#приватность

Apple передаст данные iCloud китайских пользователей китайской государственной компании 28 февраля.

Apple сделал это, чтобы соответствовать китайскому законодательству о локализации персональных данных.

Apple легко посылал на фиг наши роскомнадзоры, но теперь я не вижу аргументов, которыми они могли бы защитить своих российских пользователей. В свете этих событий очень интересно:
1. насколько хорошо архитектура iCloud защищает от атакущего, контролирующего серверы и ПО iCloud? Стоит перечитать их whitepaper. Я сейчас пробежался глазами, кажется, что большинство сервисов становятся небезопасны;
2. легко ли сменить страну iCloud? Что для этого нужно сделать? Вот инструкция от самого Apple. Кажется, что это — самый правильный вариант защиты. Всё что потребуется — карточка иностранного банка. Китайцам объявили о передаче аккаунтов более чем за месяц (их передадут 28 февраля), так что время у нас будет, но подготовиться лучше заранее;
3. сохранятся ли купленные приложения при смене страны? Кажется, что да. Придется выключить все подписки, но их можно включить потом обратно;
4. когда ожидать этой передачи российских аккаунтов структуре, подконтрольной правительству (какому-нибудь ГУП «Облачные технологии»)? Тут я спокоен — от российских чиновников и подрядчиков инфа утечет за полгода до трансфера. Дело такого масштаба нельзя провернуть за месяц и в одиночку. Утечка будет точно.

Ох, придется теперь объяснять, что «айфоны — самые безопасные, только iCloud русский не включай». Печально, iCloud — очень удобная штука.

В июне 2018 Верховный суд США вынесет решение по делу серийного грабителя, которое сильно повлияет на нашу жизнь.

Мистер Карпентер парковался в угнанной машине около магазина электроники. По его команде в магазин входа группа налетчиков и угрожая оружием собирала новые смартфоны в мешок.

Главаря сдали его же подчиненные, но копы также представили суду данные о местоположении телефона Карпентера. Он находился рядом с местами ограблений во всех инкриминируемых ему случаях. Мобильные операторы предоставили копам (без решения суда) данные о местоположении за 127 дней. Защита утверждает, что это было нарушением 4 поправки к конституции (незаконные обыски без решения суда запрещены).

Сейчас Карпентера защищают юристы из ACLU (те, кто постоянно борются за нашу и вашу свободу). У защиты есть шанс. В деле, рассмотренном Верховным судом в 2012 шла речь о GPS трекере, который копы навесил на тачку подозреваемого и трекали его передвижения в течении месяца. Тогда суд признал это незаконным, мол не имели копы права вешать трекер на частную собственность. Важно, что 4 судей выступили с общим особым мнением. Судьи писали, что у людей на улице есть разумное ожидание конфиденциальности - раньше было технически невозможно следить за передвижениями человека так детально и так долго.

При этом номера, по которым вы звоните, не являются конфиденциальной информацией, согласно решению верховного суда от 1989 года. Почитайте это решение, оно очень понятное и интересное http://caselaw.findlaw.com/us-supreme-court/442/735.html В нем утверждается, что при наборе номера мы понимаем, что этот номер узнает телефонная компания и у нас нет разумного ожидания, что информация о наборе номера конфиденциальна. То есть речь идёт об ожиданиях общества, а не о какой-то формальной конструкции!

Интересно, ожидает ли американское общество, что их перемещения - это их личное дело, или нет?

https://www.nytimes.com/2017/11/27/us/politics/supreme-court-fourth-amendment-privacy-cellphones.html

Если любите подкасты — то вот выпуск Planet Money от NPR https://www.npr.org/sections/money/2017/11/08/562888974/episode-804-your-cell-phones-a-snitch

Нашел сервис, если не хочется палить свой почтовый адрес: https://www.33mail.com

После регистрации вы получаете кастомный домен, например, azaza.33mail.ru. Письма на любой адрес ([email protected]) в этом домене форвардятся на ваш настоящий ящик.

Дополнительная фишка — можно забанить любой входящий адрес, если на него начинает сыпаться спам.

Upd. Читатели пишут, что в gmail можно добавлять точки в адрес и всё равно он остается вашим ([email protected] = [email protected]). Ещё есть один способ с добавлением +имя метки в конце ящика, [email protected] = [email protected], тогда письма сразу имеют правильную метку.

Мне нужна была совсем беспалевность, но хак классный.

История с руководителями телеграма — классический выпуск «пусть говорят». 1 канал, дарю идею.

Меня больше всего заинтересовал эпизод с тем, как Дуров, якобы, убрал доступ к истории переписки для бывшего сотрудника. Такое, мне кажется, возможно только в Телеграме. Слишком много доверия к ad-hoc решениям отдельных людей и мало процедур.

Рейтинг, кому стоит доверять: 3. людям с авторитетом 2. организациям с процедурами и авторитетом 1. математике.

Уж насколько я не люблю шапочки из фольги, но для личной переписки использую iMessage. Так я могу быть уверен, что один сошедший с ума инженер не сможет получить доступ к моей личной переписке. Спланированная атака со стороны Apple — гораздо менее вероятное событие в моей модели угроз.

Если вы не готовы доверять и Apple — берите Signal (iOS, Android), он насколько близок к доверию к математике, насколько допустимо здравым смыслом.

Помните, как при покупке в интернет-магазине условных кроссовок, они потом преследуют вас по всему интернету?

В iOS 11 Apple ограничит third-party cookies 24 часами, так что кроссовки будут преследовать вас не более суток. У индустрии бомбит не по-детски.

Интересно, что Facebook и Google это практически не затронет — почти все видят кнопку Like или ищут что-то в Гугле хотя бы раз в день.

http://www.adweek.com/digital/every-major-advertising-group-is-blasting-apple-for-blocking-cookies-in-the-safari-browser/

В Америке сильно бомбит история про взлом агенства кредитных историй Equifax. В руки злоумышленников попали персональные данные 143 миллионов клиентов.

Причем бомбит история на порядок сильнее, чем более крупные аналогичные кражи из Yahoo, Sony и прочих.

Дело в том, что в этот раз утекли полные имена, домашние адреса и номера социального страхования.

В Штатах, корректное предоставление этой связки данных о человеке в большом числе случаев считается достаточным, чтобы доказать, что ты и есть этот самый человек. Интернет-банки, мобильные операторы — только представьте, как можно развлечься, имея на руках такую кучу поддельных личностей.

В России с этим проще — банк или мобильный оператор не поможет тебе по телефону, что хочешь ему назови. Во первых: нечего, придете в офис и в очереди постоите, не обломитесь. Во вторых: я, оператор на линии — человек подневольный, помочь не могу. В третьих: да я эти базы у знакомого оперативника за просто так получу, ишь, удивил, знаешь какой у меня ИНН и где я живу.

Проблемы первого мира.

Netflix год назад начал передавать видео в HTTPS. Подозреваю, что причина была "because we can", но маркетинг нам заливал про приватность. Так вот, чуваки идентифицируют Netflix-фильмы с точностью 99.9% по двум минутам TCP заголовков зашифрованного HTTPS потока. Оказалось, что, последовательность размеров сегментов VBR-сжатия уникальна для каждого видео.

Аналогия для не-компьютерщиков такая: вы подписаны на порно-журналы по почте. Они запакованы в непрозрачные конверты. Атакующий взвешивает каждый входящий конверт в течении 2-3 месяцев и по изменениям веса однозначно определяет ваши интересы. Мета-дата, сэр.

http://www.mjkranch.com/docs/CODASPY17_Kranch_Reed_IdentifyingHTTPSNetflix.pdf

Пронзительно романтичное описание романа между мужчиной и женщиной (и одновременно про приватность и шифрование в сети!)

От первой половины текста невозможно оторваться, это настоящая хорошая проза, редко встречается в блогах.

https://backchannel.com/love-in-the-time-of-cryptography-dd3a74193ffb

Доводить идею до абсурдного абсолюта - хороший способ её проверить. Есть некоторое число фильмов и книг, где люди в частности или человечество в целом записывает, помнит и может мгновенно вспомнить все. Все эти произведения - антиутопии.

Закончу цитатой из прекрасного рассказа о вечной памяти (правда, в разрезе копирайта), "Сенатор, вы когда-нибудь видели жизнерадостного слона?" http://royallib.com/read/robinson_spayder/gizn_korotka_avtorskoe_pravo.html#0

У меня очередные новости о том, что безопасности в интернете нет (переименовать что-ли канал?). В квази-публичный доступ утекли персональные данные (имя-фамилия, компания, должность, телефон, электронная почта, домашние адрес, доходы самого персонажа и его родителей(!)) 33 (!) миллионов американцев. Дочка D&B продавала эти данные совершенно официально за много-много денег, просто никто не ожидал, что оно протечет в интернет.

Это, наверное, такой закон природы — любая privileged информация рано или поздно оказывается в публичном доступе. Теперь можно одним запросом получить персональные данные 32 инженеров-химиков и 715 intelligence analyst армии США. Удобно. Или делать массовые и при этом высокотаргетированные фишинговые рассылки по тысячам бизнесов в Америке. Как много полезного можно сделать с 55 гигабайтным архивом жирных, сочных персональных данных.

https://www.troyhunt.com/weve-lost-control-of-our-personal-data-including-33m-netprospex-records/

Страшная статья про Facebook от data-science ученого: http://veekaybee.github.io/facebook-is-collecting-this/

Вкратце: записывают абсолютно всё, ничего не удаляют и эксперименты проводят какие захотят (это самая жуткая часть, на самом деле).

Тот нашумевший эксперимент фб провел ещё в 2012 году, научная статья о нем вышла в 2014. Статья оказалась плохим PR-ом, так что больше мы о таких опытах не узнаем.