Milan Gabor, etični heker: Za vožnjo z avtom potrebujete izpit, za šofiranje na spletu pa ne

Kot priljubljen predavatelj o temi varovanja zasebnih podatkov in varnosti na spletu pa je tudi velik poznavalec tega, kaj vse z objavami na družbenih omrežjih, uporabljanjem pametnih naprav in aplikacijami ter že samo s tem, ko prižgemo računalnik in se povežemo v omrežje, razkrivamo o sebi in kaj spletni velikani s temi informacijami potem počnejo.

To sem zaradi poklicne deformacije že naredil. Normalno je, da ljudi vedno malo sprofiliramo, da sploh vemo, kdo je klical, kam spada in kakšne so njegove povezave. To je še posebej pomembno, če gre za prvi stik z osebo.

Nekaj že, čeravno imate za novinarko precej majhen odtis. Med svojimi prijatelji imate tudi mojo sestrično, vsaj na papirju ste Gorenjka in poznam vaš naslov, zamenjali ste banko, vem, kako finančno poslujete in da ste dobili malo proračunskih sredstev, da imate radi kulturo in film ter da se lotevate zanimivih tem. Vidi pa se, da ne želite veliko deliti z drugimi. Ali enostavno ne želite deliti svoje zasebnosti ali pa ste med bolj ozaveščenimi, ki vedo, kaj pomeni, če se deli preveč informacij. Bi se pa, če bi se vas nekdo lotil resno, verjetno dalo razbrati še marsikaj.

Za posameznike tega ne delamo, delamo pa za podjetja, ki nas na primer najamejo za simulacije vdorov in simulacije napadov na ljudi. Takrat moramo človeka profilirati in ugotoviti, na kaj se odzove, saj je napad nanj bistveno uspešnejši, če mu nekdo pošlje nekaj, kar ga zanima, kot če mu pošlje nekaj generičnega. Enkrat smo izvajali simulacijo napada na človeka, za katerega smo vedeli, da teče na maratonih. Poslali smo mu vsebino, na katero se je hitro odzval, in že po dveh klikih smo bili na njegovem računalniku. Če ne bi vedeli, da teče, in bi mu poslali generično priponko, ki ne bi vzbudila njegovega interesa, bi obstajala večja možnost, da sploh ne bi kliknil nanjo.

Bilo je tako, kot da bi sedeli za njegovim računalnikom. Videli smo vse njegove dokumente, komunikacijo, kaj tipka, lahko bi mu vklapljali kamero in mikrofon, snemali, kar se dogaja pri njem… Vendar pa je pri takšnih simulacijah to dejansko izvedeno le za kratek čas, toliko, da imamo možnost pokazati, da smo res bili na njegovem računalniku. Potem se odklopimo, saj ne želimo preveč posegati v zasebnost targetiranih oseb.

Podoben napad na mobilni telefon je težje izvesti, saj imamo veliko vrst telefonov, proizvajalcev in sistemov, ki delujejo na mobilnikih. Zato so takšne simulacije res bolj redke in se moramo zanje še bolj potruditi. Če telefoni nimajo nameščene zadnje programske opreme, je to bistveno lažje, a vseeno ni tako enostavno, kot na primer priti na računalnik.

Tako je. Vedno pravim, da so potrebne tri stvari: čas, denar, torej nekdo, ki je za to pripravljen plačati, in motivacija. Če imate te tri pogoje izpolnjene, vam pri zaščiti pred napadom ne pomaga nič. Z nekaterimi sredstvi lahko sicer napadalcem otežimo življenje, a dejansko stoodstotne zaščite žal ni.

To je minimalna osnovna higiena, ki odbije 90 do 95 odstotkov klasičnih napadov v kibernetskem svetu, za preostalih 5 do 10 odstotkov pa ni recepta. Če vas nekdo res hoče sabotirati, je igre konec.

Pri brskanju po takšnih straneh protivirusni programi zaznajo večino znanih napadov, problem pa so novi napadi, ki jih programi za zaščito pred virusi še ne zaznajo, saj potrebujejo nekaj časa, da osvežijo svoje podatkovne baze.

V večini primerov tiste s piratsko programsko opremo, pornografske spletne strani in strani za krekanje programske opreme. Zelo popularna programska oprema, kot je na primer Photoshop, je dostikrat tarča krekanja, poleg kreka pa si uporabniki velikokrat namestijo še marsikaj drugega. Tudi v Sloveniji je kar nekaj okuženih strani, pa njihovi upravljalci tega niti ne vedo. Ponavadi hekerji takšne strani uporabljajo za odskočno desko, da napadejo naprej. Dostikrat so veliko bolj realni in tudi lažji posredni napadi. Tule blizu je recimo NLB, in če nekdo ve, da imajo na banki dobro zaščito, na drugi strani pa imajo zunanjega dobavitelja, ki je s svojim računalnikom vsak dan ali vsaj vsak teden v njihovem omrežju, obstaja verjetnost, da bo napadalec šel po lažji poti in poskušal napasti njega.

Enostavno zato, ker imajo veliko obiskovalcev, saj hekerji tako dosežejo veliko število uporabnikov. Cilj hekerjev je, da s čim manj napora okužijo čim več ljudi.

Ko brskamo po spletu, definitivno pustimo sled, na primer podatek o tem, s katerega IP-naslova prihajamo, kateri brskalnik in operacijski sistem uporabljamo, kakšno programsko opremo imamo… Kakor hitro gremo na neko spletno stran, pustimo svoj odtis. Problem je v tem, da se večina ljudi sploh ne zaveda, kakšne sledi puščajo. Če prek svojega telefona obiščete neko spletno stran in spletno stran McDonald's, lahko skrbnik spletne strani na podlagi karakteristik telefona in brskalnika z veliko verjetnostjo ugotovi, da ste bili enkrat tu in enkrat tam. Dandanes se je težko skriti, ni pa čisto nemogoče.

Zagotovo, a ne na dolgi rok. Nekaj časa ste še pozorni in ohranjate visoko sposobnost skrivanja, potem pa vam pozornost pade, tako da prej ali slej tudi vsi večji naredijo napako.

Obremenjen ravno ne, sem pa previden pri tem, komu pustiti podatke, kje brskati na spletu, v katero brezžično omrežje se povezati.

Je, definitivno. Osebno bi se bal ljudi, ki pravijo, da nimajo česa skrivati. Bi vi zaposlili nekoga, ki nima ničesar skriti? To lahko pomeni, da gre ven tudi vse tisto, kar mu zaupate kot delodajalec. Neko mejo zasebnosti mora imeti vsak. So stvari, ki niso za javnost, obstajajo pa tudi ljudje, ki povedo preveč ali celo vse. Največji problem vidim pri mladi generaciji, ki ne ve, kje so meje, kaj je primerno za javnost in kaj ne, kaj objaviti na Instagramu, Facebooku in kaj ne. Drugi problem pa je, da se tega nikjer ne naučijo. Za vožnjo z avtom potrebujete izpit, za šofiranje na internetu pa ne. Ljudje se ne zavedajo, kam lahko takšne objave pripeljejo, dokler jim tega ne pokažeš na kakšnem primeru.

Na primer to, da je s telefonske številke, s katere ti nekdo pošlje SMS, mogoče priti do odprtega življenja ljudi, se seznaniti z vsem, kar delajo, kaj imajo radi, kakšne hobije imajo, kaj berejo, kaj radi jedo, s čim se ukvarjajo, kdo so njihovi prijatelji. Če kdo na Facebooku objavlja veliko informacij, lahko izveš vse o njem, še preden se dobiš z njim. Hodite v Hofer ali v kakšno drugo trgovino, kjer prodajalke na oblačilih nosijo kartice s celotnimi imeni?

Ste njihova imena kdaj vtipkali v Google in iskali podatke o njih?

No, jaz to kdaj pa kdaj naredim. In potem pred menoj ni več navadna trgovka ali trgovec, ampak izvem, da ima rad motorje, da je bil na morju, da se je prejšnji teden poročil, da ima istega prijatelja kot jaz. In nanj začnete gledati čisto drugače ter imate tudi večjo moč. Črno zlato so danes informacije. Več ko vem o vas, lažje pridem do vaših sistemov.

Odvisno od tega, za kakšne namene uporablja podatke tisti, ki ste mu jih posredovali. Trgovci vam hočejo ponuditi več glede na vaše preference, seveda pa je to, kako te podatke izkoristijo in kaj vam predlagajo, odvisno od njihove kreativnosti. Spar ve več o vaših prehrambnih navadah, eBay pa o tem ve bolj malo, ve pa, katero tehnologijo uporabljate in kaj vas zanima.

Ne morem. Ve eBay in z njim povezane družbe oziroma tisti, ki jim eBay prodaja informacije, ker eBay, Google in drugi dejansko služijo s prodajanjem informacij oziroma s profiliranjem ljudi, saj vam in vašim prijateljem, ki jih običajno zanimajo podobne stvari, tako lahko pošiljajo ustreznejše reklame in tisto, kar vas zanima. Google recimo bolj natančno ve, kje na cesti je zastoj in koliko avtomobilov približno stoji, kot ve Dars, ki ima kamere in skrbi za naše avtoceste. Danes imajo namreč vsi pametne telefone, ki pošiljajo podatke, nekdo s pametno analitiko pa bo vedel, kdaj je nastal zastoj.

Problem je bil v tem, da so prej privzete nastavitve že v izhodišču omogočale seznanitev s podatki o tem, kje si se gibal. Objave na Facebooku in tviti so imeli nekoč že privzete GPS-kordinate telefona. Zdaj ni več tako, ampak mora uporabnik to funkcionalnost vklopiti sam.

Ne, že od prej, z novo uredbo pa je to še zaostreno.

Ne bi rekel, da se je veliko spremenilo, ker smo imeli v Sloveniji varovanje podatkov dovolj strogo urejeno že z zakonom o varstvu osebnih podatkov. Bomo pa zdaj po drugi strani vedeli, da se vdori dogajajo tudi v Sloveniji, ker v preteklosti družbam, če se jim je zgodil hekerski vlom, ni bilo treba tega nikomur sporočati, zdaj pa morajo pristojne obvestiti.

Ne, prej je bilo to, ali so sporočili in pomagali, ali pa so bili enostavno tiho, odvisno od njihove dobre volje.

Koliko je bolj zaščitena, je odvisno od upravljalcev spletnih strani. Nekatere stvari se bodo izboljšale, uredba pa upravljalcem podatkov nalaga malo večjo skrb za podatke, za kar so poskrbeli tudi z visokimi kaznimi.

Gre za velikana, ki si to lahko privoščita. Prvo je to, da nista evropska, drugo pa to, da v skladu s svojimi interesi želijo imeti vse čim bolj odprto. Za vašo korist ne bodo prav veliko naredili, saj od tega živijo, je pa velika razlika med tem, koliko je bilo vse odprto nekoč in koliko je odprto danes.

Ja, malo bi morali preveriti, kaj je lahko objavljeno in kaj ne. Sicer obstajajo orodja, ki vam to povedo, in na Googlu bi lahko našli kakšen hiter vodnik po zasebnih nastavitvah, vendar je problem v tem, da večina ljudi tega ne ve ali pa tega ne naredi. Če človek ni ozaveščen, ni možnosti, da bi to kadarkoli naredil, za upravljalce pa je to dobro.

Ponavadi je tako, da če se ne strinjate, ne dobite vsebine. Zdaj smo videli, da je kar nekaj ameriških spletnih strani enostavno reklo: se opravičujemo, ste iz Evrope, zato za vas ni teh vsebin. Enostavno se jim ne ljubi ukvarjati z GDPR, ker bi imeli večje stroške, kot če izgubijo stranke iz Evrope, ali pa si rečejo, da bomo že nekako prišli do njihovih vsebin.

Pri nekaterih da, pri nekaterih ne. V večini primerov je uporabniška izkušnja enaka, ker bi sicer šlo za diskriminacijo, ali pa je tako, da te ne spustijo na stran oziroma ničesar ne prikažejo.

Ja, razen kadar od mene hočejo podatke, kot sta telefonska številka in naslov ali kakšen drug osebni podatek.

To je zato, ker večina ljudi živi v prepričanju, da Google ne pozna njihove telefonske številke. Google dobi vašo telefonsko številko ne samo od vas, ampak tudi od vaših kolegov. Če ima vaša kolegica shranjeno vašo številko v svojem Googlovem imeniku, Google to ve. Moj odgovor se je nanašal na tematiko, da večina nima dvonivojske avtentikacije, ampak ima samo uporabniško ime in geslo.

Ne vem, zakaj se ljudje slepijo, da Google ne pozna njihove številke. Poglejte svoj telefon. Ko ste vanj prvič vstavili SIM-kartico, je Applu tiho poslal SMS-sporočilo, da je ta telefon vezan na to telefonsko številko. Ali Apple ne pozna vaše številke? Pozna jo tako on kot še marsikdo drug. Viber, ko se prijavite, dobi vse vaše številke z vsemi vašimi kontakti in jih takoj skopira, kot tudi številko vsakega novega kolega, ki se prijavi v Viber, tako da imajo vse. Zakaj? Očitno imajo interes za to.

Primaren je ciljano oglaševanje, potem pa so to še kakšni drugi metapodatki, ki jih zbirajo. Iz metapodatkov bi nekdo, ki bi jih zbiral, lahko zgradil tudi sliko o tem, s kom komunicirate. Tudi islamistične celice so lovili tako. Niso jim mogli prisluškovati, vedeli pa so, kdo je vodja celice, in to samo po podatkih o klicu, kot so trajanje, kdo kliče koga in od kje kdo kliče. Vaš telefon v tem trenutku seva omrežja, v katera ste bili povezani, in če jih nekdo lovi, lahko o vas dobi posamezne podatke. Iz teh podatkov je spet mogoče sestaviti profil, ki kaže, kje ste bili, kaj ste jedli, v katero knjižnico hodite. Metapodatki včasih povedo še več kot pravi podatki ali celo vsebina, ki je označena kot tajna. In tako je tudi pri brskanju. Če se priklopite na kakšno odprto WiFi-omrežje, kot je na primer WiFree Ljubljana, vam lahko nekdo z zelo poceni opremo prisluškuje in vidi, katere strani obiskujete, kakšni so vaši interesi, ali uporabljate Tinder ali Grindr, katere aplikacije imate nameščene na telefonu, ki komunicirajo z oblačnimi storitvami…

Ko izbrišete aplikacijo iz telefona, jo izbrišete iz telefona, v njihovih oblakih pa je še vedno ostala povezava. Pri Tinderju se dejansko povežete s Facebookom in tam je povezava ostala, tako kot vaš telefon.

Na internetu je danes zelo težko nekaj izbrisati, sploh tiste podatke, ki jih shranijo iskalniki, kot so Google, Bing ali Archive, kjer so shranjene spletne strani, na primer tudi spletne strani Dnevnika. Se spomnite, kakšna je bila Dnevnikova spletna stran pred desetimi leti ali več?

Obstajajo sistemi, ki se tega spomnijo. Nekateri pa prav arhivirajo strani za nazaj.

Nekaj zanesenjakov, ki hočejo digitalizirati vse, kar je mogoče digitalizirati. Imajo donatorje, finančne podpornike in za namene človeštva arhivirajo vse, kar se da shraniti. In te boste težko prepričali, da neko vsebino izbrišejo iz arhiva. Znan je primer Španca, ki je tožil Google, ker je bil tam objavljen članek o Špančevem osebnem bankrotu, zaradi katerega je imel težave pri pridobivanju novih kreditov. Tožbo je dobil, Google pa je članek po več letih končno moral umakniti. Ko je stvar enkrat na Googlu, tam ostane.

Ja in ne. Odvisno od odločevalcev. Ne samo kredit, tudi službo.

Ne vem. Lahko samo ugibam, ampak če bi bil sam tisti, ki bi odločal o kreditu, bi o tistem, ki bi prosil za kredit, zagotovo pogledal podatke na Googlu. To bi bil minimum. Slovenci imamo SISBON-sistem, v katerem je zapisana naša kreditna sposobnost, tako da so tam boljši podatki kot na spletu, bi pa za rizične kreditoprosilce kot banka pogledal še marsikaj drugega.

Na primer družbena omrežja bi bila dober začetek za to, da vidimo dejansko premoženje posameznika, ki se lahko razlikuje od uradnih bilanc podjetij. Profili na Instagramu lahko razkrijejo visoko modo in nošenje priznanih znamk pri ljudeh, ki uradno niso bogati ali pa si te znamke težko privoščijo. Mogoče bi bilo zanimivo analizirati razhajanje med uradnimi prihodki in tistim, kar kažejo fotografije na profilih, kjer se najdejo jahte, luksuzni avtomobili in še marsikaj drugega.

Tako je, to je prva stvar. Tudi mi, ko kdo pošlje prošnjo za službo, najprej preverimo, kakšen prstni odtis pušča ne samo na družbenih omrežjih, ampak tudi na drugih omrežjih, v knjižnicah. Eno je prošnja za službo z življenjepisom, drugo pa internetni odtis, ki ga ima uporabnik, in danes je velikokrat tako, da ima internetni odtis dosti večjo težo kot življenjepis. Družbena omrežja sevajo zelo dober približek tega, kar človek je. Ponavadi je na družbenih omrežjih tako kot v realnem življenju. Nekaj časa se lahko pretvarjamo in veliko objavljamo na Facebooku, čeprav smo v življenju zaprti, vendar to ne traja dolgo.

Mlajša generacija se tega premalo zaveda in mladi večinoma puščajo preveč sledi, ki jim bodo čez nekaj let škodile. Veliko pa objavljajo zato, ker jih nihče ni nikoli poučil, da njihove sledi morda nekoč nekomu, ki se bo odločal, ali bi jih vzel v službo, ne bodo všeč.

Če ste navajeni objavljati vse, se boste tega zelo težko odvaditi, razen če imate slabo izkušnjo. Takšna šok terapija je mogoče v nekaterih primerih še najboljša.

Večinoma so vezani na našo geolokacijo in naše fizično stanje. Lep primer se je zgodil lani, ko so v Iraku našli lokacijo ameriške baze na podlagi pametnih ur, ki jih nosijo vojaki. Pogledali so, kje v puščavi se oglaša največ pametnih ur, ker imajo te tudi GPS-koordinate, in locirali vojaško oporišče. Pri tem bi rekel, da ni toliko problematično zbiranje podatkov kot to, kaj kdo s temi podatki počne. Včasih so obstajale tudi tekaške aplikacije, s katerimi se je natančno videlo, kdo teče v vaši bližini. Obstaja pa celo aplikacija, ki zbira vse podatke in nariše vaš celoten fizični profil, ki kaže, kdaj ste aktivni za računalnikom, koliko spite, kakšen je vaš srčni utrip. Če zbirajo te podatke, vedo o vas vse.

Seveda je pomembno tudi to, kako pomembni ste. Pri nekom, ki je Borut Pahor, ljudem ni treba shekati njegove zdravstvene kartoteke, ampak že po aplikaciji lahko vidijo vse, tudi to, kdaj se mu je povečal srčni utrip. To so spet metapodatki, ki povedo marsikaj, ne samo tega, kdaj spite, ampak tudi to, kdaj ste aktivni na drugih, bolj intimnih področjih. V Ameriki so zdaj popularni čipi, ki jih vstavljajo v roke, da ljudje ne potrebujejo več kartic za odpiranje vrat. In takšni čipi so seveda lahko v določenih primerih zelo uporabni za sledenje.

To je bila draga igračka za 250 dolarjev, ki je imela na vrhu kamero. In če ste bili v bližini tega vibratorja ter ste poznali geslo za brezžično omrežje, ki je bilo za vse vibratorje enako, ste lahko videli, kaj je kamera snemala, poleg tega se je dalo pri teh vibratorjih z natančnostjo desetih metrov ugotoviti, kje so bili v uporabi. Pametne naprave znajo biti zelo zanimive. Pri Alexi, Amazonovi umetni inteligenci, je pred kratkim nastala luknja v sistemu, napaka, in je snemala pogovore ter potem nekatere posnetke naključno pošiljala kontaktom posameznikov. Amazon s svojo Alexo v vaš dom namesti prisluškovalno napravo, pri tem pa se pojavi vprašanje, kje se to snemanje, prisluškovanje zgodi. Posneto lahko pošilja v oblak, kar pomeni, da pozna vaš glas in da lahko rekonstruira zvoke, lahko pa Alexo zlorabi kdo drug in tako naprej. Potem so tu še pametne hiše…

Odvisno od tega, ali je vse skupaj pravilno konfigurirano oziroma nameščeno. Največji problem je v tem, da so pametne stvari povezane z internetom, na spletu pa so potem različne naprave, ki jih dejansko lahko krmilite. Vi lahko nekomu na domu brez uporabniškega imena in gesla izklopite klimo ali stalite hokejsko igrišče ali pa prižgete luči v Stožicah.

Dobili smo že marsikaj in pojavljale so se tudi takšne stvari, ampak jasno in glasno rečemo ne. Če bi enkrat prestopili mejo, ki je že tako dostikrat tanka, bi lahko končali s poslom in šli prodajat sladoled.

Prve so zakonske, druge pa etične. Bilo je več ponudb za hekanje fantovih ali dekletovih profilov zaradi sumov, da varajo, in za hekanje banke od ljudi, ki niso bili lastniki ali upravljalci banke. Preprosto povedano: mi delamo nelegalne stvari na legalen način, pa še plačajo nas za to. In v takšno službo je zanimivo hoditi.