Privacy Issues

privacyissues@labonneheure.ch

A place to collect privacy issues of companies. Hier werden Datenschutz-Problemfälle gesammelt.

Diese freien E-Mail-Apps verkaufen deine Daten: Edison, Slice, Cleanfox. Auch Daten aus Gmail-Postfächern werden verkauft

Emanuel

Basel, Schweiz, Tue, 11 Feb 2020 08:57:10 +0100

#Edison is just one of several companies that offer free email apps which then sell anonymized or pseudonymised data derived from users' inboxes. Another company that mines inboxes called #Foxintelligence has data that comes from users of the #Cleanfox app [...]

Zu welchem Preis werden deine Daten gehandelt? Hier ein Beispiel der Firma #Rakuten, welche die App #Slice betreibt:

An email obtained by Motherboard appeared to show the price for access to Rakuten data for one product category as over $100,000.

Edison verkauft deine Daten, obwohl diese Firma Datenschutz auf ihre Fahnen schreibt:

"They could definitely be a bit more upfront about their commercial intents," Seb Insua, a Edison user who said they were unaware of the data selling, told Motherboard. "Their website is all like 'No Ads' and 'Privacy First'," he added (the company's website says "Edison Trends practices privacy by design.")

Edison-Mitarbeiter lesen deine Mails, um ihren Algorithmus für die Daten-Weiterreichung zu optimieren.

#Google gibt hunderten externen Softwareentwicklern Zugang zu den #Gmail -Postfächern jener Nutzer, die gewisse Dienste wie Preisvergleicher oder Reiseplaner nutzen.

https://www.wsj.com/articles/techs-dirty-secret-the-app-developers-sifting-through-your-gmail-1530544442

Steffen Voß ☕ wrote the following post Tue, 11 Feb 2020 03:14:51 +0100

How Big Companies Spy on Your Emails.
"The popular Edison email app, which is in the top 100 productivity apps on the Apple app store, scrapes users' email inboxes and sells products based off that information to clients in the finance, travel, and e-Commerce sectors."
https://www.vice.com/en_ca/article/pkekmb/free-email-apps-spying-on-you-edison-slice-cleanfox

!Privacy Issues

Schütze deine Daten richtig. Andernfalls könntest du Doxing-Opfer eines Polizisten werden

Emanuel

Basel, Schweiz, Sat, 08 Feb 2020 14:54:18 +0100

Matthias Kneiss wrote the following post Sat, 08 Feb 2020 12:32:55 +0100

In Greifswald hatte ein Polizist durch Abfragen Daten zu Linken gesammelt und zum Teil weitergegeben, veröffentlicht und für doxxing genutzt. Die Staatsanwaltschaft, die erst nach Klage eines Betroffenen tätig wurde, hat den Fall jetzt zu den Akten gelegt. Eine Strafbarkeit sei erst gegeben, wenn er sich finanziell bereichert hätte.

https://www.nordkurier.de/anklam/staatsanwaltschaft-legt-datenklau-fall-zu-den-akten-0738346802.html #copwatch

!Privacy Issues

Keine Unterstützung für ein Geschäftsmodell, das auf dem Verkauf von privaten Daten beruht

Emanuel

Basel, Schweiz, Sun, 02 Feb 2020 15:14:08 +0100

Eine Schwäche von #WhatsApp ist genau wie beim ähnlich populären #Facebook Messenger die Verbundenheit mit dem Anbieter Facebook und dessen Geschäftsmodell. Das beruht auf dem Einsammeln so vieler #Anwenderdaten und #Adressbucheinträge wie irgend möglich. Facebook stellt daraus umfassende persönliche Profile zusammen und vermarktet sie. Misstrauen gegenüber dem #Datenschutz bei Facebook und Zweifel an der Fairness dieser Datenkrake haben dazu geführt, dass zahlreiche Unternehmen ihren Mitarbeitern inzwischen den dienstlichen Gebrauch von WhatsApp verbieten. Auch Politiker geraten ins Stolpern, wenn wie im Februar bei der niedersächsischen Justizministerin Barbara Havliza herauskommt, dass sie oder ihre Mitarbeiter per WhatsApp kommunizieren. Beim Facebook Messenger sind die Probleme noch auffälliger: Wer damit ein Konto anlegt, kann kaum verhindern, dass dieses nahtlos mit den eigenen Facebook-Daten und denen der Facebook-Freunde und -Freundesfreunde verfilzt.

https://www.heise.de/select/ct/2019/11/1558692220871243

!Privacy Issues

Sichere Messenger sammeln keine Metadaten und können Kommunikationsinhalte nicht mitlesen

Emanuel

Basel, Schweiz, Sun, 02 Feb 2020 15:02:40 +0100

[...] Sichere Messenger zeichnen sich durch zwei Merkmale aus: Erstens geben sie die #Metadaten gegenüber Unbeteiligten nicht preis – das heißt: sie verraten nicht, wer wann mit wem gechattet hat. Zweitens stellen sie sicher, dass die übermittelten Kommunikations-Inhalte nicht in die falschen Hände geraten. [...]
#TLS verschlüsselt den Datenverkehr zwischen einem Endgerät, also etwa dem Smartphone mit der Messaging-App und dem Server des Messaging-Diensts; genauso den Verkehr zwischen Web-Browser und HTTPS-Webserver. Mit einer solchen Transportverschlüsselung – TLS oder anderweitig – sollte jede Messenger-App arbeiten.
Die Schwachstelle der #Transportverschlüsselung liegt darin, dass die Verschlüsselung auf dem Server des Dienstes endet. Schickt nun also Alice von ihrem Handy aus per Messenger eine Nachricht an Bob, so wird diese von Alices Handy zum Messenger-Server verschlüsselt. Dort wird die verschlüsselte Verbindung beendet und die Nachricht liegt im Klartext vor, bevor sie erneut verschlüsselt und dann an Bob geschickt wird. Dadurch können Mitarbeiter des Dienstanbieters – oder behördliche Ermittler mit Durchsuchungsbeschluss – die Nachrichten auf dem Server lesen, kopieren oder manipulieren.
[...] Telegram, das schon früh ein Image als sicherer Messenger kultiviert hat und vielen Nutzern heute als abhörsicher gilt. Die wünschenswerte [Ende-zu-Ende] #E2E -Verschlüsselung wird in Wirklichkeit aber nur auf Anforderung in Sonderfällen praktiziert.
[...] [Man braucht bei Peer-to-Peer (#P2P )] nicht zu befürchten, dass beim Ausscheiden eines Dienstanbieters alle Chats zusammenbrechen. Zweitens lassen sich P2P-Systeme so konstruieren, dass auch der Verbindungsaufbau ohne zentrales Nutzerverzeichnis auskommt. Das reduziert Gefahren für den unberechtigten Abgriff von Metadaten, funktioniert aber nur dann, wenn sich die Chatpartner anderweitig abstimmen, wann sie online erreichbar sind.
Die Abhängigkeit von einem einzelnen Server lässt sich nach demselben Konzept wie bei E-Mail auch mit einem föderierten Dienst wie Jabber beziehungsweise #XMPP oder #Matrix vermeiden. Dabei läuft die Kommunikation über ein ganzes Netzwerk miteinander verbundener Server, wobei jeder Anwender nur bei einem einzigen Server ein Konto unterhalten muss.
Föderierte Dienste basieren in den meisten Fällen auf quelloffener Software, was unter anderem dazu führt, dass Anwender die Auswahl unter zahlreichen Client-Apps haben und sogar einen eigenen Server für sich und Andere aufsetzen und betreiben können.
[...] Ein schwerwiegendes Kriterium ist schließlich die Transparenz eines Dienstes – Einsehbarkeit der Software-Quellcodes und Dokumentation der verwendeten Algorithmen, Experten-Audits und nicht zuletzt Hintergründe des Dienstanbieters. [...]

https://www.heise.de/select/ct/2019/11/1558438564072031

!Privacy Issues

Mit der Adressbuch-Freigabe lässt du zu, dass Facebook deine Kontakte mit allen Daten abgleicht

Emanuel

Basel, Schweiz, Sun, 02 Feb 2020 14:37:36 +0100

[...] Wir konnten nicht einmal bei normalen Chats über Facebook Messenger und Telegram mitlesen, obwohl da gar keine Ende-zu-Ende-Verschlüsselung stattfindet. Diese Beobachtung erklärt sich indes aus ungebräuchlichen Übertragungsprotokollen, die der Proxy nicht in Klartext übersetzen konnte: #Telegram baut auf eine hauseigene, nicht offengelegte Transportverschlüsselung, und Facebook Messenger nutzt das für Telemetrie optimierte Protokoll #Edge-MQTT. Dieses soll die übertragenen Inhalte komprimieren, um Netzwerk-Bandbreite zu sparen. Trotzdem fiel uns gerade beim Facebook Messenger ein ungewöhnlich hoher Datenverkehr auf, der bei uns den Verdacht weckt, dass die App womöglich zusätzliche Daten „nach Hause telefoniert“. Im Übrigen bietet Edge MQTT im Standardfall anders als #TLS keine Perfect Forward Security. Beim Telegram-Protokoll wissen wir das nicht. [...] dass man Chats von sich aus nur einleiten kann, wenn man der App [WhatsApp] und dem Dienstbetreiber Facebook Zugriff auf sein komplettes Adressbuch gewährt. Facebook seinerseits hat angekündigt, dass es die Infrastrukturen von #WhatsApp, #Facebook und #Instagram zusammenlegen will. Mit der Adressbuch-Freigabe lässt man daher zu, dass Facebook diese Kontakte mit allen Daten abgleicht, die es [über] Anwender, dessen Freunde und Freundesfreunde besitzt.[...]

https://www.heise.de/select/ct/2019/11/1558438610171788

!Privacy Issues

Location access is one of the most invasive permissions

Emanuel

Basel, Schweiz, Sun, 02 Feb 2020 12:15:56 +0100

Tanja wrote the following post Sat, 01 Feb 2020 10:55:37 +0100

The Nextcloud News app now wants location access to automatically switch between day and night themes. I just about fell off my chair when the permission request came up after I installed the latest update.

I'm not assuming evil intent here, but it is a really good example of the mindset currently taking hold in regards to privacy. Location access is one of the most invasive permissions; not quite up with SMS access, but close. To use it for something this trivial shouldn't even cross our minds, and yet this seems to have become the new normal. Most people wouldn't even think twice about it, and that's what's so scary.

!Privacy Issues #nextcloud

Hans W

Mon, 03 Feb 2020 00:35:20 +0100

I am not sure if this is fixed but Nextcloud used to be a gathering of all kinds of scripts they found on the web. I can imagine the gps issue is due to such a reason.

Überwachung in der Migros: Der orange grosse Bruder

Emanuel

Basel, Schweiz, Tue, 28 Jan 2020 14:01:56 +0100

https://www.woz.ch/2004/ueberwachung-in-der-migros/der-orange-grosse-bruder

Mehr als 28 Milliarden Franken hat die #Migros im vergangenen Jahr in diversen Geschäftsbereichen umgesetzt. Ihre Grösse verschafft ihr nicht nur viel Marktmacht – sondern auch eine unheimliche Fülle an Daten. Ein Überblick.

!Privacy Issues

Ausstellung «Privatsphäre – geschützt, geteilt, verkauft» im Stadthaus Zürich

Emanuel

Basel, Schweiz, Sun, 26 Jan 2020 17:19:16 +0100

Die Ausstellung läuft noch drei Tage, bis 29. Februar 2020, jeweils 8 bis 18 Uhr. Eintritt frei.

Fakten statt Polemik: Eine Ausstellung im Zürcher Stadthaus handelt von der Privatsphäre. Was verstehen wir heute darunter, was wurde früher darunter verstanden? Und: Wie verschiebt die Digitalisierung die Grenzen des Privaten?

Ein Besucher sitzt auf einer Bank und scrollt durch Instagram. Eine andere Besucherin fotografiert und googelt. Wenn man diese Szenen nach einem Ausstellungsrundgang beobachtet, denkt man unwillkürlich: Habt ihr denn nichts gelernt? Im Gästebuch zur Ausstellung «Privatsphäre – geschützt, geteilt, verkauft» liest man immer wieder ein Wort: «beängstigend». Die Eindrücke anderer BesucherInnen decken sich mit dem eigenen Unwohlsein.

Ja, diese Ausstellung kann beängstigen. Und das gleich bei der ersten Station. Dort werden Informationen an die Wand projiziert wie: «Bei den SBB sind 15 000 Überwachungskameras in Betrieb.» Oder: «2 800 000 SchweizerInnen benutzen eine Cumulus-Karte. Man malt sich aus, wie oft man schon von Kameras verfolgt wurde, und fragt sich, welche Bereiche unseres Lebens statistisch nicht erfasst werden.

Die aufgeworfenen Fragen kreisen alle um den einen, zentralen Punkt: Was ist Privatsphäre? Wie wichtig ist sie uns? Und: Welchen Einfluss hat die Digitalisierung auf das Private, wo werden Grenzen verschoben oder gar eingerissen?
Wer telefoniert mit wem?

Der nächste Posten schafft es nicht wirklich, die aufgekommenen Überwachungsängste zu lindern. Es geht um Standorttracking, um die Spuren, die wir im Internet hinterlassen. Eine Infotafel erzählt vom Bundesgesetz zur Überwachung des Post- und Fernmeldeverkehrs, das Telefon- und Internetanbieter in der Schweiz verpflichtet, das Kommunikationsverhalten ihrer KundInnen sechs Monate lang zu speichern. Dieses Vorgehen soll dazu dienen, potenzielle StraftäterInnen ausfindig zu machen. Die Anbieter speichern die Informationen, wer wo und mit wem telefoniert, wer wo im Internet surft. Die Behörden können sich so rückblickend ein ziemlich genaues Bild davon machen, wo sich eine Person zu einer bestimmten Zeit aufgehalten hat. Wenn es ums Datensammeln und -verwerten geht, ist der Staat natürlich nicht der einzige Player. Daten sind die kostbarsten Rohstoffe des 21. Jahrhunderts. Unter den Top fünf der weltweit grössten börsennotierten Unternehmen sind vier, die ihr Geld zu einem grossen Teil mit dem Anhäufen und Weiterverkaufen von Daten machen: Alphabet Inc. (mit Google als wichtigstem Tochterunternehmen), Amazon, Facebook und Microsoft.

Von den Milliardenumsätzen zur Lokalpolitik. Zürich will wie viele andere Städte zur schlauen Stadt werden, zur sogenannten Smart City – durch Digitalisierung. Doch ist das wirklich nur Lokalpolitik? Die digitale Infrastruktur, die die Stadt braucht, wird dann wohl auch von den «Grossen», von Google und Co., bereitgestellt werden. «Chancengleichheit und eine hohe Lebensqualität für alle» würden zum Ziel, heisst es im Strategiepapier der Stadt zur Smart City. Gleichzeitig soll Zürich effizienter und ressourcenschonender funktionieren – und ein innovativer Wirtschaftsstandort bleiben.
Problematisch, nicht progressiv

Um all diese Ziele zu erreichen, will man Daten der StadtbewohnerInnen verwenden und verwerten, etwa Informationen über ihr Mobilitätsverhalten: Wenn in jedem Fahrzeug, das in der Stadt unterwegs ist, Sensoren eingebaut sind, die laufend Informationen über den Standort oder die Fahrweise an einen Zentralrechner senden, kann der Verkehr nach Algorithmen geregelt werden. Das verbessert die Sicherheit, führt aber eben auch zu höherer Überwachung.

Die Ausstellung liefert vor allem Fakten, aber es kommen auch kritische Stimmen zu Wort. Etwa wenn es um Algorithmen der Kriminalitätsprävention geht. Auf einer Infotafel steht «digitale Früherkennung»: StraftäterInnen sollen schon erkannt werden, bevor sie eine Straftat verüben. Was progressiv klingt, ist hochproblematisch: In einem Stadtviertel, in dem laut Algorithmus statistisch mehr potenzielle StraftäterInnen wohnen, werden häufiger präventive Polizeikontrollen durchgeführt. Das führt wiederum dazu, dass dort effektiv mehr Straftaten geahndet werden – schlicht, weil dort mehr Polizei vor Ort ist.

Schlaue Städte, Gesichtserkennung, Datensammeln – alles Ideen, die nicht erst mit der Digitalisierung aufkamen. Auch Eingriffe in die Privatsphäre der BürgerInnen gab es schon vorher, wie der Blick der Ausstellung in die jüngere Schweizer Geschichte zeigt: Bis in die späten siebziger Jahre führte die Stadtpolizei Zürich ein Homosexuellenregister, auch die Fichenaffäre war jahrzehntelang eine rein analoge Überwachungsaktion.

Die historische Perspektive zeigt zudem, dass immer auch eine weitere Frage im Raum steht: Wer kann sich Privatsphäre überhaupt leisten? Während sich im aufkommenden Bürgertum die Sphären in öffentlich und privat trennten, in Cafés und öffentlichen Orten debattiert wurde und sich zu Hause das bürgerliche Familienideal entwickelte, lebten ArbeiterInnen eine ganz andere Realität der Privatsphäre. Nicht selten wurde in einem einzigen Raum gewohnt, geschlafen, gegessen, gearbeitet.

Und heute? Arme und Reiche besitzen Facebook-Accounts. Und doch wischt der digitale Wandel Klassenunterschiede nicht weg, er verschleiert sie höchstens. Smart Cities, man ahnt es, werden vor allem gut ausgebildeten und gut verdienenden technikaffinen BürgerInnen gerecht.

https://www.woz.ch/1948/privatsphaere/datensammeln-in-der-smart-city

!Privacy Issues

Wie Google heimlich Millionen von Gesundheitsdaten sammelt

Emanuel

Basel, Schweiz, Sun, 26 Jan 2020 17:12:22 +0100

#Google hat in den USA heimlich die #Gesundheitsdaten von Millionen von Patienten gesammelt und analysiert. Weder die betroffenen Patienten, noch die behandelnden Ärzte gaben dabei ihr Einverständnis zur Datenerhebung.
Google lässt Datenschützer wieder einmal aufhorchen: Wie das Wall Street Journal (WSJ) und die New York Times (NYT) berichten, hat der Internetkonzern in den USA die Gesundheitsdaten von Millionen von Patienten gesammelt und verarbeitet. Die Daten wurden von der Gesundheitsorganisation Ascension bereitgestellt, weder die betroffenen Patienten, noch die behandelnden Ärzte gaben für die Weitergabe ihr Einverständnis.
Google arbeitet mit Ascension an Lösungen, um mittels Künstlicher Intelligenz elektronische Gesundheitsakten automatisiert zu verarbeiten und Krankheiten dadurch früher zu identifizieren. Um die dafür benötigten Algorithmen zu trainieren, benötigt Google Unmengen an Daten. Diese Informationen lieferte Ascension im Rahmen der Partnerschaft. Die Kooperation mit dem Internet-Konzern sieht mitunter den Umzug in die Google Cloud Platform vor. Dabei liege der Schwerpunkt dieser Arbeit laut Ascension bei der Netzwerk- und Systemkonnektivität sowie auf Datenintegration, Datenschutz, Sicherheit sowie Compliance. Die Gesundheitsorganisation betreibt etwa 150 Krankenhäuser in 20 US-Staaten.
Bei den von Ascension übertragenen Daten handelt es sich nach Informationen der NYT um digitale Gesundheitsakten, die mitunter persönliche Informationen wie Name, Geburtsdatum, Hautfarbe, Krankheiten und Behandlungen beinhalten. Zu diesen Informationen hätten mindestens 150 Google-Mitarbeiter Zugang gehabt, berichtet das WSJ unter Berufung auf Insiderinformationen.
Rechtlich sind Gesundheitsorganisationen in den USA durchaus dazu berechtigt, ihre Daten an Geschäftspartner zur Optimierung der Dienste weiterzuleiten. Allerdings wird Google schon seit geraumer Zeit von Datenschützern weltweit kritisch beäugt, in Frankreich muss der Konzern etwa aufgrund von Verstössen gegen die DSGVO ein 50 Millionen Euro schweres Bussgeld bezahlen.
Healthcare- und Fitness als attraktiver Markt
Hinzu kommt, dass Google erst jüngst mit dem Zukauf des Fitness-Uhrenherstellers Fitbit für Schlagzeilen sorgte. Die Übernahme sichert dem Konzern dabei nicht nur Zugang zu den Hardware-Entwicklungen aus dem Hause Fitbit, auch die Gesundheitsdaten der Nutzer sind von zentralem Interesse. Zwar versicherte Google, die Daten von Fitbit nicht für die Platzierung von Anzeigen zu verwenden, eine strikte Trennung der Daten hin zum Mutterkonzern wurde aber keineswegs versprochen.
Das Geschäft mit Healthcare- und Fitness-Diensten liegt indessen im Trend. Neben Google ist mitunter auch #Apple mit seiner smarten Armbanduhr einer der führenden Player am Markt. Die Diagnose-Features der Apple Watch, die unter anderem mittels EKG die Vitalfunktionen des Trägers prüfen und aufzeichnen kann, zählen zu den grössten Verkaufsargumenten überhaupt.
Weitere Informationen zum Thema liefert unser Praxis-Beitrag "Digital Healthcare - ein neuer Markt entsteht".

https://www.onlinepc.ch/internet/google/google-heimlich-millionen-gesundheitsdaten-sammelt-2340678.html

!Privacy Issues

Skype: Gespräche wurden aufgezeichnet und ausgewertet

Emanuel

Basel, Schweiz, Sun, 12 Jan 2020 11:39:32 +0100

Tarnkappe.info wrote the following post Sat, 11 Jan 2020 11:02:07 +0100

?Skype: Gespräche wurden aufgezeichnet und ausgewertet? https://tarnkappe.info/skype-gespraeche-wurden-aufgezeichnet-und-ausgewertet/ #Microsoft #Spionage #Artikel #google #Apple #China #Skype

Ich möchte noch anmerken, dass Skype als Produkt auch in vielen Firmen als Telefon Ersatz genutzt wird. Hoffentlich hatte MS keinen Zugriff auf diese Daten.

Please note Skype is very often also als a telephone solution in use in serveral companies. I hope that MS had no access to that data.

#dataprotection #datenschutz #telephon #telefon #spionage

Mitarbeiter des Microsoft-Konzerns in China werteten aufgezeichnete Cortana- und Skype-Gespräche aus, ohne jegliche Sicherheitsvorkehrungen zu treffen. Bekannt wurde dies durch einen ehemaligen Mitarbeiter Microsofts.

Skype-Gespräche auf privatem Laptop ausgewertet

Die Aufnahmen, sowohl absichtliche als auch versehentliche Aktivierungen des Sprachassistenten sowie  Skype-Telefonate, wurden laut dem Microsoft-Mitarbeiter über eine Webanwendung im Google Chrome-Browser auf ihren persönlichen Laptops über das chinesische Internet abgerufen. Die Mitarbeiter trafen keine Sicherheitsvorkehrungen, um die Daten vor kriminellen oder staatlichen Hackern zu schützen. Man wies sie sogar an, die Arbeit mit neuen Microsoft-Konten zu erledigen, die alle dasselbe Passwort haben, um die Verwaltung zu erleichtern, so der ehemalige Mitarbeiter.

    „Es gab keine Sicherheitsmaßnahmen, ich kann mich nicht einmal daran erinnern, dass sie bei mir eine ordnungsgemäße Überprüfung durchgeführt haben. Ich glaube, sie haben nur meine chinesischen Bankdaten genommen“ – sagte er dem Guardian.

Ist Datenschutz ein Fremdwort für Microsoft?

Während der Prüfer zunächst in einem Büro arbeitete, sagte er,  dass man ihm nach einer Weile erlaubte, von zu Hause aus zu arbeiten. Er wertete die Daten britischer Nutzer aus, da er selbst Brite sei. Er hörte also Leuten zu, die ihr Microsoft-Gerät auf britisches Englisch eingestellt hatten, und hatte Zugang zu all dem von seinem Laptop aus, ohne jegliche Sicherheitsvorkehrungen. Sowohl der Benutzername als auch das Passwort wurden im Klartext per E-Mail an neue Kollegen geschickt. Ersteres war nach einem einfachen Schema und letzteres für jeden Mitarbeiter, der in einem bestimmten Jahr dazu kam, gleich.

    „Sie gaben mir einfach per E-Mail ein Login und ich hatte dann Zugang zu den Aufnahmen von Cortana. Diese hätte ich theoretisch mit jedem teilen können. Ich hörte alle Arten von ungewöhnlichen Gesprächen, einschließlich dessen, was häusliche Gewalt hätte sein können. Es klingt jetzt ein bisschen verrückt, aber nachdem ich mich über das Thema Computersicherheit schlau gelesen habe, hat es mich gewundert, dass sie mir die URL, den Benutzernamen und das Passwort einfach per E-Mail geschickt haben.“

Neben den Risiken, dass ein abtrünniger Mitarbeiter Benutzerdaten selbst speichert oder auf Sprachaufzeichnungen auf einem kompromittierten Laptop zugreift, ist die Gefahr umso höher, dass der chinesische Staat Zugang zu den Aufzeichnungen erhält.

    „Wenn man in China lebt und in China arbeitet, ist man bereits kompromittiert“ – so der ehemalige Mitarbeiter.

Auswertungsprogramm von Aufzeichnungen ist fortgeschrittener als das von Amazon, Apple und Google

Das Bewertungsprogramm, über das Vice erstmals im August berichtete, ging einen Schritt weiter als die Programme anderer Technologieunternehmen wie Amazon, Apple und Google. Eine experimentelle Funktion, die eine Live-Übersetzung von Skype-Anrufen ermöglicht, überprüften Menschen, so Vice. Microsoft hat den Nutzern mitgeteilt, dass das Unternehmen zwar die Anrufe analysieren könnte, aber nicht, dass sie es von Mitarbeitern auswerten lassen würde. Vice berichtete damals, dass die Arbeit „zumindest teilweise zu Hause“ stattfinden würde. Das Ausmaß der damit verbundenen potenziellen Sicherheitsrisiken hat man jedoch bisher nicht bekannt gegeben. Microsoft sagte in einer Erklärung, dass seit der Berichterstattung von Vice, die Auswertungsprogramme für Skype und Cortana beendet wurden. Den Rest der Auswertungen hätte man in „sichere Einrichtungen“ verlegt – keine davon in China.

    „Wir überprüfen kurze Schnipsel von Sprachdaten aus einem kleinen Kundenkreis. Um die sprachaktivierten Funktionen zu verbessern, engagieren wir manchmal Partnerunternehmen für diese Arbeit“

!Privacy Issues #Skype #Microsoft

hEARt PhoniX

Sun, 12 Jan 2020 12:41:43 +0100

Leena Simons Vortrag "Aus Sicherheitsgründen muss das Grundgesetz leider abgeschafft werden"

Emanuel

Basel, Schweiz, Sat, 11 Jan 2020 12:37:18 +0100

cb7f604332cf39 wrote the following post Mon, 06 Jan 2020 10:27:59 +0100

Zusatz, falls noch nicht bekannt und #AusSicherheirsgründen :
https://media.ccc.de/v/36c3-99-aus-sicherheitsgrnden-muss-das-grundgesetz-leider-abgeschafft-werden-schluss-mit-dem-sicherheitstheater

Die Gleichsetzung von Sicherheit und Repression ist gefährlich. Erstens werden damit Grundrechtseinschnitte gerechtfertigt, die uns in Gefahr bringen. Zweitens unterbleiben wichtige Maßnahmen, die wirklich der Sicherheit dienen würden. Was in Politik und Wirtschaft als „Sicherheit“ verkauft wird, ist reines Puppentheater. Menschen wird Angst eingeredet, um diese Angst sodann mit Repression und Überwachung zu „beruhigen“. Sicherheit und Freiheit bedingen sich gegenseitig. Eine Politik, die Freiheit angreift und scheibchenweise verhökert, verdient nicht „Sicherheitspolitik“ genannt zu werden. Sie ist reines Theater und einer Demokratie nicht würdig. Schlimmer noch: Sie leistet einem autoritären Gedankengut Vorschub, das uns garantiert nicht sicher macht. Der Vortrag widmet sich einerseits der Erklärung, weshalb diese Gleichsetzung gefährlich ist: Überwachung hilft gar nicht, hat gefährliche Nebenwirkungen und zersetzt den größten Garanten für unsere Sicherheit, die Freiheit. Zum anderen geht es um die Frage, welche Maßnahmen wirklich sinnvoll wären. Das fängt bei einem echten Kampf gegen den Faschismus an, geht über unabhängige Kontrolle der Polizei, Klimaschutz, Verkehrspolitik und endet nicht erst in der Forderung nach einer besseren Regulierung von Antibiotika. Es ist wichtig, dass der Wunsch nach Sicherheit nicht weiter instrumentalisiert wird. Repression ist gefährlich und dient nun wirklich nicht der Sicherheit. Besonders wütend sollte uns das machen, wenn gleichzeitig lange nötige Maßnahmen, beispielsweise beim Kampf gegen Rechts oder gegen digitale Gewalt unterbleiben. Denn hier sind wir wirklich in Gefahr. Dieses ewige "aus Sicherheitsgründen" muss endlich ein Ende haben. Wir können mithelfen, indem wir uns einen Spaß machen und die Begründung genau so inflationär benutzen, wie die Politik. Einfache Begründungen können wir schließlich alle gebrauchen. Und wenn es um Sicherheit geht, wird ja wohl niemand diskutieren wollen. Wir üben das mal gemeinsam: Aus Sicherheitsgründen sollten sich alle diesen Vortrag ansehen.

!Privacy Issues #AusSicherheitsgründen

Airbnb will mit KI Social-Media-Profile von Gästen auswerten

Emanuel

Basel, Schweiz, Wed, 08 Jan 2020 17:39:39 +0100 last edited: Wed, 08 Jan 2020 17:43:24 +0100

hoergen on Friendica wrote the following post Wed, 08 Jan 2020 15:42:58 +0100

Aus der Reihe "Wir habens ja gesagt, aber keiner wollte hören"

♲ Nachrichtenkanal - 2020-01-08 11:03:36 GMT
https://www.derstandard.at/story/2000113021607/psycho-check-airbnb-will-mit-ki-social-media-profile-von

#Privacy #Danteschutz

Wer in Social Media über Pornos, Alkohol oder in "negativer Sprache" postet, könnte ausgesperrt werden

[Foto]

So freundlich wie in diesem Pressefoto stellt sich #Airbnb seine perfekten Gäste vor. Neurotiker, Psychopathen, aber auch Menschen mit bestimmten Lastern sollen draußen bleiben.

Der Unterkunftsvermittler Airbnb boomt – macht aber auch regelmäßig schlechte Schlagzeilen. In vielen Städten regt sich Widerstand gegen den Ausverkauf von Wohnraum, immer mehr Städte weisen Airbnb-Vermieter in die Schranken. Immer wieder kommt es außerdem in Unterkünften zu Gewalttaten. Nach Schüssen in einem über Airbnb vermieteten Haus in Kalifornien im Herbst kündigte Firmenchef Brian Chesky an, sämtliche Häuser – das sind sieben Millionen Stück – und Vermieter auf Airbnb zu überprüfen und sogenannte "Partyhäuser" aus dem Angebot zu nehmen.

Aber auch Mieter sollen stärker unter die Lupe genommen werden. Wie der "Evening Standard" berichtet, ist etwa in London eine 2,5 Millionen Pfund teure Innenstadtwohnung von Ravern verwüstet worden. Vermietet habe die Frau ihre Wohnung eigentlich für eine Babyparty. Mit künstlicher Intelligenz (KI) will Airbnb solche Fälle künftig verhindern. Wie aus einem Patentantrag hervorgeht, will das Unternehmen künftig potenzielle Gäste auf Merkmale wie "Offenheit" oder "Gewissenhaftigkeit" überprüfen. Dazu will sich das Unternehmen bei "sicheren Drittanbieter-Datenbanken" bedienen. Neben Social Media und Bonitätsprüfern sollen auch Strafregister abgefragt werden.
Negative Punkte für negative Sprache

Die potenziellen Mieter sollen mithilfe eines Punktesystems bewertet werden. Abzug gibt es für "falsche oder irreführende Informationen" in Onlineprofilen oder wenn die Person mit Alkohol, Drogen, Sexarbeit, Pornografie oder "negativer Sprache" in Zusammenhang steht. Auch Anzeichen von Narzissmus, Psychopathie oder Neurotizismus soll der Algorithmus bewerten können.

Mithilfe von maschinellem Lernen soll der Algorithmus anschließend vorhersagen, wie wahrscheinlich die Person "ein positiver Akteur in einer interpersonellen Interaktion ist", heißt es in dem Patent. Dabei soll der Punktestand einer Person auch die Bewertung von Freunden und Bekannten beeinflussen können.

Airbnb sagte dem "Evening Standard", dass das Patent vom Start-up Trooly stammt, das Background-Checks durchführte und 2017 von Airbnb übernommen wurde. Ob der Algorithmus bereits bei Airbnb-Gästen eingesetzt wird, wollte Airbnb nicht beantworten. Laut der Website des Unternehmens wird jede Reservierung vor der Bestätigung bewertet und mit Behörden- und Terrorlisten abgeglichen. (red, 8.1.2020)

!Privacy Issues

hEARt PhoniX

Wed, 08 Jan 2020 18:19:28 +0100

hEARt PhoniX

Wed, 08 Jan 2020 18:19:28 +0100

Emanuel

Sat, 11 Jan 2020 11:14:59 +0100

@h.ear.t Genau, und ganz ohne China-Bashing

These Apps Reportedly Shared Sensitive Personal Information With Facebook

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 12:27:47 +0100

Marshall Sutherland wrote the following post Sat, 23 Feb 2019 20:37:30 +0100

These Apps Reportedly Shared Sensitive Personal Information With Facebook

Sometimes, Facebook isn’t the one you should blame for privacy violations involving Facebook. For example, an investigation by the Wall Street Journal found 11 popular apps that routinely transmit potentially sensitive personal data like body weight and menstrual cycles to Facebook—sometimes in violation of the social network’s own guidelines.

In the world of Facebook-related scandals, this one ranks pretty low on the outrage meter. But it does, once again, illustrate that you don’t even have to be a Facebook user to find out you’ve been unwittingly handing over data to the tech giant. It’s also an important reminder that users should be careful when it comes to sharing health information—especially at a time when insurance companies are looking to social media and data analytics to determine premiums.

Sometimes, #Facebook isn’t the one you should blame for privacy violations involving Facebook. For example, an investigation by the Wall Street Journal found 11 popular apps that routinely transmit potentially sensitive personal data like body weight and menstrual cycles to Facebook—sometimes in violation of the social network’s own guidelines.

At issue is an analytics tool that Facebook offers to developers called App Events. It’s a plug-and-play SDK that helps developers setup custom trackers of user activity that can translate into ad targeting data. Facebook isn’t the only company offering this kind of tool but according to the Wall Street Journal, it’s been implemented in “thousands” of apps.

In order to get an idea of how this SDK is being used, the Journal used software to analyze the internet communications of over 70 apps. “The tests found at least 11 apps sent Facebook potentially sensitive information about how users behaved or actual data they entered,” the report says. For some reason, the paper decided to only identify five of the apps by name. They are:

    Instant Heart Rate: HR Monitor - Transmitted heart rate data.
    Flo Period & Ovulation Tracker - Shared when a user was having their period.
    Realtor.com - Transmitted the location and price of listings that a user viewed.
    BetterMe: Weight Loss Workouts - Shared users’ weights and heights.
    Meditation app Breethe - Shared the email address users used to log in to the app and the name of the meditations the user completed.

Flo seems to be the most obviously personal example of sharing information that users’ may not be aware of and the company’s response to questions did not inspire confidence that they’re taking the issue seriously. From the report:

    Flo initially said in a written statement that it doesn’t send “critical user data” and that the data it does send Facebook is “depersonalized” to keep it private and secure.

    The Journal’s testing, however, showed sensitive information was sent with a unique advertising identifier that can be matched to a device or profile. A Flo spokeswoman subsequently said the company will “substantially limit” its use of external analytics systems while it conducts a privacy audit.

Facebook did not respond to Gizmodo’s request for comment but told the Journal that it tells developers not to share “health, financial information or other categories of sensitive information.” The Journal tested the top 10 finance apps in Apple’s U.S. app store and found that none appeared to be sharing sensitive information with Facebook. But health information like period cycles, heart rates, and body weight fluctuations were all being shared in apps that were reviewed. Facebook said that it would inform the offending apps’ developers to stop transmitting prohibited information and if they continue to violate its rules, “it may take additional action.”

Some of the developers quickly changed their policies after being contacted by the Journal, others didn’t respond.

In the world of Facebook-related scandals, this one ranks pretty low on the outrage meter. But it does, once again, illustrate that you don’t even have to be a Facebook user to find out you’ve been unwittingly handing over data to the tech giant. It’s also an important reminder that users should be careful when it comes to sharing health information—especially at a time when insurance companies are looking to social media and data analytics to determine premiums.

We also may find out that abuse of Facebook’s SDK is more widespread than we realized. The office of New York Governor Andrew Cuomo announced this afternoon that it is directing the Department of Financial Services and other state agencies to immediately open an investigation into Facebook’s practices with third parties.

!Privacy Issues

Facebook says it 'unintentionally uploaded' 1.5 million people's email contacts without their consent

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 12:24:56 +0100

Marshall Sutherland wrote the following post Sun, 21 Apr 2019 02:58:24 +0200

So, remember the other day when Facebook got called out for asking for email passwords which they were supposedly only going to use to automatically confirm your email address? Apparently, while doing that they also "unintentionally" slurped up all the user's contacts. Apparently, they think "unintentional" means "do something until we get caught."

Facebook says it 'unintentionally uploaded' 1.5 million people's email contacts without their consent

Facebook harvested the email contacts of 1.5 million users without their knowledge or consent when they opened their accounts.

Since May 2016, the social-networking company has collected the contact lists of 1.5 million users new to the social network, Business Insider can reveal. The Silicon Valley company said the contact data was "unintentionally uploaded to Facebook," and it is now deleting them.

The revelation comes after pseudononymous security researcher e-sushi noticed that Facebook was asking some users to enter their email passwords when they signed up for new accounts to verify their identities, a move widely condemned by security experts. Business Insider then discovered that if you entered your email password, a message popped up saying it was "importing" your contacts without asking for permission first.

At the time, it wasn't clear what was happening — but on Wednesday, Facebook disclosed to Business Insider that 1.5 million people's contacts were collected this way and fed into Facebook's systems, where they were used to improve Facebook's ad targeting, build Facebook's web of social connections, and recommend friends to add.

#Facebook harvested the email contacts of 1.5 million users without their knowledge or consent when they opened their accounts.

Since May 2016, the social-networking company has collected the contact lists of 1.5 million users new to the social network, Business Insider can reveal. The Silicon Valley company said the contact data was "unintentionally uploaded to Facebook," and it is now deleting them.

The revelation comes after pseudononymous security researcher e-sushi noticed that Facebook was asking some users to enter their email passwords when they signed up for new accounts to verify their identities, a move widely condemned by security experts. Business Insider then discovered that if you entered your email password, a message popped up saying it was "importing" your contacts without asking for permission first.

At the time, it wasn't clear what was happening — but on Wednesday, Facebook disclosed to Business Insider that 1.5 million people's contacts were collected this way and fed into Facebook's systems, where they were used to improve Facebook's ad targeting, build Facebook's web of social connections, and recommend friends to add.

A Facebook spokesperson said before May 2016, it offered an option to verify a user's account using their email password and voluntarily upload their contacts at the same time. However, they said, the company changed the feature, and the text informing users that their contacts would be uploaded was deleted — but the underlying functionality was not.

Facebook didn't access the content of users' emails, the spokesperson added. But users' contacts can still be highly sensitive data — revealing who people are communicating with and connect to.

While 1.5 million people's contact books were directly harvested by Facebook, the total number of people whose contact information was improperly obtained by Facebook may well be in the dozens or even hundreds of millions, as people sometimes have hundreds of contacts stored on their email accounts. The spokesperson could not provide a figure for the total number of contacts obtained this way.
Users weren't given any warning before their contact data was grabbed

The screenshot below shows the password entry page users saw upon sign up. After they entered their password and clicked the blue "connect" button, Facebook would begin harvesting users' email contact data without asking for permission.

After clicking the blue "connect" button, a dialog box (screenshot below) popped up saying "importing contacts." There was no way to opt out, cancel the process, or interrupt it midway through.

Business Insider discovered this was happening by signing up for Facebook with a fake account before Facebook discontinued the password verification feature. In our test, after the authentication loading screen finished, a new box popped up saying it didn't find any contacts, and then took us to the homescreen of the social network.

A user might have been able to infer from this that their contacts were being accessed — but there was no way to stop it happening, or advance notice ahead of time.

From one crisis to another

The incident is the latest privacy misstep from the beleaguered technology giant, which has lurched from scandal to scandal over the past two years.

Since the Cambridge Analytica scandal in early 2018, when it emerged that the political firm had illicitly harvested tens of millions of Facebook users' data, the company's approach to handling users' data has come under intense scrutiny. More recently, in March 2019, the company disclosed that it was inadvertently storing hundreds of millions of users' account passwords in plaintext, contrary to security best practices.

Facebook now plans to notify the 1.5 million users affected over the coming days and delete their contacts from the company's systems.

"Last month we stopped offering email password verification as an option for people verifying their account when signing up for Facebook for the first time. When we looked into the steps people were going through to verify their accounts we found that in some cases people's email contacts were also unintentionally uploaded to Facebook when they created their account," the spokesperson said in a statement.

"We estimate that up to 1.5 million people's email contacts may have been uploaded. These contacts were not shared with anyone and we're deleting them. We've fixed the underlying issue and are notifying people whose contacts were imported. People can also review and manage the contacts they share with Facebook in their settings."

!Privacy Issues

Google Stored G Suite Users' Passwords in Plain-Text for 14 Years

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 12:20:27 +0100

Hackernews (unofficial) wrote the following post Wed, 22 May 2019 10:00:04 +0200

Google Stored G Suite Users' Passwords in Plain-Text for 14 Years

After Facebook and Twitter, #Google becomes the latest technology giant to have accidentally stored its users' passwords unprotected in plaintext on its servers—meaning any Google employee who has access to the servers could have read them.

In a blog post published Tuesday, Google revealed that its G Suite platform mistakenly stored unhashed passwords of some of its enterprise users on internal servers in plaintext for 14 years because of a bug in the password recovery feature.

G Suite, formerly known as Google Apps, is a collection of cloud computing, productivity, and collaboration tools that have been designed for corporate users with email hosting for their businesses.

It's basically a business version of everything Google offers.

The flaw, which has now been patched, resided in the password recovery mechanism for G Suite customers that allows enterprise administrators to upload or manually set passwords for any user of their domain without actually knowing their previous passwords in order to help businesses with on-boarding employees and for account recovery.

If the admins did reset, the admin console would store a copy of those passwords in plain text instead of encrypting them, Google revealed.

    "We made an error when implementing this functionality back in 2005: The admin console stored a copy of the unhashed password," Google says.

However, Google also says that the plain text passwords were stored not on the open Internet but on its own secure encrypted servers and that the company found no evidence of anyone's password being improperly accessed.

    "This practice did not live up to our standards. To be clear, these passwords remained in our secure encrypted infrastructure," Google says. "This issue has been fixed, and we have seen no evidence of improper access to or misuse of the affected passwords."

Google also clarifies that the bug was restricted to users of its G Suite apps for businesses and that no free version of Google accounts like Gmail were affected.

Though the company did not disclose how many users might have been affected by this bug beyond just saying the issue affected "a subset of our enterprise G Suite customers," with more than 5 million G Suite enterprise customers, the bug could affect a large number of users — presumably any user who used G Suite in last 14 years.

In order to address the issue, Google has since removed the capability from G Suite administrators and emailed them a list of impacted users, asking them to ensure that those users reset their passwords.

Google says the company would be automatically resetting passwords for those users who do not change their passwords.

    "Out of an abundance of caution, we'll reset accounts that have not done so themselves," the tech giant says.

Google is the latest tech company to accidentally store unhashed passwords on its internal servers. Recently, Facebook was in the news for storing plaintext passwords for hundreds of millions of its users, both Instagram and Facebook, on its internal servers.

Almost a year ago, Twitter also reported a similar security bug that unintentionally exposed passwords for its 330 million users in readable text on its internal computer system.

!Privacy Issues

Apple admet écouter certaines conversations privées via Siri

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 12:10:34 +0100

Linux News wrote the following post Mon, 19 Aug 2019 18:42:00 +0200

Apple admet écouter certaines conversations privées via Siri
Un ancien sous-traitant de l’entreprise a révélé que des contractuels sont chargés d’écouter des enregistrements réalisés par l’outil de commande vocale Siri à l’insu des utilisateurs. Une manœuvre qui serait destinée à « améliorer les performances » du dispositif, mais qui contraste avec la position stricte d’ #Apple en matière de respect des données personnelles : https://www.lesechos.fr/tech-medias/hightech/apple-admet-ecouter-certaines-conversations-privees-via-siri-1041502

Après Google , Microsoft et Amazon, c'est au tour du géant à la pomme croquée d'être sur le banc des accusés en raison de son indiscrétion. Selon un article paru vendredi dans « The Guardian », des sous-traitants d'Apple auraient pour mission d'analyser les bandes sonores enregistrées par Siri par erreur. Un mode opératoire confirmé par l'entreprise, qui avance faire cela afin de comprendre pourquoi l'assistant vocal intelligent, présent sur les #iPhone ainsi que sur les #Mac, s'active parfois sans que cela ne lui ait été demandé.

Mais à en croire le lanceur d'alerte ayant informé le quotidien britannique, cela aurait également amené les salariés chargés d'analyser les dysfonctionnements à entendre des bribes de conversations parfois sensibles et à accéder de manière opaque aux données personnelles des utilisateurs.

Des « innombrables cas » d'enregistrements délicats

D'après la source du « Guardian », qui a elle-même été employée par l'un des sous-traitants de la firme, le nombre de conversations enregistrées pourrait être conséquent, en raison de la fréquence à laquelle Siri se déclenche par erreur. En effet, « le son d'une fermeture éclair » serait suffisant, à lui seul, pour activer l'assistant vocal.

Plus inquiétant encore, le fait que le contenu des discussions relèverait souvent du domaine de la vie privée - voire intime - selon l'ancien salarié. « Il y a eu d'innombrables cas d'enregistrements de discussions privées entre médecins et patients, de transactions commerciales, de transactions apparemment criminelles, de rencontres sexuelles… Ces enregistrements sont accompagnés de données de l'utilisateur indiquant parfois sa localisation ou des données de contact » a-t-il déclaré.

« #Apple sous-traite et il y a beaucoup de rotation des effectifs » a confié le lanceur d'alerte, avant d'affirmer que les personnes amenées à étudier les dysfonctionnements de l'application de commande vocale ne sont « pas encouragées à prendre en compte la dimension privée des conversations qu'ils examinent ». Souvent, ce seraient sur les Apple Watch et les HomePod , ces enceintes connectées, que la dictée vocale se mettrait accidentellement en route.
Une politique relative aux données personnelles pourtant restrictive

Face à la polémique, la réponse d' Apple n'a pas tardé. Dès le début de semaine, l'entreprise s'est justifiée en déclarant que seulement une « petite partie » des activations de Siri étaient analysées afin de perfectionner la reconnaissance vocale. Elle a également avancé qu'uniquement 1 % des enregistrements audio étaient effectivement écoutés par des êtres humains, tout en assurant qu'il était quasiment impossible d'associer les bandes-son en question à des individus en raison de « strictes exigences de confidentialité ».

Apple a toujours mis en avant une position plus stricte que ses concurrents sur le plan des données personnelles. Pas plus tard qu'en janvier dernier, à l'occasion de la CES (Consumer electronics show), l'entreprise avait d'ailleurs placardé des affiches géantes à Las Vegas, sur lesquelles on pouvait lire « Ce qu'il se passe sur votre iPhone reste sur votre iPhone ». De la même manière, quelques années auparavant, en 2016, le successeur de Steve Jobs, Tim Cook, avait accordé une interview télévisée au cours de laquelle il affirmait qu'Apple ne lisait jamais les mails et iMessages des utilisateurs.
Un potentiel embarras juridique

Mais il n'y a pas que sur le plan éthique que la firme basée à Cupertino est incommodée. Si les révélations du « Guardian » sont si embarrassantes, c'est également parce qu'elles posent la question du respect des normes juridiques en matière de protection de données. Pour les enceintes HomePod, par exemple, Apple avait assuré que les commandes vocales ne seraient pas exploitées et que toutes les données seraient anonymisées et chiffrées.

« S'il s'avère, au terme d'une enquête en bonne et due forme, qu'Apple a vraiment réalisé un manquement aux obligations de transparence, on pourrait considérer qu'il y a une violation des lois » analyse Oriana Labruyère, avocate spécialisée en protection des données. « On pourrait alors imaginer une condamnation à l'image de celle adressée à Google par la CNIL en janvier dernier, pour utilisation de données personnelles sans consentement » poursuit-elle, avant de souligner le fait que dans le cas de Siri, les données pourraient être particulièrement sensibles en raison du contexte de conversations privées dans lequel elles ont été récupérées.

Un avis partagé par un membre de l'association oeuvrant pour la défense des libertés numériques La Quadrature du Net et connu sous le pseudonyme « Klorydryk ». révèle aussi que les Gafam sont plus humanisés qu'on ne le croit. « Les Gafam nous avaient fait des promesses sur le plan technique » estime-t-il. « L'une d'entre elles consistait à ce que les données soient surtout traduites par des robots… Pourtant, de nombreux cas, comme le fait que des tiers soient ici employés par Apple, nous prouvent que ce n'est pas vrai, ce dont on se doutait déjà après le scandale autour des écoutes réalisées par Amazon grâce à Alexa. »

!Privacy Issues

D'après les Pays-Bas, Microsoft continuerait de collecter illégalement des données avec Windows 10

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 11:59:16 +0100

Linux News wrote the following post Wed, 04 Sep 2019 15:34:14 +0200

D'après les Pays-Bas, Microsoft continuerait de collecter illégalement des données avec Windows 10
L'équivalent de la #CNIL aux Pays-Bas a publié un rapport, le 27 août 2019, dans lequel elle soupçonne #Microsoft de continuer à collecter illégalement des données via son système d'exploitation #Windows 10. Pourtant, en avril 2018, le gendarme de la vie privée avait finalement estimé que le géant du numérique était dans les clous après une mise en conformité. Si ces soupçons sont confirmés par son homologue irlandais à qui le dossier a été transmis, la sanction pourrait atteindre 4% du chiffre d'affaire global de la firme : https://www.usine-digitale.fr/article/d-apres-les-pays-bas-microsoft-continuerait-de-collecter-illegalement-des-donnees-avec-windows-10.N879890

L'équivalent de la CNIL aux Pays-Bas a publié un rapport, le 27 août 2019, dans lequel elle soupçonne #Microsoft de continuer à collecter illégalement des données via son système d'exploitation #Windows 10. Pourtant, en avril 2018, le gendarme de la vie privée avait finalement estimé que le géant du numérique était dans les clous après une mise en conformité. Si ces soupçons sont confirmés par son homologue irlandais à qui le dossier a été transmis, la sanction pourrait atteindre 4% du chiffre d'affaire global de la firme.
Publié le 02 septembre 2019 à 16H08 mis à jour le 02 septembre 2019 à 23H02
D'après les Pays-Bas, Microsoft continuerait de collecter illégalement des données avec Windows 10
Etant donné que le siège européen de Microsoft se trouve à Dublin, la CNIL néerlandaise a soumis ces soupçons à son équivalent irlandais, la Data Protection Commission. © Pascal Guittet

Et c'est reparti pour un tour. L'Autoriteit Persoonsgegevens, la CNIL néerlandaise, n'est toujours pas satisfaite du traitement des données fait par Microsoft. "Il apparaît que Microsoft collecte également d'autres données (…) ce qui peut enfreindre les règles de confidentialité", peut-on lire dans le récent rapport du gendarme de la vie privée publié le 27 août 2019. En conséquence de quoi Windows 10 ne respecterait toujours pas le Règlement général sur la protection des données (RGPD). L'agence "conseille aux utilisateurs de prêter une attention particulière aux paramètres de confidentialité lors de l'installation et de l'utilisation de ce logiciel".

L'amende pourrait atteindre 4 % du chiffre d'affaire de Microsoft

Etant donné que le siège européen de Microsoft se trouve actuellement à Dublin, la CNIL néerlandaise a soumis ces soupçons à son équivalent irlandais, la Data Protection Commission. Vu la pile de dossiers à traiter par cette agence, il faudra donc être patient pour connaître le verdict.

Si l'infraction est établie, l'amende pourra atteindre 4% du chiffre d'affaire global de la firme, ce qui a peu de chances d'arriver. En effet, selon le site TechCrunch, Microsoft est disposé à collaborer avec la Data Protection Commission. "Nous travaillerons avec la Commission irlandaise pour connaître toutes les questions et préoccupations éventuelles qu'elle pourrait avoir et pour répondre à toute autre question ou préoccupation le plus rapidement possible" a confié un porte-parole de Microsoft au site spécialisé.

Les données télémétriques au cœur des interrogations

Tout a commencé lorsque Microsoft a sorti son nouveau système d'exploitation Windows 10. Ce dernier utilisait un système de télémétrie intégré, permettant d'améliorer le service en récoltant des données concernant, par exemple l'identification des problèmes de sécurité ou l'analyse des dysfonctionnements liés à certains logiciels… Il s'agit du même type de télémétrie qu'intègre les systèmes d'exploitation mobiles comme iOS ou Android.

Le 13 octobre 2017, le gendarme de la vie privée publiait un rapport déclarant que "Microsoft n'informe pas clairement les utilisateurs des données et à quelles fins". Par ailleurs, il accusait la firme de récupérer une quantité d'informations plus importante que nécessaire. L'inquiétude se situait sur l'usage final des informations récoltées. L'Autoriteit Persoonsgegevens exigeait alors une mise en conformité.

Une mise en conformité insuffisante

Le géant du numérique avait alors procédé à quelques modifications, notamment en demandant l'approbation des utilisateurs dans certaines situations. Bingo ! En avril 2018, l'Autoriteit Persoonsgegevens annonçait alors que "Microsoft informe mieux les utilisateurs sur les données collectées et sur les finalités pour lesquelles elles sont traitées". Mais c'est après des tests plus approfondis que l'agence néerlandaise a trouvé de nouvelles raisons de s'inquiéter.

A noter également que le gouvernement des Pays-Bas s'est attaqué en novembre 2018 à Office 365, accusant aussi la suite bureautique de Microsoft de collecter plus de données qu'elle ne le devrait.

!Privacy Issues

La Xbox One a elle aussi transmis des conversations d’utilisateurs à des employés

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 11:49:40 +0100 last edited: Fri, 03 Jan 2020 11:52:46 +0100

Linux News wrote the following post Tue, 10 Sep 2019 07:34:03 +0200

La Xbox One a elle aussi transmis des conversations d’utilisateurs à des employés
Avis aux joueuses et joueurs - La #Xbox One a elle aussi transmis des conversations d’utilisateurs à des employés. Plusieurs sous-traitants de #Microsoft ont eu accès aux captations audio des usagers de la console, à l’insu de ces derniers, révèle une enquête du site « Motherboard » : https://www.lemonde.fr/pixels/article/2019/08/22/la-xbox-one-a-elle-aussi-transmis-des-conversations-d-utilisateurs-a-des-employes_5501609_4408996.html

« [La caméra] Kinect pour #Xbox 360 a été pensée et conçue avec de fortes protections en matière de vie privée et la prochaine Kinect poursuit cet engagement. » La déclaration de #Microsoft date de 2013, quelques jours après l’annonce de sa prochaine console, sa Xbox One. La fonctionnalité centrale de ce nouveau modèle, une commande vocale active en permanence pour la contrôler, accessible depuis la caméra Kinect ou la manette, inquiète. Pour rien, assure Microsoft. Cette version a tenu cinq ans.

Mercredi 21 août, le site américain Motherboard, section technologique de Vice, a publié une enquête révélant que des sous-traitants de Microsoft payés pour améliorer ses fonctionnalités d’analyse vocale ont eu accès à des conversations privées d’utilisateurs de la Xbox One, de 2014 à 2016. « L’audio était censé être capturé après une commande vocale comme “Xbox” ou “Hey Cortana” » – une assistante vocale implémentée en 2016, en remplacement de Kinect, peu populaire, détaille Vice. « Mais les sous-traitants nous ont dit que les enregistrements se déclenchaient parfois par erreur. » Selon eux, les voix enregistrées étaient souvent celles d’enfants.
Microsoft, cinquième Gafam épinglé

C’est la seconde fois en un mois que Microsoft est mis en cause. Début août, Motherboard révélait que les sous-traitants humains de la firme avaient eu accès à des enregistrements de conversations Skype et Cortana, parfois intimes, dans le cadre de l’amélioration de ses services de traduction. « Le simple fait que je puisse partager ces retranscriptions avec vous montre à quel point la protection des données des utilisateurs est laxiste », y souligne une des sources du site américain.

Microsoft n’a pas donné suite aux sollicitations du Monde. « Nous avons pris conscience, au vu des questions soulevées récemment, que nous aurions pu faire mieux pour préciser que des humains évaluent parfois ce contenu », s’est excusé un porte-parole auprès de Vice. Ses conditions d’utilisation ont été mises à jour pour rendre explicite la possibilité de telles écoutes.

La firme de Redmond n’est pas une exception : la plupart des grandes entreprises technologiques utilisent depuis des années des enregistrements audio pour améliorer leurs services, sans toutefois préciser clairement que ceux-ci pouvaient être écoutés par des humains. Depuis le printemps, Amazon, Apple, Facebook et Google ont été critiqués pour des raisons similaires. Fin juillet, une enquête du Guardian détaillait comment des conversations portant sur des questions de drogue, des problèmes médicaux ou des sons d’ébats amoureux avaient été captées par l’assistant vocal de la marque à la pomme, Siri, et transmises à des employés. Début août, Apple, Amazon et Google se sont engagés à temporairement suspendre ces pratiques ou donner à l’utilisateur les moyens de s’y opposer.

!Privacy Issues

The Apple is still rotten: Why you should avoid the new iPhone

Emanuel

Basel, Schweiz, Fri, 03 Jan 2020 11:46:51 +0100 last edited: Fri, 03 Jan 2020 11:53:28 +0100

Free Software Foundation wrote the following post Tue, 10 Sep 2019 16:56:39 +0200

Three new iPhones are being released today -- and you shouldn't buy any of them! From the glass exterior down to its guts, the new #iPhone is just another freedom-restricting trap for unsuspecting users. https://u.fsf.org/2ba
Image/photo

#Apple may claim to care about your privacy and security, but unless you can inspect Apple's source code, you have no way of verifying whether they're really looking out for you. And unless you have the right to install third-party or modified versions of the software on your device, you have no way to protect yourself when they aren't.

!Privacy Issues

Ces SMS « invisibles » pourraient géolocaliser plus d’un milliard de mobiles

Emanuel

Fri, 03 Jan 2020 11:30:46 +0100

Linux News wrote the following post Fri, 13 Sep 2019 19:09:18 +0200

Ces SMS « invisibles » pourraient géolocaliser plus d’un milliard de mobiles
Une faille dans certaines cartes #SIM permet de prendre le contrôle d’un #téléphone portable par l’envoi d’un simple #SMS « caché ». Baptisée « #Simjacker », cette attaque utilisée activement sur le terrain, sans doute par des agences gouvernementales, pourrait potentiellement toucher un milliard d'abonnés : https://www.01net.com/actualites/ces-sms-invisibles-pourraient-geolocaliser-plus-d-un-milliard-de-mobiles-1766383.html

Sur le plan opérationnel, l’attaque est d’une simplicité enfantine : le pirate envoie un SMS vers le téléphone mobile ciblé qui, ni vu ni connu, lui renvoie un SMS avec le numéro IMEI et l’identifiant de sa station de base, les deux messages restant invisibles pour le propriétaire du mobile. Grâce à ces informations, l’attaquant peut localiser cet utilisateur avec une précision proportionnelle à la densité des antennes déployées. En milieu urbain, c’est donc plutôt efficace.

Cette attaque n’a rien de théorique. D’après les chercheurs en sécurité d’AdaptiveMobile Security (AMS), qui l’ont découverte et baptisée « Simjacker », elle a été développée par une entreprise privée spécialisée dans la cybersurveillance. Et elle serait utilisée sur le terrain pour surveiller des centaines d’individus dans le monde, probablement par des agences gouvernementales clientes de cette société. « Dans un pays, nous avons vu environ 100 à 150 numéros de téléphone ciblés chaque jour par des attaques Simjacker, avec des pics pouvant aller jusqu’à 300 numéros de téléphone ciblés dans une journée », explique Cathal McDaid, directeur technique d’AMS, dans une note de blog.
Une faille dans un vieux logiciel de carte SIM

L’attaque Simjacker s’appuie sur une faille béante dans les cartes SIM. Certaines de ces puces, en effet, contiennent un vieux logiciel embarqué baptisé « S@T Browser ». Utilisé naguère pour proposer des services aux abonnés, il est tombé depuis en désuétude. Mais, comme souvent dans l’informatique, ces vieilleries restent parfois en place même si elles ne sont plus utilisées.

Selon AMS, ce logiciel n’a plus été mis à jour depuis 2009. Il serait utilisé dans les réseaux mobiles d’une trentaine de pays répartis en Amérique, Afrique, Europe et le Moyen-Orient. Au total, plus d’un milliard d’abonnés seraient potentiellement concernés. Le type de terminal importe peu. Apple, ZTE, Motorola, Samsung, Huawei, Google… tous les smartphones sont vulnérables. Même les objets connectés dotés de cartes SIM sont affectés.
Une quinzaine de commandes accessibles en douce

Comment fonctionne concrètement l’attaque ? Les SMS cachés envoyés vers le terminal ciblé contiennent en réalité des instructions qui sont transmises à la carte SIM, puis exécutées par S@T Browser.
AdaptativeMobile Security -

Siphonner l’IMEI et l’identifiant de la station de base n’est qu’une possibilité parmi d’autres. Une quinzaine de commandes différentes sont accessibles au travers de cette méthode. Les pirates peuvent ainsi envoyer un SMS à une tierce personne pour faire de la désinformation, initier une communication vocale pour écouter en douce l’environnement physique, ouvrir une page web piégée dans un navigateur, appeler un numéro surtaxé, désactiver la carte SIM, etc. Beaucoup de scénarios différents sont donc possibles. Les chercheurs comptent les détailler le 3 octobre prochain, dans le cadre de la conférence Virus Bulletin à Londres. En attendant, on espère que les opérateurs ont fait le nécessaire pour protéger leurs abonnés.