bezpieczeństwo

W 2002 roku Norweskie Centrum Języka i Kultury im. Ivara Aasena (The Ivar Aasen Centre of Language and Culture in Norway) zaoferowało nagrodę: pokrycie kosztów udziału w festiwalu muzyki i literatury "New Norwegian", dla tej osoby, która odzyska hasło dostępu do archiwów Centrum. Problem z hasłem pojawił się wówczas, gdy w 2000 roku zmarł ich archiwista. Archiwista zabrał hasło do grobu i nikt nie mógł dostać się do zasobów instytutu. Hakerzy pomogli się tam dostać. Jednak problem, który chciałem zasygnalizować w tym tekście jest nieco inny: coraz więcej osób prowadzi blogi, coraz więcej ma "prywatne zasoby informatyczne"... Czy macie kogoś, kto po waszej śmierci opublikuje w waszym blogu stosowną notatkę? Co z dziedziczeniem, co z ochroną dóbr osobistych - ochroną pamięci osoby zmarłej?

Gdy już nowelizacja Kodeksu karnego, nad którą teraz pracuje Senat, zostanie przyjęta i przesłana do Prezydenta, to wówczas Prezydent RP ma możliwość przesłania takiej ustawy do Trybunału Konstytucyjnego. Mam na myśli te, nowelizowane właśnie przepisy, które dotyczą tzw. "hackingu", ale nie tylko tego (por. Tak, tak, nowelizują kodeks karny... wizerunki małoletnich, hacking, 269b...). Warto może uruchomić burzę mózgów na temat argumentów, które przekonywałyby Pana Prezydenta do przesłania takiego projektu do oceny z wzorcami konstytucyjnymi przyjętych przez Parlament przepisów.

Przypuszczam, że również w kontekście ostatniego tekstu, tj. "Nie można przełamać czegoś, co nie istnieje" - polski wyrok w sprawie SQL Injection, można analizować doniesienie o "wycieku" danych około 17 milionów klientów Deutsche Telekom. Cały czas aktualne jest pytanie o odpowiedzialność twórcy informatycznego systemu za bezpieczeństwo przechowywanych danych. Podobno operator miał poinformować, że "od czasu wykrycia kradzieży znacznie wzmocnił ochronę danych" (więc być może właśnie wcześniejsza słabość systemu była powodem, dla którego dane trafiły do "domeny publicznej"?). Zwracam uwagę, że komunikaty posługują się określeniem "kradzież", chociaż nie wiemy jak dane klientów wydostały się spod "opieki" przedsiębiorstwa...

Sąd Rejonowy w Głogowie VI Wydział Grodzki w dniu 11 sierpnia 2008 r. wydał ważny wyrok w sprawie mężczyzny oskarżonego o to, że używając komputerów nie będąc do tego uprawnionym, po przełamaniu elektronicznego zabezpieczenia, serwera pewnej firmy, uzyskał informacje - dane osobowe - dla niego nie przeznaczone, działając tym samym na szkodę tej firmy, a więc w sprawie oskarżonego o czyn z art. 267 §1 kodeksu karnego. Sąd wyrokiem (sygn. akt VI K 849/07) uniewinnił oskarżonego od zarzutu, nakazał zwrócić oskarżonemu dowody rzeczowe wymienione w wykazie dowodów, a na podstawie art. 632 pkt 2 KPK orzekł, że koszty procesu ma ponieść Skarb Państwa. Wyrok jest prawomocny. To bardzo ważne rozstrzygnięcie (sygnalizowałem, że opublikuję informację na ten temat przy tekście Pochwalił się internetowi, pochwali się wnukom), a dotyczy m.in. granic możliwości przeprowadzania "audytu bezpieczeństwa" serwisów internetowych, a także spraw związanych z tzw. SQL Injection.

Jak się kupi używany dysk twardy, całego laptopa, telefon z jakąś pamięcią (coraz częściej smartphone), albo aparat fotograficzny, a jeszcze lepiej cyfrową kamerę, to warto spędzić nad nowym nabytkiem nieco czasu, by sprawdzić jakie skarby skrywa w swojej pamięci. Zakupiony na eBay aparat okazał się zawierać w sobie zdjęcia osób podejrzewanych przez MI6 o terroryzm. Była tam też dokumentacja systemu wykorzystywanego przez agentów. Teraz Policja zastanawia się, jak taki aparat trafił na rynek. Chciałem napisać jakiś złośliwy komentarz na temat potrzeby zaostrzenia przepisów antyterrorystycznych, ale zrezygnowałem.

"W piątek sprawdzono serwery i komputery pracowników izb skarbowych w Gdańsku, Łodzi i Poznaniu. Tylko w Poznaniu nie znaleziono nielegalnych plików. Na serwerach w Gdańsku i Łodzi było w sumie pół terabajta nielegalnie sprowadzonego oprogramowania, filmów oraz muzyki"

Nie wdając się na razie w analizowanie sytuacji odnotuję włamanie do serwisu Antyweb, prowadzonego przez Grzegorza Marczaka (pozdrowienia dla Hazana). Poniżej nie będę analizował sytuacji, gdyż za chwilę, za kilka dni opublikuję informacje na temat pewnego postępowania, które będzie lepiej nadawało się do tego, by prowadzić dyskusje na podobne tematy (to będzie - jak uważam - naprawdę ważne doniesienie). Tu jedynie napiszę, że osoba, która - korzystając z luki w systemie zarządzania treścią WordPress - opublikowała w Antywebie notatkę, sama się następnie do tego przyznała w swoim blogu.

Prokuratura umorzyła postępowanie w sprawie nagrania, jakiego miał dokonać były minister sprawiedliwości Zbigniew Ziobro (por. m.in. Skryte nagrania w praktyce sprawowania władzy publicznej oraz Gdzie są media w sporach o technologię?). Powód umorzenia? "Brak danych dostatecznie uzasadniających podejrzenie przestępstwa", a to m.in. dlatego, że "nie udało się odnaleźć pliku dźwiękowego, zawierającego pierwotne nagranie rozmowy". Eksperci mieli wątpliwości dotyczące nawet tego, czy dostarczony dyktafon był tym urządzeniem, za pomocą którego dokonano nagrania. W ekspertyzach nie udało się zamieścić wniosków, "które ponad wszelką wątpliwość wykluczałyby jakiekolwiek próby modyfikacji nagranego pliku". I to jest właśnie przykład sytuacji, z którą muszą się zmierzyć osoby lansujące wszelkie "dowody cyfrowe".

W sąsiednim tekście pt. Pakiet telekomunikacyjny i okolice wczoraj w Parlamencie Europejskim obiecałem przywołanie komentarzy po wczorajszych głosowaniach w Brukseli. W grudniu zeszłego roku (jak ten czas leci) opublikowałem tekst Propozycja sporej nowelizacji dyrektyw "elektronicznych". Wypada podlinkować aktualne materiały źródłowe, gdyż wcześniej opublikowałem tylko oficjalne komunikaty. W Brukseli dzieje się polityka dotycząca "społeczeństwa informacyjnego". Ten, kto sprawniej potrafi umieścić w różnych raportach przeróżne propozycje poprawek, a potem jeszcze je przeforsować - istotnie wpływa na kształt tworzącego się na poziomie ponadkrajowym porządku. Są różne wektory sił, ale wydaje się, że społeczeństwo jest nieco oderwane od tego, co eurodeputowani, Komisja i rządy dla niego przygotowują w odległym centrum politycznym Europy. Wielu deputowanych również nie zdaje sobie sprawy na czym polega gra. A gra dotyczy m.in. ograniczenia prawa do prywatności internautów na rzecz lepszej ochrony własności intelektualnej.

Z tej okazji wypada odnotować nieco oficjalnych komunikatów na ten temat (w kolejnej odsłonie przyjdzie czas na komentarze). Sprawa jest skomplikowana. Zacznę może zatem od lakonicznego podsumowania przygotowanego przez służby prasowe Parlamentu Europejskiego: "Pakiet telekomunikacyjny: prawa użytkowników, uczciwa konkurencja i dywidenda cyfrowa. Parlament przyjął projekt dyrektyw i rozporządzenia stanowiących część pakietu telekomunikacyjnego, który ma poprawić pozycję użytkowników na rynku usług elektronicznych. Parlament proponuje, aby uwolnione w wyniku przejścia na cyfrowe nadawanie sygnału telewizyjnego częstotliwości radiowe zostały przeznaczone na rozwój nowych usług, takich jak szerokopasmowy dostęp do Internetu lub mobilna telewizja. Posłowie zmienili również zapisy dotyczące wspólnotowego regulatora rynku telekomunikacyjnego". Gdyby ktoś poprzestał na takim opisie - sporo by go ominęło. Wczoraj w Parlamencie Europejskim działo się wiele: ochrona prywatności użytkowników, poszanowania praw podstawowych, terroryzm, walka ze spamem, serwisy społecznościowe (i ochrona prywatności ich użytkowników), wspólna regulacja rynku, prawa osób niepełnosprawnych...