Newsgroup: it.comp.sicurezza.varie
Titolo: Mitigare la profilazione

Visto che FB e Libero.it e tutti gli altri siti che lo fanno da tempo, 
soprattutto giornali, ormai ci costringono alla profilazione, perché è 
impensabile avere tutti questi abbonamenti.
Come si può eliminare o mitigare la profilazione coatta che stiamo 
subendo e sarà sempre più presente?
Ciao.


In parte con la navigazione anonima. Accetti i cookie di terze parti (per 
forza) ma chiudendo il browser vengono buttati via.
Altrimenti usi dei browser come Brave che possono bloccare in modo 
aggressivo cookie e fingerprinting, e i siti che non ti fanno passare amen 
non li visiti.
 
 



Bloccare del tutto... la vedo dura, ma si può ridurre la "superficie
esposta" :) la prima cosa è usare FireFox, dato che Chrome non permette
di fare certe cose, fatto questo si possono aggiungere ad FF i seguenti
add-on
 
uBlock Origin
https://addons.mozilla.org/en-US/firefox/addon/ublock-origin/
 
 
Privacy Possum
https://addons.mozilla.org/en-US/firefox/addon/privacy-possum/
 
 
Decentraleyes
https://addons.mozilla.org/en-US/firefox/addon/decentraleyes/
 
 
ClearURLs
https://addons.mozilla.org/en-US/firefox/addon/clearurls/
 
 
ByPass paywall clean (opzionale)
https://addons.mozilla.org/en-US/firefox/addon/bypass-paywalls-clean-d/
 
 
considera che alcuni add-on necessitano di configurazione, di solito le
opzioni preimpostate vanno bene, ma potrebbero in alcuni casi essere
troppo permissive
 

 
https://addons.mozilla.org/en-US/firefox/addon/privacy-possum/
 
 
Attenzione che questo non è aggiornato da diversi anni.
Meglio "l'originale" by EFF: 
https://privacybadger.org/
 
 
In generale per combattere del tutto la profilazione si dovrebbe
arrivare a rendere pressochè inutilizzabili i browser, visto che
ormai i vari siti profilano anche secondo parametri apparentmente
innocui come il tipo di font usato, la risoluzione del browser, ecc.
E' una battaglia persa, ma si può fare qualcosa affinchè la vincano
a carissimo prezzo, per esempio usando cose come le estensioni
succitate, e aggiungo AdNauseam, che "clicca" al posto nostro tutte
le pubblicità che trova, incluse quelle nascoste o bloccate, così
da generare traffico fasullo verso gli sponsor e rendere inutili i
dati ricavati dalla profilazione.
 
https://adnauseam.io/
 

 Meglio "l'originale" by EFF: 
https://privacybadger.org/
 
 
Sinceramente preferisco "possum" ed il motivo è quello spiegato qui
 
https://github.com/cowlicks/privacypossum#why-not-privacy-badger
 
 
 


Invio a tutti i partecipanti al tread:
usare una distro linux (live) in una macchina virtuale secondo voi 
risolve la maggior parte dei problemi o sono sempre necessari i plug che 
  avete indicato?

 necessari i plug che avete indicato?
 
 
Ti puù mitigare/eliminare la profilazione da parte di
Microsoft ma non delle abitudini di navigazione con tutto
quello che fai in rete. Se per es. Amazon tenta di
profilarti che gliene frega se sei su linux o win? Gli
importa per esempio vedere quante volte sei tornato su un
prodotto, come hai mosso il mouse, scrollato le finestre
eccetera, così che possa capire cosa ti interessa. E
quello non dipende dal sistema operativo ma quasi solo dal
browser.


Non si possono bloccare i link tramite il file hosts?
Una volta esisteva un progetto che li aggiornava, poi è stato chiuso, 
non ne ricordo il nome, comunque, esiste qualche altro progetto simile?


Il limite è che FB, Amazon, Ebay etc. quando entri ti devi autenticare, 
cosa succede nelle loro piattaforme è impossibile da capire fino in fondo...

 Non si possono bloccare i link tramite il file hosts?
 
Se si trattasse SOLO di "bloccare i link" il problema sarebbe stato già
risolto, non ti sembra ? La cosa è MOLTO più complessa, ed in molti
casi non è possibile "bloccare i link" indiscriminatamente
 
 
 

 Non si possono bloccare i link tramite il file hosts?
 
Tramite file hosts nella pratica ovviamente no, è come voler tappare un 
colapasta con le dita. Però basandosi su questo stesso principio esistono 
progetti come pi-hole oppure dei server DNS 
https://nextdns.io/
.

 usare una distro linux (live) in una macchina virtuale secondo voi 
 
Ma non c'è neanche bisogno di usare un OS particolare, basta soltanto
fare in modo che, ad ogni avvio, il "browser" (ok tutti i dati dello
stesso) riparta da ZERO, ossia nessun dato memorizzato, niente cookie,
cache, info di login o altro
 
Ma quanto sopra non evita la profilazione "durante l'uso", per fare un
esempio, supponi di avere un account Google, fai partire il browser di
cui sopra e poi (es.) apri "Gmail" dal browser, a quel punto Google sa
"chi sei" per cui può "tracciare" quello che fai e memorizzare i dati
sui PROPRI server (e non sul tuo computer)
 
E quello sopra è soltanto UNO dei possibili modi di tracciamento, ne
esistono a tonnellate, per farti un esempio, supponi di visitare il
sito 
www.example.com
, nella pagina che si apre il codice HTML potrà
contenere il riferimento a vari "oggetti", ad esempio, immagini, CSS,
script ed altro, ora... diciamo che uno dei riferimenti sia fatto in
questo modo (nell'HTML della pagina)
 
<img src="/img/immagine.png">
 
il tuo browser, al caricamento della pagina invierà al server web una
richiesta "GET" per l'immagine, solo che il server WEB è configurato in
modo che, alla ricezione di tale richiesta risponderà con qualcosa del
tipo
 
HTTP/1.1 301 Moved Permanently
Location: 
http://www.example.com/img-VSA5PiA1OFBdTw.png
 
 
ossia il server risponderà al browser che quell'immagine richiesta è
stata spostata e passerà al nostro browser l'URL da dove scaricarla,
solo che quell'URL è stato generato "al volo" c quel "VSA5Pi..." è una
ID UNIVOCA legata "a noi" ossia che permette di "identificarci"
 
e, ripeto, quello sopra è solo UNO dei modi, ce ne sono a mucchi
 
 

 
https://adnauseam.io/
 
 
Sono andato a vedere il sito e l'estensione per firefox.
 
Dice però questo:
 
"Commenti dello sviluppatore
It is best to remove or disable other adblockers (such as uBlock or 
Adblock Plus) as they may block ads before AdNauseam can identify or 
collect them"
 
In pratica uno deve vedere tutte le pubblicità per "confondere" la 
profilazione.
 
Come chiudere la porta e aprire la finestra.... :-(


Quindi andrebbe dinamicamente cancellato tutta cache ogni volta che si 
chiude una scheda. Questo sarebbe utile ed ovviamente non risolutivo. 
Giusto?
Insomma hanno creato un sistema di controllo niente male.
 

 si chiude una scheda.
 
Non basta :)
 


Le informazioni sul tuo conto si possono suddividere grosso modo in due
categorie: quelle che non t'importa se la gente le conosce (per esempio
essere biondo, scolarizzato o FRVSTONE) e quelle che te ne importa (per
esempio lo stato di salute, censo, esse' gobbo, cose così).
 
Per le prime è sufficiente lo spirito critico. Nel senso: sanno che sei
biondo e c'hai la forfora, perché? Perché così ti presentano pubblicità
dello shampoo antiforfora riflessante al gingko biloba. Embe'? Ti basta
tener presente che se ti serve lo compri e se no non lo compri: anzi, è
una comodità. Se metti il like a un articolo con una certa linea magari
ti arriva la pubblicità di un politico ben preciso: e se hai messo quel
like, ci sta che sarebbe quello che avresti votato comunque.
 
Per le seconde, "basta" impedire che le tue informazioni girino e siano
riconducibili a te. Che non è proprio facilissimo; io comincerei con il
procurarmi un computer (o una VM) da isolare, e in cui giri soltanto lo
stretto indispensabile, riformattata regolarmente e con installato ogni
default sotto il cielo. Perché di gente che naviga con il SecureBrowser
Hardened Diamond Culostrett Antitracker 2001, probabilmente ci sei solo
tu, e ti si riconosce da due chilometri sopravvento. Ma di gente che se
ne va in giro con l'Edge preinstallato e le impostazioni di fabbrica ce
n'è un soldo la dozzina: o vai a ritrovarti là in mezzo. Sicuramente, a
ogni navigazione ti tracceranno con una precisione del 10000%, e "Loro"
sapranno tutto ciò che l'utente #1234567890 ha fatto online; e pazienti
aspetteranno in agguato #1234567890 fare qualcosa che tramite i cookie,
il magic fingerprint o il cache sidechanneling sveli la sua identità.
 
Ma dopo chiusa la VM, l'utente #1234567890 sparisce per mai più tornare
- al suo posto comparirà un altro utente sempre default, ma vergine, al
successivo riavvio.
 
Tutt'al più, se proprio uno c'ha pazienza noterà che dalla tale rete di
un tale provider sembrano uscire un sacco di gonzi col PC installato di
fresco. Ma intanto non è facile, e poi ci vai da poche parti.
 
Poi, naturalmente, se hai cotto il razzo allo Shin Bet, non ti salva né
la VM né l'antitracker del buon Dio.
 
Ci sarebbe anche una terza categoria di informazioni. Son quelle che tu
pensi non te ne importi niente, e però o un domani, o nelle mani di uno
che ne sa, ti possono essere scomode. Per ridurre questo problema, devo
dare una brutta notizia, c'è un solo, vero modo: stare attenti a quello
che si pensa, al suo perché e al suo percome. E, specie le informazioni
che ti fa taaaanto piacere avere, domandarti chi te l'ha date, perché e
con quanta affidabilità. Cos'aveva o poteva avere da guadagnarci.
 
Per esempio ti piacciono le lasagne, ti arriva un sacco di news su quel
tale politico e quanto gli garbano le lasagne. Non sai che - alla gente
che le lasagne le tiene in schifo - arrivano le dichiarazioni di quello
stesso politico, che propone di vietare le lasagne. Oh, paiono cazzate:
ma so di uno che co sti tragatini manca poco ci diventava Presidente.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

   avete indicato?
 
Se devo usare una macchina virtuale allora faccio come dice Leonardo 
Serni nell'altro post ...  :)


Certo ma chiedo di mitigare visto che non si puà bloccare al 100&...


Mitiga...


Vi rendete conto come siamo messi in un ambito nel quale prima c'era 
bisogno di 1000 operatori su un pc ad analizzare i dati e tra poco (se 
non lo fanno già) basta AI ad analizare tutti questi dati?
In che mondo vivremo da qui a poco?
Scenari alla Matrix e Terminator, per le info personali almeno, mi 
iniziano ad essere sempre meno irrealistici...


P.S. Cosa c'è di più illiberale del "no more secret"? E noi ci stiamo 
infilandoci dentro con tutte le scarpe eppure facciamo le leggine del 
cavolo sulla privacy. Non so se ridere o se piangere.

 
[cut]
 
 
Mi permetto di aggiungere Tails come suggerimento di uso pratico


Ok ma non perdiamo il senso della misura. I dati raccolti dalle agenzie di 
advertising sono anonimi ed è virtualmente impossibile risalire ad una 
qualsiasi identità. Capisco le pubblicità siano fastidiose come anche 
l'idea di tracciamento e targeting, ma non disegniamolo come il Grande 
Fratello.  

 Mitiga...
 
No
 
 
 
 

 cavolo sulla privacy. Non so se ridere o se piangere.
 
Le normative "sulla privacy" sono una pezzuola calda, non servono a
nulla se non a fornire un supporto legale nel caso di diatribe, ma non
ha in effetti alcun tipo di efficacia o valenza nel "mondo reale", per
dirla corta, serve solo a "pararsi il cuBo"
 
 
 
 


Ma parli in generale o nello specifico della cookie policy?
Perché nel primo caso avrei qualcosa da ridire...

 Perché nel primo caso avrei qualcosa da ridire...
 
Di tutto "l'ambdaradàn" a partire dal "garante" sino alla storia dei
cookies e tutto il resto, non serve a nulla, chi continua a proporre
queste cose, non ha evidentemente una visione chiara ed approfondita
di cosa sia internet e di come funzionino i vari protocolli, in caso
contrario non vedremmo certe assurde baggianate, o prese per il cuBo
 
 
 
 
 
 


Si ma ancora non mi è chiaro, posso essere d'accordo se parliamo della 
cookie policy (che è un po' il tema inerente a questo thread) ma su tutto 
l'ambaradan non mi sembra un ragionamento giusto. Prendi ad esempio i 
recenti data breach a varie ASL: è più baggianata la "privacy by design" 
raccomandata dal GDPR o i comunicati/supercazzola delle suddette ASL volti 
a minimizzare l'accaduto e scaricare responsabilità? Chi è che non ha una 
visione chiara di cosa sia internet, il legislatore o chi si fa uccellare 
gigabyte di dati sensibili?
 


Ci sono ancora siti "istituzionali" che ti _impediscono_ di cambiare la 
password e ti fanno la guerra, letteralmente, se lo chiedi.
Mi meraviglio poco delle ASL: nella mia zona, fino a pochissimo tempo 
fa, avevano accessi senza https... Figurarsi se non è colpa dell'utente 
che non ha tenuto in modo adeguatamente protetto la password.
Diciamo che se fosse stato anche in mano all'ultimo degli smanettoni 
l'https lo avrebbero introdotto da almeno 10 anni.
Ogni ulteiore commento è superfluo.