Newsgroup: it.comp.sicurezza.varie
Titolo: Tracciabilità su forum

Ciao NG,
 
Contesto: sono iscritto a un forum in cui l'atmosfera si
era fatta pesante e per circa un anno non ho mai loggato.
Ovviamente (alzi la mano a chi non è mai capitato) la
curiosità ha vinto e pochi giorni fa ho creato un altro
account che veramente non poteva in alcun modo rimandare a
me. Con questo nuovo account non ho mai postato, solo 
letto. Ho controllato poco prima di iniziare a scrivere 
questo post, non ho postato mai. Ed era circa un anno che 
in quel forum non ci passavo nemmeno da vistatore, almeno 
a quanto ricordo.
 
Ebbene, da uno dei moderatori mi è arrivato un messaggio 
con il classico "come stai? Era un sacco di tempo che 
(etc.)" con riferimenti precisi a me stesso. Conoscendo la 
persona che è molto furba ho pensato che abbia solo 
sparato nel mucchio. Ma l'ho raccontato a un amico di 
forum che ha avuto un'esperienza simile il quale mi ha 
riferito che su altro forum dello stesso portale (nello 
specifico Forumcommunity) uno dei moderatori gli disse un 
paio di anni fa che poteva sapere molto degli utenti e
(testualmente) prendeva nota di tutti gli IP e ne
conosceva parecchi rintracciati con gli strumenti che
aveva a disposizione. Questo stesso amico mi ha detto che
è stato "pescato" anche solo come visitatore; non ha più
loggato dopo che come me e tanti altri ha lasciato quel
loco insano.
 
Ora, che io sappia l'IP dice molto poco, al massimo la
zona e almeno il mio non è statico. Ci crediate o meno non
ho niente da temere/nascondere ma essere stato 
rintracciato in questo modo mi ha lasciato un po' male.
 
Davvero i portali di forum danno accesso a queste 
informazioni o almeno ne mettono a disposizione a 
sufficienza da permettere questo genere di incroci? C'è 
quale altro modo per spiegare come sono stato 
rintracciato? Anche il nick l'avevo scelto con cura,
in modo da non rimandare a me e il mio classico stile.
 
Last but not least, sempre dalla conversazione avuta, pare
si riesca anche a rintracciare l'utente anche se posta da
un proxy.
 
La curiosità è solo tecnica; più che altro perché posso
capire ci riesca Google o FB ma un "pincopallo come me"
ecco, lo trovo più preoccupante. O sto cercando una 
spiegazione assurda che invece ho sotto il naso oppure... Boh.
 
Thanks!
 
Apx
 
 
 
 
-- 
- Amore, tu piangi. Che hai fatto?
- Non mi ascolti mai, per te sono solo
   un oggetto...
- Intendevo, che hai fatto per cena?

 sparato nel mucchio.
 
 
[...]
 
 
Ciao,
 
inizio dal fondo dicendoti che alcuni proxy usano un header che mostra l'IP di
origine.
Per il resto, potrebbe darsi che quel forum usi banalmente un cookie con
lunghissima scadenza. Ti eri registrato sempre con lo stesso browser?

 ma essere stato rintracciato in questo modo mi ha lasciato un po' male.
 
giusto per tua curiosità, prova a fare questo test:
https://www.nothingprivate.ml/
 
 
per approfondire:
https://github.com/gautamkrishnar/nothing-private
 
 
in breve: sì, riconoscere se un utente ha già visitato un sito è possibile 
attraverso quella che si chiama "device fingerprint". questo sfugge ai 
classici metodi di tracciatura da cui siamo abituati a difenderci.
il browser manda tutta una serie di informazioni che, opportunamente 
analizzate, formano una vera e propria impronta digitale. 
 

 lo stesso browser?
 
E' probabilissimo di sì, e sui cookies è chiaramente 
possibile ma conoscendomi trovo strano che in un anno io 
non abbia mai fatto la pulizia a fondo cookies compresi. 
Massimo passa un mese, e questi sono 10-12 :/


 impronta digitale.
 
Grazie anche a te. Conoscevo il fingerprinting ed è la
prima cosa che ho pensato, e sono sempre stato sicuro che
il portale tracciasse tutto. Quello che mi è
incomprensibile è come questo genere di info così delicate
possano essere accessibili ai moderatori. I forum sono
tantissimi, tutti interconnessi e se davvero i moderatori
hanno accesso ai dati così ottenuti è veramente
preoccupante, una falla per la privacy niente male.


 niente male.
 
non è esattamente così. quello che viene salvato è una sorta di di hash 
calcolato mettendo insieme tutte queste informazioni nessuna delle quali è 
peraltro un dato personale e tantomeno lo è la stringa risultante. il 
"moderatore" di fatto non vede nulla, è il software che confronta queste 
stringhe oscure e riconosce che la persona che sta visitando la pagina è 
la stessa che si è loggata con un certo utente un anno fa, oppure che è 
passata due giorni prima a vedere un certo prodotto...
 
https://fingerprintjs.com/demo/
 
 
 
non salvando dati personali la cosa allo stato attuale non viola nessuna 
normativa. ed è complicato normare in questo senso perché sono situazioni 
al limite. faccio l'avvocato del diavolo: tu ad esempio hai detto di 
esserti registrato con una seconda identità, bene, anzi male, non è una 
cosa correttissima e molto probabilmente contro la policy del forum. se 
usassero questa tecnica per "sgamare" sospette doppie identità non 
potresti dire nulla. 

 non potresti dire nulla.
 
cioè quello che voglio dire è come un coltello, lo puoi usare per tagliare 
il pane oppure per tagliare una gola. bisogna che le normative si 
concentrino sull'uso dello strumento non sullo strumento tout court. per 
quello dico non è facile.

 potresti dire nulla. 
 
Una cosa non ho capito del fingerprinting: non basandosi su dati personali
serve a riconoscere un singolo utente X nelle sue successive visite e quindi a
profilarlo. Poco male, finché resto il signor X. Ma se io ho un account ad
esempio su Google, e Google mi fingerprinta, allora non fa nessuna differenza
se ho fatto il login o no: tutti i dati della mia navigazione possono essere
associati da Google alla mia persona, nome cognome e indirizzo, sia che sono
loggato - e quindi Google è soggetta a un accordo contrattuale, per quanto
capestro possa essere - sia che non sono loggato. 
 
In questo secondo caso vedo due problemi: A) che magari penso che non essendo
loggato resto un signor X anche per Google, B) che non c'è alcun controllo
legale sull'uso dei dati che Google ricava quando non sono loggato, perché
"ufficialmente" io sono un signor X. 
 
Sbaglio?
 
-- 
Luca - e-mail: p.stevens at 
libero.it
 


il problema è anche più complesso. perché come sappiamo google è presente 
praticamente in tutto il web (analytics, ads, etc...) e questo vuol dire 
che potenzialmente google può tracciare la navigazione del signor x 
ovunque vada. non solo, siccome analizza semanticamente le pagine associa 
al signor x una quantità enorme di informazioni (non è un segreto, tutti 
ci accorgiamo della pubblicità mirata ai nostri interessi). questo come 
dici te diventa un problema assolutamente non banale allorché per google 
il signor x non è nemmeno un signor x.
 
è il discorso che già è stato affrontato con i cookie, con un approccio 
stile voler tappare un colabrodo con le dita.
 
quindi tornando all'op: il fatto che il moderatore del forum l'abbia 
sgamato nella nuova identità è solo una innocua goccia nel mare, il 
problema non è quello anzi in quel caso avrebbe eventualmente usato la 
tecnica per un fine lecito e corretto.

 
https://www.nothingprivate.ml/
 
 
o anche il vecchio, ma ancora valido "panopticlick"
 
https://panopticlick.eff.org/
 
 
e, già che ci siamo, se uno volesse approfondire, suggerirei di leggere
questo documento
 
https://coveryourtracks.eff.org/static/browser-uniqueness.pdf