Newsgroup: it.diritto.internet
Titolo: Registrare attività WLAN - limitazioni

Recentemente su icoli ho chiesto qualche consiglio
relativo al controllo di una rete locale senza fili,
una wlan appunto, che un amico gestore di un locale
pubblico, un bar nella fattispecie, ha attivato.
 
Alla wlan accedono anche i clienti del bar, chiedono
la password e sempliceemnte si collegano senza alcun
login o simili.
 
I problemi che mi riferiva l'amico e che sono emersi
dalla discussione su icoli sono tre sintetizzando:
 
1.
l'amico si è accorto in qualche occasione che la wlan
era congestionata e nessuno tiusciva più a navigare.
Sospetta che un utente abbia in qualche modo fatto uso
spinto della banda a disposizione.
Da qui già si ha un'esigenza di controllare chi fa cosa
o comunque di regolare la gestione della banda tra i vari
utenti. Forse questo si riesce a fare già con le impostazioni
del router.
 
2.
In caso di illecito commesso da un utente, non si è in
grado di risalire al "colpevole", in quanto non viene
registrato nulla delle navigazioni varie. Come ho detto
il gestore del bar rivela semplicemente la password della
wlan e stop. Questo potrebbe mettere nei guai il titolare
della connesione cioè il gestore del locale in questo caso.
Da qui la necessità di registrare parte della navigazione
e delle azioni degli utenti, in modo da essere anche in grado
di associare l'utente X alla propria attività su internet.
Su icoli mi hanno suggerito che la cosa forse più adeguata
sarebbe quella di far passare tutto il traffico della wlan
da un proxy predisposto ad hoc che si occupi di monitorare
il trafico registrando i "dati salienti" della navigazione
degli utenti.
 
3.
Dal punto precedente emerge però il problema che l'utente
potrebbe anche utilizzare dati sensibili, tipo proprie
credenziali a servizi di pagamento, email, account su vari
servizi online ecc.
 
E da qui la domanda per voi:
Quali dati possono essere registrati per tutelarsi contro
eventuali illeciti commessi dall'utenza della wlan?
E allo stesso tempo, quali dati non possono in alcun modo
essere registrati per non incorrere in violazione della
privacy dell'utenza stessa?
 
Perchè il problema potrebbe essere l'utente che si vede
la propria mail "hackerata" e dà la colpa al gestore della
wlan che gli ha carpito le credenziali d'accesso... Tanto
per dirne una.
 
Ok, è tutto. Grazie in anticipo!
Saluti!  :)

 per dirne una.
 
Le credenziali possono essere carpite da chiunque se la password del wifi e' pubblica(o non c'e proprio)e
se il sito di mail/banca/ecc ecc  non usa ssl/https/tls.
 
Giulia

Il 23/05/2017 23:16, GIulia ha scritto:
 
 >> In caso di illecito commesso da un utente,
 > Sara compito della PG e del PM individuare il colpevole.
 >
 >> Questo potrebbe mettere nei guai il titolare
 >
 > Solo se l'illecito lo ha commesso lui.
 >
 >
 
quello che dici mi torna per la responsabilità penale.
 
Ma per quella civile?
 
Se un ignoto diffama tiffany utilizzando la connessione wifi del bar 
sport e tiffany chiede risarcimento per 10 milioni di euro e  il 
colpevole non si trova, tiffany potrebbe essere obbligato in solido in 
quanto intestatario della linea, per culpa in vigilando?
 

 di associare l'utente X alla propria attività su internet.
 
Di far cosa ? A parte il fatto che ci sono tutta una serie di normative
che regolamentano la "registrazione", devi considerare che, in questo
caso, gli utenti sono praticamente anonimi, non credo che il gestore
del locale, alla richiesta della password WiFi chieda al cliente i
documenti, per cui, a quel punto, anche se tu avessi un log relativo al
traffico, cosa te ne faresti ? Il tuo "utente X" sarà uno sconosciuto
ed hai voglia poi dimostrare che si trattasse di un cliente e non di un
apparato collegato dal gestore del locale
 
 


 
Dal punto di vista penale il gestore del locale "dentro" non ci va 
perché spetta al PM dimostrare che era lui a navigare e non un cliente. 
Il problema secondo me sussiste nella responsabilità civile che non è 
personale "non si sa chi è stato ma la linea è tua quindi paghi te"; 
oltre ovviamente a tutte le rogne (sequestro dei computer, avvocato da 
pagare, ecc).
 
Non so come rimediarla? Assicurazione responsabilità civile?
Hmmmm... se io fossi un bar la rimedierei così:
 
1) convenzione con un provider internet che dà il servizio wifi per 
terzi (se esiste) gestendo tutto lui (captive portal, autenticazione con 
sms, ecc); a quel punto se il cliente pedopornografo ha ricevuto l'sms 
di conferma su una sim intestata a un senzatetto, i problemi sono del 
provider, non miei.
 
2) Soluzioine meno costosa e piu' furbetta: abbonamento a una vpn 
anonimizzante offshore (ce ne sono tanti); a quel punto collego un 
router con la funzionalità di PPTP end point (cioè client vpn) e poi 
faccio nat *dopo* per servire piu' clienti. La VPN mi dà un ip 
panamense, io ci faccio nat e lo do ai clienti.
A quel punto se qualcuno commette un reato, il reato è commesso con un 
ip di Panama di un provider che non tiene i log. Saranno capperi del 
provider panamense, ammesso che la rogatoria riesca ad arrivarci.
I clienti navigano meno velocemente ma chi se ne frega; a quel punto 
posso anche lasciare il wifi tutto aperto senza alcuna password.
 

 
 
Cioè... Il "bar sport" potrebbe essere obbligato in solido ecc,
giusto? c'è banalmente un errore di distrazione o ho capito male?

 hai prodotti tu!).
 
Per soluzioni "chiavi in mano" cosa intendi di preciso?
Cioè un apparato già configurato o ti riferisci proprio
ad un "operatore" terzo che si occupa della gestione dei
login?
 
Grazie della risposta!
 
PS.
Hai personalmente avuto a che fare con la gestione o
anche solo configurazione di situazioni del genere?

 senza alcuna password.
 
Ci sarebbe anche la possibilità di creare una lista di eccezioni
in modo che il titolare della connessione possa navigare senza
passare dalla VPN vero?
 
Grazie delle risposte!  :)

 anche solo configurazione di situazioni del genere?
 
Si, ma ho sempre consigliato al massimo la password.
 
 
-- 
Giulia  -->                                                                                                    (a 132 colonne)
|---------|---------|---------|---------|---------|---------|---------|---------|---------|---------|---------|---------|---------|--

 apparato collegato dal gestore del locale
 
No bè, se si mettesse in piedi un sistema di logging
l'idea di un modulo da far firmare agli utenti sarebbe
inclusa, altrimenti come dici tu avrebbe poco senso...
Ma da come diceva anche Giulia la cosa è più complessa
e anche tu in effetti accenni a normative che regolamentano
la registrazione.
Da come ho capito il problema diventa l'insostenibilità
di gestire autonomamente una soluzione del genere e con
una dubbia utilità, visto che i dati poi sarebbero registrati
dallo stesso titolare che potrebbe teoricamente anche
alterare i log per far ricadere eventuali colpe proprie,
su un ignaro utente della wlan...

 giusto? c'č banalmente un errore di distrazione o ho capito male?
 
Per la fantomatica responsabilitŕ in solido (che non esiste ma ammettiamola),
basta la normale assicurazione del locale.
 
Per l'ambito penale ovviamente la responsabilita' e' del reo.
 
Pensa piu' a verificare che non si scambino droga in quel bar o che non sia frequentato da troppi pregiudicati o di evitare
di dare da bere a persone gia alticce , piuttosto che a fantomatici diffamatori o pedoterrostanisti.


 su un ignaro utente della wlan...
 
Non gli conviene perché se poi l'utente calunniato dimostra che era 
altrove, al titolare del bar fanno culo triplo (calunnia + 
falsificazione log + il reato commesso su internet) oltre a chiudere 
l'attività (chi vorrebbe andare in un bar dove il barista ti appioppa 
una colpa non tua)?
 

 login?
 
Se esistesse un operatore terzo che si occupa di login e autenticazione 
sarebbe la soluzione migliore almeno la patata bollente passa a lui
 
Oppure cambi la password del wifi tutti i giorni (e spengi l'access 
point quando chiudi) e tieni le telecamere di sorveglianza.....
certo uno potrebbe uscire dal bar e commettere il reato il giorno stesso 
(che la password non è cambiata) ma gli conviene tentare altrove.


 
Non complicarti la vita:
https://it.avm.de/assistenza/fritzbox/fritzbox-7490/banca-dati-informativa/publication/show/294_Configurare-l-accesso-ospite-wireless-hot-spot-privato/
 
 
Periodicamente la password la fai cambiare e consiglio anche di limitare la 
potenza dell'antenna in modo da coprire solo l'area del bar.
 
Il resto sono "seghe mentali" inutili per quello che ti serve.
 
ciao
Gabriele

 Si, ma ho sempre consigliato al massimo la password.
 
Cioè come fa al momento il titolare in questione:
. Cliente: "vedo che c'è la rete wifi posso collegarmi?"
. Titolare: "ecco la password! cosa ti servo?"
 
Intendi così?

 posso anche lasciare il wifi tutto aperto senza alcuna password.
 
già, poi se poco poco uno dei clienti fa del terrorismo informatico o
furto dati nei confronti di qualche grossa entità incazzurrita, rischi
che rintraccino la tua connessione ed a quel punto hai voglia spiegare
che usi un IP panamense perchè ... ti fanno un cuBo a cavolfiore
 
 


Cartello sopra la cassa o non facilmente visibile dall' esterno.


 in campo una soluzione del genere?
 
giusto qualche esempio
 
http://www.linuxplanet.com/linuxplanet/reports/7087/1
 
 
https://sourceforge.net/projects/openvoucher/
 
 
https://packetfence.org/
 
 
http://www.chillispot.org/
 
 
http://www.worldspot.net/
 
 
https://grasehotspot.org/
 
 
L'ideale, ovviamente, sarebbe un sistema basato su SMS; in breve, il
cliente fornisce il proprio numero (ok, liberatoria per i dati, etc...)
ed il sistema automatico invia a quel numero una password univoca (e
con scadenza) per la connessione al WiFi
 
 
 

 Cartello sopra la cassa o non facilmente visibile dall' esterno.
 
con la scritta
 
"Non sparate sul pianista"
 
:) ?
 
 
 

 giusto qualche esempio
 
ci metto anche questo anche se vecchio
 
http://www.makeuseof.com/tag/set-free-wifi-hotspot-ddwrt/
 
 
 

L'accesso alla LAN del bar può avvenire perché il barista ha detto la 
password al cliente (all'orecchio; spero non abbia messo un cartello con 
le credenziali d'accesso), oppure perché un hacker si è introdotto nella 
rete.
 
Ora: nel caso qualcuno faccia illeciti, come si fa a dimostrare che la 
password gliel'ha data il padrone del bar? Anche se il protagonista lo 
dicesse, quanto conta? Dovrebbe produrre dei testimoni,
Ma cosa gliene importa rispetto all'illecito commesso, di tirar dentro 
anche un'altra persona!? e poi nel momento che si individua il 
responsabile è lui che risponde, no?
 
Alla fine, secondo me, non si può dimostrare che la password gliel'ha 
data il barista.
 
---
Questa email Ã¨ stata esaminata alla ricerca di virus da AVG.
http://www.avg.com