Security (b)log: cookies

Posts tonen met het label cookies. Alle posts tonen

vrijdag 8 april 2022

Cookies

Afbeelding via Pixabay

American chocolate chip cookies vind ik erg lekker. Grote stukjes chocola in een knapperig koekje gaan er bij mij in als, eh, zoete koek (maar wel met mate natuurlijk). Een heel ander verhaal wordt het als je de eerste drie woorden weglaat: dan blijven cookies over en die associeer ik eerder met lastige vliegen dan met een lekkernij.

De advertentie- en marketingbranche – en vooral haar opdrachtgevers – hebben ook recht op een goed belegde boterham. Want wij gebruiken met z’n allen allerlei ‘gratis’ diensten op het internet, maar de leveranciers van die diensten kunnen natuurlijk ook niet leven van lucht. Ze verdienen geld door hun diensten vergezeld te doen gaan van reclame. Dat moeten we ze dus ook gunnen. Om die reclame te organiseren worden cookies gebruikt. Zo’n cookie is een bestand dat op jouw computer of mobiel apparaat wordt gezet en dat informatie vastlegt over het contact met jou; met andere woorden, de relatie tussen jouw gedrag en jouw apparaat wordt vastgelegd.

Helaas worden er ook minder frisse praktijken toegepast om nóg meer geld te verdienen. Om hier meer over te weten te komen had ik een gesprek met collega Hans van Buuren, solution architect interaction en gespecialiseerd in dit onderwerp. De rode draad door ons gesprek was profilering. Het is voor adverteerders van groot belang dat ze begrijpen waar onze interesses en behoeftes liggen. Van een aanbieding op luiers word ik al jaren niet meer warm, maar als ik toevallig aan een nieuwe telefoon toe ben en je stuurt me een geweldige aanbieding, dan heb je mijn aandacht. Met andere woorden: ongerichte reclame levert veel minder omzet op dan een goed getimede advertentie aan het juiste adres.

Maar juist het profileren is wat ons vaak een wrange smaak in de mond geeft. ‘Ze’ weten erg veel van ons en die cookies zijn hardnekkig. De meesten van ons klikken bij een cookie-wall (de ‘muur’ die jou scheidt van de informatie die je wilt zien) sowieso snel op “ja doe maar” om verder te kunnen. Als je bij zo’n cookie-wall aangeeft dat je niet zomaar akkoord gaat, dan horen alle soorten cookies standaard uit te staan en kun je ze desgewenst stuk voor stuk aanzetten. Bovendien moet je de mogelijkheid hebben om achteraf op je besluit terug te komen. Je geeft geen eeuwigdurende toestemming aan zo’n website.

Tot zover is er nog niet zoveel aan de hand: je bezoekt webwinkel A, ze weten welke producten je hebt bekeken en spammen je de komende tijd met reclame voor soortgelijke producten. Maar vaak blijft het niet bij zo’n 1-op-1 relatie. Er is namelijk een levendige handel in profielen. Webwinkel A verkoopt dan informatie over jou aan andere partijen. Zodoende ontstaat een veel breder beeld van hetgeen jij online allemaal doet. Daarvoor worden ook zogenaamde third-party cookies gebruikt: die worden niet beheerd door webwinkel A, maar door een derde partij: advertentiebedrijven als Facebook en Google. Deze wat kruimelige cookies worden soms ergens verstopt, waardoor ze achterblijven als jij je cookies weggooit. Maar ze staan in een kwaad daglicht en daarom hebben al diverse browsers de third-party cookies in de ban gedaan, en zelfs Google stopt er dit jaar mee. Snijden ze zich daarmee in het eigen vlees? Nee hoor, ze hebben gewoon iets nieuws bedacht waardoor ze én hun eigen positie op de advertentiemarkt verstevigen, én geen last meer hebben van die vervelende privacywetgeving.

Niet alleen cookies zeggen iets over jou, maar ook de dingen die je op social media zet. Social media lezen dan ook alles wat jij schrijft en leggen allerlei verbanden. Dat gebeurt allemaal geautomatiseerd en wordt onder andere gebruikt om je met nieuwe informatie te voeden die in jouw straatje past. Op die manier kun je verslaafd raken aan zo’n medium – ze bevestigen jouw gedrag en worden daardoor je beste vriend. Dat kan vervolgens ook tot tunnelvisie leiden. Dat zie je bijvoorbeeld bij complotdenkers, die steeds maar meer soortgelijke informatie krijgen voorgeschoteld en dan vast komen te zitten in een bepaald beeld.

Ik vroeg Hans of marketeers mensen zonder scrupules zijn. De gemiddelde marketeer is niet zo hard, maar ze realiseren zich ook lang niet altijd dat het aanbod “ik kan jou zestigduizend cookies verkopen” eigenlijk betekent dat er evenzoveel mensen over de toonbank gaan. Uiteindelijk gaat de opbrengst van de reclame toch boven de privacy van het individu. Nog een tip van Hans: met een adblocker in je browser houd je opdringerige advertenties buiten de deur.

Eens in de zoveel tijd gaan we over de grens boodschappen doen. In de Duitse supermarkt kopen we dan American chocolate chip cookies, made in the Netherlands. Maar dat weet verder niemand. Ook Google niet.

En in de grote boze buitenwereld …

vrijdag 28 januari 2022

De zwakste schakel

Afbeelding via Pixabay

“We can’t make humans that much better.” Is dat een uitspraak van een buitenaards, al dan niet goddelijk wezen, dat gelaten vaststelt dat de mens ‘af’ is en dat we het met het huidige model moeten doen? Is Generatie Z (de ‘Zoomers’) ons eindstation en is die letter derhalve allesbehalve toeval?

Onzin. Het is een uitspraak van iemand op een beveiligingsconferentie en heeft betrekking op de rol van de mens in de strijd tegen digitale misdaad. Je weet wel, phishing en zo. De strekking van het verhaal was dat we al zóveel energie hebben gestopt in het opkrikken van het beveiligingsbewustzijn van onze collega’s, vrienden, familieleden en wildvreemden, dat die klus nu wel klaar is – beter dan dit wordt het niet.

Dat is natuurlijk niet waar. Althans, niet helemaal. We moeten sowieso door blijven gaan met onze missie omdat er nog steeds nieuwe mensen bij komen. En die nieuwe mensen moeten al op jonge leeftijd leren hoe ze zich veilig door de digitale wereld kunnen bewegen – door hún wereld, want Generatie Z wordt zo ongeveer met een smartphone in de hand geboren. Daar hoort speciale aandacht voor privacy bij. Dat zeg ik niet omdat vandaag de Europese dag van de privacy is, maar omdat het zo gemakkelijk is om geheel eigenhandig je privacy op te geven, en dan ook nog eens zonder dat je dat heel bewust doet. De knop ‘ja doe maar’ is altijd groter en mooier dan de ‘nee’-knop als je mag kiezen of een site cookies mag opslaan, of een app met je adresboek mag ‘synchroniseren’ (een schaamteloos eufemisme voor kopiëren), of ze je locatie mogen gebruiken. ‘Ja’ is het makkelijke antwoord, ‘nee’ levert je extra werk op terwijl je nú aan de slag wilt met die site of met die app.

Overigens valt het reuze mee met dat extra werk. Als je bij een cookie-melding aangeeft dat je de instellingen wilt aanpassen, dan staan die instellingen – als het goed is – standaard op ‘uit’. Je hoeft dan alleen nog op ‘instellingen opslaan’ te klikken, zonder al die instellingen na te lopen. Maar pas op: ook hier verschijnt vaak nog een verleidelijke knop waar ‘alles toestaan’ op staat, naast een veel minder opvallend linkje om de gekozen instellingen op te slaan. Bovendien zie je bij sommige instellingen ook nog een aparte instelling, die ‘gerechtvaardigd/legitiem belang’ heet en standaard aan staat (of niet eens kán worden uitgezet). Die term tussen aanhalingstekens komt uit de AVG, waarin gerechtvaardigd belang één van de grondslagen voor het verwerken van persoonsgegevens is. Bedrijven vinden direct marketing vaak een gerechtvaardigd belang (“anders kunnen we geen geld verdienen”), maar daar lijken de geleerden het nog niet over eens te zijn. Verreweg het prettigst vind ik sites die behalve ‘accepteer alles’ ook de optie ‘accepteer niets’ aanbieden.

Sommige mensen zijn wél helemaal klaar met voor beveiliging en privacy. Dat zijn de mensen die noch willen, noch kunnen meedoen. Cybercriminelen hebben het vaak op ouderen voorzien, maar het is veel te gemakkelijk om te beweren dat de voor awareness-activiteiten verloren groep alleen door bejaarden wordt bevolkt. Mijn moeder is 88 en bijzonder alert op digitale gekkigheid (“Patrick, wat moet ik hiermee?” is een regelmatig terugkerende tekst in WhatsApp, met daarbij een afbeelding van een scherm waarop een keuze moet worden gemaakt). Wat dat betreft kunnen de generaties A tot en met Z nog het nodige van haar leren. Maar aan de meeste totaalweigeraars valt niet veel eer te behalen. Overigens ken ik er daar bijzonder weinig van, maar dat is misschien omdat ze zich buiten mijn bubbel bevinden.

Van diezelfde conferentie heb ik nog een ander citaat meegebracht, dat mooi aansluit bij het eerste: “Mensen zijn niet de zwakste schakel, maar de meest kwetsbare”. Kijk, dat is een uitspraak naar mijn hart. Je kunt het een individu niet aanrekenen dat de techniek nog onvoldoende in staat is om ons te beschermen tegen digitaal ongerief. De mens is op tweeërlei manieren kwetsbaar: enerzijds is hij – net als beveiligingssoftware – niet in staat om feilloos het kaf van het koren te scheiden, en anderzijds is het diezelfde mens die uiteindelijk het slachtoffer zal zijn. Want ook al gaat het in eerste instantie misschien om het hacken van een computer, uiteindelijk gaat het toch om de bestanden van of over mensen. Zelfs als het om bedrijfsspionage gaat, worden mensen geraakt, namelijk de mensen van wie de gestolen geheimen zijn.

Mensen zijn dus kwetsbaar, en veel beter wordt het niet, als je de beide citaten combineert. Ik weiger dit te accepteren, want afgezien van de totaalweigeraars kunnen we door voorlichting en overtuiging toch echt nog het nodige bereiken, dwars door alle generaties heen. Gewoon allemaal flink ons best doen.