Tutela dati sensibili

20/11/2011 14:53:29

Ammetto di trovare un po' assurdo che mi si tratti come uno che discute di aria fritta, quando tutta la discussione di definizione e di legislatura che è derivata da questo dibattito non era il focus del mio thread.

Cito testualmente il messaggio principe, per chiarire:

"Il gdr cd nudo e crudo è vulnerabile, lo sanno tutti, se i cari gestori hanno tutto in chiaro anche l’amabile hacker ha tutto in chiaro e questo è ancora peggio del fatto che ci guardino loro, anche se già questa cosa è scandalosa. Ora non c’è un modo per rendere consapevoli questi gestori allo sbando che aprono land alla spero in dio che il gdr cd nudo e crudo non basta per tutelare i propri utenti? Una sorta di accettazione delle conseguenze, che ci possono tranquillamente essere, in Italia se tocchi gli ip in chiaro scatta l’apocalisse, siamo stringentissimi su questo fronte, quindi è un po’ ora che i gestori per caso se ne facciano una ragione, quindi perché non renderli consapevoli con il pacchetto gdr cd?
Qualcosa del tipo: questo è il gdrcd, senza le dovute precuzioni ed i personali accorgimenti al DB usato e connesso al sito di riferimento si è molto vulnerabili e i dati degli utenti non sono sicuri e tu gestore che firmi e paghi il dominio del sito rischi tot."

Confermo che sì, sono piuttosto stizzito non solo dal fatto che mi sia stato testualmente detta la mia provenienza palesemente a seguito di una traccia IP. La ritengo una cosa privata, non avrei autorizzato un utilizzo simile.
Penso che ci siamo tutti sul fatto che non dovrebbe interessare ad alcun gestore prende l'IP e metterlo in programma di tracciamento, perchè non ha alcuna attinenza con i motivi per cui si registra il dato (che io giochi da Timbuctù o da Milano, ai fini di un gdr, che differenza fa?).
Mi lascia atterrito, e speravo fosse chiaro da subito ma evidentemente non lo è stato a causa della degenerazione della discussione, che manchi totalmente la cognizione di causa sul fatto che non tutto è a disposizione del gestore, l'utilizzo ha dei limiti, esistono leggi in proposito, esistono protezioni da mettere . Ignorare tutto questo e saltellare allegri nei lidi di "voglio aprirmi una land tutta mia" nello stesso modo con cui si apre un archivio di Access sul proprio computer non mi sembra proprio l'assicurazione migliore.
A fronte di questo, dato che l'opensource viene fornito da scaricare, forse sarebbe il caso di metterci un bel desclaimer lì da leggere, e togliere il dubbio dell'ignoranza abissale che rischia di essere anche presuntuosa.

Mi spiace che nel mondo reale l`ip non è così irrilevante come ostentate, ribadisco che le aziende pagano veramente troppo per poterselo guardare perchè lo sia, ma sicuramente risulta comodo dirselo e interpretarsi la legge un po` come viene, così ci si sente nel giusto suppongo. Inoltre il cosiddetto “IP dinamico” non è che faccia particolare differenza, cambia qualche cifra, non cambia certo la sostanza.

In ultima analisi a me sembra che la discussione sia stata molto utile, molti di voi sono gestori, questo mi dice che è di uso comune per un gestore guardarsi questi dati con la convinzione che sia ammissibile, per me è una grande risposta, se poi vi ha tediato il dibattito me ne scuso.

Per quanto riguarda la perdita di tempo e denaro, mi sembra scontato che prima chiunque si consulta con il proprio legale se ne vale la pena o meno, quindi forse non dovete temere su questo punto.

Grazie a tutti.

quota

20/11/2011 15:12:55

Si! Far capire loro in cosa incorrono legalmente quando un qualsiasi cracker riesce a risalire ai dati degli utenti e a sbandierarli a quattro venti. Magari farglielo provare anche :-)



Questa sugli IP mi giunge nuova. E cosa succede se "tocchi" gli IP? E soprattutto, cosa intendi per "toccare" un IP? Un indirizzo IP è semplicemente il nodo di rete dal quale arriva la richiesta al server. Chi dà la garanzia che quell'indirizzo IP corrisponda all'indirizzo IP della tua macchina, in quel momento, da quel luogo? Esistono miriadi di servizi di proxy che garantiscono il cammuffamento dell'IP. Nessun gestore potrebbe avere al 100% la certezza che le richieste provenienti da un certo IP siano state fatte da te.

quota

20/11/2011 15:47:49

Succede che si pagano multe salate, almeno nelle aziende di online marketing è così e non credo che siano così dementi da pagare se, come suggerite voi, non c'è niente da temere, poi ovviamente ad ognuno le sue idee.
In pratica guardare in chiaro un IP a prescindere dei trucchetti tipo proxy (che però visti in chiaro possono essere identificati, ricordiamocelo, con appositi programmi, e in Italia sono illegali), richiede enne autorizzazioni legali, soprattutto per i confronti, come dicevo prima, quelli che avvengono tra il network di affiliazione, come quello a cui è iscritto GDR online, e il cliente che fornisce la pubblicità e paga per essere esposto ed avere visibilità; riuscire ad assegnare la commissione al sito publisher e poi al click di tizio, richiede l'uso di ip, ma le due aziende non se li possono passare come le caramelle proprio perchè ci sono severi limiti legali e anche se ho notato che è molto ignorata come cosa. Nella realtà lavorativa, che è diversa senza dubbio da dei giochi ludici, ci sono procedure pesanti e ripeto non credo che paghino perchè ne hanno voglia, le aziende, se basta un gdr ludico per avere gli IP.
La certezza della provenienza dipende dal programma di localizzazione usato, e quelli free commettono errori, ma quelli non free ti assicuro che non ne hanno perchè si paga un fee costante per il loro utilizzo.

Comunque questa è un'ulteriore divagazione che, come è già stato fatto notare, anche se non fatta da me che ho solo risposto, non piace ai fini della discussione da forum, non essendo una notizia sufficientemente fresca, quindi direi che io le mie risposte le ho avute, non serve protrarsi. A maggior ragione non serve se chi risponde in tema suggerisce di farglielo provare su pelle, non mi riferivo ovviamente a vie di "hacking di ripicca", parlavo davvero solo di desclaimer.

quota

20/11/2011 15:49:21

E' quindi un'invettiva contro i gestori? Comunque ricordo che asserire che qualcuno compie un'azione in potenza criminale rientra nell'ambito della diffamazione.


Se proprio vogliamo parlare di leggi ;)

quota

20/11/2011 16:46:39

Non ho capito lo smile, cosa sta a sottendere?

Nessuna invettiva, che non mi pare calzante come termine, ci tengo ad essere cortese. E no, nessuna diffamazione, non ho detto quanto tu affermi, ho detto cosa mi suggeriscono le svariate risposte avute, ma l`unico fatto a cui io posso fare e ho fatto riferimento è quello a seguito del quale ho aperto il thread. Se vogliamo cavillare, cosa che noto piace, la diffamazione la stai facendo tu, non è assolutamente lo scopo del post, anzi stai facendo un`insinuazione su una mia frase.
Tra l’altro sono allibito che ci si getti a puntualizzare su una non si sa bene come presunta diffamazione e si glissi su suggerimenti espliciti ben più pressanti di “fargli provare” l’infiltrazione di un cracker.

E no, proprio non vogliamo parlare di leggi, non ho chiesto niente nel genere, la divagazione è stata fatta da altri, cosa che mi ha spinto a dover replicare, visto che l`interpretazione era galoppante e spesso ingannevole ad uso e consumo della risposta apportata.

Metto lo smile anche io, non vorrei sembrare incapace del sorriso di circostanza :)

Poi, non vorrei ripetermi ma lo faccio: i software vanno bene perchè non sono persone, quindi ottimo che registrino e fanno, perchè non c`è la persona c`è il software, che è il giochetto su cui si scannano le aziende, fino a quanto la persona non può guardare e quando può e quanto il mero report che da l`informazione, ad esempio 400 ip ripetuti e via dicendo, è quella l`info utile per loro e possono dire che no è il software che guarda.
Confesso che avete uno strano accanimento, a fronte del fatto che davvero chiedevo altro.
Tra l`altro, nella stessa dicitura che tu, Gianluca, ci incolli è spiegato che potrebbe esserci trasferimento dove la legge lo consente, scusate ma ci stiamo tornando? Non capisco il senso, davvero, Google è il leader dell`online marketing, e lo sanno tutti, ma anche lui casualmente ha il team legale per trattare l`IP. L`operatore leggerà il REPORT non si guarderà tutto in chiaro, è così che si svicola, con dei costosissimi software che leggono e non essendo viventi non sono imputabili; i report danno dati staticisti per il traffico e annessi per la famosa assegnazione delle commissioni.
A questo punto mi viene la domanda: ma sono tutti così stolti da pagare in giro e mettere informative a destra e a manca se è così cristallino che con l`IP si può fare quello che si vuole?
Moltissime aziende fanno i salti mortali con le leggi, per queste cose, e, ribadisco, hanno il team di avvocati non perchè sono proprio idioti. E credo lo saprebbero, se fosse vero, che invece aprendo piattaforme ludiche si potrebbero accattonare IP e bypassare il problema.

Ringrazio per la solerzia, ma per quanto mi riguarda possiamo davvero chiudere la discussione, a fronte del tutto. Ribadisco che io le mie risposte le ho avute, e se si metterà un appropriato desclaimer in sede di download del gdr-cd sarò ben più che contento.

quota

20/11/2011 16:48:21 e modificato da leoblacksoul il 20/11/2011 16:55:10

Concordo con Gianluca e Vino.
Comunque la discussione continua ad andare "offtopic" perchè le cose a cui fai riferimento sono sbagliate.

Dato che questo è il punto principale della tua argomentazione: è veramente la prima volta che sento parlare di una cosa del genere. Sei in grado di citare e riportare un riferimento verificabile di almeno un esempio di un'azienda che paga per cose del genere? Sei in grado di citare o riportare la tua fonte di queste informazioni?
A mio avviso la cosa non ha il minimo senso, per due ragioni. Primo, che senso ha pagare per poter guardare una cosa che è disponibile pubblicamente? Secondo, da quando si può pagare per rendere nulli gli effetti di una legge?


Ancora, la frase "guardare in chiaro un IP" è completamente senza senso. Gli IP sono sempre in chiaro, su TUTTE le trasmissioni. A mio parere hai un'idea veramente approssimativa di come funzionano i protocolli di Internet.
E anche delle leggi. Se davvero fosse come dici te, Google, Yahoo e compagnia bella sarebbero tutti illegali.
è sufficiente che il sito abbia dei termini di servizio scritti a norma di legge e che si assicuri che l'utente sia perfettamente in grado di informarsi prima di iscriversi. Se i Termini includono che il sito registri gli indirizzi IP e che sia possibile usare quegli IP a scopi del tipo IPGeolocation, e tu li accetti iscrivendoti, hanno tutto il diritto di farlo.
Qui si sta parlando in generale, non relativamente al tuo sito che non ha Termini nè niente.


Questo è solo un luogo comune. Dire che qualcosa per cui si paga è una cosa sicura al 100% rispetto a quello per cui non si paga ha lo stesso sapore delle credenze popolari.

---

quota

20/11/2011 17:12:06 e modificato da vino_veritas il 20/11/2011 17:13:06

E anche volendo, che cosa puoi fare con un IP? Non ci puoi fare nulla :-D

Chiarisci quali aziende fanno quali salti mortali, perchè in nessun modo è possibile collegare un indirizzo IP ad una persona fisica e reale. Questo perchè un indirizzo IP -mi ripeto- è semplicemente un nodo della rete dal quale proviene la richiesta HTTP ad un server.

Oltretutto, chiarisci quale sarebbe la differenza fra il "report" cui fai riferimento poco sopra la citazione, e l'indirizzo IP in chiaro; espressione, quest'ultima, abbastanza ridondante, come ti è stato fatto notare, visto che in nessun modo un indirizzo ip viene criptato durante una comunicazione basata su TCP/IP :-)

quota

20/11/2011 17:27:15

Rimane sempre la differenza, che mi sembra lapalissiana, tra che cosa può guardare un operatore (in chiaro, appunto) e cosa può comparare un software in automatico.
Per chiarezza di definizione: IP in chiaro -> non criptato agli occhi dell’operatore; report -> informazioni processate dal software che vengono riportate all’operatore. E nei post precedenti c’è già spiegata la diversa utilità e valenza.
E tutto ciò che tu puoi accettare secondo i termini di legge ha alcuni protocolli che ti vengono concessi solo a pagamento, motivo per il quale se te li prendi in autonomia, ci paghi la multa. Che poi è lo stesso principio con cui è ovvio che puoi parcheggiare dove vuoi, spazialmente parlando, ma essendoci delle regole rischi di trovarti il tagliandino sul parabrezza.

Esempi di aziende, come richiesto, anche se non sono qui a fare pubblicità occulta: Tradedoubler Zanox, Google stessa, Weborama, Clickpoint, Affilinet, Affiliate Windows, Publicidees, Netbooster. E molte altre.
Ce ne sono un’infinità, davvero, e no, non credo di avere un’idea approssimativa, ma prendo atto del tuo punto di vista.
Scritti a norma di legge vuol dire seguirla la legge, e che il problema sussista non è una mia farsa, purtroppo sussiste, motivo per cui i network di affiliazione si ammazzano tra competitor. E nessun logo comune, poi, purtroppo visto come è diventato l'online marketing per avere molte cose si paga il software, il suo affitto o il suo utilizzo, un po' come si paga l'antivirus, ci sono quelli gratuiti allora perchè comprarlo?

Le aziende pagano spesso l'accesso all'IP per questioni di Geotargeting nella vendità di visibilità: esempio se una ditta che vuole pubblicizzare una catena di SPA in un cantone del Ticino paga per poter essere più visibile solo dagli IP che riportano a quella zona, e sono tutte cose che si pagano con i network di affiliazione, che i clienti pagano per avere un servizio più mirato motivo per cui poi a cascata le commissioni dei publisher cambiano.
Purtroppo l'argomento non è easy e non ha molto senso che faccia tutta la fava di come si lavora in online marketing. Il thread trattava altro, se volte farvi una cultura sull'online marketing e i problemi degli IP visti in chiaro da operatore o da report statistico fate domanda per farvi assumere in un network di affiliazione dove tutti i dipendenti fanno svariati training sull'argomento.

Comunque lo dico da parecchi post addietro che ho avuto le risposte del caso e che la mia unica diciamo “soddisfazione” per questo thread starebbe nel veder mettere un disclaimer nel momento di download del gdrcd che specifica che registrare l'ip è diverso da guardarlo e indagarci sopra. Non so perché sfugga come concetto, mi sembrava di aver cercato di essere chiaro, ma davvero non puntavo a chissà cosa.
Se dobbiamo continuare a parlarne, parliamo di questo? La possibilità o meno di mettere il desclaimer di cui sopra?

quota

20/11/2011 17:35:54

Guarda:
- Il pannello di controllo degli errori di php di aruba come di molti alti provider quando c'è un errore su una pagina web ti dice in chiaro l'ip del client che ha generato l'errore, quindi anche se qualcuno aprisse un sito senza registrare gli ip in caso di errore potrebbe vedere determinati ip in chiaro.

- Lo stesso apache genera due file di semplice testo l'access.log e l'error.log di cui cito la descrizione:

Per cui chi ha un server virtuale o dedicato può vedere ancora più facilmente gli ip di accesso.

- Persino quando scrivi una mail a qualcuno questo riceve in chiaro l'IP del mittente originario con gli ip di tutti i passaggi intermedi

Quindi il discorso degli ip criptati sul database mi sembra una procedura un pò troppo paranoica se addirittura apache li logga in chiaro su un file di testo e se accesso ad informaizoni simili siano accessibili a figure umane e non automatizzate come in una semplice intestazione email.

Per il discorso della email, salvarla criptata potrebbe essere una buona idea visto che nel momento che salvi solo un hash non decriptabile, come detto in un altro post da gemini (appena mi ricordo la fonte modifico il post con il link) nel momento in cui salvi solo l'hash non salvi più un dato ne personale ne sensibile (ricordando che la mail in base al tipo di mail può essere un dato di tipo diverso) e quindi il gestore con pass e mail criptata è sostanzialmente più al sicuro di rogne anche in caso di furto del database.
Ma questa è una scelta che va oltre il criterio minimo richiesto dalla tutela per i dati secondo l'articolo della legge che ho citato.

quota

20/11/2011 18:10:36

Premetto che non ho letto gli interventi precedenti, quindi parto dal presupposto che si sia rimasti in topic nella discussione e parto a rispondere al messaggio di inizio discussione:

Si e no. In generale, per legge, un sito web deve esplicare quali dati personali/sensibili preleva e come li tratta in una nota informativa che viene fatta visionare all'utente PRIMA della registrazione.

Se ti iscrivi ad un sito accettando le clausole al buio, senza prendere visione di queste notazioni cioè, è colpa unicamente tua.

Poi qui forse ci vorrebbe una piccola distinzione tra "utilizzo" e "divulgazione" dei dati.
Mentre "l'utilizzo" è permesso dalla legge per il fine di garantire un servizio (informatico o meno) all'utente, previa l'adottamento di giuste misure di sicurezza in merito, la "divulgazione" è sicuramente un atto di illegalità.

Se pertanto ciò che ti urta e che affermi ti sia capitato ricade nella "divulgazione" allora chiama la polizia postale.




Un codice OS non è detto che sia sempre vulnerabile finchè non ci metti mano.

Anzi, spesso è il contrario: il codice di base è solido mentre è la mano messaci successivamente sopra che lo rende più vulnerabile ( vedi quei gestori che a tutti i costi vogliono abilitare l'html libero nelle schede dei personaggi ).

Di base, l'ultima release del gdrcd 5.1 è impostata per criptare le password degli utenti sul database, per cui misure precauzionali di base ci sono.

Se poi qualcuno prende e modifica in modo meno sicuro un sorgente, anche scrivergli un piccolo disclaimer non basterebbe a farlo desistere ( visto che già ora, neanche il 10% degli utilizzatori di GDRCD legge quelle piccole note legali in allegato al pacchetto )



Solo la polizia postale o altri organi giudiziari autorizzati possono arrivare con precisione ad ottenere questo tipo di dato mediante la geolocalizzazione dell'indirizzo IP ( in abbinamento all'orario di utilizzo ).

I programmi free o a pagamento che si trovano sul web trovano la posizione del computer remoto, la macchina del tuo provider che ti fa accedere materialmente al resto della rete: nel mio caso ad esempio troverà sempre Roma, benchè io non sia residente lì.



Falso: si può solo sapere qual'è il tuo provider, ma non il tipo di contratto.



Qui si torna alla differenza tra "utilizzo" dei dati per fini di servizio e "divulgazione" degli stessi.




"Quello che voglio" sicuramente no, può certamente adoperarli -a patto che sul sito sia presente il disclaimer previsto dalla legge- finchè non vengano in alcuna maniera divulgati a terzi (ricordo inoltre che l'indirizzo IP è un dato non sensibile).

Inoltre, sempre per legge, in qualsiasi momento puoi richiedere la rimozione di ogni dato sensibile che riguarda la tua persona. Se il proprietario del servizio si rifiuta puoi tranquillamente chiamare la polizia postale.




Le ultime versioni di GDRCD sono più sicure, non perfette, ma sicuramente meno vulnerabili della 3.0/Extreme, ma comunque torno al discorso di prima circa le possibili modifiche effettuabili al codice.




Non è necessariamente vero: se tali gestori lasciano la configurazione di base, anche ponendo che un cracker riesce ad accedere al db, si ritrova le password criptate in un algoritmo di codifica non reversibile.



Non mi risulta onestamente, l'ip E' un dato in chiaro a chiunque.
Rappresenta la tua presenta nel cyberspazio, il nodo a cui sei connesso, ed è essenziale averlo in chiaro affinchè ti possa avvalere del protocollo TCP/IP per poterti collegare ad un sito web.

L'indirizzo ip può essere tranquillamente rintracciato in una caterva di modi differenti e questo semplicemente perchè non è un dato che necessita di una così paranoica protezione, tanto da far scattare "l'apocalisse" (?) se sono in chiaro (visto che per sua natura è -ripeto- trasmesso sempre in chiaro).




Perché è un affermazione falsa, semplicemente.
Nessuno ti garantisce che una persona a caso scaricando il gdrcd e pasticciandoci sopra lo possa rendere più sicuro, anzi è più plausibile il contrario.



Il form manda una segnalazione che viene inserita in una lista che viene poi vagliata, caso per caso, da persone in carne ed ossa per accertare eventuali violazioni e applicare le giuste sanzioni.

Metodo più veloce, penso, non esista.. salvo il caso in cui non conosci di persona qualcuno nella polizia postale, in quel caso gli fai un colpo di telefono.

quota

Giochi One Piece

Lista completa dei giochi di ruolo online ambientati nel mondo di One Piece

Arcadia Bay GdR

Intervista al gestore del play by forum urban fantasy Arcadia Bay GdR

New Black Gold

Intervista al gestore di New Black Gold, il play by chat cyberpunk!

Donne nei GdR

Articolo sulle diverse tipologie di personaggi che le donne muovono nelle land dei play by chat