Drept & Internet - noutati si opinii

Cind eram mic si vedeam filme in care urmaritul general (evident, baiatul cel bun) era urmarit peste tot prin cine stie ce device-uri sofisticate, eram sigur ca este un SF. Sau filmele in care totul este programat de la nastere, pe baza unei analize a ADN-ului tau. Se stia daca vei fi hot sau presedinte. Alt SF.

Astazi putem sa spunem ca pe parcursul vietii noastre acest scenariu poate deveni (macar partial) realitate. Din punct de vedere tehnologic, informatia este abundenta. (big data!?). Din punct de vedere al informatiile personale trimise sau stocate in format digital, niciodata nu am fost la acest nivel. Si suntem abia la inceput.

Acesta ar trebuie insa sa nu fie un motiv de ingrijorare, ci doar de evolutie normala a tehnicii de calcul. Doar ca informatia personala se dovedeste a fi extrem de utila (atit dpdv business - pentru marketing), cat si guvernametal (pentru depistarea celor de incalca legea). Atit de utila incat interesul de marketing (bani) sau guvernamental (de aplicare a legii) il depaseste pe cel al cetatenilor. (sa fie lasati in pace, adica viata privata)

Saptamina aceasta, ce a inceput cu 28 ianuarie, ziua protectiei datelor am publicat pe ApTI o serie de informatii care ar trebui sa ne deschida ochii mai mult asupra modului cum datele noastre personale sunt trimise in lumea digitala si care sunt reglementarile lor:

• Am scris despre cookie-uri si de ce ar trebui sa va intereseze ca utilizatori ai Internetului. Fiecare site care colecteaza cookie-uri au obligatia sa va informeze cu privire la ce sunt, dar putini o fac. Asa ca am facut-o noi. Macar sa puna un link.
• Am aratat lacune de securitate in pasaportul electronic, pe care MAI le ignora, considerind cipul pasaportului invulnerabil. Apoi, pentru ca Guvernul a propus sa trecem la cartile electronice de identitate (e adevarat sunt doar optionale in reglementarea actuala) le-am scris Parlamentarilor romani sa includem niste standarde de securitate si privacy ridicate, pentru a invata din erorile actuale.
• Am scris Membrilor Parlamentului European pe tema noii propuneri reglementari a protectiei datelor si am publicat traducerea in romana a Declarației privind viața privată de la Bruxelles
• Iar EDRi a publicat tot pe 28 ianuarie o brosura dedicata utilizatorilor de Internet despre ce reprezinta protectia datelor personale si de ce ar trebui sa te intereseze (si) pe tine.

Dar exemplele de mai sus reprezinta doar partea vizibila a icebergului. Partea care cu adevrat ar trebui sa ne faca sa ne punem niste intrebari (care nu mai sunt doar filizofice) este directia in care ne indreptam.

Toate tehnologiile ce permit (poate unele la nivel teoretic) supravegherea tuturor cetatenilor promovate la nivelul UE sunt niste exemple tipice de “function creep“ (tehnologie realizata pentru un scop, dar extinsa ulterior la un scop cu totul diferit).

Si daca asta este momentul potrivit sa ma banuiti ca am dat in paronoia legata de teoria conspiratiei si cifra lui 666 :p ei bine - va mai dau niste munitie:

“Exista o schimbare in utilizarea tehnicilor de supraveghere in identificarea invinuitilor inainte de a comite o infractiune. Aceasta a afectat prezumtia de nevinovatie intr-un mod in care cetatenii sunt acum considerati suspecti (o schimbare la prezumtie de vinovatie)”

Concluzia nu este a vreunui grup obscur, ci a proiectului de cercetare european IRISS cu 16 parteneri din zona academica europeana. Primul raport ar proiectului identifica niste directii ingrijoratoare din punctul de vedere al protectiei vietii private (am lasat textul in engleza):

(1) a substantial growth of public sector demand for surveillance bolstered by the adoption of identity schemes and terrorist detection technologies and markets, (2) an increase in the demand for civil and commercial surveillance, (3) the development of a global industry in surveillance, (4) an increase in integrated surveillance solutions, and (5) a rise in the government use of cross-border surveillance solutions.

Aceasta este situatia. Nu e vorba de vreo conspiratie mondiala, ci de interese evidente (marketing si law enforcement). Putem sa o ignoram, crezind ca nu ne intereseaza. Putem sa o minimizam ca importanta. Sau putem sa credem ca statul ne vrea binele si stie mai bine decit noi ce vrem. Sau ca legea ne va proteja.

Sau nu. Si atunci primul pas este insa sa va informati in mod corect cu privire la ce se intampla. Unde va dati datele personale. Ce date. Cine are acces la ele. Cat de sigure sunt pastrate. Ce drepturi aveti. Cred ca in Romania inca suntem la primul pas si de aceea am considerat util sa va indic toate resursele de mai sus. Depinde de voi daca vreti sa le cititi si ce faceti cu ele.

Astazi, 28 ianuarie 2013 este ziua protectiei datelor personale. Un subiect care incepe sa te doara personal doar atunci cind, de obicei, este prea tarziu.

Cand ti-ai pierdut laptopul si iti dai seama ca oricine poate sa sparga parola ta de 5 caractere. Cand te-ai despartit de prietenul gelos si tot ce-ai scris vreodata pe Facebook se intoarce impotriva ta. Sau cand iti dai seama ca “every move you make” nu e doar versul unui cantec celebru, ci si o realitate pentru toti cetatenii in contextul pastrarii datelor de trafic - si incep sa fie folosite impotriva ta in cazul pe care l-ai fi crezut cel mai putin probabil.

Impreuna cu colegii de la ApTI ne propune sa publicam cinci materiale informative in aceasta saptamina referitoare la subiect, care sa mearga pe zona de informare, uneori inainte ca legislatia sa fie adopata - de la pasapoarte si cartile de identitate electronica, la cookie-uri si noua propunere de regulament a UE in domeniul datelor personale, care va guverna intreg domeniul.

Astazi - am scris despre pasaportul electronic. In 2007 scriam tot pe acest blog ca pasapoartele biometrice nu sunt suficient de sigure.

In 2013 ajungem la aceiasi concluzie. Cu ajutorul nepretuit al lui Bogdan Alecu am vrut sa vedem cit de sigur este un pasaport electronic romanesc. Cel pe care multi dintre romani il poarta in buzunar cind merg in afara UE. Nu putem, nu stim si nici nu avem voie sa verificam intreg proces de emitere al pasapoartelor (mai rau este nimeni nu o face!), dar macar putem sa incercam sa vedem cit de sigure sunt datele de pe cipul pasaportului nostru.

Rezultatele analizei primare facuta de Bogdan arata dezatruos pentru un sistem anuntat si promovat ca oferind “condiţii de maximă siguranţă", iar “scanarea informaţiei depozitate (se poate face) numai de aparate guvernamentale autorizate".

Ei bine - este exact pe dos: datele din pasaport, inclusiv imaginea digitala a fetei nu sunt criptate, iar accesul se poate face cu un smartphone, daca instalezi un soft public pe el. Ca sa fie si mai penibila situatia, cheia de acces la date este relativ usor de identificat, derivand “din data nașterii deținătorului documentului, numărul pașaportului și data de expirare a acestuia.”

Bogdan a putut sa-si citeasca relativ simplu datele de pasaport (mai putin zona de amprente, care pare bine securizata). La fel poate oricine care are minimele cunostiinte de securitate IT sa il citeasca pe al altuia.

Concluziile analizei empirice sunt penibile pentru imaginea publica de securitate a pasaportului electronic, dar nu sunt suprinzatoare, din pacate, pentru cei cunoscatori al lipsei de atentie pentru securitate si protectia reala a datelor personale din partea autoritatilor romanesti:

• Informațiile cu privire la siguranța pașaportului electronic fie sunt vagi și exagerate, fie nu există pe site-urile publice ale emitenților. Lipsa informațiilor oficiale clare și corecte nu duce la creșterea încrederii în aceste documente, orice informație (chiar nedocumentată) din terțe surse putând deveni astfel credibilă.
• Datele primare (mai puțin amprentele) care sunt înscrise pe cip pot fi citite în mod electronic, de la distanță, folosind produse legale disponibile public. Nivelul de îndemânare tehnică pentru a citi aceste date poate fi considerat unul mediu pentru o persoana familiarizată cu tehnologia informației.
• Cheia de acces ce ar trebui să protejeze aceste date primare este relativ ușor de ghicit. Nivelul de îndemânare tehnică pentru a ghici cheia de acces la datele primare: mediu spre ridicat.
• Datele primare pot fi citite de la distanță, chiar și printr-un rucsac.
• Cipul poate fi clonat (mai puțin amprentele biometrice).
• Dacă s-ar folosi un pașaport falsificat cu un cip clonat pe o „poarta inteligentă”, există posibilitatea de a intra în mod fraudulos într-o altă țară. (Din câte cunoaștem noi, în România NU sunt folosite astfel de porți inteligente.)

Citeva recomandari va pot ajuta ca sa mai diminuati unele din problemele aratate mai sus.

Asteptam cu interes ca autoritatile romane sa corecteze informatiile publice legate de siguranta pasapoartelor electronice. Macar atit!

• Miercuri, 30 ianuarie 2013, Eurocloud Romania organizeaza on conferinta pe tema BigDATA Adica: “Avalanșa de date. 90% din datele care există astăzi în lume au fost generate în ultimii doi ani.”
  Doar astazi mai aveti acces la un Early Bird discount.


• A sasea editie a International Conference on Security for Information Technology and Communication are loc in Bucuresti pe 25-25 Iunie 2013. Conform organizatorilor “Conferinta este in principal dedicata tinerilor cercetatori masteranzi sau doctoranzi, tineri doctori si nu numai. Utila pentru cercurile de specialisti in domeniu, dar deschisa si pentru cei preocupati de aspectele juridice si/sau de reglementare.” Daca fac si un track de cybercrime, devine si mai palpitant.


• Un coleg jurist face in studiu la Universitatea din Geneva, iar in urma studiului ar vrea sa poata face un regulament privind gestionarea mai buna a unui conflict marca vs. nume de domeniu. Un chestionar public in romana este destinat strangerii de opinii. Cum am mai discutat subiectul, ma gindesc ca unii dintre cititorii blogului l-ar putea ajuta. Marturisesc insa ca nu inteleg de ce ma intreaba daca sunt casatorit sau cit cistig.



• Comisia Europeana va propune in curind o Directivă privind Strategia de securitate cibernetică. Profesorul Ross Anderson de la Cambridge are o analiza cinica a noului text prin care ENISA va deveni o rețea clasificată de agenții militare și de informații.:

  ENISA și agențiile naționale din rețeaua sa vor avea acces la „informații suficiente” de la aproape orice are legătură cu mediul online, extinzându-se astfel puterile conferite prin Directiva privind reținerea datelor nu doar asupra operatorilor de telefonie și ISP-iștilor, ci și asupra furnizorilor de servicii de tipul motoarelor de căutare, furnizorilor de servicii webmail, rețelelor sociale și operatorilor de jocuri pe calculator. Acest lucru este complet inacceptabil, întrucât ar reprezenta o încălcare a constituțiilor multe state europene. În plus, este extrem de dificil de văzut cum o astfel de prevedere poate fi compatibila cu articolul 8 al Convenției Europene a Drepturilor Omului.

  Sau mai pe scurt - cu adevarat Politia Internetului.
  Sa vedem daca Comisia va asculta de vocile ratiunii - daca nu, prevad un scandal imens
  

Plus un bonus-teaser: Luni este 28 Ianuarie, deci ziua protectiei datelor cu caracter personal…Dap, coacem ceva… :)

Din decembrie 2012/ianuarie 2013:

1. Guvernul Romaniei a propus in noul proiect de lege de punere în aplicare a Codului de Procedură Penală trimis la Senat niste modificari ale procedurii de acces la datele de trafic stocate in conformitate cu noua lege Big Brother 82/2012. Mai multe detalii pe site-ul ApTI:

   Pe scurt, două noi importante propuneri:

   1. această solicitare poate fi făcută doar cu autorizarea prealabilă a judecătorului de drepturi şi libertăţi. Diferenţa, faţă de actualele prevederi, constă în aceea că autorizarea judecătorului este acum necesară pentru toate organele de urmărire penală, şi nu doar pentru organele de cercetare ale poliţiei judiciare.

   2. datele pot fi solicitate doar atunci când există o suspiciune rezonabilă cu privire la săvârşirea unei infracţiuni şi există temeiuri pentru a se crede că datele solicitate constituie probe.

2. Curtea Constitutionala din Austria, sesizata (de 11 000 de cetateni!) cu neconstitutionalitatea legii nationale privind pastrarea datelor de trafic informational a trimis la Curtea Europeana de Justitie citeva intrebari referitoare la modul cum aceasta directiva ar incalca Carta UE privind drepturile omului. Mai jos textul integral al intrebarilor care ar trebui sa rezolve o data pentru totdeauna mascarada asta cu datele de trafic.

Read more »

Citeva stiri interesante din ultimele saptamani despre ce se mai intampla prin lume cu drepturile digitale:

1. EDRi a organizat Saptamina Cenzurii Absurde pe Twitter acum vreo 2 saptamani pentru a demonstra cum in ultimii ani, companiile private au ajuns să decidă tot mai frecvent ce este “adecvat” șî “neadecvat” pe Internet și ce fel de conținut Internet avem dreptul să accesăm.
   Vedeti top 5 si dincolo de el, ce include:

   • titlul unei carti: „Vagina” - pe Apple
   • jailbreak - pe Itunes

   • doua puncte - scandalul NippleGate - pe Facebook

2. Nume de domenii din Europa, inclusiv .eu sau .ro au inceput sa fie blocate pe motive de contrafacere. Comunicatul oficial al Europol nu intelege diferenta intre incalcarile drepturi de autor (copyright) si marca (trademark), dar astea sunt detalii, nu?. Probabil ca au facut ceva gresit de le-au luat domeniile. Mai conteaza legile care zic ca ar trebui o decizie a unui judecator? Nu stim care au fost, le-a descoperit torrentfreak pe unele din ele.

   Câteva zile mai târziu, în 30 noiembrie 2012, mai multe site-uri BitTorrent, inclusiv Torrentz.eu, Fenopy.eu and BTscene.eu au fost puse „on hold” de către EURid, Registrul european pentru nume de domenii Internet. Titularii numelor de domenii respective nu au fost informati cu ce au gresit sau de ce sunt acuzati. Asa ca s-au mutat pe alte domenii.
   Vezi intreaga poveste.

3. Astazi Parlamentul European a adoptat 2 rezolutii nelegislative prin care cere reglementarea Neutralitatii Internetului Sa vedem ce face Comisia… La noi inca nu s-a format acel grup de lucru propus de ANCOM pe tema asta.


4. Si tot astazi si tot Parlamentul European a adoptat crearea unui sistem unitar de patente la nivelul Uniunii Europene, sistem extrem de criticat si de experti (vezi opinia Institutului Max Planck pentru Prop. Int) si care deschide larg calea catre patentele software si in Europa. Detalii pe site-ul FSFE Acu sa va astepti si la patente si procese idioate - pentru cei interesati de detalii aruncati-va o privire pe cele listate pe site-ul groklaw.

Astazi a inceput la Dubai conferinta ITU (International Telecommunications Union), care ar putea propune schimbare anumitor tratate internationale privind zona de telcom, si mai nou si Internet. Desi propunerile Rusiei si altor state au starnit ceva teama pentru schimbarea modelului de guvernanta a Internetului, cred ca pozitia transata a UE (The internet works, it doesn’t need to be regulated by ITR treaty. If it ain’t broke, don’t fix it.) si altora (inclusiv Google) nu o sa dea prea mult loc de manevre.

Totusi, secretomania din jurul intalnirii ramine condamnabila fiind necesar un alt site …leaks pentru a afla cel putin lista oficiala a celor ce participa la o intalnire publica.

Asa ca sa raminem vigilenti si interesati, dar in acelasi timp optimisti. Pina vedem rezultatul intalnirii (se va incheia abia pe 14 Decembrie)…

Va propun sa ne uitam la un documentar independent de 15 minute din Romania despre un alt mod de a vedea copyrightul sau mai corect zis drepturile de autor si a-ti pune intrebari referitoare la in ce masura si cit este necesar. (btw, daca va intereseaza subiectul si vreti sa documentati si opinia cealalta - daca nu cumva o stiti deja - e o conferinta in Brasov sapt. viitoare si cauta un blogger).

A fost lansat oficial tot astazi. Deci: De ce exista copyright? Pe cine afecteaza de fapt pirateria? De ce ma simt ca un infractor atunci cand stau pe net?

Cel mai bine este ca sa puneti comentariile despre film pe Youtube sau pe pagina lor de Facebook.
(dap, apar si eu pe prin filmulet)

Precum probabil o parte din voi stiti, Google.ro a afisat ieri pentru citeva ore bune pentru unii utilizatori de Internet din Romania un mesaj al unui hacker alegerian..

O analiza tehnica mai larga a ceea ce s-a intamplat o gasiti in articolul lui Stefan Tanase de la Kaspersky Romania (romana, dar fara actualizari si in engleza- cu actualizari) sau Bitdefender.

Concluzia este cea mai probabila este ca incidentul de securitate (DNS hijacking/poisoning) se pare ca s-a petrecut la serverele DNS administrate de ICI/RoTLD.

Cum in urma cu aproape o saptamana, scriam despre un incident similar la administratorul ccTLD .ie nu pot sa nu imi pun un mare semn de exclamare si citeva intrebari.

Este inacceptabil ca niciunul dintre actorii implicati in incidentul de securitate sa nu iasa public cu un comunicat oficial a ceea ce s-a intamplat sau macar de recunoastere a problemei!!!

Asta este semnul mare de exclamare! In cazul similar din Irlanda, a existat imediat o nota publica din partea administratorului domeniului .ie, in care si-au recunoscut.

In cazul nostru - nimic. La mai mult de 24 de ore dupa atac (de care au scris toate ziarele) site-ul RoTLD apare ca si cum nimic nu s-ar fi implicat. CERT Romania vobeste de un raport ENISA in prima stire (oricum sunt in aceiasi cladire cu RoTLD), Google Romania sau ISP-isti dau vina pe altii: nu e problema noastra, serviciile noastre sunt perfecte.

Singurii care au iesit cu ceva au fost cei de la Kaspersky Romania, care au recunoscut ca si domeniul lor ar fi fost afectat.

Doua intrebari:
1. Au notificat ISP-istii pe cei de la ANCOM pentru o “pierdere a integritatii care are un impact semnificativ asupra furnizarii (…) serviciilor”, asa cum le cere art 47 alin 1 din OUG 111/2011?

(1) Furnizorii de reţele publice de comunicaţii electronice sau de servicii de comunicaţii electronice destinate publicului au obligaţia de a notifica ANCOM, în cel mai scurt timp, cu privire la orice încălcare a securităţii sau pierdere a integrităţii care are un impact semnificativ asupra furnizării reţelelor sau serviciilor.

Din pacate obligatia este momentan doar pentru ISP-istii, dar ne arata cit de complicat este eco-sistemul Internet si de ce este esential ca obligatia de notificare a incalcarii securitatii sa fie extinsa - de fapt exista deja in propunerea de Regulament pentru protectia datelor personale.

2. Fiind vorba in mod evident de posibilitatea savirsirii unei infractiuni (de ex. acces la drept la un sistem informatic) a anuntat cineva organele competente de Politie. Si daca da, cine?
A inceput vreo investigatie interna in locul unde s-a produs incidentul de securitate si care sa se incheie cu un raport public din care sa rezulte exact ce s-a intamplat si ce masuri s-au luat pentru a nu se mai intampla acest lucru?

Macar sa invatam ceva din experienta irlandeza - aici este raportul lor public dupa incident.

Si mai vorbim despre cyber-securitate la conferinte pompoase? Sa fim seriosi…

Dar ca sa nu credeti ca doar romanii sunt destepti (atit de destepti, incat au uitat sa ia domeniul .com http://romaniisuntdestepti.com), aruncati-va o privire cum blogul ITU (institutia aia ce vroia sa ia controlul Internetului, pt ca nu este o retea sigura) avea username-ul si parola identice: admin.

Alta lectie de cyber-securitate. Noapte buna, copii!

Update 3.12.2012, ora 19.03.

In fine a aparut un scurt comunicat pe site-ul RoTLD (copiat si mai jos). Nu stim ce domenii au fost afectate. Nu se spune nimic daca a existat un acces la baza de date de domenii si daca (sau de ce) toate parolele de administrare a domeniilor au fost resetate.

Intre timp astazi CERT Romania a postat ceva despre spear fishing, iar atacul de la RoTLD nu apare inca raportat. Probabil ca nu este un incident important de securitate.

Read more »

Ca urmare a cererii pe legea 544/2001 privind accesul la informatiile publice, ca si a insemnarii Nu va suparati, ce se mai intampla cu eRomania? am aflat ceea ce am cautat:

Pe scurt: pina acum s-au cheltuit in proiectele eRomania 34 705 084 Lei - adica approx. 8 mil Euro (la un curs mediu de 4.3 Lei pe 1 Euro). Deocamdata nu exista niciun rezultat public, asa cum aprecisem si initial.

Mai jos, raspunsul complet primit zilele trecute:

În ceea ce privește Proiectul eRomania 1, a fost încheiat doar un Acord-Cadru cu firma, dar nu a fost încheiat nici un contract subsecvent. Prin urmare, proiectul nu a fost implementat și nu au fost cheltuite fonduri.

În ceea ce privește Proiectul eRomania 2, licitația a fost câștigată de firma Omnilogic. Sumele efectiv bugetate pentru proiectul eRomania 2 sunt:

2010 – 17.352.542 lei

2011 - 17.352.542 lei

2012 - 17.352.542 lei

Sumele efectiv cheltuite pentru proiectul eRomania 2 sunt:

2010 - 17.352.542 lei

2011 - 17.352.542 lei

2012 – 0 lei

Din iunie 2012, în Ministerul Comunicațiilor (MCSI) s-a constituit o Comisie responsabilă cu managementul contractului eRomânia, al cărei prim rezultat a fost deblocarea proiectului. În urma evaluării făcute de către Comisie, folosind drept criterii prevederile caietului de sarcini și ale contractului, funcționalitatea portalului, relevanța conținutului informațional și respectarea standardelor profesionale s-au constatat o serie de neconcordanțe.

De la momentul evaluării și până în prezent, s-a lucrat activ la dezvoltarea portalului eRomânia. Proiectul urmează a fi transformat într-un portal care să permită interoperabilitatea datelor deținute de diverse autorități gestionare de informați, interactivitate cu publicul utilizator și generare de conținut informațional.

Rezultatele proiectului eRomânia vor fi făcute publice după recepția finală.