Microsoft Brings End-to-End Encryption to Skype

Microsoft this week announced that end-to-end encrypted communications are now available for preview to Skype insiders.

Called Private Conversations, the newly introduced feature secures both text chat messages and audio calls, Microsoft Program Manager Ellen Kilbourne revealed.

Furthermore, end-to-end encryption is also applied to any files users send to their conversational partners, including images, audio files, and videos. Not only will the contents of these conversations be hidden in the chat list, but they won’t appear in notifications either, to keep user’s information private.

Private Conversations, Kilbourne explains in a post, is using the industry standard Signal Protocol by Open Whisper Systems. The protocol is already providing end-to-end encryption to users of popular messaging applications such as Signal, WhatsApp, and Facebook Messenger.

Users enrolled in Microsoft’s Skype Insider program can already test the new feature by selecting “New Private Conversation” from the compose menu or from the recipient’s profile. As soon as the recipient has accepted the invitation to a private chat, all calls and messages in that conversation will be encrypted end-to-end, until they choose to end it.

Participation in a private conversation will be available from a single device at a time. Skype users will have the possibility to switch the conversation to any of their devices, but exchanged messages are tied to the device being used at the time.

During the preview period, private conversations will be available only to Skype Insiders running the latest version of the application. The chats are also limited to one-to-one conversations, Kilbourne explains.

The Private Conversations feature is currently available to Skype Insiders using Skype version 8.13.76.8 for iOS, Android, Linux, Mac, and Windows Desktop.

Ionut Arghire is an international correspondent for SecurityWeek.

Previous Columns by Ionut Arghire:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/K9CFtaRX6h0/microsoft-brings-end-end-encryption-skype

Skype finally getting end-to-end encryption

Since its inception, Skype has been notable for its secretive, proprietary algorithm. It’s also long had a complicated relationship with encryption: encryption is used by the Skype protocol, but the service has never been clear exactly how that encryption was implemented or exactly which privacy and security features it offers.

That changes today in a big way. The newest Skype preview now supports the Signal protocol: the end-to-end encrypted protocol already used by WhatsApp, Facebook Messenger, Google Allo, and, of course, Signal. Skype Private Conversations will support text, audio calls, and file transfers, with end-to-end encryption that Microsoft, Signal, and, it’s believed, law enforcement agencies cannot eavesdrop on.

Presently, Private Conversations are only available in the Insider builds of Skype. Naturally, the Universal Windows Platform version of the app—the preferred version on Windows 10—isn’t yet supported. In contrast, the desktop version of the app, along with the iOS, Android, Linux, and macOS clients, all have compatible Insider builds. Private Conversations aren’t the default and don’t appear to yet support video calling. The latter limitation shouldn’t be insurmountable (Signal’s own app offers secure video calling). We hope to see the former change once updated clients are stable and widely deployed.

We’ve criticized Skype’s failure to provide this kind of security in the past. Skype still has valuable features, such as its interoperability with traditional phone networks and additional tools for TV and radio broadcasters. But its tardiness at adopting this kind of technology left Skype behind its peers. The adoption of end-to-end security is very welcome, and the decision to do so using the Signal protocol, rather than yet another proprietary Skype protocol, marks a change from the product’s history.

Although Skype remains widely used, mobile-oriented upstarts like WhatsApp and Facebook Messenger rapidly surpassed it. Becoming secure and trustworthy is a necessary development, but whether or not it’s going to be sufficient to reinvigorate the application is far from clear.

https://arstechnica.com/?p=1242741

M5S, Garante Privacy ‘Con piattaforma Rousseau violazione dati personali utenti e tracciamento del voto’

I siti web riconducibili al Movimento 5 Stelle violano la privacy degli utenti. A questa conclusione è giunta l’Autorità Garante per la protezione dei dati personali chiudendo l’istruttoria aperta a seguito del Data breach subìto, nei primi giorni di agosto 2017, dalla piattaforma ‘Rousseau’. Nel provvedimento si legge che il Garante ha ravvisato “l’illiceità del trattamento dei dati personali degli utenti dei diversi siti riferibili al Movimento 5 Stelle” perché non erano state designate come responsabili del trattamento medesimo le due società (Wind Tre S.p.A. e ITNET) che effettivamente gestiscono e trattano i dati degli iscritti. Per questo motivo l’Autorità si riserva di verificare, con autonomo procedimento, eventuali sanzioni amministrative per violazione del Codice della privacy (art. 162 comma 2bis d.lg. 30 giugno 2003 n.196).

‘La piattaforma Rousseau e il Blog Beppe Grillo non sicuri perché utilizzano software obsoleti’

Il Garante privacy, attraverso le segnalazioni, gli accertamenti ispettivi presso l’Associazione ‘Rousseau’, l’esame delle risultanze dei vulnerability assessment e l’analisi tecnica su tutto il materiale di cui è potuta venire a conoscenza ha scoperto che www.movimento5stelle.it, parte della piattaforma https://rousseau.movimento5stelle.it e il blog di Beppe Grillo sono stati facilmente oggetto di attacchi informatici perché i software utilizzati per la gestione dei contenuti sono obsoleti, addirittura per uno il produttore individuava nel 31 dicembre 2013 la data di “fine vita”. Ecco in merito cosa è emerso, con precisione, al Garante Privacy:

Il portale web del Movimento 5 Stelle e parte della piattaforma Rousseau sono stati realizzati avvalendosi di un prodotto software, il CMS Movable Type che, nella versione Enterprise 4.31-en, è risultata affetta da indiscutibile obsolescenza tecnica (il produttore individuava nel 31 dicembre 2013 la data di “fine vita” delle versioni 4.3x). Il blog beppegrillo.it utilizza invece una versione del CMS Movable Type ancora più risalente (versione 3.35), con la quale la registrazione delle password avveniva in chiaro. Le obsolescenze dei CMS (sistemi di gestione dei contenuti), oltre a esporre i dati personali trattati a rischi di accesso abusivo (rischi derivanti dalle vulnerabilità informatiche già note e segnalate dallo stesso produttore), ha condizionato l’efficacia di alcuni accorgimenti tecnici adottati successivamente dall’Associazione a seguito delle intrusioni informatiche; ad esempio il portale non realizzava policy efficaci sulla qualità delle password, ammettendo l’uso di password banali, facilmente esposte alla decifrazione e ad attacchi di tipo brute force anche in modalità interattiva online.

‘Su Rousseau il voto non è segreto, ma è tracciato con nominativo e cellulare’

Nella sua istruttoria il Garante Privacy ha anche scoperto che il voto è sempre tracciato nel database Rousseau, la piattaforma utilizzata, tra l’altro, dal Movimento 5 Stelle per le votazioni online (parlamentarie del 2012 e la recente scelta del candidato premier con la vittoria di Luigi Di Maio). Infatti nel provvedimento si può leggere:

“…nello schema del database risulta infatti che ciascun voto espresso sia effettivamente associato a un numero telefonico corrispondente (come del resto confermato dal dottor Casaleggio in sede ispettiva, cfr. verbale 5 ottobre 2017) al rispettivo iscritto-votante. Tale riferimento sarebbe mantenuto nel database per asserite esigenze di sicurezza, comportando, tuttavia, la concreta possibilità di associare, in ogni momento successivo alla votazione, oltre che durante le operazioni di voto, i voti espressi ai rispettivi votanti. La possibilità di tracciare a ritroso il voto espresso dagli interessati non risulta neppure bilanciata, per esempio, da un robusto sistema di log degli accessi e delle operazioni svolte da persone dotate dei privilegi di amministratore della piattaforma che consenta, almeno, di condurre a posteriori azioni di auditing sulla liceità dei trattamenti attuati dal detentore dell’archivio elettronico”.

Cosa devono fare Belle Grillo e Casaleggio Associati per rispettare (completamente) la privacy degli iscritti ai siti del Movimento? In attesa di eventuali sanzioni

Entro 30 giorni dal provvedimento il Garante Privacy ha prescritto nei confronti dei titolari del trattamento dei siti web riferibili al Movimento 5 Stelle (blog di Beppe Grillo compreso) le misure necessarie per adeguarsi al Codice della privacy e si riserva di verificare la sussistenza dei presupposti per l’eventuale contestazione delle sanzioni amministrative dello stesso Codice.

La replica del M5S

Il M5S si difende così:

“In seguito all’attacco hacker dello scorso mese di agosto sono già state attivate le procedure per mettere in sicurezza il sistema Rousseau e la polizia postale ha condotto un’indagine sugli autori degli attacchi“, ha dichiarato l’associazione Rousseau – controllata dalla Casaleggio Associati – che gestisce la piattaforma di democrazia partecipativa dei Cinque Stelle, “a tal riguardo le richieste e le raccomandazioni del Garante per la privacy sono già state accolte”, conclude la nota.

I possibili sviluppi

Se attraverso il portale del Movimento 5 Stelle e la piattaforma ‘Rousseau’ è stato commesso un trattamento illecito dei dati personali degli iscritti allora non sono valide tutte le votazioni svolte online, dalle parlamentarie del 2012 alle ultime che hanno decretato Luigi Di Maio candidato premier del Movimento? Attendiamo la conclusione dei procedimenti avviati dal Garante Privacy per conoscere le eventuali sanzioni amministrative e nel caso di fattispecie penale sarà allora l’autorità giudiziaria a pronunciarsi. Il giudice potrebbe anche dichiarare non valide tutte le votazioni indette dal Movimento online? Può sembrare fantapolitica o dietrologia, ma è una domanda lecita visto il provvedimento del Garante.

M5S, Garante Privacy ‘Con piattaforma Rousseau violazione dati personali utenti e tracciamento del voto’

Many GPS Tracking Services Expose User Location, Other Data

Researchers discovered that many online services designed for managing location tracking devices are affected by vulnerabilities that expose potentially sensitive information.

Fitness, child, pet and vehicle trackers, and other devices that include GPS and GSM tracking capabilities are typically managed via specialized online services.

Security experts Vangelis Stykas and Michael Gruhn found that over 100 such services have flaws that can be exploited by malicious actors to gain access to device and personal data. The security holes, dubbed Trackmageddon, can expose information such as current location, location history, device model and type, serial number, and phone number.

Some services used by devices that have photo and audio recording capabilities also expose images and audio files. In some cases, it’s also possible to send commands to devices in order to activate or deactivate certain features, such as geofence alerts.

Attackers can gain access to information by exploiting default credentials (e.g. 123456), and insecure direct object reference (IDOR) flaws, which allow an authenticated user to access other users’ accounts simply by changing the value of a parameter in the URL. The services also expose information through directory listings, log files, source code, WSDL files, and publicly exposed API endpoints that allow unauthenticated access.

Stykas and Gruhn have notified a vast majority of the affected vendors in November and December. Nine services have confirmed patching the flaws or promised to implement fixes soon, and over a dozen websites appear to have addressed the vulnerabilities without informing the researchers. However, the rest of the tracking services remain vulnerable.

There are roughly 100 impacted domains, but some of them appear to be operated by the same company. Researchers have identified 36 unique IPs hosting these domains and 41 databases that they share. They estimate that these services expose data associated with over 6.3 million devices and more than 360 device models.

The vulnerable software appears to come from China-based ThinkRace, but in many cases the company does not have control over the servers hosting the tracking services.

Gruhn and Stykas pointed out that vulnerabilities in ThinkRace products – possibly including some of the issues disclosed now – were first discovered in 2015 by a New Zealand-based expert while analyzing car tracking and immobilisation devices that relied on ThinkRace software.

Users of the online tracking services that remain vulnerable have been advised to change their password and remove any potentially sensitive information stored in their account. However, these are only partial solutions to the problem and researchers have advised people to simply stop using affected devices until patches are rolled out.

Eduard Kovacs is a contributing editor at SecurityWeek. He worked as a high school IT teacher for two years before starting a career in journalism as Softpedia’s security news reporter. Eduard holds a bachelor’s degree in industrial informatics and a master’s degree in computer techniques applied in electrical engineering.

Previous Columns by Eduard Kovacs:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/tmU9aXWHAI8/many-gps-tracking-services-expose-user-location-other-data

Gdpr, i 10 articoli più letti nel 2017

Il 25 maggio 2018 entrerà in vigore nell’Unione europea la ‘Privacy 2.0’. Concretamente diventa pienamente applicabile in tutti gli Stati membri regolamento europeo della protezione dei dati personali (RPD) – spesso indicati con l’acronimo inglese DPO (Data Protection Officer). Il nuovo regolamento sostituirà l’attuale normativa interna dei singoli Paesi sulla protezione dei dati personali. Uscirà quindi di scena il Codice della privacy oggi applicato in Italia e contenuto nel Dlgs 196/2003. L’Italia, la PA e le imprese sono pronti?

Ecco 10 articoli (tra i più letti dai nostri lettori) per conoscere bene il Gdpr.

GDPR e data breach, ecco le linee guida per l’applicazione

La principale novità del GDPR, applicabile dal 25 maggio 2018, è l’estensione dell’obbligo a tutti i titolari. Il gruppo di lavoro WP29, chiarisce che la responsabilità del titolare deve essere commisurata secondo la sua capacità.

Data Protection, 5 miti da sfatare sul nuovo Regolamento Ue (GDPR)

Il nuovo regolamento Ue sulla Data Protection (GDPR) sarà completamente operativo fra meno di un anno, a partire dal 25 maggio 2018. Ecco cinque miti da sfatare.

10 luoghi comuni sul GDPR

L’adeguamento del regolamento generale sulla protezione dei dati ultimamente è accompagnato da una serie di falsi luoghi comuni. Vediamone alcuni insieme.

GDPR, cosa aspetta la Pubblica Amministrazione a nominare i DPO?

La nomina del DPO (Data Protection Officer) per la Pubblica Amministrazione, è obbligatoria ai sensi dell’art. 37, al punto da poter affermare che debba essere strutturato uno specifico ufficio per attendere agli adempimenti connessi.

Enterprise 4.0. Perché e come proteggersi dagli attacchi informatici, rispettando la nuova normativa GDPR

Con la nuova normativa, sarà obbligatorio notificare all’Autorità, entro 72 ore dall’avvenimento, qualsiasi violazioni di dati e informare del problema le persone a cui si riferiscono i dati, pena sanzioni fino a 20 milioni di euro o pari al 4% del fatturato internazionale.

GDPR e DPO, le priorità dei due Garanti Giovanni Buttarelli e Antonello Soro

Il punto della situazione del Garante europeo per la protezione dati Giovanni Buttarelli e del collega italiano Antonello Soro sulle priorità per imprese e pubbliche amministrazioni in vista del Nuovo Regolamento Europeo sulla Protezione Dati (GDPR).

Gdpr, Antonello Soro ‘Da maggio stop ai trattamenti differenziati per gli OTT’

Antonello Soro, Garante Privacy, in occasione del convegno sul nuovo regolamento europeo sulla Data protection organizzato a Cagliari da PrivacyItalia: ‘Dal 25 maggio non ci saranno più parti dell’Europa in cui gli OTT potranno godere di un trattamento differenziato rispetto a quello della Germania o dell’Italia’.

Privacy digitale, prime osservazioni en attendant la piena applicazione del GDPR

La Commissione Ue sembra aver raccolto la sfida della tutela della privacy e della protezione dei dati personali con l’approvazione del nuovo GDPR anche se ancora resta da scrivere il fondamentale tassello della privacy digitale.

Il nuovo white paper gratuito ‘GDPR & dati personali

Il volume ha lo scopo di aiutare le aziende ad aggiornarsi e allinearsi alla nuova normativa. Alberto Miscia (MailUp): “Il GDPR si pone come strumento di competizione economica rilevante: da mero argomento giuridico a tema strategico per la nuova economia dei dati”.

Il GDPR spiegato in 1 minuto

https://www.key4biz.it/gdpr-10-articoli-piu-letti-nel-2017/208583/

Nissan Canada Informs 1.1 Million Customers of Data Breach

Nissan Canada revealed on Thursday that the personal information of some customers may have been compromised as a result of a data breach discovered by the company on December 11.

The incident affects individuals who have financed their vehicles through Nissan Canada Finance (NCF) and INFINITI Financial Services Canada. The exact number of impacted customers has yet to be determined, but Nissan is notifying all 1.13 million current and past customers.

While the company believes not all customers are affected, it has decided to offer all of them free credit monitoring services through TransUnion for a period of 12 months. NCF is in the process of sending out emails and letters to individuals whose information may have been compromised.

The attacker could have stolen names, addresses, vehicle details, vehicle identification numbers (VINs), credit scores, loan amounts, and information on monthly payments. Nissan Canada says the incident does not appear to involve payment card information.

There is no indication that Nissan or Infiniti customers in Canada who did not obtain financing through NCF or customers outside of Canada are impacted.

The company is working with law enforcement and data security experts to investigate the incident and has not made any comments on who might be behind the attack. Canadian privacy regulators have also been informed of the breach.

This is not the first time Nissan has been targeted by hackers. Back in 2012, the company reported finding malware on its global information systems network. Last year, the company was forced to shut down its global websites due to a cyberattack apparently motivated by anger over Japan’s controversial whale and dolphin hunts.

Previous Columns by Eduard Kovacs:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/bAtHAjxRbjs/nissan-canada-informs-11-million-customers-data-breach

Poste, Garante Privacy ‘Stop al sistema di gestione delle code perché controlla i dipendenti’

Il sistema adottato negli uffici postali per gestire la coda agli sportelli non potrà essere più utilizzato perché può consentire, di fatto, anche il monitoraggio pervasivo e costante dei dipendenti. Questa la decisione del Garante della privacy all’esito di un’istruttoria avviata per approfondire le numerose segnalazioni inviate da dipendenti e sindacati sulle modalità di funzionamento del “gestore attese” implementato dalla società.

I dipendenti si erano rivolti al Garante lamentando il fatto che la società aveva installato un sistema che rendeva visibili i nomi degli operatori sul display luminoso collocato sopra lo sportello senza averli prima informati. I sindacati, da parte loro, hanno evidenziato che la società non aveva stipulato alcun specifico accordo sindacale in merito. Il Garante ha però accertato che le criticità del sistema riguardavano aspetti ben più significativi di quelli rilevati.

Nel corso dell’istruttoria, la società aveva innanzitutto affermato che l’esposizione al pubblico del nome degli operatori, al pari dei cartellini di riconoscimento apposti sulla divisa dei dipendenti, era funzionale a migliorare il rapporto con gli utenti. Riguardo poi alle concrete modalità di funzionamento del sistema, e al relativo trattamento dei dati personali, Poste aveva invece dichiarato di aver agito nel pieno rispetto del Codice della privacy e della disciplina in materia di lavoro, dato che il sistema adottato “costituisce uno strumento aziendale nell’ambito della libertà di organizzazione del lavoro”. E aveva aggiunto di non essere tenuta a presentare un’apposita informativa ai dipendenti in quanto i dati raccolti dal sistema non erano utilizzati per finalità connesse allo svolgimento del rapporto di lavoro.

Nel proprio provvedimento l’Autorità ha invece riscontrato diversi profili di illiceità del trattamento. Ha innanzitutto ribadito che deve sempre essere rilasciata un’informativa completa ai dipendenti sul trattamento dei loro dati personali. Ha poi evidenziato che le caratteristiche del sistema per la gestione delle attese, e il controllo penetrante che ne conseguiva, non erano proporzionate alle finalità “organizzative e produttive”, “di sicurezza del lavoro” e “di tutela del patrimonio aziendale”, ammesse dalla normativa lavoristica.

La cosiddetta “console di monitoraggio” con cui la società gestiva il sistema, infatti, consentiva a oltre 12.000 soggetti incaricati – con visibilità differenziata a livello nazionale e periferico – di accedere in tempo reale e in via continuativa, ai dati relativi a tutte le postazioni e a tutti gli operatori in servizio, in qualunque momento, presso un determinato ufficio. Tali dati potevano essere raccolti e memorizzati, anche sulla base di non ben specificate “anomalie”, e potevano essere estratti in report individuali.

Il Garante ha osservato inoltre che ai sensi della disciplina di settore, il sistema non poteva configurarsi quale mero “strumento di lavoro” indispensabile per rendere la prestazione, potendo consentire, anche indirettamente, il controllo a distanza del lavoratore. Per tale motivo Poste avrebbe dovuto adottare le specifiche garanzie previste dalla legge, tra cui l’apposito accordo da stipulare con i sindacati.

Il Garante ha quindi vietato a Poste, con decorrenza immediata, l’utilizzo dei dati trattati in modo illecito.

Ne ha però disposto la conservazione al fine di garantire la tutela dei diritti in sede giudiziaria e l’eventuale acquisizione da parte delle autorità competenti.

Poste, Garante Privacy ‘Stop al sistema di gestione delle code perché controlla i dipendenti’

Facebook, WhatsApp Both Put Under Notice by Europe

The French privacy regulator, the National Commission of Computing and Freedoms (CNIL) has issued a formal notice on WhatsApp. It requires the Facebook company to stop personal data transfers to the parent company in the U.S. unless there is a legal basis for doing so. In particular, WhatsApp must obtain ‘user consent’ (within the meaning of European law) to gather and transfer that data.

It’s a busy time for privacy issues between the U.S. and Europe. CNIL published its notice on Tuesday. On the same day, the powerful German competition authority, the Bundeskartellamt (the Federal Cartel Office or FCO), warned Facebook that it “is abusing [its] dominant position by making the use of its social network conditional on its being allowed to limitlessly amass every kind of data generated by using third-party websites.”

Last week the European Commission filed an amicus curiae brief (PDF) with the United States Court of Appeals For the Second Circuit in the ongoing dispute between Microsoft and the U.S. government. Noticeably, this was in support of neither party, but was an attempt to ensure that the the U.S. court has a full understanding of the relevant European law — in this case, specifically the General Data Protection Regulation (GDPR).

The German FCO concern over Facebook is over the widespread collection of personal user data. In February 2017, the FCO declared that it would investigate Facebook. President Andreas Mundt said at the time, “Dominant companies are subject to special obligations. These include the use of adequate terms of service as far as these are relevant to the market. For advertising-financed internet services such as Facebook, user data are hugely important. For this reason it is essential to also examine under the aspect of abuse of market power whether the consumers are sufficiently informed about the type and extent of data collected.”

Now the FCO has stated, “The authority holds the view that Facebook is abusing this dominant position by making the use of its social network conditional on its being allowed to limitlessly amass every kind of data generated by using third-party websites.” At the heart of the concern is the inadequate informed consent of the user in allowing personal data collection. Facebook claims that it is not a dominant company in Europe (it has more than 30 million active monthly users in Germany); and that it complies with European law.

The concept of free and informed consent also underlies CNIL’s notice against Facebook subsidiary, WhatsApp. In August 2016 WhatsApp changed its Terms of Service and Privacy Policy, explaining that in future, its user data would be transferred to Facebook for targeted advertising, security, and business intelligence. The European regulator grouping, known as Article 29 Working Party, quickly asked WhatsApp to stop the transfer of personal data for targeted advertising.

In a subsequent investigation, WhatsApp told CNIL that French personal data had never been used for targeted advertising. However, CNIL determined that personal data was shared for business intelligence and security. “Thus,” says the CNIL statement, “information about users such as their phone number or their use habits on the application are shared.” While sharing data for security is not an issue, sharing for business intelligence “is not based on the legal basis required by the Data Protection Act for any processing.”

According to CNIL, any user consent to this data collection and sharing is neither free nor informed (“the only way to refuse the data transfer for ‘business intelligence’ purpose is to uninstall the application”). CNIL requested a sample of data that had been transferred, but this was refused by WhatsApp. The data concerned is now in the U.S., and WhatsApp apparently considers that it is only subject to the law of the U.S.

This refusal has been interpreted by CNIL as a breach of WhatsApp’s obligation to cooperate with the regulator under Article 21 of the Data Protection Act. It has consequently issued the formal notice requiring WhatsApp to comply with the Data Protection Act within one month.

Neither the CNIL notice nor the FCO statement can directly lead to sanctions against Facebook/WhatsApp. They can best be viewed as shots across the bow, which — if ignored — could lead to the full cannon power of European data protection being leveled against Facebook. Both statements being issued on the same day is a remarkable coincidence. Coming exactly one week after the European Commission used the GDPR-relevant Microsoft vs U.S. government court struggle to make sure that U.S. courts understand Europe’s point of view is also remarkable.

It could all be coincidence. But coincidence or not, Europe is warning the large American tech companies — and indeed, any company that trades with or within Europe — it is taking its data protection laws seriously. While existing sanctions could be funded out of the running costs of large companies, the potential for future GDPR sanctions of up to 4% of global turnover is not something that can be ignored. Any assumption that Europe will not be quick to enforce GDPR when it comes into force in May 2018 should be rejected.

Kevin Townsend is a Senior Contributor at SecurityWeek. He has been writing about high tech issues since before the birth of Microsoft. For the last 15 years he has specialized in information security; and has had many thousands of articles published in dozens of different magazines – from The Times and the Financial Times to current and long-gone computer magazines.

Previous Columns by Kevin Townsend:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/4OUSodlQVqQ/facebook-whatsapp-both-put-under-notice-europe

Privacy e Data protection, cosa è successo nel 2017

Non c’è stata una giornata nel 2017 non scandita da una legge, un decreto, una discussione sul tema della privacy e da un provvedimento o intervento del Garante per la protezione dei dati personali. Senza dimenticare i frequenti attacchi informatici che hanno caratterizzato l’anno e rappresentato un vulnus ai dati dei cittadini e delle imprese con i consigli dell’Authority per difendersi dal ransomware che prende “in ostaggio” Pc e smartphone chiedendone il riscatto in bitcoin. E poi le polemiche e le iniziative contro le fake news e un’indagine europea congiunta del Garante Privacy, Antitrust e Agcom sui Big Data, il nuovo petrolio dell’economia digitale. In questo articolo Key4biz ripercorre e seleziona, in ordine cronologico, i temi, le leggi e gli eventi all’insegna della Data protection che hanno contrassegnato quest’anno.

30 gennaio 2017 – Giornata europea della protezione dei dati personali

L’anno è iniziato all’insegna della privacy. Il 30 gennaio si è tenuta a Roma, nell’Aula del Palazzo dei Gruppi Parlamentari, il convegno Big Data e Privacy. La nuova geografia dei poteri organizzato dal Garante Privacy in occasione della Giornata Europea della protezione dei dati personali. Antonello Soro ha dichiarato: “L’attenzione ai Big data non può riguardare soltanto le sue implicazioni scientifiche e tecniche o gli sconvolgenti effetti delle innovazioni sull’economia. Ci deve preoccupare anche il potenziale discriminatorio che dal loro utilizzo, anche rispetto a dati non identificativi o aggregati, può nascere per effetto di profilazioni sempre più puntuali ed analitiche: in un gioco che finisce per annullare l’unicità della persona, il suo valore, la sua eccezionalità”.

Il videoreportage del convegno

[embedded content]

8 marzo 2017 – Antonello Soro ‘Il giusto rimedio contro le fake news’

Il 2017 è stato decisamente l’anno della consacrazione delle fake news sul web. “Le ‘bufale’ non nascono certo con i social”, con queste parole è iniziato l’intervento a la Repubblica di Antonello Soro dell’8 marzo 2017: “Ma ciò che con la Rete si amplifica in misura esponenziale è la viralità con cui, persino notizie palesemente false, fanno il giro del web, rimbalzando da un blog a un social. E si finisce per crederle vere, per quel meccanismo autoconfermativo su cui si fonda il web e che finisce con il far dipendere l’attendibilità della notizia non dalla sua verificabilità, ma dalla quantità di condivisioni che abbia ottenuto. È la logica dell’audience: le notizie comunque formate, finiscono con il plasmare verità e conferire autorevolezza alla loro fonte in funzione della quantità di lettori-spettatori che ottengano’. Soro, il 27 novembre, è ritornato sul fenomeno delle bufale online mettendo in guardia contro lo strapotere dell’algoritmo degli Over the Top (OTT) che rischiano di diventare ‘arbitri della verità’ se Parlamento, le Istituzioni in generale e i giornalisti delegano ai gestori delle piattaforme digitali il ruolo di semaforo, lasciando loro una discrezionalità totale nella individuazione di contenuti lesivi.

8 maggio 2017 – I 20 anni di privacy in Italia

Per celebrare i vent’anni dall’introduzione nel nostro ordinamento del diritto fondamentale alla protezione dei dati personali (l’8 maggio del 1997 entrava infatti in vigore la prima legge sulla privacy, la legge n. 675 del 1996, poi confluita nel 2003 nell’attuale Codice per la privacy), il Garante per la privacy ha realizzato sia un logo sia un video, quest’ultimo per ripercorrere le tappe più significative della sua attività e i cambiamenti intervenuti nella nostra società.

[embedded content]

15 maggio 2017 – Workshop di Privacy Italia sul nuovo Gdpr

In quest’anno si è preso atto e si è conosciuto meglio il Regolamento europeo sulla protezione dei dati personali, che diverrà pienamente applicabile il 25 maggio 2018 in tutti i Paesi dell’Ue e sostituirà l’attuale normativa interna dei singoli Stati sulla protezione dei dati personali. Uscirà quindi di scena in Italia il Codice della privacy contenuto nel Dlgs 196/2003. L’associazione Privacy Italia il 15 maggio ha organizzato un workshop per dar vita a un dibattito sul Gdpr con i rappresentanti della PA e con il Garante Privacy, Antonello Soro. Ecco il videoreportage dell’evento, (mentre qui c’è il racconto multimediale di quello organizzato a Cagliari il 10 novembre)

[embedded content]

17 maggio 2017 – Legge contro il cyberbullismo sui minori

“Questa legge è un primo passo necessario. La dedichiamo a Carolina Picchio ed a tutte le altre vittime del cyberbullismo”, ha detto nell’Aula della Camera la presidente Laura Boldrini salutando il padre della 14enne, prima minorenne in Italia vittima del cyberbullismo. Il testo è stato approvato definitivamente, il 17 maggio 2017, a Montecitorio all’unanimità.

La legge tutela solo i minori vittime del cyberbullismo. Infatti il minore vittima di bullismo sul web (anche senza che i genitori lo sappiano) può chiedere direttamente al gestore del sito l’oscuramento o la rimozione della “cyber aggressione”. Nel caso in cui il gestore ignori l’allarme, la vittima, stavolta con il genitore informato, potrà rivolgersi al Garante per la Privacy che entro 48 ore dovrà intervenire. (Ecco il modulo per inviare le segnalazioni al Garante)

Inoltre ogni scuola dovrà individuare un insegnante addetto al contrasto e alla prevenzione del “cyberbullismo” che potrà avvalersi della collaborazione delle Forze di polizia.

Antonello Soro, Garante per la privacy, ha così commentato la norma: “L’Autorità si impegnerà a svolgere”, ha aggiunto Soro, “con la responsabilità che a tale alto compito si addice, l’importante funzione di garanzia assegnatale dalla legge anche in questo contesto. È infatti fondamentale garantire la tutela di una generazione tanto più iperconnessa quanto più fragile, se non adeguatamente responsabilizzata rispetto all’uso della rete”.

1 giugno 2017 – Big Data, Italia apripista Ue. Indagine Antitrust, Agcom e Garante Privacy

L’Italia è stata apripista in Europa della corsa alla regolazione dei Big Data. Il primo giugno le tre autorità indipendenti (Garante Privacy, Antitrust, Agcom,) hanno avviato un’indagine conoscitiva, ognuna dal suo punto di vista e per le sue competenze, sui Big Data. L’obiettivo è fare un quadro completo sull’utilizzo alquanto nebuloso che le piattaforme online fanno dei nostri dati personali.

6 giugno 2017 – la Relazione annuale del Garante privacy sull’attività svolta nel 2016

L’Autorità Garante per la protezione dei dati personali ha presentato, presso la Sala della Regina della Camera dei Deputati, la Relazione sull’attività svolta nel 2016. Ecco il discorso tenuto da Antonello Soro, presidente dell’Autorità. La cerimonia è avvenuta alla presenza del Presidente della Repubblica, della Presidente della Camera dei Deputati, di Ministri e rappresentanti del Parlamento, delle Istituzioni, del mondo dell’impresa e delle associazioni di categoria. Ecco il testo completo della Relazione annuale 2016.

23 giugno 2017 – Scomparsa di Stefano Rodotà, il padre della legge sulla privacy in Italia

All’eta di 84 anni è scomparso, il 23 giugno, Stefano Rodotà, considerato il padre della legge italiana sulla privacy e infatti è stato il primo a ricoprire, dal 1997 al 2005, il ruolo di presidente dell’Autorità Garante per la protezione dei dati personali. L’attuale Garante Privacy, Antonello Soro, l’ha ricordato con queste parole: “La morte di Stefano Rodotà – proprio nel ventennale della legge sulla privacy da Lui fortemente voluta – è una perdita incolmabile, in particolare per l’Autorità che egli per primo ha presieduto e per la quale continua a rappresentare un punto di riferimento insostituibile. Il nostro Paese – e non solo – deve a Lui molto, quasi tutto, di quel diritto fondamentale alla protezione dei dati personali, che rappresenta sempre di più la garanzia di libertà nella società digitale. Personalmente perdo un amico indimenticabile”

1 settembre 2017 – Garante Privacy: “Scuole possono inviare elenchi alunni alle Asl”

Il 2017 è stato anche l’anno in cui è nata la psicosi dei vaccini finalmente placata con l’approvazione del Parlamento della legge in materia di prevenzione vaccinale. In merito il Garante per la Privacy ha adottato un provvedimento urgente, con valenza generale, per consentire agli istituti scolastici e i servizi educativi per l’infanzia di trasmettere gli elenchi degli iscritti alle Asl competenti per territorio per consentire la verifica della regolarità vaccinale senza aggiungere oneri burocratici a famiglie e pubblica amministrazione.

15 settembre 2017 – Il Garante Privacy fissa i requisiti per il Data Protection Officer (DPO)

Le pubbliche amministrazioni, così come i soggetti privati, dovranno scegliere il Responsabile della protezione dei dati personali (RPD) – spesso indicati con l’acronimo inglese DPO (Data Protection Officer). Non sono richieste attestazioni formali sul possesso delle conoscenze o l’iscrizione ad appositi albi professionali. Queste sono alcune delle indicazioni fornite dal Garante della privacy alle prime richieste di chiarimento in merito alla nomina di questa nuova importante figura – introdotta dal Regolamento UE 2016/679 – che tutti gli enti pubblici e anche molteplici soggetti privati dovranno designare non più tardi del prossimo maggio 2018. (Sul sito del Garante Privacy per leggere tutte le FAQ sul Responsabile della Protezione dei dati (RPD) in ambito pubblico).

2 novembre – Consiglio dei ministri approva decreto intercettazioni per salvare i dati sensibili

È salva la privacy delle persone le cui intercettazioni telefoniche, telematiche e ambientali non sono rilevanti per le indagini. Questo è il principio cardine del decreto legislativo, approvato il 2 novembre dal Consiglio dei ministri, che interviene sulle disposizioni in materia di intercettazione di conversazioni o comunicazioni. “Si mette fine all’abuso” ha detto il premier Paolo Gentiloni. Infatti il testo prevede: “il divieto di trascrizione, anche sommaria, delle comunicazioni o conversazioni ritenute irrilevanti per le indagini, sia per l’oggetto che per i soggetti coinvolti, nonché di quelle che riguardano dati personali definiti sensibili dalla legge”.

6 dicembre 2017 – Dati sanitari alle aziende, Soro: ‘C’è equilibrio tra ricerca scientifica e privacy’

Il Garante Privacy è intervenuto nel dibattito sul riutilizzo dei dati da parte delle multinazionali per finalità di ricerca scientifica in forma anonima e dopo l’autorizzazione della stessa Autorità. Antonello Soro ha dichiarato: ‘Mi sembra che ci siano garanzie per la ricerca e per la privacy’.

12 dicembre 2017 – in vigore Data Protection fino a 6 anni

Dal 12 dicembre scorso è in vigore la Legge Europea 2017 che introduce l’obbligo in capo agli operatori telefonici di conservare i dati del proprio traffico telefonico e telematico, nonché quelli relativi alle chiamate senza risposta, per il termine di 72 mesi (6 anni). Un unicum nell’Unione Europea e mostra dubbi di compatibilità con la sentenza della Corte di Giustizia Ue, che, nella sentenza 8 aprile 2014, ha stabilito un termine di conservazione dei dati compreso tra 6 mesi e 24 mesi. Antonello Soro, Garante Privacy, ha espresso la sua contrarietà alla legge italiana: “Se la minaccia di attacchi informatici è quotidiana diventa ancora più incomprensibile la decisione di aumentare fino a 6 anni la Data Retention, ignorando, non solo le sentenze della Corte di giustizia europea, ma anche il buon senso”, (il 24 ottobre 2017, convegno Privacy digitale e protezione dei dati personali tra persona e mercato svoltosi a Firenze).

13 dicembre 2017 – Cos’è un ransomware e come difendersi, il vademecum del Garante Privacy

Il Garante Privacy ha pubblicato, il 13 dicembre scorso, un vademecum per spiegare nel dettaglio cos’è un ransomware e come comportarsi per evitare l’infezione e per liberare il device nel caso di rapimento, confisca e blocco del device come nei casi recenti più eclatanti di Bad Rabbit, Petya e Wannacry.

https://www.key4biz.it/privacy-e-data-protection-cosa-e-successo-nel-2017/208521/

Synaptics to Remove “Keylogger” Functionality From Drivers

Synaptics says recent reports inaccurately characterized a debugging tool found in its touchpad drivers as a keylogger, but the company has decided to remove the functionality from its products.

Earlier this month, a researcher reported finding what appeared to be keylogger functionality in a Synaptics touchpad driver shipped with hundreds of HP laptops. The functionality is disabled by default, but a user with administrator privileges can enable it and abuse it to log keystrokes.

The vulnerability, tracked as CVE-2017-17556, was reported to HP and patched by the company in November.

HP classified the vulnerability as medium severity (CVSS score of 6.1), and Synaptics has assigned it a low severity rating (CVSS score of 2.0). Some people agree that the flaw is not serious, arguing that an attacker with administrator privileges can install a proper keylogger and other types of malware.

Synaptics said the functionality was added to some of its drivers for diagnosing, tuning and debugging touchpads, but it was disabled before being shipped to customers. The same drivers are provided to other PC manufacturers, not just HP, but no other company has been named to date.

“Synaptics believes now, for best industry practices, that it should remove this debug tool for production versions of the driver,” the firm said. “Synaptics is unaware of any breach of security related to this debug tool.”

The company says it’s working with partners to identify affected products and release new drivers. It also recommends restricting administrator access to systems in order to prevent unauthorized activities.

“Synaptics takes great pride in making sure that its TouchPad drivers and other products meet industry-best security standards. In our new normal of heightened concern for security and privacy, Synaptics would like to apologize for any concerns that our debug tool may have raised. We have a path to immediately address this issue and other security concerns should they arise,” Synaptics stated.

Eduard Kovacs is an international correspondent for SecurityWeek. He worked as a high school IT teacher for two years before starting a career in journalism as Softpedia’s security news reporter. Eduard holds a bachelor’s degree in industrial informatics and a master’s degree in computer techniques applied in electrical engineering.

Previous Columns by Eduard Kovacs:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/uSkC3RSfzrA/synaptics-remove-keylogger-functionality-drivers