Newsgroup: it.comp.os.linux.sys
Titolo: Squid con cronometro

In una delle ditte che seguo hanno una necessitï¿œ particolare: non 
vogliono che i pochi dipendenti cazzeggino liberamente sul web tutto il 
giorno quindi nella norma dev'essere tutto chiuso eccetto quei pochi 
siti utili, MA per la tipologia di lavoro che fanno potrebbero avere 
necessitï¿œ immediata ogni tanto di avere sbloccato completamente 
l'accesso al web per motivi lavorativi.
Quindi le tipiche ACL di Squid dalle-alle non vanno bene. A qualcuno di 
voi risulta che sia possibile, direttamente con Squid (o eventualmente 
Squidguard o Dansguardian o ...), far sï¿œ che ogni utente abbia uno o piï¿œ 
gettoni quotidiani da sparare in un momento a propria discrezione e da 
quel momento possa vagare su tutto il web ma per un certo periodo di 
tempo limitato, p.e. 10 minuti?

 tempo limitato, p.e. 10 minuti?
A me verrebbe in mente di utilizzare un captive portal stile internet 
point, una volta fatta l'autenticazione su una pagina apposita, parte il 
gettone e dura XX minuti. Solo con squid e le ACL non so quanto sia 
fattibile

 tempo limitato, p.e. 10 minuti?
Mi sembra che il problema sia organizzativo, non informatico e di
filtro.
Cosi` come la vuoi risolvere non credo si possa o abbia senso: e se
uno non
ha necessita` di usare il suo gettone, oppure, ancora peggio, se uno
ha bisogno
di navigare per esigenze lavorative piu` di quanto sia abilitato dal
suo gettone?
Con dansguardian mi sembra che sia possibile fare si` che l'utente
debba confermare
la sua navigazione ad ogni pagina non autorizzata, e questa richiesta
viene
registrata. Questa potrebbe essere una soluzione, se c'e` qualcuno che
poi va a
guardarsi questi log o se questi vengono inviati e letti da un
responsabile, anche se ci potrebbero
essere dei problemi di violazione della privacy. Per evitarli e se ci
fossero, sarebbe possibile
adibire qualche postazione specifica alla navigazione completa, ma per
poter accedere
a quelle postazioni l'utente dovrebbe ricevere l'autorizzazione di un
responsabile e dunque
comunicargli preventivamente che cosa ci deve fare e perche'.
Oppure ancora si potrebbero cambiare le ACL di squid o dansguardian al
volo (ci sara` pure
una gradevole interfaccia magari web da dare in mano al responsabile
per farlo) cosi`
da poter pormettere la navigazione completa a chi  lo richiede per
motivate esigenze
lavorative.
Andrea

 ciao, f.
rispondo (e ringrazio) a te e agli altri: questo particolare ufficio ha 
spesso comoditï¿œ (a volte necessitï¿œ) di reperire svariate informazioni al 
volo su internet, ovviamente su siti non predeterminabili altrimenti non 
si porrebbe il problema. Attualmente vige un'ACL di esclusione tranne 
pochi siti concessi. Il sistema "io aggiungo al volo un'eccezione" non 
puï¿œ funzionare con la frequenza usuale, nï¿œ la situazione con richiesta 
auto-gestita perchï¿œ non ï¿œ garantita la presenza fissa di un responsabile 
o sysadmin per gestire tempestivamente queste richieste (quindi nemmeno 
l'accesso a una postazione libera o simile soluzione), stando cosï¿œ le 
cose il sistema a gettone ï¿œ l'unica cosa che mi ï¿œ venuta in mente. Anche 
l'idea del dansguardian con notifica ï¿œ interessante e forse semplice ma 
appunto si porta dentro le delicate beghe della privacy.
L'unica mi sembra quella del captive portal, perï¿œ sognavo una qualche 
soluzione piï¿œ semplice, tipo una ACL magica che dopo un uso di X minuti 
chiudesse fuori quell'ip per Y minuti.

 appunto si porta dentro le delicate beghe della privacy.
parlo per ipotesi...ma se io avessi un bot, script, processo o 
cavolo_ne_so_io che legge LUI i logfile e se trova qualcosa di sospetto 
(definito dal sysadmin in una lista) avverte?
ad esempio di potrebbe definire che se trova un record di 
www.ilsitodellecrack.com
 automaticamente estrapola l'user segnando un punto.
a fine scansione mostra a video se ha trovato qualcosa ed eventualmente 
la lista degli user "positivi" con il punteggio.
tu non sapresti quali siti hanno visitato di preciso (ovvio che ï¿œ uno 
della lista che definisci), nï¿œ quando, nï¿œ da dove, perï¿œ sai che ï¿œ stato 
fatto e sapresti anche quante volte (perï¿œ non il sito specifico, 
sapresti che X volte ha visitato siti "illeciti").
questo sarebbe violare la privacy comunque?

 ciao, f.
bell'idea, per� cos� l'ha solo sbloccato...non ha commesso "l'illecito", 
ovvio che le intenzioni erano quelle ma...

 ciao, f.
aspetta, mi sa sono io a non essermi spiegato :)
NON si vuole che questo sistema dipenda da controlli o autorizzazioni, 
il sysadmin (n� chi per lui) non deve/pu�/vuole occuparsi di questo. se 
poi oltre a questo consideri che ci� implica necessariamente obblighi 
aggiuntivi di tutela della privacy (se pinco pallino si aggiunge 
"sitopergay dot com" chi lo controlla viene forzatamente a conoscere 
delle informazioni sensibili), la soluzione proposta � ancor pi� antipatica.
io poi non sono credo in grado di scrivere una pagina che faccia quanto 
mi dici... ma ammesso che imparassi, come � possibile far s� che le 
regole create siano a scadenza temporale? perch� questa � una soluzione 
pi� calzante, se � possibile far s� che non si possano creare pi� di due 
regole al giorno, e queste le faccio scadere dopo un tempo determinato, 
� gi� meglio di niente.

Argaar ha scritto:

ï¿œ interessante, anche se temo sarebbe comunque (anche se piï¿œ 
leggermente) soggetto a punti deboli di privacy, il punto perï¿œ ï¿œ che i 
siti non consentiti sono TUTTA LA RETE, ovvero ovunque puï¿œ voler andare 
chi vuole cazzeggiare e perdere tempo, e per questo non esistono 
cazzeggiolists... o sï¿œ? :)

 casa sua con la sua linea e nessuno avr� niente da ridire.
guarda, potrei anche pensarla come te, ma per la legge italiana temo sia 
diverso, poi non ho interesse ad andare OT ma quello di cui stiamo 
parlando non � altro che un controllo dei log di quali siti le persone 
visitano, semplicemente *non* lo puoi fare o meglio, solo in casi rari e 
e particolari, nel caso mettendoti a norma compilando un sacco di 
scartoffie e menate e rischi e informative e notifiche e conconrdandolo 
col sindacato eccetera. o almeno i corsi a cui mi hanno fatto andare mi 
hanno indottrinato a questo.
ma ecco, a volte basta leggere due righe direttamente dal Dio Garante:
"L'Autorit� prescrive innanzitutto ai datori di lavoro di informare con 
chiarezza e in modo dettagliato i lavoratori sulle modalit� di utilizzo 
di Internet e della posta elettronica e sulla possibilit� che vengano 
effettuati controlli. Il Garante vieta poi la lettura e la registrazione 
sistematica delle e-mail cos� come il monitoraggio sistematico delle 
pagine web visualizzate dal lavoratore, perch� ci� realizzerebbe un 
controllo a distanza dell'attivit� lavorativa vietato dallo Statuto dei 
lavoratori. Viene inoltre indicata tutta una serie di misure 
tecnologiche e organizzative per prevenire la possibilit�, prevista solo 
in casi limitatissimi, dell'analisi del contenuto della navigazione in 
Internet e dell'apertura di alcuni messaggi di posta elettronica 
contenenti dati necessari all'azienda."
per il resto appena avr� tempo e voglia mi rimboccher� le maniche e 
vedr�, grazie per i consigli!

VP ha scritto:

no...esistono le blacklist tipo per squid che vengono aggiornate...e su 
squid sono divise per categoria...ovvio poi che un sito ogni tanto 
comunque ti sfugge anche perchï¿œ se vai a vedere il sito 
mio...sicuramente non sarï¿œ in BL ma sicuramente non ti servirï¿œ 
consultarlo a lavoro....

 consultarlo a lavoro....
mi informerï¿œ a dovere sulle liste possibili... sarebbe fantastico se 
esistessero delle liste per utenti italiani anti-cazzeggio, comprendenti 
i social network, i vari alice libero etc, gmail, le testate dei 
giornali... insomma via tutto ciï¿œ che puï¿œ tentare dallo stare sul web 
ore a far niente. lo so che ï¿œ cattivo ma tant'ï¿œ :)

VP ha scritto:

cattivo? aho io ti pago per lavorare no per rispondere al tipo su facebook
le liste ce ne sono ma non so quanto possano essere localizzate e 
precise, conta sempre che comunque sono mantenute da esseri umani.
la cosa ï¿œ che come ho scritto non so le implicazioni per la privacy, a 
mio parere cosï¿œ non violo la tua privacy perchï¿œ magari sei andato a 
vedere un sito per le tue malattie e io non devo saperlo, in questo modo 
io non lo so, so solo che qualcosa l'hai fatta...un legale perï¿œ 
sicuramente potrebbe dirti di piï¿œ

 sicuramente potrebbe dirti di piï¿œ
infatti credo ci si orienterï¿œ su qualcosa del genere, liste + orari 
prefissati, mi sembra il miglior compromesso senza controlli nï¿œ 
autorizzazioni e con facilitï¿œ di implementazione, dato che parliamo di 
un ufficio di poche persone, fossero 40 varrebbe anche la pena ma cosï¿œ...

 ciao, f.
infatti hai ragione, la soluzione dello sblocco non � esattamente un 
controllo dei log arbitrario, forse basterebbe un robusto disclaimer 
robusto a pararsi il culo, per� nelle terre di confine 
dell'interpretazione della privacy non vorrei avventurarmi :)
ma taglia la testa al toro, nel caso specifico, il fatto che si vuole un 
sistema completamente automatico, non dipendente da autorizzazioni o 
sblocchi.
la policy dalle-alle � limitante perch� se uno ha bisogno di una 
informazione tre ore prima dell'orario definito... forse l'unica sarebbe 
ragionare su alcuni minuti liberi all'inizio di ogni ora.

Mandi! VP
  In chel dì si favelave...
V> ma ecco, a volte basta leggere due righe direttamente dal Dio Garante:
E mangari leggerle anche bene e capirle.
Un conto è monitorare (=fare copia) il *contenuto* di email e
connessioni HTTP, un conto è tenere traccia del traffico (classico log,
chi scrive a chi e quanto, NON cosa).
Questa seconda informazione è normalmente tracciabile, e per verificare
che non ci siano abusi, e per poter far andare i sistemi di verifica e
'fine tuning', ovviamente sempre previa informativa dettagliata ai
dipendenti, questo è ovvio.
-- 
  The number of UNIX installations has grown to 10, with more expected.
	(_The UNIX Programmer's Manual_, Second Edition, June 1972)

 
secondo te quale parte di
"il Garante vieta [...] il monitoraggio sistematico delle pagine web 
visualizzate dal lavoratore"
non ho letto/capito bene?

VP ha scritto:

si però per sistematico di solito non si intende come sinonimo di 
"regolare"? e se il controllo fosse "una tantum"?

Argaar ha scritto:

beh se entriamo nel campo dell'interpretazione, siamo fregati :)
se ogni giorno un utente si sblocca - e mi notifica - un sito, per il 
garante potrebbe essere "sistematico" monitoraggio e tiè, una bella 
multa o meglio ancora, in galera ;)
mi pare di aver letto proprio qui che addirittura i sistemi di 
logging+notifica intelligente, cioè notificami se il traffico supera un 
certo volume, se il traffico và in siti di malware, se questo, se 
quello, è (erroneamente, ma la legge è legge) ascrivibile a controllo a 
distanza del lavoratore, perchè per quanto fosse destinato alla 
videosorveglianza sta scritto "vietato monitorare l'attività del 
lavoratore con strumenti di controllo remoto"... mah, cmq terreno minato.
di certo, tornando alla risposta del tal Marco qui sopra, è ovvio che 
*tracciare* si può sempre per svariate esigenze, un po' meno ovvio il 
"verificare che non ci siano abusi" ma sicuramente discutibile il 
controllare sempre QUALE sito il dipendente Pincopallino visita. in 
questo senso, sistematicamente può anche venir tranquillamente visto con 
"ogni volta" che il dipendente naviga fuori dai siti tipicamente utili, 
e così in effetti sarebbe...

VP ha scritto:

guarda...credo che a sto punto l'unica soluzione che ti rimane sia di 
raccogliere tutte le idee che ti abbiamo fornito e (se è tua intenzione 
usarne una) chiedere ad un consulente legale che ti saprà dire a riguardo...
ps: se lo fai poi magari diccelo anche a noi

 ps: se lo fai poi magari diccelo anche a noi
sicuramente, ma visto quanto sopra (non tanto la privacy ma per 
semplicità tecnica) ho parlato con chi decide e ha deciso di lasciare il 
web "libero" (eccetto liste di siti malevoli) per alcuni minuti a 
intervalli regolari, deciderà lui per quanto e ogni quanto.
la cosa mi interessa però e prima o poi se dovesse tornare fuori e 
trovassi adeguato svilupparla come avevate detto, vi farò sapere senz'altro
ciao

Mandi! VP
  In chel dì si favelave...
V> secondo te quale parte di
V> "il Garante vieta [...] il monitoraggio sistematico delle pagine web 
V> visualizzate dal lavoratore"
V> non ho letto/capito bene?
...che, anche da note successive del garante, è per me chiaro che
monitoraggio implica la registrazione/visualizzazione del *contenuto*
delle sessioni (HTTP, se stiamo all'oggetto).
-- 
  Alla fiera dell'est, per due soldi
  un topolino mio padre compro`				(A. Branduardi)

 
non sono a conoscenza di queste note successive, hai un link? se così 
fosse...
però conta che ai convegni sulla privacy per l'IT dicevano come fosse 
scontato che i riferimenti sono agli URL e quindi al controllo dei 
relativi log, poi io per certo non so.

Mandi! VP
  In chel dì si favelave...
V> non sono a conoscenza di queste note successive, hai un link? se così 
V> fosse...
Scusami, due giorni di ferie... ho ravanato nel mio faldone 'privacy',
ma ricordo nettamente una nota che indicava nettamente come in azienda
i 'servizi offerti' non possono essere considerati 'personali', ma
semplicemente concessi in uso.
Da che se ne deduce (altro riferimento che avevo pinzato assieme...) che
il datore di lavoro non può ovviamente 'spiare' il dipendente, ma
chiedere conto si.
L'esempio era: se stampo mille pagine sulla stampante di rete, io
datore di lavoro non posso farmi consegnare le 1000 pagine, ma chiedere
conto della motivazione per cui sono state stampate si.
V> però conta che ai convegni sulla privacy per l'IT dicevano come fosse 
V> scontato che i riferimenti sono agli URL e quindi al controllo dei 
V> relativi log, poi io per certo non so.
Oh, IANAL, ma a me come discorso mi è parso parecchio sensato...
-- 
  La BBS e' come il mio frigorifero... da tanti anni fa in silenzio un ottimo
  lavoro, al punto tale che mi accorgo della sua utilita' solo quando manca la
  corrente e tutto quello che contiene diventa inutilizzabile. (E. Margelli)