O anonimato dos dados não garante seu anonimato completo

Acredita-se que as informações "impessoais" que muitas empresas gostam de coletar e usar realmente não protegem uma pessoa do desanonimização se os dados vazarem repentinamente para a rede ou forem usados ​​para os interesses de outras pessoas. Cloud4Y diz se é assim.

No outono passado, o fundador do Adblock Plus, Vladimir Palant, analisou os produtos Avast Online Security, AVG Online Security, Avast SafePrice e AVG SafePrice e concluiu que o Avast usa seu popular software antivírus para coletar e posteriormente vender dados de usuários. O hype desapareceu rapidamente, porque o diretor executivo da Avast, Ondrei Vlcek, convenceu os usuários de que os dados coletados eram o mais anônimos possível, ou seja, privados de qualquer vínculo com a identidade de uma pessoa em particular.

"Nossa empresa não permite que anunciantes ou terceiros acessem através do Avast ou qualquer dado que permita que terceiros segmentem uma pessoa específica", disse ele.

No entanto, um estudo realizado por estudantes da Universidade de Harvard mostra que a despersonalização das informações coletadas está longe de ser uma garantia de proteção contra a "desanonimização", ou seja, a divulgação da identidade de uma pessoa de acordo com os dados disponíveis no banco de dados. Jovens cientistas criaram uma ferramenta que vasculha enormes matrizes de conjuntos de dados de consumidores que têm acesso aberto como resultado de negligência, hackers ou algum outro tipo de vazamento.

O programa foi alimentado com todos os bancos de dados que vazaram para a rede desde 2015. Incluindo os dados das contas do MyHeritage, os dados do usuário da Equifax, Experian, etc. Apesar de muitos desses bancos de dados conterem informações "anônimas", os alunos dizem que identificar usuários reais não foi tão difícil.

O princípio de operação é bastante simples. O programa pega uma lista de informações de identificação (email ou nome da pessoa) e, em seguida, verifica todos os bancos de dados vazados em busca de informações que correspondam aos parâmetros especificados. Se houver correspondências, os alunos obterão mais informações sobre a pessoa. E às vezes essas informações são suficientes para identificá-las claramente.

Reunindo pedaços de sua personalidade

Um vazamento individual é como uma peça de quebra-cabeça. Por si só, não é particularmente útil, mas quando inúmeros vazamentos são coletados, transformando-se em um único banco de dados, você pode obter uma imagem surpreendentemente clara de nossa personalidade. As pessoas podem esquecer esses vazamentos, mas os hackers têm a oportunidade de usar esses dados depois de muito tempo. Só é necessário coletar mais algumas peças do quebra-cabeça.

Imagine que uma empresa possa armazenar apenas nomes de usuário, senhas, endereços de email e outras informações básicas da conta, enquanto outra empresa pode armazenar informações sobre sua navegação e consultas de pesquisa ou dados sobre sua localização. Essas informações por si só não permitirão que você seja identificado, mas agregadas podem revelar vários detalhes pessoais que nem seus amigos e familiares mais íntimos podem conhecer.

O objetivo da pesquisa do aluno é mostrar que essa coleta de dados, por mais impessoal que seja, ainda representa uma ameaça potencial aos usuários. Um conjunto de dados de uma fonte pode ser facilmente vinculado a outra através de uma linha presente nos dois conjuntos. Ou seja, você não deve pensar que suas informações pessoais são seguras apenas porque a empresa envolvida na coleta e armazenamento de dados garante sua despersonalização completa.

Há outras evidências para isso. Por exemplo, em um estudo britânico , os cientistas de aprendizado de máquina foram capazes de criar um programa que podia identificar corretamente 99,98% dos americanos em qualquer conjunto de dados anônimo usando apenas 15 características. Outro estudo realizado por representantes do Instituto de Tecnologia de Massachusetts,mostrou que os usuários podem ser identificados em 90% dos casos se apenas quatro parâmetros básicos forem usados.

Acontece que, individualmente, os vazamentos de informações são bastante dolorosos, mas juntos eles se tornam um verdadeiro pesadelo.

O problema não está apenas nas empresas

Mas não culpe apenas a empresa. Apesar dos inúmeros escândalos relacionados a vazamentos de dados confidenciais, que se tornaram um fenômeno quase semanal, o público subestima muito o impacto desses vazamentos e hacks na segurança pessoal. Portanto, ele ignora medidas básicas de segurança. Portanto, depois de analisar um dos conjuntos de dados de saída do programa, os estudantes de Harvard descobriram que das 96.000 senhas contidas no banco de dados, apenas 26.000 eram únicas.

Ou seja, as pessoas são muito preguiçosas para criar algo complicado usando senhas de modelo. Aqui, por exemplo, a publicação recente sobre Habré sobre este assunto. Os líderes são as senhas "12345" e "123456". Com essa proteção, nenhuma tecnologia salvará os hackers. É difícil proteger os dados de uma pessoa se ela mesma não fizer nenhum esforço para fazê-lo.

Há uma nuance: as " Recomendações metodológicas para a aplicação da ordem de Roskomnadzor de 5 de setembro de 2013 N 996" Na aprovação dos requisitos e métodos para anonimizar dados pessoais "(aprovadas por Roskomnadzor em 13/12/2013) estão em vigor na Rússia . Essas recomendações permitem alcançar um nível realmente alto de despersonalização. E se você não economizar nesse procedimento, substituindo seu nome completo por ID (todos provavelmente se lembram de como milagrosamente os nomes dos filhos do ex-promotor geral da Rússia, Artyom e Igor Chaika, em Rosreestr, se transformaram nos códigos LSDU3 e YFYaU9 ).

O que mais posso adicionar? Muito foi dito sobre a importância do uso de senhas exclusivas que não faz sentido se repetir. E as empresas continuarão a coletar dados, assegurando-nos promessas de despersonalizar tudo o mais possível. Mas, como você vê, nem sempre essas promessas são confiáveis.

O que mais pode ser útil para ler no blog do Cloud4Y

→ Como o banco “quebrou”
→ Privacidade pessoal? Não, eles não ouviu
→ Kaboom: um sapador incomum
→ Diagnósticos de conexão da rede em um roteador de borda virtual
→ vírus CRISPR resistente construir “abrigos” para genomas proteger de enzimas DNA-penetrantes

Assine a nossa Telegram-canal, para não perder outro artigo! Escrevemos não mais do que duas vezes por semana e apenas a negócios.

Source: https://habr.com/ru/post/undefined/