WhatsApp non è stata sanzionata dal Garante Privacy Uk (Ico – Information Commissioner’s Office) al quale ha dichiarato di non aver poi concluso il passaggio dei dati dei suoi utenti britannici alla società madre Facebook. Ico ha concluso così l’indagine iniziata ad agosto 2016 aperta per accertare se questo merger fosse legale così come era stato avviato inizialmente dalla società che offre il servizio di messaggistica istantanea.

Da una parte, dunque, nessuna multa dall’altra l’Autorità per la protezione dei dati personali ha ottenuto un accordo firmato con WhatsApp. Leggiamolo attentamente per capire bene cosa succederà prima e dopo il Regolamento generale in materia di protezione dei dati (GDPR), che entrerà pienamente in vigore dal 25 maggio in tutti i Paesi dell’Unione Europa.

I 3 punti chiave dell’impegno preso tra WhatsApp e l’Autorità Privacy UK (Ico)

Di seguito i tre punti chiave dell’accordo firmato da WhatsApp e l’Ico, rappresentata dalla commissaria per l’informazione britannica, Elizabeth Denham, a capo del team che ha concluso l’indagine.

• WhatsApp non trasferirà alcun dato degli utenti Ue (compresi quelli del Regno Unito) a nessuna altra società di Facebook, per qualsiasi scopo, prima dell’entrata in vigore, a partire dal 25 maggio prossimo, del Gdpr.

Quindi il passaggio è stato bloccato per due mesi, tempo necessario a WhatsApp e Facebook per adeguare le loro policy al Regolamento europeo. Non sarà uno stop totale della condivisione, come emerge dal secondo punto dell’accordo.

• WhatsApp inizierà solo a condividere i dati degli utenti di WhatsApp dell’Ue (compresi gli utenti Uk) con qualsiasi altra società di Facebook per motivi di sicurezza e per altri scopi, dopo l’entrata in vigore di Gdpr e in piena conformità con i requisiti del Regolamento, e con l’informativa privacy per l’utente.
  Per motivi di “sicurezza e per altri scopi”, dunque, WhatsApp già ha dichiarato che effettuerà il trasferimento dei dati dei suoi utenti europei a Facebook e alle altre società della galassia (Instagram, per esempio). E in mente ha anche la condivisione dei dati per quello che è il vero motore del suo business: la pubblicità, come si legge nel terzo punto dell’intesa.
• Nel caso in cui WhatsApp pianifichi di iniziare la condivisione dei dati dell’utente con le aziende di Facebook allo scopo di utilizzare questi dati per migliorare i prodotti e la pubblicità di Facebook, dopo l’entrata in vigore, lo farà solo in conformità con i requisiti del Gdpr e collaborando con la sua autorità di controllo capofila competente ai sensi dell’articolo 56 del Gdpr.

 Secondo il nuovo regolamento europeo l’autorità di controllo capofila è l’unico interlocutore del titolare del trattamento o del responsabile del trattamento in merito al trattamento transfrontaliero dei dati, l’unico che avrà il potere, dopo il 25 maggio, di impedire il passaggio dei dati degli utenti europei di WhatsApp a Facebook & Co per mostrare offerte e annunci pubblicitari pertinenti e amici ‘in comune’ su Facebook, WhatsApp e Instagram.
Solo in questo caso si potrà dire privacy salva in toto.

Dati di WhatsApp a Facebook, le decisioni dell’Antitrust italiana e del Garante Privacy francese

Infine c’è da sottolineare che l’indagine chiusa dall’Ico senza sanzioni nei confronti di WhatsApp ha avuto un esito opposto rispetto a quello dell’istruttoria conclusa dall’Antitrust italiana, che ha multato, nel mese di maggio 2017, la società Usa per 3 milioni di euro “per aver indotto gli utenti ad accettare integralmente i nuovi Termini di Utilizzo, in particolare la condivisione dei propri dati con Facebook, facendo loro credere che sarebbe stato, altrimenti, impossibile proseguire nell’uso dell’applicazione”. E anche l’Autorità francese per la Data Protection (Cnil) ha preso una decisione completamente differente rispetto ai colleghi inglesi: nel mese di dicembre scorso il Garante Privacy francese ha obbligato WhatsApp a interrompere la condivisione dei dati dei suoi utenti con la casa madre Facebook. La pratica è stata giudicata “preoccupante”, quando il caso è scoppiato ad agosto 2016, anche dal Garante Privacy italiano, Antonello Soro.

Per approfondire:

https://www.key4biz.it/i-dati-di-whatsapp-a-facebook-cosa-dice-esattamente-laccordo-con-il-garante-privacy-uk/215783/

Hanwha’s SmartCam cameras are affected by more than a dozen vulnerabilities, including critical flaws that can be exploited remotely to take control of devices.

The impacted cameras are widely used for surveillance and monitoring. They can record at high resolutions, they have night vision capabilities and motion sensors, and they allow their users to talk to the person being monitored via a built-in speaker. The product can be controlled remotely from any type of device and all the recorded video is stored in the cloud.

Samsung Electronics sold its Samsung Techwin security division to South Korean conglomerate Hanwha Group in 2014. However, Hanwha’s SmartCam products are still branded “Samsung.”

Researchers have analyzed these devices and discovered a significant number of flaws. The issues were disclosed last week by Vladimir Dashchenko, senior security researcher at Kaspersky Lab, at the company’s Security Analyst Summit (SAS) in Cancun. The security firm also published a blog post on Monday describing the findings.

The vulnerabilities can be exploited for intercepting traffic due to the use of HTTP for firmware updates and interaction with the camera, manipulating the web-based user interface, remote code execution with root privileges, denial-of-service (DoS) attacks, brute-force attacks on the admin account, and bypassing authentication.

Experts have identified roughly 2,000 IP addresses associated with cameras exposed to the Internet, but they believe the actual number of vulnerable devices is much higher considering that the flaws can be exploited even against devices that are not directly accessible from the Web due to weaknesses in the SmartCam cloud infrastructure.

One of the flaws found by Kaspersky can be exploited to register cameras that have yet to be registered. This not only prevents legitimate owners from registering and using their cameras, but also allows hackers to take control of the cameras they have registered.

Due to vulnerabilities in the cloud infrastructure, an attacker could have spoofed the update server in an effort to push malicious firmware to a device. Modified firmware can provide privileged access to the targeted camera, serving as an entry point to the rest of the network housing the device, experts say.

Researchers also discovered that a hacker can easily clone a camera in an effort to spoof its video feed.

“The attacker then resets the password using a vulnerability in the password generation algorithm and modifies the firmware of the cloned camera (which is an identical camera located on the attacker’s side). The victim’s camera is then remotely disabled. As a result, the victim will receive a video signal from the attacker’s cloned camera,” Kaspersky researchers explained.

The setup process for the cameras also involves providing credentials for social media and other online services for sending notifications to the user, which can be abused by cybercriminals for phishing and spam campaigns.

Dashchenko told SecurityWeek that remote attacks against these cameras are a multi-stage process that starts with identifying the targeted device’s serial number and MAC address. The serial number can be obtained by either guessing or brute-forcing it.

Large-scale attacks are also possible with the use of scripts and automation mechanisms, Dashchenko said.

Kaspersky’s ICS-CERT team has conducted its research on Hanwha SNH-V6410PN/PNW SmartCam devices, but the same firmware is used for multiple camera models — different features in the firmware are active depending on the model — which means many of the company’s products are likely affected by these vulnerabilities.

The vendor patched many of the vulnerabilities shortly after being notified and Kaspersky has only disclosed the details of the flaws that have been fixed.

Related: Samsung SmartCam Flaw Allows Remote Command Execution

Related: Flaws Expose FLIR Thermal Cameras to Remote Attacks

Eduard Kovacs is a contributing editor at SecurityWeek. He worked as a high school IT teacher for two years before starting a career in journalism as Softpedia’s security news reporter. Eduard holds a bachelor’s degree in industrial informatics and a master’s degree in computer techniques applied in electrical engineering.

Previous Columns by Eduard Kovacs:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/8fYz7FcSv7A/remotely-exploitable-flaws-found-smartcam-cameras

LinkedIn si sta preparando a cambierà pelle, questa volta non sarà un restyling dell’interfaccia, ma l’adeguamento al Regolamento generale in materia di protezione dei dati (GDPR), che entrerà pienamente in vigore dal 25 maggio in tutti i Paesi dell’Unione Europa. Il Gdpr costituirà un vero cambio di passo per la gestione e tutela dei nostri dati personali, è una normativa che conferisce un controllo elevato dei propri dati personali a tutti i cittadini dell’UE, inclusi gli utenti LinkedIn. Per questo motivo il social network ha annunciato che già dall’8maggio cambieranno le condizioni di servizio, quindi modificherà l’informativa sulla privacy e quella sui cookie, ma anche quella sulla community professionale.

Ecco alcune delle novità dall’8 maggio su LinkedIn:

• Gestione facilita dei dati. Sarà ancora più facile capire quali dati su di te sono in possesso di LinkedIn, come puoi correggerli e come puoi chiedere di non usarli più.
• Controllo delle pubblicità. Le nuove impostazioni offrono un maggiore controllo sugli annunci pubblicitari che visualizzi, e più trasparenza sui dati che vengono condivisi con gli inserzionisti.
• Esclusione permanente per gli hate speech. Alcune attività potranno essere censurate su LinkedIn, per esempio, molestie e incitamento all’odio non sono tollerati più sulla piattaforma e possono portare all’esclusione permanente da LinkedIn.
• Basta pubblicità occulta per gli influencer. Se si riceve denaro per condividere o segnalare un prodotto o un servizio, l’iscritto al social deve rendere noto che è pagato per le opinioni o azioni.Se per qualsiasi motivo non si è d’accordo con le nuove condizioni e si preferisce chiudere l’account è possibile farlo liberamente.

Gdpr, 73% utenti Ue etichettati da Facebook per partito, religione e sesso. Dal 25 maggio serve il consenso

Se LinkedIn ha già annunciato come si adeguerà al Gdpr, non sappiamo ancora cosa farà, per esempio, Facebook. Che dovrà necessariamente modificare il modo in cui etichetta gli utenti dell’Ue in base ai dati personali sensibili: sul social network oltre il 73% è classificato con opinioni politiche, convinzioni religiose, appartenenza sindacale, origine etnica, dati sanitari, vita e orientamento sessuale senza avere il consenso espresso. Dal 25 maggio, il trattamento di questi dati sarà possibile solo con il consenso esplicito degli iscritti, come prevede l’articolo 9 del Regolamento europeo in materia di protezione dei dati personali. Se non rispetterà questa norma, e questo vale per chiunque dovesse violare il Regolamento, Facebook rischierà una multa fino a 20 milioni di euro o al 4% del fatturato internazionale annuo lordo.

Per approfondire:

Gdpr, come cambia LinkedIn dall’8 maggio

Browsers are the single most used application today. Everyone uses at least one browser, whether in the office or at home. But not everyone realizes just how much personal data is left hanging around inside their browsers; nor how easy it is for third-parties to extract it.

Ryan Benson, formerly a forensic analyst with both Mandiant and Stroz Friedberg and now senior threat researcher at San Mateo, CA-based Exabeam, decided to examine just how much data is available, and how readily it can be harvested.

Benson used a modified version of OpenWPM (a web privacy measurement framework) and Firefox to visit the Alexa Top 1000 websites, navigating to three links on each site to simulate normal user browsing. The purpose here was to look for evidence of device identification and geolocation — and Benson found evidence that 56 websites recorded geolocation details, and 56 websites recorded the user’s IP address.

The second phase of the research involved interaction with websites. “In order to do this,” writes Benson in a blog account of the research, “we needed to create accounts on these sites, log in, perform a relevant action (e.g., send an email on a webmail server, view a document on a cloud storage platform, etc.), and see what traces could be found.”

The services chosen were typical of normal Internet usage — Google, Youtube, Facebook, Reddit, Amazon, Twitter, Live and so on — and did not seek to reflect any more exotic use of the Web. The results here become more interesting, because traces of the interactions were left within the browser. These include the browsing history (where and when different sites are visited), email addresses, search queries, and files viewed and downloaded.

This provides a rich source for both user identification and profiling that could be leveraged for targeted spear-phishing for more secure and confidential company accounts.

The picture gets worse with the details held by the browser for automatic form completion, and the passwords held in the browser’s internal password manager. Both of these services offer huge productivity gains for the user; but huge PII value for the attacker.

The password manager stores passwords in encrypted form; but they are automatically decrypted for use, and can be easily accessed by software — such as the free NirSoft tool that dumps saved passwords — and various malwares. “The recent ‘Olympic Destroyer’ malware used to disrupt the Pyeongchang Olympic Games,” writes Benson, “reportedly took advantage of user credentials saved in the browser.”

The available data, unless direct action is taken to exclude it from the browser, can include passwords (including email passwords), location history, user interests, employer and company position, and device details.

All of this data is easily available to any attacker that has access — physical or virtual — to any desktop, laptop or mobile device that uses a browser. Anti-malware controls cannot prevent all malware, while malware detection systems often look for signs of large scale data exfiltration. It is easy to picture stealthy malware getting through defenses and lying almost totally dormant, just extracting small amounts of data from the user’s browser.

A physical attack, using the evil maid scenario, is even simpler. “If a machine is unlocked,” warns Benson, “extracting browser data for analysis could be done in seconds with the insertion of a USB drive running specialized software or click of a web link to insert malware.”

Benson describes the data held by the browser as the user’s ‘web dossier,’ and describes ways in which it could be exploited; often by inferring extensions to the data discovered. “Criminals can learn who in a company has access to the financial or payroll application,” he warns, “and compile a list of usernames to use to break in.” Details surmised from the browsing history can help craft compelling phishing emails targeted at senior personnel, or designed to persuade users to reset company account passwords which can then be harvested.

The best way to prevent web dossier details being harvested by attackers is to exclude them from the browser. Methods could include increased use of the browser’s incognito mode, which excludes session details from being saved and potentially exploited. The internal password manager should be abandoned and replaced by third-party separate managers.

In reality, even locking down the browser and using incognito browsing, will not prevent all access to personal data — much of it will still be available to ISPs. In some countries, such as the UK, this data can be accessed by a range of law enforcement and government offices. In other countries, including the U.S., third parties can buy this data from the ISPs.

The solution here depends upon both personal and company risk appetites. “If this is a concern,” Benson told SecurityWeek, “the solution is to use a VPN. Not only will the ISP not know where you are going, the website visited won’t even know what country you come from.”

Exabeam raised $10 million in a Series A funding round led by Norwest Venture Partners, with participation from Aspect Ventures and angel investor Shlomo Kramer, in June 2014. This was followed by a further $25 million Series B in 2015, and $30 million Series C in 2017.

Related: Exabeam Challenges Traditional SIEMs With New Security Intelligence Platform

Kevin Townsend is a Senior Contributor at SecurityWeek. He has been writing about high tech issues since before the birth of Microsoft. For the last 15 years he has specialized in information security; and has had many thousands of articles published in dozens of different magazines – from The Times and the Financial Times to current and long-gone computer magazines.

Previous Columns by Kevin Townsend:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/0-_YDzM8yF8/exploiting-user-pii-held-everyones-web-browser

Mancano meno di tre mesi all’entrata in vigore del Gdpr. Dal 25 maggio 2018 entrerà pienamente in vigore il Regolamento Europeo in materia di Protezione dei Dati Personali che costituirà un vero cambio di passo per la gestione e tutela dei nostri dati personali. Una data importante per le Istituzioni, consumatori e imprese. A queste ultime è rivolto, in particolare, il convegno* ‘Cyber Security e Regolamento UE 2016/679: Cosa cambia per le Imprese?’, promosso a Roma il 7 marzo da BLB Studio Legale, che vuole costituire un’occasione di riflessione riguardo i profili tecnico-giuridici della cybersecurity, le principali novità e l’impatto del regolamento UE e della Direttiva 1016/1148 sulle imprese. Dunque maggio è un mese importante per la privacy e per la cybersecurity perché oltre al Regolamento europeo sulla Data Protection (il 2016/679), dovrà essere recepita la Direttiva Ue 2016/1148, che prevede obblighi in materia di sicurezza dei sistemi.
Quale impatto questi due provvedimenti avranno sulle imprese lo abbiamo chiesto all’avvocato Paolo Galdieri, docente di Informatica Giuridica presso la Facoltà di Giurisprudenza dell’Università Luiss – Guido Carli, uno dei massimi esperti in Italia di cybercrime e segretario generale dell’ANDIG (Associazione Nazionale Docenti Informatica Giuridica).

Key4biz. Perché il Gdpr dovrebbe avere un sicuro impatto sull’attività delle imprese?

Paolo Galdieri. Per diverse ragioni. In primo luogo, perché nel perseguire il fine del corretto trattamento dei dati introduce nuove regole organizzative. In secondo luogo, in quanto l’inosservanza delle prescrizioni comporta sanzioni pesanti, commisurate al fatturato dell’azienda. Inoltre, la normativa impone meccanismi di tracciabilità che costringeranno le imprese ad individuare i soggetti e le relative responsabilità. In altre parole, la gestione dei dati personali non sarà più esclusivamente un adempimento, ma un processo aziendale che incide sull’organizzazione nella sua totalità.

Key4biz. Le imprese sono pronte?

Paolo Galdieri. Il Regolamento introduce diverse novità che sono destinate ad incidere in modo evidente nell’attività dell’impresa, in termini di organizzazione e di contenuto dell’attività stessa. Benché diversi siano gli adempimenti e pesanti le sanzioni in caso di inosservanza, la sensazione è che molti non si siano ancora messi in regola e soprattutto non abbiano ben chiara la strategia da intraprendere.

Key4biz. Lei ritiene che si possa ottemperare al Regolamento secondo strategie differenti?

Paolo Galdieri. Il Regolamento, come noto, prevede numerosi adempimenti tra cui:  il registro delle attività di trattamento dei dati personali; la valutazione dell’impatto privacy;  la nomina del Data Protection Officer; la previsione di meccanismi di protezione dei dati fin dalla progettazione delle attività e per l’intera gestione del ciclo di vita dei dati (privacy by design e privacy by default); nonché l’obbligo di segnalare al Garante ed, in determinati casi, all’interessato, la violazione sui dati (personal data beraches). Di fronte a tale scenario c’è chi pensa di assolvere a tali adempimenti attraverso singoli interventi mirati e chi invece, più correttamente, adotterà una strategia più ampia in modo da razionalizzare l’intera attività aziendale

Key4biz. Perché reputa più corretta questa impostazione?

Paolo Galdieri. Il Regolamento, di fatto, impone una razionalizzazione delle attività, individuando “chi e cosa fa e come lo fa”. Il non rispetto della normativa porta a sanzioni che possono mettere in ginocchio l’impresa.  Trattandosi di regole uniche per tutta l’Europa il non mettersi in regola limita la competitività e in concreto non consente di esibire un buon biglietto da visita all’esterno. A queste tre considerazioni va aggiunto il fatto, ma direi il vantaggio, che organizzare correttamente i dati di cui si dispone, valorizzandoli e aggiornandoli, fa si che i database divengano asset da valorizzare nel bilancio aziendale. Se questa è la premessa, ne deriva, inevitabilmente, che la strada da percorrere sia quella di una riorganizzazione dell’impresa in termini razionali, in quanto le nuove norme non riguardano un optional dell’attività, ma l’attività stessa.

Key4biz. Sempre per maggio sono previste nuove regole in materia di cyber security in ottemperanza alla Direttiva Ue 2016/1148

Paolo Galdieri. Si tratta di norme diverse da quelle previste nel Regolamento, sia per quanto concerne l’oggetto, in questo caso non il trattamento dei dati personali, ma i sistemi, sia per quanto riguarda i destinatari, secondo la direttiva in questione soltanto gli operatori di servizi essenziali e i fornitori di servizi digitali. Anche la scadenza ha portata differente, atteso che il Regolamento entrerà direttamente in vigore, mentre la data del 9 maggio, fissata dalla direttiva 2016/1148, si riferisce al termine entro il quale la stessa va recepita.

Key4biz. Nuove regole oltre a quelle del Regolamento?

Paolo Galdieri. In realtà il Regolamento e la direttiva, pur nelle differenze descritte, presentano punti comuni. Innanzitutto entrambi toccano direttamente il tema della sicurezza dei sistemi. Il Regolamento, infatti, si occupa anche, se non soprattutto, della sicurezza informatica. Condividono, inoltre, analoghi obiettivi, prescrivendo misure di sicurezza a presidio di reti, sistemi e dati, proponendo di realizzare legislazioni uniformi in materia, promuovendo, mediante l’innalzamento del livello di sicurezza, lo sviluppo di un mercato digitale comune.

Key4biz. Questo significa che potrebbero adottarsi strategie unitarie?

Paolo Galdieri. Se è vero che la direttiva in questione si riferisce esclusivamente agli operatori di servizi essenziali ed ai fornitori di servizi digitali, la stessa traccia una strada in cui la cyber security viene considerata una vera e propria priorità. In tale direzione vanno anche alcune recenti iniziative nazionali quali: il Decreto Presidente del Consiglio dei Ministri 17 febbraio 2017 “Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica”; il Piano nazionale per la protezione cibernetica e la sicurezza informatica del maggio 2017; la Circolare Agid n.2/2017 sostitutiva della n.1/2017 recante misure minime di sicurezza ICT per le pubbliche amministrazioni.  Conseguentemente, così come rispetto al trattamento dei dati personali, le imprese dovranno adottare sistemi di protezione adeguati, pena l’incorrere in responsabilità sia di natura civile che penale.
A fronte di tale situazione è auspicabile una strategia unitaria che consenta di rispondere alle esigenze, in parte differenti, della privacy e della cyber security.

Key4biz. Lei che è considerato uno dei massimi esperti in materia di cyber crime ritiene che l’adempimento di queste nuove normative possa contribuire al contrasto della criminalità informatica?

Paolo Galdieri. La razionalizzazione delle attività, e precisamente l’individuazione dei soggetti e delle responsabilità imposte dalle nuove normative, consente sicuramente di prevenire una certa tipologia di reati e, al contempo, agevola l’impresa nell’individuazione delle eventuali responsabilità dei propri dipendenti. Parimenti una strategia fondata sulla razionalizzazione delle attività e della trasparenza permette all’azienda, dotata di modello organizzativo, di contrastare eventuali contestazioni sulla base del Decreto legislativo 231/2001, che come noto, a seguito della legge 48/2008, estende la responsabilità delle imprese anche per i reati informatici perpetrati dai vertici e dai dipendenti.

*Per iscriversi all’evento: info@key4biz.it

Per approfondire:

‘Gdpr e cybersecurity, maggio cruciale tra nuovo regolamento e direttiva Ue’. Intervista a Paolo Galdieri (Luiss)

Tra i Big Data di Facebook ci sono anche i nostri dati personali sensibili, che vende agli inserzionisti. Secondo il recente studio ‘Facebook usa dati sensibili per la pubblicità in Europa’ realizzato da tre ricercatori dell’università Carlos III di Madrid, la piattaforma social etichetta oltre il 73% degli utenti dell’Unione europea con opinioni politiche, convinzioni religiose, appartenenza sindacale, origine etnica, dati sanitari, vita e orientamento sessuale.

Per toccare meglio con mano questa mappatura spaventosa il dato corrisponde al 40% della popolazione complessiva dell’Ue. E qual è uno dei pericoli di questo enorme database? “Stimiamo che malintenzionati potrebbero svelare l’identità degli utenti di Facebook, attraverso i dati sensibili, con meno di 15 centesimi di euro per utente”: questo è l’allarme lanciato dagli autori del report.

Fortunatamente in soccorso della privacy degli utenti europei iscritti al social arriva il Regolamento Europeo in materia di Protezione dei Dati Personali (GDPR), che sarà pienamente in vigore dal 25 maggio prossimo in tutti i Paesi membri: con l’articolo 9 “vieta di trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona

fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.
Il Gdpr prevede poi l’eccezione. Facebook e tutti gli altri giganti del web potranno trattare questi dati sensibili solo se “l’interessato ha prestato il proprio consenso esplicito”.

Invece nel caso di “dati personali resi manifestamente pubblici dall’utente” allora il social potrà continuare ad agire come fa oggi, tracciando liberamente i dati personali sensibili dell’iscritto e di tutti coloro che esprimeranno il consenso esplicito. Occorrerà, quindi vedere, in che modo Facebook dal 25 maggio garantirà agli iscritti questo diritto. Nella policy sui dati sarà inserita un’informativa ad hoc? Lo speriamo.

L’articolo 9 del Gdpr cerca in qualche modo di frenare la nuova identità che da diversi anni si sta affermando sul web: L’identità personale è diventata una cifra per Big Data.

L’identità personale così è ridotta a un profilo di consumatore, elettore, comunque utente che un algoritmo attribuisce a ciascuno, finendo per annullare l’unicità della persona, il suo valore, la sua eccezionalità.

La tutela della persona rispetto a queste forme di monitoraggio più o meno occulto del proprio comportamento in Rete, è dunque garanzia di libertà.

Gli Over the Top (Ott) sempre più spesso intervengono, in un regime prossimo all’autodichia, per quanto riguarda il trattamento e la protezione dei dati personali degli iscritti. Dal 25 maggio avranno molto meno potere in questo senso e chi non rispetta il regolamento rischia sanzioni fino a 20 milioni di euro o al 4% del fatturato internazionale annuo lordo.

Per approfondire il Regolamento Europeo in materia di Protezione dei Dati Personali (GDPR)

Gdpr, 73% utenti Ue etichettati da Facebook per partito, religione e sesso. Dal 25 maggio serve il consenso

Sta facendo rumore la non-notizia secondo la quale Apple, pur di vendere i propri prodotti in Cina, ha accettato di localizzare nel Celeste Impero i data centre che ospitano i dati degli utenti cinesi e di consegnare le chiavi per accedervi al Governo.

Le reazioni alla notizia hanno stigmatizzato la “doppia morale” dell’azienda di Cupertino che in Occidente si pone come “campione della privacy” e in Oriente come pragmatico operatore “business-oriented” che a Roma fa come i romani o, meglio, a Pechino fa come (il Governo dei) cinesi.

Apple non ha alcun “dovere” di proteggere la privacy – questo spetta alle istituzioni pubbliche ma prima ancora a ciascuno di noi – e se lo fa (quando è possibile) lo fa sulla base di ragionate strategie di marketing e non necessariamente in ossequio a “valori morali”

Dunque, non dovrebbe scandalizzare nessuno il fatto che in nome del “i soldi non puzzano” in Occidente e in Oriente la privacy sia un potente strumento di vendita che funziona sia in un senso (attiro gli utenti promettendo inviolabilità), sia nell’altro (tranquillizzo i governi mostrando che se spingono abbastanza, ottengono quello che vogliono).

Quindi, se proprio dobbiamo cercare un problema da risolvere in relazione a questa notizia, dovremmo orientarci verso la mistificazione del ruolo attribuito alla privacy da aziende private e istituzioni pubbliche, che la considerano ipocritamente una reliquia – ma di plastica – da esibire e svendere a una platea ignorante per ottenere soldi e potere.

E se guardiamo a cosa sta accadendo su scala europea con la bolla del GDPR, la notizia dell’accordo fra Apple e il Governo cinese non fa poi così notizia…

Digitanomalie. Apple rende accessibili i dati icloud degli utenti cinesi al Governo di Pechino. Dov’è il problema?

A group of researchers from MIT and Harvard have presented a new system designed to make private browsing even more private. 

Dubbed Veil, the system proposes additional protections for people who share computers with other people at the office, in hotel business centers, or university computing centers. The new system, the researchers claim, can be used in conjunction with existing private-browsing systems and anonymity networks. The system works even if users don’t visit a page using a browser’s native privacy mode. 

In a paper (PDF) describing Veil, Frank Wang – MIT Computer Science and Artificial Intelligence Laboratory (CSAIL), Nickolai Zeldovich – MIT CSAIL, and James Mickens – Harvard, explain that the system is meant to prevent information leaks “through the file system, the browser cache, the DNS cache, and on-disk reflections of RAM such as the swap file.”

The researchers explain that existing private-browsing sessions rely on retrieving data, loading it into memory, and attempting to erase it when the session is over. However, because of a complex memory management process, some data could end up on a hard drive, where it could remain for days, with the browser not knowing what happened to that data. 

The newly proposed system keeps all the data that the browse loads into memory encrypted until it is displayed on the screen, the researchers say. Users no longer type a URL into the browser, but access the Veil website and enter the URL there. With the help of a blinding server, the Veil format of the requested page is transmitted. 

While the Veil page can be displayed in any browser, there is a bit of code in the page that executes a decryption algorithm and all of the data associated with the page is unreadable until it goes through that algorithm, the researchers say. 

The system would also add decoy, meaningless code to every served page, so that the underlying source file is modified without affecting the way the page looks to the user. With no two transmissions of a page by the blinding sever similar, an attacker capable of recovering snippets of decrypted code after a Veil session should not be able to determine what page the user had visited.

“The blinding servers mutate content, making object fingerprinting more difficult; rewritten pages also automatically encrypt client-side persistent storage, and actively walk the heap to reduce the likelihood that in-memory RAM artifacts will swap to disk in cleartext form. In the extreme, Veil transforms a page into a thin client which does not include any page-specific, greppable RAM artifacts,” the paper reads. 

One other option would be to have the blinding server opening the requested page itself, taking a picture of it, and sending the picture to the user’s computer. Should the user click anywhere on the image, the browser records the position of the click and sends the data to the server, which processes it and returns an image of the updated page.

Veil uses an opt-in model, meaning that the use of the new private browsing system requires developers to create Veil versions of their sites. To help in this regard, the researchers built a compiler to help admins convert sites automatically and is also capable of uploading the converted version of a site to a blinding server.

“To publish a new page, developers pass their HTML, CSS, and JavaScript files to Veil’s compiler; the compiler transforms the URLs in the content so that, when the page loads on a user’s browser, URLs are derived from a secret user key. The blinding service and the Veil page exchange encrypted data that is also protected by the user’s key. The result is that Veil pages can safely store encrypted content in the browser cache; furthermore, the URLs exposed to system interfaces like the DNS cache are unintelligible to attackers who do not possess the user’s key,” the paper reads. 

The blinding servers, however, require maintenance, either by a network of private volunteers or a for-profit company. However, site admins would also have the option to host Veil-enabled versions of their sites themselves. 

Related: Mozilla Launches Privacy-Focused Browser for iOS

Ionut Arghire is an international correspondent for SecurityWeek.

Previous Columns by Ionut Arghire:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/GGGhXJcm7-o/researchers-propose-improved-private-web-browsing-system

Microsoft faces off with the US government before the Supreme Court Tuesday over a warrant for data stored abroad that has important ramifications for law enforcement in the age of global computing.

The case, which dates back to 2013, involves a US warrant ordering Microsoft to turn over the contents of an email account used by a suspected drug trafficker, whose data is stored in a cloud computing center in Ireland.

It has been watched closely because of its implications for privacy and surveillance in the digital age, and specifically how law enforcement can reach across borders to obtain digital evidence that may be scattered across the globe.

Microsoft has maintained that US courts lack jurisdiction over the data stored in Ireland.

The US tech giant, backed by many firms in the sector and civil liberties groups, argues the case is critical in showing that American authorities cannot simply request such data via a warrant without going through the process set out in law enforcement treaties between countries.

– The Snowden effect –

Microsoft president Brad Smith told reporters last week the principle is especially relevant after former intelligence contractor Edward Snowden leaked details on global US surveillance programs in 2013.

“We’ve always said it was important to win this case to win the confidence of people around the world in American technology,” Smith said in a conference call.

Smith said officials in Europe have been notably concerned about the implications of a decision in favor of the US government, and that was made clear during a discussion with a German official on the case after a lower judge ruled against Microsoft.

“He said that unless we persist with this lawsuit and turned it around, no German state would ever store data in a data center operated by an American company,” Smith said.

Last year, a federal appeals court sided with Microsoft, overturning a district judge ruling.

Yet the case is complicated by the intricacies of cloud computing, which allow data to be split up and stored in multiple locations around the world even for a single user, and some analysts say the court has no good solution.

“The speed by which data can be moved about the globe, the fact of third-party control and the possibility of data being held in locations that have absolutely no connection to either the crime or target being investigated makes location of the 0s and 1s that comprise our emails a particularly poor basis for delimiting jurisdiction,” American University law professor Jennifer Daskal wrote on the Just Security blog.

“Conversely, there is a real risk that a straight-up US government win will — rightly or wrongly — be perceived around the world as US law enforcement claiming the right to access data anywhere, without regard to the countervailing sovereign interests. This creates a precedent that foreign nations are likely to mimic.”

– ‘Larger problem’ –

Both sides have said that any court decision may be flawed, and that Congress needs to address the issue by rewriting the 1986 Stored Communications Act at issue.

Microsoft’s Smith said he was encouraged by a bill introduced this year called the CLOUD Act that would authorize cross-border data warrants with countries that meet certain standards for privacy and civil liberties.

The proposal has the backing of the tech sector, according to Smith, and respects the laws of each country where a request is made.

John Carlin, a former assistant US attorney general for national security, agreed that a legislative solution is preferable.

“Regardless of how this case turns out, it’s not going to solve the larger problem,” Carlin said.

Carlin said current law affecting crimes with cross-border components are not designed for the digital age.

“The problem now is there is a lack of clarity over how you can serve traditional legal process for what used to be local crimes,” he added. Carlin said the CLOUD bill could address the issues because it “provides incentives for countries that have protections for civil liberties.”

But some civil liberties activists have expressed concern the measure would expand US surveillance capabilities.

The measure “would give unlimited jurisdiction to US law enforcement over any data controlled by a service provider, regardless of where the data is stored and who created it,” said Camille Fischer of the Electronic Frontier Foundation.

It also “creates a dangerous precedent for other countries who may want to access information stored outside their own borders, including data stored in the United States,” she said.

© AFP 2018

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/XIZ_K0YUdCY/microsoft-data-warrant-case-top-us-court-has-global-implications

Open Whisper Systems, the organization behind the privacy-focused messaging app Signal, announced on Wednesday the launch of the Signal Foundation, with an initial investment of $50 million from WhatsApp co-founder Brian Acton.

The Signal service is used by millions of people and the Signal protocol is used by billions through its integration into popular applications such as WhatsApp, Facebook Messenger and Google Allo.

Despite the success of its product, the Signal team has never had more than seven members and there have only been an average of 2.3 full-time developers.

With the launch of the Signal Foundation and the $50 million from Acton, Signal will have the resources necessary to expand and accelerate its mission to make private communications accessible to everyone.

“Starting with an initial $50,000,000 in funding, we can now increase the size of our team, our capacity, and our ambitions. This means reduced uncertainty on the path to sustainability, and the strengthening of our long-term goals and values,” said Moxie Marlinspike, founder of Open Whisper Systems and CEO of the Signal Foundation. “Perhaps most significantly, the addition of Brian brings an incredibly talented engineer and visionary with decades of experience building successful products to our team.”

The Signal Foundation is a 501(c)(3) nonprofit organization. Up until now, the Freedom of the Press Foundation acted as a fiscal sponsor for Signal.

Acton, who left WhatsApp and Facebook last year, will serve as executive chairman of the Signal Foundation and will be actively involved in operations and product development.

“After over 20 years of working for some of the largest technology companies in the world, I couldn’t be more excited for this opportunity to build an organization at the intersection of technology and the nonprofit world,” said Acton.

“In the immediate future we are focused on adding to our talented-but-small team and improving Signal Messenger. Our long-term vision is for the Signal Foundation to provide multiple offerings that align with our core mission,” he added.

Related: “Signal” Uses Domain Fronting to Bypass Censorship

Related: Standalone Signal Desktop Messaging App Released

Related: Signal Announces Private Contact Discovery

Eduard Kovacs is a contributing editor at SecurityWeek. He worked as a high school IT teacher for two years before starting a career in journalism as Softpedia’s security news reporter. Eduard holds a bachelor’s degree in industrial informatics and a master’s degree in computer techniques applied in electrical engineering.

Previous Columns by Eduard Kovacs:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/clBrFHzlBCM/whatsapp-co-founder-invests-50-million-signal