Security ad absurdum

una scomoda verità

per il quale (quasi) nessuno è interessato?

Tracking (tracciamento digitale)

In passato, se qualcuno mi avesse detto che avrei portato volontariamente in giro un dispositivo di ascolto segreto e che l'avrei anche caricato io stesso, mi sarei messo a ridere di gusto. Oggi ho uno smartphone. (Autore sconosciuto).
La maggioranza degli utenti non accetterebbe di dover fare a meno di Facebook, Google, Youporn e Twitter, Microsoft Windows, macOS e iPhones di Apple, e smartphone Android, ecc. Sono sempre stupito quando la gente combatte per anni contro l'obbligo legale di conservazione dei dati (o l'obbligo di memorizzazione minima) e non ha alcun problema per i loro gadget preferiti dello stile di vita e addirittura accettano volontariamente di raccogliere i dati di comunicazione sulla conservazione e metterli a disposizione delle autorità.

Si "argomenta" spesso che Google, Facebook e altri servizi Internet finanziati dalla pubblicità sono "pagati con i dati". Questo non è del tutto corretto in modo così semplificato. I dati non sono una moneta che può essere usata per pagare i dipendenti o le bollette dell'hardware. I dati sono una risorsa che viene sfruttata per vendere un prodotto.
Il 97% dei siti web TOP100 e circa l'80% dei siti web di lingua tedesca sono infettati con vari elementi di Google per l'inserimento di pubblicità o analisi del traffico. (Reppesgaard: Das Google Imperium, 2008) Ogni chiamata di un sito web così preparato è registrata a Google, valutata e assegnata a un navigatore. Oltre ai siti commerciali, alle offerte d'informazione dei giornalisti professionisti e dei blogger indipendenti sulle piattaforme blogger.com e blogspot.com, ci sono anche molti siti privati che sono felici di qualche centesimo dal programma pubblicitario Adsense.

I profili degli utenti risultanti sono ora molto rivelatori. Anche se l'80% degli utenti di Internet disapprova il tracciamento del comportamento di navigazione, esso continua ad essere ampliato sia tecnicamente dai grandi raccoglitori di dati che attraverso decisioni politiche, la raccolta di dati è resa più facile. Molti servizi sul web sfruttano la possibilità di tracciare e analizzare il comportamento di navigazione e la nostra comunicazione privata e di vendere i dati raccolti per denaro.

"Do-Not-Track" è fallito a causa del lobbismo

"Do-Not-Track" (DNT) è stato proposto da EEF.org nel 2009. Con un'intestazione HTTP supplementare, il browser doveva trasmettere il desiderio fondamentale dell'utente di non essere tracciato. Nel dicembre 2010, la FTC ha dichiarato il sostegno al DNT e nel 2012, il W3C ha iniziato a standardizzare la funzione.

Il chiaro desiderio degli utenti, espresso abilitando il "Do-Not-Track" nel browser, è stato ignorato all'ingrosso dall'industria del tracciamento. Studi empirici hanno dimostrato che questo riduce il tracciamento durante la navigazione di meno del 2%.

È stata una mossa brillante da parte di Microsoft abilitare "Do-Not-Track" di default in IE10 senza interazione dell'utente. Questo contraddiceva chiaramente le intenzioni dello standard W3C, che affermava esplicitamente che un header DNT dovrebbe essere inviato dal browser solo quando l'utente vuole attivamente esprimere una richiesta. Questa attivazione di default ha dato all'industria del tracciamento la scusa necessaria per ignorare ufficialmente il DNT, dato che non si poteva più presumere che un utente avesse optato attivamente. Yahoo ha dichiarato a maggio 2014 che tutti i suoi servizi avrebbero ignorato il DNT, seguito da Google e Facebook a giugno e Twitter due anni dopo.

Tuttavia, non si tratta solo della visualizzazione della pubblicità, ma anche della raccolta e dell'uso di grandi quantità di dati personali.

Tracciamento e analisi del movimento

re:publica 2013 - analisi del flusso di visitatori Link/l'immagine aprire re:log - analisi del flusso di visitatori Tutti gli smartphone (e i computer portatili!) hanno un modulo WLAN. È comodo quando si torna a casa o quando lo smartphone al lavoro usa automaticamente la WLAN invece delle costose connessioni dati del provider di telefonia mobile. Se si è in viaggio con il modulo WLAN attivato e il login automatico per le WLAN preferite, allora lo smartphone o il portatile invia regolarmente "sonde" attive per scansionare l'ambiente per le WALN preferite. Oltre all'indirizzo MAC globalmente unico, questo invia anche una lista di SSID delle WLAN preferite a cui lo smartphone si connette automaticamente (Preferred Network List, PNL). Questa lista fornisce informazioni sui luoghi in cui il proprietario dello smartphone preferisce essere (casa, ufficio...). Con poco sforzo tecnico, questi dati di "sonde" WLAN attive possono essere utilizzati per il tracciamento e gli attacchi.

A re:publica 2013, è stata fornita una WLAN gratuita. Questa WLAN tracciava tutti i dispositivi abilitati alla WLAN (laptop e smartphone) dei visitatori, indipendentemente dal fatto che i dispositivi usassero o meno la WLAN. Il progetto re:log - analisi del flusso di visitatori tramite re:publica W-LAN visualizza i dati.

L'azienda pubblicitaria Renew ha installato 200 cestini ai Giochi Olimpici di Londra 2012 che hanno tracciato i pedoni utilizzando gli indirizzi MAC dei loro smartphone con un punto di accesso WLAN integrato. Nel giro di una settimana, oltre 4 milioni di dispositivi sono stati tracciati mentre si facevano strada attraverso la città di Londra.

L'autorità dei trasporti di Berlino lavorerà con HOTSPLOTS per fornire Wi-Fi gratuito nelle stazioni della metropolitana. "We will cookie the subway" sarebbe anche un buon slogan, ma "Il nostro strumento di registrazione..." è davvero buono e adatto.

Questi dati permettono di tracciare i movimenti nel mondo reale, come dimostrato dalla folla di visitatori a Repubblica 2013 (vedi sopra).

L'analisi dell'ambiente sociale è possibile anche con i dati di localizzazione. La somma di tutti i dati di localizzazione è più dell'accumulo delle locazioni delle persone A, B e C. Come mostra lo studio Inferring social ties from geographic coinsidences (ext.PDF ), questa raccolta permette informazioni dettagliate sull'ambiente sociale, anche se non si è amici su Facebook. I dati di localizzazione degli smartphone rivelano con chi si beve regolarmente una birra, con chi si va a letto, se si partecipa alle manifestazioni di Pegida o ci si incontra nei circoli di Antifa, per quale azienda si lavora o se si è disoccupati, e molto altro.

La società Sense Networks è un pioniere nel campo dell'analisi del movimento. In un'intervista con Technology Review, G. Skibiski descrive la sua visione. Con le raccolte di dati di geofenching (compresi i dati VDS) è possibile una semplice sorveglianza.

In Ucraina, questi dati sono stati già utilizzati per intimidire i manifestanti nel gennaio 2014. I partecipanti a una manifestazione contro l'allora presidente in carica hanno ricevuto un SMS con il contenuto: Caro cliente, sei registrato come partecipante a una rivolta.

L'azienda Dataminr offre ai clienti l'accesso ai post di Twitter via API e pubblicizza in un volantino (int.PDF ) usando l'esempio di una protesta studentesca in Sud Africa, come il nuovo strumento di analisi geospaziale può essere utilizzato per monitorare le manifestazioni politiche.

WiFi-Tracking on Amsterdam Airport Schiphol Il Bluetooth è usato allo stesso modo per il tracciamento. Inoltre, ogni caratteristica aumenta la superficie di attacco. Nessuno può attaccare o collegarsi surrettiziamente a un dispositivo Bluetooth che è spento. Pertanto, la funzione dovrebbe essere attivata per smartphone o tablet solo quando viene effettivamente utilizzata.

L'attacco di BlueBorn pubblicato nel settembre 2017 dimostra che questo avvertimento era giustificato. Gli aggressori possono sfruttare gli smartphone attraverso diverse falle di sicurezza nel Bluetooth ed eseguire il proprio codice sul dispositivo. I dispositivi Android e Linux possono essere completamente conquistati.

Va notato che non esiste praticamente alcuna protezione tecnica contro la localizzazione e l'osservazione dei profili di movimento. Gli esempi mostrano che è difficile proteggersi dalla sorveglianza. Anche se lasci il tuo smartphone a casa, un amico potrebbe avere il suo smartphone con sé ed entrambi vengono spiati.

Aziende di Big Data

Youtube Video about Acxiom and Big Data youtube ∽ 3 Min. I raccoglitori di dati (Facebook, Amazon, Twitter...) vendono le informazioni sugli utenti ai broker di dati (per esempio Acxiom, KaiBlue, RapLeaf...) che arricchiscono i dati, li aggregano e vendono i profili completi agli utenti finali effettivi, come le società di carte di credito, i dipartimenti HR delle grandi aziende e i dipartimenti di marketing. Il cliente paga.

Acxiom ha dati accurati sul 96% della popolazione statunitense. In Germania, Acxiom fornisce dati su 44 milioni di consumatori attivi. I consumatori sono classificati in 14 gruppi principali, ad esempio "genitore single e di basso livello", "single benestante di mezza età" o "pensionato d'oro, attivo" ... . Questi gruppi principali sono suddivisi in un massimo di 214 sottogruppi secondo le attività dello stile di vita (ad esempio, giardinaggio, animali domestici, sport, moda, dieta...), il comportamento di consumo, la classificazione del milieu (ad esempio, "intellettuale", "classe media orientata allo status", "milieu tradizionale della classe operaia", "edonista", "consumista-materialista"...), ecc.

Match Group monopolizza il mercato degli incontri. Il Gruppo Match comprende i portali di incontri Tinder, OkCupid, Plenty of Fish, Meetic, LoveScout24, OurTimes, Pairs, Meetic, Match, Twoo, Neu.de e altri portali partner. Nelle politiche di privacy dei portali si può leggere che i dati sensibili della personalità degli utenti all'interno del Match Group sono condivisi tra i portali: Condividiamo i suoi dati con altre società del Gruppo Match. [...] Il supporto può comprendere operazioni di trattamento tecnico come l'hosting e la manutenzione dei dati, l'assistenza ai clienti, il marketing e la pubblicità mirata [...]. Possiamo anche condividere le sue informazioni con partner che ci aiutano a distribuire e commercializzare i nostri servizi.

Questo è carta bianca per vendere dettagli molto privati a terzi.

Il monitoraggio del comportamento di navigazione e degli acquisti online fornisce un quadro incompleto dei nostri interessi. Incorporando i dati della vita reale, i profili dovrebbero essere migliorati.

Le domande di brevetto di Google e le acquisizioni aziendali mostrano che l'impero vuole anche raccogliere dati nel mondo reale in futuro. All'inizio del 2014, ad esempio, Google ha acquistato Nest, un produttore di termostati e rilevatori di fumo, per 3,1 miliardi di dollari. I termostati di Nest sono installati in milioni di case e dotati di sensori di temperatura, luminosità e umidità che possono essere letti via Internet.

La sicurezza IoT è spesso al di là delle capacità dei dirigenti IT, poiché i dispositivi e gli oggetti fisici devono essere gestiti al posto delle risorse virtuali. Infatti, l'IoT Backbone Survey 2016 di Gartner ha mostrato che il 32% dei leader IT cita la sicurezza come una barriera al successo dell'IoT.

Sistemi operativi

Con Windows 8.0, Microsoft ha iniziato a introdurre il tracciamento basato sul dispositivo, che è accettato sugli smartphone, anche sui PC. Simile a Google con Android, Microsoft, come uno dei cinque più grandi raccoglitori di dati su Internet, vuole espandere e personalizzare meglio i suoi dati.
Se leggete la politica sulla privacy di Apple, potete vedere che macOS non è adatto come sistema operativo se non volete condividere la vostra privacy con Apple. Per questo, Apple è stata premiata con il BigBrother Award 2011.
Ci sono una varietà di distribuzioni Linux, quindi se sei un principiante, hai innanzitutto l'imbarazzo della scelta: Debian e derivati, OpenSuSE, Mandrive, Fedora, Gentoo per hobbisti, mini-distribuzioni come Puppy o varianti particolarmente hardened come Qubes OS e Fortress Linux ...
NetBSD e OpenBSD sono costantemente ottimizzati per la sicurezza senza compromettere l'usabilità. Se avete diversi anni di esperienza con un sistema UNIX-like (ad esempio Linux) e siete sufficientemente capaci di soffrire, allora potete godere dei vantaggi di questi due sistemi operativi.

Quanto è affidabile Microsoft? Per l'amministrazione federale e tutte le autorità tedesche, le aziende e gli utenti privati che vogliono continuare a lavorare con il sistema operativo Windows in futuro, questa domanda si pone oggi più che mai. Nel 2013, gli esperti del BSI (Ufficio federale tedesco per la sicurezza delle informazioni) hanno messo in guardia contro l'uso di Windows 8 in combinazione con TPM 2.0, definendolo un rischio di sicurezza inaccettabile per le autorità pubbliche / aziende. Secondo gli esperti, gli utenti di un sistema informatico affidabile perdono il controllo del loro computer. Oggi, il BSI relativizza l'avvertimento, ma vede alcuni aspetti critici in relazione a certi scenari di impiego.

Microsoft è stata partner del programma PRISM della NSA dal 2007.

Telemetria Windows 10

In Windows 10, il tracciamento basato sul dispositivo è stato ulteriormente ampliato. Un "ID pubblicitario unico" viene generato per ogni account sul computer. Questo ID è anche messo a disposizione di terzi per un'identificazione unica. Dati privati che Microsoft raccoglie nella configurazione predefinita:

  • Gli interessi personali derivati dal comportamento di navigazione così come i dati raccolti tramite le app vengono inviati a Microsoft (un'app di sport invia le squadre preferite, un'app di meteo invia le città più richieste...).
  • I dati di localizzazione di tutti i dispositivi con Windows vengono inviati a Microsoft. La preferenza è data all'uso del GPS o delle WLAN circostanti per determinare la posizione il più accuratamente possibile.
  • I dati di contatto di amici e conoscenti sono trasferiti a Microsoft quando si utilizzano strumenti di Microsoft come una rubrica.
  • Anche i contenuti di e-mail, messaggi istantanei e messaggi voce/video (ad esempio Skype) fanno parte dei dati che Microsoft raccoglie.
  • Windows Defender trasmette tutte le applicazioni installate.
  • Con l'assistente digitale "Cortana", la configurazione predefinita imposta una sorta di centro di ascolto che collega il salotto direttamente a Microsoft. Con l'Anniversary Update del 02 agosto 2016, è reso quasi impossibile disattivare l'invadente e spione "Cortana", poiché l'assistente digitale fornisce la ricerca completa (sia in locale che sul web).
  • Il comportamento di digitazione viene analizzato e inviato a Microsoft. Il profilo delle battute tipiche potrebbe essere usato in futuro per l'identificazione delle voci di testo nei moduli web o nelle chat (parola chiave: Keystroke Biometrics).
  • L'UUID unico che Windows invia quando comunica con i server di Microsoft (ad esempio per gli aggiornamenti del software) è usato dalla NSA e dal GCHQ come selettore per le Taylored Access Operations (TAO) per colpire i computer di persone o aziende di interesse.
  • Come punto saliente, le chiavi di recupero generate automaticamente della crittografia del disco rigido Bitlocker sono anche parte dei dati che MS raccoglie nella sua nuvola e fornisce alla NSA/FBI/CIA. (Crypto War 3.0?)
Alla fine del 2018, l'Ufficio federale tedesco per la sicurezza informatica (BSI) ha pubblicato uno studio intitolato "Integrità del sistema, registrazione, hardening e funzioni di sicurezza in Windows 10" (SiSyPHuS). Ha criticato il fatto che una prevenzione completa della raccolta e trasmissione di dati di telemetria da parte di Windows 10 non può essere completamente disabilitata dalla configurazione delle impostazioni. Tuttavia, il BSI non affronta la questione se la trasmissione dei dati di telemetria da parte di Windows 10 a Microsoft sia illegale.

Windows 10 e la protezione dei dati

Windows 10 non è solo sul radar dei regolatori della privacy da ieri. Nel novembre 2019, la Privacy Conference ha ora pubblicato un documento con uno schema di revisione sulla privacy di Windows 10. Probabilmente, una motivazione che causa lo scrutinio è il massiccio potere di mercato di Microsoft e dei suoi prodotti. Un'altra ragione per cui il DSK sta conducendo un'indagine è la significativa differenza di funzionalità tra Windows 7 e Windows 10:

  • Windows 10 si considera meno un sistema operativo che un ambiente di sistema con una moltitudine di funzionalità aggiuntive.
  • Ogni aggiornamento può portare alla modifica delle impostazioni di configurazione o al cambiamento dell'ambito delle funzioni e quindi anche dell'ambito di elaborazione.
  • Un trasferimento di dati da Windows 10 a Microsoft non può essere completamente impedito da impostazioni personalizzate. Inoltre, la trasmissione dei dati è criptata, in modo che non sia possibile determinare se e, in caso affermativo, quali dati personali vengono trasmessi a Microsoft nel processo.

Uso conforme alla protezione dei dati di Windows 10

Se i controllori dei dati vogliono usare Windows 10 nella loro azienda in modo conforme alla privacy, o si deve impedire la trasmissione di qualsiasi dato di telemetria a Microsoft o il controllore dei dati deve essere abbastanza grande da negoziare una soluzione individuale con Microsoft. Altrimenti, l'unica opzione è quella di passare a un sistema operativo rispettoso della privacy. L'articolo 25 del regolamento generale sulla protezione dei dati richiede impostazioni predefinite di protezione dei dati facili da usare ("Privacy by Default"). Di conseguenza, le parti responsabili, che sarebbero gli operatori del sistema, dovrebbero garantire che il sistema sia configurato di conseguenza.

„Tuttavia, la realtà è che molte autorità sono da tempo nella situazione in cui non hanno più alternative per migrare a Windows 10 perché il supporto per il sistema operativo attualmente in uso sta scadendo e nessun altro client federale è disponibile".
Poiché le autorità tedesche di controllo della protezione dei dati non sono attualmente in grado di intraprendere un'azione diretta contro Microsoft a causa di problemi con il GDPR (One Stop Shop / Procedura di coerenza), stanno ancora una volta prendendo la deviazione attraverso gli utenti.

Se i tribunali dovessero confermare l'opinione delle autorità di controllo indicate nello schema di revisione e classificare l'uso di Windows 10 come generalmente inammissibile secondo la legge sulla protezione dei dati, Microsoft sarà "incoraggiata" dalla potenziale minaccia di perdita degli utenti a prendere in considerazione l'imperativo della protezione dei dati.

Dati dell'utente durante la trasmissione dei dati

Windows 10 non è l'unico problema, tuttavia; anche il pacchetto Office di Microsoft trasmette dati. Come parte del processo di approvvigionamento, il Ministero della Giustizia olandese ha commissionato alla società di consulenza Privacy Company una valutazione dell'impatto sulla protezione dei dati per l'uso di Office ProPlus in conformità con i requisiti del regolamento generale sulla protezione dei dati (GDPR). La valutazione dell'impatto sulla privacy (ext.PDF ) pubblicata a novembre mostra che i dati di telemetria di Office sono dati di utilizzo: Quando gli utenti traducono parti di testo tramite il pacchetto Office, per esempio, questo può essere fatto solo tramite un servizio online di Microsoft.

In totale, si dice che ci siano tra 23.000 e 25.000 diversi tipi di eventi che vengono inviati da Office ai server Microsoft. Sul lato Windows 10, si dice che ci sia solo un massimo di 2.000 tipi di eventi. Con riferimento alla valutazione d'impatto, il governo olandese chiede che Microsoft fermi i trasferimenti illegali di dati.

Il tuo computer è da tempo di proprietà di qualcun altro

L'Intel Management Engine ("ME") () è un microcontrollore dedicato integrato in tutti gli attuali chipset di schede madri Intel. Funziona indipendentemente dalla CPU principale, può essere attivo anche quando il resto del sistema è spento, e ha una connessione dedicata all'interfaccia di rete per il networking fuori banda che bypassa la CPU principale e il sistema operativo installato. Non solo esegue i compiti di gestione per cui è stato originariamente progettato, ma implementa anche caratteristiche come la tecnologia Intel Identity Protection (IPT), percorso audio-video protetto, Intel Anti-Theft, Intel TPM, comunicazioni NFC e altro. Non ci sono molte informazioni su come funziona esattamente. Igor Skochinsky, REcon 2014 (ext.PDF )

REcon is a computer security conference with a focus on reverse engineering and advanced exploitation techniques. It is held annually in Montreal, Canada. The conference offers a single track of presentations over the span of three days along with technical training sessions held before the presentation dates. Technical training varies in length between two and four days.

Il ME consiste in un core di processore dedicato, cache di codice e dati, un timer che include un motore di crittografia, ROM e RAM interne, controller di memoria e un bus interno sicuro a cui sono collegati dispositivi aggiuntivi. Un motore di accesso diretto alla memoria (DMA) accede al sistema operativo host per allocare un'area di memoria esterna protetta. Questo integra la limitata RAM interna del ME. Il ME ha anche un controller Intel Ethernet con un proprio indirizzo MAC. Il programma di avvio memorizzato nella ROM interna carica un manifesto del firmware dal chip flash SPI del PC. Questo manifesto è firmato con una chiave crittografica forte che differisce tra le versioni del firmware ME. Se il manifesto non è firmato da una specifica chiave Intel, la ROM di avvio non caricherà ed eseguirà il firmware, e il core del processore ME si fermerà.