Technology >> Securitate >> Stiri si comunicate

Studiu Symantec: Cat de securizata este identitatea virtuala cuantificata a utilizatorilor?

Luiza Sandu

07 August 2014

In ciuda importantei de a oferi o politica de confidentialitate, majoritatea aplicatiilor examinate nu dispun de una. Lipsa unei politici de confidentialitate este un posibil indicator al gradului de importanta pe care il reprezinta securitatea serviciilor de monitorizare personala in etapele de dezvoltare si de distributie. Este recomandat ca utilizatorii sa considere esentiale aceste detalii inainte de a se inregistra pentru orice tip de servicii online.

Numarul maxim de domenii unice contactate de o singura aplicatie este 14, iar media este 5. Specialistii Symantec au descoperit ca aplicatiile contacteaza, in medie, 5 domenii diferite de Internet. Exista insa si aplicatii care se conecteaza la 14 domenii diferite intr-o perioada scurta de executare. Este de inteles ca aplicatiile necesita interactiunea cu un anumit numar de domenii web pentru a transmite datele si informatiile colectate si accesul la anumite interfete de programare a aplicatiilor (Application Programming Interface – API) pentru a intermedia publicitate si alte servicii, dar faptul ca un numar considerabil de aplicatii contacteaza mai mult de 10 domenii diferite in scopuri diverse este surprinzator. Multe aplicatii raporteaza activitatea proprie serviciilor de statistici de date, aceste servicii aduna si analizeaza aplicatii si comportamente ale utilizatorilor pentru scopuri de marketing. Unele aplicatii folosesc serviciile de statistica pentru a examina performantele aplicatiei in sine, prin raportarea problemelor de performanta si anumitor defectiuni.

Desi dezvoltatorii de aplicatii sunt bine intentionati, informatiile despre activitatea unui utilizator pot fi dezvaluite in maniere neprevizionate, prin intermediul interactiunilor dintre aplicatie si serviciile terte. De exemplu, o aplicatie care monitorizeaza anumite activitati fizice transmite anumite solicitari catre adresa URL a unui serviciu de statistici la inceputul si finalul fiecarei sesiuni. In cadrul acestui schimb de informatie, aplicatia transmite un ID unic pentru instanta proprie de aplicatie, alaturi de numele aplicatiei si mesajele care indica inceputul si finalul activitatii monitorizate.

Pe langa scenariul prezentat anterior, exista multiple alte scenarii care permit scurgerea neintentionata de date si informatii de natura personala, scenarii care intampina erori umane, inginerii sociale sau gestionare improprie de date.
Desi multi dintre noi impartasesc cu lejeritate detalii privind viata personala alaturi de prieteni si familie, exista anumite informatii care nu trebuie in mod neaparat impartasite. Cand utilizatorii aleg sa nu publice unele actualizari, in mod sigur nu isi doresc ca furnizorii de servicii sa comunice, direct sau indirect, respectivele informatii.

In orice serviciu care partajeaza informatii, conturile de utilizator sunt folosite pentru a separa actualizarile si informatiile unui anumit utilizator de cele ale altuia. Sesiunile de inregistrare sunt folosite pentru a gestiona fluxul de date si de procesare cu scopul de a permite utilizatorilor sa acceseze datele personale si a efectua sarcini distincte exclusiv asupra datelor si informatiilor pentru care detin permisiune de acces. Sesiunile care prezinta riscuri de securitate pot fi exploatate de infractorii cibernetici, ducand chiar la operatiuni de tipul scurgerilor de informatii sau vandalismului de date.

In cercetarile Symantec, specialistii companiei au descoperit anumite website-uri care nu gestioneaza corect sesiunile de inregistrare ale utilizatorilor. Spre exemplu, unul dintre site-uri oferea posibilitatea de a cauta si vizualiza informatii personale ale altor utilizatori. Un altul le permitea atacatorilor sa creeze tabele in baza de date, prin comenzi SQL, si sa le trimita pe server pentru a fi executate. Aceste lipsuri flagrante de securitate pot conduce la brese majore in bazele de date ale utilizatorilor.

Sistemele construite sau implementate defectuos pot expune vulnerabilitati importante pe care atacatorii le vor exploata. Acestea pot conduce la compromiterea totala a datelor utilizatorilor de partea furnizorilor de servicii. In functie de sensibilitatea datelor stocate, implicatiile pentru utilizatori variaza de la informatii nesemnificative, precum numarul de pahare de apa baute zilnic, pana la informatii sensibile precum localizarea geografica. La prima vedere, monitorizarea stilului de viata si confidentialitatea datelor nu par sa fie congruente. Cum pot fi asigurate simultan inregistrarea datelor personale si mentinerea unui nivel oportun de securitate? Avand in vedere problemele de securitate si confidentialitate a datelor descoperite de specialistii Symantec, concluzia evidenta ar fi ca utilizatorii sa nu efectueze niciun fel de monitorizare personala daca pretuiesc confidentialitatea datelor personale.Mai presus de riscurile potentiale de natura securitatii si confidentialitatii datelor, fenomenul „Quantified Self” isi continua expansiunea, iar studiile indica o crestere semnificativa in anii viitori.

Symantec recomanda masuri de precautie care pot reduce riscul ca datele personale sa fie expuse odata cu informatiile de monitorizare a stilului de viata, astfel incat utilizatorii sa se bucure pe deplin de astfel de activitati:
Folositi aplicatia de blocare a ecranului sau o parola care previne accesul neautorizat asupra dispozitivelor proprii;
Nu refolositi aceeasi parola sau nume de utilizator pe mai multe website-uri;
Folositi parole puternice;
Inchideti serviciul Bluetooth atunci cand acesta nu este necesar;
Fiti sceptici in legatura cu acele website-uri sau servicii care pretind informatii excesive sau inutile;
Fiti precauti atunci cand folositi facilitatile de partajare cu retelele sociale;
Evitati partajarea detaliilor privind propria locatie in mediile sociale virtuale;
Evitati aplicatiile si serviciile care nu ofera in mod clar politicile de confidentialitate;
Cititi si intelegeti politicile de confidentialitate ale aplicatiilor si serviciilor online;
Instalati actualizarile aplicatiilor si sistemului de operare atunci cand acestea sunt disponibile;
Folositi o solutie de securitate pentru dispozitive electronice;
Folositi criptare completa pentru dispozitive electronice.