Posts tonen met het label surveillance. Alle posts tonen
Posts tonen met het label surveillance. Alle posts tonen

vrijdag 12 oktober 2018

Ze weten alles van je


De komende tijd zal de Security (b)log eens per twee weken 
verschijnen omdat andere werkzaamheden meer tijd vragen.

Tijdens de onlangs in Den Haag gehouden One Conference werd één zin uitgesproken die net zo kort als krachtig is: “Surveillance comes for free” (Hans de Zwart, directeur van Bits of Freedom). Nou wil het woordenboek dat Engelse  woord surveillance vertalen in ‘bewaking’ of het Nederlands/Franse surveillance… Daar schiet ik niet zoveel mee op als ik de kracht van dat zinnetje wil uitleggen. De Dikke Van Dale voegt er nog het woord ‘toezicht’ aan toe. Daarmee naderen we de kern van de zaak. In een Duitse blog zou trouwens het woord Überwachung niet misstaan; voor mijn gevoel past dat nog beter dan toezicht.

Waar het om gaat is dit: je wordt in de gaten gehouden. En niet zo’n beetje ook. Dat begint bij de cookies die je doorgaans achteloos accepteert en het eindigt bij… Ja, bij wat eigenlijk? Het woord toezicht wijst al snel richting overheden en hun opsporingsinstanties. De grap gaat dat je bij de NSA een back-up kunt opvragen als je je gegevens kwijt bent. Maar jij en ik worden waarschijnlijk niet door de NSA of de AIVD in de gaten gehouden, maar de surveillance party wordt ook uitbundig buiten de overheid gevierd.

Lees je wel eens de gebruiksvoorwaarden van social media? Nee hè? Als je dat wel doet, dan krijg je het gevoel dat je je ziel aan de duivel verkoopt als je ermee akkoord gaat. En dat weten ze dan ook nog zo te presenteren dat je gelooft dat ze het allemaal voor jou doen. Ik geef een paar voorbeelden.

Instagram schrijft: “Mensen zijn verschillend. We willen je relaties versterken door gedeelde ervaringen waar je echt om geeft. Daarom bouwen we systemen die proberen te begrijpen wie en wat jij en anderen belangrijk vinden en die informatie gebruiken om je te helpen bij het creëren, vinden, stimuleren en delen van ervaringen die belangrijk voor je zijn. Onderdeel daarvan is het uitlichten van inhoud, functies, aanbiedingen en accounts waarin je mogelijk geïnteresseerd bent.” Hier staat in feite: wij zijn een reclamebedrijf en hoe gerichter we jou met reclame kunnen bestoken, hoe hoger de prijs die we daarvoor in rekening kunnen brengen aan de adverteerder, en daarom willen we zoveel mogelijk van jou weten. Facebook heeft een soortgelijke tekst. Want Instagram is van Facebook.

Snapchat heeft twee verschillende setjes servicevoorwaarden: eentje voor inwoners van de VS en eentje voor de rest van de wereld. In de onze staat: “In veel van onze Diensten kun je inhoud genereren, uploaden, plaatsen, inzenden, ontvangen en opslaan. Wanneer je dat doet, blijven alle eigendomsrechten met betrekking tot de inhoud die jou toebehoren van jou. Maar jij geeft ons toestemming om die inhoud te gebruiken. Hoe ruim die toestemming is, is afhankelijk van de Diensten die je gebruikt en de instellingen die je hebt geselecteerd.” Verderop gaan ze nader in op die toestemming en daar vliegen je termen als eeuwigdurend, royaltyvrij en wereldwijd om de oren. Het komt allemaal neer op: we mogen alles met jouw content doen zonder dat jij daar invloed op hebt. En natuurlijk is ook Snap een advertentiebedrijf: “De Diensten kunnen advertenties bevatten. Als tegenprestatie voor het feit dat Snap Group Limited jou toegang verleent tot en je gebruik laat maken van de Diensten stem je ermee in dat wij, Snap Inc., onze zusterbedrijven en onze externe partners advertenties in de Diensten plaatsen, waaronder gepersonaliseerde reclame op basis van informatie die je ons verstrekt of die wij over jou verzamelen of krijgen. Omdat de Diensten inhoud bevatten die jij en andere gebruikers ons verstrekken, kunnen er soms advertenties bij, tussen, over of in jouw inhoud verschijnen.” Leuk geformuleerd hè: als tegenprestatie. En als je erover nadenkt, dan klopt dat ook: jij wilt graag gratis gebruikmaken van Snapchat maar dan moet je die reclame op de koop toe nemen.

Het toezicht zit ‘m erin dat dergelijke bedrijven veel van je willen weten (om veel geld aan hun gerichte advertenties te verdienen). We halen onze schouders daarover op omdat we maar al te graag gebruikmaken van de geboden diensten. Dat toezicht krijg je er gratis bij, zegt Bits of Freedom, maar als ik de gebruiksvoorwaarden lees, dan ben ik eerder geneigd om het zinnetje om te draaien: je abonneert je in feite op toezicht en krijgt daar gratis een leuke app bij. Bits of Freedom is overigens “dé Nederlandse beweging die opkomt voor jouw internetvrijheid”.

Wat kun je doen tegen al dat geweld? Weinig, vrees ik. Ja, je kunt de privacy-instellingen zo strak mogelijk instellen. Daar valt voor de meeste gebruikers wel het een en ander te winnen. Doen dus. Maar de basiszaken, zoals die in de gebruiksvoorwaarden staan, daar kun je alleen omheen door zo’n dienst niet te gebruiken. En dan nog: Facebook profileert ook niet-gebruikers – via hun vrienden en kennissen. Wen er dus maar aan: ze weten alles van je.

Kijktip Maandag 15 oktober, 20.25 uur, NPO3: De Privacytest

En in de grote boze buitenwereld …


... kun je de antwoorden op ‘geheime vragen’ ook in een password manager opslaan. En vergeet niet om te liegen!

... konden hackers de WhatsApp-app overnemen zodra je een video-oproep beantwoordde.

... berichtte het zakenblad Bloomberg Businessweek over een ieniemienie-chip die de de Chinezen op moederborden voor servers zouden hebben geplaatst om Amerikaanse bedrijven te bespioneren.

... ontkennen Apple en Amazon, twee bedrijven waar de besmette moederborden zouden zijn terechtgekomen, de onregelmatigheden in alle toonaarden.

... krijgen die bedrijven steun van belangrijke inlichtingendiensten.

... kwam Bloomberg vervolgens met nieuw bewijs. En deze keer noemden ze hun bron met naam en toenaam.

... kun je binnenkort een spionage-apparaat van Facebook kopen. Leuk voor in je keuken of zo.

... heeft India 24 ‘Microsoft Tech Support’-scammers opgepakt.

... willen nogal wat (Amerikaanse) informatiebeveiligers een andere baan.

... moet luchthaven Heathrow een flinke boete betalen voor een datalek.

... krijgen veel Android-apps geen toegang meer tot de bel- en sms-functies van je telefoon.

... maakt Google na een ernstig datalek een eind aan de consumentenversie van het sociale netwerk Google+.

... beschermen veel mensen hun smartphone niet goed.

... schetst dit artikel wat er allemaal zou kunnen gebeuren als het internet uitvalt.

... zijn electronicabedrijven in Californië over twee jaar verplicht om elk IoT-apparaat te voorzien van een sterk, uniek wachtwoord.

... geeft deze infographic inzicht in wat er allemaal mis kan gaan met IoT-devices en wat je kunt doen om je te (enigszins) beschermen.

... laat een Windows 10-update bestanden verdwijnen.

... moet je apps met bepaalde kenmerken nooit downloaden.


vrijdag 16 december 2016

Grasduinen

Wen er maar aan: je wordt bespioneerd. Als het niet via je gehackte router of het speelgoed van je kinderen gebeurt, dan toch in ieder geval door de apps op je smartphone.

Deze week kwam Evernote in het nieuws met een opmerkelijke wijziging in hun privacybeleid. Evernote is een populaire app om aantekeningen te maken, te beheren en er slim in te zoeken. Er staat dus heel veel informatie in, die ongetwijfeld voor een deel vertrouwelijk is. De wijziging in het beleid houdt in dat medewerkers van het bedrijf jouw aantekeningen mogen lezen. Mensen van vlees en bloed dus. We waren er min of meer aan gewend dat alles wat we online doen door de machtige analysemachines van bijvoorbeeld Google worden gejaagd. Dat doen ze niet alleen om onze “gebruikservaring te optimaliseren”, maar natuurlijk ook om ons op maat gesneden advertenties voor te kunnen schotelen. Google wordt niet voor niets door sommigen smalend een advertentiebedrijf genoemd.

Maar goed, doorgaans zijn het dus slimme algoritmes die ons emotieloos binnenstebuiten keren. Dat maakt het voor het gevoel minder erg: je hoeft zo’n machine nooit onder ogen te komen en je te schamen voor wat je gedaan hebt en zij gaat ook niet over je roddelen. Maar bij Evernote gaan dus echte mensen naar je aantekeningen kijken. Waarom? Omdat ze nieuwe machine learning tools hebben. Om te controleren of die tools goed werken moeten medewerkers sommige aantekeningen lezen. Ze zien dan of de tools conform verwachting werken.

Ik denk dan: had dat niet in een testomgeving gekund? Met fake data? Zo deden we dat in de vorige eeuw, met zorgvuldig samengestelde testgegevens. Kwam er een functionele wijziging in de programmatuur, dan zorgde je ervoor dat je ook nieuwe testrecords maakte zodat de nieuwe tak geraakt werd. Tegenwoordig lijkt testen met productiegegevens steeds vaker de norm te zijn. “Testgegevens maken is niet meer te doen”, heet het dan. Vanwege de complex- en massaliteit. Oké, maar anonimiseer die productiegegevens dan tenminste. Is ook al moeilijk, omdat zomaar in het wilde weg vernachelen van velden ertoe leidt dat verwijzingen naar andere bestanden niet meer werken (de referentiële integriteit is dan doorbroken). Je kunt dus niet zo maar anonimiseren, dat moet met beleid. En dat kost tijd en geld en ligt dus lastig.

De wereld heeft kennisgemaakt met de bedoelingen van Evernote doordat ze erover gecommuniceerd hebben. Mij bekruipt echter het angstige gevoel dat andere partijen soortgelijke dingen doen. Misschien op basis van een juridische formulering die al lang ergens in hun ellenlange voorwaarden – die je geaccepteerd hebt! – staat. En ik wil ook niet uitsluiten dat dergelijke praktijken her en der stiekem plaatsvinden. Als individuele consument-gebruiker ga je doorgaans sowieso niet eerst eens uitgebreid onderzoeken hoe een dienstverlener met jouw gegevens omgaat – al helemaal niet als het om een ‘gratis’ dienst gaat. Je gebruikt de dienst as is omdat hij zo handig is. Zeg eens eerlijk: weet jij van alle apps op je smartphone wat ze met je gegevens doen? Of ze die bijvoorbeeld in de cloud opslaan, om maar eens wat te noemen? Dat kan relevant zijn als je een app zakelijk gebruikt en je bedrijf het gebruik van de publieke cloud verbiedt. Ik kan je uit ervaring vertellen dat het knap lastig kan zijn om erachter te komen of een app gegevens lokaal of in de cloud opslaat (al is een juichend “synchroniseert over al je apparaten!” een goede hint). Evernote is zo’n toepassing die alles in de cloud zet. Alleen gebruikers van de betaalde versie kunnen ervoor kiezen om een aantekening uitsluitend lokaal op te slaan. Terzijde: Evernote is bezig met een overstap van hun eigen datacenter naar Google Cloud.

De aankondiging van Evernote over het grasduinen in aantekeningen bleef bepaald niet onopgemerkt. Een storm van kritiek brak los. Gisteren probeerde de CEO de zaak nog te sussen door in een blog uit te leggen wat er wel en niet zou veranderen. Maar nog diezelfde dag volgde een bericht waarin de communicatie-afdeling (!) liet weten dat de wijziging voorlopig van de baan is. De machine learning technologies komen wel beschikbaar voor klanten, maar menselijk meelezen gebeurt alleen op basis van opt-in. De komende maanden gaat het bedrijf hard nadenken over zijn privacybeleid.

Deze storm is dus even geluwd, maar de algemene ontwikkeling is onomkeerbaar. Ik wens je een gelukkig 1984.

De volgende Security (b)log verschijnt op 13 januari 2017.

En in de grote boze buitenwereld …


... geven we onze gegevens ook gewoon vrijwillig uit handen.
http://www.gartner.com/newsroom/id/3545018

... hoeft een skimmer (waarmee criminelen je bankpas kopiëren) niet per se heel klein te zijn.
https://twitter.com/Grifter801/status/808787317884329984/photo/1 [animated GIF]

... zorgt de nieuwe Wet computercriminaliteit voor verdeeldheid.
http://www.volkskrant.nl/binnenland/hoe-ver-mag-politie-gaan-in-nieuwe-hackwet~a4432881

... bezwijken SOC's onder de grote hoeveelheid data die ze te verwerken krijgen.
http://www.securityweek.com/socs-suffer-under-volume-data-alerts-report

... worstelen SOC's ook nog eens met het classificeren van bedreigingen.
https://www.helpnetsecurity.com/2016/12/13/soc-managers-triage-threats/

... kun je waarschuwingsschermen ook al niet meer zomaar vertrouwen.
https://hotforsecurity.bitdefender.com/blog/scammers-can-trick-microsoft-edge-into-displaying-fake-security-warnings-17315.html

... zijn dit de basisbeginselen voor het beveiligen van je wifi-netwerk.
https://www.grahamcluley.com/how-to-secure-your-wi-fi-network-the-basic-version/

... is dit de versie voor gevorderde thuisnetwerkbeheerders.
https://www.grahamcluley.com/how-secure-wi-fi-network-advanced/

... kwam de IT van de Australische belastingdienst knarsend tot stilstand.
http://www.smh.com.au/national/public-service/thousands-of-public-servants-sit-idle-as-atos-it-melts-down-20161213-gt9xfd.html

... is het nu officieel: een cyberaanval kan de samenleving ontwrichten.
https://www.security.nl/posting/496316/Onderzoek%3A+Cyberaanval+kan+samenleving+ontwrichten

... neemt de politie een cybercrime-aangifte wel degelijk serieus, zegt de minister.
https://www.security.nl/posting/496419/Van+der+Steur%3A+Politie+neemt+aangiften+cybercrime+serieus

... promoot de Duitse overheid na de bekendmaking van de mega-hack bij Yahoo het gebruik van Duitse e-maildiensten.
https://www.security.nl/posting/496464/Duitsland+promoot+eigen+e-maildiensten+na+Yahoo-hack

... kun je nu ook van ransomware afkomen door je vrienden te besmetten.
http://webwereld.nl/security/95676-ransomware-besmet-je-vrienden-en-krijg-je-data-terug