November 2022 - nexa - server-nexa.polito.it

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by Stefano Tresoldi

Buonasera, il MAC Address è a tutti gli effetti un dato personale. Oltre a quanto già evidenziato in precedenza da 380° <g380(a)biscuolo.net>, anche il Garante si era già espresso in merito: Garante 22 maggio 2018 [9022068] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9022068 --8<---------------cut here---------------start------------->8--- Inoltre, è da considerarsi dato personale anche il Mac address relativo ai dispositivi mobili detenuti dai soggetti rilevati. In tal senso bisogna infatti ricordare che il Mac address, come il Garante ha avuto modo di evidenziare in precedenti provvedimenti (cfr. provv. n. 144 del 12 marzo 2015 doc web 3881392 e provv. n. 241 del 23 aprile 2015 doc web 4015426), ma come anche richiamato nella stessa istanza in esame, riveste il carattere di dato personale in ragione della sua “univocità” che permane anche dopo l’applicazione di meccanismi crittografici. --8<---------------cut here---------------end--------------->8--- Anche con l'utilizzo della MAC Randomization, tale dato è da considerarsi sempre un dato personale. Si consideri infatti che se la Corte di Giustizia dell’Unione Europea ha chiarito nel 2016 che l’IP dinamico è da considerarsi un dato personale ( Document 62014CJ0582 Judgment of the Court (Second Chamber) of 19 October 2016 - Patrick Breyer v Bundesrepublik Deutschland https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62014CJ0582 ) allora, per logica, e a maggior ragione, lo deve essere anche il MAC Address. Se poi il MAC Address (in chiaro, dichiarato anonimizzato o dichiarato in altro modo accrocchiato) lo usano anche per profilare gli interessati, come dichiarato dalla società segnalata da mauro gorrino <mauro.grr(a)gmail.com>: > https://www.microlog.it/mall-area/wi-fi-tracking/ --8<---------------cut here---------------start------------->8--- Grazie al segnale Wi-Fi rilevato è possibile ottenere informazioni preziose sul comportamento dei singoli clienti: il numero di visitatori distinti in una fissata unità di tempo, il tempo medio di permanenza nell’intero centro o in zone selezionate, le frequenze di ritorno, il grado di fedeltà dei clienti, le zone di maggior ingaggio e i percorsi di visita preferiti. È inoltre possibile creare cluster specifici per ogni realtà come per esempio i clienti che si sono recati al Centro Commerciale in orario di pranzo dei giorni feriali. --8<---------------cut here---------------end--------------->8--- allora forse qualche domanda in più bisognerebbe porsela ... :) In genere questo tipo di trattamenti nell'informativa non sono quasi mai indicati e quando lo fai presente ti prendono per un marziano. Lascio immaginare cosa succede quando, in qualità di DPO, ci si trova a dover fare delle osservazioni al business sull'utilizzo di questo tipo di trattamenti :) Come Marco A. Calamari, sono anche io interessato ai dettagli della sanzione anche se cominata da altre autorità. Credo comunque che con riferimento alla sanzione Google citata nel messaggio di 380°, si tratti dello scandalo dovuto alla raccolta occulta dei dati di Wi-Fi residenziali e aziendali, avvenuta in tutto il mondo tra il 2008 e il 2010. Sul tema segnalo questo documento del 2013: "THE GOOGLE STREET VIEW WI-FI SCANDAL AND ITS REPERCUSSIONS FOR PRIVACY REGULATION" di MARK BURDON e ALISSA McKILLOP - Monash University Law Review (Vol 39, No 3) https://eprints.qut.edu.au/120803/1/vol-39-3-burdon-and-mckillop.pdf Il Garante italiano ha sanzionato Google nel 2013 per un milione di euro (il fatturato Google nel 2012 era 50 miliardi con utile consolidato di quasi 11 miliardi), sempre per Google Street View, ma nel provvedimento reso pubblico non mi pare ci sia alcun riferimento esplicito alla raccolta dei dati del wifi. "Google paga una multa da 1 milione di euro inflitta dal Garante privacy per il servizio Street View" https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb… "Ordinanza di ingiunzione nei confronti di Google Inc. - 18 dicembre 2013 [2954309]" https://www.garanteprivacy.it/garante/doc.jsp?ID=2954309 Buonasera, S. Stefano Luca Tresoldi e-mail: stefano.tresoldi(a)tresoldi.net [image: View my profile on LinkedIn] <https://it.linkedin.com/pub/stefano-tresoldi/107/594/3a2> View Stefano Tresoldi's profile <https://www.linkedin.com/in/stefanotresoldi/> Il giorno mer 30 nov 2022 alle ore 17:50 Marco A. Calamari < marcoc_maillist(a)marcoc.it> ha scritto: > On mer, 2022-11-30 at 15:07 +0100, 380° wrote: > > Ricordo cosa ha scritto Christian Bernieri (che di professione è DPO) > nel suo articolo > https://bernieri.blogspot.com/2022/11/andiamo-divertirci-un-po.html > > --8<---------------cut here---------------start------------->8--- > > Nel recente passato Google è stata sanzionata per aver trattato i dati > del wifi e in modo molto meno invasivo: la sanzione ha riguardato un > semplice trattamento di acquisizione (lettura e memorizzazione) dei > banalissimi nomi delle reti wifi visibili dalla strada, gli ssid. Questo > trattamento è stato aggiunto durante i giretti delle google-car fatti > per la mappatura fotografica street view. > > > Sarei interessato agli estremi precisi della sanzione perché: > > 1) la sanzione è di solito accompagnata dall'intimazione a cessare il > trattamento illecito > > 2) Google Italia (ricordo anche chi) ha giurato con la mano sul cuore che > era stato solo uno sbaglio > > 3) tutti sappiamo benissimo, oggi, che il posizionamento tramite > triangolazione wifi è > > Mille grazie. Marco > uno dei fiori all'occhiello di Google Map > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Nov. 30, 2022

Tecnologie conviviali

by karlessi

Buongiorno, settimana prossima uscirà il saggio "tecnologie conviviali", il primo che firmo, con ritrosia, come autore "anagrafico" https://eleuthera.it/scheda_libro.php?idlib=560 [1] chi volesse ricevere dalla casa editrice copia PDF saggio per possibili recensioni/segnalazioni/adozioni/stroncature può contattarmi via mail in pvt, sarà pubblicato anche integralmente in HTML sotto CC by-nc-sa grazie k. [1] mi scuso per il sito non mobile, a parziale giustificazione nel 2003 quando lo facemmo non esistevano smartphone né tablet (lo rifaremo meglio prima o poi) -- "tecnologie appropriate - https://alekos.net" "pedagogia hacker - https://circex.org"

Nov. 30, 2022

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by Marco A. Calamari

On mer, 2022-11-30 at 15:07 +0100, 380° wrote: > Ricordo cosa ha scritto Christian Bernieri (che di professione è DPO) > nel suo articolo > https://bernieri.blogspot.com/2022/11/andiamo-divertirci-un-po.html > > --8<---------------cut here---------------start------------->8--- > > Nel recente passato Google è stata sanzionata per aver trattato i dati > del wifi e in modo molto meno invasivo: la sanzione ha riguardato un > semplice trattamento di acquisizione (lettura e memorizzazione) dei > banalissimi nomi delle reti wifi visibili dalla strada, gli ssid. Questo > trattamento è stato aggiunto durante i giretti delle google-car fatti > per la mappatura fotografica street view. Sarei interessato agli estremi precisi della sanzione perché: 1) la sanzione è di solito accompagnata dall'intimazione a cessare il trattamento illecito 2) Google Italia (ricordo anche chi) ha giurato con la mano sul cuore che era stato solo uno sbaglio 3) tutti sappiamo benissimo, oggi, che il posizionamento tramite triangolazione wifi è Mille grazie. Marco uno dei fiori all'occhiello di Google Map

Nov. 30, 2022

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by 380°

Buongiorno Mauro grazie mille per la segnalazione! Questo thread sta diventando divertentissimo :-D Ricordo cosa ha scritto Christian Bernieri (che di professione è DPO) nel suo articolo https://bernieri.blogspot.com/2022/11/andiamo-divertirci-un-po.html --8<---------------cut here---------------start------------->8--- Nel recente passato Google è stata sanzionata per aver trattato i dati del wifi e in modo molto meno invasivo: la sanzione ha riguardato un semplice trattamento di acquisizione (lettura e memorizzazione) dei banalissimi nomi delle reti wifi visibili dalla strada, gli ssid. Questo trattamento è stato aggiunto durante i giretti delle google-car fatti per la mappatura fotografica street view. --8<---------------cut here---------------end--------------->8--- Spero che la cosa sia abbastanza chiara e non oggetto di interpretazioni :-) mauro gorrino <mauro.grr(a)gmail.com> writes: > Il monitoraggio e il tracciamento degli utenti, con escamotage vari per > rendere i dati anonimi e la soluzione compatibile con le normative sulla > riservatezza, è una prassi abbastanza diffusa nei centri commerciali, per > cui sul mercato si trovano diversi prodotti in questo settore. Questo è un > esempio, scelto solo perché è quello in cima ai risultati di una ricerca su > internet. > https://www.microlog.it/mall-area/wi-fi-tracking/ Cito testualmente: --8<---------------cut here---------------start------------->8--- Il Wi-fi tracking per Centri Commerciali è lo strumento Microlog che rileva i dispositivi mobile presenti grazie al segnale che essi periodicamente inviano. L’identificazione dei singoli dispositivi avviene grazie al mac address, un codice univoco per ogni device. Anche se di per sé non identificano la persona, per avere la totale garanzia dell’anonimato, i mac address rilevati vengono trattati con un algoritmo di hashing, in modo da rendere impossibile ricondurli al codice del dispositivo rendendo la soluzione privacy compliant. Grazie al segnale Wi-Fi rilevato è possibile ottenere informazioni preziose sul comportamento dei singoli clienti: il numero di visitatori distinti in una fissata unità di tempo, il tempo medio di permanenza nell’intero centro o in zone selezionate, le frequenze di ritorno, il grado di fedeltà dei clienti, le zone di maggior ingaggio e i percorsi di visita preferiti. È inoltre possibile creare cluster specifici per ogni realtà come per esempio i clienti che si sono recati al Centro Commerciale in orario di pranzo dei giorni feriali. --8<---------------cut here---------------end--------------->8--- «vengono trattati con un algoritmo di hashing, in modo da rendere impossibile ricondurli al codice del dispositivo» Cosa mi tocca leggere!?! I produttori di quei cosi dicono che è "privacy compliant" e quindi va tutto bene madama la marchesa? E il DPO del centro commerciale (o negozio, azienda, chiesa, discoteca...) quindi è **sollevato** da ogni obbligo del GDPR? Non è che perché il tracciamento geospaziale delle persone è tecnicamente possibile e **raccontato** come anonimo allora c'è un liberi tutti dal GDPR... o no? [...] Saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 30, 2022

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by 380°

Andrea Trentini <andrea.trentini(a)unimi.it> writes: > Incontro su Twitter questo: > https://twitter.com/prevenzione/status/1597186274603192320 al netto dei cretini che sui social non mancano mai, dalla lettura di alcuni commenti mi pare traspaia un certo livello di ignoranza inconsapevole sul funzionamento di WiFi/Bluetooth (et al, tipo RFID, ecc.), i concetti di dato personale, pseudo-anonimizzazione e incrocio con altre fonti, oltre a una eccessiva confidenza in misure tecniche che /non/ risolvono il problema, tipo: --8<---------------cut here---------------start------------->8--- Android e iOS da diversi anni generano indirizzi MAC casuali durante le scansioni Wi-Fi/Bluetooth quindi eccetto falle nell'implementazione, la rilevazione non sarebbe efficace. Mi è capitato di vedere dataset raccolti così in passato, in genere la randomizzazione del Mac è abbastanza efficace come anonimizzazione. Meglio che avere videocamere, peggio che non avere niente. Scusa mi spiegheresti in modo sintetico secondo te a quali dati possano accedere tramite la rilevazione del segnale wifi/bluetooth? Di grazia, in che modo il MAC sarebbe un dato personale e/o in che modo sarebbe univocamente riconducibile ad una persona? Tecnicamente non c'è relazione. Non vorrei essere scambiato per un "bimbominchia" 😁 ma, dato che ci lavoro, sostenere che il MAC ti identifica personalmente presuppone l'esistenza di un registro che abbini il MAC con la tua persona, cosa che non esiste se non in azienda. Tutt'altro paio di maniche è l'IP... Da quello che ricordo, un Access point broadcasta un beacon, ma un telefono in modalità station si limita ad ascoltare i beacon e tentare di collegarsi se riceve un ssid noto. Come fanno a raccogliere Mac address se non decidi di usare una rete WiFi? --8<---------------cut here---------------end--------------->8--- [...] > Inoltre, come si può vedere dai commenti al tweet, esistono tanti modi di fare analisi > dell'affluenza meno invasivi... già, credo tu ti riferisca a quelli che metto sotto, e "il bello" è che viene fatto davvero: --8<---------------cut here---------------start------------->8--- Denys Vitali @DenysVitali 28 nov In risposta a @prevenzione Bisognerebbe anche spegnere la rete cellulare. Mi è capitato di vedere in alcuni centri commerciali fare cose simili con delle specie di IMSI catcher... Christian Bernieri - DPO @prevenzione 28 nov In risposta a @DenysVitali si però si passa da una violazione del GDPR ad una violazione di norme penali. Cedo la palla alla procura della repubblica. --8<---------------cut here---------------end--------------->8--- e questo: --8<---------------cut here---------------start------------->8--- Alessio De Santa @alessiodesanta 29 nov In risposta a @prevenzione Ciao Christian, una persona che lavorava per IGPdecaux mi diceva che i manifesti digitali che ci sono in strada raccolgono anche dati anagrafici delle persone quando passano in un raggio di una 20ina di metri, pensi sia possibile lo faccia anche la fiera? Christian Bernieri - DPO @prevenzione 29 nov In risposta a @alessiodesanta Ciao. Tutti i totem pubblicitari con videocamera, se attivi, acquisiscono informazioni di questo tipo. non solo, in alcuni casi riconoscono anche la risposta emotiva vale a dire se i passanti sono interessati alla pubblicità, se la guardano, se sono contenti se sono tristi ecc --8<---------------cut here---------------end--------------->8--- [...] saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 30, 2022

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by mauro gorrino

Il monitoraggio e il tracciamento degli utenti, con escamotage vari per rendere i dati anonimi e la soluzione compatibile con le normative sulla riservatezza, è una prassi abbastanza diffusa nei centri commerciali, per cui sul mercato si trovano diversi prodotti in questo settore. Questo è un esempio, scelto solo perché è quello in cima ai risultati di una ricerca su internet. https://www.microlog.it/mall-area/wi-fi-tracking/ DIsabilitare wifi e bluetooth sul dispositivo quando non lo si usa, sia esso portatile, tablet, telefono, è sempre una buona idea Mauro Il giorno mer 30 nov 2022 alle ore 12:04 Michele Pinassi < michele.pinassi(a)unisi.it> ha scritto: > Ho incontrato lo stesso tweet e mi ha riportato alla mente un > esperimento che feci un paio di anni fa in apertura di un mio talk: > "sniffando" con un banale wireshark i beacon degli smartphone presenti > un aula, intercettai i BSSID che gli astanti utilizzavano o avevano > usato. Roba tipo "HOTEL TRE LUNE", "CASA GIANNI" etc... > > Questo è possibile perché gli smartphone, così come altri dispositivi, > periodicamente inviano dei beacon di richiesta per capire se una delle > reti WiFi configurate è attiva e presente nei paraggi. Questo > chiaramente comporta un problema di sicurezza, poiché anche > randomizzando il MAC (come fanno i dispositivi iOS e anche alcuni > Android, se non ricordo male), interpretando i beacon è possibile > riconoscere il dispositivo in modo quasi univoco. > > Non servono particolari competenze tecniche e sul Web ci sono molti > esempi su come fare il tracciamento degli utenti (es > > https://null-byte.wonderhowto.com/how-to/use-esp8266-beacon-spammer-track-s… > ). > > Tornando alla mia personale esperienza, fu divertente vedere sbiancare > uno "studente" quando chiesi: "vedo che qui qualcuno è stato all'hotel > XYZ..." > > Temo che, in ogni caso, la pratica sia abbastanza diffusa, soprattutto > negli store (usata per capire dove i clienti vanno e, quindi, modellare > le strategie commerciali di conseguenza). Quantomeno Fiera di Milano ha > avuto il buonsenso (che sarebbe un obbligo legale) di dirlo agli utenti. > > MP > > Il 30/11/22 11:56, Andrea Trentini ha scritto: > > Incontro su Twitter questo: > > https://twitter.com/prevenzione/status/1597186274603192320 > > > > Non sapevo (anche se sospettavo) facessero analisi wifi, trovo > > singolare (eufemismo) che uno debba spegnere[*] tutto per non farsi > > tracciare, rinunciando quindi ad un servizio (oltre all'eventuale > > servizio wifi della fiera, ammesso ci sia) e impedendosi altri usi (ad > > esempio io potrei avere un cellulare che fa da AP e altre periferiche > > collegate). > > > > Inoltre, come si può vedere dai commenti al tweet, esistono tanti modi > > di fare analisi dell'affluenza meno invasivi... > > > > Mah > > > > [*] la frase "disattivando la connessione wifi" non è chiarissima, > > intende dire di spegnere proprio il wifi o semplicemente di non > > connettersi al wifi-fiera? > > > -- > Michele Pinassi - Responsabile Cybersecurity > Ufficio esercizio e tecnologie - CSIRT > Università degli Studi di Siena > irt(a)unisi.it > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Nov. 30, 2022

Re: [nexa] La scarpetta di Cenerentola (was in fiera (Milano) fanno monitoraggio wifi?)

by 380°

Andrea Trentini <andrea.trentini(a)unimi.it> writes: molto CDT questo thread! :-) > Incontro su Twitter questo: > https://twitter.com/prevenzione/status/1597186274603192320 questo l'ottimo articolo di Christian Bernieri in merito alla tracciabilità via WiFi (e Bluetooth), la privacy, l'anonimizzazione, l'incrocio dei dati... perdonatemi ma non riesco a tagliare ulteriormente il testo che riporto sotto senza togliere valore. https://bernieri.blogspot.com/2022/11/andiamo-divertirci-un-po.html [1] (anche su wayback machine) «Andiamo a divertirci un po'.» --8<---------------cut here---------------start------------->8--- Ieri, in occasione del Milan Games Week, come decine di migliaia di altre persone (ragazzi, bambini, famiglie) sono andato in FIERA. Si tratta di una INFORMATIVA PRIVACY, non di un semplice caretello, e ci avvisa della presenza di un sistema di acquisizione dei segnali wifi presenti nell'area. Un sistema invisibile, posizionato ovunque, capace di ascoltare i segnali wifi e registrare le informazioni che riesce a captare. [...] Torniamo all'informativa. Bella, fantastica, che gioia, peccato che sia troppo sintetica e che non dia abbastanza informazioni. Alla fine si fa riferimento al sito web dove [...]. Non c'è nulla relativo al sistema di monitoraggio e acquisizione segnali wifi presente in fiera. Certamente è una svista, il solito stagista distratto che ha cancellato il link. Sono certo che comparirà molto rapidamente nei prossimi giorni. Direi che QUESTO E' UN PROBLEMA. Il primo dei problemi. L'informativa è una cosa obbligatoria. [...] dovrebbe essere completa e, in questo caso, non lo è decisamente. Senza poter accedere all'informativa completa, vedere questo cartello può essere considerato solo uno sforzo apprezzabile ma non sufficiente per adempiere a ciò che il GDPR prescrive. [...] pare che i dati siano trattati in forma anonima e aggregata. Questo però non è vero e forse varrebbe la pena di essere più trasparenti. I dispositivi sono visti e tracciati in modo univoco. Magari poi sono aggregati, ma va spiegato meglio. Acquisite l'identificativo del dispositivo significa già trattare un dato personale. Se poi lo si anonimizza (sempre che questo avvenga realmente) significa comunque aver trattato un dato personale. Non lo si può fare senza una valida base di legittimazione e, in questo caso, mi spiace dirlo e mi sbilancio, può essere solo il consenso. Mi sbaglio? Parliamone... ho le mie ragioni. Una parolina sul concetto di anonimizzazione: è molto molto difficile dire che un dato è stato anonimizzato. [...] La ragione, magari un po' sofisticata, sta nel fatto che, con un pizzico di buona volontà, posso incrociare i dati e associare le immagini agli spostamenti del segnale wifi anonimizzato riuscendo a trovare la persona che aveva in tasca quel dispositivo. Taaac. Anonimizzare è una cosa seria e si può dire di averlo fatto solo se non ci sono mezzi o possibilità di reidentificare il soggetto. Attenzione: che il titolare non intenda farlo, non gli serva farlo, non voglia farlo o non sappia farlo è del tutto irrilevante. Bisogna fare riferimento a un ipotetico soggetto che voglia farlo, sappia farlo e abbia voglia di farlo. Per dira in altri termini: non tutti sono bravi ragazzi. Fieramilano, in questo caso, non ha alcun interesse a scoprire il nome o il volto di chi era davanti ad un certo stand o che ha fatto un certo percorso... ma questo non eslcude che vi siano soggetti che abbiano interesse a farlo e che sappiano come farlo con i dati a disposizione. Per questo "dato anonimo" è un concetto complicato. Bene, dunque, cosa accade ai dati? Perchè è stato messo in piedi un sistema così complesso e costoso per avere solo un dato aggregato? Non bastava un tornello? Anzi, non basta la timbratura dei biglietti all'ingresso? A mio parere, e lo dico per mancanza di informazioni (come detto, l'informativa è carente) con quei dati si fa dell'altro. Di fatto, i sistemi di monitoraggio dell'affollamento con wifi permettono di mappare i movimenti dei singoli individui. Che bello poter avere una mappatura dei flussi dei visitatori, sapere come si muovono, da dove arrivano e dove vanno, quanto si soffermano in un determinato luogo ecc. Se fossi un ente fieristico non oserei desiderare nulla di meglio per poter rendicontare e tariffare i servizi, stabilire il costo degli stand, offrire prodotti evoluti e poterne misurare il rendimento. sarebbe fantastico... Siamo sicuri che non sia uno scopo non dichiarato? Chiedo. Nel recente passato Google è stata sanzionata per aver trattato i dati del wifi e in modo molto meno invasivo: la sanzione ha riguardato un semplice trattamento di acquisizione (lettura e memorizzazione) dei banalissimi nomi delle reti wifi visibili dalla strada, gli ssid. Questo trattamento è stato aggiunto durante i giretti delle google-car fatti per la mappatura fotografica street view. Siamo sicuri che Fieramilano non corra lo stesso rischio? La mia domanda è questa: la lettura dei wifi è proprio necessaria? Non si può fare la stessa cosa con altri sistemi meno invasivi, che non comportino tutte le fastidiose complicazioni di questo monitoraggio dei wifi? Se ci serve veramente solo il dato statistico dell'affollamento, che senso ha mappare i cellulari e il loro wifi? [...] Non vorrei sembrare tedioso ma ci sarebbe anche un'altra questione di cui parlare e, come DPO, non la giudico nemmeno troppo marginale. Domanda: ma perchè devo essere io a disattivare il wifi per evitare di essere tracciato? Non sareste voi, ente fiera, a dover chiedere il mio permesso prima di iniziare a fare una cosa simile? Non sareste voi a dovermi garantire che il mio cellulare non sarà tracciato se io non lo desidero? Ne faccio una questione di libertà, ovviamente, e mi pongo questa domanda nell'ottica di chi non ha voglia o non può semplicemente rinunciare ad avere uno smartphone in tasca. Cosa succede se sono un soggetto debole? Cosa succede se mi dimentico di disattivare il wifi? Cosa succede e se non so come fare e lo disattivo solo in modo temporaneo? Cosa succede se devo usarlo per rispettare degli obblighi di reperibilità o anche solo perchè voglio scambiare foto con un amico? Ci sono tante, troppe cose sbagliate in questa bella idea di mappare il wifi, a partire dal fatto di considerare liberamente disponibile e di usare un dato personale per il solo fatto che sia accessibile. Tutto questo non mi piace. In particolare non è bello dover rimuginare e accettare situazioni simili di Domenica, a spasso con le proprie figlie, in contesti rilassati. Non ho viglia di imbracciare le armi e l'armatura del DPO ogni momento. Vorrei potermi rilassare ma, purtroppo, ogni volta che ci rilassiamo, arriva qualcuno più furbo degli altri e zak... il danno è fatto. Non mi piace. Le mie figlie sono avvisare e nemmeno a loro piace. Per la cronaca... tutto questo parte da un cartello visto in fiera ma i sistemi di tracciamento dei dispositivi con wifi o BT attivo sono ubiquitari. Attenzione dunque [...] [...] ove si prevede che arriveranno frotte di persone di cui può essere interessante capire e studiare il comportamento, i movimenti e, in ultima analisi, di cui vogliamo sapere cose senza doverle chiedere. ADDENDA. In molti mi hanno scritto manifestando perplessità sul fatto che le tracce del wifi di un cellulare possano essere considerati dati personali. Molti ritengono che l'indirizzo MAC ADDRESS (un indentificativo univoco che consente ai dispositivi di riconoscersi ed indirizzare correttamente i pacchetti di dati) non possa essere un dato personale anche perchè i sistemi operativi recenti permettono di cambiarlo. In alcuni casi sono generati periodicamente nuovi mac address random per lo stesso dispositivo. Tutto bello, tutto vero, tutto inutile. Il dato non è personale in modo assoluto. Un dato è personale solo se esiste la possibilità di identificare il soggetto al quale esso si riferisce. E non importa chi sia in grado di farlo, non deve essere necessariamente il titolare del trattamento, può anche essere un altro soggetto, magari più attrezzato, magari in possesso di elenchi, liste, log o altri dati che permettano di identificare la persona alla quale il nostro dato appartiene. Un esempio: "il 56% dei maschi residenti a Milano sono biondi". Questa informazione non è personale e non lo sarà mai. Un altro esempio: la scarpetta di cenerentola. Calza bene solo a Cenerentola? Beh, allora quella delicata scarpetta è un dato personale. Strano, non assomigliava nemmeno ad un dato, eppure... Questo conta, la possibilità (magari solo teorica) di identificazione, di associare il dato ad una persona. Questo trasforma un dato in un dato personale. Se un dato è un dato NON personale, possiamo farci ciò che vogliamo, possiamo prenderlo, archiviarlo, maltrattarlo, qualsiasi cosa. Non abbiamo compiti, adempimenti, non abbiamo bisogno di autorizzazioni nè di consensi. Non ci sono documenti da preparare o informative da scrivere. di sicuro non dobbiamo appendere cartelli per avvertire il mondo che stiamo trattando un dato che non è associabile ad alcuna persona. Nel nostro caso abbiamo certamente un dato personale, l'ente fiera tratta un dato personale e lo sa benissimo. Come facciamo a saperlo con certezza? Beh, sarò banale ma non posso fare a meno di puntualizzare l'ovvio: è Fiera Milano stessa che ce lo dice con il cartello che ha affisso. Se venissero trattati dati non personali, non ci sarebbe affatto bisogno di mettere un cartello. Più tecnicamente dovrei dire che non c'è bisogno di rendere una informativa agli interessati. E' Fiera stessa che ci dice che "...tratta i dati così acquisiti...", ci dice che li anonimizza e li aggrega ma questo lo fa, appunto, partendo da dati che riconosce essere dati personali. SINE QUA NON Se non fossero dati personali, niente cartello, niente informativa, niente di niente. Lo farebbe e basta. Perchè dovrebbe avvertire? Approfondiamo: se venisse messo un addetto alla porta con il contapersone, una macchinetta che conta +1 ogni volta che viene premuto un pulsante, non ci sarebbe nessun cartello. Contare le persone che passano non genera un dato personale ma un dato aggregato. In sostanza, il segnale wifi monitorato da fiera milano è un dato personale, per questo viene data una informativa. Non ci sono dubbi. Prosit --8<---------------cut here---------------end--------------->8--- Prosit! Saluti, 380° [1] il blog è pubblicato sotto licenza Creative Commons CC BY, per cui ne pprofitto :-) -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 30, 2022

Re: [nexa] The Framework is the most exciting laptop I've ever broken

by Stefano Quintarelli

On 30/11/22 11:41, 380° wrote: > Dovrebbe essere obbligatorio per legge produrre apparecchi elettronici > modulari come questo quale e' il livello di modularita' giusto, per ogni prodotto elettronico, e chi lo stabilisce ? forse si potrebbe dire che, al pari degli alimentatori, almeno le batterie dovrebbero essere sostituibili. BTW, questo e' un argomento promosso dal parlamento UE che afaik e' in discussione con il consiglio ciao!, s.

Nov. 30, 2022

Re: [nexa] Amazon Alexa is a “colossal failure,” on pace to lose $10 billion this year

by 380°

Buongiorno, Alberto Cammozzo via nexa <nexa(a)server-nexa.polito.it> writes: [...] > The report says that while Alexa's Echo line is among the "best-selling > items on Amazon, most of the devices sold at cost." One internal > document described the business model by saying, "We want to make money > when people use our devices, not when they buy our devices." > > That plan never really materialized, though. It's not like Alexa plays > ad breaks after you use it, so the hope was that people would buy things > on Amazon via their voice. Not many people want to trust an AI with > spending their money or buying an item without seeing a picture or > reading reviews. The report says that by year four of the Alexa > experiment, "Alexa was getting a billion interactions a week, but most > of those conversations were trivial commands to play music or ask about > the weather." Those questions aren't monetizable. > > Amazon also tried to partner with companies for Alexa skills, so a voice > command could buy a Domino's pizza or call an Uber, and Amazon could get > a kickback. The report says: "By 2020, the team stopped posting sales > targets because of the lack of use." [...] > Google expressed basically identical problems with the Google > Assistant business model last month. There's an inability to monetize > the simple voice commands most consumers actually want to make, and > all of Google's attempts to monetize assistants with display ads and > company partnerships haven't worked. With the product sucking up > server time and being a big money loser, Google responded just like > Amazon by cutting resources to the division. [...] Quindi la domanda è: cosa succederà a tutti gli apparecchi voice assistant quando Amazon e Google decideranno di dismettere il servizio (aka spegnere il server) che gli permette di funzionare? --8<---------------cut here---------------start------------->8--- Unable to connect to the Amazon Alexa server. Please try again later. --8<---------------cut here---------------end--------------->8--- Saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Nov. 30, 2022

Re: [nexa] in fiera (Milano) fanno monitoraggio wifi?

by Michele Pinassi

Ho incontrato lo stesso tweet e mi ha riportato alla mente un esperimento che feci un paio di anni fa in apertura di un mio talk: "sniffando" con un banale wireshark i beacon degli smartphone presenti un aula, intercettai i BSSID che gli astanti utilizzavano o avevano usato. Roba tipo "HOTEL TRE LUNE", "CASA GIANNI" etc... Questo è possibile perché gli smartphone, così come altri dispositivi, periodicamente inviano dei beacon di richiesta per capire se una delle reti WiFi configurate è attiva e presente nei paraggi. Questo chiaramente comporta un problema di sicurezza, poiché anche randomizzando il MAC (come fanno i dispositivi iOS e anche alcuni Android, se non ricordo male), interpretando i beacon è possibile riconoscere il dispositivo in modo quasi univoco. Non servono particolari competenze tecniche e sul Web ci sono molti esempi su come fare il tracciamento degli utenti (es https://null-byte.wonderhowto.com/how-to/use-esp8266-beacon-spammer-track-s…) Tornando alla mia personale esperienza, fu divertente vedere sbiancare uno "studente" quando chiesi: "vedo che qui qualcuno è stato all'hotel XYZ..." Temo che, in ogni caso, la pratica sia abbastanza diffusa, soprattutto negli store (usata per capire dove i clienti vanno e, quindi, modellare le strategie commerciali di conseguenza). Quantomeno Fiera di Milano ha avuto il buonsenso (che sarebbe un obbligo legale) di dirlo agli utenti. MP Il 30/11/22 11:56, Andrea Trentini ha scritto: > Incontro su Twitter questo: > https://twitter.com/prevenzione/status/1597186274603192320 > > Non sapevo (anche se sospettavo) facessero analisi wifi, trovo > singolare (eufemismo) che uno debba spegnere[*] tutto per non farsi > tracciare, rinunciando quindi ad un servizio (oltre all'eventuale > servizio wifi della fiera, ammesso ci sia) e impedendosi altri usi (ad > esempio io potrei avere un cellulare che fa da AP e altre periferiche > collegate). > > Inoltre, come si può vedere dai commenti al tweet, esistono tanti modi > di fare analisi dell'affluenza meno invasivi... > > Mah > > [*] la frase "disattivando la connessione wifi" non è chiarissima, > intende dire di spegnere proprio il wifi o semplicemente di non > connettersi al wifi-fiera? > -- Michele Pinassi - Responsabile Cybersecurity Ufficio esercizio e tecnologie - CSIRT Università degli Studi di Siena irt(a)unisi.it

Nov. 30, 2022