma automatikus "lehallgatása" (pl. vezetékes- és mobiltelefon, email), hazánkban 2009-ben vezették be. Még van pár ellenálló állam, akik várnak a bevezetéssel, mint Ciprus vagy Németország, de ez nem jelenti, hogy ezekben az államokban egyáltalán nincs online megfigyelés, hanem csak annyit, hogy ez más keretek között zajlik.
Mivel a DRD csupán ajánlás, így alul nem, de túlteljesíteni lehet: például előírja, hogy az email küldésnél a küldő-fogadó párost és a tárgy sort eltárolják, de a törzs részt nem. Azonban a túlbuzgóság megengedett, ezt is eltárolhatják. Sajnos nem láttam még olyan dokumentumot, cikket, ami a hazai helyzetet mutatná be, hogy az egyes szolgáltatók pontosan mit "hallgatnak le", és hogyan tárolják az adatokat (például mennyire nehéz illetékteleneknek hozzáférniük). Még 2008-ban a CEU-n volt egy nemzetközi workshop, ahol egy csehországi szakember szerint az egyik internet szolgáltató önszorgalomból a web böngészésről is tárol információkat (mert nem a direktíva része). A hazai érintett cégek vélhetően a "nép haragjától" tartva inkább nem nyilatkoznak maguktól.
Amiről egyik nagytestvér kapcsán sem esik szó, mégis témába vág: az a gazdasági célú megfigyelés. Ebbe az internethasználók szokásainak, ízlésének, anyagi helyzetének felmérése tartozik bele, amelynek a célja lehet a személyre szabott reklámok megjelenítése, döntések és lehetőségek befolyásolása, vagy akár a dinamikus árazás, amikor a látogató zsebéhez/érdeklődéséhez szabják az árakat (ez utóbbi az EU-ban mondjuk tilos). Mindebben óriási üzlet van, becslések szerint az online hirdetési iparág tavaly 37 mrd. USD bevételt könyvelhetett el (pedig ez csak egy ágazata a problémának), így ezen megfigyelési típus hátulütőit könnyebben érzékelhetik az áltagos web-használók is.
Amerikai kutatók úgy becsülik, hogy bizonyos megfigyelők az emberek online tevékenységének több, mint 20%-át is látják – a felmérések egyértelműen erre utalnak, ugyanis a top weboldalak ijesztő mértékben be vannak "poloskázva". A kutatók az Alexa top 500-ban 524 különböző megfigyelőt azonosítottak, és összesen 7264 poloskát találtak. Más kutatások pedig a közösségi gombok elterjedtségét 35%-ra teszik a top 10 000 oldal között: ugyanis a Like, Tweet, +1 gombok éppúgy poloskaként működnek, mint a rejtett társaik.
A nagy testvér tehát létezik! De mit tehetünk? NSA-botrány összefoglaló.
|
|
2013.09.10. 05:55:38
Gulyás Gábor
Elég sok információ derült ki a PRISM ügy kapcsán már csütörtökig, és akkor gondoltam, hogy írok egy – kissé spekulatív – bejegyzést arról, hogy mire lehet képes az NSA, illetve mit lehet a megfigyelés ellen tenni. Mire elkészült volna, újabb információk kavarták fel a web vizét, jóval kevesebb spekulációra adva lehetőséget: már tudjuk, hogy az NSA bizonyos titkosított forgalmakat/üzeneteket is képes elemezni, megfigyelni. Szerencsére nem arról van szó, hogy feltörték volna a kriptográfia alapjául szolgáló algoritmusokat, hanem gondoskodtak róla, hogy a lehető legtöbb implementációban és szolgáltatónál legyenek kiskapuk, amikor "be szeretnének kukucskálni".
Korábban is lehetett sejteni, hogy a szuperszámítógépek ("adversary is capable of a trillion guesses per second") és az órási szakértői tudás ellenére sem képesek mindenütt permanens megfigyelést végrehajtani (bár behatolni valószínűleg igen, csak ezek a célzott támadások elég körülményesek, rizikósak és túl sokba kerülnek a tömeges alkalmazáshoz).
Ezért az NSA a könnyebb utat választotta: megegyezett a nagyobb cégekkel, hogy biztosítsanak a megfigyeléshez felületet, illetve telekommunikációs szolgáltatókkal is keresték a partneri kapcsolatot, szoftver készítő cégeknél pedig kiskapukat építtetek a termékekbe. Ez utóbbi ráadásul nem is rizikós: zárt kódú szoftvereknél a lebukás esélye minimális, és ha meg is történne, úgy intézték, hogy hibaként lehessen elmaszatolni a felfedezett gyengeséget (pl. protokoll változóinak befolyásolása, rossz véletlengenerátorok).
Ezt támasztja alá a Silent Circle nevű cég biztonságos email szolgáltatásának hirtelen leállítása. A cég mielőtt megkereshették volna őket a kormánytól (a botrány kezdete óta közel 400%-os növekedésük volt), inkább leállították a szolgáltatást és az adatokat törölték. Ugyanis ez esetben kénytelenek voltak belelátni a levelezésbe a protokoll nyíltsága miatt, míg más szolgáltatásaiknál end-to-end titkosítást alkalmaznak.
Emellett voltak törvényi törekvések a "lefedettség" növelésére (illetve szakmai is, ld. a 2013-as célkitűzéseket), erre utal az is, hogy törvényileg szerették volna az USA-ban is jelenlévő cégeket kötelezni a lehallgathatóságra, amit ha egy cég elmulasztana, napi 25 000 USD lenne a büntetése. Ez a törvény egyféle catch-all-ként működne: külön pénzkiadás nélkül be tudnánk poloskázni a fennmaradó cégeket, hiszen mindenki automatikusan partnerré válna (csak szemben a PRISM résztvevőkkel, ezek a cégek mindezt ellenjavadalmazás nélkül tennék, így olcsóbb az államnak).
Mit lehet tenni? A nyílt forráskódú kriptográfiai és PET technológiák kevésbé vannak kiszolgáltatva manipulációnak és nagy mennyiségben ezt nem tudja az NSA sem lehallgatni, így ilyen eszközöket érdemes használni. A következőket ajánljuk (egyeseket Bruce Schneier is használ és ajánl): KeePass, TrueCrypt, Thunderbird + Enigmail + GnuPGP vagy GPG, Tails, OTR, BleachBit. És persze nem érdemes gmail-es címet használni. :-)
Akit érdekel a téma, tudom ajánlani Bruce Schneier útmutatóját az online privátszféra megerősítéséhez. Ez a cikk nem csupán végigveszi az előzményeket (linkekkel) és bemutatja a fennálló helyzetet, hanem konkrét javaslatokat is tartalmaz, illetve a végén Bruce említ néhány PET-jellegű szoftvert, amit ő is használ, mióta a botrány tart (némi átfedésben a fentebbi listával). A theguardian ezen kívül még további érdekes cikkeket is közölt, amit érdemes elolvasni.
UPDATE (2013-09-10 13:35): mivel a TrueCrypt-et azért éri némi – akár óvatosságra intő – kritika, alternatívaként érdemes körbenézni a további lehetőségek között.
Twitterspirit: amikor a privátszféra védelme nem csupán rejti, de ki is emeli a lényeget
|
|
2013.09.03. 05:55:45
Gulyás Gábor
Érdekes funkciót kínál a Twitterspirit: engedélyezzük a profilunkon, és a megfelelő módon felcímkézett üzenetek automatikusan törlődnek. Ehhez csupán arra van szükség, hogy a tweet életidejét jelöljük a megadott formátumok egyikével (pl. #1m, #3m, #2y). Ez egy remek ötlet, igazából lehetőséget ad az EU által is propagált felejtéshez való jog gyakorlatba ültetésére – bár a kivitelezés elvével akad pár probléma.
Ugyan bízhatunk benne, hogy a nagyközönség nem fogja olvasni az adott idő letelte után üzenetünket, azonban nincs garancia rá, hogy senki sem fogja az efféle üzeneteket idő előtt archiválni. Főleg, hogy ezekre elég könnyű szűrni (és így archiválni), köszönhetően a címke hashtag funkciójának. Így jöttem én is rá, hogy másoknak sem működik ez az alkalmazás valami tökéletesen. :-) A másik probléma, hogy ez a címke a nagy testvér számára is indikátor lehet, hogy ezekre a tweetekre több figyelmet fordítsanak.
Nekem egyébként – ahogy fentebb is írtam – nem is működött a @GulyasGG csatornámon, de ettől függetlenül már magára a működési elvre is érvényesek a fenti megállapítások.
Facebook: ahol te vagy az áru :-)
|
|
2013.08.31. 05:51:51
Gulyás Gábor
Amikor a bank a hitelét nem fizető Facebook-os kapcsolatokat is figyelembe veszi
|
|
2013.08.30. 05:23:35
Gulyás Gábor
Amikor privacy-ről, megfigyelésről, azonosításról és hasonlókról van szó, mindig van néhány ember, aki az "És akkor mi van?" álláspontra helyezkedik, és úgy véli, hogy mindezeknek a jelenségeknek igazából nincs semmi jelentősége. Ha őket nem is tudjuk meggyőzni, de az e irányba hajló bizonytalanoknak üzenünk egy konkrét példával, amikor is a pénzintézet efféle eszköket bevetve dönt a hitelkérelem elbírálása során.
A cikk által említett Kreditech nevű vállalat a hitelkérelem elbírálása során két érdekes forrást vesz figyelembe. Egyrészt negatív súllyal esnek latba a felhasználó azon Facebook-os kapcsolatai, amelyek késedelmesen fizetik a törlesztőrészleteket, másrészt pedig figyelik, hogy a kérvényező (webes) űrlapot hogy tölti ki az illető. Így például aki nem tölt kellő időt a részletesk olvasgatásával, szintén veszik hitelfelvevő-erejéből (mert ugye az EULA-t is mindenki elolvassa :-)).
Ugyan ez egy konkrét eset, amikor a saját bőrén tapasztalhatja meg valaki ezen technológiák hátrányait, de sajnos jelenleg túl áttételesen zajlik a megfigyelési, azonosítási technológiák elterjedése, ahhoz hogy a legtöbben ezt a folyamatot észrevegyék, értelmezzék és tegyenek ellene. Viszont így előfordulhat, hogy mire a probléma tömegek számára is érzékelhető lesz, akkor már nem lehet (egykönnyen) tenni ellene, mert az egész webes iparág a megfigyelésből származó bevételektől fog függenni. Ez a lehetőség főleg akkor lehet komoly probléma, ha az asztali számítógépünk tovább fejlődik a vékonykliens irányba, és minden a webről megy majd.
FireGloves: önstünk tiszta vizet a pohárba!
|
|
2013.08.27. 05:54:13
Gulyás Gábor
Talán Olvasóink egy része hallott már az Ujjlenyomat 2.0 tesztről és az ehhez (vagy inkább e mellett) készült FireGloves kiegészítőről (amelyek egyébként elérhetőek a bal oldali menüben is). Bár tavaly szeptember óta nem fejlesztjük a kiterjesztést, és ezt ki is írtuk a honlapra és az addons oldalára is, mégis megmaradt kb. 2000 felhasználónk, és néhány hetente kaptunk 1-1 hibabejelentést vagy segítségkérést.
Az utóbbi időben azonban igen megugrott a felhasználók és a beérkező levelek száma, köszönhetően annak, hogy néhány külföldi weboldal szép sorban beszámolt a kiegészítőről. Ennek nagyon örülünk, hiszen egy megoldatlan problémára hívják fel "átlagfelhasználók" figyelmét, azonban annak kevésbé, hogy a FireGlovest úgy mutatják be, mint egy élesben használható anti-ujjlenyomat technika. Ez sajnos azonban nem igaz, hiszen ez csak egy koncepciót demonstrált, és a védelmi mechanizmusai könnyen megkerülhetőek.
Ebből az apropóból fakadóan írtam egy a fentieknél kicsit bővebb, a hátteret és jelen helyzetet tisztázó bejegyzést az angol nyelvű blogba, amelyet ez úton ajánlok az érdeklődő Olvasók figyelmébe.
Érdekelnek a rövidebb hírek, érdekességek, újdonságok is? Nem mindegyikből lesz itt is poszt, ezért ha igen, kövesd a Twitter fiókomat is!
Amikor a hirdetőnek több kell a lelkedből...
|
|
2013.08.21. 05:06:54
Gulyás Gábor
Olyan világban élünk, ahol a digitalizálódó környezetünk által egyre többen akarnak belelátni a magánéletünkbe, ami a hirdetési iparnak pénzt hoz: akik az elsők között vezetik be ezeket a funkciókat, jelentős többletbevételhez jutnak versenytársaikhoz képest. Aztán ez az előny egy idő után elmúlik, de a vesztes oldalon az elejétől kezdve ugyanaz marad: a fejőstehén szerepét játszó adatalany. Akiről következő lépésben egy újabb bőrt húznak majd le, mert a bevételnek növekednie kell, és a piacon sem áll meg a verseny.
A napokban felröppent két érdekes hír, amelyek alapján új frontok megnyílására számíthatunk. Az egyik a közösségi médiában erősödő érzelem naplózásról számol be, miszerint egyre több szolgáltatásban van lehetőség ezt is feltüntetni a közlendő mellett (Facebook, bit.ly). A szolgáltatók arra számítanak, hogy algoritmusok helyett a felhasználókra hagyatkozva pontosabb információkhoz juthatnak majd, ami végül a magasabb hirdetés átkattintási rátát fogja eredményezni.
A másik potenciális húzása a hirdetési iparnak talán már beleillik a hátborzongató kategóriába, ez pedig a pay-per-gaze. Azaz a hirdetőnek nem a megjelenítés, vagy az átkattintás után kell fizetnie, hanem azután, hogy valaki hányszor tekint rá a hirdetőfelületre. Ez nem csupán egy újabb terület meghódítását jelenti, hanem egy nagyon komoly (és durva) behatolást a személyes privátszférába.
Ha valakit érdekelnek apróbb hírek, érdekességek, amelyekből nem mindig születik blogbejegyzés, kövessen Twitter-en!
Érdekesség: wifi megfigyelő hálózat szinte fillérekből is építhető
|
|
2013.08.16. 05:30:09
Gulyás Gábor
Egy amerikai kutató mindössze 57 USD egységáron olyan készülékekből épített megfigyelő hálózatot, amelyek a wifi jelek alapján képesek követni a jelkibocsájtó eszközök mozgását. A 10 egységből álló tesztrendszerhez aggregátor és megjelenítő alkalmazás is készült, s így okostelefonok vagy egyéb eszközökkel felvértezett emberek mozgását volt képes megjeleníteni (bár a kutató állítása szerint csak saját magán kísérletezett, tekintve hogy odaát mostanában divat perelni a biztonsági kutatókat).
A wifi azonosítók (pl. MAC) segítségével pedig elég sok minden megfigyelhető, attól függően, hogy mekkora területet képes lefedni az elküvető. A rendszeres észlelésekből kikövetkeztethető, hogy valaki merre utazik (munkába/munkából/ebédelni/stb.), hol lakik/dolgozik (ami már önmagában egyedileg azonosít), esetlegesen milyen szokásai vannak. És mivel tavaly sikeresen azt is demonstrálták már, hogy a megfigyelt azonosítók is deanonimizálhatóak, így akár személyes megfigyeléssé is fajulhat a dolog. Érdemes tehát a Wifi-t akkor bekapcsolni, ha szükségünk van rá.
A dolog pikantériája, hogy a wifi csak egy a lehetőségek közül. Például ezeket az eszközöket BlueTooth, RFID követési képeségekkel is fel lehetne vértezni, és így növelni megfigyelési képességüket. Ezeket nehezebb is korlátozni, hiszen RFID matricák lehetnek a frissen vásárolt termékekben, vagy akár ruhába varrva is, és ezeket nem mindig olyan könnyű deaktiválni.
A privacy lesz a közeljövőben a hívószó?
|
|
2013.08.13. 05:29:36
Gulyás Gábor
Egyes vélekedések szerint igen, ahogy ma a 'zöld' és 'környezetbarát' kifejezésekkel könnyebb eladni:
Remember the 1990′s when companies rushed to brand their products as “enviro-friendly” to attract green-conscious consumers? A research firm suggests the same phenomenon could happen in response to how firms handle privacy and personal data.
Ez nem meglepő, de aztán sajnos az lesz az árnyoldala, hogy a 'privátszféra-barát' kifejezés kiüresedik, tartalma semmitmondóvá válik. Ez utóbbi már ma is megfigyelhető, gondoljunk csak a CryptoCat-re.
MaskMe: anonimitásnál is többet nyújthat?
|
|
2013.08.09. 05:52:29
Gulyás Gábor
Amikor a web privacy témakörből szoktam előadást tartani (például a tavaszi félévben itt és itt volt rá precedens), rendszeresen szoktam beszélni az anonim böngészőkről is, és azt is el szoktam mondani, hogy ma "csak" anonimek tudunk a segítségükkel lenni, bár elvileg ennél több is lehetséges volna. Ugyanis ha valaki anonimként látszik egy web oldal felé, már csak rajta áll, "hogyan mutatkozik be", azaz milyen nevet, email címet és egyéb adatokkal áll elő. (Anonim böngésző nélkül hiába cserélné le valaki ezeket az adatokat, azok összeköthetőek maradnának, és így a különféle weboldalakon végzett tevékenységek akkor is az ő profiljához fognak kötődni, ha ezt nem akarja.)
A szakmai nyelvben identitásmenedzsmentként említett funkciót eddig nem igazán lehetett a webes böngészési gyakorlatban látni, noha akadémiai körökben intenzíven foglalkoztak vele, még hazai pályán is készült diplomaterv a témában. A MaskMe ezt a rést kívánja betölteni (Chrome változat), ugyanis lehetővé teszi a különböző identitások alá tartozó adatok kényelmes kezelését, mint ideiglenes email címek, vagy a "kimaszkolt" bankkártya adatok. Ez utóbbi a fizetős változat része, aki nem fizet online túl sűrűn, annak az ingyenes megoldás is megfelelő lehet (és a biztonság kedvéért pedig PayPal-t, vagy internet kártyát érdemes használni). Tényleg pofonegyszerű a használata:
MaskMe működés közben. Klikk a képre nagyobb felbontásért!
Bár örvendetes a hír, de sajnos mindez még csak egy zsenge kezdeményezés, ugyanis a MaskMe nem használ anonim böngészőt. Így önmagában nem tekinthető bombabiztos megoldásnak, bár más, anonimitást nyújtó és/vagy privátszféra-erősítő kiegészítők mellett már érdemes lehet használni. (Érdekességképpen jegyzem meg, hogy a MaskMe alkotója készítette a GoogleSharing-et is.)
Amire még érdemes odafigyelni: a beállításokban az anonim adatgyűjtés alapból be van kapcsolva. Engem zavart, kikapcsoltam.
Érdekel még a téma? Szívesen hallgatnál előadásokat más, hasonló témákban? BME-s Olvasóknak tudom ajánlani az őszi félévre meghirdetett Anonimitás és privátszféra-védelem korszerű informatikai szolgáltatásokban c. tárgyunk, ahol sok más érdekes témakört érintve a web privacy-ről is lesz szó (sőt, két előadás erejéig!).
History stealing újra terítéken
|
|
2013.08.05. 12:09:21
Gulyás Gábor
A klasszikus, css-alapú history stealing techikát ugyan már 2010-ben eltemethettük (egy igencsak hosszú, 10 éves pályafutás után), de azért mégis felüti időnként a fejét, sőt, egész széles skálán találhatunk hasonló megoldásokat. Az idei BlackHat-en Paul Ohm közzé tett egy új technikát, ami a linkek renderelési sebessége alapján képes eldönteni, hogy valahol járt-e már a felhasználó vagy sem. Ugyanis a böngésző minden linket ismeretlenként jelenít meg először, majd kikeresi az adatbázisában, és újrarendereli, ha már jártunk ott. Ebből fakadóan ez utóbbiak renderelése mérhetően lassabb, és sajnos a probléma jellegéből fakadóan elég nehéz lesz javítani.
A kutató további technikákról is beszámolt. Az egyik az SVG renderelőt használja, hogy a felhasználó által is látott képet "meglesse", illetve a másikkal a látogatott weboldalak forrásához lehet hozzáférni, és azokból információt nyerni, mint például felhasználónevek és azonosítók.
Google Now - most, mindent, rólunk (videó és infógrafika!)
|
|
2013.08.02. 05:59:40
Gulyás Gábor
A Google Now mobilokon elérhető kereső szolgáltatásának lényegege, hogy a rólunk elérhető valamennyi információt felhasználva a lehető legpontosabb választ adja a felhasználó kérdésére. Ehhez felhasználja a telefonon elérhető különböző információforrásokat, mint a helyzetinformáció, naptárbejegyzések, keresési előzmények – vagyis lényegében egyszerre kezel minden rólunk elérhető információt.
Ez több okból is ijesztő. Ugyanis az adatok együttes kezelésében nagy biznisz van, ezt a Google is tudja, és emiatt a jövőben is inkább az efféle szolgáltatásokat fogja támogatni, szemben a privátszféra-erősítő törekvésekkel. Másrészt az összekapcsolt adatokból további implicit információk nyerhetőek, ami külön veszélyforrás lehet. (Például Gipsz Jakab péntek délutáni keresőkifejezése, a 'virág üzlet flórián tér', egyértelműen elárulja a keresőnek, hogy aznap este a feleségét készül meglepni, amihez máris kapcsolhatóak célzott hirdetések.) Vélhetően nehezebben fog kialakulni a felhasználókban ellenérzés ezzel a problémával szemben.
Szerencsére nem az a kizárólagos megoldás, hogy az ilyen (egyébként hasznos) szolgáltatásokat elvetjük. Úgy kellene megoldani őket, hogy az információk ne hagyják el a felhasználó készülékét. Erre egy megoldásként elképzelhető, hogy a keresések, lekérdezések központi anonimizáló proxy-kon mennek keresztül (ezen az elven működik a Google Sharing), de más megoldások is lehetségesek.
További információk a szolgáltatásról videóban a tovább után, illetve infógrafika a poszt végén!
Privacy hírcsokor
|
|
2013.07.29. 11:44:51
Gulyás Gábor
Eric Schmidt szerint ha van valami, amit nem szeretnénk mások orrára kötni, akkor lehet, hogy nem is kellene azt csinálnunk. Ezek alapján azt hihetnénk, hogy ez a 'valami' csak bűn lehet, pedig az embernek alapvetően szüksége van privátszférára: szükséges, hogy önmagunk lehessünk – mindamellett, hogy a szennyes elrejtésére is lehetőséget nyújthat. Úgy tűnik, hogy inkább ez utóbbi miatt, de ma már Eric Schmidt is szeretne egy kis privacy-t. [A privacy fontosságát illetően bizonytalan, illetve a mellette érvelni szándékozó Olvasóink számára ajánljuk ezt a cikket.]
Néhány hacker sikeresen demonstrálta: a túldigitalizált autók felett könnyű kívülről átvenni az uralmat. Ezek azonban olyan esetek, amikor közvetlenül a bőrén tapasztalja meg a sofőr és utasai a veszélyt (ún. aktív támadások) – azonban azok az esetek is legalább ilyen súlyosak, noha sokkal alattomosabbak, amikor csak megfigyelnek egy autót távolról. Így például könnyebben tervezhető meg egy betörés, vagy a szándékos baleset okozása.
Ítélet ugyan nem született, de a PulseNet nevű hirdető cég 1 millió USD-t fizet peren kívül, mert célzott hirdetések aggresszív terjesztésén érték tetten őket. Mivel ők komolyan veszik a felhasználók privacy-jét, az előbbi gyakorlatot beszüntették, és kárpótlást fizetnek tettükért. Ugyanis nagyjából három éven át úgy kerülték meg Safari felhasználók third-party süti blokkoló mechanizmusát, hogy JavaScript segítségével hirdetés-kattintásokat szimuláltak.
GSM lehallgatása - az ehavi slágertéma
|
|
2013.07.24. 05:48:01
Gulyás Gábor
A hónapban a GSM lehallgatás kapcsán már volt egy bejegyzésünk, ami szerint könnyű hamis bázisállomást építeni. (Kapcsolódó érdekesség jelent meg az ATV.hu-n, ami a hivatalos hazai lehallgatás lehetőségeit, jogi szabályait boncolgatja.) Újabb eseményeknek köszönhetően a nemzetközi sajtó ismét felkapta a témát:
Nohl, who will be presenting his findings at the Black Hat security conference in Las Vegas on July 31, says his is the first hack of its kind in a decade, and comes after he and his team tested close to 1,000 SIM cards for vulnerabilities, exploited by simply sending a hidden SMS. The two-part flaw, based on an old security standard and badly configured code, could allow hackers to remotely infect a SIM with a virus that sends premium text messages (draining a mobile phone bill), surreptitiously re-direct and record calls, and — with the right combination of bugs — carry out payment system fraud.
Ki tudja, mi jön még, mielőtt kivonják a piacról? :-)
Anonimitási paradoxon: a névtelen beazonosíthatóság
|
|
2013.07.23. 05:37:14
Gulyás Gábor
Az anonimitási paradoxon segítségével egy fontos dolgot érthetünk meg, ha PET-et szeretnénk használni: még a legtökélesebb technológia segítségével sem leszünk automatiksan anonimek, hanem ez jelentősen függ attól is, hányan használják az adott technológiát, szolgáltatást (erről bővebben írunk a most megjelenő könyvfejezetünkben). Ezt könnyen elképzelhetjük, ha egy maszkos, feketeruhás "ügyfelet" képzelünk el egy bankban. Bár ez az "ügyfél" anonim (a személyes identitása rejtett), mégis jól azonosítható megjelenésének köszönhetően.
Az anonimitási paradoxonáról az utóbbi időben az ujjlenyomat alapú nyomkövetésnél hallhattunk, ami néha ujjlenyomatozási paradoxon néven fordul elő a szakirodalomban (fingerprinting paradox). Már Peter Eckersley is írt a Panopticlick eredményeit feldolgozó tanulmányában erről, kiemelve hogy a Privoxy (PET) használói olyan kis létszámban vettek részt a kísérletben, hogy az átlagnál jobban azonosíthatóak voltak.
Általában véve az ujjlenyomatokkal szembeni védekezés során úgy érdemes megválasztani a védekezési eljárást, hogy a beállításaink sok más felhasználóéra hasonlítsanak. Ezért érdemes népszerű ujjlenyomat-védett anonim böngészőket használni, mint a JondoFox vagy a Tor Browser Bundle, ahelyett hogy magunk építenénk egy egyedi böngészőt, vagy egymás hegyére-hátára telepítenénk a privátszféra-védő kiegészítéseket.
GSM, az állandó túlélő?
|
|
2013.07.19. 06:04:54
Gulyás Gábor
A GSM már évek (évtiezedek? :-) ) óta több sebből is vérzik, de valamiért mindig talpon marad, és talán széleskörű elterjedtsége miatt nem kukázzák a szolgáltatók a technológiát. Most egy újabb gyengeségére derült fény, de valószínűleg ez sem fog változtatni a helyzeten:
"Az a legszebb az egészben, hogy a hekkeléshez szükséges egyetlen különleges hardver egy teljesen hétköznapi femtocella, amit 250 dollárért bárki megvehet a Best Buy áruházban. Ez a femtocella eredetileg azt a célt szolgálja, hogy aki magas építésű házban vagy civilizációtól távoli tanyán él, az a segítségével javítani tudja a mobilhálózati lefedettséget. A kütyü gyakorlatilag egy miniatűr bázisállomás, amit az ember a saját vezetékes internetelérésére köt rá. A közelben tartózkodó mobiltelefonok pedig ezen keresztül bonyolítják le a hívásokat, küldik az adatokat."
Hogyan védjük mobilunk, ha külföldön nyaralunk?
|
|
2013.07.17. 05:36:35
Gulyás Gábor
A PRISM botrány után és hogy az EU-ban is elkobozhatják a mobilunk a határon, joggal aggódhatunk adataink védelmét illetően, ha külföldre megyünk nyaralni és visszük magunkkal okostelefonunkat is. Mivel a legtöbb esetben adatainkat online tároljuk, telefonunk lementése már önmagában egy alaposabb átvilágításnak felel meg (irodai- és magánlevelezés, fényképalbumok, baráti- és munkakapcsolatok, teljes telefonkönyv, stb.).
Mit lehet ez ellen tenni? A legcélravezetőbb, ha nem viszünk magunkkal semmilyen "okoskészüléket". :-) Ha azonban mégis így döntünk, érdemes a telefonról teljes mentést készíteni (amit hazaérve visszaállíthatunk), és egy gyári reset-et adni rá. Android esetén pedig egy átmeneti Google fiókot létrehozni, amelybe a Contacts alkalmazás import/export funkcióival a szükséges elérhetőségeket áthelyezhetjük, illetve az utazáshoz szükséges fájlokat is átmásolhatjuk (zenét, képalbumokat).
Feltelepíthetjük emellé valamennyi alkalmazást is, csak arra ügyeljünk, hogy jelszavakat ne adjunk meg sehol, és lehetőség szerint a beutazás előtt ne használjuk az alkalmazásokat. (Így a telefonon sem lesznek gyorsítótárazott adatok, illetve ha meg is változtatjuk később a jelszavaink, addig a levelezésünk jelentős részéhez közben hozzáférhet az adott hatóság, ha például IMAP protokollt használunk.) A jelszavainkat pedig vigyük magunkkal titkosítva: erre biztosít lehetőséget például a KeePassDroid, amely képes ugyanazt az adatbázist használni, amit a PC-n futó KeePass-szal készítettünk. Így a kinttartózkodás során könnyen és biztonságosan beállíthatjuk és használhatjuk valamennyi alkalmazást.
Anonim böngészés - csak ne a "modem életérzéssel"?
|
|
2013.07.07. 05:05:33
Gulyás Gábor
Manapság a webes megfigyelés, nyomkövetés olyannyira kifinomult már, hogy nem lehet akármilyen eszközt használnunk, ha anonim módon szeretnénk a webet használni. A legkorszerűbb anonim böngészők, mint a JondoFox és a Tor Browser Bundle, megfelelnek ennek a célnak, azonban ezek ingyenes változatainál az IP cím rejtés elég lassú általában. Így erre a célra érdemes egy gyorsabb, ingyenes anonim VPN szolgáltatást választani – így megfelelő anonimitási szint mellett értékelhető szolgáltatás sebességet is elérhetünk, ingyen. Ha valaki viszont hajlandó erre pénzt áldozni (a garantált sebesség kedvéért), érdemes megnézni a fizetős megoldásokat is: például a JondoFox esetében kb. 3000 Ft összegért 1,5GB forgalmat kapunk, amely 1 évig felhasználható.
Living in Surveillance Societies
|
|
2013.06.25. 21:14:22
Gulyás Gábor
A LiSS [LiSS website] az első multidiszciplináris nemzetközi tudományos program volt (2009-20013), amely a megfigyelő társadalmak mindennapi életének kérdéseivel foglalkozott. A COST [European Cooperation in the field of Scientific and Technical Research] által adminisztrált, az EU [EU Framework Programme] által támogatott programban 26 ország több mint 150 szakértője vett részt. A program budapesti eseménysorozatán 2012. októberében Gulyás Gábor György élő demonstrációt mutatott be a legújabb profilírozó technológiákról (és hogy mit tehetünk ellenük). Ez a film a Közép-európai Egyetemen rendezett háromnapos rendezvényt dokumentálja, közte a „Warning! We are watching you!” interaktív installációt.
A videó a galériában tekinthető meg.
Privacy témájú érdekességek és hírek
|
|
2013.06.19. 05:16:21
Gulyás Gábor
Az utóbbi időben a PRISM körüli balhéról megjelent cikkek mellett Bruce Schneier érdekes kérdéseket vetett fel a téma kapcsán. Ugyan adatvédelem szempontjából az EU tekinthető világviszonylatban vezető hatalomnak, de ez összefügg a szabad internettel, ami viszont inkább az USA területe: azonban ha ez hazai pályán sem létezik, akkor hogyan tudnák ezt az értéket hitelesen képviselni? A kormányzati megfigyeléssel kapcsolatban azt írja, hogy ennek kialakulásának a lehetőségét a kényelemért eladott privátszféra alapozta meg. Ezzel nehéz vitatkozni: a kényelmes, bárhol elérhető és ingyenes szolgáltatások árát a privátszféra eladásával váltják meg sokan, az így kialakult lehetőséggel pedig csak "élt" a kormányzat, és a cégek által elérhető információkhoz kért titkos hozzáférést.
Más aspektusból szemlélve feltehetnénk úgy is a kérdést, hogy az vajon miért nem zavart senkit, hogy üzleti okokból ez a megfigyelés már régóta zajlik?
Érdekes cikk jelent meg az IT café-n a BitCoinról. Ma Magyarországon olyan folyamatok zajlanak, amelyek a pénzügyek nagyobb kontrolljához vezetnek, és az "offline" világban használhatos készpénzt a háttérbe szorítják. Ezzel együtt az anonim fizetési lehetőséget is, ami alapvetően egy jó dolog (például adakozáshoz) – így a jövőben nagyobb teret nyerhetenk az efféle pénzek, pénzügyi rendszerek. [Érdeklődőknek: az eredeti BitCoin leírás itt elérhető.]
A Google Glass felépítéséről készített egy fényképest leírást az EFF. Ahogy korábban mi is írtunk róla, a probléma nem magával a készülékkel van, hanem a köré kiépült infrastruktúrával és szolgáltatásokkal, illetve a benne rejlő potenciállal.
A Facebook Social Graph használata betekintést adhat egy kicsit abba, amire a Facebook eddig is már képes volt. Ennek segítségével például lekérdezhetjük, hogy milyen éttermet kedvelnek a barátaink, kik laknak egy adott helyszín közelében, hol jártak ismerőseink, stb. Ezt látva már könnyebb lehet elképzelni, hogy hogyan egészíthetik ki célzott hirdetések alkalmazásánál valakinek a profilját a barátai preferenciái alapján.
Hírek a nagyvilágból
|
|
2013.06.06. 05:52:37
Gulyás Gábor
Az FBI jogellenes (de végül sajnos hivatalosan jóváhagyott) módon kér ki felhasználókról adatokat a Google-től, és még többet szeretne: egy új törvénytervezet szerint minden online kommunikációt lehallgathatóvá szeretnének tenni. (Ez gyakorlatilag annak a sejtésnek a restaurálása mai formában, amit Schneier az Applied Cryptography-ban ír: nincs olyan [exportált] kripto eljárás, amihez az NSA-nak ne lenne hátsó kapuja.)
Egyesek harcolnak, hogy visszaszoruljon az adatgyűjtés az interneten, illetve legyenek életképes alkalmazások, szolgáltatások az efféle folyamatok szabályozására. Ám nem mindenki van ezzel így: valaki külön API-t hozott létre, ahol bárki figyelemmel követheti bizonyos jellemzőinek az alakulását valós időben. Egyelőre alvási statisztikák, testsúly, lépésszám, aktivitás, check-in-ek érhetőek el. Érdekes lenne azt kutatni, hogy ezek alapján milyen következtetések vonhatóak le, pl. tartozkódási hely, szokások, aktuális program, személyes preferenciák.
Sokszor írtunk róla, hogy miért is jó biznisz a megfigyelés, és hogy ennek mértéke hogy nő a hordozható kütyük térnyerésén keresztül. Eric Schmidt szerint nem kell félni ha ezek egyszer mindenütt ott lesznek, mert nem kifizetődő üzlet mindenkinél mindent megfigyelni. De akkor miért mutat ezzel szemben, amit ma látunk?
Érdekes felvetés példán keresztül: a Google képes lehet akár választások eredményét is befolyásolni, hiszen az ő titkos algoritmusa határozza meg, hogy milyen információk jelennek meg az egyes jelöltekről.
Dinamikus árazás: mégsem csak mese?
|
|
2013.05.28. 05:17:13
Gulyás Gábor
Dinamikus árazásról például akkor beszélhetünk, amikor a profitnövelés céljából egy üzletben (például webshopban) a fogyasztók eltérő árakkal találkoznak attül függően, hogy az eladó mennyire tartja őket tehetősnek. Bár ezen beszámoló alapján úgy tűnhet, hogy ez egy nemlétező jelenség, és helyette átláthatatlan kuponrendszerekben találkozhatunk csak efféle diszkriminációval.
Az IT café azonban egy ennek ellentmondó kutatásra hívja fel a figyelmet: igenis létezik a gyakorlatban a dinamikus árazás, és leginkább a böngészési előzmények, illetve a tartózkodási helyünk határozza meg, hogy milyen árakkal találkozunk egy webáruházban. (Ami nem olyan meglepő, hiszen a böngészési előzményeket kicsit tágabb értelmbe véve, a célzott hirdetéseknél felhasznált profilok kellőképpen alkalmasak erre a felhasználásra is.)
Akit érdekel a téma, illetve hogy milyen árak szerepelnek másoknál egy adott webshopban, annak érdemes kipróbálni a kutatók kísérleti pluginjeit, amivel ez utóbbit ellenőrizni lehet. Illetve ennek feltelepítésével hozzá is lehet járulni a dinamikus árazás elterjedtségét felmérő kísérlet adatgyűjtéséhez is.
A végére egy vicces videó: nem mindenki örül, ha nem igazságos a fizetés. :-)
Re: Re: A Google egy hirdetési vállalat
|
|
2013.05.22. 05:28:29
Gulyás Gábor
Azt vitatja a hírbehozó a Webisztánon, hogy a Google pusztán egy hirdetési vállalat lenne, vagy az Apple csupán egy ügyes hardvergyártó cég. Ezzel egyetértek, és a privátszféra szempontjából nézve még inkább látszik a hasonlóság: az Apple is hirdetési vállalattá kezd válni. Sőt, ahogy ezek a cégek szolgáltatásai, rendszerei fejlődnek, kénytelenül is egyre nagyobb területet képesek lefedni az emberek magánéletéből (amiben ma már nyilván van valamennyi szándékosság is), és az elért információt még magasabb színvonalon képesek felhasználni, például megfigyelés-profilírozás és precízebb célzott hirdetések megjelenítésének formájában.
Szerintem sem az várható, hogy ezek az órásvállalatok bizonyos szakterületekre specializálódnak majd, hanem a konvergencia további erősödése lesz megfigyelhető. A Google és az Apple is hardver készítő és szoftver/operációs rendszer fejlesztő vállalat marad, de ez csak az elsődleges piac lesz számukra, amelyet majd felhasználnak a másodlagos, sokkal jövedelmezőbb, és hosszú távon is kiaknázható piac elérésére. Azaz ha eladták a készülékeiket/termékeiket, majd eladják a felhasználóikat is. Bár ez utóbbi közvetlenül lehet, hogy kevesebbet hoz a konyhára, de a(z elsődleges) termék egész életciklusában működhet.
Ebben sok pénz van, nem véletlen akar beszállni a versenybe a Microsoft is – egyszerűen szoftver, vagy operációs rendszer fejlesztésből már nem tud egy ekkora cég a régi színvonalon megélni.
Videók: Google marketing vs. valóság
|
|
2013.05.19. 19:39:06
Gulyás Gábor
A Google saját videója a Chrome böngészőhöz:
A Microsoft féle átdolgozás (állítólag belső használatra készült):
Videó: A Facebook Update In Real Life
|
|
2013.05.13. 09:49:16
Gulyás Gábor
Hogyan lát bele a Facebook az offline vásárlásokba
|
|
2013.05.03. 06:03:33
Gulyás Gábor
Megjelennek az offline vásárlási adatok a Facebook hirdetésekben (bár ez várhatóan inkább az USA-beli felhasználókat fogja érinteni). A Facebook együttműködésre lépett olyan cégekkel, akik (főleg) offline adatbázisok építésében utaztak eddig, mint például a Datalogix vagy az Epsilon (USA). Ezek cégek különféle publikus nyilvántartásokból, weben elérhető információmorzsákból, levelezőlistákról és hűségkártyák adatbázisaiból építenek fel relatíve pontos profilt, amelyet aztán marketing célból értékesítenek. Ezek segítségével a Facebook értesülhet a felhasználó vásárlásáról, aki aztán kapcsolódó hirdetésekkel találkozhat.
A Lifehacker cikkje egy egyszerű példát is említ a működési mechanizmusra: a kártya használója (vagy pl. aki feliratkozik a kasszánál a hírlevélre 1000 Ft bónuszért cserébe) belekerül az eladó adatbázisába, aki miután feltölt azt a Facebook-ra, reklámjaihoz könnyen kap a célközönségébe eső "üzletfeleket". A feltöltés azért némi védelmet nyújt: nem az eredeti adatokat használják, hanem csak azok lenyomtatát. Például az email címek így kereshetőek lesznek, de a lenyomat alapján a cím - ha nem szerepel az adatbázisban - nem található ki, és így nem használható (marketing célokra sem).
A cikk egy másik érdekességet is említ: mi van, ha valaki csak regisztrál a Facebook-ra, de nem oszt meg és nem lájkol, akkor mi alapján célozzák hirdetésekkel? Nos, ez esetben a barátai alapján próbálják megbecsülni a profilját: az elérhető információkat figyelembe véve meghatározzák kik lehetnek a közelebbi ismerősei (pl. lakóhely, életkor), majd az ő marketing-profiljuk alapján dolgoznak a későbbiekben. Tehát átfogalmazva úgy is mondhatnánk, hogy a barátaink hordozzák néhány bit erejéig a lenyomatunk. Ez ugyan kevésbé pontos, de a véletlenszerűnél jelentősebb hatékonyságú hirdetési módszer.
Mi van, ha nem is regisztrálunk a Facebookra? Az sem gond számukra, ugyanis ismerőseink lehet, hogy email, csevegőszolgáltatási fiókukhoz hozzáférést adtak a Facebook-nak, és ez esetben nélkülünk is többé-kevésbé megalkotható a minket körülvevő kapcsolati háló! Amelynek pontossága úgy nő, minél több "feltárt" helyen szerepelünk levelezési vagy beszélgetőpartnerként...
Válogatás a privátszférát érintő hírek világából
|
|
2013.04.27. 05:27:05
Gulyás Gábor
E hónapban felröppent a hír a Shodan elnevezésű keresőről, amellyel az internetre kötött, de oda nem illő eszközöket lehet felkutatni. A kereső ténye és sikere jól felhívja a figyelmet, hogy nem mindegy magánszemélyként sem, hogy mit kötünk rá az internetre – például érdemes-e állandóan számítógépünkön hagyni a webkamerát vagy sem, aminek egyébként is megvannak a maga veszélyei (ami egy laptop esetén nehezebben megoldható ügy...). Azonban a CNN cikke is rámutat, hogy maga a Shodan nem jelent új veszélyforrást: a keresések száma erősen korlátozott (vagy pénzbe kerül, és a tevékenység leírásával ellátott regisztrációhoz kötött), és az ebben érdekelt csoportok a Shodan nélkül is megtalálják a kívánt célpontokat saját (vagy bérelt) botnetjeik segítségével.
Azt eddig is sejteni lehetett, hogy sokakat egyáltalán nem érdekel, mit tesznek fel a webre. Egy robot alkalmazás segítségével rámutattak azonban, hogy naponta 4 000 üzenetben kürtölik világgá Twitter felhasználók a telefonszámukat (az USA és Kanada területéről). Kicsit kibővítve a keresést a Blackberry PIN és IP címekre, napi 12 000 felhasználó lett a végeredmény. Sokszor esetben tehát Shodan-ra sincs szükség. :-)
Egy újabb érdekes hír, hogy mi derülhet ki, ha digitális asszisztensünk kihallgatásra viszik: hívásinformációk, képek és videók, különböző jelszók, és nem kevés helyzetinformáció, aminek a WiFi elég releváns részét teszi ki. Egy kapcsolódó hírben arról olvashatunk, hogy az ügyfélnek – a hatóságokkal való együttműködés kapcsán – a szolgáltató távolról átírta a mobil internetes modem programját. Hogy ez megtörténhet, egy bírósági ügy kapcsán derült ki – kíváncsi volnék, okostelefonok esetén hol van ezen a téren a határ.
Megjelent egy újabb szteganográfiai alkalmazás, a Secretbook, amely képekbe rejtett, jelszóval védett üzenetek formájában segíti használóit, hogy üzenetük elkerülje a Facebook figyelmét. Hasonló alkalmazást készítettünk mi is 2011-ben, a StegoWeb-et, ami hasonló funkciót tölt be, de az adott weboldal tartalmát lehetett átírni, feltöltés nélkül. Facebook-on is működött (csak sajnos azóta nem volt karban tartva).
Banner a PET Portál és Blogon?
|
|
2013.04.20. 15:54:53
Gulyás Gábor
Régebbi olvasóinknak feltűnhetett, hogy megjelent a PET Portál és Blogon egy banner, noha a Portál megalakulása óta – nagyjából hat éve – erre nem volt példa. Ennek az az oka, hogy a PET Portál egy független szakmai portál, amely nem függ külső cégektől, termékektől, és így a bejegyzések közzétételénél, illetve az egyéb felkerülő tartalmaknál alapvető szempontnak tartjuk az objektivitást. Fontosnak tartjuk leszögezni, hogy a banner megjelenésével sem adjuk fel ezeket az elveinket.
Akkor miért is döntöttünk a banner kihelyezése mellett? A Tresorit alkalmazása egy privátszféra-védő technológia, hiszen segít kézben tartani az adataink felett a kontrollt a felhőben. Tekintve, hogy a Portál tematikájába eső, színvonalas szolgáltatásról van szó, amelynek van (egy valóban használható) ingyenes változata, úgy döntöttünk, hogy egy banner kitételével támogatjuk ezt a hazai vállalkozást.
Fontosnak tartjuk kiemelni, hogy ez egy kivételes, egyszeri alkalom, és nem szándékozzuk megnyitni a PET Portál felületét más hirdetők előtt,. A PET Portál Szerkesztőbizottsága ugyanakkor fenntartja magának a jogot, hogy egyedi esetekben, mérlegelés után, a Portál elveinek megfelelően megnyissa felületét színvonalas PET-ek hirdetésére, vagy meg is szüntessen ilyen lehetőségeket (például az elvek utólagos sérülése miatt).
10 000 dollár jutalom a hackereknek
|
|
2013.04.20. 15:34:02
Gulyás Gábor
A magyar IT-biztonsági startup, a Tresorit, annyira bízik felhőalapú tároló és megosztó szolgáltatásában, hogy 10 000 dolláros pénzdíjat ajánlott fel annak a hackernek, aki megszerez egy „trezorba” rejtett kódot.
Google Glass és társai: hamarosan új területet kell, hogy feladjunk a privátszféránkból?
|
|
2013.04.19. 05:59:30
Gulyás Gábor
Az elmúlt években voltak olyan meghatározó újítások, amelyek révén sok ember magánélete megnyílt a technológia és az ebből sokat profitáló cégek előtt. Ilyen volt a Facebook, miután "tömegtermékké" vált, és szisztematikusan leépítette a magánélet körüli védvonalakat. De ilyen volt az Apple is az iPhone-nal: az első iPhone piacra kerülése után sorban jelentek meg a hasonló termékek, amelyek megváltoztatták tulajdonosaik webhasználatát, internetről való gondolkodását, újabb felületét tárva fel a magánéletüknek az üzleti világ előtt.
Elnézve ezt a privátszféra-erodáló folyamatot, körvonalazódik a következő lehetséges állomás. Az Apple egy kulcsembere utalt arra, hogy fel kell készülni különféle hétköznapi eszközök "okosodására": használati tárgyaink új, okostelefon jellegű újragondolására, hasonlóan ahogy a Google teszi ezt a szemüveggel. Fogyasztói oldalon ez azt jelenti, hogy az eszközök kényelmesebbek, többfunkciósak lesznek, szolgáltatói oldalról pedig több minden lesz mérhető és marketing célból eladható a fogyasztó viselkedési szokásainak ismeretében.
Gondoljunk például a smart metering-re, amikor a villanyóra rögzíti és a központba beküldi mindig az aktuális fogyasztási értéket, amit mi is le tudunk olvasni okostelefonunkkal/számítógépünkkel. Ez számos előnnyel jár: jobban tudunk gazdálkodni a fogyasztással, egyszerűbb kiszúrni a nagy fogyasztású eszközöket, vagy könnyebb a passzív fogyasztásunkat felmérni. Azonban a központ is jut extra információhoz (ami értékes marketing alapinformáció lehet): fogyasztásunkból megbecsülheti, mikor vagyunk otthon, mosunk, feltérképezheti a napi rutinunk, stb.
De a technológiai fejlődés nem feltétlenül kell hogy a privátszféra-erózióját is jelentse egyben, a probléma (egy része) a gyártók, szolgáltatók hozzáállásában keresendő. A fenti jelenség is ezért aggasztó, mert általában őket a haszon jobban érdekli, mint a felhasználók privátszférája. Például az Apple-t is, aki alapértelmezettként engedélyezte a felhasználók azonosítását és nyomkövetését az iOS 6-ban. Az Apple-nek így a termék eladásán felül sikerült a vásárlót is értékesíteni, ráadásul többször (a termék teljes életciklusára, vagy a funkció kikapcsolásáig), hiszen a nyomkövetés folyamatosan termeli a bevételeket számára.
Nos, valójában ezzel, a technológiai fejlődés mögé befurakodó anyagias mentalitással van probléma. (A teljes képhez azért hozzátartozik, hogy ezt sokszor a felhasználók maguk is jóváhagyják, vagy egyszerűen nem érdekli őket.)
Mennyire stabilak a böngésző ujjlenyomatok?
|
|
2013.04.15. 10:26:53
Gulyás Gábor
Ahogy az várható volt, az ujjlenyomat alapú követés csak most kezd el igazán "életre kelni" – például nem rég jelent meg egy részletes tényfeltáró cikk, és látszik, hogy a nyomkövető cégek is jól megélnek (állami támogatás nélkül is :-) ). A böngészőfüggetlen ujjlenyomat kísérlet kapcsán hívták fel a figyelmünket egy az INRIA-nál folytatott kutatásra, ami a böngésző ujjlenyomatok stabilitását kutatja: egy böngésző ujjlenyomata milyen gyorsan változik és ebből fakadóan hosszú távon mennyire követhető. (A kutatók célja az ujjlenyomat-alapú nyomkövetéssel szembeni védelem támogatása, nem a meglévő technikák tökéletesítése.)
A kutatók létrehoztak két böngésző kiegészítőt, amellyel a kutatáshoz szükséges adatokat gyűjtik:
- Firefox: https://addons.mozilla.org/en-US/firefox/addon/stopfingerprinting/?src=ss
- Google Chrome: https://chrome.google.com/webstore/detail/stopfingerprinting/kfhlgmfkolojpnmhgggilmillpcokmnb
Ajánljuk olvasóink figyelmébe, akik szívesen támogatnának egy ilyen kutatást.
Aki már ma védekezni szeretne az ujjlenyomatokkal szemben, annak ajánljuk a következő kiegészítéseket:
- FireGloves: hazai fejlesztésű, kifejezetten ujjlenyomatok ellen készült kiegészítő. Sajnos már nem frissül, de még ma is használható.
- Ghostery: általános "tracker" blokkoló kiegészítő, de mivel számos ujjlenyomatozó céget is ismer, és tiltja a kódjaikat, így ezek ellen is hatásos védelmet nyújt.
Mobilitás: követhetőek és azonosíthatóak vagyunk
|
|
2013.04.03. 11:19:03
Gulyás Gábor
A mobil követhetőség kapcsán kiderült, hogy annyira előrejelezhető az egyes felhasználók mozgása (a vizsgálat konkrétabban a mobil telefonhasználatra fókuszált), hogy mindössze négy pozíció információ elegendő egy felhasználó azonosításhoz. (Korábban már tudni lehetett, hogy az otthon-munkahely pozíció párosa az esetek többségében jól azonosít. Barabási könyvében is pedzegette a témát.) Bár az azonosítás kifejezés félrevezető, de ez (szerencsére) csupán fedőnév-alapú azonosítást takar.
Írtunk már a jelentőségét tekintve áttörőbb mértékű előzményről, hogy a helyzetinformáció sajnos személyes azonosításra is alkalmas: kis méretű adathalmazokon (kb. 100 eszköz vagy felhasználó) amerikai kutatóknak sikerült igazolni 2012 nyarán, hogy a helyzeti információk megfigyelésével az alany közösségi profilja is kideríthető. Kísérleteikben eszközök adott helyszínen történő egyidejű előfordulásából kapcsolati hálózatot építettek, majd ebben egyezést kerestek a helyszínen megfordulni vélt személyek kapcsolati rendszerével – ami az esetek átlagosan 80%-ban sikerült is.
Sajnos nem mondható meglepőnek, hogy ilyen sűrűn hallhatunk új fejleményekről: a kutatói szférában jelenleg a különféle adatok alapján történő követés és azonosítás "hot topic"-nak számít. Ezekből a kutatásokból kiderül, hogy nem minden anonim, amit annak ígérnek – a legtöbbször csupán az a kérdés, hogy milyen kiegészítő információkkal "jól felszerelt" támadó képes sikeresen újraazonosítani egy adathalmazt.
Hírek a privátszféra világából
|
|
2013.03.27. 05:19:32
Gulyás Gábor
Az utóbbi időben egészen megsokasodtak a privátszférát érintő hírek, kutatási beszámolók – most ezekről közlünk egy rövid válogatást.
Az elmúlt hét nagy hírét szinte valamennyi hírportál lehozta, miszerint a Facebook lájkok egész sokat elárulnak felhasználójukról: a kutatási eredményekben a lájkok 88%-os biztossággal differenciálják a szexuális érdeklődést homo- és heteroszexuális férfiak között (ez az érték 75% a másik nem esetén), 85%-os pontossággal pedig a politikai beállítottságot (republikánus/demokrata), vagy például 82%-os pontossággal a vallásos irányultságot (keresztény/iszlám hit). Talán azért keltette fel ennyire a média érdeklődését ez a hír, mivel kellően magas számokat sikerült az egyes jellemzők mellé állítani a kutatóknak – azonban a jelenség nem meglepő, mivel korábban is voltak már ilyen irányú, relatíve sikeresnek mondható kísérletek. Meg persze a Facebook is megél valamiből, méghozzá többek között a célzott hirdetésekből, amihez valószínűleg ilyen prediktív funkciókat is használnak.
A PET Portálon gyakran foglalkozunk a megfigyelés technikai aspektusaival. Ehhez kapcsolódóan ajánljuk olvasóinknak Bruce Schneier a CNN oldalán megjelent írását, mely az internetet egy lakosait megfigyelő államhoz hasonlítja – a téma alapvetéseként említ három friss példát, amikor az internetes médiumok a kormányzati bűnüldöző szervek segítségére voltak.
A webes megfigyeléshez és nyomkövetéshez kapcsolódóan egy friss cikk rántja le a leplet három jelentősebb piaci szereplő ujjlenyomat technikájának működéséről. (A cikk alapján számos olyan dolgot használnak ma is ezek a technikák, amiről mi is írtunk egy korábbi cikkünkben.)
A "trójai tűzróka" esete: megfigyelés a Firefox kiterjesztéseken keresztül
|
|
2013.03.12. 05:45:47
Gulyás Gábor
A Firefox felhasználók közül sokan használunk privátszféra-védelmi kiterjesztéseket is, amiből jelentős választék áll rendelkezésünkre – hiszen ez a böngésző volt lényegében az első, amelyik lehetővé tette a kiterjesztések nagymértékű elterjedését, köszönhetően a (relatíve széleskörű) dokumentáltságnak és a könnyű fejleszthetőségnek. Azonban arra nem számítanánk – főleg amikor nyomkövetést és megfigyelést blokkoló kiterjesztéseket is telepítünk –, hogy bizonyos megfigyelők mintegy trójai falóként épp ezeket a kiterjesztéseket használják fel ellenünk.
A Firegloves nevű kiterjesztés fejlesztését ugyan már nem folytatjuk, de rendszeresen kapunk visszajelzéseket felhasználóktól, fejlesztőktől. Az alábbi levél azonban megdöbbentő:
Hello,
We are looking for cooperation with developers.
If your firefox chrome plugin has active users (daily). We'll pay you by the amount of daily-active uers.
We need you to update the plugin and feedback the following information to our server:
1. User-agent (Like Mozilla 19.0 )
2. Language (Like English, French)
3. OS (User operation system, like Win7, Linux)
4. URLs (all typed urls in the browser by every user)
5. IP address (user IP address)Looking to hear back from you.
A dolognak külön szépsége, hogy épp egy olyan kiterjesztés készítőinek küldték el, akik épp ez a jelenség ellen igyekeznek akadályokat gördíteni. Nem ártana szűrni, ha már SPAM-olnak... És persze nem csak mi kaptuk meg ezt a levelet.
Remélem lesznek szemfüles szakemberek, akik szépen lebuktatják a kooperáló kiterjesztéseket!
70 vezető európai tudományos szaktekintély állásfoglalása
|
|
2013.03.08. 15:07:48
Székely Iván
2013. március 7-én tette közzé szakmai állásfoglalását hatvan vezető európai tudományos szaktekintély az EU adatvédelmi reformjának támogatására, amelyben visszautasítják az adatkereskedelmi lobbi ellenérveit. Az állásfoglaláshoz azóta a tudományos elit újabb képviselői csatlakoztak az informatika, a jog, a közgazdaságtan és az üzleti tudományok területéről. Az állásfoglalás szövege angol nyelven a www.dataprotectioneu.eu címen olvasható.
Címkék: -
Nagyban terített, személyre szabott malware, profilépítés céljából?
|
|
2013.03.06. 05:40:34
Gulyás Gábor
Az utóbbi időben sokat fejlődtek a malware szoftverek, amelyeket immár egyre gyakrabban alkalmaznak phishing támadásokra is. Ezek alkalmasak adatgyűjtésre is (ez a spyware), de vajon ezek nagymértékű, profilépítési célból történő alkalmazása várható-e a jövőben? Azaz elképzelhető-e, hogy egy profilírozó szolgáltatást nyújtó cég ilyen "fekete" eszközök alkalmazásához folyamodik, hogy adatbázisát bővítse? A motiváció egyszerű lehet: vannak olyan adatok, amelyek sehogy sem figyelhetőek meg böngészőn keresztül, illetve mivel lokális alkalmazásról van szó, több adatbázis is összekapcsolható, és így akár komplexebb lekérdezések is futtathatóak. Mondjuk mindezt bizonyos feltételeknek megfelelő profilú felhasználókra.
Bár egyelőre nem tudok ilyen esetről, de ha mégis létezik a jelenség, szívesen olvasnék róla.
Érdekesség: kissé elmaradva, de itt a WiFi követés a plázákba
|
|
2013.02.16. 05:27:50
Gulyás Gábor
Egy évvel ezelőtt adtunk hírt a FootPath GSM alapú nyomkövető rendszerről, amely pláza látogatók útvonalának megfigyelését könnyíti meg. Hasonló technológiájú megoldást készítette a Fortinet, amely az okostelefonokba épített WiFi-MAC segítségével követi a felhasználókat, ahogy az eszköz váltogat a hálózatok között, és ez alapján becsüli meg a látogató útvonalát.
Mennyire vagyunk követhetőek a közösségi oldalak segítségével?
|
|
2013.02.13. 05:43:36
Gulyás Gábor
Erre a kérdésre ad választ a tovább után megtekinthető videó, amely a Raytheon nevű cég RIOT rövidítésű (Rapid Information Overlay Technology) szoftverének bemutatóját tartalmazza. A RIOT mintegy keresőként üzemel, amely különböző közösségi oldalakon keres utána a megadott személynek (Facebook, Twitter, Gowalla), majd a megítélése szerint egy személyhez köthető profilokat eleve összekapcsolva adja vissza. A felületén egyszerűen lekérdezhetőek az adott személy bejelentkezéseinek helyei, feltöltött képei (és annak az EXIF-ből kinyerhető koordinátái) – az így kinyert információkat pedig exportálni is lehet, és Google Earth-ben megjeleníteni. Az alkalmazás egyszerű statisztikát is biztosít a felhasználó napirendjéről, amely alapján a felhasználó egyes tevékenységei megjósolható.
Forensic Disk Decryptor: megkerüli a merevlemez titkosítást
|
|
2013.01.21. 05:10:31
Gulyás Gábor
A TrueCrypt egy eléggé ismert, ingyenes merevlemez titkosító alkalmazás, amelyet már mi is ajánlottunk korábban itt a PET Portálon. Azonban az ElcomSoft nem rég megjelent Forensic Disk Decryptor elnevezésű alkalmazása úgy tűnik, képes – több más alkalmazással egyetemben, mint a BitLocker, PGP – megtörni a hibernáláskor vagy rendszerhiba esetén készülő memória mentések segítségével (bár ez itt nem a reklám helye, de érdemes tudni, hogy ez nem egy hozzáférhetetlen árú szoftver: 300 USD-ért már megvásárolható). Az érintett alkalmazások felhasználóinak célszerű lehet az efféle memória lementő funkciókra figyelni (esetleg kikapcsolni).
Privátszféra-védelmi hírcsokor: ismét webes nyomkövetés és mobilok a terítéken
|
|
2013.01.11. 06:00:34
Gulyás Gábor
Nem régiben írtunk a Ghostery és a Do Not Track Plus nevű PET-ekről, melyek a webes nyomkövetők életét hivatottak megnehezíteni. Ha valaki még mindig keresi az igazi megoldást erre a problémára, ajánljuk figyelmébe a ShareMeNot nevű böngésző kiegészítőt, a közösségi oldalak nyomkövetési szakértőjét. A ShareMeNot Firefox és Chrome alá is elérhető.
Nem egetrengető újdonság, hogy a weboldalak megfigyelik a látogatókat és megosztják egymás között az így nyert információkat, mégis örvendetes hogy ez a tény végre nagy nyilvánosságot kapott. A történet röviden annyi, hogy valaki megnyitott egy weboldalt, és bár nem írta be semmilyen adatát, másnap mégis kapott egy emailt tőlük. Aztán kiderült, hogy az email címét még korábban írta be egy másik weboldalon, és innen szivárogtatták ki. Az eset nem egyedi: a WSJ csinált egy felmérést a nagyobb weboldalak efféle titkairól, miszerint ki-kivel-mit osztogat meg a hátunk mögött.
Nem csak a megosztott információmennyiség nő, hanem az azonosítottság mértéke is: van már olyan webes megfigyelést végző cég, ami képes összekötni egy felhasználó valamennyi eszközét, jelentősen túlmutatva az ujjlenyomat vagy sütialapú nyomkövetési módszerek emele korlátján.
És végül egy ínyencség. Amerikai kutatók igazolták, hogy az eszközeink által generált helyzetinformációk személyesen azonosítanak bennünket, például amikor helyzet-alapú szolgáltatásokba becsekkolunk, vagy képeket töltünk fel valahová. Lehet, hogy ezt álnéven tesszük, de a résztvevők kapcsolatainak struktúrája helyreállítható az alapján hogy kik tartózkodnak egy helyen egy időben (és például rendszeresen), amely segítségével viszont az egyes résztvevők kikereshetőek már egy közösségi hálózatban is. A szerzők három példán is bemutatták a támadás működőképességét, de egyet a példa kedvéért kiemelnék: Bluetooth-on megfigyelték egy konferencia résztvevőinek a mozgását, majd ezt összevetették a konferenciarésztvevők társszerzői adatbázisával (DBLP). A beazonosítás sikeresen megtörtént...
Milyen a valódi közösségi hálózatok struktúrája? (2)
|
|
2012.12.18. 05:27:35
Gulyás Gábor
A fentebbi címválasztás nem véletlen. Nagyjából 2,5 éve jelent meg egy hasonló című cikk itt a PET Portálon, ami még a Google+ körök megjelenése előtt világított rá, hogy valójában nem "laposak" a kapcsolatrendszereink, hanem struktúráltan épülnek fel. (Valójában éppen ez a kutatás játszott alapvető szerepet a Google+ körök létrejöttében.) Ennyi idő után jelentek meg az első kutatási eredmények, amelyek ezen struktúrákra fókuszálnak [1-2], és a körök automatikus előállítását tűzik ki célul (a felhasználók segítésének céljából).
Egy példa struktúrára [1]. A stanford-i kutatók a Facebook-os adatok elemzése alapján azt találták, hogy a körök 25%-a skatulyázott, 50%-a átfedésben van egy másikkal, és csak a maradék 25% különálló. Ez a felépítés is jól mutatja a hierarchiát a kapcsolatokban.
Bár sajnos konkrét eloszlásokkal (pl. körök száma, elemek/kör száma, körön belüli fokszámeloszlás) még nem találkozunk a cikkekben, és ezen a kutatások sem fókuszálnak az identitás particionálás és azon belül is a szeparálás kérdéskörére, de már vannak ígéretes eredmények.
[1] Julian McAuley, Jure Leskovec: Learning to Discover Social Circles in Ego Networks (2012)
[2] Bo Gao, Bettina Berendt, Dave Clarke, Ralf De Wolf, Thomas Peetz, Jo Pierson, and Rula Sayaf: Interactive Grouping of Friends in OSN: Towards Online Context Management (2012)
Fekete dobozok az autókban
|
|
2012.12.09. 20:16:18
Földes Ádám Máté
Az amerikai Nemzeti Autópálya-biztonsági Hatóság (National Highway Safety Administration) arra készül, hogy kötelezővé tegye a személyautókban és a kisteherautókban a fedélzeti adatrögzítők (a repülőgépekről ismert fekete dobozok) használatát. Az ügy érdekessége, hogy a törvényt jóval megelőzte a megvalósítása: a nagy autógyártók újonnan gyártott járműveinek nagy része tartalmaz ilyen eszközt.
Egy feudális világban élünk?
|
|
2012.12.07. 05:42:27
Gulyás Gábor
Legalábbis Bruce Schneier szerint:
Some of us have pledged our allegiance to Google: We have Gmail accounts, we use Google Calendar and Google Docs, and we have Android phones. Others have pledged allegiance to Apple: We have Macintosh laptops, iPhones, and iPads; and we let iCloud automatically synchronize and back up everything. Still others of us let Microsoft do it all. Or we buy our music and e-books from Amazon, which keeps records of what we own and allows downloading to a Kindle, computer, or phone. Some of us have pretty much abandoned e-mail altogether … for Facebook.
Érdekes megközelítés, de jól visszaadja a nyomkövetés/megfigyelés alapján működő üzleti világ lényegét.
Mire képesek a pontgyűjtő kártyák?
|
|
2012.11.24. 05:28:38
Gulyás Gábor
Mostanában többször is a megfigyelés, profilírozás privátszférát érintő káros következményeiről volt szó. A Tudatos Vásárlók egyesülete a hazai vásárlói kártyák helyzetét mérte fel ilyen oldalról – ahol a helyzet szintén nem mondható túl rózsásnak. Az érdekesség kedvéért két részt kiemelek a tanulmányból, a teljes változat az egyesület honlapján olvasható.
Először is, a vásárlói kártyával mit tudhat meg a kereskedő a használójáról? Elég sokat:
„Gazdag Péter 38 éves, Budapest egy külső kerületében lakik, ám a belvárosba jár át dolgozni. Az utat többnyire tömegközlekedéssel teszi meg, autóját csak hétvégenként használja. Péter egyedülálló, korábban ugyan néhány évig volt egy barátnője, ám a kapcsolat (vélhetőleg) nemrégiben megszakadt közöttük, a barátnője elköltözött tőle. Azóta Péternek csak alkalmi kapcsolatai voltak.
Míg Péter exbarátnője a vörösbort szerette, addig Péter sörivó, hetente néhány dobozzal fogyaszt belőle. Péter szabadidejében szeret a természetbe járni, szenvedélyesen sportol – elsősorban a futás vagy a kerékpározás érdekli – és esténként lefekvés előtt detektívregényeket olvas.”
És mit kap a használó mindezért cserébe? Nem sokat:
Kártya neve
Kibocsátó/elfogadó
Költés/visszajuttatás aránya
Egyetlen márkára kibocsátott hűségkártyák/programok
AGIP-TIGÁZ Premio Club Kártya
Eni Hungária (AGIP kutak) TIGÁZ hűségkártyával
1,1%
(csak benzinre számolva)
Auchan Bizalomkártya
Auchan áruházak
1,4 – 1,1 %
Brendon
Brendon babaáruházak
2%
Drogerie Markt Active Beauty program
Drogerie Markt
nem kiszámítható
Nivea Vásárlói Kártya
Nivea Szépségpont üzletek
3,3 – 2%
Tesco Clubcard
Tesco áruházak
0,5%
Multibrand (sok márkás) kártyák
ClubSmart
Shell benzinkutak, shopok, McDonald’s
0,2 – 0,3%
Multipont
MOL, CBA, KFC, OTP
0,4%
Supershop
SPAR, OMV, OBI, Burger King, Wellness-Szállás.hu
0,4%
A fentiek alapján már könnyű képzelni, mi lehet a helyzet a webes megfigyelés és profilírozás terén...
Az ingyenebéd, amiért mégis (meg)fizetünk: az árcetlin mi vagyunk
|
|
2012.11.19. 05:33:14
Gulyás Gábor
Olyan, hogy ingyenebéd nem létezik. Mégis, a hirdetési ipar számos szereplője mindent megtesz, hogy ezt webfelhasználók százmillióival elhitesse – sajnos nem teljesen sikertelenül. Márpedig ezen esetekben, amikor a szolgáltatás, vagy a termék ingyenes (vagy irreálisan olcsó), szinte biztosra vehetjük, hogy az adatainkkal, szokásaink megfigyelésének engedélyezésével fizetjük meg a különbözetet. (De nem mindig van így: az Apple-nek köszönhetően nem rég láthattunk egy esetet, amikor a termék sem volt olcsó.)
Az online hirdetésipar önellentmondása
|
|
2012.11.04. 05:16:02
Gulyás Gábor
Az októberi Amsterdam Privacy Conference-n megjelent cikkjükben kutatók arra hívják fel a figyelmet (többek között), hogy az (amerikai) emberek nem szeretnék, hogy a hirdetők kövessék őket, és a többségük nem találja a hirdetéseket hasznosnak. Valószínűleg az amerikai felhasználók ezzel nincsenek egyedül. Ezzel szemben az online hirdetők egy csoportja legalább 1 millió dollár értékű lobbihadjáratot indított, hogy meggyőzze a web felhasználóit, hogy a tevékenységük értékteremtő, gazdaságilag hasznos, és semmi okuk nincs tartani a reklámok nyomkövetésétől. Érthető, hogy védekezni kezdtek, hisz ez a pénz nyilvánvalóan a dinamikuan növekedő és súlyos bevételekkel rendelkező iparág szereplőitől származik, akiknek nem érdeke a felhasználók tudatossága: amíg el tudják adni a látogatókat marketing alapanyagként, addig a bevételek is biztosítva vannak.
PET kutatói állások a NICTA-nál, Sydney-ben
|
|
2012.11.01. 21:14:13
Székely Iván
PET technológiákban járatos, PhD fokozattal rendelkező informatikusokat keres Ausztrália legnagyobb telekom fejlesztő vállalata, a NICTA hálózati kutatásokkal foglalkozó csoportja. Jelenlegi kutatási területeiket lásd a http://www.nicta.com.au/research/projects/trusted_networking/ címen.
A teljes felhívás és a feltételek a PET Portál angol nyelvű blogjában találhatók.
Privacyfix: segít a megfelelő beállításokat megtalálni
|
|
2012.10.25. 05:11:50
Gulyás Gábor
A Privacyfix egy Firefox, illetve Chrome kiterjesztés, amely segíthet a felhasználónak a megfelelő adatvédelmi beállításokat megtalálni. A témával ismerkedők számára kiváló játékszer, de haladóknak kissé túl ambíciózusnak tűnhet: nem működik együtt más kiterjesztésekkel, és ő maga akar megoldani minden problémát (pl. reklámok blokkolását akkor is, ha van fent ilyen célú kiterjesztés). Mindenesetre arra kiváló alkalmazás lehet számukra is, hogy felhívja a figyelmet a még le nem fedett, problémás területekre, mint például a megfelelő Facebook beállítások használata, alkalmazások korlátozása.
A privátszféra csak a gazdagok kiváltsága lesz?
|
|
2012.10.19. 05:27:54
Gulyás Gábor
Az információs technológiák térnyerésével, ahogy a mindennapi élet részévé válnak, egyre jobban megtapasztalhatjuk a megfigyelés erősődését. Ha más nem is, de a privacy kutatások számának ugrásszerű növekedése, a témát körülövező érdeklődés megerősödése egész biztosan objektív módon alátámasztja ezt az állítást. Bár több területen komoly megfigyelésnek vagyunk kitéve a mindennapok során, de a címben szereplő állítás még nem mondható igaznak – de vajon távol van a jövő, ahol a privátszféra tényleg a gazdagok kiváltsága lesz?
Vannak sajnos olyan területek, ahol ez közelinek tűnik, például a vásárlásban. A vásárlói kártyák (pl. supershop, klubkártya) a használó számára kedvezményt biztosítanak (alapesetben 1%), cserébe viszont a használó eladja vásárlási szokásait (amit aztán vagyonosodási vizsgálathoz is fel lehet használni) – vagy úgy is fogalmazhatnánk, hogy ez esetben maga a kártyatulajdonos a termék, ami eladásra kerül. Egy új akcióban úgy akarják kártyabirtoklásra buzdítani a vásárlókat, hogy a kártyatulajdonosoknak biztosítanak csak bizonyos termékekből jelentős (pl. 20%) kedvezményt.
Mi történne, ha erre valamennyi áruházlánc rákapna, és a kedvezmények csak vásárlói kártyával lennének elérhetőek? Nos, ez esetben már tényleg csak a gazdagok kiváltsága volna a privátszféra, a többiek pedig kénytelenek lennének eladni magukat némi kedvezményért cserébe.
Operációs rendszer szintű webes követés: iOS6
|
|
2012.10.16. 22:14:09
Gulyás Gábor
A tegnapi hírcsokorhoz kiváló mobilos témájú kiegészítés, hogy az Apple az iOS6-ba egy speciális nyomkövető rendszert épített, amely megkönnyíti a készüléken folyó webes tevékenység megfigyelését. Ez a rendszer lehetővé teszi a hirdetőknek, hogy egyedileg pontosan beazonosíthassák a felhasználót, így megkönnyítve a felhasználó (ízlés) profiljának elkészítését, és célzott hirdetésekkel való bőséges "ellátását". (A követés névtelen, de valójában ez csak egy fokkal jobb, mintha névvel történne.)
Az Apple biztosra ment a funkció élesítése során. Egyrészt igyekezet elbonyolítani a kikapcsolás lehetőségét, ugyanis nem a megszokott helyre került ez a funkció és egyébként is kissé sutának tűnik, ahogy használni kell – vélhetően hasonló megfontolásból, mint ahogy a Facebook újradizájnolásánál eljártak nem rég. Másrészt alapból engedélyezve van a követés: nyilván ők is tudják, hogy a felhasználók nem szoktak az adatvédelmi beállításokkal sokat babrálni.
Nem meglepő ez a lépés. A megfigyelési technológiák igen elburjánzottak, legyen szó a hagyományosnak mondható, web poloska alapú nyomkövetésről, vagy akár az ujjlenyomat technika alapú módszerekről, amit az is jól mutat, hogy a hirdetési iparág rekordméretű bevételeket ér el. Velük karöltve az Apple egyszerre két eladást is elkönyvelhet: jelentősen magasabb áron árusítja készülékeit (a többi termékhez viszonyítva), majd pedig eladja magát a vásárlót is. De miért kell kétszer fizetni ezekért a termékekért?
Hétindító privátszféra-védelmi hírcsokor
|
|
2012.10.15. 05:14:11
Gulyás Gábor
Aki rendszeresen olvassa a PET Portált, annak nem újdonság, hogy itt a Facebook-ról túl sok jót nem szoktunk írni (a tényszerűség keretein belül). A legújabb érdekesség az ott tárolt telefonszámokat érinti, ugyanis a múlt héten napvilágot látott a közösségi oldal újabb hanyagsága: ha rákeresünk egy telefonszámra, létező (és publikus, de ez egész valószínű) telefonszám esetén válaszként megkapjuk az illető profilját. Ez attól lesz érdekes, hogy automatizálható a lekérdezés, így ha valaki rendelkezik némi programozói készséggel, összeállíthatja saját Facebook telefonkönyvét – vagy legalábbis megvolt erre a lehetősége, mivel a Facebook már 24 órára letiltja az ezzel kísérletező felhasználók profilját. Egy biztos, hogy nem utoljára hallottunk a Facebookról ilyen kontextusban.
Újabb okostelefonos adatokat védő technológia van a látóhatáron, melynek készítői között Phil Zimmermann is ott van, a Pretty Good Privacy megalkotója. Hasznos alkalmazás lehet olyan országokban, ahol bírósági végzés nélkül is lehet megfigyelni az állampolgárokat, azonban egy fontos problémát nem oldanak meg ezek az alkalmazások: nem védik a kommunikáció meta-információit, például ki-kivel kommunikál, mikor, honnan, stb. Pedig ezeket az információkat az EU-ban automatikusan gyűjtik, és legalább fél évig tárolják. (A tartalmat pedig általában nem, de erről a tájékoztatás hiánya miatt nem lehet biztosat mondani.)
Kicsit régebbi hír a hó elejéről, de még nem említettük: amerikai kutatók a lakást feltérképező okostelefon alkalmazást készítettek, amely segítségével a lakás 3D modellje is elkészíthető, ahogy az alábbi ábra is mutatja.
Ez a módszer nem valószínű, hogy meg fog jelenni a tömeges megfigyelés iparában, de célzott személyes megfigyelésre valóban használhatónak tűnik (például a fentebb említett országok hatóságainak).
A mindennapos megfigyelésről
|
|
2012.10.12. 06:20:39
Gulyás Gábor
Az átlagember bár sokat hall arról, hogy megfigyelik, de mivel olyan összetettnek tűnik számára ez a probléma, sokszor inkább feladja (ez sokkal egyszerűbb), és nem is akarja már tudni mivel áll szemben – a tipikus (posztkommunista) válasz, hogy úgyis mindent megfigyelnek, és nincs mit tenni. Pedig ez nem igaz, ha megismerjük a valós helyzetet, akkor apránként tudunk tenni is ellene; mintegy szembemenve azzal a fogyasztói magatartással, amelyet a legnagyobb privátszféra rombolást végző cégek (pl. Google, Facebook) akarnak ránk erőltetni.
Az érdeklődők számára tudjuk ajánlani a WSJ figyelemfelkeltő interaktív tanulmányát a megfigyelésről. Bár alapvetően az amerikai szempontot tükrözi, sokat tanulhatunk belőle.
Webes nyomkövető detektor és blokkoló: Ghostery
|
|
2012.10.08. 05:04:01
Gulyás Gábor
A Ghostery nevű Firefox addon eleinte csak a nyomkövetésre használt webpoloskák és egyéb eszközök jelenlétét figyelte, és ezekről értesítette a felhasználót, tehát inkább egy figyelemfelkeltő alkalmazás volt. Azonban ahogy telt az idő (sőt, még tulajdonost is váltott menet közben), átalakult, és egy komplex, vezetőnek számító blokkoló alkalmazás lett belőle, amelyet bátran javaslunk mindent Firefox böngészőt használó Olvasónk számára. Jelentős méretű adatbázisa segítségével az elterjedtebb nemzetközi és hazai követőket, auditor cégeket ismeri, és bizonyos trükköket is képes kiszűrni, például az átirányításokat. (Több cég ennek segítségével méri a rajta átfutó forgalmat, illetve így játssza ki a harmadik féltől származó sütik tiltását – hiszen így bárkiből lehet elsődleges fél.)
Ha valakinek esetleg nem lenne szimpatikus, alternatívaként esetleg a Do Not Track Plus-t tudjuk javasolni.
Videó a megfigyelésről
|
|
2012.10.04. 16:57:16
Gulyás Gábor
Az Év információvédelmi szakdolgozata - 2012: Böngészőfüggetlen rendszerujjlenyomat
|
|
2012.09.20. 16:17:16
Gulyás Gábor
Az "Év információbiztonsági szakdolgozata" pályázatra beküldött dolgozatok értékelését követően az Egyesület Bíráló Bizottsága Boda Károlynak ítélte a díjat "Böngészőfüggetlen rendszerujjlenyomat, mint webes nyomkövetési módszer kidolgozása és vizsgálata" című dolgozatáért. Továbbá az Egyesület elismerő oklevéllel díjazta Danis Mihálynak "Webes hírcsatorákban alkalmazható nyomkövetési technikák vizsgálata" című szakdolgozatát.
Mindkettőjüknek gratulálunk!
Ipari méretű megfigyelés torrent hálózatokon is
|
|
2012.09.10. 14:07:39
Gulyás Gábor
A SecureComm 2012 konferencián bemutatott kutatási eredményeik alapján kutatók azt állítják, hogy jogvédelemmel foglalkozó szervezetek, kormányok és biztonsági cégek tömegesen figyelik a nyilvános torrent oldalak letöltési forgalmát. Kísérletükhöz a kutatók felállítottak egy hamis kiszolgálót, és figyelték a csatlakozási kéréseket, és rövid idő alatt érkeztek is monitorozásra szakosodott kliensek, amelyek rögzítik, hogy ki (IP cím alapján) és milyen tartalmat tölt le éppen. A letöltők szerencséje, hogy a felmérés alapján csak a toplista felső 100 elemét kísérték figyelemmel ilyen jellegű "kliensek".
Lassan az élet minden területén védekezni kell a megfigyelés ellen. Jöhetnek – a legális tartalmat letöltő felhasználóknak – a privátszféra-védő torrent kliensek.
Új dolgozat: Doodle vs. Dudle
|
|
2012.09.03. 10:41:34
Gulyás Gábor
A mai napon újabb dolgozat jelent meg a PET Portálon: Doodle vs. Dudle.
Túri Éva dolgozata egy igen népszerű szolgáltatást, a Doodle szavazó és időpontegyeztető szolgáltatását hasonlítja össze annak privátszféra-barát megfelelőjével, a Dudle-vel. A Dudle a Drezdai Műszaki Egyetemen készült, a PrimeLife projekt részeként. A Dudle a privátszféra védelmének érdekében erős kriptográfiát használt, és kliensoldalon tárolja az információkat – azonban Éva dolgozatából további eltérések részleteit tudhatjuk meg.
Facebook átnevelőtábor: ne legyen privátszféra-tudatos a felhasználó
|
|
2012.08.26. 21:38:05
Gulyás Gábor
A Tech Crunch tegnapi cikkében górcső alá veszi a Facebook alkalmazások felületének grafikai újításait. Ezek nem kimondottan a cég privátszféra-barát oldalát mutatják, hiszen az átalakítások számos ponton a felhasználó tudatosságának "elaltatására" törekednek, amelyeket az említett cikk szerzője a következő pontokban foglalt össze:
- A régi dizájn két gombja (engedélyezem/nem engedélyezem) helyett már csak egy gomb van (játszom), ami már nem állítja döntés elé a felhasználót, hanem inkább a "reflex-szerű" alkalmazás indítás irányába tereli.
- A hozzáférési engedélyadásra figyelmeztető szöveg kevésbé látványos, apróbetűs lett és szürke színű.
- A kapcsolódó magyarázat eltűnt, és csak érdeklődésre jelenik meg (tooltip jelleggel).
- Általában a felhasználó a fő funkcionális elemre koncentrál, ami jelen esetben az indításhoz kapcsolódó néhány gomb; az ez alatti tartalom gyakorlatilag a felhasználók többsége előtt "rejtett". Az oldal ennek megfelelően úgy lett átszerkesztve, hogy az egyéb "sallangokkal" a felhasználók ne nagyon találkozzanak.
- Kerülik az engedélyezés kifejezés használatát, helyette inkább a felhasználói élményre koncentrál az új felület.
Véleményem szerint ez a néhány pont hűen tükrözi a Facebook magánéletünkről alkotott véleményét: ne akadékoskodjunk annyit, csak fogyasszunk bátran! Aztán hogy ez kinek válig egészségére, majd meglátjuk magunk...
Régi vs új dizájn. [A képet a TechChrunch-tól kölcsönöztük.]
Új dolgozat: elektronikus szavazórendszerek
|
|
2012.08.20. 17:42:48
Gulyás Gábor
A mai napon újabb dolgozat jelent meg a PET Portálon: elektronikus szavazórendszerek.
Simon Anikó dolgozata az elektronikus szavazórendszereket tekinti át, a lyukkártyás gépektől a DRE-terminálokon át az internetes szavazásig. Kiderül, hogy egy szavazással kapcsolatos követelményrendszer minden elemének megfelelni mennyire nem triviális feladat, és, hogy a nem is olyan távoli múltban milyen banális hibákat követtek el egyes DRE-szavazórendszerek tervezői.
Új dolgozat: privátszférát erősítő technológiák mobiltelefonokra
|
|
2012.08.06. 10:14:58
Gulyás Gábor
A mai napon újabb dolgozat jelent meg a PET Portálon: privátszférát erősítő technológiák mobiltelefonokra
Rádi Attila színvonalas dolgozata áttekintést ad a mobilos PET-ekről, és elsősorban az Android platformra fókuszál. A mű nem csak az általánosabb problémákkal foglalkozik, összességében 10-15 PET technológiát, protokollt mutat be az Olvasónak mérnöki részletességgel, bőségesen illusztrálva.
Új szakdolgozat: RSS csatorna felhasználók követése
|
|
2012.08.02. 11:49:34
Gulyás Gábor
A „webkettő” új, információ-vezérelt szolgáltatásai kétség kívül számtalan új lehetőséget hoztak az internet világába. Térnyerésüknek köszönhetően a tartalommegosztás vált a világméretű hálózat egyik fő mozgatórugójává, akár a közösségi, akár az üzleti szférát nézzük. Ez utóbbi viszont nem csak előnyöket, hanem hátrányokat is hordoz magában. Sok szervezet, cég azzal a kizárólagos céllal jött létre, hogy nyomon kövessék a felhasználókat profilírozás céljából, amelyet vagy saját maguk használnak fel, vagy pedig más cégeknek adnak el. Azonban akár egyszerű tartalomszolgáltatók esetén is megfigyelhető ez a jelenség.
Danis Mihály szakdolgozata ezen kérdéskör egy feldolgozatlan szeletét vizsgálja, hogy a webes hírcsatornák használóinak tevékenysége milyen módszerekkel követhető. Gyakorlati aspektusból is tárgyalja a kérdéskört: az elterjedtebb hírolvasókat is górcső alá veszi, illetve azt is vizsgálja, hogy az egyes módszerek hogyan sérthetik meg a felhasználók privátszféráját.
A munka hiánypótló felfedezéseket tartalmaz. Először is rámutat arra, hogy az ún. inline frame HTML elem segítségével a hírolvasók többségében a biztonsági védelem kijátszható (mint például a JavaScript blokkolás). Másrészt a szerző elvégzett egy 40 populárisabb oldalt érintő felmérést, amelyben ezek hírcsatornáit vizsgálta, s a szakdolgozatból kiderül, hogy ezek közül 11 alkalmaz követési technikát a hírcsatornájában.
A szakdolgozat a tanulmányok részen letölthető.
Új dolgozat: Privacyvédjegyek pró és kontra
|
|
2012.07.23. 09:31:03
Gulyás Gábor
Új dolgozat: Privacyvédjegyek pró és kontra
Németh Eszter dolgozatában bemutatja a weboldalak privátszféra-barát hozzáállásukat garantáló védjegyeket, és ezek közül röviden ismerteti a TRUSTe, European Privacy Seal működését.
Így látnak minket a hirdetők (infógrafika)
|
|
2012.07.21. 11:07:40
Gulyás Gábor
Privátszféra-védelmi hírcsokor: a webes hirdetők ismerik barátaink, anyagon átlátó kamerák és további érdekességek
|
|
2012.07.20. 10:29:30
Gulyás Gábor
Az már legtöbbünk számára nem újdonság, hogy az internet üzleti célból (is) megfigyelnek minket, és értékesítik az így keletkezett profilinformációkat, például célzott hirdetések formájában. Azonban egy új jelenség van feltűnőben, az ún. "social retargeting", amikor már nem csak mi vagyunk a célkeresztben, hanem azok is akikkel megosztunk információkat – hiszen kitől hall valaki jót egy szolgáltatásról, ha nem a barátaitól. Hogyan jutnak azonban hozzá ehhez, ha nem vagyunk fent közösségi hálózatokon, mint a Facebook és Twitter? A trükk egyszerű: tartalom megosztó és linkrövidítő szolgáltatóságokat üzemeltetnek, amivel egyszerűen felderíthetőek kapcsolataink.
Sajnos ez a technológia is a privátszféra további eróziójához járulhat hozzá, de mint érdekesség, megemlítjük. A fizikai megfigyeléseknél nem mindig könnyű megfelelően elrejteni a kamerát. A Qwonn biztonsági termékeket előállító cég munkatársai olyan speciális műanyagot (ún. Black-Ops plastic) hoztak létre, amely normál szemmel nézve feketének tűnik, de fekete-fehér kamerával nézve már átlátszó. Így lehetőség van rá, hogy egy Black-Ops műanyaggal álcázott tárgyban kamerát rejtsenek el, amint ez a mellékelt illusztráción is látható.
Amikor a privátszférát érintő kérdésekről beszélünk, gyakran felteszik azt a kérdést, hogy miért van egyáltalán szükség bizonyos dolgok elrejtésére. Sőt, egyes vélemények szerint, ha el akarunk rejteni valamit, lehet, hogy nem is kellene csinálnunk. Azonban az életben vannak olyan események, dolgok, amit eleve nem a nagyközönség elé szánunk, de ettől még nem tekinthetőek rossznak, vagy bűnösnek. Ha valaki találkozott már ilyen kérdéssel, vagy akár saját maga tette fel, ajánljuk figyelmébe Jay Stanley cikkjét, ahol hat érvet gyűjtött össze a privátszféra védelmében. Bruce Schneier is egy remek esszét írt a témáról, a privátszféra eróziójáról és a Facebook, ill. Google ebben betöltött szerepéről.
További privátszférát érintő újdonság, hogy a Firefox 14-ben immáron a keresések automatikusan a Google SSL keresőjét használják.
Új dolgozat: Közösségi hálózatok és a privacy viszonyának elemzése
|
|
2012.07.11. 18:13:25
Gulyás Gábor
Új dolgozat: Közösségi hálózatok és a privacy viszonyának elemzése
Karkus Viktor dolgozata bemutatja a közösségi hálózatok adatvédelmének alapjait, majd kapcsolódó visszaéléseket tárgyalja, melyben mind a szolgáltató, és a többi felhasználó is megjelenik "elkövetőként". Mivel az absztrakt megközelítés helyett inkább példákon keresztül mutatja be a közösségi oldalak ezen oldalát, kifejezetten ajánljuk a témában kevésbé járatos, de érdeklődő Olvasóink figyelmébe.
A weboldalak még mindig ellenőrizhetik, merre jártunk korábban!
|
|
2012.07.04. 17:43:47
Gulyás Gábor
A history stealing lényege, hogy egy weboldal "illegális" módszekkel próbálja meg kinyerni a böngészőből az előzmények listáját, hogy azonosítsa a felhasználót, vagy hogy üzleti célból profilt készítsen róla (például kedvezőbb árakkal hatást gyakorljon rá, ha járt a konkurenciánál). A maga idején a history stealing elég elterjedt módszer volt, de mióta a Firefox befoltozta a lehetőséget (és ezt követte a többi böngészőgyártó), csak körülményesebb módszerekkel nyílt az előzmények detektálására lehetősége az egyes érdeklődő oldalaknak.
Azonban nem sikerült minden rést befoltozni. Az ún. cache-stealing segítségével weboldalak detektálhatják, hogy a látogató milyen más oldakon járt korábban, amennyiben a gyorsítótárban megtalálható az adott lap valamelyik erőforrása (pl. kép, JavaScript könyvtár). Ez például úgy működhet, hogy egy ilyen erőforrást megpróbál a detektáló algoritmus saját maga betölteni, és ha elég gyorsan sikerül, akkor feltételezi, hogy a betöltést a gyorsítótárból történt, és találatként könyveli el. Azonban az eddig ismert módszerek hátránya, hogy csak egyszer végezhető el velük a kísérlet, és a history stealinghez képest elég lassú ellenőrzést tesznek lehetővé.
Ezen sikerült javítania a cachetime írójának (2011. végén!), aki egy nem-destruktív (= ismételhető), és elég gyors cache-stealing algoritmust fejlesztett ki több böngésző alá is. Működési elve egyszerű: megpróbál egy-egy erőforrást betölteni, és mivel relatíve igen hamar kiderül, hogy a cache-ből sikerül-e betölteni, nem várja meg a teljes betöltést, hanem előbb megszakítja. Tapasztalataim alapján a demó algoritmus kb. 15-20 URL / másodperc tesztelésére alkalmas, ami elég jó, de a készítő szerint ez még tovább optimalizálható.
Az érdeklődők kedvéért készítettem az eredeti demóból egy hazai változatot, ahol három közismertebb hírportál látogatottsága tesztelhető le (Index, Origo, ATV). Nálam Firefox alatt korrektül működött.
Új dolgozat a PET Portálon: Tradicionális szavazórendszerek
|
|
2012.06.25. 10:31:54
Gulyás Gábor
Új dolgozat: Tradicionális szavazórendszerek
Kara Péter András dolgozata a szavazórendszerek privátszféra-specifikus vonatkozásait tárgyalja. Az írás a cserépszavazástól az elektronikus szavazórendszerekig többféle rendszert is megvizsgál, különös tekintettel a szavazatok és szavazók összeköthetetlenségére. A dolgozatot már pusztán az olyan technikatörténeti érdekességek leírása miatt is érdemes elolvasni, mint a Myers-féle automata szavazógép - hogy a szerző egészen egyedi fogalmazási stílusát és humorérzékét már ne is említsük.
Furcsa, privátszféra-sértő AJAX viselkedés népszerű böngészőkben
|
|
2012.06.15. 05:10:43
Boda Károly
A böngészőprogramok JavaScript API-ja lehetővé teszi tartalmak elérését az oldal újratöltése nélkül, az ezt megvalósító technikák közös elnevezése AJAX (Aszinkron JavaScript és XML). A lekérések (POST, GET) ugyanúgy URL-eken keresztül történnek, mint szinkron esetben, azonban a szerver válaszát a lekérést indító JavaScript program kapja meg, és dolgozza fel.
Új, dolgozatok szekció a PET Portálon
|
|
2012.06.11. 10:31:30
Gulyás Gábor
Új, dolgozatok nevű szekcióval jelentkezünk, ahol kétheti rendszerességgel tervezünk rövid dolgozatokat közzé tenni (egészen szeptember elejéig). Az itt megjelenő dokumentumokat a BME Privátszférát erősítő technológiák (BME VIHIAV00) című tárgyra beadott hallgatói dolgozatok (házifeladatok) közül válogatjuk, a dolgozatokat eredeti formában, módosítások nélkül közöljük. A dolgozatok gyakorlati megközelítésben számos témát dolgoznak fel a – PET Portálon is gyakran előforduló – webes privátszféra területétől kezdve a szavazórendszereken keresztül. Kellemes olvasást kívánunk!
Új dolgozat: Modern (ingyenes) anonim böngészők keresése, bemutatása és elemzése
Gulyás János dolgozatában ingyenes anonim böngészőket mutat be gyakorlati megközelítésben, mint a JondoFox, Anonymouse és HideMyAss szolgáltatások, és egyszerű teszteken keresztül a szolgáltatások által nyújtott anonimitás minőségét is ellenőrzi. A JondoFox esetében összeveti az ingyenes szolgáltatás sebességét a fizetős változatéval is.
Gary Kovacs: Tracking the trackers (Firefox Collusions)
|
|
2012.06.08. 05:29:22
Gulyás Gábor
Me & My Shadow: felfedi, mennyire vagyunk kiszolgáltatottak a neten
|
|
2012.05.31. 16:11:13
Gulyás Gábor
A Me & My Shadow projekt céljául az internethez köthető privátszféra védelmének tudatosítását tűzte ki, melyet három különféle, kifejezetten laikus internethasználók számára készül eszköz segítségével kívánnak elérni. A Trace My Shadow segítségével a látogató felmérheti, hogy milyen információkat oszt meg azáltal, hogy használ bizonyos technikai eszközöket, szolgáltatásokat (a beállítható lista elég szűkös, így egy nagyon erős alsó becslésről tájékozódhat itt a látogató). A Shadow Tracer's Kit egy PET gyűjtemény, ahol figyelemfelkeltő, illetve védekező alkalmazások érhetőek el, illetve a Lost in Small Print részen pedig látványos módon emelik ki a Twitter EULA-jának releváns lényegét, ezzel is megkönnyítve annak értelmezését (ez a szekció még várhatóan bővülni fog).
Hmmm: egy újabb privátszféra-barát közösségi platform, de iOS-ra
|
|
2012.05.23. 09:34:55
Gulyás Gábor
A Google+ és Clique után újabb privátszféra-barát identitásmenedzsmentet alkalmazó közösségi oldal jelent meg, a Hmmm, ami hasonlóan a Clique-hez, már a közösségi profil részidentitásokra bontását is engedélyezi. Azonban a Google+-hoz hasonlóan a Hmmm is kifejezetten az információmegosztára fókuszál, és felületén keresztül így célzottan lehetséges az élet eseményeit a nagyvilág elé tárni.
A fejlesztők videója a tovább után!
Mit tudnak rólunk mobiltelefonos alkalmazásaink?
|
|
2012.05.16. 09:45:59
Földes Ádám Máté
Okostelefonokra letölthető alkalmazások garmadáját kínálják a különféle „piacterek” (pl. a Google Play), nem is keveset ingyen. Annak azonban kevesen vannak tudatában, hogy ezek használatával könnyen veszélynek tehetik ki magánjellegű adataikat. A helyzetet csak súlyosbítja, hogy sokan egyáltalán nincsenek tudatában annak, hogy információik olyan szervezetekhez jutnak el, amelyekről még csak nem is hallottak, valamint, hogy az ingyenes alkalmazás által megjelenített hirdetésekből származó adatforgalomért bizony – mobilinternet-előfizetésük jellegétől függően – ők fizetnek…
Összefoglaló: a Do Not Track mozgalom
|
|
2012.05.10. 09:53:53
Boda Károly
Bevezető
Napjainkban a kereskedelmi weboldalak sokféle harmadik féltől származó szolgáltatást használnak profitnövelési és látogatottságnövelési célból. Hirdetések, analitikai szolgáltatások, közösségi portálok widgetei (pl. hozzászólásokat megjelenítő doboz), megosztó gombok, és a beágyazható szolgáltatások is ide tartoznak (pl. google maps).
Az ujjlenyomat védelmi módszerek anatómiája
|
|
2012.04.25. 05:17:17
Gulyás Gábor
Korábbi bejegyzéseinkben hírt adtunk az új ujjlenyomat kísérletről és a hazai fejlesztésű FireGloves kiegészítőről, és nemzetközi fejlesztésű alternatív védekezi megoldásokról is. De pontosan hogyan is működnek ezek?
Digitális ujjlenyomat: hogy rejtsük el a web elől betűkészletünket?
|
|
2012.04.18. 05:14:26
Gulyás Gábor
Már két hete volt a PET Portál által is támogatott új ujjlenyomat kísérlet sajtótájékoztató eseménye. Az új kísérlet elindítását az indokolta, hogy a korábbi kísérlet eredményeként csak azt a kérdést tudtuk megválaszolni, hogy a betűkészlet JavaScript-ből történő lekérdezése valóban elégséges információforrás a nyomkövetéshez, de azt nem, hogy ezt böngészőfüggetlen módon is meg lehet-e tenni. Mivel a kísérlettel a végső célunk nem a követési technikák népszerűsítése, hanem a védekezés hirdetése és a probléma ismertségének növelése, így egy proof-of-concept Firefox kiegészítőt is létrehoztunk, amely védelmet nyújt ilyen azonosítási technikákkal szemben (amit eddig majdnem ezer alkalommal töltöttek le).
Digitális ujjlenyomat a weben – beszámoló a nyilvános bemutató és sajtótájékoztató eseményről és háttéranyag a kutatásról
|
|
2012.04.05. 21:50:32
Gulyás Gábor
A webezőket számítógépük ujjlenyomata könnyedén azonosítja – legalábbis erre a következtetésre jutottak a BME Híradástechnikai Tanszékének fiatal kutatói.
Digitális ujjlenyomat a weben - kíváncsi lennél a sajátodra is?
|
|
2012.03.29. 15:06:15
Gulyás Gábor
Lejár a sütialapú nyomkövetés kora?
Új számítógép-ujjlenyomat teszt és anti-ujjlenyomat védekezési alkalmazás
Nyilvános bemutató és sajtótájékoztató
Helyszíne:
BME Informatika épület, 017. díszterem
1117 Budapest, Magyar tudósok körútja 2.
Időpontja: 2012. április 4. 11 óra
A webezőket számítógépük ujjlenyomata könnyedén azonosítja – legalábbis erre a következtetésre jutottak a BME Híradástechnikai Tanszékének fiatal kutatói.
Svédországban is törvénybe iktatták az adatvisszatartási irányelvet
|
|
2012.03.27. 11:23:28
Földes Ádám Máté
Svédország eddig egyike volt azon EU-tagállamoknak, amelyek nem iktatták törvénybe az ún. adatvisszatartási irányelvet. Ez a direktíva az országon belülről indított telefonos hanghívások, sms-ek és e-mailek egyes metaadatainak tárolását írja elő; maga a tartalom nem rögzíthető. A tárolás maximális idejét a tagállamok saját hatáskörben szabályozhatják a 6 hónaptól 2 évig terjedő intervallumon belül. Az irányelv alkalmazása minden tagállamnak kötelező, máskülönben a törvénybe iktatás késésének minden egyes napjáért perelheti az államot az Európai Bizottság.
A svéd törvényhozás (Riksdag) által elfogadott javaslat alapján 6 hónapig kötelező tárolni a sikeres és sikertelen telefonhívások, a küldött sms-ek és e-mailek esetében a kommunikáló felek azonosítóit, továbbá a szöveges üzenetek feladásakor, valamint a hanghívások kiépülésekor és lebontásakor a felek pozícióját is. Az információkat ezek után a rendőrség és az állambiztonsági szervek használhatják fel, a különösen súlyos bűncselekmények felderítésének elősegítésére. A tárolás költségét a telekomszolgáltatóknak kell állniuk, az információk kiadásának a költségét viszont megtéríti az állam. Ezek a költségek korántsem elhanyagolhatóak: egyes számítások szerint egymilliárd svéd korona (nagyjából 32,7 milliárd forint) körül alakul majd a végösszeg. A törvény május 1-jén lép érvénybe.
A végszavazást hosszú vita előzte meg, végül azonban 233 igen, 41 nem és 19 tartózkodás mellett jelentős többséggel elfogadta a tervezetet a Riksdag. A leghangosabb ellenzők a Zöldpárt és a Baloldali Párt voltak, az adatvisszatartást régebben még kategorikusan elutasító Centrumpárt pedig megosztottnak volt mondható a kérdésben, bár végül – 4 képviselőjük kivételével – mindannyian igennel szavaztak. Ellenben mindegyik párt ifjúsági szervezete egyhangúan kinyilvánította nemtetszését a törvényjavaslattal kapcsolatban.
Az internetszolgáltatók közül talán a Bahnhof fogalmazta meg a legélesebb kritikát. A cég azt tervezi, hogy alapértelmezésben a felhasználók forgalmát keresztülvezeti egy anonimizáló proxyn (vagyis az egyes előfizetők nem lesznek megkülönböztethetőek az IP-cím alapján), ennek elhagyásáért pedig külön díjat számít fel.
Egy érdekes momentum az új törvénnyel kapcsolatban, hogy még egy rendőrségi forrás is kritizálta azt. A bűnüldöző szervezetek szerint ugyanis a 6 hónapos periódus túl rövid; a ma hatályos törvények alapján ennél régebbi adatok kikérésére is van lehetőség.
Nem titok, be vagyunk-e lépve valamelyikre: Twitter, Facebook or Google+
|
|
2012.03.19. 12:44:10
Gulyás Gábor
Könnyen kiderítheti egy weboldal, hogy a látogatás pillanatában be vagyunk-e lépve valamelyik jelentősebb közösségi hálózatra. Az érdeklődök a kód készítésének részletek is elolvasáshatják, és maguk is kipróbálhatják a böngészőfüggetlen detektor működését.
Vége az anonim szerzők korának?
|
|
2012.03.10. 21:16:26
Gulyás Gábor
Amerikai kutatók nemrég publikált munkájukban megmutatták, hogy csak a nyelvhasználati stílust górcső alá vetve hatékonyan felfedhető egy anonim módon publikált írás szerzőjének kiléte. Algoritmusuk a tanuló fázisban először megvizsgálja a beadott bejegyzéseket (egy kb. 100 ezer blog bejegyzésből álló adatbázissal dolgoztak), és egyedi nyelvhasználati sajátosságokat keres (például felcserélhető szavak relatív gyakoriságát számolja), majd ez alapján létrehoz egy a szerzőre jellemző stílus-ujjlenyomatot, és legközelebb már ez alapján próbálja meg azonosítani. Általánosságban véve az eredmények nem tűnnek áttörőnek, hiszen az esetek kb. 20%-ában sikerül csak helyesen megtippelni a szerzőt, de a pontosság tovább növelhető egészen 80%-ig, ha nem kényszerítjük az algoritmust tippelni, amikor nem biztos a dolgában (vagyis ez a precision-recall optimalizálása).
Az eredmények ezen felül tovább erősíthetőek pl. a téma figyelembe vételével*, a legjobb tippek szemrevételezésével, stb. is. Vajon lehet ez ellen védekezni? Ha nem is PET technológiával, de lehet, és állítólag nem is olyan nehéz: elegendő, ha tudatosan törekszünk valaki más, például egy ismertebb személy stílusát utánozni fogalmazás közben. Akit bővebben érdekel a téma, de esetleg nem olyan mély részletességgel mint a korábbi linken, ajánlom figyelmébe az egyik szerzővel készült négyperces interjú hanganyagát (a szöveges kivonat itt megtekinthető).
* Azért témafüggetlen a vizsgálatuk, mert előfordulhat, hogy egy adott témában csak álnéven ír valaki, és az identitás kompromittációja csak egy másik témabeli írások vizsgálatával tehető meg.
Firefox Collusion: megmutatja a böngészésünket megfigyelők kapcsolati hálóját
|
|
2012.03.02. 19:12:13
Gulyás Gábor
A webes nyomkövetés problémájának súlyosságára kívánja felhívni a figyelmet a Mozilla Collusion privátszféra tudatosság növelő projektje. A működését jól demonstrálja az alábbi videó (de az IT café-n is lehet róla olvasni):
Önmegsemmisítő levél ismét: OneShar.es
|
|
2012.02.25. 13:53:03
Gulyás Gábor
Nem először merült fel az ötlet, már a Vanish esetén is láthattunk hasonló szolgáltatást, amelynél a levelek idővel megsemmisültek. A OneShar.es üzenetei nem időhöz, hanem olvasottsághoz kötöttek: első olvasás után törlődnek a kiszolgálóról. A szolgáltatás továbbá azzal reklámozza magát, hogy a levél tartalma titkosított, mivel beírás után már így kapja meg a böngészőnktől, s így még ő maga sem tudja azt elolvasni. Bár erről bővebb részleteket az oldal sajnos nem közöl, de sejthető, hogy az üzenet terjesztésére használt linkben található meg az olvasáshoz szükséges kulcs. A levél kiküldése egyébként roppant egyszerű: létrehozunk egy új üzenetet, beírjuk az mondanivalónkat, és kapunk ehhez egy egyszer használható linket, amit akár emailben is elküldhetünk.
Mivel egyszerhasználatos linkekről (üzenetekről) van szó, legalább kiderül, hogy olvassák-e mások titokban a levelezésünket. :-)
Clique: a privátszféra-barát közösségi platform
|
|
2012.02.20. 21:12:05
Gulyás Gábor
Bár a Google+ kétségkívül a legismertebb közösségi oldal, ami támogatja a privátszféra-barát adatmegosztást a kapcsolatainkkal, tavaly nyári indulásával nem ez volt az első, ráadásul az itt kínált megoldás, az ún. körök (Circles) nem is tekinthető teljes megvalósításnak. Ugyanis ez csak a megosztott tartalmak körök szerinti kiküldését teszi lehetővé, de más dolgokat, például a profilinformációkat nem lehetséges eszerint beállítani – pedig már kiderült, hogy a való életben ezt így csináljuk.
Így adódott, hogy mind időben, mind e funkció tekintetében megelőzi "vetélytársát" a Clique nevű közösségi platform. A Clique a PrimeLife nevű projekt (PRIME utódprojekt) keretében készült, nyílt forráskódú szoftver, így bárki letöltheti, kipróbálhatja, hiszen az Elgg egy módosított változatáról van szó. A Clique esetében a kapcsolatokat ún. gyűjteményekbe (Collections) csoportosíthatjuk, ahol a különféle tartalmak, és profilinformációk ennek megfelelően adhatóak meg. A platformhoz egy bemutató videó is készült, és egy online teszt változatban bárki kipróbálhatja.
Te mennyiért adnád el a barátaid listáját?
|
|
2012.02.06. 13:06:25
Gulyás Gábor
A legtöbben valószínűleg erre azt a választ adnák, hogy semennyiért, nem eladó. A valóság mégis mást mutat, elég csak a Facebook-ra utalnunk, ahol az emberek – habár közvetett módon, de – mégis ezt teszik: kiárusítják kapcsolatrendszerüket a Facebook-nak, aki azt hirdetőknek értékesíti tovább, és cserébe egy kommunikációs-közösségi platformot szolgáltat a felhasználóinak. Ajánljuk Olvasóink figyelmébe ezt a tanulmányt, amely épp ezt a kérdést elemzi: hogyan reagálnak az emberek, ha pénzről vagy szolgáltatásokról van szó az adatokért cserébe. Hiszen ez a kérdés egyre aktuálisabb, és bár formálisan az emberek meglehetősen drágán vagy egyáltalán nem adnák el privát adataikat, sajnos ebből a tanulmányból is kiderül, hogy ha ellenszolgáltatásról van szó, akkor inkább "filléres kiárusításról" beszélhetünk.
Az ujjlenyomat technikát nyíltan alkalmazzák webes követésre
|
|
2012.01.31. 20:50:10
Gulyás Gábor
A BlueCava nevű amerikai székhelyű cég tegnap sajtóközleményben jelentette be, hogy megoldást kínálnak az EU-ban problémát jelentő süti alapú nyomkövetés alternatívájaként: egy sütimentes, ujjlenyomat alapú megoldást. Bár a cég honlapja kínosan ügyel arra, hogy ne áruljon el túl sok technikai részletet, de annyi kiderül, hogy JavaScript alapú ujjlenyomat alapú módszerről van szó, amely a rendszert elemzi, és az alapján készít ujjlenyomatot.
Egészen pontosan a rendszerjellemzőket összegyűjti, és a cég háttérrendszeréből lekéri az adott konfiguráció ujjlenyomatát. Amely ha létezik, akkor a hozzátartozó profillal együtt lesz elérhető. Ráadásul a cég állítása szerint több platformon is működik a technika (mint például set top box és playstation), és az esetek 99%-ban képes egyedi azonosítót adni a látogatóknak. Állításuk szerint az ujjlenyomat hosszútávon is megbízható, azaz a rendszer változásaira nem érzékeny az ujjlenyomat készítési módszerük.
Az ujjlenyomat-technika nem újkeletű jelenség, először a Panopticlick projekt végzett a témában széleskörű vizsgálatot 2010 elején, majd a PET Portálon mi is indítottunk egy hasonló kísérletet, ami már közelebb áll a BlueCava cég eszközéhez. A PET Portál Ujjlenyomat projekt keretén belül arra voltunk kíváncsiak, hogy lehetséges-e magát az operációs rendszert azonosítani, és így böngészőfüggetlen módon követni a felhasználót. A kísérlet eredményeit a NordSec 2011 konferencián publikáltuk, és az ott megjelent cikk draft változata hamarosan elérhető lesz a PET Portálon – egyelőre még a kiadó dolgozik a konferenciakiadványon, és addig mi sem akarjuk közzétenni, amíg ők nem publikálják.
Jelenleg is folytatjuk az ujjlenyomatok területén a munkát: hamarosan elindítjuk az új ujjlenyomat tesztet, amelyről az érdeklődők a PET Portálon informálódhatnak majd.
UPDATE (2012-02-06): további érdekes olvasnivaló az érintett törvények elemzéséről. (Azaz miért baj, hogy a törvény csak a tárolt adatokra vonatkozik.)
Google: itt és most, csakis Önökért!
|
|
2012.01.26. 14:19:19
Gulyás Gábor
A Google egyszerűsíti adatvédelmi nyilatkozatát, melynek dedikált célja, hogy (1) a felhasználó egy egyszerűsített nyilatkozatban tájékozódhasson valamennyi Google szolgáltatás adatkezeléséről, valamint hogy (2) a szolgáltatások közötti hatékonyabb együttműködést megvalósíthassák az alkalmazásközi adatáramlással (vagyis az alkalmazások hozzáférnek egymás adataihoz). A személyes adavédelmi olvasata kicsit más az ügynek: ezzel lehetővé válik a Google számára a felhasználóinak a precízebb profilírozása, ami hatékonyabb reklámfelület értékesítést is jelent, és több bevételt.
Mindenesetre akit érdekel a hivatalos bejelentés, a lényeget összefoglaló videót megtekintheti alább.
UPDATE (2012-01-27 20:45): Bár részemről nem olvadok el a Google-nek és a Facebook-nak a felhasználó felé irányuló szeretetétől, de érthető a szolgáltatások adatkezelésének ilyen módú összevonása, ha idén valóban a közösségi média felturbózása a cél.
Csak emberi szemnek!
|
|
2012.01.15. 22:34:52
Székely Iván
A Leuven-i Katolikus Egyetem (Katholieke Universiteit Leuven, Belgium) számítógép-biztonsági és ipari kriptográfiai kutatócsoportja (Computer Security and Industrial Cryptography research group) diákjai és tanárai együttműködésével egy új, privátszférát erősítő Firefox-kiterjesztést fejlesztettek ki és tettek nyilvánossá "For Human Eyes Only" (FHEO) néven. A megoldás a szöveges online üzeneteket képpé alakítja át, ami megnehezíti, hogy a szöveg tartalmát illetéktelenek gépi úton automatikusan elemezzék, de az eredeti szöveg emberi szem számára továbbra is olvasható marad.
A megoldás használhatóságának tesztelésére a kutatók egy online survey-t indítottak és kérik a felhasználókat, hogy töltsék ki a kérdőívet és terjesszék a survey linkjét. A kitöltés kb. 10 percet vesz igénybe, de a kutatók felhívják a figyelmet, hogy kitöltés közben ne hagyjuk magunkat megzavarni, mert a válaszadás sebességét is mérik.
FootPath: The Sims játék, bevásárlóközpontoknak
|
|
2012.01.09. 09:52:15
Gulyás Gábor
A FootPath egy új szolgáltatás, elsősorban bevásárlóközpontoknak, amely segítségével a bevásárlóközpont – szigorúan szolgáltatásainak optimalizálásának céljából – megfigyelheti, hogy a kedves vásárló merre jár. A technológia alapelvét tekintve elég egyszerűen működik, a mobilok "csendes" működése közben kiküldött jeleket figyelik és ezek alapján rögzítik a látogató útvonalát.
Karácsonyi hír: ellopták a rosszak listáját a mikulástól :-)
|
|
2011.12.26. 19:02:27
Gulyás Gábor
Frissítés (2011-12-27 16:15): az Adatvédelmi Nyilatkozat is elolvasható. :-)
Billentyűzetlehallgatás mikrofonnal
|
|
2011.12.14. 11:04:53
Zsolt
Az ember nem is gondolná, mennyire könnyen, hányféle módszerrel hallgatható le. Itt, a PET Portálon a vezeték nélküli billenytűzetek veszélyei című cikket olvasva jutott eszembe, hogy a billentyűzetek lehallgatásáról már olvastam valahol. Hadd tárjam a kedves olvasó elé, amit talán még álmomban sem gondolna.
A billentyűleütések a szó lehető legszorosabb értelmében lehallgathatók - mikrofon segítségével. A Berkeley egyetem kutatói fejlesztettek ki egy módszert még 2005-ben. Egy átalakított beszédfelismerő szoftvert használtak, mellyel, megfelelő betanítás után billentyűleütések hangja alapján 1,3%-os valószínűséggel ismerhető fel pontosan egy tízjegyű jelszó - azaz, 75-ből 1-szer.
A lehallgatáshoz ráadásul még csak közel sem kell kerülni az áldozathoz, elég akár egy, az utca túloldalán levő épületben felállított puskamikrofon is, vagy esetleg trójai segítségével is felvehetők a hangok.
A vezeték nélküli billentyűzetek veszélyei
Címkék: -
Érdekesség: blog szerzők de-anonimizálása
|
|
2011.12.06. 05:46:14
Gulyás Gábor
Andy Baiot a kíváncsisága vezérelte, amikor felfedezte, hogy az anonim bloggerek identitása egyes esetekben könnyen felfedhető: egyszerűen az oldalhoz kapcsolódó Google Analytics fiókjuk alapján. Felfedezése után megnézte, hogy 50, a Google News-ból véletlenszerűen választott anonim blog esetében hánynál működik ez a módszer. Összesen 14 blog használt Google Analytics-ot, és a felüknél olyan azonosítót használtak, ami máshol is elérhető volt. Ennek segítségével a két weboldal már összeköthető, és így a blogger identitása is lehet, hogy kompromittálható. Akit érdekel a téma, olvassa el a részleteket az eredeti bejegyzésben.
CarrierIQ: okostelefonok millióin kémkedik egy legális program
|
|
2011.12.02. 05:23:14
Gulyás Gábor
Tömegeket érint az eset, mivel sok esetben alapértelmezésként telepítették a szoftvert:
Egy biztonsági szakember bejelentése keltett a múlt héten igen nagy vihart, ugyanis állítása szerint egy cég olyan okostelefonos alkalmazást terjeszt, mely a felhasználók minden tevékenységét követi és naplózza... A kémkedést már a múlt héten tagadó gyártó közleményben reagált a vádakra, és visszautasították a káros célú nyomkövetés vádját.
...
Az androidos fejlesztésekkel foglalkozó Trevor Eckhart közlése igazából tegnap robbant szenzációként, miután a szakember a vállalat állításait cáfolandó videón is bemutatta a program működését (itt látszik például, hogy hiába használ Eckhart a Google-nál https-t, vagyis titkosított adatkapcsolatot, a Carrier IQ látja a keresést, holott ezt csak a Google-nak és a felhasználónak lenne szabad, illetve az egyes billentyűleütéseket is logolja a szoftver, és minden adatot elküld a gyártó szerverére).
A teljes cikk itt elolvasható, és érdemes a videót is megnézni!
Valószínűleg nem az utolsó eset, hogy mobilokkal kapcsolatban a privátszféra sérüléséről hallunk: ezek a készülékek egyre több helyen ott vannak velünk, egyre több adatunk tárolják; egyre jobban integrálódnak magánszféránkba. Ahogy a web esetén az integrációs folyamat kihozta a már meglévő problémákat (mint amilyen a 10 éve ismert history stealing hiányossága volt), vélhetően a telefonoknál is ez fog történni, és több régi, vagy e jelen hírhez hasonló frissebb "szennyes" fog napvilágra kerülni.
Hogyan válasszunk erős jelszót?
|
|
2011.11.29. 05:33:42
Gulyás Gábor
Számos rendszert használunk a mindennapi teendőink, munkáink során, és ezek közül a legtöbbnél jelszóval kell védenünk a fiókunk hozzáférését. Jelszót pedig sokféleképpen választhatunk, és – az eddigi tapasztalatok szerint – a legtöbbször a könnyű megjegyezhetőség vezérel ebben minket. Vagy ugyanazt a jelszót használjuk mindenhol és mindig, vagy egy személyes információból próbálunk jelszót csiszolni (például a kutyánk nevéből). Azonban egyik sem célravezető.
Ajánló: ingyenes online kriptográfiai kurzus
|
|
2011.11.25. 15:53:13
Gulyás Gábor
Jövő év januárjában ingyenes online kriptográfiai kurzus indul Dan Boneh professzor vezetésével. A kurzus oktatóvideói ingyenesen megtekinthetőek (más ingyenes anyagot nem tesznek közzé), akár később is, nem csak az órák ideje alatt. Az érdeklődők megtekinthetik a kedvcsináló videót itt.
Érdekesség: naplózzák az érzelmeket a telefonos ügyfélszolgálatok
|
|
2011.11.23. 05:42:42
Gulyás Gábor
A Voice Miner elnevezésű telefonos ügyfélszolgálatokat támogató rendszer képes az ügyfél érzelmeinek felismerésére:
A Nextent Informatika által kifejlesztett, Voice Miner névre keresztelt alkalmazás segítségével olyan, eddig nehezen hozzáférhető információk kerülhetnek felszínre az ügyfélszolgálati beszélgetésekből, melyek használatával folyamatosan növelhető a telefonos ügyfélkiszolgálás gyorsasága, hatékonysága és ezáltal az ügyfelek elégedettsége.
...
A Voice Miner automatikusan feldolgozza az ügyfélszolgálatra befutó összes telefonhívást, felismeri, hogy a cég számára fontos kulcsszavak elhangzanak-e a beszélgetésben, így adott esetben egy panasz vagy probléma sokkal gyorsabban azonosítható. A rögzített beszélgetéseket korábban csak szúrópróbaszerűen volt lehetőség visszahallgatni, ezzel szemben a Voice Miner automatikusan jelentéseket küld minden telefonbeszélgetésről az előre meghatározott paraméterek alapján az illetékes kollégákhoz.
Érdekes kérdés, hogy vajon mindig szeretnénk-e a naplózást engedélyezni, és van-e lehetőség kikapcsoltatni? Más lapra tartozik, hogy a "lemért hangulat" nem mindig helyes következtetést vonhat maga után: lehetünk egész más miatt emelkedett, vagy épp borús hangulatban is, nem csak az adott szolgáltatás miatt. (A hír a Voice Miner alkalmazást illetően nem új, már régóta elérhető a piacon.)
Nincs esély, ha nem akarjuk, hogy megfigyeljenek?
|
|
2011.11.18. 13:52:34
Gulyás Gábor
Az amerikai Carniege Mellon University kutatói 45 fő bevonásával a webes nyomkövetés (pontosabban az erre épülő hirdetés) elleni védekezésre készített eszközök használhatóságát vizsgálták. Összesen 9, böngészőkbe épülő eszközt válogattak be a vizsgálatba, melyek a beállítások alapján a felhasználót megpróbálják opt-out alapon kivonni ebből a "szolgáltatásból". A tesztjeik során azt vizsgálták, hogy a kísérleti alanyok hogyan használják ezeket az eszközöket. Végeredményben valamennyi eszközben találtak hiányosságokat:
... We found serious usability flaws in all nine tools we examined. The online opt-out tools were challenging for users to understand and configure. Users tend to be unfamiliar with most advertising companies, and therefore are unable to make meaningful choices. Users liked the fact that the browsers we tested had built-in Do Not Track features, but were wary of whether advertising companies would respect this preference. Users struggled to install and configure blocking lists to make effective use of blocking tools. They often erroneously concluded the tool they were using was blocking OBA when they had not properly configured it to do so.
(A felmérés eredményeit egy kutatási beszámolóban tették közzé, ami elérhető itt.)
További érdekesség: a témában a Stanford egyetem kutatói is készítettek felmérést a közelmúltban, melyről itt lehet olvasni.
Rövid hír a RAM ujjlenyomatokról: kulcsgenerálás és egyedi azonosítás?
|
|
2011.11.08. 10:53:22
Gulyás Gábor
Holland kutatók a NordSec 2011 konferencián tartott előadásukban új koncepciót vázoltak fel a memóriamodulok egyedi azonosítására. A modulok minimális (és költségkímélő) átalakításával megoldható a RAM ujjlenyomatok készítése. A RAM modulok bekapcsolás utáni értéke egyszerűen mérhető, ráadásul erről kiderült, hogy nagyjából állandó mintázatot ad (kevesebb mint 10% eltéréssel bekapcsolásonként), plusz modulonként kellőképpen eltér (tehát egyedi), s így lehetőséget ad a modul ujjlenyomatának legenerálására. Ennek több alkalmazási lehetősége is van, mint például kriptográfiai kulcsok származtatása, vagy a modulok egyedi azonosítása. Ez utóbbinál külön érdekesség, hogy ezzel a technikával így lehetőség nyílna a PC-k egyedi azonosítására, ami egyes szoftveróriásoknak már régen dédelgetett álma.
(A bejegyzésben említett publikáció még nem elérhető, a konferenciakiadvány készítése folyamatban van.)
Ha a szakértők is belebuknak, akkor kiben lehetne bízni, hogy nem fogja kiadni bárkinek adataid?
|
|
2011.10.23. 05:51:02
Gulyás Gábor
Az IT café beszámolója szerint még az IT biztonsági szakértők sem védik kellőképpen az adataikat, és kiadják kvázi ismeretleneknek. Ha ez így van, hogy várhatnánk el az adatai védelmét egy hétköznapi érdeklődésű adatalanytól?
A BitDefender biztonsági cég által készített felmérés szerint az IT-biztonsággal professzionálisan foglalkozók majdnem annyira óvatlanul bánnak személyes adataikkal, mint az átlagos felhasználók.
...
De virtuális nők végül mégiscsak eredményesen akcióztak, ugyanis a kutatás végére a célszemélyek 75 százaléka adott meg magáról érzékeny információkat, például lakcímet, telefonszámot, hozzátartozóik nevét. Sőt, a célzottan érdeklődő nőknek szinte mindegyikük felajánlotta, hogy megadja jelszavát, az IT-biztonságiak 13 százaléka pedig valóban el is árult több online használatos azonosító/jelszó párost is.
Jelentés a közösségi hálózatok adatvédelmi kérdéseiről
|
|
2011.10.21. 10:30:53
Székely Iván
A SPION projekt közzétette angol nyelvű összefoglaló jelentését a közösségi hálózatok adatvédelmi kérdéseiről. Új megállapítások ugyan nincsenek benne, de áttekintést ad a szakirodalomról és a létező technikai megoldásokról (7-9. fejezet).
Abstract:
The objective of this deliverable is to (1) provide an overview of existing literature and case descriptions of social and community uses of online Social Network Services (SNS); (2) summary of available educational solutions and empirical evidence of the efficiency and efficacy and the satisfaction they generate; analysis of legal frameworks applicable to SNS; (3) a review of confidentiality, access control and information flow, as well as feedback and awareness solutions. The Deliverable also includes an analysis of how the gaps and challenges in the different disciplines represented in the project are interrelated, mapping out research gaps and potentials for future interdisciplinary research on privacy and security in online Social Network Services.
A tanulmány letölthető a https://www.cosic.esat.kuleuven.be/publications/article-2077.pdf címről.
Amire a népszámlálás nem elég...
|
|
2011.10.20. 05:54:17
Gulyás Gábor
... arra vannak a trójai alkalmazások? :) Nem bizonyított, hogy német kormányzati alkalmazás, amiről a lentebbi idézet szól, de izgalmas lenne, ha kiderülne:
A Chaos Computer Club megszerezte és kielemezte a német kormány által fejlesztett, Quellen-TKÜ névre keresztelt "lehallgató eszközt".
...
A CCC elemzése ezzel szemben azt állapítja meg, hogy a szoftver teljes kontrollt biztosít a megfigyelt számítógépek felett, segítségével tetszőleges más program telepíthető azokra, a mikrofon és kamera bekapcsolásával pedig a fizikai környezet lehallgatására is alkalmat ad. Emellett a vezérlő szoftverrel történő kommunikációnak csak egy része titkosított (ECB módú AES-128 :P), de egyáltalán nem autentikált, az átmenő adatok integritása nem ellenőrzött. Ez lehetőséget ad bizonyítékként letöltött adatok meghamisítására, vagy hamis bizonyítékok eljuttatására a célgépre - a gépet használó vagy akár a hálózati kapcsolatba beékelődő támadó számára is. A trójai ezen felül úgy fedi el az őt vezérlő szerver címét, hogy egy amerikai szerveren keresztül irányítja a forgalmat, ezzel akár nemzetbiztonsági kockázatnak kitéve Németországot.
Azért nem csak a németeket érdekli, hogy "mi történik a nagyvilágban".
Ajánló: mi mindennek van ujjlenyomata?
|
|
2011.10.17. 17:44:42
Gulyás Gábor
Ha a privátszféra oldaláról nézzük, az ujjlenyomat készítésének fő célja egy rövid, nagy valószínűséggel egyedi azonosító hozzárendelése egy adott eszközhöz, szoftverhez, aminek segítségével később az eszköz megfigyelhetővé, profilírozhatóvá válik. Példáért sem kell messzire látogatnunk: PET Portál ujjlenyomat projektje is hasonló céllal indult, azaz, hogy egy egyedi azonosítót rendeljen a felhasználó operációs rendszeréhez, amely segítségével böngészőfüggetlen módon lehetséges azonosítani, adattárolás nélkül.
Ajánljuk a téma iránt érdeklődő Olvasóink figyelmébe a 33 Bits of Entropy blog nemrég indult sorozatát, melyben különféle témakörökben olvashatunk az ujjlenyomatok alkalmazási lehetőségeiről. Az első bejegyzés egy rendhagyónak tűnő témát vesz górcső alá, és egyszerű papírlapok ujjlenyomatozási módszerét mutatja be. (Ez miért érdekes? Ha egy papírlap egyértelműen azonosítható, akkor a nyomtatott kérdőívek, szavazások például de-anonimizálhatóak.) A későbbi bejegyzések már elektronikus eszközök ujjlenyomatozásával foglalkoznak, mint a fényképezőgépek megkülönböztethetősége fényképeik alapján, RFID címkék együttes nyomkövetése és szkennerek és nyomtatók azonosítása.
Facebook vs. Europe
|
|
2011.10.01. 11:10:00
Gulyás Gábor
A Facebook új, nem rég bevezetett újítása, a Timeline sokak számára egyértelműbbé tette: a közösségi oldal nagy mennyiségű információt tárol felhasználóiról. Erre hívja fel a figyelmet a Europe versus Facebook csoport kezdeményezése, akik néhány tagja (egy brit jogszabályra hivatkozva) kikérte a Facebooktól a róla tárolt információkat. A válasz meglepő volt: hatalmas mennyiségű információt kaptak, amelyben számos olyan elem is volt, ami hivatalosan már törlése került, de természetesen a Facebook rendszeréből nem tűnt el (és nem is fog).
Az Év információvédelmi diplomadolgozata - 2011: Webes tartalmakban alkalmazható szteganográfiai módszerek vizsgálata
|
|
2011.09.21. 20:01:11
Gulyás Gábor
A Nemzetközi PET Portál és Blog szerkesztőbizottsága ez úton gratulál Besenyei Tamásnak, akinek diplomadolgozata megnyerte a Hétpecsét Információbiztonsági Egyesület idei diploma pályázatát, és Tamás lehetőséget kapott arra, hogy bemutassa diplomamunkáját az egyesület mai fórumán. Gratulálunk!
Hamarosan új tanulmány a PET Portálon!
|
|
2011.09.15. 05:06:30
Gulyás Gábor
Szeptember 22-én új tanulmányt teszünk közzé a PET Portálon: Besenyei Tamás diplomadolgozatát, melynek címe Webes tartalmakban alkalmazható szteganográfiai módszerek vizsgálata.
Blendr: érdekes személy van a közelben, tudj meg róla többet itt és most!
|
|
2011.09.12. 15:12:41
Gulyás Gábor
Már többször hallottuk, hogy a helyzeti információk megosztása veszélyeket rejt magában, de úgy látszik, hogy ez nem számít: a Blendr közösségi alkalmazás ezen a téren akar egyszerűbb utat nyitni az ismerkedésnek. A regisztráló felhasználók feltehetnek magukról egy képet, egy rövid leírást az érdeklődési köreikkel együtt, és megnézhetik, hogy milyen hasonló érdeklődésű emberek tartózkodnak a közelükben. Bár a program lehetőséget ad a célcsoport korrekt szabályozására, és pontos helyzetinformációt nem közöl (csak távolságot), vélhetően a felhasználók egy része nem fogja tudni vagy nem akarja majd használni ezeket a funkciókat (ahogy a Facebook esetén volt ez tapasztalható).
Aztán ez olyan kellemetlenségekhez vezethet, mint amire a PleaseRobMe próbálja meg felhívni a figyelmet: például nem kell tudnom, hogy pontosan hol van az illető, elég, ha tudom, hogy ha a lakásától elég távol tartózkodik épp. Ráadásul az ilyen programok térhódítása – hasonlóan a közösségi hálózatok elterjedéséhez – valószínűleg kellemetlen hatással lesz az emberek privátszférájának egy újabb szegmensére, és tovább fogja puhítani az ellenállást a magánélet teljes digitalizálásával szemben.
Új angol nyelvű tanulmány a PET Portálon!
|
|
2011.09.05. 21:02:10
Gulyás Gábor
A StregoWeb mini-alkalmazás célja, hogy a webre a kiszolgáló és más felhasználók tudta nélkül tudjunk tartalmat elhelyezni; legyen szó titkos blogbejegyzésbe ágyazott üzenetekről, vagy akár alternatív Facebook profilokról. A SECURWARE 2011 konferencián publikáltuk tudományos cikk formájában a StegoWeb koncepcióját és alternatíváinak elemzését. A tanulmány angol nyelven itt megtekinthető és letölthető.
Facebook: a globális arc adatbázis!
|
|
2011.08.29. 05:24:12
Gulyás Gábor
A Facebook hatását a digitális privátszférára a legtöbben érzzük, de mint amerikai kutatók munkájából kiderült, ez sajnos nem annyira virtuális: a Facebook képgyűjteményével sokan könnyen azonosíthatóak akár az utcán is! A Carnegie Mellon Egyetem kutatói 25 ezer fényképet töltöttek le az egyetemi hallgatók profiljaiból, utána pedig egy webkamerával fényképeket készítettek – a kísérletben együttműködő – hallgatókról. Az eredmény megdöbbentő volt: a hallgatók 31%-át sikerült azonosítani, és a kereséshez átlagosan kevesebb mint három másodperc kellett.
Ixquick: a Google magánszféra-barát alternatívája
|
|
2011.08.26. 15:00:52
Székely Iván
Sok felhasználó - köztük informatikusok - érzi úgy, hogy nem ért egyet a hálózati szolgáltatók és szolgáltatások ideológiájával és adatkezelési gyakorlatával, mégis használja ezeket a szolgáltatásokat, kényelemből vagy megszokásból. Azt sem tudják sokan, hogy mit használhatnak az ilyen megfigyelő szolgáltatások helyett.
Az egyik ilyen lehetőség a keresőmotorok kategóriájában az Ixquick, amely a Google magánszféra-barát alternatívájává válhat. Lehet, hogy a Nagy Testvér mindig kényelmesebb és hatékonyabb lesz, mint ahogy könnyebb a Tesco-csirkét leemelni a polcról, mint kimenni a biopiacra - de azért érdemes az alternatív megoldást kipróbálni, tesztelni és - ha bevált - rendszeresen használni.
Egy régebbi érdekesség: meantime, követés a böngésző beállítások alapján, nyomok nélkül
|
|
2011.08.25. 11:23:13
Gulyás Gábor
Amikor egy böngésző meglátogat egy weboldalt, el kell dönteni, hogy a weboldalt újra letöltse, vagy elég, ha csak a helyi gyorsítótárból jeleníti meg azt. A meantime módszere erre az egyezkedési folyamatra épül, és az e során használt kliensoldali meta-adatok illegitim használatával operál, hogy a felhasználót perzisztens módon azonosíthatóvá tegye.
Posztdoktori állás Kanadában PET témakörben - megbeszélhető kezdési időponttal
|
|
2011.08.17. 11:07:27
Székely Iván
A Waterloo Egyetem Cryptography, Security, and Privacy (CrySP) kutatócsoportja posztdoktori állást hirdet PET témakörben, egy vagy két évre, megbeszélhető kezdési időponttal.
A részletes angol nyelvű felhívás a PET Portál angol nyelvű blogjában olvasható.
További információ:
Angol nyelvű cikk a PET Portálon a BlogCrypt alkalmazásról!
|
|
2011.08.14. 05:08:24
Földes Ádám Máté
A közösségi hálózatok és más Web 2.0-s szolgáltatások használata egyre inkább részét képezi kultúránknak - veszélyeikről azonban hajlamosak vagyunk elfeledkezni, vagy legalábbis nem tudomást venni. Sokan ismerünk olyan, többnyire külföldi újságokban megjelent történeteket, amikor egy alkalmazottat azért rúgtak ki, mert főnöke barátja volt a Facebookon, és a céget rossz színben feltűntető bejegyzést talált a profilján. Mindazonáltal nem árt tudni, hogy akkor is veszélyben vagyunk, ha nem követünk el ilyesfajta nyilvánvaló baklövéseket.
A "Facebook föld térképe" a felhasználók adatok alapján
|
|
2011.08.11. 05:57:43
Gulyás Gábor
Nem régiben volt egy bejegyzés, ami azt szedte össze, hogy mit tárolnak rólunk az egyes közösségi hálózatok. Az alábbi kép pedig jól illusztrálja, hogy nem csak tárolási lehetőséget kapnak a felhasználók, hanem azzal elég sokan élnek is!
Hol az összefüggés: JavaScript sebesség és privátszféra a weben? (II. rész)
|
|
2011.08.08. 05:18:12
Gulyás Gábor
Az előző bejegyzésben saját, JavaScript sebességmérési eredményeinket ismertettük, a második részben pedig külföldi kutatók erre épülő böngészőazonosítási módszerét mutatjuk be.
Hol az összefüggés: JavaScript sebesség és privátszféra a weben? (I. rész)
|
|
2011.08.03. 05:36:21
PET Portál
Ahogy korábban a cache stealing ötlete, úgy a böngészők JavaScript alapú azonosítása is felvetődött a rendszerujjlenyomat kutatás során. Egyszerű teszteket hajtottunk végre, hogy az ötlet életképességét teszteljük; az eredményeinket alább közöljük. A bejegyzés egy kétrészes sorozat része, amelynek első részében saját kísérleteink eredményét közöljük, a másodikban pedig külföldi kutatók eredményeiről tudósítunk.
Kiút az adatvédelmi káoszból: kétlépcsős anonimizálási folyamat és differenciális adatvédelem
|
|
2011.07.27. 05:51:00
Boda Károly
Arvind Narayanan újabb bejegyzéséből megismerhetünk egy kétlépcsős adatvédelmi struktúrát és annak előnyeit, valamint ennek kapcsán Eleanor Rieffel matematikus magyarázata alapján ismertetem a differenciális adatvédelem lényegét.
Több mint 20 PhD ösztöndíj lehetőség Darmstadtban!
|
|
2011.07.23. 20:03:04
Székely Iván
Figyelem, rövid a határidő: augusztus 15-ig lehet jelentkezni annak a több mint 20 PhD ösztöndíjas helynek egyikére, amelyet a darmstadti műegyetem Center for Advanced Security Research (CASED) intézete hirdetett meg "Trust and Identity" néven. A kutatási témák között privátszférát erősítő és átláthatóságot erősítő (transparency enhancing) technológiák is szerepelnek.
További információ: https://scholarship.cased.de
E-mail: sek@sit.cased.de
Ami hiányzik a Google+ profiljaiból
|
|
2011.07.22. 05:21:23
Gulyás Gábor
Az alábbi képeken látható, hogyan lehet beállítani az egyes profilok láthatóságát. Örvendetes, hogy körönként lehet korlátozni az egyes információk láthatóságát, de ennél finomabban nem lehetséges ezt beállítani. Arra gondolok, hogy jó volna különböző köröknek akár ellentmondó, vagy kiegészítő jellegű információt is beállítani. Így egyszerre akár több, részben átfedő vagy ellentmondó profilunk is lehetne, fa struktúrába rendezve.
BrowserID: "konstruktívan negatív kommentárok" kerestetnek
|
|
2011.07.18. 09:39:00
Székely Iván
Roger Clarke, a megfigyelési technikák és a magánélet-védelem mértékadó szakértője tanulmányban foglalta össze véleményét a Mozilla által nemrég bejelentett BrowserID kezdeményezésről, amelyet egyesek lelkesen fogadtak, Roger Clarke szerint viszont már a felépítése is veszélyt jelent a felhasználókra, és használata kerülendő minden, a felhasználóinak érdekeit szem előtt tartó szolgáltató részéről. A szerző "konstruktívan negatív kommentárokat" kér elemzéséről, amelyet nyilvánosan megvitatandó draftnak tekint. Az angol nyelvű tanulmány elérhető a http://www.rogerclarke.com/II/BrowserID‑1107.html címen.
Vélemény és infografika: anonimitás vs. névtelenség?
|
|
2011.07.18. 09:33:13
Gulyás Gábor
Az alábbi érdekes infografika az átláthatóságot és a névtelenséget állítja szembe egymással, egy sajátos szemszögből: ahogy az erre talán leginkább hatással lévő szereplők gondolkodnak róluk.
Testre szabható jogosultságok Android-alkalmazásokhoz
|
|
2011.07.13. 05:34:14
Földes Ádám Máté
Aki okostelefont használ, szinte biztosan telepít külső alkalmazásokat, hiszen a legtöbb okostelefon-felhasználó ezért választ ilyen készüléket. Nem árt azonban óvatosnak lennünk ezen szoftverekkel, mivel a telefon még több érzékeny információt tárol rólunk, mint a számítógépünk – hogy mást ne mondjunk, a telefonunk többnyire velünk van, tehát egy felső-középkategóriás, GPS-szel felszerelt telefon által jól követhető a mozgásunk. Vannak persze különféle védőbástyáink. Egyrészt a kockázatok minimalizálása érdekében a készülékek operációs rendszerét gyártó cégek (pl. az Apple és a Google) a saját piacterükön levő alkalmazásokat ellenőrzik rosszindulatú kódok után kutatva. A másik, picit kézzelfoghatóbb védelem az alkalmazásjogosultságok rendszere: mielőtt Android rendszeren egy alkalmazást telepítünk, megnézhetjük, hogy az milyen funkciók (pl. GPS használata, internethozzáférés, címjegyzék írása-olvasása) használatára kér engedélyt. A rendszer azonban nem tökéletes; itt jön a képbe az AppFence projekt.
Mit tárolnak rólunk a közösségi hálózatok?
|
|
2011.07.09. 05:49:13
Gulyás Gábor
Rövid hír: vége az anonim internetezésnek Dániában?
|
|
2011.07.06. 06:12:16
Földes Ádám Máté
Dánia igazságügyi minisztériumának egy munkacsoportja olyan javaslattal állt elő, amely törvényerőre emelkedve kötelezné az internetkávézókat, könyvtárakat stb., hogy csak a felhasználó identitásának ellenőrzése után biztosítsanak számára hozzáférést az internethez. Kötelező lenne ezen kívül a felhasználó tevékenységének követése, többek közt a böngészési előzmények tárolásával, és azon IP-címek listájának rögzítésével, amelyekkel a felhasználó kapcsolatot létesített. Az így nyert információk a dán kormányhoz kerülnének, amely a terrorizmus elleni harchoz szeretné felhasználni az adatokat. A történetet egyébként még érdekesebbé teszi az a tény, hogy még az internetet vasmarokkal ellenőrző Kínában sincs ilyen szintű regisztrációs kötelezettség…
Google+ Circles: már majdnem szerep-alapú privátszféra-védelem
|
|
2011.07.01. 06:14:53
Gulyás Gábor
Mostanság debütál a Google+ (amiről egyébként már xkcd képregény is született). Bejegyzésünkben a szolgáltatáscsomagnak a Circles részéről írunk.
Érdekesség: mi számít érzékeny személyes adatnak?
|
|
2011.06.27. 05:49:18
Gulyás Gábor
Mi számít érzékeny személyes adatnak? Peter Fleischer nem rég rámutatott blogjában, hogy az információs technológiák ilyen gyors ütemű fejlődése mellett érdemes ezt a definíciót naprakészen tartani.
Clean feed – újratöltve
|
|
2011.06.24. 23:21:43
Földes Ádám Máté
Legtöbben talán már el is felejtettük a magyarra nehezen lefordítható „clean feed” kifejezést, amióta a PET Portál és Blog utoljára beszámolt róla, olyan régen volt… A koncepció lényege az volt, hogy az ausztrál kormány meghatároz egy weboldal-feketelistát, és alapértelmezésben az összes azon szereplő szájtot minden ausztrál internetszolgáltatónak blokkolnia lenne kötelessége, bár a felhasználók kijelentkezhetnek a „tiszta információáradatból”. Az indoklás – természetesen? – a gyermekpornográfia visszaszorítása volt. A célt természetesen senki nem kérdőjelezte meg, az eszközt azonban annál inkább. A jól csengő név azóta eltűnt, a koncepció azonban újra feltűnt a horizonton; most a két legnagyobb ausztrál internetszolgáltató, a Telstra és az Optus elhatározták, hogy egy hasonló megoldást fognak bevezetni – teljesen önként. A bejelentés természetesen nem maradt válasz nélkül.
A vezeték nélküli billentyűzetek veszélyei
|
|
2011.06.13. 23:12:24
Földes Ádám Máté
A Microsoft nemrég piacra dobott egy 128 bites AES rejtjelezést használó billentyűzetet. Remélhetőleg a hír hallatán a legtöbb Olvasó fejében az „És akkor?” helyett a „Mi tartott ilyen sokáig?” kérdés fogant meg. A hajtás után a vezeték nélküli billentyűzetekkel kapcsolatos biztonsági problémákról lesz szó.
Anonimizált(?) adathalmazok
|
|
2011.06.01. 19:40:19
Boda Károly
Nemrégiben megjelent egy bejegyzés a Bits blogon, amely az online díjazott versenyek adatvédelmi kihívásait tárgyalja (az eredeti cikk angol nyelven itt olvasható). Bejegyzésem első fele ennek bemutatása, második felében pedig saját kutatásom során nyert tapasztalataimat osztom meg.
Rövid hír: Hacktivity 2011
|
|
2011.05.30. 00:41:31
Földes Ádám Máté
A Hacktivity 2011 IT-biztonsági konferencia szervezőgárdája fogadja a témába vágó pályázatokat – a határidő június 10. A konferencia helyszíne a Millenáris. Kétféle anyagot lehet beküldeni: előadás- és workshoptervet. Előbbi esetében egy, az IT-biztonsághoz kapcsolódó területet kell bemutatni, angol nyelvű fóliák (slide-ok) segítségével, 45 percben. Az újdonságnak számító ún. „Hello workshopok” esetében 20 percben elméleti, újabb 20 percben pedig gyakorlati ismeretek átadására van lehetőség, maximum 16 fő részére, egy jól körülhatárolható IT-biztonsági tudásdarabkára fókuszálva. A pályázatokra vonatkozó részletes követelmények megtekinthetőek itt: http://hacktivity.com/portal/downloadable/Hacktivity2011_CFP_hu.pdf.
Az új, hivatalos webpoloskák a like, +1 és tweet gombok?
|
|
2011.05.24. 12:18:28
Gulyás Gábor
Amikor az új "lájkolós őrület" kezdődött, már felhívtuk Olvasóink figyelmét a Facebook like gomb mögötti veszélyre – konkrétan hogy ezen keresztül a Facebook megfigyel(het)i a bepoloskázott oldalon a tevékenységünk –, és ez a jelenség a sajtóban többször is felmerült már azóta. A Wall Street Journal legutóbbi felmérése szerint súlyosbodó helyzet alakult, figyelembe véve, hogy most már a Google és a Twitter is megjelent hasonló közösségi gombokkal.
Hamarosan új tanulmány érkezik, mely az anonim böngészés következő szintjét taglalja
|
|
2011.05.13. 05:27:42
Gulyás Gábor
Dargó Sándor diplomatervében egy fontos problémát járt körül: bemutatta egy lehetséges módját a tovább finomított webes identitás kezelésnek. A jelenlegi rendszerek alapvetően kétféle lehetőséget kínálnak: vagy mindent lát rólunk a meglátogatott webkiszolgáló (hagyományos böngészők, akár privát böngészésben is) vagy pedig – feltételezve egy kellően biztonságos anonim böngésző használatát – semmit (ez a teljes anonimitás állapota). Azonban vannak olyan esetek, amikor ennél kifinomultabb megoldásokra van szükségünk, és még jelenleg sem tudunk olyan anonim böngészőt ajánlani, ami ezt lehetővé tenné.
Érdekesség: újabb de-anonimizációs támadás közösségi hálózatok ellen
|
|
2011.05.08. 05:46:27
Gulyás Gábor
Még 2009-ben publikáltak kutatók egy hatékony közösségi hálózatokat de-anonimizáló algoritmust (mi is írtunk róla). A módszerük ún. passzív de-anonimizáló támadás, ami azt jelenti, hogy az anonimizálási folyamat előtt nem próbálják meg módosítani a közösségi hálót, hanem ehelyett egy kiegészítő információforrás segítségével hajtják végre a de-anonimizációt. Az eredeti algoritmusban ez egy másik közösségi hálózatot jelentett; konkrétan egy ismert Flickr és anonimizált Twitter gráfra hajtották végre a támadást, amelynek eredményeképp a felhasználók 31%-át sikerült újra azonosítani a Twitter gráfban. Most egy újabb ötlettel ismerkedhetünk meg.
StegoWeb: adatrejtés a weben és álruhában a közösségi oldalakon!
|
|
2011.04.26. 05:21:56
Gulyás Gábor
Amikor regisztráljuk magunk egy közösségi hálózatra, vagy a webre tesszük fel a következő baráti esemény információit, joggal töprenghetünk el azon, vajon ki és mire fogja végül (a célközönségen kívül) felhasználni mindezt. Mert sajnos egyáltalán nem vagyunk az adatainknak urai. Pedig ez egyáltalán nem megoldhatatlan probléma – hazai kutatók egy bárki által kipróbálható programmal demonstrálják személyes adataink védelmének egy lehetséges megoldását.
Eszköz azonosítók, mint személyazonosító információk
|
|
2011.04.19. 10:55:44
Gulyás Gábor
Úgy néz ki, hogy az USA-ban nagyobb előrelépés van kilátás a személyazonosító információk körét illetően: nem csak azok az állandó, egyedi azonosítók tartozhatnak ebbe a körbe, amelyek egy adott személyhez köthetőek, hanem valamennyi a személy által használt eszköz ilyen jellegű azonosítója is. Például a MAC címek is.
Az IdentityBlog egy elég aktuális példán mutatja be, hogy a helyfüggő szolgáltatások adatvédelmében milyen változtatásokra lehetne ezek után számítani. Például az Apple ezek után nem állíthatná azt az iTunes adatvédelmi nyilatkozatában, hogy az eszközazonosítók és a helyzeti információk nem személyazonosító információk, és így nem tudná azt bármely okból kifolyólag gyűjteni, felhasználni, átadni vagy nyilvánosságra hozni.
Mindenképp üdvözlendő kezdeményezés, rá fér a nagyobb cégekre egy kis külső kontroll – főleg az USA-ban.
IP alapú geolokalizáció 690 méteres pontossággal?
|
|
2011.04.12. 05:24:13
Gulyás Gábor
Kutatók újabb IP alapú geolokalizációs módszerrel álltak elő, melynek segítségével 100-690m pontossággal bemérhetőek a számítógépek. A módszer alapját az ún. viszonyítási pontok jelentik, amelyek beállítását térkép segítségével végezték: ezek olyan vállalkozások és szervezetek (pl. egyetemek), amelyek szerverei az intézményen belül helyezkednek el, és Google Maps segítségével azonosítható a pontos helyzetük. Erre építve már könnyű dolga van a geolokalizációs módszernek: először a célnak küldött üzenettel megpróbálják megbecsülni a távolságot, majd a viszonyítási pontoknak is küldenek üzeneteket. Az így szerzett távolság információk alapján megbecsülik a helyzetét a célállomásnak, és még egy további lépésben csökkenteni próbálják a célállomást tartalmazó terület méretét, hogy végül megállapíthassák az állomás valószínűsített helyzetét.
A Facebook és a valósidejű célzott hirdetések
|
|
2011.04.07. 11:54:50
Gulyás Gábor
Az eddigi gyakorlat szerint a Facebook aggregálta a felhasználó által megosztott, kedvelt ("lájkolt"), illetve a falára felkerült adatokat, és ez alapján jelenített meg hirdetéseket. Most mindez megváltozhat: a Facebook egy új, valós idejű hirdetési rendszert kezdett el tesztelni az elmúlt hónapban. A rendszer tesztelésébe csupán a felhasználók 1%-át vonták be (mindössze 6 milliót!), akiknek a hirdetések a valós idejű beszélgetéseik szerint jelennek meg. Ez azt jelenti, hogy közülük aki például fejfájásra panaszkodik, könnyen fájdalomcsillapítós hirdetésekkel nézhet szembe.
PrimeLife és PICOS záróesemény az IFIP SEC 2011 konferencián
|
|
2011.04.01. 16:33:59
Székely Iván
Két PET témájú EU FP7 projekt, a PrimeLife és a PICOS záróeseményét az IFIP SEC 2011 konferenciához kapcsolódva tartják június 7-9-én a svájci Luzernben.
Emellett a konferencián két privacy/PET vonatkozású vitaindító előadás is elhangzik, Ann Cavoukian és Michael Waidner részéről.
A konferencia részvételi felhívása: www.sec2011.org
Videó: adatvédelmi est a Toldi Moziban január 28-án
|
|
2011.03.31. 05:06:45
Gulyás Gábor
A január 28-án a BROAD projekt keretében készült rövidfilmek alkotóival, valamint a BROAD pályázatára érkezett művek készítőivel beszélgettünk a Toldi Mozi előterében, ahol a pályaművekből készült mini-galéria két hétig volt látható. Az Eötvös Károly Intézet szervezésében, a Jövőképp Egyesület támogatásával rendezett eseményen a közönség professzionális és kísérleti videókat tekinthetett meg és részt vehetett a beszélgetésben. Az eseményről készült felvételt a "tovább" jelre kattintva lehet megtekinteni!
Felhasználónevek egyedisége: honnan tudják, hogy ki vagyok?
|
|
2011.03.24. 12:00:49
Gulyás Gábor
Az azonosíthatóság fontos témakör a weben, akár a webet böngésző felhasználó tevékenységéről beszélünk, akár a róla feltöltött adatokat nézzük. Kutatók azt vizsgálták, hogy offline elérhető adatbázisokban mennyire egyértelműen köthető össze két felhasználónév, azaz mondható meg nagy valószínűséggel, hogy egy felhasználóhoz tartoznak. E mögött érthető okok húzódnak meg: az összekapcsolt felhasználók nagyobb üzleti értéket képviselnek, ráadásul így színesebbé válhat a felhasználó (reklámküldésnél felhasznált) profilja.
IE + ActiveX = a pontos rendszerujjlenyomat lehetne...
|
|
2011.03.14. 21:30:15
Boda Károly
Újabb rendszerujjlenyomat lehetősége után kutatva merült fel a kérdés, hogy meg lehetne-e szerezni a kliens MAC címét, mert az meglehetősen egyedi. Hamar találtam is egy működő ActiveX technikát, amivel nem csak a MAC-et lehet lekérdezni, hanem mindent, ami a gépünk konfigurációjával kapcsolatos. Azaz bármelyik monitorozásra szolgáló Win32 osztály elérhető. Ezekről az osztályokról a Microsoft fejlesztői hálózatán olvashatunk: MSDN Win32 Classes, s így hozzá lehet férni Account adatokhoz (pl.: SID), processor adatokhoz (pl.: név, egyedi azonosító, magok száma), és persze NetworkAdapter adatokhoz is (pl.: típus, gyártó, MAC). Ezek alapján már nem lenne probléma egy rendszerujjlenyomat felállítása sem, ha – és sajnos ez a módszer fő problémája – nem csak ActiveX engedélyezéssel, IE alatt menne a dolog.
PhD kutatói állás a Fraunhofer Intézetben (rövid határidő)
|
|
2011.02.24. 15:22:01
Székely Iván
A Fraunhofer Intézet kutatói állást hirdet társadalom- illetve gazdaságtudományi végzettségű fiatal szakembereknek, az új megfigyelési technológiák magánéletre gyakorolt hatásai területén.
A felhívás eredeti szövege:
The Fraunhofer Institute for Systems and Innovation Research
(http://www.isi.fraunhofer.de) is looking for a
Social science or economics graduate (male or female)
for its "New Technologies" competence centre to commence as soon as possible. He/ she will work, inter alia, in the EC‑funded project “Supporting fundamental rights, prIvacy and ethics in surveillance technologies” (SAPIENT). In the context of this study, he/she will have the opportunity to write a PhD thesis on privacy and data protection‑related impacts of smart surveillance technologies.
He/she will work on further projects aiming to analyse scientific‑technical, economic, social and political aspects of the development and use of Information and Communication Technologies, also at the interface with nanotechnologies, life sciences, and environmental and energy technologies. These analyses aim to provide scientific strategic advice to decision‑makers in politics and industry.
Applicants should have successfully completed an appropriate degree in social science, economics or other surveillance and privacy‑relevant disciplines (e.g., technology and culture, sociology, media studies). Very good knowledge of English and computer skills, as well as the willingness and ability to work in interdisciplinary teams and to acquire a good command of German are pre‑conditions.
You will find interesting projects in the areas of policy, industry and technology, a communicative and friendly team of colleagues, and an excellent technical and administrative support infrastructure. Employment terms, remuneration and social security benefits are in accordance with the TVöD (collective wage agreement for German public sector employees).
The employment contract is limited to one year at first but can be extended for three more years.
Closing date: Mach 4, 2011
Reference No. ISI – 2011‑9
Contact for your application:
Fraunhofer Institut für System‑ und Innovationsforschung
Gudrun Krenický
Breslauer Straße 48
76139 Karlsruhe
g.krenicky@isi.fraunhofer.de
Posztdoktori pályázat az Indiana Egyetemen (USA)
|
|
2011.02.24. 12:43:54
Székely Iván
Az Indiana Egyetem interdiszciplináris, magánélet-védelmi témájú posztdoktorális állásra hirdet pályázatot, amelyre informatikusok is jelentkezhetnek.
A felhívás eredeti szövege:
The School of Informatics and Computing at Indiana University seeks a highly qualified postdoctoral scholar/researcher to conduct research in Human Factors issues associated with preserving privacy in information technology.
The successful candidate will join an interdisciplinary team of researchers investigating human centered aspects of privacy in computing. The purpose of this project is to investigate people’s perceptions of privacy including individual understanding of how personal information is collected, accessed, and what contextual variables influence self disclosure online.
Applicants should possess a PhD in Engineering Psychology, Human Factors, Human Centered Computing, HCI, Computer Science, Cognitive Science, Media Studies, Communication or a related field with a strong background in usable security and privacy, research methods (e.g., experimental design), statistics, and/or mobile application development. Applicants should have experience conducting independent research, a record of communicating research results via publications and presentations, and be willing to participate in collaborative, interdisciplinary research while at residence at Indiana University.
The position is full time, in residence at Indiana University in Bloomington, Indiana, with a salary of $40,000 $50,000 plus generous benefits and funding for project travel. Preferred start date is June 1st, 2011. The position is for 1 year and will be jointly supervised by Dr. Kelly Caine and Dr. Apu Kapadia. Review of applications will begin early March 2011 and will continue until the position is filled.
The IU Bloomington School of Informatics and Computing is the first of its kind and among the largest in the country, with a faculty of more than 60 full time members, and more than 400 graduate students. The School has received public recognition as a “top ten program to watch” (Computerworld) thanks to its excellence and leadership in academic programs, interdisciplinary research, placement, and outreach. Located in the wooded, rolling hills of southern Indiana, Bloomington is a culturally thriving college town with a moderate cost of living. It is renowned for its top ranked music school, performing and fine arts, historic campus, cycling traditions, active lifestyle, and natural beauty.
When applying, please submit a cover letter, CV, and a relevant sample of published or submitted work. All application materials should be sent either via email or by mailing a hard copy:
Kelly Caine
Principal Research Scientist
School of Informatics and Computing
Indiana University
caine@indiana.edu
Mailing address:
Kelly Caine, Informatics West, 901 E. 10th Street, Bloomington, IN 47408
Indiana University is an Equal Opportunity/Affirmative Action employer. Applications from women and minorities are strongly encouraged.
Posztdoktori pályázat Svájcban
|
|
2011.02.24. 12:37:39
Székely Iván
A lausanne-i Ecole Polytechnique Federale PET-vonatkozású posztdoktori munkára hirdet pályázatot. A felhívás eredeti szövege:
Opening for a Post-Doctoral Researcher: Privacy in Pervasive Communications
EPFL (Ecole Polytechnique Federale de Lausanne), Switzerland
School of Computer and Communication Sciences
Mission: Contribute to the research efforts of the group, involving many interactions with PhD students, senior researchers, faculty members and external partners (industry or academia); some participation in teaching is also expected.
The research activities will mainly revolve around the design and the validation of protocols and algorithms to protect privacy in upcoming wireless networks, with an emphasis on cooperation aspects.
Working language: English (the knowledge of French is not required).
Starting date: to be agreed upon, possibly in summer or fall 2011.
Application date: preferably before March 1st, 2011
Complete text of the opening description:
http://lca.epfl.ch/information/jph/PostDocOpening.pdf
Contact person: Prof. Jean-Pierre Hubaux
http://people.epfl.ch/jean-pierre.hubaux
Rövid hír: üzleti és privát identitások szeparációja okostelefonon is!
|
|
2011.02.07. 09:49:19
Gulyás Gábor
A dolog érdekessége túlmutat azon, hogy egy okostelefonban lehetőség nyílt szeparálni még az üzleti és privát adatokat is, és inkább abban áll, hogy egyre többen ismerik fel tudományos és üzleti körökben, hogy az emberi kapcsolatok nem egysíkúak, inkább több – esetenként egymást átfedő – csoportból állnak. Reméljük, hogy a webes technológiákban, közösségi hálózatokban is megjelennek majd az efféle identitás-, adat-, és interakció szeparációt lehetővé tevő funkciók.
Privacy International: videó a megfigyelésről
|
|
2011.01.31. 20:18:12
Gulyás Gábor
Rövid hír: éves jelentés a személyes adatvédelem (privacy) és emberi jogok helyzetéről európában
|
|
2011.01.27. 11:41:59
Gulyás Gábor
Tegnap jelent meg hivatalosan a Privacy International éves beszámolója "European Privacy and Human Rights" címen a személyes adatvédelem és az ember 2010. évi helyzetéről. A jelentés kiemeli Európa ilyen szempontból fontos helyzetét, és nyomatékosítja, hogy sajnos nem elég felelősségteljesen jár el pozíciójához képest. A jelentésben említett problémák egyik legsúlyosabbika az Európai Unióban bevezetett Data Retention irányelv inkonzisztens és sikertelen implementációja, amely mellett több országban további – elvben a nemzetbiztonságot kiszolgáló – kétes adatvédelmi gyakorlatok vannak életben. Külön öröm, hogy a kutatási eredmények között Magyarországról is olvashatunk egy magyar nyelvű jelentést is (Székely Iván, Szabó Máté, Szabó Endre Győző).
A sztegano-hacking 2010 tanulságai
|
|
2011.01.18. 05:40:32
Földes Ádám Máté
Bár a hivatalos honlapra még nem kerültek fel a végeredmények, az általunk adott sztegano-hacking 2010 feladatra beküldött megoldások értékelése már megtörtént. A tapasztalatok a következők. (SPOILER ALERT!!!)
Fejlődik a Flash: adatvédelmi központ, általános adatkezelési API kiegészítőknek 2011-ben?
|
|
2011.01.14. 10:46:20
Gulyás Gábor
A Flashnek már sikerült felhívni magára a figyelmet a helyi adattárolásra szolgáló sütik, és a privát böngészési mód kapcsán felmerült adatvédelmi problémákkal. A problémára születtek ideiglenes megoldások, de egészen mostanáig úgy tűnt, hogy a probléma kielégítő szintű megoldása várat magára. Valószínűleg az előbbi okok, valamint a HTML5-ben megjelenő új lokális adattárolási módok körüli aggályok (gondoljunk csak az Evercookies-ra!) is előrébb mozdították a problémakeresés ügyét.
Meghívó: NE HAGYD, HOGY WEBREVÁGJANAK!
|
|
2011.01.14. 09:22:37
Gulyás Gábor
NE HAGYD, HOGY WEBREVÁGJANAK!
Vetítés, kiállítás és beszélgetés az alkotókkal
a magánélet értékeiről
a budapesti Toldi moziban
2011. január 28-án pénteken 17:30-kor
Megtekinthetők a BROAD nemzetközi projekt keretében készül rövidfilmek:
Horgas Ádám: Körömlakk
Rohonyi Gábor: Heavy Birthday
Gergely Zoltán: Virág
Fazakas Péter: Álompasi
Micah Laaker/ACLU: Pizzarendelés
továbbá a BROAD pályázatra érkezett kreatív alkotások:
Csatlós Márton, Csörgits Hunor, Fehér Zsuzsanna, Gellért Andor Tamás, Kádár Melinda, Kémenes Bernadette, Kocsis Csaba, Köllő Ildikó, Németh Tamás, Noska Zoltán és Partikat
művei
*
A rendezvény nyilvános és ingyenes.
A kiállított művek 2011. január 21-től február 4-ig tekinthetők meg.
További információ: www.pet-portal.eu/gallery
Ikonok adataink védelmében
|
|
2011.01.11. 10:28:10
Gulyás Gábor
A weben egyre több adatot tárolunk, így egyre nagyobb szerepet kap, hogy az adatainkat kezelhessük, de legalább hogy megfelelő tájékoztatást kapjunk ezeknek a sorsáról. Eredetileg ezt a célt hivatottak az adatvédelmi nyilatkozatok betölteni, ezek azonban hosszúak, és sokszor bonyolultak. Ehelyett javasolja Aza Raskin a Privacy Icon-ok használatát. (A tovább után regisztrált felhasználóink szavazhatnak az ikonok hasznosságáról.)
Sztegano-hacking 2010 - Hackerverseny megoldások
|
|
2010.12.17. 09:05:28
Földes Ádám Máté
A PET Portál és Blog idén is részt vett partnerként a Hackerverseny 2010 eseményen, amelyen most is egy feladat készítését vállalta. A feladatok itt olvashatóak, akár most is meg lehet őket oldani (a feladvány továbbra is elérhető: itscc10.pet-portal.eu). Az általunk készített "Sztegano-hacking 2010" nevű feladatának megoldását itt találjátok: megoldókulcs. Reméljük, sok szép (legalább rész)megoldást értékelhetünk majd ki, és hogy élveztétek a feladatmegoldást!
Valamint ez úton szeretnénk megköszönni Besenyei Tamásnak a segítségét a feladatok kidolgozásában és implementálásában!
Az eseményről készült saját képeink a galériánkban megtekinthetőek!
Kukkoló társadalom – Ne hagyd, hogy mindent tudjanak rólad!
|
|
2010.12.10. 11:34:08
Gulyás Gábor
A Budapesti Műszaki Egyetemen a megfigyelés és megfigyeltség témájában ismeretterjesztő előadást szervezett a Jövőképp – Fiatalok Magyarországért! Egyesület Kukkoló társadalom címmel. A nemzetközileg elismert előadó, Dr. Székely Iván, társadalmi informatikus, több évtizede foglalkozik már a nyilvánosság és titkosság problémakörével, valamint az adatvédelemmel és az információszabadsággal. Az esemény támogatója a Nemzetközi PET Portál és Blog.
Címkék: -
Válaszok a Firesheepre
|
|
2010.12.06. 11:26:21
Földes Ádám Máté
A Firesheep nevű Firefox-kiegészítő nagy vihart kavart a megjelenésekor: ez a szoftver volt az első olyan eszköz, amely bárki számára egyetlen klikkeléssel elérhetővé tette a nem különösképpen bonyolult, de mégis több program ismeretét és együttes használatát igénylő sütilopási művelet megvalósítását. Ismeretes, hogy a Firesheep a rejtjelezetlenül átküldött ún. viszonysütiket (session cookie) hallgatja le, míg a gyanútlan felhasználó bejelentkezve böngészik a program által ismert weboldalakon. A viszonysütik visszajátszása révén megszemélyesíthetjük a felhasználó profilját például a Facebookon, ugyanis a sütiben lévő azonosítón kívül nincs más mód a felhasználó identifikálására.
Előadás: Kukkoló társadalom - avagy mit lát a Mikulás a virtuális ablakunkból?
|
|
2010.11.29. 09:21:36
Gulyás Gábor
Az előadás december 7-én 18 órától, a Budapesti Műszaki és Gazdaságtudományi Egyetem K épületének 146-os termében lesz. Előzetes regisztráció itt! (Az előadás támogatója a Nemzetközi PET Portál és Blog.)
Előadó: Dr. Székely Iván, társadalmi informatikus
- Tudja-e, hogy a megfigyelésnek és megfigyeltségnek önálló tudományága van, a Surveillance Studies?
- Tudja-e, hogy létezik Surveillance Art – olyan művészek alkotótevékenysége, akiknek fő témája a megfigyeltség?
- Tudja-e, hogy rangos egyetemeken önálló kutatások folynak arról, hogy az állandó megfigyelés és megfigyeltség milyen változásokat okoz egyéni és társadalmi szinten?
Gondolkozott-e már azon, hogy igaz-e a rózsaszínű jövőkép illúziója, ahol a technika megoldja a társadalmi problémákat? Hogy miért nincs más választása a fiataloknak, mint Iwiw-en, Facebook-on élni? Hogy ha nem figyelünk oda, a magánéletünk irányítása végképp kicsúszik a kezünkből? Hogy az informatikusok és a reklámpszichológusok miért az erősebb fél oldalára állnak? Hogy nemcsak e-demokrácia, hanem e-diktatúra is lehetséges?
Ahhoz, hogy ezekről a kérdésekről nyíltan beszéljünk, egyáltalán nem kell paranoiásnak lennünk. Az előadásban szó lesz a technológiai ellenszerekről, arról, hogy az informatikusok mit gondolnak a megfigyelésről, bemutatjuk a legújabb szakmai fórumot, és lejátszunk néhány szórakoztató és elgondolkoztató rövidfilmet, amelyet professzionális filmes alkotók készítettek a témáról.
Fiatalok privátszférája a digitális világban
|
|
2010.11.25. 04:59:57
[anonymous]
Az internetes zaklatás (cyber-bullying) egyre nagyobb figyelmet kap. A fiatalok jelentős hányada szenvedi el legalább egyszer és sokan rendszeresen. Igen, az alkalmi eseteket is belesoroljuk! (bully: erőszakoskodik, kínoz, megfélemlít, terrorizál, zsarnokoskodik) Több fiatal öngyilkos lett ezek következtében [1].
A gyakori típusok: személyiséglopás; sértő, fenyegető üzenetek, telefonhívások; gyűlölködő weboldalak. Személyiséglopás pl. más nevében pizzát rendelni, vagy az ismerőseitől pénzt kölcsönkérni (a zaklató bankszámlájára).
Secure Computing - elvben lehetséges, de gyakorlatban is?
|
|
2010.11.22. 05:55:34
Cipka
A secure computing lényege, hogy egy megbízhatatlan feldolgozó egységen hogyan lehet bizalmas adatokon transzformációkat (számításokat) elvégezni. Megbízhatatlanság alatt most azt értjük, hogy a feldolgozó egység mindig helyes eredményt ad, de a számítás teljes folyamata megismerhető egy támadó számára. Vegyünk egy példát: a manapság egyre elterjedtebb cloud computinggal egy bank szeretné ügyfelei adatait feldolgoztatni, akkor – első közelítéseben – a banknak ki kellene adnia az adatokat a cloud szolgáltatónak, hogy az a gépparkján elvégezhesse a szükséges számításokat. Ezt jellemzően a törvény tiltja, másrészt a bankok általában nem szívesen tesznek ilyet.
Kódolnád?! Nemzetközivé vált a 24 órás hackerverseny, és a tét ezúttal is 1.000.000 Ft., azaz kb. 3700 EUR!
|
|
2010.11.18. 20:35:55
Gulyás Gábor
A kancellar.hu és az Eötvös Loránd Tudományegyetem közös rendezésében immár negyedik alkalommal kerül sor a 24 órás hackerversenyre. Idén először hirdették meg nemzetközi rendezvényként az eseményt, azaz a kétfős diákcsapatok bárhonnan érkezhetnek a világból, az egyetlen feltétel, hogy mindenkinek személyesen meg kell jelennie 2010. december 3-án 14.00-kor a verseny helyszínén, az ELTE Lágymányosi Campus Déli épületében. A tét idén is 1.000.000 Ft., azaz kb. 3700 EUR!
Google vs. Facebook: ne örüljünk korán!
|
|
2010.11.18. 05:40:19
Gulyás Gábor
A Google és Facebook között zajló háború végeredményében többféle kimenetelű lehet, és idő közben akár még az internet aranybányáját jelentő adatalanyok is profitálhatnak belőle. A Facebook lendülete töretlen és alaposan feladta a leckét vetélytársának: most például lett saját böngészője, sőt, várhatóan hamarosan saját levelezője kommunikációs rendszere is lesz, amivel a Gmail népszerűségét igyekszik majd csökkenteni. Mindezek mellett olvashatunk olyan véleményeket, amelyek a Facebook világuralmáról beszélnek, s elnézve a cég közösségi szolgáltatása köré integrált szolgáltatási portfóliót, valóban nem hangzik túl illuzórikusan ez a gondolat.
Videó Krasznay Csaba: Digitális Mohács c. előadásáról
|
|
2010.11.13. 17:51:27
Gulyás Gábor
Krasznay Csaba előadásának felvétele, amelyet a Jövőképp szervezésében, 2010. november 2-án a BME-n tartott. Bár közvetlenül nem tartozik a PET Portál profiljába, de közzé tesszük az előadás felvételét, amely jól bemutatja: nem csupán a személyes adataink védelme nehéz, és nem csak az általunk ismert digitális világban – hanem azon kívül is.
Digitális Mohács
Ma már a villamos is szoftverrel megy, és a kenyér is számítógéppel készül. De mi lenne, ha bekövetkezne a Digitális Mohács?
Az előadás a továbbra kattintás után megtekinthető. A felvételeket a BSS készítette, ez úton is köszönjük a közreműködésüket!
Google vs. Facebook: nevessünk, vagy sírjunk?
|
|
2010.11.12. 16:04:31
Gulyás Gábor
Elkezdődött az óriások háborúja: a Facebook felcseperedett, elkezdte elszívni a munkaerőt, mire (vagyis feltehetőleg ezért) a Google fizetésemelést adott dolgozóinak. Azért máshol is igyekeznek keresztbe tenni egymásnak: például nem olyan régen a Google letiltotta a Gmail kapcsolati listák kiexportálását a Facebookra, amire válaszképp a közösségi oldal egy kis kerülőt kezdett el kínálni a felhasználóinak. A nagy kérdés az, hogy ennek vajon örülhetnek a felhasználók, vagy sem? Véleményem szerint igen, itt is jól járhatunk, hasonlóan ahogy a valós piaci verseny is a vásárlók javát szolgálja. Hiszen a versenyben az egyes felek egyre inkább meg akarnak felelni a fogyasztóknak, és elképzelhetőnek tartom, hogy ez a helyzet is eredményezni fog néhány új felhasználóbarát funkciót ezeknek az óriásoknak a szolgáltatásaikban. Azonban mivel mindkét említett cégnek érdekében az áll, hogy minél több adat legyen publikus, így a jelenlegi webes privacy helyzet megoldódását nem várhatjuk ettől, de talán kicsit javulhat a helyzet.
Facebook: bizony, a kis ökörnek nem szabad...
|
|
2010.11.07. 22:53:29
Gulyás Gábor
Néhány napja hivatalosan is igazolták: tényleg voltak olyan fejlesztők, akik adatokat loptak a Facebook felhasználóktól, de a közösségi weboldal szolgáltatója nagyon keményen fellép az ilyen jelenségekkel szemben. Érdemes a Facebook reakcióját komolyan venni? Hiszen tudjuk, hogy nem a felhasználók a valódi ügyfelei, és eddig sem vette komolyan az adatvédelmet. Ráadásul a jelenség sem újkeletű, már régóta léteznek adatkereskedéssel foglalkozó cégek – különben feltehetnénk a kérdést, hogy egyébként miből élnek az érintett adatbróker cégek? Jelen esetben sajnos egy nagyon egyszerű törvényt állapíthatunk meg: a piac annál értékesebb, minél gyengébb lábakon áll a privátszféra védelme, s így a Facebook és a hozzá hasonló multinacionális cégek egyre inkább a privátszféra rombolásában, mint védelmében érdekeltek.
Megújultunk és nemzetközivé váltunk!
|
|
2010.10.24. 22:12:19
Gulyás Gábor
Portálunk korábbi látogatóinak örömmel jelenthetjük, hogy tartalmában és arculatában is megújult weboldallal találkozhatnak megszokott címünkön, ezentúl Nemzetközi PET Portál és Blog néven. Változatlan maradt a téma, a portál továbbra is a privátszférát erősítő technológiák fejlesztésének, alkalmazásának, illetve a privátszférát fenyegető jelenségek bemutatásának fóruma kíván lenni, és változatlan az az elhivatott hozzáállás, amely eddig is lehetővé tette a portál közösségi szellemű, nonprofit alapú működtetését. Alapjában megújult azonban a portál technikai megvalósítása, arculata és szolgáltatásainak köre.
A nemzetközi portál indulásakor három nyelven: angolul, magyarul és hollandul olvasható és szerkeszthető, és az anyagokat a látogatók érdeklődési köreinek megfelelően Fiatalok, Felnőttek és Profik kategóriába osztottuk. A PET portál eddigi magyar tartalmait már konvertáltuk az új rendszerbe, így azok továbbra is látogatóink rendelkezésére állnak. Noha a portál hivatalos sajtóbemutatójára csak november elején kerül sor, látogatóink addig is birtokba vehetik az új honlapot. Várjuk továbbra is bejegyzéseiket, hozzászólásaikat, tanulmányaikat – és ha az új portál működésében netán hibát észlelnek, megköszönjük, ha jelzik nekünk.
The Guardian: biztonságos Androidért
|
|
2010.10.18. 12:27:20
Gulyás Gábor
Ahogy a mobiltelefonok beleeszik magukat a mindennapi életünkbe, egyre fontosabbá válik, hogy a rajtuk tárolt, illetve a rajtuk keresztül küldött információk biztonságban legyenek, és így a privátszféra védelme is egyre inkább előtérbe kerül. Már korábban is beszámoltunk róla, hogy voltak ilyen irányú törekvések, azonban úgy tűnik, hogy a The Guardian Project ezeket szeretné egy helyen, egy közösség által gondozottnak látni, méghozzá nyílt forráskódú alapokon és hosszú távon. Érdemes megnézni a honlapjukat az Android felhasználóknak, ahol találhatnak mobil változatra fejlesztett Tor-ral kiegészített anonim böngészőt, Jabber protokollt használó csevegő szolgáltatást, vagy akár magát a mobil Tor-t. Reméljük, hogy a kezdeményezés tovább erősödik majd, és egyre több alkalmazással találkozhatunk a weboldalaikon.
A sütik még nem tűntek el a színről: itt az evercookies!
|
|
2010.10.11. 12:03:31
Gulyás Gábor
A különféle újszerű azonosítási módszerek mellett már azt gondolhatnánk, hogy a sütiknek végleg befellegzett. Azonban a helyzet korántsem ennyire egyértelmű: itt vannak például az evercookie-k, amelyek a különféle adattárolási módszereket ötvözik, hogy minél perzisztensebb sütit hozhassanak létre.
Videó: Bruce Schneier - Reconceptualizing Security (előadás a műegyetemen)
|
|
2010.10.04. 20:10:59
Gulyás Gábor
Bruce Schneier Reconceptualizing Security címmel tartott 2010. szeptember 17-én előadást az ATNC szeminárium sorozat keretein belül a Híradástechnikai tanszék szervezésében a műegyetemen. Köszönjük a CrySys labornak, hogy feltették a webre a videót (nagyobb felbontások)!
Az előadásról még több információ érhető el itt.
Meghalt Andreas Pfitzmann
|
|
2010.10.04. 12:18:38
Székely Iván
Fiatalon, 52 éves korában meghalt Andreas Pfitzmann, a Drezdai Műszaki Egyetem dékánja, egyben adatvédelmi és adatbiztonsági munkacsoportjának vezetője, a PET technológiák világának egyik meghatározó személyisége. Andreas kezdeményezője és közreműködője volt olyan PET-vonatkozású projekteknek és eseményeknek, mint a PET Symposium konferenciasorozat, a PRIME és a PrimeLife projektek, vagy akár a Java Anon Proxy (JAP vagy JonDonym) rendszer létrehozása.
Címkék: -
Szolgálati közlemény újonnan regisztráltak részére
|
|
2010.09.30. 22:40:07
Gulyás Gábor
Aki múlt hét péntek óta regisztrált, és nem tudott belépni, kérjük, hogy kérjen új jelszót a megfelelő menüponton keresztül. Költözés miatt hiba csúszott az SMTP beállításokba, emiatt volt tapasztalható a regisztráció során. A megértést köszönjük.
Egy megoldás Browser History Attack ellen
|
|
2010.09.29. 13:05:27
[anonymous]
Hogy mi az a Browser History Attack? Nézd meg a kapcsolódó linket.
Könnyű azt mondani, hogy töröljed a sütiket, cache-t és az előzményeket rendszeresen. De a világon senki nem fogja ezt megtenni minden alkalommal, ha egy linken 'open in new tab'-ot nyom. Ráadásul egy csomó web alkalmazás a cache-től és a sütiktől lesz kényelmesen és gyorsan használható. Rengetegszer csukunk be egy böngészőablakot, majd vesszük ismét elő az előzményekből, hogy visszatérjünk. Kellene egy olyan megoldás, ami kevesebb kompromisszumot igényel. Szerencsére erre van mód!
Böngésző ujjlenyomat: mire lehet még jó?!
|
|
2010.09.16. 20:15:22
Gulyás Gábor
A múltkor beszámoltunk róla, hogy a böngészők ujlenyomata passzív követésre ad lehetőséget, nem csak normál, hanem privát módban is, sőt, akár átívelően az egyes normál-privát munkamenetek között. Azonban kísérleteink szerint nem csak erre lehet alkalmas, hanem akár a böngészők között átívelő követésre is! Ugyanis vannak olyan jellemzők, amelyek a böngésző programtól függetlenek, és valamennyi böngészőből is elérhetőek. Ilyen például az elérhető betűtípusok listája, vagy az IP cím.
Ezek megfelelően előkészített kombinációjából olyan egyedi azonosító állítható elő a felhasználó számára, amellyel privát módban, vagy valamennyi böngészőben egyértelműen azonosíthatóvá válik. Sőt, kísérleteink szerint az azonosítás még anonim böngészők esetén is jól működik: JondoFox esetében is jól működött az azonosítási technika! Ehhez csupán a JavaScript-et kellett engedélyezni, minden más plugin, kiegészítő maradhatott tiltott állapotban, ami más technikáknál mégis szükséges lehet.
Az érdeklődők számára készítettünk egy egyszerű demót, amit az alábbi linken lehet kipróbálni:
Megkérjük felhasználóinkat, hogy a későbbi nemzetközi átállásra való tekintettel az alábbi linkek segítségével terjesszék az oldalakat:
Magyar változat: http://tinyurl.com/ujjlenyomat
Nemzetközi változat: http://tinyurl.com/fingerprint-intl
Indul a Nemzetközi PET Portál és Blog!
|
|
2010.09.12. 22:12:34
Gulyás Gábor
Látogatóink hamarosan tartalmában és arculatában is megújult weboldallal találkozhatnak megszokott címünkön: nemsokára elindul a PET Portál nemzetközi változata, az International PET Portal and Blog. Változatlan marad a téma, a portál továbbra is a privátszférát erősítő technológiák fejlesztésének, alkalmazásának, illetve a privátszférát fenyegető jelenségek bemutatásának fóruma kíván lenni, és változatlan az az elhivatott hozzáállás, amely eddig is lehetővé tette a portál közösségi szellemű, nonprofit alapú működtetését. Alapjában megújul azonban a portál technikai megvalósítása, arculata és szolgáltatásainak köre.
A nemzetközi portál indulásakor három nyelven: angolul, magyarul és hollandul olvasható, és az anyagokat a látogatók érdeklődési köreinek megfelelően Fiatalok, Felnőttek és Profik kategóriába osztottuk. Az új portálmotor, a megvalósított funkciók és az új arculat már elkészült, a PET portál eddigi magyar tartalmait már konvertáltuk az új rendszerbe, s már az utolsó simítások zajlanak az új portál nyilvános bemutatásáig. Előzetesként azonban egyik új szolgáltatásunkat, a portál twitter-csatornáját máris látogatóink rendelkezésére bocsátjuk – kellemes csiripelést!
Újabb pofon a privátszférának, itt a Google Realtime Search
|
|
2010.08.28. 10:41:34
Gulyás Gábor
Újabb fícsörökkel bővült és önálló szolgáltatásként jelent meg a Google valósidejű keresője, a Google Realtime Search. Bár a privátszféra mai állapotáért elsődlegesen az önkéntes adatszolgáltatásokon alapuló "webkettes" szolgáltatások a felelősek, de a keresők is nagy szerepet játszanak ebben a folyamatban: valahogy össze kell gyűjteni, rendszerezni kell, és el is kell tudni érni ezeket az információkat. Ahogy ezek a szolgáltatások egyre inkább a magánszféra részévé válnak, és egyre több információt publikálnak, üzleti szempontból ésszerű lépésnek tűnik a valósidejű keresőkkel való integrálásuk, ez azonban szükségszerűen a privátszféra további csökkenésével jár. (Ráadásul a Google vezetői pontosan tudják, hogy mit csinálnak, mégsem érdekli őket.) Várhatóan ez csak a "valósidejűsödési" folyamat következő lépése, és előbb-utóbb hozzá fogunk szokni, hogy amit az internetre egyszer kiraktunk, az már tényleg soha vissza nem vonható és le nem vehető, és még csak meggondolnunk sem érdemes magunkat.
Privát böngészési mód vs. böngésző ujjlenyomat
|
|
2010.08.24. 10:36:34
Gulyás Gábor
A privát böngészési mód célja kettős, nevezetesen hogy a gépet igénybevevő többi felhasználó előtt is elrejtse a privát módban végrehajtott akciók valamennyi nyomát, valamint hogy a meglátogatott weboldalak számára is viszonylagosan anonimitást nyújtson, azaz a visszatérő felhasználó újra azonosítása ne legyen lehetséges. Ahogy nem régen beszámoltunk róla, ez nem teljesen sikeres: egyes esetekben a böngészők hozzáférést engedélyeznek a régi sütikhez, de nagyobb probléma, hogy a kiegészítők adattárolását semmi nem szabályozza. Sajnos ha ezeket a problémákat ki is küszöböljük, akkor sem lélegezhetünk fel felhőtlenül.
A hónap kérdése: új névjegyek a GMail címtárban, de honnan?
|
|
2010.08.21. 18:35:40
Gulyás Gábor
A héten egy egészen érdekes dologra lettem figyelmes: a GMail kapcsolatok között megjelentek olyan e-mail címek is, amelyekkel egyáltalán nem váltottunk levelet, soha. Volt például ott egy hallgatói cím is, amivel csak az egyetemi postaládámból leveleztem (kb. fél éve), bár az a hallgatói cím azért GMail-es. Mégis felvette valahogy a kapcsolatok közé. Vajon milyen forrásból gyűjt ilyenkor a Google, milyen más szolgáltatása van, amelyen keresztül átemelte ezt a címet? Ha pedig nem az általam használt szolgáltatásokról van szó (pl. ez a hallgató biztosan nem ismeri ezt a címemet), akkor honnan? Vagy ha összekötötte az egyetemi postaládám a GMailessel, akkor mi alapján tette azt? Számomra teljesen rejtélyesek ezek a kérdések, de ha valaki a találgatásnál többet tud, írjon bátran!
A privát böngészés mégsem teljesen privát
|
|
2010.08.14. 00:00:00
Földes Ádám Máté
Egy, a Stanford Universityn lefolytatott kutatás eredményeképp kiderült: a minden modern böngészőben – más-más néven – elérhető „privát böngészés″ funkció nem nyújt teljeskörű védelmet; a böngésző ebben az üzemmódban is hagy maga után perzisztens adatokat. A cikkből kiderül, hogy bármilyen böngészőszoftvert használjon is az ember, a „pornómód″ néven is emlegetett privát böngészési munkamenet során lehetséges a merevlemezre olyan adatokat írni, melyek nem törlődnek a böngésző bezárása után. Ezen kívül nem biztosított a privát és a publikus munkamenetek szeparációja: a Safari böngészőben például privát böngészés módban is elérhetőek a publikus módban eltárolt sütik. Ugyanakkor az is kiderül, hogy a fő veszélyforrások között továbbra is megtalálhatóak a kiegészítők és beépülőmodulok, mivel ezek általában nem figyelik, hogy milyen módban fut a böngésző.
Sokáig egyébként a Flash sütik voltak a leghírhedtebbek a privátszfére ilyen jellegű megsértése terén, mindazonáltal az Adobe felismerte a problémát, és a Flash plugin alkalmazkodik az őt futtató böngésző üzemmódjához, és az újabb verziók nem hagynak maguk után sütiket, ha a privát böngészés mód aktív. Akik valamiért egy régi pluginverziót kénytelenek használni, azok FireFox alatt kipróbálhatják a BetterPrivacy kiegészítést, melyben beállítható, hogy a böngésző bezárásakor automatikusan törlődjenek a Flash sütik.
Előzménylopás, gyorsítótárlopás... Kiegészítéslopás!
|
|
2010.08.04. 00:00:01
Földes Ádám Máté
A Safari böngésző egy súlyos biztonsági hiányosságáról blogolt Jeremiah Grossman, a WhiteHat Security vezetője. A szakember azt állítja, hogy egy, az inkriminált böngészőt futtató felhasználó személyes adatait (pl. nevét, munkahelyét, e-mail címét) bizonyos körülmények közt akkor is meg tudja szerezni, ha ezen információkat a felhasználó sosem adta meg böngészés közben. A támadáshoz videós illusztráció is fellelhető.
Jön a "cursorlogger" – egyenesen a Google-tól
|
|
2010.07.31. 04:22:47
Földes Ádám Máté
Lehetséges, hogy új fejezetet nyithatunk a Google információétvágyát kielégíteni hívatott "eszközök" történetében. Az óriáscég még 2005-ben nyújtott be kérvényt a szabadalmi hivatalhoz egy olyan rendszer koncepciójával kapcsolatban, mely az egérkurzor mozgása alapján finomítaná a személyre szabott hirdetéseket. Az újítás itt az, hogy nem szükséges többé rákattintani egy linkre ahhoz, hogy a Google információt kapjon a webböngészési szokásainkról; már az is elég, ha az egérkurzorral "elmerengünk" egy szó felett. Arról nincs információ, hogy a keresőóriás mikortól tervezi a gyakorlatban is alkalmazni a rendszert – mindössze annyi bizonyos, hogy privátszféránk egy újabb rétegébe sikerült behatolniuk.
Rövid: elég kétséges adatgyűjtési gyakorlat az Apple-nál
|
|
2010.07.28. 05:58:43
Gulyás Gábor
Az Apple adatvédelmi nyilatkozata nem rég megváltozott, és ez egyesekben aggodalmakat váltott ki. A probléma az, hogy az adatvédelmi nyilatkozat elfogadása nélkül nem lehet a Store-ból alkalmazásokat letölteni, márpedig ennek feltétlen részét képezi, hogy az Apple vagy partnerei pontos adatokat tároljanak a tartózkodási helyünk koorindátáriól. Bár ez elvileg anonim módon történik, de ezzel két probléma is van: nem ismerjük az adatok anonimizálásának módját (így ez akár egészen kétséges is lehet), illetve az anonim adatbázisok azért annyira nem is anonimek. Hogy ezt belássuk, gondoljunk csak bele egy példán keresztül: jó eséllyel elég kevés ember jár ugyanarra a helyszínre dolgozni (vagyis tölt egy egy fix helyszínen napi 8-10 órát), aki pontosan ugyanott is lakik, mint mi. Ez pedig azt jelenti, hogy kis halmazból kell csak az adat tulajdonosának kitalálnia, hogy kiről is van szó. Ennyit az anonimitásról.
Szabadon letölthető rövidfilmek a magánéletről (és sérelmeiről)
|
|
2010.07.15. 23:33:25
[anonymous]
A BROAD projekt keretében, magyar filmes alkotógárda közreműködésével a magánéletről és sérelmeiről (különösen az internetes megfigyelés nemkívánt hatásairól) készült rövidfilmek szabadon letölthetők a PET Portálról. A négy eredeti forgatókönyvet Fazakas Péter, Gergely Zoltán, Horgas Ádám és Rohonyi Gábor filmrendezők valósították meg. A magyar nyelvű filmek egyikéből teljes angol nyelvű változat is készült, három pedig angol felirattal is hozzáférhető.
A filmek Creative Commons licensz alatt szabadon felhasználhatók bármilyen nonprofit célra. A projekt keretében elkészült a híres pizzarendeléses videó magyar nyelvű változata is.
Készül a Nemzetközi PET Portál és Blog
|
|
2010.07.15. 23:25:18
[anonymous]
Örömmel értesítjük látogatóinkat, hogy készül a portál többnyelvű változata, az International PET Portal and Blog, amely változatlan címen, de új motorral, kibővített tartalommal és megújúlt megjelenéssel, magyar, holland és angol nyelven lesz elérhető szeptembertől. Az új portál fejlesztését a BROAD projekt keretében az Európai Bizottság „Fundamental Rights and Citizenship” programjának támogatja.
Milyen a valódi közösségi hálózatok struktúrája?
|
|
2010.07.12. 22:51:32
Gulyás Gábor
Amit a legtöbb közösségi hálózaton tapasztalhatunk, hogy egydimenziósak: valamennyi ismerősünk csak egy nagyobb csoport része, különösebb tagolás nélkül. A valóság persze nem ennyire egyszerű, különböző helyekről különböző embereket ismerünk, akikkel jellemzően a kapcsolatot is másként tartjuk. Másképp lépünk kapcsolatba a családunk tagjaival, mást osztunk meg a barátainkkal, és a munkatársainkkal. Különböző részekre tagoltan adunk életjeleket és kommunikálunk. Ezek az ún. részleges identitásaink. Jellemzően más és más információkat osztunk meg rajtuk keresztül, sőt, néha egyenesen ellentmondóakat is. Például a történelem során számos költő művei jelentek meg férfi név alatt, és ezek a hölgyek titokban kényszerültek elrejteteni nemi identitásukat a publikum elől. Ezen felül pedig vannak olyan helyzetek, amikor névtelenek szeretnénk lenni – ez utóbbira az internet már önmagában számos példát szolgáltat.
Rövid hír: ismét előjött, hogy Internet csak jogosítvánnyal
|
|
2010.07.06. 23:44:57
Gulyás Gábor
Nem először merül fel az az elképzelés, amelyben az interneten mindenki jól azonosítható lenne a biztonságos használhatóság érdekében, csak úgy, mint az autóvezetés esetében. Hiszen – legalábbis elvben – ha egy adott tartományban mindenki jól azonosítható volna, az valamelyest biztonságot nyújthatna, legalábbis ott, azon belül. Azonban elég kérdéses, hogy mit kezdenének az egyes piaci szereplők az új, magas szintű felhasználó azonosíthatósággal. A cikk olvasása közben jutott eszembe a kérdés: miért nem merül fel az ilyen helyzetekben, hogy esetleg a szolgáltatók között is lehetnek tisztességtelenek?
Címkék: -
Érdekesség: rejtőzködő mód az új Windows Live Messengerben
|
|
2010.07.01. 05:33:18
Gulyás Gábor
Az új Windows Live Messengerben egy érdekes funkciót fedezhetünk fel: csoportokra és felhasználókra bontott rejtőzködési módot. Így lehetségessé válik, hogy munkaidőben elrejtőzzünk a barátaink elől, míg a főnökünk és a kollégák elérhetnek minket – csak más csoportba kell egyszerűen helyeznünk őket. Ez lényegében egy a Role-Based Privacy modelljébe illeszkedő funkció. Bár ez a modell nem csak ezt tenné lehetővé, hanem akár azt is, hogy más információt osszunk meg magunkról az egyes csoportok felé, vagy egészen más fiókkal jelentkezzünk be feléjük. (Ennek a módszernek a csevegőszolgáltatásokban való alkalmazásával foglalkozik az Egy ideális anonim csevegő szolgáltatás konstrukciója c. TDK dolgozat, amit ez úton is ajánlunk Olvasóink figyelmébe.)
TrueCrypt - valóban ennyire biztonságos?
|
|
2010.06.28. 21:33:11
Gulyás Gábor
A mai nap informatikai biztonsági érdekessége, hogy egy csalással vádolt brazil bankár merevlemezét lefoglalta a rendőrség, de sem a brazil nyomozóiroda (National Institute of Criminology, INC), sem az FBI nem tudta a lemez tartalmát visszafejteni. Állítólag csak azért, mert a TrueCrypt védte azt AES-256 algoritmussal, és erős jelszóval.
Biztonságos közösségi háló mobilra?
|
|
2010.06.25. 23:29:47
Gulyás Gábor
Teljesen egyértelmű, hogy a közösségi hálózatokban hatalmas pénzek vannak, főleg, hogy ha hozzá lehet férni a felhasználóknak minnél több adatához, mind a szolgáltató, mind a harmadik felek részéről. Persze ez sokszor a felhasználó érdekeit sérti, ami miatt érdemes biztonságos alternatíva, vagy kiegészítés után nézni, hiszen a legbiztosabb megoldás a szolgáltató kizárása az adatforgalomból. Ez kétféleképpen történhet: vagy titkosítjuk a feltöltött adatokat (például BlogCrypt-tel), vagy olyan szolgáltatást keresünk, ami alapvetően mellőzi az adatokhoz való hozzáférést, például azáltal hogy elosztott architektúrájú és emellett titkosítottan is kezeli amit feltöltenek rá.
HTTPS Everywhere - biztonságosan, ahol csak lehet
|
|
2010.06.18. 18:56:42
Gulyás Gábor
A HTTPS Everywhere egy egyszerű gondolatot valósít meg: hogyha egy weboldal HTTPS-en keresztül is elérhető, akkor használjuk csak azon keresztül. A gyakorlatban ennek több akadálya lehet, például HTTP-s linkek mutathatnak a védtelen oldalra – nos, az ilyen jelenségek ellenére is kikényszeríti a kiegészítő a HTTPS használatát. (Az alkalmazás fejlesztését a HTTPS-en keresztül is elérhető Google kereső inspirálta.) A kiegészítő számos nagy szolgáltatással működik együtt, de a felhasználó saját maga is beállíthat újakat.
Új tanulmány a PET Portálon
|
|
2010.06.15. 17:52:21
Gulyás Gábor
A PET Portálon először publikált tanulmányok sorát következőként Paulik Tamás 2009-ben leadott szakdolgozata bővíti.
Paulik Tamás: Kliensoldali webes tartalomtitkosító eszköz készítése
Az úgynevezett WEB 2.0-ás folyamat eredményeként megjelenő új szolgáltatások vonzereje komoly üzleti értékkel ruházta fel az internetet. Online üzletek, reklámok és egyéb szolgáltatások találhatóak bármerre, amerre a felhasználó jár. A blogok, a mikroblogok, a fórumok, a kép- és videó megosztó oldalak, a szociális hálózatok csak néhányak azok közül a szolgáltatások közül melyek uralják az Internetet. Közös vonzerejük, hogy azt nyújtják, amire az embernek a mai információs társadalomban szüksége van. A felhasználók hatalmas mennyiségű információhoz juthatnak hozzá, gyakorlatilag bármiről és az előbb felsorolt interaktív szolágáltatásokon keresztül ők maguk is teremthetnek tartalmat, megmutathatják kreativitásukat, képességüket, örömüket-bánatukat.
Ez a nagy mennyiségű információ hatalmas üzleti értéket képvisel, szolgáltatók és cégek alakultak kizárólag avval a céllal, hogy megfigyeljék a felhasználókat, profilt építsenek róluk, amiket később eladhatnak másoknak, hogy azok ezen információk alapján fejleszthessék saját szolgáltatásukat. Sajnos ezek az információk visszaélésekre is alkalmat adnak, a profilinformációk felhasználhatóak a felhasználói igények kielégítésén kívül a felhasználók megkárosítására is. Alkalmat adnak a célzott adathalászatra, személyre szabott jelszótörő könyvtár építésére, az információ felhasználhatósága csak a támadó kreativitásán múlik.
Jelen dolgozat célja egy olyan szoftver tervezése és implementációja, mellyel a felhasználók megvédhetik privátszférájukat az ilyen támadásokkal szemben. A szoftver lehetőséget ad a weboldalakon bevitt szöveges információk titkosítására, így segítve elő az információ biztonságát és biztosítva a hozzáférés vezérlést ott, ahol az másképp nem megoldható.
A tanulmány és a CD melléklet letölthető a tanulmányok szekcióból.
Rövid hír egy érdekességről: az XSUH
|
|
2010.06.14. 22:30:31
Gulyás Gábor
A rövidítés feloldva a Cross Site URL Hijacking. Ez a technika (jelenleg) csak Firefox-ban működik, és arra használható, hogy egy harmadik weboldal lekérdezze bizonyos szolgáltatásokban a felhasználói azonosítónkat. A módszer roppant egyszerű: bizonyos URL-ekben megtalálható a felhasználó azonosítója, és a Firefox hibakezelőjének átállításával ezt képes kiolvasni a támadó (voltaképp az egész URL elérhető). A támadásra egy bemutató oldal is készült. A támadás pici hasonlóságot mutat a History Stealinggel, hiszen azt is le lehet tesztelni, hogy mely weboldalakon járt (és jelentkezett be) az illető, bár itt a cél a belépett identitás meghatározása. Ahogy a közösségi oldalak terjednek, és nő a virtuális identitásunk súlya, egyre inkább várhatóak az ilyen jellegű támadások is – reméljük valamennyire még időben fény derül majd.
Biztonságos telefonálás Androidról
|
|
2010.06.07. 11:50:38
Gulyás Gábor
A telefonok lehallgatása nem új téma, és már korábban beszámoltunk a GSM feltörésére irányuló kísérletről. Emiatt a szakértők már régóta szerettek volna olyan szoftvert készíteni, ami képes szoftveres szinten titkosítani a GSM-es telefonbeszélgetéseket. Ez azért is fontos, mert a GSM hálózaton csak a bázisállomásig alkalmaznak titkosítást, utána a beszélgetés titkosítatlanul halad tovább. Ráadásul az alkalmazott titkosítás nem is túl erős.
Cache stealing – a history stealing evolúciója?
|
|
2010.05.29. 15:58:34
Szabó Imre
Tudvalevő, hogy a Firefox fejlesztői mostanában foltozzák majd be a privátszféránkra már meglepően régóta veszélyt jelentő biztonsági rést, amelynek kihasználásának módja history stealing néven vált ismertté. (Emlékeztetőül: az algoritmus megvizsgálta, hogy egy link milyen színnel jelent meg a weboldalon, és ebből kikövetkeztette, hogy a link szerepel-e a böngészési előzmények közt. A meglátogatott oldalak jó eséllyel egyediek egy böngészőpéldányra, ami lehetővé teszi az előzményalapú profilírozást.)
Privátszféra-erősítés és ingyen sms à la Google
|
|
2010.05.25. 20:03:13
Földes Ádám Máté
Besenyei Tamás ötlete nyomán egy érdekes lehetőségre szeretnénk felhívni a figyelmet, méghozzá a Google Calendarral kapcsolatban. A szolgáltatás egyik érdekes funkciója, hogy – beállításainktól függően – sms-ben is képes értesítéseket küldeni a közelgő eseményekről. Az üzenetben mindig szerepel az esemény „fejléce”, vagyis az a minket valamilyen teendőről, értekezletről stb. tájékoztatni hívatott szöveg, amelyet beírtunk a megfelelő időpontra. Ezt a funkciót könnyen kihasználhatjuk ingyen sms küldésre, illetve arra, hogy másoknak sms küldési funkciót biztosítsunk a telefonszámunk megosztása nélkül.
Videó: Anonymity, privacy and Circumvention: Tor in the Real World
|
|
2010.05.20. 11:48:46
Gulyás Gábor
Az alábbiakban Jake Appelbaum előadását hallhatjuk a SOURCE 2010 konferenciáról. Kicsit hosszú az előadás, de érdekes dolgokat említ benne, mint például hogyan alakítottak ki egy e-mail alapú Tor letöltő rendszert azon országok lakói számára, ahol a közvetlen webes letöltés le van tiltva. (A videó HD felbontásban itt kikereshető, a fóliák is megtekinthetőek külön is.)
Facebook: a privátszféra erózió evolúciója grafikusan
|
|
2010.05.17. 12:00:40
Gulyás Gábor
Posztdoktori pályázat PET témakörben
|
|
2010.05.14. 17:41:22
Székely Iván
A kanadai Waterloo Egyetem „CrySP” (Cryptography, Security, and Privacy) kutatócsoportja posztdoktori pályázatot hirdet a privátszférát erősítő technológiák témakörében, egy vagy kétéves időtartamra, 2010 őszi kezdéssel.
Szigorúak a kritériumok, nem elég a rokon területen szerzett PhD fokozat, a legrangosabb biztonsági és PET fórumokon megjelent cikkek és előadások bemutatása is szükséges a pályázathoz.
A jelentkezéshez szakmai önéletrajz, kutatási terv és két-három publikált tanulmány beküldése szükséges. Jelentkezés és további információ:
Ian Goldberg, iang@cs.uwaterloo.ca
Forradalmi közösségi hálók: vajon meddig van még kiút?
|
|
2010.05.14. 11:13:41
[anonymous]
A Facebookra, a közösségi oldalak úttörő és piacvezető szereplőjére egyre inkább rájár a rúd, ami nem csoda: leginkább annak köszönhető, hogy a privátszféra felszámolásában is úttörő szerepet akar vállalni. Ez utóbbit nem nehéz alátámasztani, az utóbbi hetek, hónapok is bőségesen adnak rá elég forrásanyagot; elég ha csak arra gondolunk, hogy a meg akarják más szolgáltatókkal is osztani a Facebook-os felhasználók adatait. Máshol meg már olyan jövőről hallani, hogy a Facebook lesz a következő nagy alkalmazás, ami majd leváltja a Google-t, de azért ezt ne vegyük biztosra. Ez legutoljára annak kapcsán merült fel, amikor a Facebook bejelentette a felhasználói ajánlásokon alapuló rendszerét, ami azért más aggályoknak is okot adott: ezzel nem csak a felhasználók ízlésvilágának a profilírozása, hanem a résztvevő és a rendszeren kívüli internetezőknek a tevékenységének követése is lehetővé válik. Röviden mindezt úgy összegezhetjük: van miért aggódni.
Facebook újra: like mindenütt - de mi "nem lájkoljuk"
|
|
2010.05.01. 11:38:21
Gulyás Gábor
A legaktuálisabb újítása a Facebook-nak, hogy mindenütt lehetővé tették, hogy a felhasználóik a funkciót támogató weboldalakon rögtön kedveltté nyilvánítsanak bizonyos tartalmakat. A privátszféra oldaláról ez annyit jelent, hogy ahol beágyazzák ezeket az elemeket, akkor az ott megforduló látogatók a Facebook számára követhetőek lesznek, és ha ezek az emberek még be is vannak lépve a Facebook oldalán, akkor a követési információk egyből a profilhoz kapcsolhatóak lesznek. (Ennek működése egyszerű, és hasonló a webpoloskáékhoz, csak egy iframe tartalma kerül letöltésre.) Ráadásul úgy tűnik, hogy mindez nem csak paranoia.
Facebook listák: ha egy pirospont öt feketét érhetne...
|
|
2010.04.27. 22:02:02
Gulyás Gábor
A szerep-alapú privátszféra védelem (Role-Based Privacy) vagy az ún. részleges identitás technika (Partial Identities) azon az egyszerű elven alapul, hogy a hétköznapi életben is más és más szerepbe bújunk az adott szituációtól, vagy épp a kommunikációs partnertől függően. Azaz például a bankunk és az orvosunk felé más és más információkatt osztunk meg, kínosan ügyelve rá, nehogy ezek összeköthetőek legyenek valamelyik félnek a kezében. Ezeket a szerepeket identitásoknak is nevezhetjük, amelyeknél néha elvárjuk, hogy az információk átfedjék egymást, vagy akár hogy az identitások ellentmondóak, összeköthetetlenek legyenek. Az információk ilyen jellegű kezelését identitásmenedzsmenttel szoktuk megoldani, amelyben a profilokat hierarchiába tömörítjük az áttekinthetőség kedvéért. (Ennek a módszernek az egyik lehetséges alkalmazását mutatja be az Egy ideális anonim csevegő szolgáltatás konstrukciója c. tanulmányunk.)
Nyílt cenzúra
|
|
2010.04.22. 21:41:49
Földes Ádám Máté
Érdekes akcióra szánta el magát a Google: az óriáscég nyilvánosságra hozta, hogy 2009. július 1. és december 31. közt melyik országból hányszor érkeztek kérések felhasználói információk törlésére, valamint, hogy hány alkalommal kértek ki ilyen adatokat. A vállalat az eredményeket egy térkép formájában tárja elénk, amelyen egy országra kattintva megtekinthetjük, hogy a kérések hány százaléka teljesült, valamint, hogy a Google melyik szolgáltatása volt a szóbanforgó információ helye.
Hazánk se a törlési, se a kikérési listán nem szerepel, ami azt jelenti, hogy Magyarország legfeljebb 30 kérést intézett a céghez (de az is elképzelhető, hogy egyet sem). A legtöbb felhasználói adat kiadását és törlését egyaránt Brazília kérte, rendre 3663 és 291 alkalommal. Az eltávolítási kérelmek esetében a dél-amerikai ország „hatékonysága” 82,5%-os volt. Érdekesség, hogy Kína nem szerepel egyik listán sem – az ottani adatok ugyanis a helyi törvények szerint államtitoknak minősülnek.
Az egészségügy és a közvetlen személyes szféra védelme
|
|
2010.04.17. 10:57:23
Gulyás Gábor
Tavaly év végén egy olyan technológiának kezdték el a klinikai tesztelését, aminek segítségével nem csak a rendelőben, hanem a mindennapi élet során is lehetőség nyílik bizonyos élettani funkciók mérésére, mint például a vérnyomás, vagy a pulzus. Mindez egy olyan apró áramkör segítségével történne, amelynek még az akkumulátora is nyomtatott, és így az egész készülék viselése sem feltűnő, vagy zavaró a páciens számára.
Hétpecsét Információbiztonsági Egyesület: Év információvédelmi szak- és diplomadolgozata pályázat
|
|
2010.04.07. 22:16:22
Gulyás Gábor
Idén is meghirdette a Hétpecsét Információbiztonsági Egyesülete az Év információvédelmi szak- és diplomadolgozata pályázatát. A pályázatra a hagyományos főiskolai és egyetemi képzésben, illetve a BSc/MSc rendszerben végzett hallgatók is beadhatják adatbiztonsági, illetve információbiztonsági fókuszú műveiket, de bátorítjuk a PET technológiákkal, illetve az adatvédelemmel foglalkozó dolgozatok benyújtását is, hiszen ez is beleférnek a kiírás által meghatározott témakörökbe.
A szabad választáshoz való jog
|
|
2010.04.07. 10:58:14
Gulyás Gábor
A mostani időszakban talán zavaró lehet a bejegyzés címe, azonban a magyarországi demokrácia helyzetével, és jövőjével a PET Portálon a közeljövőben biztosan nem fogunk foglalkozni. :-) A szabad választáshoz, döntéshez való demokratikus jog bár nem közvetlenül a privátszférához tartozik, mégis szorosan kapcsolódik hozzá: ha például valakit megfigyelnek és profilíroznak, utána ezt az információt fel tudják használni arra, hogy a döntését hatékonyan befolyásolják, ami egyértelműen csonkítja a szabad döntéshez, választáshoz való jogot. Például úgy, hogy a profiljához kapcsolódó termékeket helyezik a terméklistán előre, célzott hirdetésekkel bombázzák a vásárlót, vagy a szimpatikus, keresett termékek árát lenyomják – mindezzel egyre inkább a vásárlás felé nyomva a fogyasztót.
A képernyő zárolása sem elégséges védelem
|
|
2010.04.05. 11:05:58
Földes Ádám Máté
Ha egy TrueCrypt virtuális meghajtó tartalmához hozzá akarunk férni, szükségünk van a rejtjelezési kulcsra. A kulcs megadása után azonban az információ védtelen: az operációs rendszer kérésre kiszolgáltatja az addig rejtjelezetten tárolt kulcsot. Mit csináljunk azonban akkor, ha egy irodában dolgozunk a virtuális meghajtón tárolt adatokon, és szeretnénk kimenni meginni egy kávét – mindezt anélkül, hogy kíváncsi munkatársaink beletúrhatnának a privát szféránkba?
Rövid hír: vége a History Stealing-nek?
|
|
2010.04.01. 23:01:11
Gulyás Gábor
Ha nem is elsőként, de leközöljük a hírt, már a BuheraBlog is megírta, de a Weblabor is írt róla, hogy a Firefox böngészőkben ki fogják javítani a History Stealing kiaknázását lehetővé tévő funkciókat. Idézzük a Weblabor bejegyzéséből:
- ezentúl a meglátogatott hivatkozások kizárólag színükben térhetnek el a a többitől, így azoknak nincs hatása az oldalelrendezésre;
- a motorban végzett átalakításokkal biztosítani kívánják, hogy minimális legyen a különbség a kétféle hivatkozás renderelési idejében, ezzel véve elejét az időzítésre építő támadásoknak;
- és legfőképp, a jövőben JavaScriptből a meglátogatott hivatkozások stílusát lekérdezve is az érintetlen linkekre vonatkozó információkat kaphatjuk csak vissza.
Sőt, a bejegyzés végén egy gyors "javítási" lehetőséget is említenek: az about:config alatt a layout.css.visited_links_enabled opció átállításával a problémakör hatékonyan kezelhető. Persze a többi böngészőben így is fenn állhat a veszély, de remélhetőleg követik ezt a példát hamarosan – ettől függetlenül is nagy előrelépés ez, hiszen a Firefox az egyik legkedveltebb böngésző. (Aztán majd találnak rá alternatívát. :-) )
Amikor a Facebook lenyomja a History Stealinget
|
|
2010.03.30. 10:35:15
Gulyás Gábor
Az utóbbi időben egész sokat foglalkoztunk a History Stealing módszerrel, és azon belül is kiemelten, hogy a legújabb kutatási eredmények szerint hogyan lehetséges ezzel a módszerrel egy vadidegen oldalnak beazonosítani a közösségi oldalon lévő profilunkat. (Emlékeztető: a böngészőben tárolt URL-ekkel ellenőrzik, hogy mely csoportok weboldalát látogattuk meg, és ezt összehasonlítják a profilokkal.) A módszer hátránya, hogy munkaigényes: egyrészt be kell gyűjteni egy közösségi oldal profil adatait, és meg kell határozni, hogy mely csoportokat (vagy egyebet) használjanak fel a beazonosításhoz. Ez azért nehéz, mert akkor jó a csoportok kiválasztása, ha a csoportba tartozás nagy valószínűségű esemény, és a teszteléshez nem kell túl sok URL-t ellenőrizni, mert az feltűnő lehet. Előnye viszont, hogy ez a módszer pontos azonosítást adhat, ráadásul egy személyes profil szintjén. Azonban úgy tűnik, hogy a Facebook szeretné megkímélni a weboldalak üzemeltetőit ettől a nehéz munkától, és újabb változtatásokat eszközölnének az adatvédelmi nyilatkozatban.
Új tanulmány: Járművek követhetőségének vizsgálata VANET környezetben
|
|
2010.03.29. 22:11:55
Gulyás Gábor
Az új tanulmány egy TDK dolgozat, ami a BME Villamosmérnöki és Informatika karán ért el második helyezést 2008-ban. A dolgozat letölthető a tanulmányok szekcióból. Köszönjük a szerzőnek a hozzájárulását a tanulmány publikálásához!
Absztrakt
Mindennapi életünktől elválaszthatatlanok a közlekedés és a kommunikáció legkülönbözőbb formái. E kettő összefonódása hívta életre a járműközi kommunikációt, azaz VANET-eket (Vehicular Ad Hoc Network), melyek nagyobb áteresztőképességű, hatékonyabb és biztonságosabb forgalmat ígérnek városokon belül és kívül egyaránt. Az eljárás kínálta lehetőségek kecsegtetőek, így a járművezetők előre értesülhetnek egy esetleges baleset helyszínéről, így kerülve el a továbbiakat, illetve a dugókat.
Azonban más szempontból is elengedhetetlen az ötlet tanulmányozása. Meg kell vizsgálnunk a veszélyeket is: a fokozott kommunikáció lehetőséget nyújt arra, hogy egy autó könnyebben követhetővé váljon, és ezáltal sérüljön a vezető privát szférája. Számos csoportot foglalkoztat ez a terület, így a rendelkezésre álló irodalom tanulmányozása után munkánkhoz a mix zone-ok ötletét vettük alapul. Eszerint az elv szerint, az autók igyekeznek úgy, és olyan helyeken azonosítót váltani, hogy egy esetleges támadó minél nehezebben legyen képes nyomon követni.
Az eddig publikált munkák nem felelnek meg minden igénynek, néhol a támadó modell rossz, vagy a forgalom szimuláció áll távol a valóságtól, de előfordul az is, hogy a főcél, a balesetmentes közlekedés háttérbe szorul a privát szféra védelméhez képest. Munkánk folyamán az említett gyengeségeket szem előtt tartva implementáltunk különböző azonosító, pontosabban pszeudoním váltási algoritmusokat, és hasonlítottuk össze ezeket annak érdekében, hogy megtaláljuk a leghatékonyabb módszert, mellyel egy adott erősségű támadó ellen védekezhetünk.
Google Analytics: opt-out a Google birodalmon kívül
|
|
2010.03.22. 14:46:36
Gulyás Gábor
Az IT café is cikkezett róla, hogy várhatóan néhány héten belül el fog készíteni a Google egy olyan böngésző kiegészítőt, amelynek segítségével a felhasználó letilthatja a Google Analytics szolgáltatást, és ezáltal a tevékenységének nyomkövetését. Korábban írtunk egy olyan Firefox kiegészítőről, ami a belépést nem igénylő Google szolgáltatásoknál tett hasonlót lehetővé – azonban ez a megoldás nem egy Google termék volt. A felhasználó privátszféráját veszélyeztető tényezőket három csoportba sorolhatjuk, ebből az egyiknek az alapját épp a Google-hez hasonló szolgáltatók adják, és ezért is érdekes a Google-nek ez a lépése.
History Stealing: közösségi platformokra továbbfejlesztve
|
|
2010.03.16. 11:07:23
Gulyás Gábor
Egy ideje követem Arvind Narayanan-nak a 33 Bits of Entropy nevű blogján megjelenő post sorozatát a History Stealing témaköréből, és ennek is köszönhetőek a kapcsolódó bejegyzések zöme (de azért nem mind). A History Stealing módszer ámbár már régen ismert, egy újszerű támadási módszer újra fény vetett rá. Ennek lényege, hogy ha ismerünk elegendő mennyiségű publikus profilt a csoport-tagságokkal együtt egy tetszőleges közösségi oldalról, akkor elég ellenőriznünk a weboldalt meglátogató felhasználónál néhány csoportok weboldalának az URL-jét, hogy a felhasználó profilját egyedileg be tudjuk azonosítani. Arvind azonban továbbfejlesztette az ötletet általánosságban a közösségi médiákra.
A Microsoft U-Prove technológiája
|
|
2010.03.12. 20:55:09
Székely Iván
Talán többen emlékeznek még arra, hogy két évvel ezelőtt a Microsoft felvásárolta Stefan Brands-nak, a fiatal informatikus-kriptográfus generáció talán legtehetségesebbjének, a felhasználó-centrikus identitásmenedzsment vezéralakjának Credentica elnevezésű cégét, Brands összes szabadalmával együtt. A nemzetközi informatikus közösség azon tagjai, akik a privátszférát erősítő technológiák hívei, és alapvető jelentőségűnek tartották Brands „private credentials” technológiáját és annak a hálózati szolgáltatásokra gyakorolt potenciális hatását, lemondóan vették tudomásul, hogy a Microsoft egyszerűen megvette a rivális elven működő technológiát és nyilván örökre elzárja a világ elől. Maga Brands azt állította, hogy a MS szándékai tisztességesek és eltökélt a technológia beépítésére és felhasználására. Ezt mindenki kétkedve fogadta.
Nagy meglepetésre a Microsoft, két év hallgatás után bejelentette az új, U-Prove elnevezésű technológiáját, amely nem más, mint Brands rendszerének implementálása. Az új technológia, amely a felhasználóknak maximális rendelkezést biztosít adataik felett, minimalizálja a szolgáltatások igénybevételéhez szükséges azonosító adatok mennyiségét és azonosítás nélküli autentikációt tesz lehetővé, szabadon hozzáférhető és felhasználható, forráskódját nyilvánosságra hozta a Microsoft. Emellett a MS egy Community Technology Preview-t is nyilvánosságra hozott, a más technológiákkal való integráció elősegítésére.
A nemzetközi informatikus közösség elismeréssel adózott a jelentős lépésnek, amely nem elhanyagolható mértékben javította a MS megítélését. Külön kiemelték a MS két ismert szakemberének, Kim Kameronnak (Architect of Identity) és Caspar Bowden-nek (Chief Privacy Advisor) a szerepét a projekt megvalósításában. Noha a Microsoftot továbbra sem emberbaráti elvek, hanem üzleti megfontolások vezérlik, az, hogy felismerte a felhasználó-vezérelt identitáskezelés igényét és üzleti potenciálját, önmagában is fontos fejlemény.
History Stealing bemutató: szembesülni azzal, hogy merre jártunk
|
|
2010.03.10. 15:21:28
Gulyás Gábor
A közelmúltban bemutattuk egy rövid bejegyzésben a History Stealing lényegét, illetve egy olyan újfajta támadási módszert is említettünk, amelynek segítségével jó eséllyel beazonosítható a felhasználó profilja egy közösségi oldalon. Ha valaki szeretne mélyebb betekintést tenni a böngészőjében tárolt múltjába, ajánljuk a What the Internet know about you weboldalt, illetve ha valaki szeretne egy kicsit részletesebben dokumentált tesztet is megnézni, ajánljuk figyelmébe ezt a másik oldalt. Szívesen veszünk át olvasóinktól is ajánlásokat a hozzászólások közül!
Anonim webezés mobiltelefonról
|
|
2010.03.06. 21:54:00
Gulyás Gábor
Korábban beszámoltunk a Pirni nevű alkalmazásról, ami lehetővé teszi – bizonyos korlátok között –, hogy WLAN hálózatokat hallgassunk le a zsebünkből. (Egészen friss fejlemény ezen a téren, hogy eltűntek az Apple Store-ból a lehallgatásra alkalmas programok.) Azonban jó hír, hogy a védekezésre használható technológiák között találhatunk már Android platformra elérhető alkalmazásokat, melyek segítségével lehetővé válik az anonim webezés is!
History Stealing: a totális azonosíthatóság új eszköze?
|
|
2010.02.23. 16:31:25
Gulyás Gábor
Nem rég megjelent a Linkek szekcióban egy új Firefox kiegészítő (SafeHistory), mely segítségével megakadályozhatjuk, hogy illetéktelen weboldalak felderítsék a böngészési előzményeinket (history), és ezt felhasználják a privátszféránk elleni támadásokra. Például arra, hogy azonosítsanak minket. Hogyan is működik ez a támadás?
Virtuális Háztűznéző Magyarországon
|
|
2010.02.22. 10:22:59
Paulik Tamás
Miközben az egész világ avval van tele, hogy a Google Street View milyen privacy kérdéseket vet fel, egyesek szerint hasznos, mások szerint szórakoztató, van aki szerint pedig az egyik legnyíltabb támadás privát szféránk ellen a Google részéről, addig abban mindenki egyetért, hogy ezek a problémák minket, itt Magyarországon, nem érintenek, hiszen a szolgáltatás itt nem elérhető.
Amit viszont jóval kevesebben tudnak, hogy bár Street View nincs Magyarországon, sőt, egész Kelet-Európa jelenleg mellőzve van, addig volt valaki más, aki ezt a hiányt meglovagolva létrehozta a szolgáltatást ott, ahol a Google még nem tette, így hozva el a problémákat hozzánk is.
A Norc.hu szolgálatása szinte teljes egészében megegyezik a Google-éval, az egyetlen különbség csak annyi, hogy kicsit ritkább időközönként készültek a felvételek.
Hazánkban a szolgáltatás az alábbi területeken érhető el: Budapest, Balaton, Debrecen, Győr, Hajdúszoboszló, Miskolc, Szeged, Szentendre.
Raboljon ki, kérem!
|
|
2010.02.21. 20:08:38
Paulik Tamás
Holland fejlesztők egy új portált indítottak,"Please, rob me!" címmel. Az alkalmazás kilistázza azokat a Twitter felhasználókat, akik bejegyzéseik alapján éppen nem tartozkodnak otthon. A játék alapja a Foursquare nevű szolgáltatás, amelynek használatához a játékosoknak meg kell adniuk valósi tartózkodási helyüket.
Természetesen az oldal elsődleges célja nem a betörők informálása, hanem a felhasználók figyelmének felkeltése, hiszen óvatlanságukkal komoly bajba sodorhatják magukat.
Ez az oldal is nagyon jó példája annak, hogy a figyelmetlen, kevésbé privátszféra-tudatos felhasználók, milyen könnyen bajba kerülhetnek és egy újabb érv amellett, hogy a szolgáltatóknak, szabályalkotóknak is számolni kellene a privacy kérdésekkel, mielőtt bármilyen szolgáltatást elindítanak.
Hírek, csak röviden
|
|
2010.02.04. 10:19:03
Gulyás Gábor
A január 28-ára készült videóinterjún felmerült a webes anonimitással kapcsolatban, hogy egyáltalán van-e értelme, vagy sem. Bruce Scneier a blogján épp ezt tárgyalja, és arra a következtetésre jut, hogy egy teljes azonosítottságot biztosító (és így az anonimitást mellőző) internet ugyaúgy nem lenne hatékonyabb a védelem és a felelősségre vonás szempontjából, mint a mostani, legfeljebb a támadók más módszereket használnának az elrejtőzésre. Emellett felsorol néhány további problémát is, mint a felhasználók megbízhatatlansága (pl. ne veszítsék el az azonosítójukat és ne adják kölcsön), valamint a precíz azonosítás nehézsége. Pedig van, akinek ez akár egy álom beteljesülése is lehetne.
Vissza a nyomkövetéses azonosításhoz?
|
|
2010.02.03. 10:40:32
Gulyás Gábor
A nyomkövetéses azonosítás a megfigyelési technikák egyik legrégebbi módja. Eleinte az IP címeket használták a felhasználó azonosítójaként, és a megfigyelés során összegyűlt adatokat az ehhez kapcsolódó profilban tárolták. Majd mivel a NAT elterjedt, és az IP címek egyre kevésbé voltak egyediek, ez a módszer már nem bizonyult pontosnak. Ehelyett inkább a felhasználó gépén kezdték tárolni az egyedi azonosítót, amit a szolgáltatók generáltak, erre szolgáltak a követésre használt sütik. A felhasználók tudatossága azonban egyre növekedett, és elkezdték törölni a sütiket, így más, kiegészítő technikákat kezdtek használni, mint például a Flash sütikben való tárolás vagy biztonsági másolat készítés, vagy Javascript gyorsítótárazással trükközés. Néha a szolgáltatók közötti kollaboráció sem volt kizárható (pl. Yahoo beacon-ök terjesztése), de a hirdetők vagy audit szolgáltatók is jó pozícióba kerültek, hiszen a hirdetéseken és az elhelyezett "poloskákon" (web bug) keresztül átfogó megfigyelést képesek végrehajtani az egyes oldalak között.
Adatvédelem nemzetközi napja: videóinterjú Rolf Wendolsky-val
|
|
2010.01.28. 12:00:26
[anonymous]
Január 28-a, az adatvédelem nemzetközi napja alkalmából a PET Portál szerkesztői – a tavalyi évhez hasonlóan – különleges videofelvételt kínálnak a látogatóknak. Ezúttal egy külföldi szakemberrel készítettünk interjút: Rolf Wendolsky, az ingyenes anonimizáló szoftvert és ehhez üzleti alapon nyújtott támogatást kínáló JonDos cég alapítója és vezető fejlesztője Németországból, videokonferencia keretében válaszolt Gulyás Gábor, Krasznai Csaba és Székely Iván kérdéseire. Az interjú angol nyelvű, a feltett kérdések és válaszok laikusoknak és szakembereknek egyaránt érdekesek lehetnek.
Az teljes interjú a tovább után látható. Aki csak a hangzó anyagra kíváncsi, a beszélgetést MP3 formátumban letöltheti.
Médiapartnerünk, az ITcafé az adatvédelem nemzetközi napja alkalmából megjelenő tematikus összeállításában írásos összefoglalót készít hamarosan az interjúról.
GoogleSharing: inkább a privátszférát választom
|
|
2010.01.24. 10:24:04
Gulyás Gábor
A Google a kínai incidens után előhozta a szokásos érveket, amivel általában a kukkoló társadalom továbbépítése mellett szoktak érvelni – ráadásul most az EU irányába lobbizik. Ez röviden így foglalható össze: a terrorizmus elleni harc miatt visszább kell venni a demokráciából, csak kisebb szabadság és privátszféra engedhető meg, és több megfigyelést, naplózást kell eltűrniük a felhasználóknak (hasonló témájú vita zajlik a reptéri ellenőrzések körül). Ahhoz ugyanis, hogy a kínai támadáshoz hasonlókat kezelni lehessen, IP címeket és egyéb érzékenyebb adatokat is tárolni szükséges. Ráadásul a Google 9-18 hónapig tárolja ezeket.
24 órás hackerverseny: eredmények
|
|
2010.01.20. 07:15:12
Földes Ádám Máté
Megvannak az IT Security Coding Contest 2009 hivatalos eredményei. A verseny győztesei, vagyis akik elvitték az „egymisit”, a key_cega csapat tagjai, ők a megszerezhető 300 pontból 271-et gyűjtöttek. A spectralgliders és a mrhankey csapatok szerezték meg a második és a harmadik helyet 229 és 224 ponttal, ők személyenként egy-egy 30 napos próbaidős időszakot nyertek a kancellar.hu-nál. Gratulálunk a szép eredményekhez!
Facebook: akkor sem kell nektek privátszféra, csak bízzatok ránk mindent!
|
|
2010.01.19. 17:50:55
Gulyás Gábor
Ők ezt minden bizonnyal komolyan így is gondolják, és nagyon meg akarják mutatni a saját igazukat. Még a felhasználók személyes adatainak árán is, kerül, amibe kerül. Korábban már jelezték külföldi szakemberek, hogy ha quiz-eket töltögetünk ki, akkor nem csak a saját, de ismerőseink adatait is kiszolgáltatjuk a quiz készítőinek. Most azonban egy újabb veszéllyel kell szembenéznie a Facebook felhasználóknak: az alkalmazások készítői könnyen fontos adatokat szedhetnek ki tőlük böngészés közben (pl. login adatok).
Most már a privátszférád is a gyáré!
|
|
2010.01.19. 11:33:41
Gulyás Gábor
A MojoPac lehetőséget ad arra (írtunk róla tavaly), hogy ne csupán egy-egy programunkat, hanem akár egész számítógépünket magunkkal hurcoljuk, mindezt pedig privátszféra-barát módon: ha egy idegen gépen dolgoznánk, akkor sem hagyunk ott magunk után nyomot, és elvileg a rendszer sem fér hozzá fájljainkhoz, adatainkhoz a MojoPac meghajtón. Az IronClad USB meghajtó hasonló megoldást kínál: egy legalább 8GB méretű, ütés, por- és vízálló meghajtót, ami valamilyen nem ismertetett (?) 256 bites algoritmussal titkosítja a rendszerünket. Hasonlóan a MojoPac-hez, itt is minden a meghajtóról indul el, pontosabban már a rendszer is innen töltődik be. A dolog érdekessége nem is itt kezdődik, hanem ez után.
A céges megfigyelés technikái
|
|
2010.01.16. 22:30:46
Földes Ádám Máté
„Figyelem! Belépés csak jogosult felhasználóknak! A Cég hálózatán átvitt és a Cég által biztosított eszközökön tárolt mindennemű információt a Cég rögzíthet, törölhet, naplózhat, feldolgozhat, megvizsgálhat, függetlenül attól, hogy ezek magánjellegűek-e. Ezek a tevékenységek a Cég informatikai biztonsági és titoktartási szabályzatának betartatását és ellenőrizhetőségét szolgálják. Az ezen ablakon történő továbblépéssel Ön tudomásul veszi ezeket a feltételeket, valamint azt, hogy a fent megnevezett szabályzatok megsértése jogi és fegyelmi következménnyel járhat, beleértve a munkaviszony megszüntetését is.”
Aki olyan helyen dolgozik, ahol a munkát számítógép előtt ülve végzik, valószínűleg találkozott már a fentihez hasonló üzenettel pl. a céges intranetre történő bejelentkezés előtt. Sok cég azonban megengedi, hogy a számítógépen például személyes ügyben levelezzünk, vagy banki ügyeinket intézzük, így felmerül a személyes adatokkal történő visszaélés lehetősége – ennek jogi vonatkozásait lásd előző bejegyzésünkben. Az alábbiakban megemlítem a megfigyelés néhány módozatát, és az ezek elleni esetleges védekezési módokat. (Figyelem! Ezen blogbejegyzés célja nem az, hogy a céges szabályzatok által kifejezetten tiltott tevékenységek űzését – például fájlcserealkalmazás futtatását – megkönnyítse, hanem, hogy az engedélyezett magánjellegű használat során ne adjunk ki feleslegesen személyes információt a munkáltatónk számára.)
Elbukott a GSM A5/1? Megtörték az A5/3 titkosítását is!
|
|
2010.01.13. 09:49:57
Gulyás Gábor
December végén felröppentek a hírek, hogy feltörték a GSM titkosítását. Mi is beszámoltunk róla, hogy kutatóknak sikerült olyan kódtáblákat előállítaniuk, amelyek segítségével gyorsabban megfejthetővé válnak a hívások. Azonban a hardver kiépítésének nehézsége és a szükséges – relatíve nagy – erőforrásigény miatt nem várható egyelőre, hogy ez a lehetőség bárki számára elérhető lesz, hanem inkább nagyvállalati, intézményi szinten várhatóak támadások.
Valósidejűség és privacy?
|
|
2010.01.13. 07:41:54
Gulyás Gábor
Egész sokat lehet arról olvasni, hogy a Web 2.0, a közösségi hálózatok elterjedése, és az új szolgáltatások által terjesztett exhibiconista felhasználói szemléletmód milyen hatással van a privátszféránkra (egy jó tudományos cikk a témáról). A következő kérdés viszont ez: ha ezek a szolgáltatások valósidejűvé válnak, mire számíthatunk? Minden bizonnyal elveszítjük a visszavonási lehetőséget, és bármi, amit akár véletlenül publikálunk végérvényesen elérhetővé válik. Legfeljebb annyit érhetünk majd el, hogy a keresési eredmények között ne szerepeljen; azonban a rendszerből nem fogjuk tudni eltávollíttatni (és bizonyára vannak olyan "haladó felhasználók", akik kicsit többhöz is hozzáférhetnek).
PET Symposium 2010
|
|
2010.01.12. 06:57:07
Gulyás Gábor
A PET Symposium a PET témakör leginkább elismert tudományos fóruma, és rendszeresen publikálnak rajta (nem csak PET témával) foglalkozó neves kutatók és szakemberek. A fórum idén hazánkhoz kedvezően közel kerül megtartásra, a helyszíne ugyanis Berlin lesz. Ráadásul Németországban több privacy közeli kutató- és munkacsoport is létezik, így várhatóan idén különösen színes lesz majd a program. Bár a cikk beadási határidő már közel van (2010. február 15.), esetleg azonak is érdemes lehet regisztrálni és ellátogatni, akik komolyabban érdeklődnek szakmai oldalról is a PET-ek és az informatikai biztonság iránt. Az esemény időpontja: 2010. július 21-23.
Kutatók sikeresen faktorizáltak egy 768 bites RSA kulcsot
|
|
2010.01.10. 12:56:35
Gulyás Gábor
Tudjuk, hogy az asszimetrikus kriptográfia alapjaként NP-teljes problémákra építenek, és eképp van az RSA esetében is, amikor konkrétan a prímek faktorizációjának nehézségére vezetik vissza a privát kulcs kitalálásának nehézségét. Egy egész friss cikkből kiderül, hogy néhány kutatónak sikerült megtalálni egy 768 bites RSA modulus szorzóit.
A 24 órás hackerverseny: eredményhirdetés jövő héten!
|
|
2010.01.09. 17:41:31
[anonymous]
A december elején rendezett 24 órás hackerverseny eredményhirdetése jövő hét kedden 13 órától lesz az ELTE Lágymányosi Campus Déli épületében, a számítástechnika teremben. Az eredmények addig is titkosak és csak a helyszínen derülnek ki! A feladatok letölthetőek a verseny honlapjáról, amelyek közül PET Portál által készített szteganográfiai feladat megoldásai is elérhetőek.
Új tanulmány: A privacy védelme a munkahelyen
|
|
2010.01.09. 15:22:50
PET Portál
Nem rég Buherátor, a Buhera Blog szerkesztője felhívta a figyelmünk a Munkahelyi Terror Blog egy bejegyzésére, amelyben a levélbeküldő és az olvasók azt vitatják, hogy mit lehet tenni, ha a munkáltató keyloggerekkel és különböző kémprogramokkal igyekszik naplózni az alkalmazott tevékenységét a munkahelyén. A problémakörre vonatkozó konkrét technikai válaszokkal és elemzéssel később jelentkezünk (hiszen a saját gépünk védelme sarkallatos pontját jelenti a privátszféra védelemnek), és most megosztunk olvasóinkkal egy olyan tanulmányt, ami a problémakör kérdéseire általánosságban választ adhat.
Rövid hír: WLAN lehallgatás zsebből
|
|
2010.01.04. 22:45:56
Gulyás Gábor
Egy új iPhone alkalmazás segítségével lehetőség nyílik rá, hogy a készülékből lehallgató állomást készítsünk. Bár a hálózati kártya hardvere nem teszi közvetlenül lehetővé a promiscuous mode bekapcsolását, a Pirni nevű alkalmazás ARP spoofing segítségével saját magán keresztül irányítja a forgalmat, és így lehetővé teszi, hogy lehallgasson a készülék bizonyos csomagokat. A lehallgatott adatokat pedig utána lementhetjük számítógépünkre, és a kedvenc alkalmazásunkkal elemezhetjük.
Tényleg feltörték a GSM-et? Most akkor mi lesz?
|
|
2009.12.30. 12:28:39
Gulyás Gábor
Az utóbbi napokban ahogy külföldi portálokon, úgy a hazai sajtóban is felröppent a hír, hogy a berlini Chaos Communication Congress elnevezésű konferencián egy fiatal kutató, Karsten Nohl bejelentette: feltörték a GSM titkosítását. (A kísérlet indításáról korábban írtunk is.) A kutató célja az volt, hogy a GSM már régóta instabil lábakon álló biztonságára rámutasson, hogy már nem csak elméleti úton, hanem gyakorilatilag is igazolt a rendszer biztonságosságának a hiánya.
Közösségi kulcsmenedzsment - a publikus kulcsú infrastruktúra új olaja
|
|
2009.12.22. 09:55:37
Besenyei Tamás
A legnagyobb ötletek általában villanásszerűen jönnek, könnyen kivitelezhetőek, kevés erőforrást igényelnek és persze sok haszonnal kecsegtetnek. Ez persze mindig az adott idő, környezet, valamint a társadalmi fogadtatás függvénye. Egy ilyen ötletről szeretnék most írni.
Új tanulmány a PET Portálon
|
|
2009.12.20. 22:22:36
[anonymous]
Székely Iván: A privátszférát erősítő technológiák
A soron következő tanulmány munkaanyag, amelynek végleges változata az NHIT gondozásában jelent meg (Dömölki Bálint et al: Égen-földön informatika – az információs társadalom technológiai távlatai. Typotex, Budapest 2008.).
A szerző korábban már megjelentetett egy hasonló című tanulmányt az Információs Társadalom c. folyóiratban, az azonban elsősorban társadalom- és információtudományi szemszögből vizsgálta a kérdéskört. A jelen munkaanyag részletesebben tárgyalja a PET-ek taxonómiáját, a folyamatban lévő kutatások és fejlesztések állását, a várható fejlődés irányát, valamint azokat a tényezőket, amelyek pozitív vagy negatív irányban befolyásolják a fejlődést. A tanulmány röviden kitér a hazai helyzet ismertetésére is.
IT Security Coding Contest 2009: szteganográfiai feladat megoldások
|
|
2009.12.17. 22:51:12
Gulyás Gábor
Már a verseny végén érdeklődtek egyes versenyzők, hogy a megoldási útmutatót publikáljuk-e; természetesen így teszünk, hiszen tegnap meg is ígértük. Egy csomagba elhelyeztük a játék megoldásának leírását, valamint a binárist, a forráskódot, illetve a versenynél felhasznált, illetve készült fájlokat. Ha valakit csak a játék megoldásának leírása érdekelne, a PDF-et külön le tudja tölteni.
(A verseny eredményeinek kiértékelése folyamatban van, mivel nyilván többeket ez is érdekel, ezzel majd később jelentkezünk még.)
Véget ért az IT Security Coding Contest 2009
|
|
2009.12.16. 23:38:08
Földes Ádám Máté
Múlt vasárnap délelőtt 10 órakor véget ért a kancellar.hu és az ELTE által megrendezett 24 órás hackerverseny. A versengő csapatok száma végül 25 lett, ezek nagyjából fele adott be megoldást legalább 1 feladatra. A szteganográfiai témájú akadályt az előzetes információk alapján 7 csapat tudta legalább részben leküzdeni; a megoldások értékelése még folyamatban van.
A hétvégén 24 órás hackerverseny!
|
|
2009.12.10. 18:11:44
Gulyás Gábor
A hétvégén immár harmadik alkalommal kerül megrendezésre az IT Security Coding Contest 2009 elnevezésű 24 órás hackerverseny. A kancellar.hu és az Eötvös Loránd Tudományegyetem rendezésében készülő esemény kiemelt támogatója a PET Portál, aminek szerkesztőcsapata egy feladat készítésével növeli tovább a rendezvény színvonalát. Az eseményre felsőoktatási intézmények hallgatóit várják az ELTE Lágymányosi Campus Déli épületében, december 12-én szombaton reggel 10 órától. A versenyre kétfős csapatok jelentkezhetnek, a fődíj pedig 1.000.000 Ft!
Firefox kiegészítők: vírusok, trójaik és spyware
|
|
2009.12.08. 20:19:41
Gulyás Gábor
Tudjuk, hogy egyesek szerint egyre inkább az várható, hogy mindent a weben keresztül fogunk intézni, és az elsődleges alkalmazássá a gépünkön a web böngésző válik majd. Ha ez így, ilyen formában nem is teljesül, azért a böngésző alkalmazások fontosságát nem vithathatjuk; kétségkívül fontos szerepet töltenek be mind a munkánkban és magánéletünben is, vagy ha nálunk nem is, de sokaknál igen. Vegyük figyelembe, hogy manapság a Firefox 3 az egyik legnépszerűb böngésző, így várható, hogy majd lesznek olyan vírusírók, akik erre a platformra kívánnak majd specializálódni.
Webpoloska e-mailben?
|
|
2009.11.30. 11:08:16
Gulyás Gábor
A webpoloskák (avagy web bug-ok) rendeltetése, hogy detektorként működve érzékeljék, ha egy felhasználó megtekint egy weboldalt. Ez a technológia utat nyit a profilírozás lehetőségének, azaz hogy a szolgáltatók több weboldalon keresztül követhessék a felhasználók tevékenységét, és személyre szabott profilt készítsenek róla az alapján, hogy mikor és milyen szolgáltatásokat vesz igénybe.
Ez az én közösségi profilom, semmi közöd hozzá!
|
|
2009.11.25. 10:27:26
Gulyás Gábor
Közösségi oldalakon is érdemes lehet néhány információt titkosítani munkról, ha már másképp nem tudjuk szabályozni, hogy ki milyen adatunkhoz férjen hozzá, vagy ha esetleg nem bízunk a szolgáltatóban. Erre a problémára is kínál megoldást a PET Portál korábban bemutatot projektje a BlogCrypt Firefox kiegészítő, de más megoldásokkal is találkozhatunk, mint például a NOYB: None Of Your Business. Ezen Firefox kiegészítő készítői nem csupán egy alkalmazást tettek közzé, hanem egy publikációt is mellékeltek alkalmazásukról.
Ajánló: új tanulmány a PET Portálon
|
|
2009.11.20. 23:51:34
Gulyás Gábor
Ezúttal egy „klasszikus” írást közlünk a PET Portálon elérhetővé tett tanulmányok és publikációk sorában: Phil Agre híres cikkét, amelyben az automatikus arcfelismerő rendszerek használata elleni érveit foglalja össze. Az eredeti írás 2001-ben készült, jelenlegi változata 2003-ból származik, ennélfogva nem foglalkozik az azóta bekövetkezett fejleményekkel, és közel tízoldalas hivatkozás-listája is az akkori évekből való. Ennek ellenére szemlélete és érvei ma is aktuálisak, és jelentős hatást gyakoroltak a szakirodalomban, még ha ez az automatikus arcfelismerő rendszerek telepítésének ütemén nem is látszik.
Phil Agre amerikai informatikus, a Kaliforniai Egyetem Los Angeles-i kampuszának professzora volt, aki kiterjedten publikált az informatikai rendszerek alkalmazásának társadalmi hatásairól is. Korábban a sokak által olvasott „Red Rock Eater News Service” hírlevél alapítója és szerkesztője volt.
Adattörlés, mint foglalkozás
|
|
2009.11.19. 19:37:55
Tóth Tamás
Az online világban rengeteg információ keringhet rólunk, nagyrészét magunk készítjük, a többit pedig barátaink, rosszabb esetben ellenségeink. De azt már kevesen fogjuk fel, hogy az információkat nem csak barátaink láthatják például egy közösségi oldalon, hanem bármely más tag; fórumok, blogok esetében pedig tényleg bárki a világon.
OpenGoo: ingyenes alternatíva a Google Docs-ra
|
|
2009.11.13. 21:17:36
Gulyás Gábor
A Google Docs szolgáltatásainak nagy előnye a dokumentumok könnyű elérhetősége, hogy könnyen együtt tudunk dolgozni kollégáinkkal, illetve az egyszerű és kényelmes kezelőfelület. Persze a szolgáltatás árnyoldala, hogy nem tudhatjuk, mi történik a fájljainkkal. Ez okból kínál színvonalas alternatívát az ingyenes, nyílt forráskódú OpenGoo, melynek felülete könnyen áttekinthető és kezelhető felülete van, és elemeiben kísértetiesen hasonlít a ProjetPier-re.
Google Dashboard: megtudhatjuk, mit tárol rólunk a Nagy Testvér
|
|
2009.11.10. 17:10:07
Gulyás Gábor
A Google Dashboard bejelentkezés után elérhető bárki adatlapján, és annak áttekintésére szolgál, hogy milyen információkat tárol rólunk a Google. Bár egyes vélemények szerint ezt a funkciót senki sem fogja használni, azért némi előnye rögtön akad: legalább tudjuk, hogy a régebben látogatott Google szolgáltatásokat mikor használtuk utoljára, milyen tevékenységeket végeztünk ott. Leginkább talán azért hasznos, mert elgondolkodunk azon, hogy mi mindent is tudnak rólunk.
Public Voice: A privacy globális normái a globális világban
|
|
2009.11.04. 08:59:24
[anonymous]
Tegnap kezdődött Madridban a világ legszélesebb civil társadalmi szövetsége, a Public Voice konferenciája „A privacy globális normái a globális világban” címmel. A konferenciát az adatvédelmi biztosok 31. éves nemzetközi konferenciájához kapcsolódóan rendezik meg. Az esemény magyar nyelvű sajtóközleménye ITT olvasható.
Xrumer Guide: betekintés egy spammer életébe
|
|
2009.10.30. 09:33:42
Gulyás Gábor
Tudjuk, hogy a spammerek abból élnek, hogy gyűjtik a gyanútlan felhasználók adatait, profilokat készítenek, majd mindezeket visszafordítják a felhasználók ellen kéretlen reklámlevelek formájában. Nem rég azonban egy spammer elkövetett egy nagy hibát, amikor Google Wave meghívó generátornak álcázott trójai programokat kezdett terjeszteni.
Olvasói kérdések: anonimitás nyílt és védtelen hálózaton?
|
|
2009.10.27. 21:42:09
Gulyás Gábor
Beérkezett hozzánk egy olvasói levél néhány kérdéssel, ezekre válaszolunk most.
TrueCrypt 6.3
|
|
2009.10.25. 19:38:28
Földes Ádám Máté
Szerdán jelent meg a TrueCrypt rejtjelezőszoftver 6.3-as verziója. A "hajtás után" röviden beszámolunk az utolsó néhány változat fontosabb fejlesztési irányairól.
Valóban a diktatúra a legjobb megoldás?
|
|
2009.10.20. 17:44:37
Gulyás Gábor
Újra és újra előkerül az az ötlet, hogy vezessünk be az interneten jogosítványt, ami megoldja a jelenlegi problémák zömét: megszűnnek majd a zombihálózatok, és a vírusok terjedése is majd jelentősen lelassul. Hasonló ötlettel jött elő Eugene Kaspersky, aki ennél is tovább megy: csak akkor engedélyezzük a csatlakozást, ha a felhasználó egyértelműen azonosítható. Ha picit még tovább megyünk, akkor javasolhatnánk azt is, hogy minden monitorba építsünk egy vonalkód leolvasót (vagy QR kód olvasásra alkalmas webkamerát), és nyomtassunk vonalkódokat az emberek homlokára. Máshol is biztos jól jön majd.
PET-Con 2009.2: Regensburg
|
|
2009.10.12. 12:10:11
Gulyás Gábor
A múlt héten volt a PET Convention idei második workshop-ja Regensburg-ban (október 8-9.), amelyen részt vettünk Földes Ádámmal. A workshop nagyon színvonalas és hasznos volt, ajánljuk olvasóink figyelmébe a hivatalos honlapot, ahol elérhető az előadások témája és pontos sorrendje, valamint a fóliák java része is letölthető.
Emellett számos élménnyel gazdagabban tértünk haza, hiszen Regensburg egy szép város, jellemzően sokszínű és újszerű állapotú házaival, és kellemes sétákat kínáló óvárosi részével. Ez alkalommal már részt vettünk a közösségi eseményen is, amelyet az első nap estéjére szerveztek. Angol nyelvű városnézésen vehettünk részt, beketintve Regensburg sötét múltjába, ahol bejárva az egyes helyszíneket rövid történetekhez kapcsolódóan megtudhattuk, hogyan fejlődött a helyi igazságszolgáltatás az évszázadok során. (Egyes helyszíneken korhű jelmezbe öltözött színészek leptek meg minket rövid, a történetekhez kapcsolódó előadásokkal, és ez igazán ötletesre sikeredett.)
Sztegó 1.5 eredményhirdetés és végigjátszás
|
|
2009.10.06. 18:05:14
Gulyás Gábor
Gratulálunk a Sztegó 1.5 nyerteseinek, akiknek nevét az alábbiakban tesszük közzé. A dobogóra végül csak egy fő jutott volna hivatalosan, de egy részeredményt és egy különdíjas megoldást is dobogós helyezéssel jutalmaztunk.
- Bujtás Balázsnak, aki végigvitte a játékot (2009. szeptember 27.-én)
- Eberhardt Gergelynek, aki a játék vége előtt megakadt, de majdnem végigvitte
- Toxx-nak, akik rájött egy trükkre és az utolsó pályára ugrott :-)
Gratulálunk, és köszönjük a pozitív visszajelzéseket! A nyertesekkel a megadott levélcímen felvesszük a kapcsolatot, hogy átadjuk a nyereményeket. A végigjátszásért klikk a továbbra!
A Sztegó 1.5 játék lezárult!
|
|
2009.10.05. 10:38:58
Gulyás Gábor
Tegnap éjfélkor zárult le a szteganográfiai játék következő fordulója: a Sztegó 1.5. A játékra a múlt hét második felében nem érkezett újabb beküldés, és így továbbra is csak két főnek sikerült végigvinnie a játékot. Mivel a dobogós helyezések megszerzéséért komoly jutalmakat ajánlottak fel szponzoraink, kérjük azokat, akik már a játék folyamán olvasták Henry Sylvester Cornwell versét, küldjék be megoldásaikat, illetve hogy meddig jutottak el, a gulyas@pet-portal.eu címre kedd délig (formálisabban: 2009.10.06. 12:00), utána pedig a szervezők döntenek a nyeremények további sorsáról és odaítéléséről.
Főállású PhD státusz Norvégiában
|
|
2009.10.03. 18:27:28
Székely Iván
A Norwegian Computing Center és az oslói Gjøvik University College pályázatot hirdet PhD hallgatói státuszra Privátszférát Erősítő Technológiák témában. A sikeres pályázó a PETweb II projekt (Privacy-respecting Identity Management for e-Norge) keretében dolgozik és információbiztonság szakon szerez doktorátust. A kutatási témát, amely magában foglalja a tervezés, implementálás, tesztelés, prezentálás és publikálás fázisait, a projekt tanácsadóival kell kialakítania.
A felhívás szövege itt érhető el. További információk:
NR – Department of Applied Research in ICT
GUC PhD in Information Security program
Kutatási ügyekben további felvilágosítás: Lothar Fritsch, Lothar.Fritsch@nr.no
A pályázat beadási határideje 2009. október 31., az alábbi címre:
human.resources@nr.no
Sztegó 1.5: egy kis helyzetjelentés!
|
|
2009.09.30. 09:51:08
Gulyás Gábor
Egy rövid leírással jelentkezünk a PET Portál és IT café közös Sztegó 1.5 játékával, amelyet eddig csupán keveseknek sikerült végigjátszani: a dobogón még mindig van két hely. Elemi matematikai műveletek alkalmazása után gyanú ébredhet az olvasóban, hogy a dobogó három helyéből ha kettő szabad, miért használunk többesszámot? Ugyanis két főnek sikerült végigvinnie a játékot eddig, de egyiküknek némileg trükkösebb módon: ezen játékosnak a nulladik szintről egyből az ötödik szintre sikerült ugrania. (Ezt a lehetőséget természetesen már felszámoltuk. :-) ) Részére dobogós helyet ha nem is, de valamilyen különdíjat szeretnénk biztosítani.
GayDar: egy szoftver, ami megmondja, hogy meleg vagy e
|
|
2009.09.26. 10:09:55
Paulik Tamás
A MIT kutatói olyan szoftvert készítettek, amely egy felhasználóról, pusztán ismerőseinek listája alapján jó eséllyel megmondja, hogy meleg e vagy sem, függetlenül attól, hogy ő adatlapján megadta e ezt az információt.
Sztegó 1.5: a szteganográfiai játék folytatódik!
|
|
2009.09.25. 11:50:28
Gulyás Gábor
A sikeres, értékes díjakkal kecsegtető játék még nem zárult le, jövő vasárnap éjfélig lehet végigjátszani.
A szteganográfia az adatrejtés művészete. A cél ez esetben az, hogy a kommunikáció tényét rejtjük el, nem pedig annak tartalmát, vagy a küldő, címzett személyét. Ebből következik, hogy a szteganográfia egyik lehetséges alkalmazása a privát adatok védelme. Ezt az elgondolást szeretnék népszerűsíteni a játék támogatói és készítői.
A PET Portál és IT café közös szervezésű Sztegó 1.5 játéka a Hacktivity 2009 konferencián indult, ahol a játék igen sokak érdeklődését felkeltette: több mint 250-en nézték meg a játék első szintjét. A nagy érdeklődés ellenére -- hiszen a konferencia látogatói több színvonalas játék közül választhattak, s természetesen az előadásokat is figyelték -- a játékot a két nap alatt senkinek sem sikerült végigvinnie, noha próbálkozók szép számmal akadtak. Ezért úgy döntöttek a szervezők, hogy meghirdetik a játékot nyilvánosan is, és meghosszabbítják a határidőt két héttel: a játékot vasárnap (október 4., éjfél) éjfélig lehet végigjátszani.
A most folyó verseny a január végén indult szteganográfiai játékhoz hasonlóan zajlik: a játékosoknak öt, az interneten elrejtett szinten kell túljutniuk, hogy végigvigyék a játékot. Az egyes szintek végigjátszása adja meg mindig a következő szint címét, amit valamilyen trükkös módon, szteganográfiai módszerekkel rejtettek el a készítők: úgy tették bele a weboldalakba a címeket, hogy azok egyértelműen nem fedezhetőek fel, némi gondolkodásra, kísérletezésre, vagy épp csak egy kis szemfülességre van szüksége a játékosoknak. Az első szint megkeresése egyből egy feladvány, a PET Portál kezdőlapjának kódjába rejtették el annak címét.
A játék átvezetőként szolgál a Sztegó 2.0 játékhoz, és értékes nyereményekkel fog folytatódni egy későbbi időpontban.
Díjak:
- A PET Portál és az IT Café ajándékcsomagja (többek között egy 120 gigabájtos külső winchester, pendrive, könyvajándék és néhány apróság)
- PEN DRIVE 8GB USB2.0 SILICON POWER Touch 850 TITANIUM (az ASC Vezetői és Informatikai Kft. ajándéka)
- Hacking Exposed: Network Security Secrets and Solutions című könyv (a McAfee ajándéka)
Közösségi szolgáltatások: a hirdető partnerek mindent látnak?
|
|
2009.09.25. 10:16:59
Gulyás Gábor
Nem rég foglalkoztunk azzal a kérdéssel, hogy vajon létezik-e még olyan, hogy anonimizált adat, és ennek kapcsán megemlítettünk egy olyan fontos kutatási eredményt, amely szerint könnyen újra azonosíthatóak egy anonimizált közösségi szolgáltatás felhasználói, ha rendelkezünk egy kisméretű kiegészítő hálózattal, ami akár egy másik szolgáltatásból állítottunk össze. Ideális esetben ez csak akkor lenne érdekes probléma, ha valóban anonimizált hálózatokhoz férnének hozzá a hirdetők, de sajnos a valóság nem ez: a legtöbb közismert közösségi oldal bár a nevet és a hasonlóan "veszélyes" információkat ugyan eltávolítja a profilból, de sok esetben benne hagyja a felhasználó egyedi azonosítóját.
Az azonosítás így már persze nem okoz gondot, és bármilyen információt be lehet gyűjteni egy adott személy profiljából. Ezen túl további probléma, hogy azok a profilírozó szolgáltatók, akik eddig a webes tevékenységeket figyelték, az ilyen közösségi információk alapján a pszeudonim azonosítóval ellátott profilból rögtön személyes profilt tudnak varázsolni – egy csomó személyes adattal kiegészítve.
Jelenleg ez ellen sokat nem tehetünk, hacsak nem használunk állandóan PET technológiák a böngészés során, és nem regisztrálunk a közösségi oldalakra. Azért bízhatunk abban, hogy a nem túl távoli jövőben a közvélemény nyomására és ezeknek a rejtett tevékenységeknek a publikálásának hatására felhasználóbarátabbá válnak majd ezek a szolgáltatások, és a privátszférát is valamelyest figyelembe fogják venni.
Hacktivity 2009 videók, anyagok
|
|
2009.09.21. 13:32:30
Gulyás Gábor
A hétvégén zajlott a Hacktivity 2009, amit egyes programok esetén az IT café jóvoltából az interneten is követni lehetett. A konferencián a szokásos színvonalas játékok mellett a PET Portál és IT café elindította a Szteganográfiai játék következő fordulóját, a Sztegó 1.5-t (erről még ma feltétlenül fogunk írni, ugyanis a játék határidejét meghosszabbítottuk). A játék mellett szeretnénk két adatvédelmi vonatkozású programra, egy kerekasztal beszélgetésre, és egy előadásra is felhívni a figyelmet, amelyek immáron videó formában is megtekinthetők (a tovább után). A megtekintéshez Microsoft Silverlight-ra van szükség, Linux felhasználóknak pedig a Moonlight kiegészítőt ajánljuk Firefox-hoz.
BlogCrypt nyílt bétateszt!
|
|
2009.09.19. 17:00:00
Paulik Tamás
A mai nappal kezdetét veszi BlogCrypt projektünk nyílt béta fázisa. A blogcrypt.com-mal ellentétben itt nem horror stílusú weblapokat hozhatunk létre, hanem privát szféránk elé helyezhetünk egy újabb bástyát. A BlogCrypt egy olyan Firefox kiegészítés, melynek segítségével titkosíthatjuk a webre általunk felkerült blogbejegyzéseket, fórumhozzászólásokat. Ha érdekel részletesebben a project, akkor ide kattintva a project hivatalos oldalán minden információt megkaphatsz.
Tömegtüntetés Berlinben az adatvisszatartás ellen
|
|
2009.09.13. 20:29:02
Székely Iván
Tegnap, 2009. szeptember 12-én nagy tüntetés volt Berlinben az EU „adatvisszatartási direktívája” ellen, amely előírja többek között az internetszolgáltatóknak és mobilszolgáltatóknak, hogy minden forgalmi adatot (például hogy ki honnan olvassa ezt a bejegyzést, vagy kit hívott mobilon) rögzítsenek és meghatározott ideig őrizzenek meg, és adják át a nyomozó szervek kérésére. Magyarországon úgy tűnhet, hogy a felhasználók többségének erről tudomása sincs, de akinek van, látszólag azt sem érdekli, vagy sikerült elérni, hogy a felhasználóknak ne is legyen figyelme az ilyesmire.
Németországban és más fejlett országokban más a helyzet: a „biztonság kontra szabadság” hamis dilemmájával szemben az emberek a sokatmondó Freedom Not Fear napján demonstrációkat tartanak a mindenkit megfigyelés alatt tartó rendszerek ellen. Ezek a tüntetések komolyak, nemcsak néhány aktivista elszigetelt megmozdulásai.
Bővebb információ többek között az EDRI (European Digital Rights) szervezet honlapján található; a tavalyi megmozdulásokról szóló beszámoló itt olvasható.
A tegnapi tüntetésről az MTI információira hivatkozva az Index is beszámolt. A 2007-es tüntetésről rövid videó látható a YouTube-on.
Címkék: -
PET Convention 2009.2: informális workshop a PET technológiákról Regensburg-ban
|
|
2009.09.12. 09:18:22
Gulyás Gábor
Úgy tűnik, hogy végül csak megtartják! A szervezők túl sok információt még nem tettek közzé az idei második workshop-ról, de azt már tudni, hogy október 8-9-én lesz Regensburgban (csütörtök-péntek), és stílusában jellegében hasonló lesz az előzőhöz. Ha lesznek újabb információk, jelentkezünk még.
Bejegyzésünk az előző workshop-ról itt olvasható.
Titkosítsuk kliens oldalon a webes adatainkat? Igen!
|
|
2009.09.11. 11:03:36
Gulyás Gábor
A FaceCloak Firefox kiegészítő célja, hogy a Facebook-on csak a kiválasztott ismerőseinkkel ossztunk meg információkat. A működése egyszerű: bizonyos mezőket titkosítunk, úgy töltjük fel, majd pedig a kulcsot csak bizonyos ismerőseinkkel osztjuk meg.
Ugyanezt a működési elvet valósítja meg a BlogCrypt Firefox kiegészítő is, azonban ez általánosabb: akár blogokon, fórumokon, vagy más helyeken is titkosíthatjuk ezzel a módszerrel az adatainkat. A BlogCrypt első hivatalos bemutatója a Hacktivity 2009 konferencián lesz, és ugyanitt tesszük elérhetővé az első kipróbálható változatot, ami beépítve tartalmazza és támogatja AES-CBC, AES-CTR titkosítási módokat is.
Olyan, mint anonimizált adat, nem létezik?
|
|
2009.09.08. 20:31:59
Gulyás Gábor
Mostanában egyre többször merül fel a kérdés, és van, amikor már a privátszféra végét jósolgatják. Gondoljunk például arra az esetre, amikor az AOL kiadott anonimizált keresési kifejezéseket, aminek az eredménye az lett, hogy végül is csak ki lehetett deríteni, hogy kik hajtottak végre egyes kereséseket, és az AOL-nál emberek kezdték elveszíteni a munkájukat emiatt. Aztán például a Netflix anonimizált adatbázisán is végre tudtak hajtani hasonló de-anonimizáló támadást, de torrent hálózatok esetén is sikerült már pusztán a kapcsolatok struktúrjából hozzávetőlegesen az identitásra következtetni. Most pedig megjelent egy újabb riogató cikk a témában.
Hacktivity: a szteganográfiai játék folytatódik!
|
|
2009.09.04. 09:22:04
Gulyás Gábor
Idén januárban az adatvédelem napján indította közös szteganográfiai játékát a PET Portál és az IT café, melyet végül több mint ezren néztek meg, s próbáltak végigjátszani: ez a megadott határidőn belül csupán hat főnek – a játék nyerteseinek – sikerült. A játékosok feladata hét szint teljesítése volt, ahol az egyes szinteken egy feladvány segítségével rá kellett jönni a szteganográfiai rejtés módjára, majd az így elrejtett adatot vissza kellett fejteni. Az egyes szintekhez a belépőt a visszafejtett adatok – voltaképpen kulcsok – jelentették.
Örömmel jelentjük be, hogy a szteganográfiai játék folytatódik 2009-ben is! Az új játék első szintjeit a Hacktivity 2009 konferencián tesszük elérhetővé! A Sztegó 2, elődjéhez hasonlóan szintekre van bontva, ám ezúttal nem fájlformátumok gyengeségeit kell feltörni: a játék színtere ezúttal az Internet lesz! A játékosok feladata az egyes szinteken, hogy rájöjjenek, miként rejtettünk el ott információt, majd pedig azt meg kell találniuk. Az így megszerzett információ – egy URL – lesz a következő szint kulcsa. Így kevesebb programozási készségre lesz szükség, viszont a siker annál inkább múlhat a figyelmen és a szerencsén!
Terveink szerint a játék a konferencia után is folytatódni fog, újabb szintekkel. Erről majd később teszünk közzé információkat.
Hacktivity 2009: Kelet-Közép-Európa legnagyobb hackerkonferenciája Budapesten
|
|
2009.09.03. 23:09:55
Gulyás Gábor
2009. szeptember 19-én és 20-án kerül sor a Hacktivity 2009 konferenciára, új, tágasabb helyszínen a Trefort Kertben lévő Gólyavár Rendezvényközpontban. A sorban immár hatodik Hacktivity a legrégebbi hazai független IT biztonsági konferencia, ahol hagyományosan az információbiztonsági szakma legrangosabb hivatalos és „nemnyakkendős” képviselői jönnek össze a téma iránt élénken érdeklődőkkel. Bár az eseményre jellemző az oldott, kötetlen stílus, a tartalom ennek ellenére – vagy pont ezért? – rendkívül nívós, sok új ismeretet nyújtó, mélyen technikai. Bár hazánkban még nem tudunk róla, a külföldi társrendezvényeken már évről -évre résztvevő a titkosszolgálat is.
Facebook: ahol privátszféra-védő beállítások csupán falra hányt borsó
|
|
2009.09.03. 22:43:43
Gulyás Gábor
A Facebook és a hasonló szolgáltatások működése azon alapszik, hogy a felhasználók megosztják egymással (és a szolgáltatóval) a privát adataikat, aztán áthelyezik a közösségi életterüket ebbe a virtuális világba. Majd pedig nem aggódnak affelől, hogy kik, mikor és milyen adataikhoz férnek hozzá. Mostanában persze egyre több hangot kapnak a sajtóban az efféle problémák, de nem véletlen, hogy az EPIC oldalán is külön szekció foglalkozik az ilyen témájú hírekkel.
Nem rég készített az ACLU egy aprócska Quiz-t, amellyel az adatkezelési hiányosságokra szeretnék felhívni a figyelmet: amikor engedélyezzük egy Quiz kitöltése során, hogy hozzáférjen az adatainkhoz, akkor valóban mindenhez hozzáfér. Ha a beállításokat megnézzük, nem lehetséges letiltani, hogy a nevünkhöz, közösségeinkhez, illetve ismerőseink listájához hozzáférjenek. Ráadásul nem csak az ismerőseink listáját képesek letölteni, hanem gyakorlatilag valamennyi ismerősünk teljes profiljához hozzáfér a Quiz készítője! Így hiába állítjuk be a privátszféra beállításokat, az csupán falra hányt borsó: elég ha egy ismerősünk kitölt egy Quiz-t, s máris minden adatunk kiszivárgott...
Rövid hír: on-line hirdetés és privátszféra-védelme
|
|
2009.09.02. 07:57:12
Gulyás Gábor
Fogyasztóvédő szervezetek egy csoportja úgy véli, hogy új védelmi mechanizmusokra van szükség az on-line privátszféra védelmét illetően, és törvényekkel is kellene védeni a felhasználókat a viselkedésük profilírozásával és a célzott hirdetésekkel szemben. A Center for Digital Democracy egyenesen úgy fogalmazott, hogy az önszabályozó próbálkozások elbuktak, ennél többre van szükség. Ezért a fogyasztóvédő szervezetek javasoltak néhány irányelvet, és készítettek egy áttekintő tanulmányt is.
Ha nekik nem is hiszünk, nem kell messzire mennünk további bizonyítékokért, gondoljunk csak a Flash sütikre (cikk a törlésükről), vagy a Know Privacy felmérésre. Talán nem is önszabályozásra van szükség, hanem nagyobb tudatosságra, hiszen a közvélemény alapjaiban meg tudná ingatni a szolgáltatókat – ha tudna arról, hogy kihasználják.
PassWindow: a kihívás-válasz alapú hitelesítésre új koncepció
|
|
2009.09.01. 17:08:47
Gulyás Gábor
Manapság ha hitelesíteni akarunk valakit, jelszót kérünk tőle. Ezt azonban könnyen le is lehet másolni. Hogy ha nem csak hitelesíteni szeretnénk aki a gép előtt ül, hanem arról is meg akarunk győződni, hogy rendelkezik valami nehezen megszerezhető fizikai eszközzel, akkor jönnek a képbe a hardver tokenek (pl. TrueCrypt esetén), vagy akár el is küldhetünk a telefononjára sms-ben egy kódot, amit később majd bekérünk.
Hogyan válasszuk meg és kezeljük jelszavainkat?
|
|
2009.08.30. 23:13:05
[anonymous]
Biztonságot, védelmet igénylő adatainkat általában jelszóval védjük le, elkerülve az illetéktelen hozzáféréseket. Milyen tendenciák szerint alakul a felhasználók jelszóválasztása, milyen jelszavakat érdemes választani? Erre mutatunk rá, és keresünk választ a következő rövid cikkben.
Készülnek a GSM töréshez használható "szivárványtáblák"
|
|
2009.08.25. 18:45:28
Gulyás Gábor
Egyes amerikai kutatók el szeretnének indítani egy projektet, amelynek célja az lenne, hogy felhívja a szolgáltatók figyelmét a GSM kódolási algoritmusának gyengeségére - ahogy azt annó a WEP-pel is tették. Ezt pedig úgy, hogy elosztott számítással készítenek egy előre gyártott kód táblázatot, amivel az A5/1 algoritmus gyorsan törhetővé válik, bárki számára, így is demonstrálva a már többszörösen elbukott algoritmus gyengeségeit (egyébként Európában is ezt használjuk).
Valóban féltenünk kellene a biztonságunkat? Nem igazán, az ugyanis már így is eléggé virtuális; vagyis legfeljebb a szomszédunktól kell majd néhány hónap múlva félnünk. A GSM rendszerhez kódtörő készülékek már régóta találhatóak a piacon (noha nem túl olcsók), ráadásul a GSM kommunikáció csak a bázisállomásig van rejtjelezve, onnan ismét kódolatlanul utazik tovább az információ. Ráadásul az algoritmus elég gyenge kulcsokat használ, mindössze 64 bit hosszúakat. Érdeklődőknek ajánljuk a fenti linket, illetve keresőkkel is lehet találni néhány érdekes tananyagot, amiből az alapok elsajátíthatóak.
Önmegsemmisítő email üzenetek
|
|
2009.08.25. 17:26:17
[anonymous]
Képzeljük el, hogy minden alkalommal, amikor elküldünk egy levelet, a postás készít róla egy másolatot. Vagy amikor fényképeket hivatunk elő, a laborban megtartanak belőle egy példányt. Ez nem az 1950-es évek Oroszországa, hanem így működik ma az internet. Minden elküldött emailt több helyen megőriznek, a küldő számítógépén, a címzettén és az internet-szolgáltatók gépein, akik továbbítják az üzenetet a virtuális térben. Bizonyos adatokat egyenesen kötelező megőriznie a szolgáltatónak.
Árok az út másik oldalán
|
|
2009.08.20. 06:22:36
Gulyás Gábor
Az életre jellemző, hogy bármely témában is szemlélődünk, az út mindkét oldalán találunk embereket az árokban — így van ez a privátszféra-védelem területén is. Vannak, akik minden szkeptikusan néznek, és véleményük szerint Orvell 1984-e valósul meg egyes piaci szereplők által, de vannak, akik viszont fittyet hányva a privátszférájukra felvállalják az egységesített bélyeget is. Véleményünk szerint a helyes út valahol a kettő között van, és nem baj, ha az embernek van lehetősége, hogy rendelkezzen a saját a privátszférája felett. Hogy oldjuk a feszültséget, a "bélyeg tábor" élcelődő videóját szeretnénk most bemutatni. :) (Videó a tovább után!)
Rólunk írták
|
|
2009.08.18. 19:38:38
Gulyás Gábor
Rövid szolgálati közlemény: a bal oldalon megjelent egy új menüpont a menüben, ahol a rólunk szóló, vagy minket is érintő írásokat, riportokat, sajtóanyagokat és weboldalakat gyűjtöttük és gyűjtjük a későbbiekben egy csokorba.
Egy új kor küszöbén: mondjuk búcsút a privátszféra fogalmának?
|
|
2009.08.17. 17:21:55
Gulyás Gábor
Egy nem rég megjelent cikkben, Ari Juels, az RSA Laboratories vezető kutatója úgy nyilatkozott, hogy lassan minden internetezőnek szembe kell néznie a ténnyel: véget ér az anonimitás korszaka. (Már ha eddig még nem ért véget.) Hogy miért? Ma körülbelül 7 milliárd ember él a földön, és ahhoz, hogy mindenkinek egyéni azonosítója legyen, egy kb. 10 számjegyű azonosítóra van szükség. Azonban az ennek megfelelő tömörségű tartalommal bíró információ már néhány jellemzőből kinyerhető, és az internet-korszakban nem nehéz ilyen jellemzőket találni.
Új szekciót indítottunk a Linkek részen
|
|
2009.08.17. 09:37:35
Gulyás Gábor
A mai napon új szekciót indítottunk a Linkek részen. Gyűjtjük az olyan Firefox kiegészítőket, amelyek a privátszféra-védelmét szolgálják: az új szekció rögtön tíz linkkel indult. Nem rég megjelent egy Kapcsolat rész is a bal oldalon - ide várunk linkjavaslatokat, vagy akár javaslatokat új kategóriákra is.
Zavar, hogy hiába törlöd a sütiket, Flash-el úgyis megfigyelnek?
|
|
2009.08.15. 10:58:37
Gulyás Gábor
Nem rég körbejárta a webet a hír: hiába törlik a felhasználók a sütiket, a Flash sütik segítségével úgyis követhetőek maradnak (nekünk ez nem volt újdonság, már több, mint egy évvel ezelőtt írtunk róla). Azoknak, akiket zavar ez a lehetőség, s tenni szeretnének ellene, az alábbi lehetőségeket tudjuk ajánlani.
Újgenerációs anonim böngészők: sütik, piték, javascript - a webes megfigyelés újabb mélységei
|
|
2009.08.14. 10:22:56
Gulyás Gábor
A következő PET Portálon is megjelenő tanulmány témája az internet böngészésének kihívásaival foglalkozik, amely cikk 2007-ben jelent meg a Híradástechnika folyóiratban. Az utóbbi időben is kurrens kérdés, hogy a webes tartalomszolgáltatók hogyan figyelik meg és követik nyomon a látogatóik tevékenységét. A napokban a Wired-en, majd az Index-en is jelentek meg cikkek ebben a témában, amelyek a Flash sütikkel foglalkoznak. Ezen belül is pontosabban az ún. pitékkel, amelyek a felhasználói tevékenység követésére alkalmas azonosítókat tartalmazó Flash sütik. Persze nem mindig, de előfordulhat az is, hogy ezekben tárolják el a követésre használt böngésző sütik biztonsági másolatát, ahelyett, hogy közvetlenül követésre használnák őket.
A kifejezés az angol PIE rövidítésből származik, ami találóan hasonlít a süti kifejezéshez (angolul cookie), és a amelynek feloldása pedig magyarul "állandó azonosító elem" lehetne, megfelelően az angol "Persistent Identification Element" kifejezésnek. Erről már másfél évvel ezelőtt írtunk a PET Portálon a Sütik, piték és a webes megfigyelés című bejegyzésünkben, és most szeretnénk olvasóink figyelmébe ajánlani a PET Portálon megjelent tanulmányt, amely ezt a témakört is érinti, de megemlít más követésre alkalmas módszereket is. A tanulmány emellett a megfigyelés ellen védelmet nyújtó technológiákkal, az anonim böngészőkket foglalkozik legfőképp, és rendszerbe is szervezi ezeket a technológiákat.
Gulyás Gábor, Schulcz Róbert: Újgenerációs anonim böngészôk
A web már régóta felvet adatvédelmi kérdéseket a látogatók számára is: bizonyos szolgáltatók megfigyelik a felhasználók tevékenységeit, követik ôket, adatbázist építenek ízlésvilágukról. Az anonim böngészôk megoldást kínálnak a felhasználóknak, elrejtik ôket a figyelô szemek elôl. A cikkben bemutatunk néhány követésre használt módszert, illetve egy új, az anonimizáló szolgáltatásokra vonatkozó konstrukciós paradigmát, majd egy ez alapján értelmezett osztályozási rendszert is az anonim böngészôk besorolásához.
A tanulmány letölthető a Tanulmányok szekció cikkei közül.
Koevolúciós modell figyelhető meg a nagy testvér és az alvilág közötti kapcsolatban?
|
|
2009.08.10. 12:10:17
Gulyás Gábor
Egy érdekes cikk jelent meg a napokban Bruce Schneier blogján, ami a "nagy testvér" törekvései és az "e-bűnözés" által definiált koevolúciós modellről ír: hogyan igyekeznek az egyes kormányok és hatalmon lévő szervek kiépíteni a megfigyeléshez szükséges technikai feltételeket, ám felhívja rá a figyelmet, hogy ezt szinte törvényszerűen kihasználja az alvilág is.
Példaként a kínai kormány által készített Green Dam elnevezésű szoftvert említi meg, amelyet szeretnének minden eladott gépre feltelepíteni Kínában. Ez a szoftver alapvető célja az lenne, hogy megakadályozza, hogy az állampolgárok (politikai, illetve) erkölcsi okokból tiltott tartalmakhoz férjenek hozzá, de emellett nyilván lehetővé teszi a teljes megfigyelést. így az is lehetővé válik, hogy hogy ezeket a számítógépeket egy botnet hálózatba kapcsolják, ha elektronikus hadviselésről van szó.
A cikk egyébként azt is megemlíti, hogy Európai országok is terveznek hasonlót, hogy a rendőrség megfigyelhesse a gyanús tevékenységet űző egyéneket. Akit a téma ennél mélyebben érdekel, ajánljuk számára Schneier cikkjét. (Tavaly egy hasonló víziót vetettünk fel, amelyben a Google és a PRIME (immár PrimeLife) egyesülését tárgyaltuk elméletben.)
A kérdés mindig az, hogy valóban szükség van-e erre, és a közvéleménnyel meddig lehet a demokratikus berendezkedésű társadalmakban szembe menni? Ezért fontos, hogy a célközönség (a polgárság) fontosnak érezze és támogassa egy ilyen rendszer bevezetését. Ennek megfelelne és talán könnyen bevezethető lenne egy olyan PET vagy biztonsági technológia, ami a polgárság érdekeit szolgálja, de a bűnüldözés számára is szabad utat ad.
PET kutatói állás a Leuven-i Katolikus Egyetemen
|
|
2009.07.27. 11:38:27
Székely Iván
A felhívás:
Tenure Track Position Privacy Technologies
Katholieke Universiteit Leuven, Belgium
COSIC (Computer Security and Industrial Cryptography)
http://www.esat.kuleuven.be/cosic/
The research of the candidate will concentrate on privacy technologies
with an integrated view on technical, legal and user aspects. The
research program should address identity management, unlinkability at
application and network layers and also consider challenges related to
personalization and location based services. The research should cover a
broad range of application areas such as biomedical (e-health and e-
wellness), telematics (road pricing) and RFID technologies. Research
will be conducted within the framework of the research centre LICT
(Leuven ICT http://www.esat.kuleuven.be/LICT/); it is expected that
the candidate develops interdisciplinary collaborations inside and outside
the LICT. Candidates are expected to hold a PhD degree and will be
appointed at the assistant professor level.
Applications are accepted until 30 September 2009
Contact: bart.preneel@esat.kuleuven.be
More details:
http://www.kuleuven.be/personeel/jobsite/vacatures/engineering.html
PhD álláslehetőség a Drezdai Műszaki Egyetemen
|
|
2009.07.27. 11:07:53
Székely Iván
Idézem az angol nyelvű felhívást:
Dear all,
at Dresden University of Technology we currently have a job offer ideal
for a PhD student in our European project PrimeLife
http://www.prime-life.eu/
The description is currently available only in German:
http://www.verw.tu-dresden.de/StellAus/stelle.asp?strukturId=fakinf⟨=de&style=verw&zuf=19133
További információ (angolul is):
Sandra Steinbrecher
steinbrecher@acm.org
A PrimeLife projekt egyébként a PRIME folytatásának tekinthető.
Online közösségi hálózatok és az EU
|
|
2009.07.16. 12:06:07
Gulyás Gábor
Nem régiben írtunk a Facebook adatvédelmi nyilatkozatáról, de egyébként is felvetnek az ilyen szolgáltatások érdekes kérdéseket: egyes esetekben nehézkesen tudják kezelni a felhasználók a hozzájuk közhető információkat; törlés után a képek vagy levelek nem tűnnek el azonnal; a különbözőnek feltüntetett de egy felhasználóhoz tartozó identitások összeköthetőek lesznek (akár különböző oldalakon keresztül); nem mindig szabályozható ismerettségi körön belül az egyes információk hozzáférhetősége; vagy akár ugyanez ismeretlenek felé. A listát sorolhatnánk tovább is, de ez azért már ad némi ízelítőt.
Zavar, ha bámulják a képernyődet?
|
|
2009.07.14. 18:46:39
Gulyás Gábor
Két évvel ezelőtt egy Bill Anderson nevű IT biztonsági szakember néhány kollégájával kifejlesztett egy Chameleon nevű szoftvert, amelyben egy speciális kamera segítségével garantálta, hogy csak a felhasználó olvassa a képernyőjének tartalmát. Némi kalibrálás után a rendszer képes volt felismerni a legitim felhasználót, majd pedig zavarossá tette a képernyőt, ha esetleg rajta kívül más is ránézett. Nem rég készítettek egy PrivateEye elnevezésű szoftvert, amely lényegében ugyanezt valósítja meg egy szimpla webkamera segítségével: ahogy elfordul a kijelzőtől a gép tulajdonosa, a képernyőn lévő tartalom értelmezhetetlenné válik.
Videó és további infók a tovább után!
Ghostery: egy Firefox plugin, ami megmondja, ki figyel téged
|
|
2009.07.12. 08:32:46
Gulyás Gábor
A Ghostery egy nagyon egyszerű kis Firefox plugin, ami figyelmeztet, ha egy weboldalon web bugok, hirdető hálózatok "detektorai" jelen vannak. Az adott hálózatról - ha a plugin ismeri - bővebb információt kérhetünk, illetve megtekinthetjük a hozzá tartozó forráskódot is.
Rövid hír: amerikában az IP cím nem számít személyes adatnak!
|
|
2009.07.11. 21:21:34
Gulyás Gábor
Egy nem régen született bírósági döntés szerint amerikában az IP cím nem számít személyes adatnak, mivel nem a felhasználót azonosítja személyesen, hanem az általa használt számítógépet (eszközt). A per egyébként egy Microsoft-ot érintő ügy kapcsán robbant ki, amely szerint a Microsoft elkezdett IP címeket is gyűjteni, noha a végfelhasználói szerződés szerint (EULA) személyes adatok gyűjtésére nem volt jogosult (pontosabban a személyt azonosító adatok gyűjtésére nem).
Keressük a legjobb ingyenesen elérhető IP geolokalizációs technológiát!
|
|
2009.07.06. 20:48:33
Gulyás Gábor
Tavaly írtunk már az IP cím és a geolokalizáció kérdéséről, a linktárunkban pedig vannak olyan szolgálatások, ahol ezt élőben ki is lehet próbálni. A címben említett kérdés egy iPod Touch kapcsán merült fel. Ebbe az eszközbe (hivatalosan) csak WiFi van, semmi más, amelyen keresztül különböző webes alkalmazásokat használhatunk, többek között például egy beépített Google Maps alkalmazást is. Ebben van egy "find me" elnevezésű funkció, amely az eddig általunk ismert IP alapú geolokalizációs technológiákat jócskán felülmúlja.
BROAD projekt - Broadening the Range Of Awareness in Data protection
|
|
2009.07.02. 11:20:14
[anonymous]
Az Európai Unió támogatásával az év elején ígéretes nemzetközi projekt indult BROAD (Broadening the Range Of Awareness in Data protection) néven, ami szó szerint az adatvédelmi tudatosság skálájának bővítését jelenti. A 18 hónap futamidejű projekt célja tágabb, mint a PET-ek használatának propagálása, de ez a terület is beletartozik, elsősorban nem hagyományos módszerek alkalmazásával. A PET Portál és Blog számára a projekt több kapcsolódási pontot is jelent.
Facebook - a nagy testvér figyel téged
|
|
2009.06.28. 17:56:22
Gulyás Gábor
Egy érdekesség a Facebook adatvédelmi nyilatkozatából:
Facebook may also collect information about you from other sources, such as newspapers, blogs, instant messaging services, and other users of the Facebook service through the operation of the service (e.g., photo tags) in order to provide you with more useful information and a more personalized experience.
Ugyanez megjelent már az immáron magyar nyelvű adatvédelmi nyilatkozatban is (2 hete még nem volt ilyen):
A Facebook más forrásokból is gyűjthet rólad adatokat, például újságokból, blogokból, azonnali üzenetküldő szolgáltatásokból, továbbá a Facebook szolgáltatás használata közben más Facebook-felhasználóktól (pl. fénykép-megjelölések) azért, hogy még hasznosabb információkat és még jobban személyre szabott élményt biztosíthassunk neked.
Sajnos ennek az adatgyűjtésnek a célját nem említik. Hiszen nyilván nem azért gyűjtenek rólunk információkat blogokból, újságokból, hogy a szolgáltatást minél inkább személyre szabhassák: ma is egyszerűbb megkérdezni (beállítások), mint ezt csinálni. Az más kérdés, hogy a 'blogok' és 'újságok' alatt azt is értik-e, hogy web-poloskák segítségével az ottani tevékenységünk is megfigyelik.
Egy másik érdekes kérdés, hogy bizonyára nem kerültek véletlenül a listába az azonnali üzenetküldő szolgáltatások: vajon ennek mi lehet a szerepe itt?
Know Privacy: te tudod mire számíthatsz?
|
|
2009.06.18. 15:30:01
Gulyás Gábor
Egy érdekes projektre szeretnénk felhívni a figyelmet. A Know Privacy projekt célja, hogy összehasonlítsa az on-line privacy-val kapcsolatos felhasználói elvárásokat és a valós helyzetet (amely szolgáltatók vizsgálata alapján határoztak meg).
PET Portál helyzetjelentés: tanulmányok és egyebek
|
|
2009.06.17. 08:48:36
Gulyás Gábor
Szolgálati közlemény! :)
A beharangozottal ellentétben még mindig nem jelent meg Földes Ádám TDK dolgozata a PET Portálon. Ennek oka, hogy úgy döntöttünk, hogy inkább Ádám diplomadolgozatát hozzuk nyilvánosságra, amellyel azonban meg akartuk várni, hogy a végső simítások is a helyükre kerüljenek. Ez lassan megtörténik, és 1-2 héten belül teljes terjedelmében olvasható lesz a diplomadolgozat.
Eközben a Portál más bővítésein is dolgozunk. Tervezzük ugyanis, hogy a nyár folyamán indítunk egy projektek szekciót, ahol PET témájú alkalmazások kaphatnak egy mini-honlapot, ahonnan majd ezeket le is lehet tölteni. Hamarosan ezzel is jelentkezünk, terveink szerint július során.
Tartalomrejtés laikusok előtt
|
|
2009.06.11. 09:56:11
Gulyás Gábor
Az információ védelmének különböző szintjei vannak: védhetjük a tartalmat (kriptográfia), a meta-adatokat (PET) vagy az információ jelenlétét (szteganográfia). Sokszor bonyolult eszközök jutnak az ember eszébe, ha biztonságban szeretne valakihez eljuttatni egy tartalmat. Azonban ha csak a robotok, laikusok és a kevésbé elszánt kollégák elől szeretnénk elrejteni valamilyen információt, elég, ha csak valamilyen egyszerű módon ellehetetlenítjük a tárgyban forgó anyag automatikus megnyitását. Például a dokumentumot szándékosan tönkretesszük és egy másodlagos csatornán (például telefonon) juttatjuk el a helyreállításhoz szükséges információkat. Persze ez a technika másra is használható, ahogy az lenni szokott a PET-ekkel.
A Nagy Testvér már egy japán egyetemen is figyel?
|
|
2009.05.29. 20:10:17
Földes Ádám Máté
„Automata katalógust” vezettek be az Aoyama Universityn: a diákoknak iPhone-okat osztanak, melyek beépített GPS-vevője segítségével ellenőrzik a diákok jelenlétét az órákon. A telefonokon egy speciális szoftver lesz előtelepítve, melybe a diák beír egy kódot, a program pedig ellenőrzi, hogy a hallgató (vagyis inkább annak telefonja) a GPS által mért koordináták alapján abban a teremben tartózkodik-e, ahol az órarend szerint éppen előadása vagy gyakorlata van. Ha a telefon a megfelelő helyen tartózkodik a kód beírásának idején, akkor a hallgató felkerül a jelenléti ívre.
Ismét csak a minták: a lak- és a munkahelyed te vagy!
|
|
2009.05.28. 15:07:57
Gulyás Gábor
Egy korábbi bejegyzésben arra az érdekességre hívtuk fel a figyelmet, hogy a Bittorrent protokollban a felhasználók között kialakuló kapcsolatok mintái egyedien azonosíthatják a felhasználót. Egy újabb bejegyzés most arról ír, hogy a felhasználók helyzetét megfigyelve a lak- és munkahelyének ismerete egyedi módon azonosítja. Az erről szóló cikk, amit a forrás is említ, itt letölthető.
Roger Dingledine Budapesten
|
|
2009.05.28. 12:53:34
Székely Iván
Roger Dingledine, a TOR anonimizáló protokoll és a rá épülő alkalmazások apostola májusban érdekes előadást tartott a budapesti Open Society Institute-ban (OSI). A meghívott hallgatóság körében egyaránt voltak amatőr internethasználók és informatikusok – az előadás ennek ellenére minden résztvevő számára érthető és érdekes volt. Megtudtuk többek között, hogy jelenleg körülbelül 1500 TOR relay működik világszerte, mintegy 200.000 felhasználóval, akik 1Gbit/sec forgalmat generálnak a TOR hálózaton keresztül. A rendszer használatát érintő egyik problémát azok a torrentezők jelentik, akik a TOR-on keresztül töltenek le nagy adatmennyiségeket, és ezzel etikátlan módon leterhelik a hálózatot; a probléma megoldásán jelenleg is dolgoznak.
Van esély arra, hogy Roger elfogadja az őszi budapesti Hacktivity konferencia meghívását és előadást tartson – ez valódi csemege lenne a hallgatóságnak. Ebben az esetben meglátogatná a BME hallgatóit is és állítása szerint további konzultációkra is kapható.
Címkék: -
Google Trends: privacy
|
|
2009.05.27. 22:01:10
Gulyás Gábor
Egy kis érdekesség: Google Trends (privacy). A Google ezen szolgáltatásának segítségével betekintést nyerhetünk az egyes keresőkifejezések statisztikáiba. Megtekinthetjük a keresett témához kapcsolódó híreket, az archívumban akár egészen hosszú időre visszamenőleg is.
PET technológiák adóbevallás idejére?
|
|
2009.05.10. 18:22:48
Gulyás Gábor
A 'PET technológia' kifejezés hallatán az emberek - már ha gondolnak bármire is - általában összetett kriptográfiai műveletek alkalmazásán alapuló internetes programokra, szolgáltatásokra gondolnak, noha nem ennyiben merül ki a technológiák köre. Ide sorolható például az az alufólia borító, amelyet az RFID-vel ellátott útlevélre húzhatunk. Ennek a célja, hogy megakadályozzuk, hogy az útlevelünket az akaratunk ellenére kiolvassák (akár a zsebünkből), és így azonosítsanak, vagy akár kövessenek minket.
Adatvédelmi audit
|
|
2009.04.30. 15:48:18
Gecko
Az adatvédelmi audit, mint tevékenység széles körben elterjedt, nem csak az Európai Unióban, de azon kívül is. Hangsúlyosabb szerepe ugyanakkor kétségkívül az Unióban van. Ennek jogi háttere az Európai Parlament és a Tanács 1995. október 24-i 95/46/EK irányelve a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról.
Földes Ádám: Szteganográfiai meghajtó tervezése és analízise
|
|
2009.04.28. 20:43:30
Gulyás Gábor
Absztrakt
A szteganográfia az információrejtési algoritmusokat kutató tudományág. Az ide tartozó algoritmusok fő célja a leggyakrabban az, hogy úgy helyezzünk el minél több adatot egy hordozó közegben (például egy képben), hogy a műveletnek a lehető legkevesebb nyoma legyen. Sokféle hordozóra alkalmazható szteganográfia, a képektől a futtatható binárisokon át a hálózati forgalomig meglehetősen széles a paletta. A dolgozatban hordozófajtánként áttekintem a felhasználható adatrejtési koncepciókat, és bemutatom egy ezekre alapuló, szteganografikus fájlrendszerszerű működést megvalósító szoftver tervét. A program koncepciójának érdekességei közé tartozik, hogy a felhasználó kezébe adja az irányítást a biztonság-kapacitás kompromisszum beállítását illetően, valamint, hogy szinte bármilyen, fájlokon működő információrejtési algoritmus implementálható a szoftver keretein belül. Mindezeken felül ismertetem a biztonság-kapacitás beállítás raszteres képekre használt modelljét is.
A következő hónap elején közzé tesszük a PET Portálon a következő tanulmányt, melynek címe "Szteganográfiai meghajtó tervezése és analízise". A tanulmány a BME 2008-as TDK konferenciáján indult, és 3. helyezést ért el a Protokollok szekcióban.
Google Calendar - túlzott automatizmus?
|
|
2009.04.20. 07:57:50
Gulyás Gábor
A Google Calendart sok célra használhatjuk (vagy sok ok miatt épp nem), és egy érdekes "funkciójára" szeretnénk felhívni a figyelmet, ami tetszés szerint tekinthető hasznos feature-nek, vagy épp bug-nak is. Ez történetesen a következő: a felvett bejegyzésből a Calendar kikeresi az e-mail címeket, majd úgy tesz, mintha automatikusan meghívókat küldött volna valamennyire, azaz megjelennek a meghívottak listáján a címek. Valójában nem küld levelet, csak bekerülnek a vendégek közé a címek. A következő módosításnál azonban rákérdez az újabb értesítésre, amikor viszont ténylegesen küld is levelet.
PET Convention 2009.1 - beszámoló
|
|
2009.04.16. 11:56:20
Gulyás Gábor
Egy korábbi bejegyzésben beharangoztuk a Portálon a fiatal kutatóknak, phd-s és végzés előtt álló hallgatóknak szóló, Privátszférát Erősítő Technológiákkal foglalkozó drezdai workshopot, amelyre Földes Ádám Mátéval sikerült támogatást szereznünk, és így kijutnunk a rendezvényre (ami március 24-25-én volt).
BitTorrent - közösségi csoportosulások a letöltők kapcsolati hálójában
|
|
2009.04.14. 19:06:47
Gulyás Gábor
Egy érdekes hírt olvashatunk Bruce Schneier blogján P2P Privacy címmel. A bejegyzésben említett kutatók a BitTorrent protokollját vizsgálva felfigyeltek rá, hogy a letöltők kapcsolati hálójában (az alapján, hogy mely felhasználók kapcsolódnak) jellemző minták jönnek létre, amelyben a felhasználók között közösségi gócpontokat jönnek létre, annak ellenére, hogy a protokoll véletlenszerűen választ kapcsolatokat. Ezek a minták is hasonlóan veszélyesek lehetnek, mint a kommunikáció során felfedett egyéb adatok, hiszen azonosíthatják a felhasználót, ráadásul viszonylag kevés felhasználó megfigyelésével már kialakíthatóak a felhasználói csoportok.
A Microsoft és az Adobe Privacy Policy-je
|
|
2009.04.03. 11:51:09
Mainframe
Egy, a köztudatban élő, mégis figyelmen kívül hagyott eleme a szoftvereknek az őket gyártó cégek privacy policy-je (magyar nevén adatvédelmi nyilatkozat), melyben egyre inkább uniform, és - jegyezzük meg - nyugtalanító pontokkal találkozhatunk. Jelen áttekintés apropója a Microsoft Silverlight és az Adobe Flash összehasonlítása volt (bár a két termékre nem vonatkozik külön, speciális policy), melynek során igyekszem ugyanúgy rámutatni a széles körben alkalmazott adatrögzítéseken túl a kisebb, tovább merészkedő cég-specifikus törekvésekre is.
OnionCat: rejtett IP címek
|
|
2009.03.28. 16:55:57
Gulyás Gábor
Egy korábbi bejegyzésben már írtunk a PET-ek újabb generációjáról, amelyek már hardver formában jelentkeztek. Ez az egyszerű hálózati eszköz csupán az internet és a helyi (otthoni) hálózat közé ékelődve észrevétlenül − legalábbis a beállítási kérdéseket tekintve − képes biztosítani a hálózati forgalom anonimitását. A koncepció hátránya, hogy viszonylag bonyolult az eszköz legyártása, és olcsónak sem mondható.
Hasonlóan ehhez, az alapokhoz nyúl az OnionCat megoldása, habár itt nem a saját forgalmunk rejthetjük el, hanem egy álcázott IP címmel kínálhatjuk szolgáltatásainkat, miközben a valódi IP címünk rejtett maradhat köszönhetően a TOR anonimizáló hálózatnak. A szolgáltatás a TOR rejtett szolgáltatásait használja fel hamis IP címek elérhetővé tételéhez. (A jelenleg elérhető legfrisebb változat együttműködik IPv4 és IPv6 protokollokkal is, de ez utóbbi nélkül nem működik.) A működésről részletes leírás a Wiki oldalán olvasható.
Cikk ajánló: Anonymizer hálózatok elleni támadások
|
|
2009.03.19. 11:30:09
Gulyás Gábor
Ajánljuk olvasóink figyelmébe Szentpál Zoltán és Zömbik László lektorált cikkjét, amely az anonimizáló hálózatok elleni támadásokat tárgyalja. A cikk a Híradástechnika folyóirat 2006/5-ös számában jelent meg, és teljes terjedelmében megtekinthető a Híradástechnika oldalán. A cikk bevezetője:
"Az anonymizer hálózatok két fô feladata egyrészt a felhasználók forgalmának és kommunikációs partnereinek elrejtése a helyi hálózatok elôl, másrészt annak biztosítása, hogy a felhasználók kiléte és helyzete ismeretlen maradjon a távoli hálózatokban. Cikkünkben az anonymizer hálózatok korlátai kerülnek bemutatásra, ismertetünk egy támadási eljárást ezen hálózatok felhasználóinak anonimitása ellen. A támadás lényege, hogy a felhasználó kommunikációs partnerénél a forgalmat torzítjuk. Ezután a partnertôl kiindulva, a forgalom torzítást detektálva a felhasználó helyzetét visszakövetjük."
PAW - hozzáférés szabályozás a Weben
|
|
2009.03.17. 13:53:46
Tóth Tamás
A szociális hálók elterjedésével egyre több adatunkat szolgáltatjuk ki a publikum számára és még ha másképp is lehetne csinálni, akkor is sokan csak legyintenek az egészre, "mi baj lehet, ha megadom a(z) ... adatom". Alapjában véve semmi bajunk nem is lenne ebből egy ideális világban, de gyorsan elkészülnek a specifikus spambot-ok (a példának okáért, nyilván sok ezer más veszély is les adatainkra), melyek számára nem fáradtság egész nap egy weboldalt böngészni, email címeket és egyéb hasznos személyes adatok gyűjtögetni.
PET Convention 2009.1
|
|
2009.03.06. 11:42:28
Gulyás Gábor
Kíváló lehetőségnek ígérkezik a szakmában tevékenykedő fiatal kutatóknak, (végzős) hallgatóknak a PET Convenvtion 2009.1 fantázianevű workshop jellegű rendezvény, amely március 24-25-én kerül megrendezésre Drezdában.
A részvétel teljesen ingyenes (persze a kiutazást és szállást nem finanszírozzák), és lehet pályázni előadás tartására cikkek beküldésével (extended abstract), vagy akár csak témajavaslattal. Cikkeket vasárnapig lehet beküldeni (2009. 03. 08.), a beküldött anyagokat pedig peer-review alapon csütörtökig véleményezik (2009. 03. 12.).
További információ a workshop wiki oldalán.
Alkalmazott kriptográfia – TrueCrypt II.
|
|
2009.02.21. 10:35:46
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat hatodik darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni. A sorozat előző darabja itt olvasható: http://pet-portal.eu//blog/read/137/2009-02-07-Alkalmazott-kriptografia-8211-TrueCrypt.php/
A TrueCrypt (TC) működését taglaló írásomat a benne használt algoritmusok, valamint az újabb verziókhoz adott szolgáltatások ismertetésével folytatom. (Az előző blogbejegyzésemhez születtek olyan kommentárok, melyek a felhasznált kriptográfiai algoritmusok jellegének fontosságát firtatták – ezért határoztam úgy, hogy ezekről is hosszabban szólok.)
Igen gyakran, és egyáltalán nem légbőlkapottan elhangzó állítás, hogy az Egyesült Államokban kifejlesztett kriptográfiai algoritmusokhoz kötelezően tartozik egy "tolvajkulcs", mert így könnyebb azokat legálisan "kivinni" az országból. Éppen ezért van a TC-ben három "kriptográfiai építőkocka" implementálva: az AES-256, a Serpent és a Twofish.
Szavazz a szteganográfiai játékról!
|
|
2009.02.13. 14:00:00
Gulyás Gábor
Köszönjük a véleményeket. Úgy gondoltuk, hogy egy szeretnénk kicsit szélesebb körben is felmérni a játékról kialakult véleményeteket, kérjük, szavazzatok az alábbi lehetőségeken. Köszönjük a részvételeteket, reméljük, hogy ti is legalább annyira élveztétek a játékot, mint amennyire mi!
Játékosaink írták
|
|
2009.02.13. 13:00:00
Gulyás Gábor
Tegnapi felhívásunkra csupán egyvalaki jelentkezett és küldte el véleményét. További véleményeket is örömmel fogadunk, ezt akár levélben is elküldhetitek, vagy akár névtelenül hozzászólhattok ehhez a bejegyzéshez.
Végigjátszás a szteganográfiai játékhoz
|
|
2009.02.13. 12:00:00
Gulyás Gábor
Ebben a bejegyzésben minden információt megosztunk, ami csak a játék végigviteléhez és a szintek visszafejtéséhez szükséges: valamennyi szint kulcsát, az egyes szintet megfejtő és kódoló programok forráskódját és bináris változatát. Mindez a bejegyzés további részében olvasható (SPOILER).
Szteganográfiai játék eredményhirdetés
|
|
2009.02.12. 12:00:00
Gulyás Gábor
Tegnap éjfélkor zárult le a harmadik adatvédelmi nap kapcsán indult szteganográfiai játék, amelyet az IT café és a PET Portál közösen szervezett. Holnap 12 órakor közzétesszük a megoldásokat egy külön bejegyzésben, így akiknek nem sikerült végigvinniük, majd utánajárhatnak a turpisságnak. :)
Szeretnénk azoknak a (nick) nevét is közzé tenni, akik nem vitték végig a játékot, de eljutottak a magasabb szintekig, hiszen az ő teljesítményük is méltányolandó - őket kérjük, hogy ha szeretnének kikerülni, küldjék el kódjaikat, forráskódjaikat és a játékról alkotott véleményüket a stego@pet-portal.eu címre holnap délig. (A címet utána pedig megszüntetjük.)
Eredmények, nyertesek listája alább, nézzétek meg!
Szteganográfiai játék - már kevesebb mint 48 óra a határidőig
|
|
2009.02.10. 11:10:06
Gulyás Gábor
Egy rövid bejegyzésben szeretnénk olvasóinkat, játékosainkat buzdítani a játék végigvitelére: még csak nagyon kevesen vitték végig a játékot! Éppen ezért még a további nyeremények, de inkább a sikeres végigjátszók listájára való bejutás érdekében érdemes mindent megtenni! A játék kulcsainak beküldésére szerda 24 óráig van lehetőség.
Legközelebb a játékkal csütörtökön délelőtt jelentkezünk, amikor közzé tesszük a nyertesek listáját (a jelenlegi állás szerint minden beküldő nyer valamit, és ez még pár beküldésig így lesz), a játék statisztikáit. Addig is várjuk a sikeres végigjátszók jelentkezését!
Alkalmazott kriptográfia – TrueCrypt
|
|
2009.02.07. 08:15:24
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat ötödik darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni. A sorozat előző darabja itt olvasható: http://pet-portal.eu//blog/read/84/2008-07-21-Aszimmetrikus-kriptografia.php/
Az eddigiekben a kriptográfiában használt algoritmusokról írtam, de kevés szó esett arról, hogy a gyakorlatban hogy néz ki a kényes természetű adatok védelme. A TrueCrypt nevű, népszerű rejtjelezőprogram bemutatásával szeretném ezt a hiányt pótolni.
Szteganográfiai játék információk, a játék állása
|
|
2009.02.02. 14:25:18
Gulyás Gábor
Immár hatodik napja tart a PET Portál és az IT café által közösen szervezett szteganográfiai játék. A játékot még senkinek sem sikerült végigvinnie (bár egy igen szűk élmezőnyről azért beszélhetünk), így azoknak is érdemes most nekilátniuk a kódfejtésnek, akik esetleg csak most hallanak róla először. A játék még 9 napig fog tartani, február 11-én éjfélkor zárul le. Ekkor hirdetjük ki az első három célbajutó (nick) neveit, illetve az utánuk bejutottak között további nyereményeket sorsolunk ki.
A statisztikák alapján úgy láttuk, hogy a 2. és 4. pálya sok embert megfogott, ezért ezeken a szinteken új segítségeket tettünk közzé, nézzétek meg újra, hátha most meglesz a megoldás! Jó játékot kívánunk mindenkinek!
Szteganográfiai játék állása
|
|
2009.01.29. 22:02:30
Gulyás Gábor
Egy kis statisztikával szeretnénk kedveskedni nektek - igyekszünk folyamatosan tudósítani a későbbiekben az aktuális állásról. A jelenlegi statisztikák mellett csak buzdítani tudjuk az érdeklődőket, hogy ne késlekedjenek: még akár most sem késő becsatlakozni a játékba! Bár már lassan 48 órája megy a játék, és az érdeklődés folyamatos, még van remény utolérni azokat a haladó játékosokat, akik a negyedik szintig jutottak.
Szteganográfiai játék nyeremények
|
|
2009.01.28. 10:40:24
Gulyás Gábor
Kicsit késve, de akkor már egy külön bejegyzésben szeretnénk közzétenni a játék támogatóinak felajánlását, ezzel is kifejezve hálánkat a felajánlásokért, és buzdítva mindenkit a játékra. :-)
- Az első helyezés díját a Hacktivity IT-biztonsági konferencia szervezőbizottsága ajánlotta fel. A díj egy Samsung 2,5", 160GB, 5400 rpm, USB 2.0 külső HDD.
- A második helyezés díját az IT café informatikai portál szerkesztősége ajánlotta fel. A díj egy 10 000 Ft értékű ajándékcsomag.
- A harmadik helyezés díját az Információs Társadalomért Alapítvány ajánlotta fel. A díj egy Szabad adatok, védett adatok 2 tanulmánykötet, valamint egy tetszőleges - a díjazott által választott - kötetet az alapítvány eddigi kiadványai közül. (Alma Mater sorozat és Intelligens Üzletvitel sorozat)
További jó szórakozást és eredményes kódfejtést kívánunk! :-)
A játékindító bejegyzés itt olvasható.
Kerekasztal beszélgetés: Miért nem használnak az emberek PET technológiákat?
|
|
2009.01.28. 06:00:00
Gulyás Gábor
Január 28-a az adatvédelem nemzetközi napja, amit az Európa Tanács kezdeményezésére idén harmadszor ünnepelnek az európai országokban.
A PET Portál és Blog erre az alkalomra kerekasztal-beszélgetést szervezett neves szakértők részvételével arról, hogy használják-e az emberek a privátszférát erősítő technológiákat, hogy mi lehet az oka annak, ha nem használják, illetve hogy mivel lehetne elősegíteni azt, hogy többen ismerjék meg és használják ezeket a lehetőségeket. Résztvevők: Galántai Zoltán jövőkutató, Mikecz Dániel politológus, Krasznay Csaba információbiztonsági szakértő, Székely Iván társadalmi informatikus, és Gulyás Gábor informatikus, a PET Portál szerkesztője. A beszélgetésből többek között kiderül, hogy az ember idegrendszere az evolúció során nem alkalmazkodott a globális internetes világ kihívásaihoz, hogy a magyar munkavállalókat éri a legtöbb adatvédelmi sérelem, és mégis a legkevesebbet tesznek ellene, és hogy milyen technikai lehetőségei vannak annak, aki maga szeretne dönteni személyes adatai sorsáról. A beszélgetés videofelvétele itt tekinthető meg.
Szteganográfiai játék a PET Portál és az IT café közös szervezésében
|
|
2009.01.28. 00:00:01
Gulyás Gábor
Ma indul a PET Portál az IT café-val (http://itcafe.hu) közösen szervezett szakmai játéksorozata, az adatvédelem nemzetközi napjának alkalmából szervezett szteganográfiai játéka. A játék két hetes időtartama alatt a játékosok összesen 7 izgalmas szinten keresztül tehetik próbára képességeiket, az erkölcsi győzelem és az értékes nyeremények megszerzésének reményében.
A játékban többféle feladattal is találkozhatnak a játékosok: némelyiknél az interneten kell keresgélniük, máskor pedig az adott fájlformátumot tulajdonságait és jellemzőit kell megismerniük, hogy a gyengeségek ismeretében megkeressék a rejtett üzenetet, ami a következő szint kulcsa is egyben. Erre a két feladattípusra készítettünk egy-egy bemutató feladatot, amelyen az érdeklődők felmérhetik tudásukat és belekóstolhatnak a játék hangulatába! Mindkét szintnél mellékeltük a megoldást is, így is segítve a versenyre hangolódást!
Az első bemutató szint itt érhető el (a szintkulcs kimásolható az URL-ből).
Ahogy írtuk, most indul a szteganográfiai játék is, így hozzáférhetővé tesszük a játék első szintjét. A játék szabályai és feltételei elolvashatóak a játék oldalán. A játék első szintje itt érhető el, a későbbi szintek az adott szint üzenetének megtörésével nyerhetőek ki a sztegomédiumból!
A játék időtartama két hét. Az első három helyezett játékos az erkölcsi jutalmon felül értékes nyereményekben is részesül – a nyereményeket itt tekintheted meg.
Mindenkinek sok sikert és jó szórakozást kívánunk!
Veszélyben a "védett" WiFi hálózatok?
|
|
2009.01.27. 12:43:40
Gulyás Gábor
A WiFi hálózatok biztonsági problémái orvosi lónak számítanak a szakmában - jelen bejegyzésben nem is biztonsági aspektusból szeretném tárgyalni a kérdéskört. Bizonyára vannak a témában inkább naprakész információkkal rendelkező olvasóink, ráadásul a Hacktivity 2008 óta még inkább láthatjuk, hogy nem csak az algoritmus megválasztásán múlik egy hálózat (vagyis itt épp egy számítógép) feltörése. Ebben a bejegyzésben inkább egy érdekességre szeretném felhívni a figyelmet, amely kapcsolatban áll a privátszféra védelmével.
Az adatvédelem napja: Kerekasztal és játéksorozat a PET Portálon
|
|
2009.01.24. 19:25:33
PET Portál
Január 28-a az adatvédelem nemzetközi napja, amit az Európa Tanács kezdeményezésére idén harmadszor ünnepelnek az európai országokban. A privátszférát erősítő technológiák nonprofit szakmai fóruma, a PET Portál és Blog (http://pet-portal.eu) erre a napra neves szakértők részvételével kerekasztal-beszélgetést szervezett, amiből kiderül, hogy az ember idegrendszere az evolúció során nem alkalmazkodott a globális internetes világ kihívásaihoz, hogy a magyar munkavállalókat éri a legtöbb adatvédelmi sérelem, és mégis a legkevesebbet tesznek ellene, és hogy milyen technikai lehetőségei vannak annak, aki maga szeretne dönteni személyes adatai sorsáról. A beszélgetés videofelvétele január 28-ától megnézhető az interneten.
Ugyanezen a napon indítja el a PET Portál az IT café-val (http://itcafe.hu) közösen szervezett szakmai játéksorozatát, amely a személyes adatok védelmének egyik lehetséges technikáján, a szteganográfián (képekbe, hangfelvételekbe és más fájlokba rejtett információkon) alapul. Az etikus kódtörési (ethical hacking) feladatok hét fokozatának megoldásával juthat el a játékos a győzelemig, illetve a felajánlott nyereményekig.
A 25 leggyakoribb programozási hiba - pro és kontra
|
|
2009.01.20. 12:33:07
Gulyás Gábor
Egy amerikai kutatóközpont több fontos amerikai székhelyű közszereplővel és fejlesztővállalattal karöltve közzétett egy tanulmányt, amely a 25 legveszélyesebb és leggyakoribb programozási hibát ismerteti (IT café cikk). Ez önmagában nem lenne számunkra érdekes, azonban mégis fontos problémakörről van szó, hiszen ha épp nem trükkös levelekkel veszik rá a felhasználót, hogy programokat telepítsen a gépére, akkor valószínűleg ilyen programhibákat használnak fel ugyanerre a célra. Ez viszont máris közvetlen veszélyt jelent a számítógépen tárolt adatokra. Ajánljuk olvasóink figyelmébe ezt a 11-es listát, mely cáfolja az efféle hiba-toplisták készítésének hasznosságát. Sőt, néhány olyan okot is felfedezhetünk ezen pontok között, amelyek egyébként is felelősek az efféle típushibákért.
HTE Távközlési klub: Személyes információ az Interneten, avagy a digitális lábnyom
|
|
2009.01.15. 12:10:33
Gulyás Gábor
Január 22-én este 18-20 óra között lesz a HTE Távközlési klubjának következő klubnapja (a helyszín a BME I. épületének Informatikai klubja), melynek témája "Személyes információ az Interneten, avagy a digitális lábnyom". A klubnap végén meghívott előadóként Jóri András adatvédelmi biztos vitaindítóján lehet majd résztvenni, amely beszélgetést Galántai Zoltán vezeti majd.
Az eredeti felhívást a HTE honlapján lehet elolvasni .
Külföldi PhD lehetőségek informatikusok részére „IT and privacy” témákban
|
|
2009.01.09. 23:21:07
Székely Iván
Az újévben két érdekes felhívás jelent meg, az egyik a PET-kutatások egyik vezető intézményében, a Karlstadt-i Egyetemen (Svédország), a másik a Luxemburgi Egyetemen hirdet PhD és posztdoktorális státuszokat.
A karlstadti jelentkezés határideje február 8. Röviden a felhívásból: „The Ph.D. position is available within the Privacy & Security Group at the Department of Computer Science at Karlstad University.The Privacy & Security Group is focusing on privacy-enhancing technologies (PETs), network and operating system security, as well as usability of security & PETs.” A felhívás szövege itt olvasható.
A luxemburgi jelentkezési határidő február 20., itt egy PhD és egy posztdoktorális állást kínálnak. A téma röviden: A Formal Approach to Enforced Privacy in e-Services. „The first aim of this project is to extend enforced privacy from voting to other domains, such as online auctions, anonymous communications, healthcare, and digital rights management, where enforced privacy is a paramount requirement. The second aim of the project is to develop a domain-independent formal framework in which enforced privacy properties in different domains can be captured in a natural, uniform and precise way.” További információ ezen a címen olvasható.
MojoPac - munka nyomok nélkül?
|
|
2009.01.09. 16:40:03
Gulyás Gábor
Vannak olyan internetes alkalmazások, amelyeket hordozhatunk magunkkal, így nem hagyunk nyomot azon a gépen, ahol használjuk. Ilyenek például a Firefox Portable-re épülő anonim böngészők is, amelyek a helyi gépen nem hagynak maguk után nyomot, mivel a felhasználói profilt is hordozzuk, cache és hasonló pedig nem képződnek. Vagy egy másik példának itt van a BitWise csevegő szolgáltatása , melynek kliensét szintén hordozhatjuk magunkkal , s így nem kell féltenünk a kulcsainkat és ismét nem hagyunk magunk után semmi féltve örzött titkot (például beszélgetések naplófájljait).
PET-ek a hálón - már hardver formában?
|
|
2008.12.29. 13:00:50
Gulyás Gábor
A TOR hálózatok célja, hogy a elrejtsék az illetéktelenek elől a felhasználói IP címét, így megnehezítve a a felhasználói tevékenységek megfigyelését és a profilkészítés lehetőségét. Magát a TOR technológia alapgondolatát nem mondhatnánk újnak (Hiding Routing Information, 1996), de manapság egyre több helyen tudnak róla és használják. Talán éppen emiatt már időszerű volt, hogy megjelenjen ez és a hasonló PET-es technológiák hardveres formában, hasonlóan ahhoz, ahogy például tűzfalak is léteznek célhardver formában, vagy ahogy VPN-t kezelhetünk a router-eken keresztül.
Clean feed – ízlésrendőrség Ausztráliában?
|
|
2008.12.15. 20:56:55
Földes Ádám Máté
Ausztráliában automatikus tartalomszűrést szeretne bevezetni a kormányzat minden internet-hozzáférésre. A motiváció az internetes bűnözés (pl. gyermekpornográfia) visszaszorítása, valamint a gyerekek védelme a pornográfiától és az erőszaktól. A tervezettel kapcsolatban az egyszerű állampolgároktól kezdve a jogvédő szervezeteken át az internetszolgáltatókig meglehetősen sokan kifejezték aggodalmukat.
A Google-Amőba és a privátszféra utolsó foszlányai?
|
|
2008.12.08. 16:01:30
Gulyás Gábor
A faberNovel prezentációja a Google-ről: a fóliák alapján a nagy cég stratégiájának rejtett okaiba, megfontolásaiba is beletekinthetünk. Talán nem kellene, hogy meglepő legyen az a magabiztosság, ambíció és hódítási vágy, amelyet ezek a fóliák is tükröznek, de azért mégis döbbenetes. A cég nem csupán az elérhető piacokat akarja meghódítani, hanem elérhetővé szeretné tenni azokat, amelyeket a jelenlegi modellek szerint nem tudna meghódítani. Mint például a mobil telefonok piacát.
A SzabAd2 hagyományos könyvesboltban is
|
|
2008.12.04. 22:04:10
Székely Iván
Az idén megjelent "Szabad adatok, védett adatok 2 " című tanulmánykötet (magunk között SzabAd2), amely a PET technológiák alkalmazásával foglalkozó - várhatóan a PET Portálon is megjelenő - tanulmányokat is tartalmaz, végre hagyományos könyvesbolti terjesztésben is beszerezhető. Az érdeklődők a Közgazdasági és Jogi Könyvkiadó (KJK) Nádor utcai boltjában szerezhetik be a kötetet, az Információs Társadalomért Alapítvány más kiadványaival együtt. (A könyv továbbra is megrendelhető a Bookline-on, illetve közvetlenül a kiadótól is.)
Címkék: -
Strasbourgi ítélet: a brit DNS adatbázis sérti az Emberi Jogok Európai Egyezményét
|
|
2008.12.04. 21:16:32
Székely Iván
Az Európai Emberi Jogi Bíróság ma kihirdetett döntése szerint az Egyesült Királyság genetikai adatokat tartalmazó (DNS) adatbázisa sérti az Emberi Jogok Európai Egyezményének 8. cikkelyét, amely a magánélet tiszteletben tartásához való jogról szól. Az Egyesült Királyság DNS adatbázisa a legnagyobb a világon, többszázezer (ártatlan, nem bűnöző) ember, köztük 40.000 gyermek genetikai adatait tartalmazza, és az ország a genetikai adatok nyilvántartásának szószólója.
A bíróság kifejtette, hogy különös felelősség hárul azokra az országokra, amelyek az új technológiák bevezetésének úttörői, hogy e technológiákat ne kritikátlanul és korlátlanul, a magánélet védelmének aránytalan sérelmével alkalmazzák.
Az ítélet szövege és a kapcsolódó anyagok a Privacy International honlapján olvashatók.
Opera Mini
|
|
2008.11.30. 14:10:13
Gulyás Gábor
Az Opera Mini egy mobil telefonokra készített web böngésző alkalmazás (J2ME platform), amely ingyenes, gyors és kicsi: a gyorsasága nem csupán az alkalmazás renderelési sebességében merül ki, hanem maga a böngészés, a letöltés sebessége is gyors, akár egy mezei GPRS kapcsolaton keresztül is. Az érdeklődők a böngésző emulált változatát itt ki is próbálhatják.
Mi is az az összeköthetetlenség?
|
|
2008.11.22. 21:19:39
Gulyás Gábor
Korábban, egészen pontosan egy másfél évvel ezelőtti bejegyzésünkben tárgyaltuk az anonimitás elméleti lehetőségét, de ugyanezen kritériumnak a tárgyalása megjelenik a csevegőszolgáltatások privátszférát érintő kérdéseit tárgyaló tanulmány 2.2.2 fejezetében is. A jelen bejegyzésben azt tárgyaljuk, hogy hogyan érinti az anonimitást az összeköthetetlenség.
GMail és a pont
|
|
2008.11.04. 14:39:28
Gulyás Gábor
Egyszer már foglalkoztunk a GMail (béta) egy furcsa bugjával: keveri az email címeket, ha a két cím között csak pontokban van különbség, ilyen regisztrációt nem is enged elvileg. (News flash: nem csak akkor, nagybetűs-kisbetűs eltérés sem számít.)
Egy igazi anonim csevegő szolgáltatás? Torchat.
|
|
2008.10.31. 22:34:17
Gulyás Gábor
A csevegő, üzenetküldő szolgáltatáson belül is fontos lehet az anonimitás, ahogy ezt a PET Portálon (is) megjelent Anonimitás és privacy kérdései csevegő szolgáltatásokban című tanulmányban olvashatjuk (a tanulmány következő része a Szabad adatok, védett adatok 2 szerkesztett kötetében jelent meg) A tanulmány szerint a megfelelő szintű anonimitást nyújtó csevegő szolgáltatások nem csak a hálózati forgalom szintjén védik a kommunikációt (például TOR hálózattal), hanem a szolgáltatáson belül is képesek a felhasználók anonimek maradni.
Módosul a svéd „Lex Orwell”
|
|
2008.10.22. 13:17:04
Földes Ádám Máté
A svéd kormány beleegyezett a hatalmas tiltakozást kiváltó ún. FRA-törvény megváltoztatására. Az új tervezetet 2009 elején terjesztik a törvényhozás elé. Mint azt már előzőleg megírtam, az eredeti paragrafus lehetőséget adott volna az FRA nevű szervezetnek bármilyen, az ország határát keresztező, kábelen haladó kommunikáció lehallgatására, bírósági végzés nélkül is.
Tóth Csaba: Egy ideális anonim digitális pénzrendszer
|
|
2008.10.12. 20:56:54
Gulyás Gábor
Absztrakt
E tanulmány célja, hogy széleskörűen és rendszerszemléletűen vizsgálja a létező digitális pénzrendszerek tulajdonságait, ezek között kiemelten az anonimitást, mint a személyes adatok védelmének eszközét, valamint a biztonság különböző aspektusait; továbbá hogy összegezze egy ideális rendszerrel szemben elvárható követelményeket. A digitális pénz séma mibenlétének meghatározása után a szerző áttekinti a Chaum kutatásaiból kiinduló evolúciós folyamatot, ennek főbb állomásait és jellemzőit. Ennek során számos, sokféle célra használható sémát és technológiát mutat be, köztük kreatív és új kriptográfiai primitíveket, amelyek alapvető építőelemként lehetnek jelen a sémákban, vagy pedig modulárisan biztosíthatnak kívánt tulajdonságokat. Hivatkozik a sémák tudományos publikációira és elemzi az összehasonlító művek által fontosnak tartott tulajdonságokat. Esetenként eltérő csoportosításban vagy más aspektusból tekint bizonyos tulajdonságokat, olyan részletesen felbontva a biztonság és az anonimitás tulajdonságokat, ahogy az a szakirodalomban eddig nem szerepel. Ezek tárgyalása közben számos olyan kísérleti digitális pénz sémát elemez, amelyeket más művek nem vetettek össze vagy vizsgáltak meg. Ezt követően a szerző sorra veszi, hogy egy elképzelt ideális digitális pénzrendszernek milyen tulajdonságokat kell teljesítenie. Kiemeli, hogy megítélése szerint mely fő problémák nyitottak az egész kutatási terület előtt és szubjektív kitekintést ad a várható fejlődésről.
Kulcsszavak: anonimitás, digitális pénz, kriptográfia, biztonság, fizetési sémák
A PET Portálon november közepén közzé tesszük a következő tanulmányt, melynek címe „Egy ideális anonim digitális pénzrendszer”. Ez a tanulmány is az Alma Mater könyvsorozatban jelent meg, a Szabad adatok, védett adatok tanulmánykötet részeként.
Évzáró 2008
Idén ez után már csak az ígért meglepetés tanulmányt fogjuk elérhetővé tenni a PET Portálon, amely mind terjedelmében és jellegében kilóg az eddigi sorból, s az érdeklődők számára érdekes olvasmánynak ígérkezik a karácsonyi szünetre.
Data Retention Directive az EU-ban - mire számíthatunk?
|
|
2008.10.03. 12:55:51
Gulyás Gábor
Szeptember 19-én indult a CEU szervezésében a Data Retention for ISPs, International Workshop (program), amely első sorban az internetszolgáltatók oldaláról vizsgálja a direktíva hatásait, s a prigram első napja panel beszélgetéseket foglalt magába, majd a hétvégén kétnapos vita program követte ezt. A workshop alapvetően nem technikai oldalról közelítette meg a problémát, a panelek között is csak egy foglalkozott a technikai "válasz" lehetőségekkel.
Precrime, a Nagy Testvér szeme minden lát?
|
|
2008.09.26. 21:00:16
Gulyás Gábor
Épül a Precrime, adta hírül szerdán az IT café. A rendszer az USA-ban épül, s a célja az lesz, hogy repülőtereken, határállomásokon kiszűrje az ideges, titkolódzó, vagy más hasonlóan gyanús állapotot produkáló embereket. Akik például lehetnek terroristák is akár. (Vagy csak poggyászukat vesztett utasok. Vagy csak a laptopjukat elhagyó üzletemberek. Estébé.)
Hacktivity 2008
|
|
2008.09.23. 06:07:51
Gulyás Gábor
Véget ért a Hacktivity 2008, ahol a PET Portál támogatásával indult az Internet és Privacy szekció.Két izgalmas napon vagyunk túl, a konferencia és a szekció is remekül sikerült! Érdeklődők számára ajánljuk az alábbi forrásokat: az eseményről az IT café és a Antivírus blog is közvetített, illetve az Indexen is megjelent egy cikk.
Az alábbiakban az Internet és Privacy szekció programja érhető el és tölthető le, ami a vasárnapi programban található meg (kisterem).
| 9:15-9:30 | Megnyitó |
| 9:30-10:15 | Gyöngyösi László Valóban feltörhetetlen? A kvantumkriptográfia biztonsági analízise |
| 10:15-11:00 | Knoll Tímea Privacy barát RFID technológiák |
| 11:30-12:15 | Szili Dávid Anonimizáló rendszerek elméletben és gyakorlatban |
| 12:15-13:00 | Bokor László A privátszféra védelme a jövő mobilinternet-architektúrájában |
| 13:30-14:15 | Székely Iván: Szabad adatok, védett adatok 2 Gulyás Gábor: PET Portál bemutató |
| 14:15-15:00 | Földes Ádám Máté A szteganográfia, és annak relevanciája a privátszféra védelmében |
| 15:30-17:00 |
Kerekasztal beszélgetés
|
A web bug technológia — barát vagy ellenség?
|
|
2008.09.22. 16:02:17
Gulyás Gábor
Absztrakt
A gazdasági életben az üzleti érdekek és az agresszív marketing egyre inkább igényli a vásárlók magánéletébe való behatolást, míg a vásárlók természetesen ennek megóvásában érdekeltek. E miatt az alapvető érdekellentét miatt számos csatát vívott a két oldal egymással mind az offline, mind az online világban. A web bug kezdetben nem volt más, mint egy több fronton bevethető, új fegyver az online marketing oldalán, ám idővel az internetes felhasználók adatainak tömegesen alkalmazott, ellenőrizhetetlen, jogilag és etikailag egyaránt kifogásolható megfigyelő eszközévé vált. Mára megszülettek azok az irányelvek, szabályozások, amelyek kijelölték és részben megteremtették a web bug etikus felhasználásához szükséges korlátozásokat. Az alábbiakban a lehetséges felhasználási módok ismertetése mellett ezen irányelvek bemutatására is sor kerül, érintve a már tisztázott jogi és etikai kérdéseket, valamint azokat a területeket, amelyek még további figyelmet igényelnek.
A PET Portálon hamarosan közzé tesszük a következő tanulmányt, melynek címe „A web bug technológia — barát vagy ellenség?”. Ez a tanulmány is az Alma Mater könyvsorozatban jelent meg, a Szabad adatok, védett adatok tanulmánykötet részeként.
Következő tanulmányok:
Miután a tanulmány elérhetővé lesz a PET Portálon, következőként Tóth Csaba tanulmányát fogjuk közzé tenni, az anonim digitális pénzrendszerek átfogó vizsgálatáról, Egy ideális anonim digitális pénzrendszer címmel.
Idén ezen kívül még egy "meglepetés" tanulmányt fogunk elérhetővé tenni a PET Portálon, amely mind terjedelmében és jellegében kilóg az eddigi sorból, s az érdeklődők számára érdekes olvasmánynak ígérkezik a karácsonyi szünetre.
Kriptográfia, PET, szteganográfia ismét
|
|
2008.09.21. 21:24:49
Gulyás Gábor
Ahogy a Hacktivity egyik mai előadásán Földes Ádám Máté is beszélt róla, és már írtunk róla korábban, a PET-ek és a szteganográfia között van kapcsolat.
Egy kis reklám: Szabad adatok, védett adatok 2, Hacktivity
|
|
2008.09.17. 08:27:07
Gulyás Gábor
Szabad adatok, védett adatok
Az újonnan megjelent kötet kapcsán voltak érdeklődők, hogy a tanulmánykötetet hol lehet beszerezni. Két helyen is érdemes lehet próbálkozni:
Hacktivity
Korábban már beharangoztuk a Hacktivity eseményét, ami most hétvégén lesz. Új fejlemény az eseménnyel kapcsolatban, hogy a vasárnapi program egy része ingyenes lett: délután 15 órától a belépés ingyenes, jegy nélkül is látogatható a konferencia! Minden érdeklődöt várunk a kerekasztal-beszélgetésre!
A tegnapi könyvbemutató beszámolója az IT café-n.
Szabad adatok, védett adatok 2 könyvbemutató
|
|
2008.09.15. 18:54:30
Gulyás Gábor
Az új tanulmánykötet bemutatója 2008. szeptember 16-án kedden 11 órakor lesz az OSA Archivumban egy sajtóbeszélgetés keretében, a szerzők részvételével.
Szabad adatok, védett adatok 2. címmel másodszor jelenik meg az Alma Mater könyvsorozat adatvédelemmel és információszabadsággal foglalkozó tematikus tanulmánykötete. Az első kötetet először három évvel ezelőtt vehette kezébe az olvasó, s noha nem került könyvesbolti forgalomba — a kiadó műegyetemi tanszékétől lehetett beszerezni —, mégis teljesen elfogyott és egyes tanulmányai számottevő szakmai visszhangot keltettek.
Azóta sok újdonság keletkezett a témakörben, újabb problémák merültek fel és újabb megoldások születtek az első kötet tanulmányai által elemzett területeken, de számos olyan jogi, társadalmi és technológiai fejlemény is történt, amelyek jelentősége igényli megjelentetésüket az igen kevés számú magyar nyelvű szakirodalmi publikációkban.
A teljes sajtóanyag, a szerzők és tanulmányok címének listájával PDF formátumban letölthető.
Tíz éven belül egyesül a Google és a PRIME?
|
|
2008.09.08. 18:25:14
Gulyás Gábor
A Google-t nem kell senkinek sem bemutatni. A PRIME Project egy EU-s kezdeményezés volt, melynek célja egy átfogó PET technológia létrehozása, több nagyobb multinacionális cég, és híresebb Európai kutatócsoport bevonásával. Ez egy olyannyira átfogó technológia lenne, hogy valamennyi jelenleg létező informatikai platformon megjelenne, sőt, még nem létező platformok fogadására is felkészülnének: az internet architektúrájában is megjelenne egy új réteg (persze opcionálisan), a mobil telefónia, szenzorhálózatok se maradnának érintetlenül. Az ember teljes digitális lenyomatát kezelhetné ily módon — már ha az adott adatkezelő támogatja a PRIME-t. Ami pedig könnyen elérhető központi szabályozás útján. A projekt időtartama 2004-2008 közöttre szólt, nyáron egy záróesemény keretén belül hivatalosan is véget ért, de itt már megtalálható a következő fázis honlapja, a PrimeLife-é (a konzorcium).
Google Chrome - egyszerűen nem hagyhattuk ki!
|
|
2008.09.03. 11:30:30
Gulyás Gábor
Az utóbbi években a böngészők piacát széles kínálat és szoros verseny jellemzi, ami egyre inkább csak fokozódik. Tegnap jelent meg - talán erre a versengésre válaszul - a Google saját böngészője, a Google Chrome. E böngésző igazi csemegének számít, így kíváncsian vágtunk a tesztelésébe, s kíváncsian várjuk a következő hónapok fejleményeit: a felfedezett gyengeségeket, rejtett kiskapukat, az utólagosan bevezetett huncutságokat, s legfőképpen a böngészők piaci eloszlásának változását. Vajon a Google-nak mekkora szeletet sikerül a piacból kihasítania és milyen gyorsan?
Ahol az IP címem, ott én vagyok?
|
|
2008.09.02. 15:11:51
Gulyás Gábor
A Zughekker blogon olvashatunk egy bejegyzést, amely leírja, hogyan lehet bemérni MSN beszélgetőpartnereinket. Természetesen ez nem csak ebben működik, hanem más csevegő szolgáltatások, vagy internetes alkalmazások esetén is. Így, ha egy ismeretlent sikerül rávennünk, hogy felvegye velünk a kapcsolatot, lehet, hogy ki tudjuk deríteni, hol is tartózkodik éppen (vagy nyomon követhetjük ismerőseinket).
A bejegyzés nem említ, de ha már rendelkezünk a cél IP címével, a helyzetmeghatározás még egyszerűbben és látványosabban művelhető olyan eszközökkel, mint amilyen például a My IP szolgáltatása: segítségével bármely IP címről könnyedén kideríthetjük a célállomás helyzetét. (Egy korábbi bejegyzésben említettük már a szolgáltatást, de akkor még csak a saját IP címünkkel tudtunk operálni.) Akit ez zavar, annak nyújthatnak segítséget az anonimizáló hálózatok, mint például a Tor.
Sőt, ugyanitt a levelezésünkben szereplő IP címek alapján a küldő helyzetét is lehetőségünk van kideríteni: egyszerűen csak be kell másolnunk a webes felületre a levél tartalmát, amelyből a szolgáltatás azonosítja a megfelelő címet (ezt aztán a felhasználóbarát működés!). Itt jönnek a képbe az anonim remailerek, amelyek elfedik a levelezésben ezeket az információkat.
(A Zughekkeres bejegyzést egy olvasónk ajánlotta, köszönjük!)
A privacy és a PET Portál a Hacktivity 2008 konferencián
|
|
2008.08.29. 17:26:33
PET Portál
Szeptember 20-án és 21-én ötödször rendezik meg a Fonó Budai Zeneházban a Hacktivity-t, a „felhasználóbarát számítógépes biztonsági konferenciát”, a hacker-ek, a biztonsági szakemberek, az alternatív informatikai mozgalmak hívei, az informatikus profik és amatőrök szakmai fórumát.
Idén külön szekció foglalkozik a privacy védelmével és a Privátszférát Erősítő Technológiákkal. A szekció programját a PET Portál és Blog szerkesztői állítják össze, Gulyás Gábor György vezetésével.
A szeptember 21-i napon délelőtt és délután is zajló szekcióban lesz előadás a privátszféra védelméről a jövo mobilinternet-architektúrájában, a feltörhetetlennek állított kvantumkriptográfiáról, a privacy-barát RFID megoldásokról, a szteganográfiáról és néhány anonimizáló protokoll működés közbeni bemutatására is sor kerül.
A szekcióban sort kerítünk a PET Portál bemutatására is, de bemutatjuk a „Szabad adatok, védett adatok 2” című könyvet is, amely addigra megjelenik és – az első kötethez hasonlóan – színvonalas tanulmányokat közöl a személyes adatok védelmének technológiája tárgykörében is. A nap végén kerekasztal-beszélgetés zárja a szekció programját.
Az előadók és előadásaik listáját a program véglegessé válásakor a PET Portálon is közzétesszük.
További információ a konferenciáról: www.hacktivity.hu
Kriptográfia, PET, szteganográfia?
|
|
2008.08.27. 10:36:14
Gulyás Gábor
Korábban is már foglalkoztunk a PET-ek és a szteganográfia kapcsolatával, és ebben a bejegyzésben is az Ian Goldberg disszertációjának szemszögéből mutatjuk be a kérdést, amely nem csak a szteganográfiát, de a PET technológiákat is elhelyezi a kriptográfia "közismert" tudománya mellett. (Az előző bejegyzés itt olvasható.)
Anonimitás és teljes beazonosíthatóság a "nymity slider" tükrében
|
|
2008.08.24. 10:32:36
Gulyás Gábor
Ebben a bejegyzésben az Ian Goldberg disszertációjában található "nymity slider" fogalmát szeretnénk bemutatni (letöltés), amely számba veszi és kategorizálja a különböző digitális (és nem csak on-line) megjelenési formákat az anonimitás szemszögéből, amely áttekintés segíthet az anonimitás különböző szintjeinek értelmezésében.
A "nymity slider" kifejezést úgy is fordíthatnánk, hogy "azonosíthatósági csúszka", amelyen aszerint helyezkedik el az aktuális tranzakciónk, hogy milyen jellegű azonosítókat használunk benne. Ha felfedjük személyigazolvány számunkat, egyértelműen azonosíthatóvá válunk, de ha egy nevünktől független azonosítót használunk, máris jobb a helyzetünk (például egy telefonkártyát).
iWiW újra - a keresés még mindig nem szuperál
|
|
2008.08.19. 12:04:31
Gulyás Gábor
Korábban már mustráltuk az iWiW-et, sőt, jeleztünk is nekik a kereséssel kapcsolatban: az e-mail címek láthatósága, kereshetősége nem állítható, mégis kereshetőek, s így könnyen profilozhatóvá válnak a nyilvános címmel regisztráló felhasználók. Reagáltak is: egyszerűen törölték a keresésből az e-mail cím szerinti keresés lehetőségét.
Hasonló érdekesség, hogy a családi állapotra úgy kereshetünk rá, hogy azon adatlapok is listázásra kerülnek, ahol ez az érték rejtett. Ez vélhetően az e-mail szerinti kereséshez hasonlóan csak egy hiba, és erről információt nem találhatunk az adatkezelési nyilatkozatban sem.
Az adatkezelési nyilatkozat nem rég frissült, de az egyik korábbi bejegyzésben említett typo-t továbbra sem javították:
A. A felhasználó által kötelezően megadott adatok név, becenév és e-mail cím, (az adatokhoz az — e-mail cím kivételével — iwiw összes felhasználója hozzáfér, a felhasználó által megadott e-mail címhez csak személyes ismerősei férnek hozzá ).
Az anonimitás és a privacy kérdései a csevegő szolgáltatásokban - letölthető tanulmány
|
|
2008.08.09. 16:41:39
Gulyás Gábor
Absztrakt
A csevegő szolgáltatások reneszánszukat élik — a százmilliós felhasználótáborral rendelkező szolgáltatásokat már nem csak magánemberek veszik igénybe, hanem vállalatok is alkalmazzák belső kommunikációra, ügyfélszolgálatok üzemeltetéséhez is. Kutatásaink során megvizsgáltuk a szolgáltatások egy halmazát, s ezek alapján felállítottunk egy taxonómiát, melynek segítségével, a négy fő magánélet-védő kritérium figyelembe vételével értékeltük őket. Megállapítottuk, hogy a létező szolgáltatások változó színvonalú megoldásokat nyújtanak, és összességében egyikük sem alkalmas e kritériumok maradéktalan teljesítésére. Vizsgálatunk során két elterjedt szolgáltatásban magánszféra-védelmi rést fedeztünk fel. Tanulmányunk végén javaslatot teszünk kutatási eredményeink továbbhasznosítására.
A PET Portálon elérhető a következő tanulmányt, melynek címe „Az anonimitás és a privacy kérdései a csevegő szolgáltatásokban ”. Ez a tanulmány is az Alma Mater könyvsorozatban jelent meg.
Lehallgatható kikapcsolt állapotban a mobiltelefon?
|
|
2008.07.27. 16:55:37
Földes Ádám Máté
Igen, le – ha megfelelően felkészítették a rajta futó szoftvert. Az újdonság az, hogy most már ezt a titkosszolgálatokon kívül magánemberek is megtehetik, az utóbbiak természetesen illegálisan. A módszer azt használja ki, hogy a telefon „kikapcsolt” állapotában is aktívak bizonyos szoftverkomponensek. (Gondoljunk csak az ébresztőóra funkcióra, ami az általam ismert összes mobilkészülékben akkor is működik, ha a képernyő teljesen sötét.)
Aszimmetrikus kriptográfia
|
|
2008.07.21. 18:35:05
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat negyedik darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni. A sorozat előző darabja itt olvasható: http://pet-portal.eu/blog/read/72/2008-05-26-Az-egyszeri-kitoltes-algoritmusa-es-az-etkezo-kriptografusok-protokollja.php
Az eddigiekben szimmetrikus kriptográfiáról volt szó, pár példával – ma is használt rendszerek vázlatos ismertetésével – fűszerezve. Emlékezzünk: a szimmetrikus kriptográfiában a nyílt szöveget titkos szöveggé transzformáló kulcs azonos a fordított irányú transzformációt elvégzővel. Az aszimmetrikus (vagy más néven nyilvános kulcsú ) kriptográfiában más a helyzet.
Jönnek a másodszintű internet szolgáltatók?
|
|
2008.07.16. 10:00:25
Gulyás Gábor
A másodszintű internet szolgáltatók általános megoldást nyújtanak az internet anonimitási problémáira: a teljes forgalmunat rajtuk keresztül irányítva a célhoz elvégezhetik az IP címünk rejtését. Általában VPN vagy SSH alapú megoldásokkal találkozhatunk.
Azonban ezek a megoldások eleve kétségesek, mivel több protokollon belül is előfordulhatnak olyan azonosítók, amely alapján követhetőek vagyunk; tehát szükség van valamennyi átirányított protokoll ismeretére és szűrésére, amely a főbb protokollokra megoldható ugyan, de általánosságban nem kivitelezhető.
Ugyanez igaz az általános anonimizáló protokollokra is: ezek célja nem a követhetőség megakadályozása (szemben azzal, ahogy hisszük és ahogy tekintünk rájuk!), hanem egyszerűen egy kellemetlen mellékhatás, az IP cím automatikus felfedésének megakadályozása, mert az IP több információt szolgáltat rólunk, mint amennyire az szükséges lenne.
Vajon az ilyen megoldásokat betiltaná az EU, ha bevezetnék a PRIME használatátm vagy szabadon választhatnánk a kettő között? Minden bizonnyal az általános megoldások fajsúlya igencsak meg fog nőni az elkövetkezetőn időkben.
Forgalomanalízis védett TLS?
|
|
2008.07.13. 09:21:26
Gulyás Gábor
Régóta léteznek olyan technológiák, amelyek elrejtik a felhasználók IP címét, és emellett a forgalomanalízis védelmét is megvalósítják, nehogy a rejtést végző hálózat forgalmát vizsgálva azonosítható legyen a felhasználóé. Így kiderül, hogy melyik felhasználó melyik szolgáltatóval kommunikál - az IP cím rejtése máris hiábavaló volt.
Ugyanarról a védelmi mechanizmusról, pontosabban annak hiányáról van szó, amikor a TLS csatornák forgalomanalízis védelméről beszélünk: ebben az esetben a forgalmunk rejtett, de forgalom típusa megjósolható, ahogy arra rá mutatott az IT Café cikke. Ez a TLS egyik fő hiányossága, amelyre a mai napig nem létezik egységesen elfogadott megoldási javaslat.
A TLS csatornákat nem csak önmagukban szokták alkalmazni (például webes kiszolgálók elérésére), hanem anonimizáló szolgáltatások esetén a felhasználó és a szolgáltatás közötti szakasz védelmét is ezzel oldják meg, ahol általában még indokoltabb lenne a a forgalomanalízis védelem. Ezzel azonban számos probléma van, néhány ízelítőnek:
- Ahogyan a TLS/SSL esetében van, több forgalomanalízis védelmi szinten lenne célszerű meghatározni, amelyekből a felhasználó választhat az alkalmazás által megkövetelt hálózati paraméterek alapján, mint például a megengedhető késleltetés és késleltetés ingadozás, maximális forgalom, aktuális és várható terhelés (alkalmazásfüggő jóslással).
- Mobil készülékekre is egyre inkább gondolni kell, ezért ezeket a szinteket ennek megfelelően kell kialakítani. (Gondoljunk a GPRS, 3G és WLAN hálózatok közötti különbségekre!)
- Exportálási tilalmak?
- Olyan modell szerint kell kialakítani a megoldást, hogy az mindenkinek megfelelő legyen: mely rendszer jellemzőket változtatjuk és milyen eloszlások szerint? Csomagméretek, csomagok közötti szünetek, késleltetés, késleltetés ingadozás, aktuálisan kihasználható csatornakapacitás?
- Elméleti úton bizonyítani kell, hogy ez a modell a forgalomanalízis védelmet maradéktalanul megvalósítja.
A TLS védelmének továbbfejlesztése mellett egy másik lehetőség az anonim VPN-ek használata, amely általánosabb a TLS megoldásánál, azonban költségesebb is egyben (erről még írunk).
Beköszönt a sötét proxy-k korszaka? Két érdekesség.
|
|
2008.07.10. 12:21:10
Gulyás Gábor
Legutóbb a vészharangot egy DNS sebezhetőség kapcsán kongatták meg a szakemberek világszerte, amely gyengeség jelenleg nyilvános részleteiről a hazai sajtó is tudósított. A probléma lehetővé teszi, hogy a DNS adatbázis mérgezésével (hamis információkkal való feltöltésével) rosszindulatú felek elérjék, hogy a felhasználó tudta nélkül a saját szervereikre irányítsák. Szakmai információkat még nem hoztak nyilvánosságra, de állítólag az augusztus elejei Black Hat konferencián ezt is bepótolják, bár a hibát felfedező szakember előadásáról még nincsenek kint információk.
A PET rendszereket is érinthetik ezek a gyengeségek. Ilyen sebezhetőségek mellett könnyen lehet például az anonimizáló rendszereket kompromittálni, egyszerűen csak a belépő proxy-k címének "felülírásával". Mialatt a felhasználó mit sem sejt, sőt, abban a hitben él, hogy anonim, követhetetlen, profilozhatatlan. Pedig épp ellenkezőleg.
Hasonló, de már inkább privacy vonatkozású eset az év elején kiderült Flash gyengeség, amelyet kihasználva a támadó fél átállíthatja a felhasználó routerét, és ráveheti, hogy tetszőlegesen proxy-n irányítsa át a forgalmat, valamint ez esetben is meg tudja hamisítani a DNS információkat! Ez esetben - PET-ek szempontjából - sokkal érdekesebb problémával állunk szembe, hiszen így a teljes internet forgalmunk eltéríthető, módosítható és elemezhetővé válik. Ezen problémáról itt található egy leírás, sőt, proof-of-concept demó is! (Az előbbi cikk szerzői egy FAQ -t is készítettek.)
A gyengeség kihasználásához semmi másra nincs szükségünk mint a belső hálózati számítógépre telepített Flash lejátszóra, és arra, hogy a router-en be legyen kapcsolva az UPNP funkció! További részletek elérhetőek az említett címen.
Támadás a PET-ek ellen?
|
|
2008.07.09. 11:44:30
Gulyás Gábor
Az új európai telekommunikációs törvény kapcsán egyes kormányzatoknak lehetősége nyílik, hogy meghatározzák mely szoftverek használhatóak az interneten vagy sem, írta tegnap az IT Café, a PET Portál és Blog partnere.
Az új javaslattal kapcsolatban már alapjában véve számos probléma felmerül, hiszen a javaslat inkább diktatórikus szemléletűnek mondható, mint demokratikusnak, de a privátszférát önállóan szemlélve is komoly aggályaink lehetnek: így megtilthatják a PET technológiák használatát is? A válasz természetesen igen, de ez egyáltalán nem szükségszerű következménye a javaslat elfogadásának, annál aggasztóbb viszont, hogy ha elfogadják a javaslatot, ezzel a lehetőséggel is számolnunk kell.
Bár az Európai Unió támogatja a PET technológiákat, és ugyanezen az oldalon megemlíthetjük a PRIME Project folytatását, a PrimeLife projektet, amely már rendelkezik az elinduláshoz szükséges támogatással. Mindezek ellenére vannak kevésbé derűs lépései is az Uniónak, mint például a szolgáltatók kötelezése a forgalom hosszú távú tárolására (bizottsági határozat), így nehéz meghatározni milyen irányba vezetnek ezek a lépések.
Letölthető a PRIME projekt végső termékbemutató dokumentuma
|
|
2008.06.30. 14:27:30
Gulyás Gábor
E hónapban felkerült a PRIME projekt oldalára a White Paper 3, amely a legújabb és végső változata a projekt célkitűzéseit taglaló rövid dokumentációnak. A projekt első szakasza már hivatalosan is véget ért, a második szakaszát pedig még nem engedélyezték. Az új szakaszban szeretnének áttérni a nyílt forráskódú fejlesztésre, amely mindenképpen előnyös lehet PET technológiák fejlesztése során, főleg az ilyen méretű projektek esetén.
W3C - P3P protokoll az adatbiztonságért
|
|
2008.06.26. 03:26:10
Fehér Iván
A World Wide Web Consortiumnak (W3C) egy olyan technológiája, melynek révén az Internet felhasználói több eszközt kapnak személyes adataik védelmére. A konzorcium együttműködési ülése módot adott ügyvédeknek és cégeknek, hogy javaslataikkal hozzájáruljanak a Platform for Privacy Preferences Project (P3P) fejlesztéséhez.
A svéd kormány mindenkit lehallgatna?
|
|
2008.06.22. 17:44:49
Földes Ádám Máté
A svéd kormány egy „furcsa” törvény elfogadására készül. Svédországban 2009-től – ha június 17-én elfogadják a törvényjavaslatot – az FRA (Försvarets Radioanstalt, kb. Honvédelmi Rádióintézet) nevű, a nemzetbiztonsági szolgálatok alá tartozó szervezet a svéd országhatáron átmenő bármilyen kommunikációt lehallgathat, bírósági végzés nélkül. (Pontosabban az „újítás” csak a kábelen haladó információk vizsgálatának joga, a vezeték nélküli rendszerek lehallgatásához már eddig is biztosított volt a jog.)
Anonimizáló webes szolgáltatások és összehasonlításuk
|
|
2008.06.17. 12:34:44
Gulyás Gábor
Ha az Olvasó számára nyitott kérdés, hogy miért léteznek ilyen szolgálatások, javasoljuk, hogy olvassa el webes szférát övező veszélyeket is taglaló, honlapunkról letölthető anonim böngészőkről szóló tanulmányt. Ebben a bejegyzésben az anonimbizáló webes szolgáltatások egy lehetséges kategorizálási lehetőségére mutatunk rá.
Google Accounting
|
|
2008.06.13. 11:15:16
Gulyás Gábor
Egy korábbi bejegyzésünkben írtunk a Google Health frissen indult szolgáltatásáról. Véleményünk a szolgáltatás elindítása merész ötlet; ennek kapcsán elképzelhetjük a Google következő, hasonlóan merész szolgáltatását, a Google Accounting-ot (nem találtam a Google-nál hasonló szolgáltatást, de ha valaki ismerne, írjon!).
A szolgáltatás céljára pontosan rávilágít az elnevezése: a könyvelés egyszerűsítése. Itt is webes felületen keresztül érhetjük el valamennyi, a Google szerverein tárolt adatainkat. Felvihetjük bevételeinket, kiadásainkat, és cserébe a Google tanácsokat ad pénzügyi akcióink rövid és hosszú távú optimalizálására (pénzügyi szakértők hozzászólásait és véleményét is várjuk!:-) ), valamint az egyes tételek kapcsán, az éppen lokálisan megjelenített kontextust figyelembe véve reklámokat jelenít meg saját felületén.
Illetve a legfőbb előnye: hozzáférhet pénzügyi előtörténetünkhöz, amelynek - kizárólagosan az anonimizált statisztikái - alapján elemezheti, hogy mire költünk szívesen, mennyi tartalékunk van, esetleg fizetési hajlandóságunk is elemezheti (szakértők itt is előnyben). Végül pedig általános felhasználói csoportokat alakíthat ki, amelyre üzleti modelljét építheti. Persze az érdekes kérdés itt is az: mi történik, ha feltörik a fiókunkat? Tényleg elég lesz itt is egy jelszavas azonosítású fiók? Vagy, ahogy a bankok is, be kell majd vezetni valamilyen hard-token alapú azonosítást is: telefonszám birtoklás (sms kód), vagy okos kártyás alapokon.
Lehet, hogy ez célszerű lenne a Google Health esetében is. Valószínűleg a szolgáltatásba vetett bizalom alapját nem ez fogja megadni.
Bioszkript alkalmazása az elektronikus szavazásban
|
|
2008.06.12. 09:59:35
Gulyás Gábor
Absztrakt
A tanulmány két olyan, a szerzők által kidolgozott elektronikus szavazási rendszer koncepcióját ismerteti, amely a biometrikus rejtjelezés, technikailag a bioszkript alkalmazásán alapul. Az ismertetett rendszerek lényege, hogy nem központilag tárolt, személyazonosításra alkalmas biometrikus azonosítók (például ujjlenyomatok) használatán alapulnak, hanem a szavazásra jogosultak biometrikus adataiból származtatott és így harmadik személyek számára értelmezhetetlen, de a szavazási jogosultságot egyértelműen bizonyító bioszkript használatán. Ezzel biztosíthatók a képviselőválasztások és népszavazások titkossági, biztonsági és egyéb alapvető feltételei, azzal a külön előnnyel, hogy a leírt rendszerek alkalmazásával magas szinten teljesíthetők a személyes adatok védelmének jogi és technológiai követelményei, kiemelten a célhozkötöttség, vagyis az adatkezelési célhoz szükséges és elégséges mértékű és időtartamú adatkezelés biztosítása.
A PET Portálon hamarosan közzé tesszük a következő tanulmányt, melynek címe „Bioszkript alkalmazása az elektronikus szavazásban”. Ez a tanulmány is az Alma Mater könyvsorozatban jelent meg.
Google Health - barát, vagy ellenség?
|
|
2008.05.31. 13:01:51
Gulyás Gábor
Múlt hét hétfőn indult el a Google Health szolgáltatása, melynek legfőbb célja, hogy egy helyen tároljuk személyes orvosi adatainkat. Így egyszerűbbé, áttekinthetőbbé válik azok kezelése, könnyebben kereshetünk közöttük, és elveszteni is nehezebb a bejegyzéseket; arról nem is beszélve, hogy ha az orvosunk webkettő kompatibilis, vele is meg tudjuk osztani könnyedén ezeket az információkat.
Mindenki számára természetes alapkövetelmény, hogy ezeket az adatokat biztonságosan kell tárolni, hiszen sokkal nagyobb problémát jelenthet adott esetben, ha illetéktelenek kezébe kerül, mint mondjuk a heti rendünk a Google Calendar-ból. Talán nem is ez a legérdekesebb kérdés; mit fog tenni aNagy Testvér az adatainkkal? Pontosabban, mit is tehet?
Az egyszeri kitöltés algoritmusa és az étkező kriptográfusok protokollja
|
|
2008.05.26. 23:11:11
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat harmadik darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni. A sorozat előző darabja itt olvasható:http://pet-portal.eu//blog/read/66/2008-04-23-Szimmetrikus-kriptografia.php
Előző bejegyzésemben megígértem, hogy írok majd az OTP-ről, vagyis az egyszeri kitöltés algoritmusról, méghozzá azért, hogy illusztráljam, nem minden algoritmust lehet feltörni a nyers erő módszerével. Úgy éreztem, hogy ennek a szimmetrikus kriptográfiáról szóló blogbejegyzés után van itt az ideje. Ebben a bejegyzésben azonban terítékre kerül az étkező kriptográfusok protokollja is, mivel a két algoritmus által használt matematikai konstrukció ugyanaz. E két módszer ismertetésénél azonban sajnos nem lehet „megúszni” a matematikát, úgyhogy ebben a bejegyzésben kicsit több lesz az elmélet. Mindazonáltal bízom benne, hogy ez nem riasztja el a laikusokat – igazán bonyolult dolgokról nem lesz ugyanis szó.
Mert így gazdaságos: roaming egy madzagon!
|
|
2008.05.20. 12:47:11
Gulyás Gábor
Korábban is már tettünk említést az olyan egyszeri elemek alkalmazásának veszélyeiről, amelyek meghibásodásukkal egy egész hálózat leállását vonhatják maguk után (SPF, Singe Point of Failure). Az ilyen elemeken minden forgalom áthalad általában (feltéve, hogy például nem a tápellátásról van szó, vagy emberi erőforrásokról; bár ez utóbbinál ez a kifejezés nem használatos), és így könnyebbé válhat az adott információ megfigyelése.
KeePass: tároljuk jelszavainkat biztonságosan!
|
|
2008.05.13. 10:48:06
Gulyás Gábor
Lassanként bármilyen szolgáltatást is szeretnénk igénybe venni, rögtön szembesülünk a helyes jelszó megválasztásának nehézségével - főleg, ha már a tizedik megjegyzendő jelszóról van szó -, de ha szemfedőt veszünk, és maradunk az "alma123" sémánál, akkor számos olyan cikket találhatunk, amely szembesít minket hanyagságunkkal. Ha webről van szó, használhatjuk a böngészőnket is erre a célra, de ez nem mindig célra vezető megoldás (forrás), helyette célszerűbb a jelszó adatbázist, és így a böngészőben tárolt profilunkat is, vagy hordozható eszközön, vagy titkosított partíción tárolni.
Szteganográfia - eszköz a privátszféra védelmében?
|
|
2008.05.05. 13:18:07
Gulyás Gábor
A kriptográfia célja - igen röviden -, hogy a közölt információk módosítás nélkül, esetleg továbbra is bizalmasan érjenek célba. A szteganográfia célja viszont, hogy maga az információközlés ténye rejtett maradjon, függetlenül attól, hogy védjük-e azt valamilyen technikával. E mellett persze védhetjük kriptográfiai módszerekkel a küldött információt, ha biztosra szeretnénk menni. Számtalan példát találhatunk a történelem során a szteganográfia alkalmazására, de ma, az informatika korában ezen lehetőségek száma igen csak megnövekedett.
Az ujjlenyomat nem személyes adat?
|
|
2008.04.28. 13:56:41
Herczeg Artúr
Michael Chertoff a minap azt állította, hogy az ujjlenyomat nem személyes adat. Miért érdekes ez? Mert ő az USA Homeland Security egyik vezető beosztású tisztviselője. A Homeland Secutity felelős (az USA) határain belül és kívül elkövetett terrorista cselekmények megakadályozásáért és a belbiztonság ezzel kapcsolatos részéért:
"The term homeland security refers to the broad national effort by all levels of government to protect its territory from hazards, both internal and external, natural and man-made. The term is also used to refer to the United States Department of Homeland Security itself."
A nemzetbiztonság kifejezés mögött (homeland security) egy széleskörű nemzeti erőfeszítés áll a kormányzat minden szintjén, hogy megvédjék a területüket minden veszélytől, legyen az belső vagy külső, természeti vagy embertől származó.
(Wikipedia: http://en.wikipedia.org/wiki/Homeland_security)
Magyar jog szerencsére elég egyértelmű ezzel a kérdéssel kapcsolatban:
Személyes adat: bármely meghatározott (azonosított vagy azonosítható ) természetes személlyel (a továbbiakban: érintett) kapcsolatba hozható adat, az adatból levonható, az érintettre vonatkozó következtetés. A személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. A személy különösen akkor tekinthető azonosíthatónak, ha őt – közvetlenül vagy közvetve – név, azonosító jel, illetőleg egy vagy több, fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző tényező alapján azonosítani lehet;
Az ujjlenyomat személyes voltát a következőképpen tagadta:
"QUESTION: Some are raising that the privacy aspects of this thing, you know, sharing of that kind of data, very personal data, among four countries is quite a scary thing.
SECRETARY CHERTOFF: Well, first of all, a fingerprint is hardly personal data because you leave it on glasses and silverware and articles all over the world, they’re like footprints. They’re not particularly private."
KÉRDÉS: Többen felvetették, hogy a magánélethez való jog vonatkozásában ez a dolog, tudja, ilyen típusú adatok megosztása négy ország között, eléggé riasztó dolog.
CHERTOFF titkár: Nos, először is, az ujjlenyomat aligha személyes adat, mert otthagyjuk az üvegen, az ezüst eszközökön és minden használati cikken a világ minden táján, olyanok, mint a lábnyom. Nem igazán magánjellegűek.
Tehát ha már mindenhol otthagyjuk, az nem személyes adat? Magyar törvények szerint az. Miért olyan égető kérdés ez? Hiszen én itt élek, ők meg ott. Nos, azért, mert meg akarja osztani az ujjlenyomat adatbázisokat egymással az USA, Kanada, Nagy Britannia, és Ausztrália.
Mi lehet a következő lépés? Tudjuk, hogy az USA már most feltételül szabja beutazásnál az ujjelnyomatok és egyéb személyes adatok átadását. Elgondolkodtató, hogy ez trend-teremtő lesze-e a következő években, évtizedben. Az EPIC felmérése szerint igen, hiszen a magánélethez való jog tiszteletben tartása világméretűen egyre rosszabb mutatókat hoz.
Lehet-e ideológiát találni egy ilyen méretű személyes adat átadáshoz? Csak a törvényektől és a törvényalkotóktól függ.
Szimmetrikus kriptográfia
|
|
2008.04.23. 17:42:34
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat második darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni. A sorozat első darabja itt olvasható:
Az előző részben adott, általánosabb jellegű bevezetés után picit közelebbről is megnézzük a kriptográfiai algoritmusokat. Csak a teljesség kedvéért: az algoritmus valamely feladat elvégzésére hivatott lépések véges sorozata (pl. a szakácskönyvek receptjei algoritmusoknak tekinthetőek). A kriptográfiai algoritmus tehát olyan módszer, mely rejtjelezéssel kapcsolatos feladatot hivatott megoldani (azért nem pusztán azt írtam, hogy „olyan módszer, mely rejtjelez”, mert így a definíció nem vonatkozna a hash függvényekre – róluk majd egy későbbi blogbejegyzésben írok).
Anonim-e az anonim böngésző?
|
|
2008.04.16. 08:24:36
PET Portál
A web privátszférát érintő kérdésere - természetesen a felszámolandó problémát tekintve - számos megoldás létezik. A hálózati anonimizáló és szűrő megoldások mellett ide sorolhatunk olyan kiegészítő védelmi technikákat, amelyek nem közvetlenül a hálózati privátszférát érintik, mint például a spyware eltávolító és szűrő programok; hiszen a kémprogramok egy része hajlamos a böngészési előzmények, sütik között is keresgélni. Azonban teljeskörű védelmet - a hálózatot érintő privátszféra védelem tekintetében - csak az anonim böngészők kínálnak.
A PET Portálon hamarosan közzé tesszük a következő tanulmányt, melynek címe „Anonim-e az anonim böngésző? Technológiák és szolgáltatások elemzése”. A tanulmány a web privátszférát érintő kérdéseinek elemzésén túl bemutatja az anonim böngészők világát, és összehasonlító módon elemez néhány szolgáltatást, amely segíthet az érdeklődőknek a szolgáltatások közötti eligazodásban, a megfelelő böngésző kiválasztásában. Ez a tanulmány is az Alma Mater könyvsorozatban jelent meg, és amelyekből a későbbiekben további, technológiai vonatkozású írást a PET Portálon is letölthetővé kívánunk tenni.
Mi is az a garlic routing?
|
|
2008.04.09. 20:07:54
Gulyás Gábor
Ahogy azt már számos olvasó kitalálhatta, az "onion routing " továbbfejlesztett változatát nevezik így, az analógiát folytatva: a garlic routing több csomagot ölel fel egyszerre és zárja azokat egy titkosított üzenetbe, így megnehezítve a forgalomanalízist. Az I2P anonimizáló hálózat projektje használja ezt a technológiát; a honlap leírásai között erről is találhatunk további információkat (ellenben a Wikipedia, jelen esetben kissé szegényes bejegyzésével).
Kriptográfia - hol segít a privátszféra védelmében a titkosítás?
|
|
2008.04.08. 19:08:17
Földes Ádám Máté
Ez a bejegyzés egy hosszabbra tervezett, kriptográfiai témájú sorozat első darabja. A bejegyzésekben nem bocsátkozom komoly elméleti fejtegetésekbe – csak a privátszféra védelme iránt érdeklődő laikus vagy szakmabeli számára potenciálisan érdekes dolgokat szeretném kifejteni.
Mi is egyáltalán a kriptográfia? Röviden és velősen megfogalmazva az információ elrejtésének, titkosításának, rejtjelezésének tudománya. (Egyes „iskolák” ide sorolják a kriptanalízist is, mely diszciplína a titkosított formában létező információ olvashatóvá tételével, visszafejtésével foglalkozik.) A kriptográfia alkalmazásának lényege, hogy a titkosított információ, kerüljön bár illetéktelen kezekbe, használhatatlan legyen mindenki számára, aki nem ismeri a visszafejtéshez szükséges paramétereket – ez utóbbiakról egy későbbi bejegyzésben lesz szó. Nem nehéz felismerni, hogy a titkosítás a privátszféra védelmének egyes területein alappillérnek számít – hiszen mi lenne az átlagember számára a kriptográfia alkalmazásának motivációja, ha nem az, hogy mások elől elrejtsen bizonyos érzékeny természetű információkat? Ebben a blogbejegyzésben a titkosítás egyes PET-es alkalmazásairól lesz szó. A későbbi részekben pedig igyekszem a lehető legkevesebb matematikai „töltelékkel” bemutatni az ezekben a megvalósításokban használt algoritmusokat, módszereket.
A helyzetünkről árulkodó információk és a privátszféra kapcsolata
|
|
2008.04.04. 18:23:27
Gulyás Gábor
Az angol szakirodalomban Location Privacy néven szerepel ez a témakör, melybe igen sok minden beletartozik. Alapvetően két főbb ok miatt válhat érdekessé ez a téma: egy olyan szolgáltatásról beszélünk, amelyben a helyzeti információnkat közzé tehetjük, megoszthatjuk másokkal, vagy pedig valamilyen hiba folytán szivárog a helyzetünkről szóló, vagy abból származtatható többlet információ, és így illetéktelenek férhetnek hozzá. Összetett privátszféra védelmi rendszerek (PET-ek) mindkét lehetőséget figyelembe veszik és próbálnak védekezni az információszivárgás ellen is, valamint belső protokolljaik, működésük a megfelelő információ menedzsment által megvalósítják a felhasználó központú kontrollt.
Az információszivárgás esete talán az érdekesebb, hiszen ez esetben nem tudhatjuk biztosan, hogy ki figyeli, figyelheti meg a szivárgó információt, milyen plusz tartalmat képes kinyerni belőle, illetve később mi történik ezzel az információval. Az meg már természetes következménye ennek, hogy az információ élettartamára sem lehetünk hatással.
Bár eddig általánosan közelítettük meg a problémát, de sokkal hétköznapibb szituációk is lehetségesek a helyzeti információ privátszférát érintő kérdéskörében: például amikor egy ismerősünk onnan tudja meg, hogy külföldön vagyunk (mondjuk éppen autóval utazunk, és épp behajtunk egy alagútba), hogy az adott ország nyelvén mondja be a telefonjába a szolgáltató, hogy az előfizető nem található. Helyzetünkre utaló, azt leíró információk még számtalan kérdését vizsgálhatjuk meg; néhány ilyen, egzotikusabbnak számító kérdést fogunk elemezni a bejegyzés további részében.
Névtelen levélküldés - az anonim remailer-ek
|
|
2008.04.01. 23:26:36
Kóbor András
Az Interneten e-maileket küldve a levél fejrész megőrzi az összes eszköz, berendezés nevét, címét, amely részt vett az e-mail továbbításában, valamint az időt, amikor elektronikus levelük továbbításra került. A fejrészeket elolvasva bárki kiderítheti a feladó e-mail címét, illetve azt, hogy honnan küldte a levelet, milyen útvonalon került továbbításra, valamint, hogy milyen egyéb címekre lett elküldve. Ezek után egy rosszindulatú szereplő támadhatja az adott címet akár SPAM-ekkel, akár más káros módon. Több módszer is létezik, mellyel védekezhetünk az ilyen jellegű támadások ellen, most nézzük a névtelen levélújraküldő használatával történő védekezést.
Mit nevezünk anonim remailer-nek, avagy névtelen levélújraküldőnek? A névtelen levélküldő tulajdonképpen egy szerver, egy megcímezhető átjáró, mely kiveszi a levelezőszerverünk és a különböző eszközök által a levélhez csatolt kliens és szerverinformációkat, esetleg helyettesíti azokat, majd továbbítja a levelet a címzetthez. A névtelen jelző ebben az esetben mindig teljesen helytálló, hiszen a címzett nem minden esetben egy feladó nélküli levelet kap, hanem egy pszeudonim azonosítóval vagy a remailer információval ellátott levél érkezik a postafiókjába. Léteznek olyan remailer-ek, melyek adatbázisokban tárolják a pszeudonim azonosító-valódi e-mail cím párokat (pszeudonim remailer), így lehetőséget nyújtanak a levél megválaszolására, és vannak, melyek csak egyszeri küldést biztosítanak, a címzett válaszlehetősége nélkül (fire and forget).
Napjainkban többé-kevésbé négy különböző remailer típust különböztethetünk meg:
Pszeudonim remailer-ek: ezek a szerverek kicserélik az eredeti feladó címét egy pszeudonim azonosítóra, majd elküldik a levelet a címzettnek, amely a szerveren keresztül a feladó pszeudonim azonosítójának birtokában megválaszolhatja azt.
Cypherpunk remailer-ek: ezen remailerek kiveszik a feladó címét, de nem helyettesítik azt valamilyen azonosítóval, tehát a címzett az üzenetet megkapva nem képes megválaszolni azt. Lehetőség van az üzenet titkosítására is, valamint több remailer egymás után fűzésére is, így később nagyon nehéz megállapítani a feladó-címzett kapcsolatot.
Mixmaster remailer-ek: ezen szolgáltatás használatához szükségünk van egy számítógépre telepített programra (kimenő proxy-ra), amellyel megírjuk az üzeneteket. Ez a fajta remailer ugyanis fix hosszúságú üzenetszegmenseket továbbít, melyeket újrarendez, valamint bitekkel „tölt ki”, és úgy küld el, megakadályozva, hogy illetéktelenek megfejthessék annak tartalmát. Tehát nem csak kiküld minden csomagot (amilyen gyorsan csak lehet), hanem átrendezi azok sorrendjét, és különböző utakon továbbítja azokat a címzettnek.
Mixminion remailer-ek: ez a fajta levéltovábbítási mód a mix-hálózatok használatán alapul. A mix-hálózatról dióhéjban annyit, hogy a hálózat csomópontok összessége, amelyek a kliens által választott sorrendben végigküldik maguk között az üzenetet titkosítva egymás nyilvános kulcsával, és mindegyik csomópont csak a következő csomópont címét ismeri, ezzel biztosítva az üzenet (és a feladó ) útjának visszakövethetetlenségét. Lehetőségünk van pszeudonim és anonim módon is levélküldésre.
Néhány jó tanács a remailer-ek használatához:
- használjunk kliens-alapú levelezőprogramokat a web-alapúakkal szemben, ugyanis ilyenkor lehetőségünk van titkos csatornát létrehozni már a saját gépünk és a levelezőszerver (valamint a remailer) között is
- ha mindenképpen web-alapú levelező alkalmazást használunk, akkor lehetőség szerint használjunk megbízható, titkosítást támogató böngészőket
- használjunk digitális aláírást és titkosítást!
Új tanulmány tölthető le a PET Portálról
|
|
2008.03.25. 09:51:53
PET Portál
A korábban beharangozott, most elérhetővé tett, nyomtatásban is megjelent publikáció az adatbányászat és az adatvédelem viszonyáról szól. Azon tanulmányok sorába illeszkedik, amelyek a „Szabad adatok, védett adatok” című kötetben (az Alma Mater könyvsorozat tematikus számában) jelentek meg, és amelyekből több, technológiai vonatkozású írást a PET Portálon is letölthetővé kívánunk tenni.
Anonim vásárlás kényelmesen - "egyszer használatos" bankkártyák
|
|
2008.03.23. 20:47:14
Földes Ádám Máté
A bankkártya jó dolog – használata kényelmes, többé-kevésbé biztonságos, és Magyarországtól nyugatra a legtöbb helyen gyors is. Más szemszögből a konvencionális betéti és hitelkártyák arra építenek, hogy mind a kereskedőben, mind a kártyakibocsátó bankban megbízunk, már ami személyes adataink és pénzünk kezelését illeti.
Ha az Interneten vásárolunk, egy űrlapra be kell pötyögni bankkártyánk bizonyos adatait, amiket ki tudja, mennyi ideig, hol és hogyan fognak tárolni, kezelni és használni. Ezen probléma áthidalására a legtöbb bank nyújt ún. virtuális bankkártya szolgáltatást, már egy ideje Magyarországon is. Ez voltaképp egy ideiglenes számla, amelyre valós számlánkról feltöltünk valamekkora összeget, majd e számla adataival intézzük a vásárlást. A webáruház sohasem fogja megtudni valós számlánk paramétereit.
Lehetséges lenne valódi áruházban úgy vásárolni bankkártyával, hogy ott összes pénzünkre és bankkártya-adatainkra még potenciálisan sem teheti rá senki a kezét? A problémára többféle megoldás van. Ezek egyike az „egyszer használatos” bankkártya, mely az Egyesült Államokban viszonylag elterjedtnek mondható. Egy ilyen kártya lehet anonim vagy nevesített, tölthető vagy valóban egyszer használatos, stb., de az mindenképp igaz rá, hogy nem kell hozzá bankba járkálni számlát nyitni, hanem akár az Interneten, akár egyes boltokban kiválthatjuk. Mindenképpen figyelemre méltó, hogy egyes kártyákhoz nem kérik személyes adatainkat a kibocsátók, vagy ha kérik, nem ellenőrzik azokat – teljes anonimitást biztosítanak. Persze mindennek ára van: általában magasabbak a tranzakciós díjak, nem vehetünk fel pénzt ATM-ből, nincs PIN-kód, és a kártyakibocsátó felelőssége is jóval korlátozottabb a vitás esetek rendezésekor.
A továbbiakban jöjjön egy pár személyes vélemény. Szép és jó, hogy vannak ilyen egyszer használatos bankkártyák, de ahogy láttam, eddig leginkább az Egyesült Államokban terjedtek el. Mint tudjuk, Magyarországon örülhetünk, ha egy boltban van bankkártyaleolvasó terminál (mágnescsíkos, és nem "okos kártyás" ), és nem kell tömérdek bankót magunknál tartani egy értékesebb termék megvásárlásakor. Azt hiszem, a probléma a kereslet: Magyarországon ma még mindig sokan kiveszik összes pénzüket a bankból fizetésnapon, és meglehetősen inerciózusak az olyan „modern” dolgokkal kapcsolatban, mint a bankkártya. Nem csodálkoznék tehát, ha ebben az emberöltőben nem találkoznék egyszer használatos kártyával Magyarországon...
Pedig véleményem szerint van fantázia az ötletben. Hányszor hallottunk már olyat a híradókban, hogy vagy két kártyaolvasón, vagy egyetlen „megpatkolton” húzták le a bankkártyát, majd a mágnescsíkot klónozva megkárosították az ügyfelet? Az egyszer használatos kártya segítségével egy hasonló katasztrófa hatása nagyszerűen korlátozható – hatékonyabban, mint a normál bankkártyák napi limitjével. Az anonimitás ehhez képest már csak pluszszolgáltatás (persze ha elveszítjük a kártyát, akkor vagy a maradék pénzünknek, vagy az anonimitásunknak könnyes búcsút inthetünk...). De már hallom is a szkeptikus hangokat: „Mi célja lehet vajon egy anonim kártyával a birtokosának? Tán el akar rejtőzni valaki elől?” Egyrészt készpénzes vásárláskor sem kéri senki, hogy igazoljuk magunkat. Másrészt az általam belinkelt kártyák maximum 500$ értékben kaphatóak, és alkalmatlanok a készpénzfelvételre. Szerintem nem kell mondanom, hogy ez az összeg aprópénz egy maffia- vagy terroristaügyletben, tehát az sem igaz, hogy ezek a kártyák bármilyen módon segítenék a szervezett bűnözést.
Végül pár szó az egyszer használatos kártya hátrányairól. Mivel általában nem tölthető, hamar bekövetkezhet az, amit a számítógépes állományrendszereknél tördelődésnek, fragmentációnak hívunk – nevezetesen, hogy több kártyán marad önmagában használhatatlanul kicsi összeg. Tekintve, hogy az ilyen kártyákról bankszámla híján nem lehet átutalásokat végezni, ez akár viszonylag komoly problémát is jelenthet. Nem tudom, hogy Magyarországon mennyire lehetséges az ún. osztott tranzakció (split transaction), vagyis több forrás (több kártya, kártya + készpénz, stb.) bevonása a fizetésbe – mindenesetre az Egyesült Államokban ez mindennaposnak számít. Ha ez a lehetőség „nem játszik”, akkor a maradék összeget jóformán elbuktuk – maximum annyit tehetünk, hogy a pénzt felajánljuk valamelyik jótékonysági szervezetnek.
Egyszer használatos kártyák:
Adatbányászat kontra adatvédelem?
|
|
2008.03.22. 21:58:41
PET Portál
A PET-ek „párjának”, ellentétének tekinthetők a privacy-invazív technológiák – azok, amelyek nem hogy nem erősítik, hanem éppen hogy gyengítik a magánszféra védelmét, a személyes adatok feletti önrendelkezést. Sokan ilyennek tekintik a kommunikáció lehallgatásához vagy a spammeléshez képest sokkal kevésbé látványos adatelemzési módszereket, illetve a mögöttük rejlő, összefoglalóan „adatbányászatnak” nevezett technológiát is. Ezek alkalmazásával a már céljukat vesztett személyes adatok is újból felhasználhatók, az érintettek tudta nélkül, az eredeti céltól független más célokra is, ráadásul az adatokból olyan következtetések is levonhatók az érintettek viselkedésére, hajlamaira, amelyeket esetleg maga az érintett sem tud. Úgy tűnik tehát, hogy az adatbányászati módszerek alkalmazása eleve ellentétes az adatvédelem elveivel és törvényi szabályaival – vagy fordítva, a privátszférát erősítő technológiák alkalmazása gátolja az adatbányászati módszerek hatékony alkalmazását.
Azonban az érintett személyek által használható PET-eknek is van egy „párjuk” is: azok az információs-kommunikációs technológiák, amelyeket maguk az adatkezelők alkalmazhatnak, ha korrekt módon kívánnak eljárni a birtokukban lévő személyes adatok kezelésénél. Az adatbányászat terén is létrejöttek azok a módszerek, amelyeket „magánélet-védő adatbányászatnak” neveznek (angol rövidítése PPDM). Természetesen az ilyen technológiák alkalmazásánál is követelmény, hogy ne gátolják az eredeti funkcionalitást, például az üzleti cél elérését.
A soron következő, nyomtatásban is megjelent publikáció, amelynek teljes szövegét hamarosan elérhetővé tesszük a PET Portálon, az adatbányászat és az adatvédelem viszonyáról szól. Azon tanulmányok sorába illeszkedik, amelyek a „Szabad adatok, védett adatok” című kötetben (az Alma Mater könyvsorozat tematikus számában) jelentek meg, és amelyekből több, technológiai vonatkozású írást a PET Portálon is letölthetővé kívánunk tenni.
Sütik, piték és a webes megfigyelés
|
|
2008.03.16. 18:23:51
Gulyás Gábor
A web indulásának elején alapvető probléma volt, hogy a weboldalak állapotmentesek voltak, azaz nem tároltak információkat a látogatásról, az elvégzett műveletekről, mindig ugyanabban formában jelentek meg. A sütiket (cookie) a web statikus mivoltának enyhítésére találták ki: a sütik a látogató számítógépén tárolt információk, melyeket a weboldal látogatása elején automatikusan megkap a weboldal. Szerencsére minden oldal csak azokhoz a sütikhez fér hozzá, amelyeket a saját címére vannak elmentve; hogy az oldalak ne tudjanak a sütiken keresztül egymásnak üzenni, egy oldal csak saját magának menthet el sütiben információt.
Sütiket azonban nem csak akkor menthet el egy webes kiszolgáló, ha őt látogatjuk meg, elég, ha beágyazzák egy hirdetését egy oldalba. Erre sincs feltétlenül szükség, az ún. web poloskák (web bug) speciális 1x1 pixeles, láthatatlan hátterű kis képek, amelyeket észre sem lehet venni, de lehetővé teszik az őket megosztó webes kiszolgáló számára, hogy kövessenek minket.
A weboldal megnyitásával automatikusan letölti a böngészőnk a beágyazott poloskát is. A poloskán keresztül kapunk egy egyedi azonosítót, és a későbbiekben ezen keresztül azonosít a poloskával minket megfigyelő szolgáltató, aki azt is mindig tudja, hogy milyen oldalt nyitottunk meg, amelyen a poloska szerepelt. Így naplózni tudja tevékenységünk, amely alapján profilt készíthet rólunk. A profilt számos számunkra előnyös, de jó néhány kellemetlen dologra is fel lehet használni, mint például: kaphatunk személyes ízlésvilágunkra szabott tartalmat és funkcionalitást, de célzott hirdetéseket vagy épp dinamikus árlistát. A web poloskák szűrésére és detektálására használható a PET Portál sajtóbemutatóján is ismertetett program, az Internet Explorer böngészőbe telepíthető Bugnosis .
Hasonlóan a sütik analógiájára, a Flash 6 óta elérhetőek az ún. LSO-k (Local Shared Object, helyben tárolt megosztott objetum), melyekben a flash-ben írt programok tárolhatnak információkat. Ezeket első sorban sütikhez hasonlóan munkamenet azonosítók, vagy egyéb hasznos információk tárolására szántak, mint például pontszámok, szintidők, vagy éppen a már megjelenített hirdetések azonosítóinak tárolására.
Az LSO-k segítségével a sütiknél leírtakhoz hasonlóan lehetőség nyílik a nyomkövetésre, hiszen manapság teljes természetesnek számít, hogy a webes portálokon tömérdek Flash reklámba botlunk, lépten-nyomon. Az angol szakirodalomban a követésre használt LSO-kat épp PIE (Persistent Identification Element, megmaradó azonosító elem) elnevezéssel illették. (Ha az angolul cookie-nak hívott találmányt sütinek fordította a szakma, akkor a véletlenül PIE-nak nevezett elem helytálló fordítása a pite.)
Mit tehetünk? A Firefox böngésző használóinak az LSO-k kezelésére ad lehetőséget az Objection kiterjesztés, mellyel a sütikezelő megoldásához hasonlóan törölhetjük a Flash programok által mentett adatokat, de segítségével az is kiderül, hogy merevlemezünkön hol tárolja a Flash lejátszó ezeket az adatokat. A Macromedia oldalán keresztül elérhetünk egy kezelőfelületet, amelyben például letilthatjuk az LSO-kat véglegesen is.
További olvasnivaló:
Egy félreértés tanulságai
|
|
2008.03.14. 23:49:23
Székely Iván
Az egyik internetes IT hírportál beszámolt a PET Portál és Blog tegnapi bemutatójáról, és azt vészjóslónak, bulvárosan hisztériakeltőnek, sőt madárijesztőnek ítélte. Sajtószabadság van, a hír szent, a vélemény szabad. A hírportál félreértése azonban tanulságos.
Megértem, hogy aki a reklámokból vagy az információs iparból él, azonosul az érdekeivel, erről gondoskodik a vállalati pszichológus vagy maga az emberi természet. Ezért akár úgy is gondolhatja, hogy minden olyan kezdeményezés, vagy akár csak lehetőség megmutatása, amely alternatívát jelent a „soha nem látott pontossággal célozható reklámokhoz” képest, az riogatás, paranoia, elbújás saját arcunk elől stb. – más szóval, saját üzletének, világának ellensége. Ha pedig így gondolja, akkor azokat a sablonos érveket veszi elő, amelyeket egy jó marketinges alkalmaz a cége, iparága érdekében, és amelynek általában hű szövetségese az őt kiszolgáló informatikus.
A privátszférát erősítő technológiák azonban nem erről szólnak. Mint ahogy a bemutató sem erről szólt – legalább is más résztvevők és a saját megítélésem szerint. A PET-ek az internetes világ minden előnyének élvezését lehetővé teszik a felhasználók számára, csak a kontroll lehetőségét adják vissza a felhasználóknak adataik sorsa felett.
És még valami. Ez a portál, amelynek létrehozásában magam is bábáskodtam és elvállaltam szerkesztőbizottsági tagságát, nem egy anti-globalizációs, aktivista fórum, a profitorientált világ esküdt ellensége. A blogjában természetesen minden szalonképes, a témához tartozó vélemény megjelenhet, de a portál maga egy szakmai fórum, amely a magyar informatikai szakma által kevéssé ismert terület bemutatását kínálja a látogatóknak, illetve gyakorlati ismereteket a laikus felhasználóknak. Ők pedig döntsék el maguk, hogy akarnak-e élni ezekkel a lehetőségekkel – más szóval, legyen választásuk.
Sajtóbeszélgetésen mutattuk be a PET Portált a nyilvánosságnak
|
|
2008.03.14. 23:49:18
Székely Iván
2008. március 13-án az OSA Archivumban sajtóbeszélgetés keretében mutattuk be a portált a nyilvánosságnak. Nem kívántunk sablonos, „frontális” sajtótájékoztatót tartani, ehelyett – a portál céljainak, szolgáltatásainak és jövőbeli lehetőségeinek bemutatása mellett – a téma aktualitását is igyekeztünk megmutatni, és a sajtó képviselői mellett a privátszféra védelmének ismert szakértőit is meghívtuk az eseményre. A beszélgetésen többek között jelen volt Majtényi László, Magyarország első adatvédelmi biztosa, Galántai Zoltán, a magyarországi Nagy Testvér Díj létrehozója, Szabó Máté Dániel és Simon Éva adatvédelmi szakértők és Kiss Ferenc, az Információs Társadalom Alapítvány kutatási igazgatója, a PET-vonatkozású tanulmányokat is közlő Alma Mater könyvek sorozatszerkesztője. Partnereinket Krasznay Endre, az ITcafé felelős szerkesztője és Pintér Róbert, az Információs Társadalom- és Trendkutató Központ (ITTK) igazgatója képviselte.
A felvezető prezentációt Székely Iván tartotta, majd a portált Gulyás Gábor György mutatta be a jelenlévőknek, ezt követően pedig a jelenlévők aktív közreműködésével konstruktív beszélgetés kezdődött, számos kérdés, kommentár, javaslat hangzott el.
Az online, írott és elektronikus sajtó egyaránt beszámolt a portál bemutatójáról; volt köztük olyan is, amely „riogatásnak” értékelte a PET technológiák aktualitásának bemutatását, a beszámolók többsége azonban reális megítéléssel, tárgyszerűen mutatta be a témát és a kezdeményezést. A portál sajtóbeli megjelenését igyekszünk bemutatni látogatóinknak.
SPAM védelem eldobható e-mail címekkel
|
|
2008.03.13. 09:27:37
Kóbor András
Sajnos manapság általános probléma, hogy naponta több SPAM-et is kapunk elektronikus postafiókunkba, melyek amellett, hogy rendkívül zavaróak, hasznos levelezésünket is befolyásolhatják. Például nehezebben találjuk meg a fontos leveleket, illetve a kéretlen reklám megtöltheti e-mail tárhelyünket.
Az e-mail címünk illetéktelen kezekbe kerülhet, például úgy, hogy a különböző weboldalakon történő regisztrálás során valahogy „kiszivárog” a rendszerből, majd ezek után egy illetéktelen személy birtokába kerül. Az ilyen jellegű SPAM-támadásokkal szemben nyújtanak védelmet az eldobható e-mail címek.
A módszer lényege, hogy egy olyan e-mail címet készíthetünk, mely valójában csak átirányítja az erre a címre érkező leveleket a valódi postafiókunkba. Tehát nem szűr, nincs a levél méretére vonatkozó szabályozás! Egy ilyen címmel bátran regisztrálhatunk bárhol, bárkinek kiadhatjuk, hiszen ha egy spammer birtokába kerül, akkor egyszerűen megszüntetjük, és a rendszer elnyeli azokat a leveleket, melyeket erre a címre küldenek. Tehát létrehozhatunk egyet-egyet minden regisztrációhoz: kedvenc honlapunkhoz, fórumunkhoz, letöltéseinkhez, stb. Megadhatjuk, hogy meddig szeretnénk használni az eldobható címet, ez lehetséges időre, illetve továbbított e-mail mennyiségre. Lehetőség van továbbá meghosszabbítani a lejárat előtt a szolgáltatást, illetve bármikor megszüntethetjük azt, valamint később újra aktiválhatjuk. Attól sem kell tartanunk, hogy valaki más a lejárat után felhasználja eldobható címünket, mert a rendszer csak az eredeti továbbítási címre engedélyezi meghosszabbítani, újra aktiválni a szolgáltatást.
Végezetül pedig egy kis statisztika az MPP Desktop szolgáltatásából: 21778 eldobható e-mail cím mellett 381270 eldobott SPAM. Tehát a szolgáltatás használata nélkül ezek a kéretlen levelek mind-mind a saját postafiókunkban landoltak volna!
Az én merevlemezem - az én váram
|
|
2008.03.07. 22:26:06
Földes Ádám Máté
Németországban nemrég nagy port kavart, hogy a német hatóságok a
terrorizmus elleni harc "hevében" egyre intenzívebben próbáltak
behatolni a gyanúsítottak privátszférájába. Egy ilyen "projekt" a
Skype-beszélgetések lehallgatása volt, de ezt viszonylag hamar
berekesztették, mert a hivatalos közlés szerint nem tudták feltörni a
titkosítást. Az újabb ötlet az ún. Bundes-Trojaner használata volt.
Ezt a trójai falovat különböző német hatóságok nevében küldték volna a
gyanúsítottaknak e-mailben. Az ötletet azonban a német Legfelsőbb
Bíróság elutasította, mondván, az sérti az alkotmányos alapjogokat, és
bár a német hatóságok számára továbbra is lehetséges marad a
merevlemezek tartalmának vizsgálata, ezt csak nagyon szigorú
feltételek mellett tehetik.
A döntést üdvözölte a német közvélemény, ám Wolfgang Schäuble
belügyminiszter továbbra is törvénymódosításon gondolkodik, és a
kémszoftver fejlesztése máig folyamatban van. Mindemellett kérdéses,
hogy egyes, szintén a privátszférához tartozó, ámde személyi
számítógépnek nem nevezhető eszközökre (okostelefon, PDA, stb.) is
vonatkozik-e az ítélet.
Persze nyilván nemcsak jogi oldalról merülnek fel kérdések. Egyrészt,
hogyan veszik rá a gyanúsítottat, hogy önként és dalolva
felinstallálja a trójai falovat a gépére? Másrészt, hogyan tervezik
úgy megcsinálni a programot, hogy az több platformon is hatékonyan
működjön? Végül pedig hogyan érik el, hogy a program átjusson egy
egyszerűbb víruskereső vagy kémprogramirtó ellenőrzésén?
További információ:
A német rendőrök nem bírnak a Skype titkosításával
Ausztriában engedélyezik a kormányzati trójai programok használatát
Germany floats Trojan for terror suspects
A PET Portál új címen érhető el!
|
|
2008.03.06. 08:42:11
Gulyás Gábor
A mai naptól a PET Portál hivatalos, új címe a pet-portal.eu ! Szeretnénk megkérni olvasóinkat, hogy ezt a címet részesítsék előnyben a régi címmel szemben, a portálunk is automatikusan erre a címre fog váltani. Természetesen a régi hírcsatorna feliratkozások is élnek még, de fokozatosan teljesen át fogunk térni erre a címre.
PET Portál a HVG-ben
|
|
2008.03.04. 20:42:08
Gulyás Gábor
A HVG 2008. februári Háló című mellékletében megjelent egy interjú a PET Portálról, melyet Zádori Zsolt készített velünk. Szerettük volna közzé tenni az on-line elérhető változatát az interjúnak, azonban sajnos időközben lekerült a HVG felületéről.
Ennek ellenére a cikk még mindig elérhető a felületen, a hibáról a HVG munkatársait is értesítettük, a javításig kedves olvasóink türelmét kérjük. Bízunk benne, hogy a kérésünket figyelembe véve a HVG közzé teszi ismét az interjú teljes szövegét.
Az internet földrajzi struktúrájának privátszférát érintő kérdései
|
|
2008.02.26. 16:31:19
[anonymous]
Az Indexen egy nem régiben megjelent cikkben olvashatunk arról, hogy milyen sérülékeny az internet struktúrája; bizonyítást nyert, hogy léteznek olyan csomópontok, melyek kiesésével komoly méretű zónák, területek szenvednek hátrányt. Erre emlegeti példaként Pakisztán, illetve a Földközi-tenger eseteit a cikk.
Fontos, hogy ez ne csupán arra hívja fel a figyelmünk, hogy ezek a hibatűrés szempontjából stratégiailag is fontos csomópontok lehetnek, hanem hogy lássuk, hogy az internet forgalmának jelentős hányada ezeken a pontokon halad át, jóformán teljes egészében titkosítás, illetve egyéb védelem nélkül.
Attól függetlenül, hogy ezen pontok földrajzilag hol helyezkednek el (hiszen megtörténhet a tengeren túl, vagy akár itt Magyarországon is), egészséges nézőpontnak tűnik annak a figyelembe vétele, hogy ezen pontoknál az áthaladó forgalomnak lehallgatása, módosítása egyszerűen megoldható. Akár az is lehetséges, hogy a kapcsolatokba láthatatlan módon valaki közbeékelődjön, és a felek tudta nélkül megszemélyesítsen más feleket. A lehetőségek száma innentől kezdve korlátlan, és csak a fantáziánkon múlik a többi.
Az internetes PET technológiák fő motivációja az ilyen nézőpontú felhasználók igényeinek kiszolgálása, akár böngészésről, levelezésről vagy más internetes szolgáltatások igénybevételéről van szó.
A finn kormány feketelistára tesz egy szólásszabadság-oldalt
|
|
2008.02.26. 12:22:18
[anonymous]
A PET technológiák részben éppen az ilyen kormányzati intézkedések kivédésére valók. A finn kormány cenzúrázni kíván egy olyan internetes oldalt, amelyen azoknak az oldalaknak a listája található, amelyek szerepelnek a finn kormány titkos feketelistáján. Mindig külön érdekesség, ha a cenzúra azokat éri el, akik a cenzúra ellen szólalnak fel. Szerencsére a szólásszabadság elkötelezett hívei a világ számos pontján tükrözik a letiltott oldalon szereplő listát, így a finn kormány már nem tudja a terjesztést megakadályozni.
A biztonság és a privátszféra védelme nem egymás ellentéte
|
|
2008.02.26. 12:20:10
[anonymous]
A Wired egy nemrégiben publikált cikkében amellett szóló érveket olvashatunk, hogy a magánszféra védelme nem a biztonság antitézise. Sőt: a legtöbb magánszférát sértő biztonsági megoldás és intézkedés csak látszatbiztonságot eredményez, a cikk szerzőjének megfogalmazásában csak „biztonságszínházról” van szó, amely politikai szempontból indokolhatja a megfigyeléseket, valójában azonban – a politikai célokon túli – célok elérésére alkalmatlanok.
Törékeny anonimitás
|
|
2008.02.16. 23:01:30
[anonymous]
Bruce Schneier a Cripto-Gram hírlevélben kiváló cikket jelentetett meg az anonimizát adatok könnyű megszemélyesítéséról, pontosabban újraszemélyesítéséről, vagyis az eredeti alanyukkal való kapcsolat helyreállításáról. A nem helyreállíthatatlanul megszüntettet kapcsolat pedig nem jelent igazi anonimitást.
Az identitásról
|
|
2008.02.16. 22:58:51
[anonymous]
Steven Hellernek a Design Observerben megjelent What’s In a Name című írásában a pszeudonimek interneten (fórumokban, blogokban) való használata ellen kelt ki. Szerinte a pszeudonimek gyávaságról és csalásról árulkodnak, ezért elfogadhatatlanok. Az adatvédők a pszeudonimitást a magánszféravédelem jó eszközének, a pszeudonimitásra épülö technológiákat jó adatvédelmi megoldásoknak tartják, ennek ellenére érdemes elolvasni az ellenkező véleményt is.
Ingyenes email biztonsági tanúsítványok és aláírások
|
|
2008.02.16. 22:56:12
[anonymous]
Az emailek titkosítása sokak számára komplikált és fárasztó folyamat. A technológia már majdnem mindenki rendelkezésére áll (a használt levelezőprogramok kezelni képesek), ám a megfelelő titkosító tanúsítványok megszerzésének ára és körülményessége komoly akadályát a technológia széles körű elterjedésének. Az olyan oldalak, mint a Comodo, leegyszerűsítik a folyamatot. Bár biztonság szempontjából nem nyújt tökéletes megoldást, használata – mint bármilyen titkosítási és hitelesítési megoldás alkalmazása – lényegesen javítja az elektronikus levelezés biztonsága szintjét.
Az USA kormányszerveinek szabad hozzáférést szeretne biztosítani az emailekhez és a webkeresési adatokhoz
|
|
2008.02.16. 22:53:57
[anonymous]
Az amerikai titkosszolgálat vezetője, Mike McConnell új, az interneten folyó adatforgalom megfigyelésével kapcsolatos szabályrendszer kidolgozásán dolgozik. A tervek szerint a kormányzati szervek hozzáférési joga rendkívül széles körű lenne. Amellett, hogy az ilyen természetű változások komoly hatással lehetnek a személyi szabadságjogokra, köztük a magánszféra védelmére, arra kell felhívni a figyelmet, hogy míg a „rosszfiúknak” szinte minden eszközük megvan arra, hogy tevékenységüket és kommunikációjukat elrejtsék az őket figyelők elől, addig az ártatlan és a PET-technológiában járatlan internethasználó a megfigyelés tárgyává válik.
Google és a szkeptikusok: OPT-IN, OPT-OUT? No meg a Google-Watch.
|
|
2007.11.25. 14:14:55
Gulyás Gábor
Nem titok, hogyan működik a Google fő szolgáltatása, a webes keresés: a keresőóriás robotjai éjjel és nappal böngészik a webet, és magukévá teszik a weboldalak tartalmát. A tartalmakat hosszú időre eltárolják, és általában akkor is elérhetővé marad, ha az eredeti weboldalt már különféle okok miatt eltávolították.
Miniatür SPAM Enciklopédia
|
|
2007.10.06. 11:00:13
Gulyás Gábor
Manapság mindenki tudja, mi az a SPAM. Aki a virtuális térben jelen van, nap mint nap találkozik vele, és számos kéretlen levelet is kap. Cikkünkben összegyűjtöttünk néhány kevésbé ismert kifejezést a SPAM-ről, és szeretnénk bemutatni egy remek SPAM enciklopédiát (a link a cikk végén szerepel).
Érzékeny adatok védelme II. - Jelszavak, jelszómenedzsment
|
|
2007.10.02. 21:20:18
Gulyás Gábor
Cikksorozatunknak ezen részében a jó jelszóválasztással fogunk foglalkozni. A jelszavaink, ahogy szokták mondani, legyenek olyanok, mint a fogkefénk: cseréljük sűrűn és ne adjuk kölcsön senkinek. Ez valóban egy fontos alapelv, de még kevés. A jelszónak önmagában erősnek kell lennie, hogy a tapasztalt szakembereknek is nehezére essen megszerezni.
Reagált az iWiW
|
|
2007.09.25. 11:08:25
Gulyás Gábor
Körülbelül három hónappal, miután jeleztük az iWiW felé, hogy az e-mail keresés nem megfelelően működik a rendszerükben, reagáltak, és kijavították a hibát. Rövid ideig még a kezdőlapon, az üzenőfal feletti sárga dobozban olvasható volt, hogy felhasználói visszajelzések miatt kiszedték a funkciók. A megoldás jellemző, egyszerű mint a faék, köszönjük.
Érzékeny adatok védelme a munkahelyen és laptopunkon I.
|
|
2007.09.21. 11:05:03
Gulyás Gábor
Szeretnék indítani egy olyan sorozatot, amely heti 1-2 bejegyzéssel megismerteti olvasókkal az érzéken adatok védelmének kritikus lépéseit, eszközeit. Írni fogunk arról, hogyan védhetjük meg megfigyelők elől munkahelyi adatainkat, illetve ha esetleg laptopon, más nyilvános számítógépen dolgozunk, hogyan rejthetjük el az információnkat mások elől. Például, ha ellopnák a laptopunk, akkor a munkánk, a jelszavaink, vagy akár a merevlemezünk tartalma biztonságban legyen.
Természetesen léteznek már manapság olyan speciális hardver eszközök, amelyek merevlemezei kódoltak - itt viszont olyan megoldásokat mutatunk be, amelyek bárki számára elérhetőek, akármilyen géppel is rendelkezzen (némi teljesítménykritériumot figyelmbe véve).
Címkék: -
A Skype Linuxos változata más programok állományaiban kutakodik
|
|
2007.08.26. 19:19:21
[anonymous]
A Skype nevű igen sikeres csevegő- és VoIP-szolgáltatás legfrissebb Linuxos változatában a felhasználók felfigyeltek arra, hogy olyan fileokat is megnyit és beolvas a program, amelyekhez elvileg semmi köze.
Az említett új verziójú (1.4.0.99 és pár korábbi) Skype-ot működés közben elemezve rájöttek arra, hogy a program megnyitja és végigolvassa a /etc/passwd állományt, egy pár egyéb rendszerhez kapcsolódó beállítást az /etc könyvtárból, és a felhasználó Firefox böngészőjének profilját, beállításait, pluginjait, addonjait.
Eltérülhetnek a GMail-be küldött levelek?
|
|
2007.07.23. 11:53:54
Gulyás Gábor
A GMail szolgáltatása valóban béta - ha elég szerencsétlenek vagyunk, akkor valaki más fogja olvasni a leveleinket, és mi soha nem kapjuk meg őket. És ez hogyan működik? Utánajártunk, kipróbáltuk.
Az anonimizer.com leállítja a Private Surfing webes szolgáltatását
|
|
2007.07.22. 13:05:45
Gulyás Gábor
Az anonimizer.com leállította július 20-án a webes felületen keresztül elérhető privát böngészést nyújtó szolgáltatását. Ehhez a szolgáltatáshoz tartozott egy böngésző kiegészítés is - ennek fejlesztését sem folytatják tovább. A felhasználóikat arra kérik, hogy töltsék le és telepítsék a szolgáltatás szoftveres verzióját.
Címkék: -
Hogyan kerüljünk le a Google találat listájáról?
|
|
2007.07.12. 00:43:02
[anonymous]
Bár a legtöbb esetben célunk, hogy minél előrébb kerüljünk a Google találatai között, mégis előfordulhat bizonyos esetekben, hogy jobb szeretnénk, ha az oldalunkat békén hagyná a Googlebot, és más keresőbotok. A következőkben néhány apró trükköt mutatok be ennek elérésére.
Az Európai Közösségek Bizottsága közleménye a PET-ek elterjedésének ösztönzésérõl
|
|
2007.06.25. 17:01:00
Gulyás Gábor
Megjelent és már letölthető magyar nyelvű dokumentumként is az Európai Közösségek Bizottsága közleménye, amely angol nyilatkozatáról már korábban angolul is hírt adtunk.
A dokumentum a PET technológiák fontosságán, alkalmazásának motivációján kívül tárgyalja azok behatárolását is, azaz hogy mely technológiák elterjedését volna célszerű támogatni. Ezen közlemény úgy fogalmazza meg, hogy a PET technológiáknak vagy nehezítenie kell az adatvédelmi vonatkozású jogszabályok megszegését, vagy a megszegések leleplezését kell segítenie. Ezen technológiák lehetnek a felhasználó számítógépén (felmerül a kérdés, hogy miért csak számítógépén?), ahová a felhasználó céltudatos lépése volt annak feltelepítése, vagy a hálózatba is kerülhetnek transzparens módon. A közlemény eze technológiákra példákat is említ.
A teljes dokumentum letölthető innen PDF formátumban.
iWiW: az újraindexelés csapdájába ragadva
|
|
2007.06.16. 22:29:03
Gulyás Gábor
Még nem tudom, az előző iWiW bejegyzésben leírtak kivizsgálásához hozzákezdtek-e ahogyan ígérték, de annyi bizonyos, hogy a typo még mindig ott éktelenkedik az adatvédelmi nyilatkozatban, erősítve a nagy magenta testvér iránt érzett mélységes bizalmat (hát nem nyugtalanító, hogy ennyire nem érdekli őket?). Mindemellett az az e-mail-es gyengeség is még kihasználható, úgyhogy aki még szeretne pár blogger után kutatkodni, tegye meg most, hiszen a hibát bármikor javíthatják. Vagy ettől még korai lenne félni?
Ezen a vonalon továbbhaladva végeztem pár kísérletet a keresőrendszerrel. A mostani bejegyzésben néhány olyan apróságra szeretném felhívni a figyelmet, amelyekre explicite nem hívják fel a rendszer használóinak figyelmét, és hűen tükrözik a keresőmotor működésében rejlő precíz konzekvenciát.
Skype: három érv az elõvigyázatosság mellett
|
|
2007.06.13. 16:44:29
Gulyás Gábor
Sokan használnak Skype-t, sőt, olyan sokan, hogy ma már az "iparágat" vezető szolgáltatások között van a helye. Magyar viszonylatokban tapasztalataim szerint (azaz mindenféle tudományos megfontolás nélküli kijelentésről van itt szó) az embereknek egyszerre van MSN és Skype hozzáférése is. Ez nem is meglepő, az MSN régebbi, több mindenki elérhető rajta keresztül, régebb óta vannak hozzá kiegészítések, és úgy lehet díszíteni a szöveget benne, mint a csernobili karácsonyfát. A Skype-ban ugyan ilyen nincs, de a VoIP szolgáltatása roppant jó minőségű, szinte a kezdetektől fogva.
Talán az elterjedtségének és ez utóbbi kiugró jó tulajdonságának köszönheti, hogy a szakmán belül az orvosi ló szerepet megnyerte, és számos területen vizsgálják különféle tulajdonságait, vagy mindenféle módszereket mutatnak be rajta, mint például a forgalmának hatékony detektálása. Most meg szeretnék osztani néhány furcsaságot, amely már régóta része a Skype-nak. Természetesen privacy vonatkozású gyengeségekről lesz szó. :)
HSN Labor International Workshop 2007
|
|
2007.06.03. 00:03:50
Gulyás Gábor
Az Workshop a héten, csütörtökön és pénteken, Balatonkenesén volt, a rendezvénynek helyszínt pedig a Telekom Hotel adott, szép rózsaszín (avagy magentára ütő) házakkal, magenta T betűt és fehér pontokat formáló virágágyásokkal, parti fekvéssel. Talán valamivel több szabadidős program jó lett volna a helyszín adottságait figyelembe véve. :)
Megjelent az (IN)SECURE magazin 11. száma
|
|
2007.05.24. 14:05:46
Gulyás Gábor
Az (IN)SECURE magazin általános biztonsági magazin, amely sok tekintetben koncentrál vállalati megoldásokra is. A magazin legújabb, májusi számában számos privacy kérdéssel foglalkozó írást is olvashatunk (angolul).
A magazin egészen kivételesnek tekinthető a maga műfajában. Nem csak a témákat, hanem a külcsínyt tekintve igazán ízléses elektronikus kiadványról van szó. Már a borítón is ígéretes, privátszférát érintő témákat ígérnek: e-útlevelek biztonsága, digitális tanúsítványok, személyes adatok tárolása és a webkettő.
A magazin közvetlenül letölthető PDF formátumban közvetlenül innen, vagy a honlapjáról is.
Hiányosság az iWiW adatkezelési nyilatkozatában avagy profilozás haladóknak
|
|
2007.05.23. 21:59:38
Gulyás Gábor
Regisztrálunk az iwiw-en, kitöltjük szépen az adatlapunkat, majd bejelöljük, hogy mit láthatnak azok, akiket nem ismerünk. Ezután hátradőlünk elégedetten, hiszen azt írják az adatkezelési szabályzatban, hogy
" A. A felhasználó által kötelezően megadott adatok név, becenév és e-mail cím, (az adatokhoz az — e-mail cím kivételével — iwiw összes felhasználója hozzáfér, a felhasználó által megadott e-mail címhez csak személyes ismerősei férnek hozzá)."
Bár, meg kell hagyni, az a zárójel előtti vessző olyan gyanús. Nos, a rendszer sem egészen úgy működik, ahogy azt gondolnánk.
Ellenállhatatlan közösségi direkt marketing
|
|
2007.05.20. 11:19:29
Gulyás Gábor
Ez a módszer a szó szoros értelmében ellenálhatatlan - ugyanis vagy lemondunk a szolgáltatás bizonyos kényelmi funkcióiról, vagy kénytelenek leszünk fogadni a "hirdetést" emailben, valamint az iwiw felületén is.
Privacy 2.0 ?
|
|
2007.05.18. 11:57:25
Gulyás Gábor
Nem olyan rég felhívták a figyelmem egy bejegyzésre, amely a Webisztánon jelent meg, illetve annak előzményére. A két bejegyzés témája a Privacy 2.0 volt, egy egészen újszerű magyar találmány (örömmel veszek bármely elérhetőségemre külföldi, ilyen témájú forrásokat). Tényleg forradalomról van szó?
Hatékony e-mail címgyûjtés MSN-el
|
|
2007.05.13. 10:54:06
Gulyás Gábor
A cím egész véletlenül megtévesztő - ebben a cikkben nem is a címgyűjtésre szakosodott kollégának szeretnék ötleteket adni. Nem olyan rég, valaki egy oldalt ajánlott többeknek a figyelmébe a blogján keresztül, ahol az MSN-es partnereiket ellenőrizhetik, hogy ki törölte őket. Ehhez mást se kellett tenniük, csak a weboldalon megadni a hozzá férésük login nevét és jelszavát. Hát persze. De miért is ne? A folytatásból kiderül.
Az Európai bizottság támogatja a PET technológiákat
|
|
2007.05.06. 17:06:01
Gulyás Gábor
Ez Európai bizottság megvizsgálná a PET technológiák előnyeit, és támogatná a PET technológiák fejlesztését, illetve azokat a szolgáltatásokat, amelyet megfelelő adatkezelési lehetőségeket nyújtanak a felhasználóknak, üzleti ügyfeleiknek.
Anonimitás, helyes értelmezésben
|
|
2007.05.06. 13:53:28
Gulyás Gábor
Az anonimitás fogalmát sokan félreértelmezik. Valójában nem is félreértelmezésről van szó, hiszen ezt is jelentheti, de privátszférát-erősító technológiák esetében valami egészen mást. Jelen esetben a "hibás" értelmezés szerint anonim az a felhasználó, akit csupán számok, virtuális azonosítók jelölnek meg a web digitális terében. Ezen álláspont védelmezői helyesen is érvelnek emellett, hiszen sokszor nehéz lehet a valódi személyre utaló információkat gyűjteni, de kicsit később azonban bemutatom, hogy nem is lehetetlen. Milyen érvek is szólnak emellett, és ellen?
RSS, az önkéntes "spyware"
|
|
2007.05.04. 23:30:13
Gulyás Gábor
Az ember sokszor nem is gondolná, hogy milyen információkat szivárogtat a nagyvilágba ingyen, önfeledve, boldogan és gondtalan. Az RSS pont egy ilyen információ szivárogtató veszélyforrás lehet. Sokan használják, hiszen a web egyik alapvető eleme, és nagyban megkönnyíti az információdömpingben az eligazodást. Azonban amikor RSS hírforrásokra fizetünk elő, akkor - ha rosszindulatú a hírforrás - rögtön telepítjük is úgymond a kémüket számítógépünkre. Hogy is működik ez?
Címkék: -
PETWorkshop 2007
|
|
2007.04.30. 11:33:19
[anonymous]
A konferenciát immáron hetedik alkalommal rendezik meg, idén Kanadában, az Ottawai Egyetemen, június 20. és 22. között.
A konferencián az anonimitás és privacy legnagyobb szakértői vesznek részt, bemutatva a legaktuálisabb PET témájó fejlesztéseket és kutatási eredményeket.
További linkek
Véget ért a Simonyi Konferencia
|
|
2007.04.28. 21:38:39
[anonymous]
A tegnapi nap során a Simonyi Károly konferencián szűkebb szakmai közönség előtt bejelentettük a PET Portál elindulását előadásunk zárásaként.
A konferencia igen jól sikerült: az előadások színvonalasak és tartalmasak voltak, a technikai felszereltségben sem volt hiány. Az előadást élőben követni lehetett a weben keresztül, s a későbbiekben a vágott előadásanyag is elérhető lesz. Ahogy mi is hozzájutunk - legalább az előadásunk rögzített változatához -, a hírekben mindenképpen közzé fogjuk tenni.
Megjelent a Thunderbird 2.0
|
|
2007.04.23. 23:01:28
Gulyás Gábor
Megjelent hivatalosan is a Mozilla Thunderbird 2.0 változata, és immáron hivatalosan is letölthető a honlapjáról. A megjelenés előtt néhány napig hivatkozás nélkül is elérhető volt a telepítő, nem hivatalos formában.
Letölthető a Mozilla Thunderbird honlapjáról a 2.0-s változat telepítője, már magyar változatban is. A kezelőfelület kisebb változtatásokon ment keresztül, csinosabb és mindenképpen gyorsabb lett. A Thunderbird levelezőprogram új változata továbbra is tartalmazza a korábbi verziók igen hasznos privátszféra-védelmi eszközeit: a levélszemét szűrőt (SPAM), figyelmeztet ha adathalászat gyanús levelet kapunk, illetve a levelekben a képeket és egyéb külső tartalmakat nem jeleníti meg.
Mi az a PET? Miért fontos?
|
|
2007.04.23. 22:43:22
Gulyás Gábor
Privátszférát érintő problémák ott vannak a hétköznapjainkban. Például annak a kérdésnek eldöntése, hogy kit lehet a mobiltelefonjába épített helymeghatározó szolgáltatás segítségével nyomonkövetni, vagy például az is, hogy milyen adatgyűjtési lehetőségei vannak egy áruháznak. Ha például heti rendszerességgel vásárol valaki egy bevásárlóközpontban, akkor az ottani vásárlói kártyája alapján szabad-e személyre szólóan a vásárlási preferenciákat gyűjteni, elemezni (legalábbis illendő volna a beleegyezését kérni). Komolyabb problémának számít, ha ez alapján befolyásolja az adott áruház az árakat, direkt marketing tevékenységet folytat, vagy netán az elkészített adatbázist, amely minden kedves vevő adatát tartalmazza, eladja egy harmadik félnek.
Ennyire jó lépés volt a DoubleClick felvásárlása?
|
|
2007.04.23. 22:11:32
[anonymous]
Április közepén a Google 3.1 miliárd dollárért felvásárolta a DoubleClick hirdetésszolgáltatót. A DoubleClick felvásárlásával az egyébként sem a csőd szélén álló Google valóban nagy előnyhöz jutott. A nagy kérdés, hogy mennyihez.
Az EPIC (Electronic Privacy Information Center) két másik befolyásos civil szervezettel közösen 2007. április 20-án panaszt nyújtott be az USA Szövetségi Kereskedelmi Bizottságához (Federal Trade Commission, FTC), amelyben sürgette a bizottságot, hogy haladéktalanul vizsgálja ki a Google és a DoubleClick összeolvadásával kapcsolatos adatvédelmi kérdéseket, különösen a Google képességét személyes adatok rögzítésére, elemzésére, nyomonkövetésére és profilok készítésére, és követelje meg a Google-tól a nemzetközileg elfogadott adatvédelmi alapelvek követését, ennek nyilvános vállalását és ellenőrizhetővé tételét.
A PRIME nyilvánosságra hozta az Advanced Tutorial dokumentumot
|
|
2007.04.23. 21:37:31
[anonymous]
A PRIME (Privacy and Identity Management for Europe) nyilvánosságra hozta a fejlesztoknek, döntéshozóknak és adatvédelmi biztosoknak szánt Advanced Tutorial c. dokumentumát.
A dokumentum ismerteti a PRIME alapokon eddig kidolgozott alkalmazási forgatókönyveket, a privátszférát erosítő identitás-menedzsment megoldások fejlesztésének legfontosabb társadalmi, jogi és gazdasági követelményeit, áttekinti az ilyen megoldások alapveto koncepcióit és technológiáit - kiemelten az ontológiákat, a modelleket és nyelveket, valamint a kriptográfiai mechanizmusokat -, valamint a PRIME Integrált Prototípus architektúráját.
További anyagok, linkek
- A PRIME honlapja: https://www.prime-project.eu
- Az Advanced Tutorial dokumentum letölthető a https://www.prime-project.eu/tutorials/devto oldalról
OTDK konferencia
|
|
2007.04.23. 21:21:18
[anonymous]
Bizakodva érkeztünk meg az OTDK konferencia helyszínére, a Pécsi Tudományi Egyetem BTK-TTK épületeihez április második hetének végén, hiszen a bírálatok során nagyon jó pontszámokat kaptunk. Még azon sem akadtunk fenn, hogy bírálatok is bosszantóan későn jutottak el hozzánk, és bár a regisztráció 9-kor elkezdődött, a szállást csak órákkal később lehetett elfoglalni.
Hamarosan szembesülnünk kellett azonban a szervezés számos hiányosságával: az ígért második projektort nem kaptuk meg, a szekción belül a bírák szemmel láthatólag alig értettek a témánkhoz, a szekció elnökünk pedig borzalmas munkát végzett, és rohanásával sikerült elérni, hogy a szekció ülés a tervezett 4 óra helyett 2 óra 10 perc alatt véget ért.
Elõadás az Adatvédelem és Információszabadság tárgy keretén belül
|
|
2007.04.23. 21:20:20
[anonymous]
Február elején, a félév első hetében úgy alakult, hogy konzulensünk, Dr. Székely Iván külföldön tartózkodott, így nem tudta megtartani a bevezető előadást az Adatvédelem és Információszabadság tárgyból. Amint értesültünk erről, kaptunk az alkalmon, és felajánlottuk, hogy tarunk egy előadást a PET technológiákról, és az AnonIM-ről, s mindezt egy bevezető előadás keretében.
Székely tanár úr elfogadta a felajánlásunkat, és egy közel másfél órás előadást tartottunk kb. 50-60 embernek. Az előadás jól sikerült, kifejezetten jól esett, mikor az előadás végén többen odajöttek hozzánk, és érdeklődtek a kutatásunkról (később is hallottunk másokon keresztül előadásunk sikeréről).
Címkék: -
TDK konferencia
|
|
2007.04.23. 21:19:50
[anonymous]
Kutatócsoportunk első megmérettetése a BME Tudományos Diákköri konferenciája volt. Az addig elkészült munkánkkal GTK Információmenedzsment szekciójában indultunk. A szekcióban több komoly versenyző is akadt, de az előadásunk szerencsére tökéletesre sikerült.Sajnos nekem még aznap délután Pécsre kellett utaznom, így az eredményhirdetésen már nem tudtam részt venni. Mikor Gábor este hat óra magasságában felhívott, és közölte, hogy első helyezettek lettünk, éppen a barátaimmal vacsoráztam, így rögtön rendeltem is egy üveg pezsgőt.
Az igazi meglepetést sokkal inkább az okozta, mikor fél órával később ismét csengett a telefonom, és megtudtam, hogy Rektori különdíjat kaptunk. A pezsgőt ezúttal már az egyik barátom hozta mosolyogva... igazán jól sikerült nap volt.
Címkék: -
Terrorista Adatbázis az Egyesült Államokban
|
|
2007.04.17. 17:24:23
[anonymous]
Bruce Schneier hírlevelében az Amerikai Egyesült Államok kormánya által terroristák nyilvántartására létrehozott nagyméretű adatbázisra hívja fel a figyelmet. Az adatbázis hatalmas, és folyamatosan növekszik, egyre több privacy kérdést vet fel.
A hatalmas adatbázist Terrorist Identities Datamart Environment-nek (TIDE, magyarul durva fordításban Terrorista Személyazonosság Adatkereskedelmi Környezet) nevezik. Az adatbázis ma már több mint 435 ezer személy adatát tartalmazza.
Új féreg a Skype hálózatában
|
|
2007.04.17. 17:20:33
Gulyás Gábor
Az F-Secure egy új Skype-on terjedő féreg járványszerű terjedésére figyelmeztet, mely a program chat funkcióit kihasználva terjed - írja a news.com.
Az új féreg terjedési módszere nem tér el a korábbi férgek módszereitől: a felhasználó egy képre mutató hivatkozást kap valamelyik partnerétől, s miután azt megpróbálja megnyitni, a kiszolgáló egy ferzőtött fájlra irányítja át. Amennyiben ezt a felhasználó megnyitja, az ő Skype kliense is terjeszteni fogja - elküldi valamennyi felhasználónak a partnerlistáról, derült ki az F-Secure nyilatkozatából.
Közeleg a Simonyi konferencia
|
|
2007.04.17. 11:24:20
Gulyás Gábor
Április 24-én negyedik alkalommal kerül megrendezésre a Simonyi Károly szakkollégium konferenciája. A konferencián meghívott előadóként "PET technológiák és csevegő szolgáltatások" címmel tartunk előadást.
Fizetõs lett a Torpark
|
|
2007.03.19. 13:46:42
Gulyás Gábor
Fizetős lett a Torpark szolgáltatása. A szolgáltatás valószínűleg nehéz idők elé néz majd, de talán már elég népszerű ahhoz, hogy megtegye ezt a lépést. Hamarosan a szolgáltatás két új csomaggal bővül, amelyek havi fix összegért vehetőek majd igénybe, addig is az ingyenes csomag áll csak a felhasználók rendelkezésére. Az új csomagokat megrendelni még nem lehet, a készítők az érdeklődöknek azt javasolják, hogy iratkozzanak fel a levelezőlistára.
Címkék: -
Új jelszó 
Regisztráció 
