Tagi wpisów bezpieczeństwo

Rachunek sumienia adminów

Lotem błyskawicy obiegła Polskę informacja o włamaniach do Kancelarii Prezydenta, Kancelarii Premiera, Ministerstwa Obrony Narodowej czy Ministerstwa Spraw Zagranicznych. Człowiek, który to zrobił, nie korzystał z bardzo skomplikowanych narzędzi, wykorzystał jedynie niedopatrzenia i niedostatki, jakich pełno w firmach, nie tylko w Polsce.
Admini, zróbcie rachunek sumienia:

  • Kto trzyma hasła na pulpicie w pliku tekstowym?
  • Kto nie wyłączył przechowywania LM i nie zablokował lokalnego administratora na stacjach roboczych?
  • U kogo administrator domeny jest administratorem stacji roboczej? Kto nie przeznaczył do tego celu osobnych kont helpdeskowych?
  • Kto nie włączył blokowania konta po kilku nieudanych logowaniach?
  • Kto pracuje codziennie cały czas na uprawnieniach administratora domeny?
  • Kto nie ustawił ograniczeń na wykonywanie skryptów PowerShell?
  • Kto nie ograniczył logowania kont usługowych oraz tych o wysokich przywilejach?
  • Kto nie wprowadził separacji podsieci stacji roboczych od serwerów za pomocą dobrze ustawionego firewalla?
  • Kto nadal nie posiada oprogramowanie HIPS na wszystkich serwerach Windows?
  • Kto nie poblokował praw wykonania niepodpisanych binarek i nie monitoruje %TEMP% (Windows), a partycje /tmp i /home nadal nie są montowane z opcją nosuid, noexec, nodev (Linux)?
  • Kto nie kontroluje logowań użytkowników o wysokich uprawnieniach do narzędzi webowych (OWA, Sharepoint)?
  • Kto nadal nie może lub nie chce wdrożyć dwuskładnikowego uwierzytelnienia np. za pomocą kart chipowych lub tokenów?
  • Kto nie pilnuje logowania do usług takich jak FTP?
  • Kto nie monitoruje nieudanych logowań per organizacja?

A właśnie powyższe podatności systemu IT jako całości zostały wykorzystane do ataku. Jestem przekonany, że w większości polskich firm, w tym także tych analitycznych, wręcz ociekających wiedzą, podobny test penetracyjny zakończyłby się porównywalnym sukcesem.
Jak zachęcić kogoś do otwarcia załącznika? Przejąć konto jednego z pracowników, poszukać w „wysłanych” odpowiedniej wiadomości, przekazać dalej podmieniwszy załącznik. Dodać przy tym komentarz. Nie zdarzyło się jeszcze, by ktoś miał wątpliwości, bo przecież z tą osobą wymieniał maile „jeszcze wczoraj”, wiadomość jest w tej samej sprawie i tak dalej. Socjotechnika jest jedynie pomocą, zresztą ona prawie zawsze działa. To tylko kwestia „odrobienia lekcji” przez włamywacza. Luka w Excelu, Javie, Flashu czy Readerze jest tylko jednym z narzędzi, czasami niezwykle skutecznych.

Tagi: , , ,

Niebezpieczne karty zbliżeniowe – ciąg dalszy

Zaintrygowany dalszym rozwojem dyskusji na temat bezpieczeństwa zbliżeniowych kart płatniczych, postanowiłem przyjrzeć się dokładniej temu, co można znaleźć w Internecie na temat tych kart. Cały ubiegły tydzień byłem na targach CeBIT, skąd z Piotrem Waszczukiem pisaliśmy reportaż w formie bloga. Teraz mogę wrócić do tematu bezpieczeństwa naszych portfeli elektronicznych. Wyniki są zatrważające. Przedstawię je w punktach:

  1. Konstrukcja zabezpieczeń zbliżeniowych rozliczeń karty Visa jest słabsza niż początkowo sądziłem. Ponieważ standard nie przewiduje autoryzacji każdej transakcji online, można jedynie liczyć na to, że w końcu bank zdecyduje się na wniosek klientów na wyłączenie obsługi modułu zbliżeniowego do transakcji. Jedynym wyjątkiem jest standard MasterCard, gdzie bank może (ale nie musi) włączyć obowiązek autoryzacji online. Niektóre banki to potrafią (HSBC), inne nie, jeszcze inne nie widzą w ogóle problemu (Pekao S.A.). Z kolei mBank twierdzi, że może wymusić autoryzację online zarówno na Visach, jak i Mastercardach, ale jak dotąd mu się to na mojej karcie nie udało.
  2. Dla mikroprocesora na karcie moduł NFC jest jednym z interfejsów, a zatem wystarczy zmiana w aplikacji Java (wszystkie polskie karty są kartami Java, jak widać Gemalto i Oberthur mają bardzo silne lobby), by wyłączyć obsługę albo parametryzować ją. Zmiana kodu na karcie wymaga recertyfikacji karty, a zatem kolejnych opłat (źródło – materiały firmy Hitachi ID, rozmowa z p. Tadeuszem Woszczyńskim). Zmiany na karcie muszą być wgrane przez bankomat albo terminal kart płatniczych w stykowej transakcji.
  3. Niestety zmiany, o których mowa, mogą być wprowadzone tylko w niektórych urządzeniach i nigdy nie wiadomo w których. Obowiązuje zatem taka procedura:
    1. klient dzwoni do centrum obsługi klienta, gdzie najpierw mówią, że nie da się wyłączyć paywave’a
    2. ponieważ klient – w tym przypadku ja – doskonale wie, że ten wynalazek da się wyłączyć, proponują wymuszenie wszystkich transakcji jako autoryzowanych online. To tylko obejście problemu, ale powiedzmy, że w dostateczny sposób zmniejsza ryzyko. Pozostaje problem płatności w sklepach sieci Rossman, które mają terminale ustawione na autoryzację offline.
    3. bank mówi, że wprowadzi odpowiednie zmiany następnego dnia i prosi o wykonanie jednej transakcji stykowej,
    4. klient idzie do bankomatu Euronet (bezpłatna sieć dla użytkowników mBanku),
    5. okazuje się, że ustawienie nie zostało wgrane na kartę, bo „bankomat tego nie potrafił”,
    6. kolejne transakcje w czterech różnych urządzeniach w różnych miastach przynoszą identyczny skutek. Kolejne transakcje w innych krajach – efekt ten sam.
    7. bank oczywiście nie informuje o tym, że wyłączenie transakcji bezstykowych jest tak skomplikowane, bo nawet nie wie który bankomat potrafi wgrać zmiany na kartę.
    8. w razie kradzieży karty, złodziej dokonuje mnóstwa transakcji offline, obciążenie schodzi na konto bez żadnego ostrzeżenia i blokady, powodując niedozwolony debet, od którego bank natychmiast pobiera karne odsetki i opłaty. Psuje się przy okazji historia kredytowa klienta. Zastrzeżenie karty nie powoduje zablokowania takich transakcji, jedynie ułatwia odzyskanie zabranych przez bank i złodzieja pieniędzy. Ale kary i opłaty nadal zostają. Przykłady można znaleźć, blog pana Samcika jest bardzo dobrym drogowskazem.

    skutek – klient zniechęca się do banku. Wcale mnie to nie dziwi. Bank dla mnie nigdy nie był instytucją zaufania, a raczej kontrahentem takim, jak sklep z fałszywym sprzedawcą, który musi zachować pozory ale w głębi duszy chce mnie orżnąć, najlepiej w białych rękawiczkach. To nie jest paranoja, to jest praktyka polskich banków i moje doświadczenie. Wystarczy poczytać na forach.

  4. Moduł NFC jest o wiele groźniejszy, gdyż umożliwia odczytanie z karty nie tylko jej numeru i daty ważności, ale także kodu CVV. Kto nie wierzy, niech obejrzy ten screen z programu NFCProxy podczas odczytu przedpłaconej karty (stąd nazwa VALUED CARDHOLDER, mam taką samą kartę, kupioną w Walgreensie w Vegas za 20 dolarów, by jak najmniej korzystać z mojej karty kredytowej za granicą).
  5. Nie wspominam o takich atakach, jak relay, czyli odczytanie cudzej karty i kupno np. biletu na cudzy koszt, bo wymaga to nieco więcej przygotowań, potrzebne są dwa telefony itp. Nie znaczy, że się nie da – pokaz transakcji odbył się na konferencji Defcon, a bardzo dobrą prezentację NFC Hacking można znaleźć tu. Dzięki Haya za link w komentarzu.
  6. Oto schemat ataku:

  7. Można kupić ubezpieczenie, ale nie obejmuje ono opłat ani innych obciążeń. Czyli w każdym przypadku okradziona osoba będzie stratna. Jest to gorsze niż gotówka, bo jeśli mam w portfelu 50zł, to złodziej nie ukradnie mi więcej. A notowaliśmy przykłady fraudów na kilka tysięcy złotych, wszystko za pomocą NFC.

Widzę zatem tylko dwa rozwiązania
– Albo bank przejmuje na siebie odpowiedzialność za wszystkie transakcje zbliżeniowe od momentu zastrzeżenia karty i zobowiązuje się do niepobierania żadnych opłat ani kar za ewentualne saldo debetowe spowodowane fraudami. Mówiąc krótko – takie transakcje od zgłoszenia nie będą obciążać konta klienta.
– Albo bank mówi klientowi w jasny sposób o ryzyku związanym z płatnościami zbliżeniowymi i ewentualnie daje możliwość WŁĄCZENIA opcji zbliżeniowej.

Polacy mają to do siebie, że dają sobie radę nawet z bardzo nieprzyjaznymi działaniami obcych korporacji. Zatem instrukcja „wyłączania” modułu zbliżeniowego przez przecięcie ścieżek jest nadal na miejscu.

Żeby nie być gołosłownym, zacytuję fragment wypowiedzi jednego z badaczy, który zajął się tematem kart zbliżeniowych:

Test, który przeprowadziłem wykonałem przy użyciu telefonu Samsung Nexus S z wbudowanym czipem NFC opartym na kontrolerze NXP PN544. Użyłem dosyć popularnej aplikacji androidowej „NFC TagInfo”, która oprócz sprawnej prezentacji różnych formatów informacji odczytywanej z karty potrafi zrobić „dumpa” (czyli zrzut – przyp.red.) pamięci kart Mifare Classic 1K, jeżeli posiada się oczywiście klucze szyfrujące.

Prawdopodobnie nie jest to dla Pana nowość, ale większość bankowych kart zbliżeniowych na rynku działa w trybie emulacji Mifare 1K, czyli zachowuje się jak karta RFID prezentująca zawartość pamięci o rozmiarze 1KB. Ujmę to kolokwialnie: „pół biedy” jeżeli taka karta jest zabezpieczona 48-bitowym kluczem Crypto1 (algorytm i tak został złamany jakiś czas temu), niestety w przypadku karty zbliżeniowej Alior Banku klucze te nie zostały ustawione i możliwe jest odczytanie wszystkich sektorów karty a co za tym idzie zrobienie kopii, która odpowiada terminalowi taką samą zawartością jak oryginalna karta, co w przypadku operacji offline’owych wiemy do czego może prowadzić.

W przypadku bardziej zaawansowanych kart, komunikacja nie sprowadza się tylko do prezentacji obrazu pamięci karty, ale ma miejsce podobnie jak w karcie SmartCard/Sim komunikacja z aplikacjami karty w standardzie ISO/IEC 1444-3 – ISO/IEC 7816-4. Przykładowe aplikacje to: PSE – Payment System Enviroment, PPSE – Proximity Payment System Enviroment.

Wykorzystanie rozszerzonych aplikacji leży jednak w gestii terminali dostępowych, a z tym może być różnie. Biorąc pod uwagę, że Polska jest teraz poligonem płatności zbliżeniowych nie zakładałbym, że obecnie stosowane terminale korzystają z w pełni bezpiecznych rozwiązań.

Dziękuję przy okazji anonimowej osobie, która przysłała mi na skrzynkę bardzo ważny materiał związany z bezpieczeństwem w zagranicznych instytucjach RP. Napiszemy o tym w poniedziałek po południu, jak tylko uzyskam odpowiedź odpowiedniego Rzecznika Prasowego.

Tagi: , , , , , , ,

Zapalnik w książce

Dziś dowiedziałem się ze wpisów na Facebooku, że na warszawskim lotnisku Chopina (czyli na Okęciu) Straż Graniczna podczas kontroli bezpieczeństwa wykryła zapalnik ukryty w książce. Książkę przewoził pasażer wyglądający na „biznesmena”.
Nie jestem pewien czy to były ćwiczenia. A może nie?
Podwyższoną gotowość obserwowaliśmy już wczoraj, nigdy przedtem nie widziałem tak drobiazgowych kontroli na Okęciu. 6 dni temu służby kontroli na lotnisku LUZ w Lublinie przepuściły atrapy bomb oraz nóż.
Być może podobną kontrolę właśnie przeprowadził ULC w Warszawie. Szczegóły są ściśle tajne. Media społecznościowe przynoszą jednak takie informacje niezwykle szybko.

Tagi: , , ,

Załatajcie Javę – poprawki już są

Specjaliści z Oracle’a załatali co najmniej pięć podatności, z których trzy były regularnie wykorzystywane do zarażania komputerów, instalowano tony złośliwego oprogramowania. Podatności te są wykorzystywane w dość sprytny sposób, korzystając ze stron o dobrej reputacji, gdzie są umieszczane ramki IFRAME wiodące do serwerów hostujących eksploity. Jedynym sposobem zatkania tej dziury jest aktualizacja JRE lub całkowite wyłączenie tej technologii w firmie.
Jeśli firma nadal korzysta z Java JRE 6.x aktualizację należy przeprowadzić ręcznie – plik należy pobrać ze strony Oracle (http://java.com/pl/download/manual_v6.jsp), a nie z java.com.
Uwaga – JRE 6.x razem z końcem lutego wypada z oficjalnego cyklu wsparcia technicznego, w którym poprawki są dostępne publicznie. Więcej informacji na temat cyklu wsparcia Javy 6 można znaleźć tu.

Tagi: , ,

Niebezpieczne karty zbliżeniowe

Dostaję pytania od ludzi zaniepokojonych przypadkami nieautoryzowanych transakcji przeprowadzanych skradzionymi kartami zbliżeniowymi. Nie ukrywam, że problem jest dość poważny, bo w przypadku kradzieży karty Visa z opcją zbliżeniową istniejąca technologia praktycznie nie chroni przed nadużyciami.
Mechanizm jest taki:

  1. złodziej kradnie kartę,
  2. złodziej lub paser znajduje terminal zbliżeniowy, najlepiej niepołączony z systemem (takimi terminalami są niektóre automaty sprzedaży biletów),
  3. złodziej realizuje wielokrotnie drobne transakcje, maksymalnie po 49zł każda,
  4. ponieważ transakcje nie są autoryzowane online, w praktyce nie ma możliwości zadziałania żadnego z ograniczeń, ani ilościowego, ani kwotowego (sprawdziłem osobiście),
  5. transakcje nie pojawiają się w blokadach, gdyż żadna blokada nie jest zakładana – transakcja jest księgowana w momencie spływu informacji z terminala płatniczego, co następuje najczęściej wieczorem. Klient w najlepszym wypadku widzi ją następnego dnia.
  6. odszkodowanie z banku jest bardzo, ale to bardzo trudne do uzyskania, pojawia się problem udziału własnego (zazwyczaj 150 Euro). W wielu bankach można kupić ubezpieczenie karty płatniczej, ale jest to jedynie obejście problemu kosztem klienta, a nie podwyższenie bezpieczeństwa samych transakcji,
  7. złodziej jest praktycznie bezkarny, gdyż nielegalne transakcje są realizowane na niewielką kwotę, a wykrywalność takich przestępstw jest niemalże zerowa. Niektórych ludzie nawet nie zgłaszają, gdyż nie wierzą w schwytanie złodzieja i odzyskanie pieniędzy.

Bardzo niewiele banków wydających karty MasterCard Paypass decyduje się na włączenie flagi wymuszającej za każdym razem uwierzytelnienie on-line, jeśli mnie pamięć nie myli, w kartach Visa Paywave w ogóle nie ma opcji wymuszenia uwierzytelnienia online.

Dlaczego jest to niebezpieczna opcja?

Bo nie działa żadne z popularnych zabezpieczeń, takich jak:

  1. kod PIN,
  2. kontrola online, porównanie z listą kart zastrzeżonych,
  3. limity ilościowe transakcji bezgotówkowych,
  4. limity kwotowe jednorazowe i dzienne,
  5. powiadomienie o nowych transakcjach na karcie płatniczej przez wiadomości SMS,
  6. wypłata tylko do wysokości salda (można nawet w ten sposób zrobić sobie niedozwolony debet, co skutkuje kosztownymi karami i automatycznie psuje historię kredytową klienta),
  7. detekcja nadużyć działająca na zasadzie geolokalizacji (jeśli ktoś realizuje transakcje z paskiem magnetycznym w Warszawie i 15 minut później bezstykową w Krakowie, to oznacza, że co najmniej jedna z nich jest fraudem),
  8. inne metody wykrywania fraudów stosowane czasami przez banki.

Po staremu

Jedynym sposobem na poprawę bezpieczeństwa własnych pieniędzy jest wybranie karty bez opcji zbliżeniowej (prawie niemożliwe, dziś banki forsują nowy standard) lub wyłączenie opcji bezstykowej. Niestety dla klienta „nie ma możliwości wyłączenia takiej opcji” przez bank (sprawdzałem w obsłudze klienta w mBanku), a zatem należy kartę w taki sposób uszkodzić, by mikroprocesor odpowiedzialny za transakcje kontaktowe działał normalnie, ale transakcje bezstykowe nie były realizowane. Należy zatem uszkodzić antenę, przecinając kartę w odpowiednio wybranym miejscu. Na poniższych zdjęciach przedstawiam dwie karty płatnicze razem z oznaczonym na czerwono miejscem delikatnego cięcia (skalpel, żyletka). Klik powiększa zdjęcie.


Anteną w karcie bezstykowej jest zwój z kilku linii z przewodzącego materiału. Aby zobaczyć jak ułożona jest antena w twojej karcie, użyj bardzo silnego światła. Ja skorzystałem z lampy metalohalogenkowej o mocy 150W (12,5 tysiąca lumenów) oraz kartonowej przesłony.

Zaufanie do banku? Wolne żarty!

Dopóki bank nie będzie obligatoryjnie zmuszony do tego, by bez żadnego dodatkowego ubezpieczenia brał na siebie odpowiedzialność za wszystkie transakcje zbliżeniowe od zgłoszenia kradzieży, nie przyjmuję żadnych argumentów związanych z rzekomym „wystarczającym” zabezpieczeniem zbliżeniowych kart płatniczych. Problem dałoby się bardzo prosto obejść przez kontrolę online każdej transakcji, nawet jeśli byłaby zrealizowana bezstykowo, bez kodu PIN. Transakcje odbywają się wtedy nieco wolniej, ale działają wszystkie wymienione wyżej zabezpieczenia poza pierwszym. Można także wymusić uwierzytelnienie kodem PIN w co drugiej transakcji, dzięki czemu złodziejowi udałoby się zrealizować tylko jedną „lewą” transakcję.

Nie przyjmuję również argumentów, że nie można wyłączyć opcji zbliżeniowej na życzenie klienta. Można, wystarczy zablokować tę aplikację w kartach Gemalto, technicznie jest to możliwe nawet w bankomacie, na życzenie klienta, tak samo, jak zmiana kodu PIN.
Z niecierpliwością oczekuję porządnie zrealizowanych kart na bezpiecznej platformie, takiej jak na przykład Multos.

Zagadnieniom bezpieczeństwa transakcji kartami płatniczymi poświęciliśmy niejeden artykuł, na temat kart Multos pisaliśmy w CW03/2010, wspominaliśmy je także przy okazji projektu nowego dowodu osobistego (CW22/2011). Szczegóły od strony konsumenta można przeczytać w blogu Macieja Samcika http://samcik.blox.pl/2013/02/Zblizeniowa-zalamka-78-zlodziejskich-transakcji.html.

Tagi: , , ,

Zamknięty gang w Hiszpanii, co z Polską

Hiszpańska policja zamknęła gang cyberprzestępców, którzy zarażali komputery złośliwym oprogramowaniem, a następnie żądali okupu za odblokowanie, strasząc przy tym karami. Podobne ataki obserwowaliśmy także w Polsce, na stronach CERT Polska jest instrukcja usuwania śmieci z zarażonych pecetów.
Ataki w Polsce były nie najgorzej przygotowane. Oto zrzut ekranu:

Podobne ataki obserwowano także Niemczech, Szwajcarii czy Wielkiej Brytanii. Oto kolejny przykładowy zrzut:

Jak widać, wszędzie jest logo lokalnej policji, w wersji dla mieszkańców Wielkiej Brytanii jest także symulacja strumieniowania wideo – sprytna sztuczka socjotechniczna.
Ciekawe czy polskim organom ścigania uda się złapać złodziei odpowiedzialnych za podobne ataki? I czy tak, jak w Hiszpanii, szefem będzie Rosjanin?

Tagi: , , ,

Polowanie na Czerwony Październik

Informacje o ciekawym ataku wykorzystującym profilowane złośliwe oprogramowanie pojawiły się w różnych mediach, ale nadal nie ma odpowiedzi na temat zagrożenia polskich instytucji rządowych. Chociaż w mediach (nawet w PC Worldzie) sprawę się bagatelizuje sprowadzając do botnetu, jakich wiele, nie można przejść do porządku dziennego nad faktem zarażenia komputerów w instytucjach rządowych. Poza tym atak wcale nie był taki trywialny, nawet jeśli wykorzystywał eksploity pochodzące z różnych krajów. Będę tu niepoprawny politycznie i zacytuję polityka z kraju, z którego pochodzi zastosowany eksploit:

„Nieważne czy kot jest czarny, czy biały. Ważne, żeby łapał myszy”
Deng Xiaoping

Liczył się efekt końcowy. A ten został osiągnięty, bo botnet działał latami, wykradając ogrom informacji.
Więcej »

Tagi: , , ,

Kolejny atak dnia zerowego na Javę

Uwaga, po raz kolejny cyberprzestępcy upolowali podatność dnia zerowego wtyczki Java. Pobierany plik dotyczy platformy Microsoft Windows, szczegóły można znaleźć na tym blogu. Zaobserwowana luka rzeczywiście występuje w Java 7 Update 10. Eksploit występuje w paczkach Nuclear Attack oraz Blackhole, które są bardzo często wykorzystywane do ataków. Informacja o luce została potwierdzona przez laboratoria Alienvault oraz SpiderLabs, zalecenie w zakresie podatności wydał także amerykański rządowy CERT (VU#625617).
Do przejęcia kontroli nad systemem wystarczy odwiedzenie strony WWW zawierającej osadzony obiekt Java (NIE JavaScript, to dwie różne technologie). Najważniejszym sposobem ochrony jest obecnie wyłączenie wtyczki Java w przeglądarce, a jeśli nie jest to możliwe, należy użyć dodatku NoScript do przeglądarki Mozilla Firefox, w którym należy restrykcyjnie ustawić zezwolenia na wykonywanie obiektów Java jedynie dla biznesowych aplikacji, które z nich korzystają. Przeglądarka Internet Explorer nie posiada żadnego wbudowanego narzędzia, porównywalnego pod względem funkcjonalności.

Jak podaje blog SpiderLabs, sercem eksploita jest wykorzystanie podatności podobnej do CVE-2012-5088.

Eksploit ten może działać także w Linuksie i OS X, chociaż obecnie nie potrafi wykonać pobranego kodu, prawdopodobnie nie był dopracowywany pod kątem tej platformy. W testowym wirtualizowanym środowisku pobrany przeze mnie obiekt wykonał to, co zaplanowali jego twórcy i zaraził w pełni zaktualizowany system Windows 8 włącznie z najnowszym środowiskiem JRE 7 Update 10.

Tagi: ,

Wiele informacji w jednym miejscu

Technologia analizy strumienia wideo jest dostępna od kilku lat, ale barierą w powszechnym wdrożeniu był dotąd niedostatek mocy obliczeniowej komputerów. Obecnie jest to standard – można tego doświadczyć w serwisie Youtube. Kilka miesięcy temu umieściłem krótki materiał filmowy z czasu wolnego w trakcie jednej z konferencji w USA. Ani w podpisie, ani w komentarzach nie było żadnych wskazówek. Tymczasem w polecanych klipach regularnie pokazuje się wpis z innego wideobloga, zawierający film nakręcony w tym samym miejscu. Jedyną wskazówką mogło być wideo – nie może być to IP, bo film zmontowałem w samolocie do Polski a opublikowałem już z kraju. Muzyka, która jest tłem do klipu, została wykonana przez niemieckiego artystę i popularna jedynie w Europie. Jak widać, technologia przygotowana do zadań specjalnych znalazła swoje zastosowanie w usłudze komercyjnej kierowanej do zwykłego użytkownika.
Połączenie informacji z serwisów społecznościowych z analizą obrazów oraz wideo daje możliwości inwigilacji, o których nie śniły nawet agencje rządowe USA i ZSRR razem wzięte, w apogeum ich działań.

Kto by wtedy uwierzył, że można będzie automatycznie połączyć:

  • zdjęcia (analiza twarzy i innych obiektów),
  • filmy (analiza wideo),
  • treść maili (automatyczne tłumaczenie, korelacja zdarzeń),
  • widok z kamer CCTV (twarze, a nawet identyfikacja po sposobie chodzenia, HP ma taką technologię),
  • informacje z programów lojalnościowych,
  • transakcje kartami płatniczymi
  • bilingi telefoniczne, statystyki połączeń, nawyki,
  • zapisy ruchu samochodów pozyskane z systemów rozpoznawania tablic rejestracyjnych
  • zapis korzystania z biletów okresowych komunikacji publicznej,
  • informacje z czytników RFID odczytujących tagi umieszczane przez producentów w odzieży lub przedmiotach codziennego użytku,
  • informacje wystawiane na Facebooku i w innych sieciach społecznościowych,
  • informacje wysyłane przez oprogramowanie na domowych komputerach i telefonach (złośliwe lub w ramach licencji, na którą zgodził się użytkownik),
  • wpisy z telefonów komórkowych wraz z lokalizacją właściciela.

Wszystko powyższe jest łączone automatycznie dla dużej populacji ludzi, wręcz na skalę państwa lub co najmniej regionu (przykład: Londyn).
Wiele z tych mediów, takich jak telefonia komórkowa czy Internet jeszcze wtedy nie istniało, a nikt nie spodziewał się eksplozji prywatnych informacji umieszczanej z własnej woli przez Internautów w sieciach społecznościowych.

Tagi: , ,