Privacy problémák közösségi hálózatokban

Privacy problémák közösségi hálózatokban

Madocsai Judit

Privacy problémák közösségi hálózatokban (Privacy in social networks)

Bevezetés Közösségi hálók igen nagy népszerűségnek örvendenek napjainkban. Ez azonban nem csupán a technológiai fejlődésnek, hanem a társadalmi szokásoknak, viselkedésnek és a szociális kapcsolatok átalakulásának is köszönhető. Az adatvédelem így nem csupán technológiai kérdéseket vet fel, hanem az emberi felelősséget is nagyban próbára teszi. Technikai oldalról tekintve közösségi hálók mintegy tíz éve tettek szert nagy népszerűségre, és azóta is rohamosan szaporodnak, (pl: myVIP, mutasd.be, iWiW, Facebook, twitter, MySpace, Friendster, hi5, Badoo…) illetve tagjaik száma ezzel párhuzamosan nő. A robbanás oka az internet adta lehetőség virtuális kapcsolatok létesítésére, mely könnyen megvalósítható volt szakmai szempontból azzal a fejlettségi szinttel, melyet jelenleg az információs társadalom képvisel. Társadalmi szempontból nézve a szociális viszonyok átalakulásában keresendő a népszerűség oka. Az emberek – pontosan a virtuális világ adta lehetőségek kihasználásával – ezen a fórumon kezdték kapcsolataikat ápolni, illetve új kapcsolatokat építeni. A probléma, melyet a vázolt helyzet felvet szintén kétoldalú. A felhasználók által megadott adatok olyanok kezébe kerülhetnek, akiknek ehhez nincs hozzáférési jogosultságuk. Az illetéktelen felhasználás pedig innen már csak egy lépés. A kiadott adatok felett nincs kontrollja sem a felhasználónak, és nem megfelelő védelmi rendszer esetén még az oldalak üzemeltetőinek sem. Jogosan merül fel a kérdés: ki a hibás, ha nem publikus megosztásra szánt adatok kerülnek nyilvánosságra, valamint ki a felelős azok illetéktelen használatáért? Ezt a kérdést igyekszik körüljárni a riport. Tanulmányom első fejezetében az adatvédelemmel foglalkozom. Megvizsgálom, hogy milyen törvények láttak napvilágot az adatok védelmével kapcsolatban, jogi értelemben ki felelős az adatok védelméért. Az internetes biztonsági témakörében elismert tekintélyek véleményét alapul véve indulok ki a kérdések megválaszolására. A második fejezet a közösségi hálókat, azok tipikus felhasználói szokásait és az ott felmerülő veszélyeket mutatja be; majd végül a közösségi oldalakban előforduló adatvédelmi problémákat elemzi. Egy esettanulmány keretében megvizsgálom a jelenleg legnagyobb közösségi oldal adatvédelmi szabályzatát, majd személyes véleményt fogalmazok meg a problémáról.

1. Privacy (adatvédelem) Az adatvédelem szigorúan tekintve bizonyos adatok nyilvánosságra hozása, illetve elrejtése feletti kontrollt, illetve annak irányítását jelenti, hogy ki férhet hozzá ehhez az információhoz. Természetesen ez minden alkalmazás tekintetében nem írja le a valóságot, de gyakorlati értelmezésben igen. 1


Madocsai Judit

A személyes adatok védelme nem napjainkban vált kérdésessé. Az internet megjelenésével, valamint az ott zajló folyamatok elősegítésének érdekében évtizedek óta ismert az az eljárás, melynek keretében információt kell eljuttatnunk egy számunkra kevéssé ismert embernek vagy cégnek valamilyen ellenszolgáltatás érdekében. Mivel ezt a folyamat úgymond személytelenül zajlik le, biztonsági rések természetesen adódhatnak a rendszerben. Ezért az interneten keresztül történő adatok átvitelét, megadását, ma már törvény szabályozza és kötelezi az elektronikus hírközlési szolgáltatókat az elektronikus hírközlés szabályainak betartására. Ez természetesen csak a hírközlési szolgáltatókra vonatkozik, más cégeket nem kötelez. Az 1.1 fejezetben vizsgálom az ezzel kapcsolatos törvényeket. Tekintve a biztonsági réseket és az adatvédelmi elveket, nem egyértelműen és kizárólagosan a szolgáltatók a hibásak az esetlegesen kiszivárgott adatokért. A felhasználóknak is lehet felelősségük abban, mit és hogyan tesznek közzé, adnak ki az e-világban. A szakmában elismert személyek véleménye alapján a 1.2 fejezetben foglalkozom ezzel a kérdéskörrel.

1.1 Törvényi háttéri Már az 1989. évi köztársasági alkotmány is elismeri hogy, jogunk van a személyes adataink védelméhez és a közérdekű adatok megismeréséhez. Az 1992-ben a polgárok személyes adatainak és lakcímének nyilvántartásáról rendelkezik a törvény (közismertebb nevén az adatvédelmi törvényt), majd 1995-ben a név- és lakcímadatok kutatás és üzletszerzés céljából történő kezeléséről rendelkezik. Az információs szolgáltatásokkal kapcsolatos speciális adatvédelmi kötelezettségekről a 2001. törvény ír, míg az elektronikus hírközlési szolgáltatókat a 2003. évi törvény kötelezi az elektronikus hírközlés szabályainak megtartására. Ebben a jog az internetes szolgáltatókat kötelezi arra, hogy amikor egy szolgáltatás igénybevételét adatszolgáltatáshoz kötik és ezért kérik személyes adatainkat, tájékoztassák a felhasználókat adatgyűjtési és adatkezelési gyakorlatukról. Az adatokat harmadik félnek csak az adatot szolgáltató előzetes hozzájárulása után szabad kiadni vagy akkor, ha az adatok kiadását a törvény megengedi. Az adatkezelő, valamint az adatfeldolgozó köteles az adatok biztonságát védeni. Az adatvédelmi törvény 2004-es módosításában adaptálta a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi irányelvet. [9] Látható tehát, hogy a személyes adatok védelmének jogi szabályozása is van, ám ez jelenleg igen kezdetleges, a gyakorlati életben nem ismert olyan eset, mely csupán jogi szempontból egyértelműen elbírálható lenne.

1.2 Adatvédelem Mint azt az előző fejezetben leírtak is mutatják, létezik az adatvédelemnek olyan része, mely az internetes adatvédelemmel foglalkozik. Ám ez csupán az alap védelmi kötelezettségeket rögzíti. A támadások és biztonsági rések ellen nem véd megfelelően. 2


Madocsai Judit

Amennyiben egy interneten keresztül történő adat megosztást vizsgálunk, a folyamatnak két szereplője van: a szolgáltató, aki valamilyen szolgáltatást nyújt a felhasználónak, illetve a felhasználó, aki ezért ellenszolgáltatást nyújt. Azonban, mivel a két fél csak a virtuális térben találkozik és feltehetően nem ismerik egymást, szükség van azonosító adatok cseréjére. Azt, hogy milyen adatok kerüljenek kiadásra, többnyire a szolgáltató határozza meg. Gyakran találkozunk olyan esettel, melyben olyan adatok megadására kötelez minket a szolgáltató fél, mely irreleváns az adott szolgáltatás szempontjából. Tudatlan, vagy jóindulatú felhasználó minden kérdés és gyanú nélkül megadja a kért adatokat, kiszolgáltatva magát ezzel a szolgáltatónak. A szolgáltató ezek után az adatokat arra használja fel, amire akarja, természetesen a törvényi vonatkozásban kialakított kereteken belül. Ebben a folyamatban a felhasználói és a szolgáltatói hozzáállás is megkérdőjelezhető, nem beszélve a nem feltételezett, rosszindulatú támadóról, akinek határozott célja valamilyen adat megszerzése az interneten keresztül történő kommunikáció során. A szolgáltatónak felelőssége, hogy milyen adatot kér a felhasználótól, és legfőképpen az, hogy ezt hogyan védi és mire használja fel. Ezt minden esetben köteles adatvédelmi szabályzatban rögzíteni, melyet a felhasználónak is tudomásul kell vennie. Napjaink adatszivárgási botrányai erős kétséget hagynak abban a tekintetben, hogy nem megfelelően végzik a nem publikus adatok kezelését, illetve védelmét. A felhasználó felelőssége is igen jelentős. Ha olyan személyes adatra kérdeznek rá, mely érezhetően nem tartozik a szolgáltatás témájába, fel kell tennünk magunknak a kérdést: valóban jogos-e a kérés. Nem kötelező megadnunk tehát ezeket az információkat, és ennek tudatában is kell lennünk. Ha már kiadunk magunkról egy fontos adatot (pl. bankszámlaszám, lakcím, telefonszám, …), akkor azt olyan környezetben tegyük, amely biztonságos. Foglalkoznunk kell a rosszindulatú harmadik fél jelenlétével is, hiszen a virtuális közegben nem feltételezhetünk jóindulatúságot. Az ilyen esetekben tehát, amennyiben nem használunk titkosítást, vagy olyan adatokat adunk ki, mely érzékeny, mindig számítani kell támadókra. Ezekkel szembeni védekezés módja a biztonságos protokollok és hibátlan alkalmazások használata. Bruce Schneier, a nemzetközi tekintetben is elismert biztonsági specialista és szerző szerint az adatvédelem nem csupán technológiai, hanem nagymértékben pszichológiai kérdés is. Egy írásában [4] leírja; technikai szempontból lehet nagymértékben biztonságos egy rendszer, a pszichés tényező nagyon nagy szerepet játszik. A legtöbb szakember egyetért abban, hogy a technológiai fejlődéssel párhuzamosan a személyes adatok védelme gyakorlatilag meg fog szűnni, nem lesz mód arra, hogy titokban tartsuk privát adatainkat. Természetesen vannak olyan nézőpontok is, melyek úgy tartják, nem reménytelen a védelem kivitelezése, de ezek csupán a kérdéses adatok egy részét védik, nem nyújtanak teljes körű biztonságot. Összességében azt mondható el tehát, hogy az adatvédelemmel számos különböző területen foglalkoznak, mivel az a közeljövőben láthatóan igen nagy problémává nőheti ki magát, ám egyik területen sem született még kielégítő megoldás a problémára. 3


Madocsai Judit

2. Közösségi hálók Közösségi hálózat egy szociális struktúra, mely egyének közti meghatározott kapcsolatokból épül fel. A kapcsolatok jellege meghatározza az adott oldal jellegét is. Ez lehet baráti vagy akár üzleti jellegű, közös érdeklődéskörön vagy rokonságon alapuló, de bármilyen, emberek közti relációt leíró kapcsolatra épülhet közösségi hálózat. Szokás ezeket a hálózatokat gráf formájában is reprezentálni. Ezen ábrázolásmód szerint az emberek a csomópontok, és a köztük lévő viszonyok az élek. Az ábrázolásmód segítségével sokkal áttekinthetőbb képet kapunk a rendszer egészéről és így az analizálásnál is nagy segítségünkre lehet. Egy ilyen szociális hálózatot mutat az alábbi ábra [2]:

Közösségi hálózatok célja az emberek közösségi életterének biztosítása a virtuális világhálón. Minthogy egy emberi kapcsolat létrejöttéhez két embernek kell ismernie egymást, egymás tulajdonságait, nincs ez másképp az internet közvetítésén keresztül sem. Annak érdekében, hogy emberek számon tarthassák és nyomon követhessék barátaik cselekedeteit és életét, információt kell megosztani magukról. Lehet cél új kapcsolatok létrehozatala, vagy régi kapcsolatok újraélesztése is; minden esetben magunkról kell személyes adatot közzétenni. Mivel az emberi kapcsolatok fejlődésének jellemzője, hogy mennyi és milyen információt osztanak meg egymással, így nem meglepő, ha ez a közösségi hálózatokban is így működik. Az internet adta lehetőség azonban kétélű kard. Lehetséges távoli, személyesen nem tartható kapcsolatok fenntartására, létesítésére; de teljes mértékben kihasználható harmadik fél által. Egy közösségi háló attól válhat sikeressé, minél több felhasználója van. A regisztrált felhasználók között számos ismeretségi kapcsolat lehet, éppen ez az, ami olyan vonzóvá teheti az oldalakat. Gyorsabb az interneten keresztül tájékozódni ismerőseinkkel történt eseményekről, mint személyesen, vagy akár beszélgetések alapján; azonban a személyességét így teljesen elveszti a kapcsolat (mely nem minden esetben hátrány). A puszta tények közlése és olvasása az, ami lehetővé teszi a visszaéléseket a személyes adatokkal. Így tehát ezen oldalak egyfelől remek lehetőséget nyújtanak barátaink követésére, de ennek segítségével ismeretlenek személyesebb adatainak megismerésére, és így kihasználására is. Közösségi oldalakon adatainkat profilba rendezve adhatjuk meg, s azon adatokat, melyeket publikusnak jelölünk meg, bármely olyan személy láthat, aki regisztrált tagja az oldalnak (vagy akár nem is tagja a portálnak). A megadható adatok tipikusan csoportokba vannak rendezve az alábbiak szerint: 4


Madocsai Judit

•

felhasználói fiók információ (név, tagság kezdete, utolsó bejelentkezés ideje…),

•

alapvető információk (lakóhely, iskola, beosztás, nem, szakterület, születésnap, születési város, egyetem…),

•

elérhetőségek (e-mail címek, mobiltelefon szám, otthoni telefonszám, lakcím, irányítószám, webcím, skype név, MSN azonosító…),

•

személyes információ (családi állapot, érdeklődési kör, politikai nézet, kedvencek, rólam…).

Az adatok közzétételén kívül számos alkalmazás használható; ismeretlen személyek keresése, üzenet küldése, fórum, hírfolyam, hirdetések, képek közzététele, klubokhoz csatlakozás, … ([7],[8]) Az egyik legismertebb és legnagyobb közösségi portál, a Facebook vezetője 2010. november 15én jelentette be, hogy saját e-mail alkalmazást indít, melynek keretében a chat-elés és az sms küldés is lehetővé válik; ez utóbbi külső felhasználók számára is elérhető lesz. A közel 500 millió regisztrált tagot számláló közösségi oldal botrányoktól sem mentes működése során újabb és újabb szolgáltatásokat nyújt tagjainak, melyek még „személyesebbé” tehetik a tagok kapcsolatait.

3. Privacy közösségi hálózatokban Mint minden közös tevékenységnek, a közösségi portálokba való tartozásnak is szabályai vannak. Ezek a szabályok leírják, hogy a szolgáltatók mit nyújtanak a felhasználóknak, és közzétett adataikkal hogyan bánnak. Az, hogy ezeket a szabályokat egyes közösségi oldalakon hogyan alakítják ki egyedül tőlük függ (a jogszabályok megtartása mellett). A személyi adatok védelme érdekében ún. adatvédelmi szabályzatot hoznak nyilvánosságra a nagyobb oldalak annak érdekében, hogy a felhasználó tisztában legyen jogaival és kötelezettségeivel. A következő fejezetekben a közösségi oldalakat elemzem biztonsági követelmények alapján; megvizsgálom a problémákat és rámutatok milyen megoldások születtek ezekre, valamint esettanulmányként egy konkrét közösségi portál problémáit és védelmi megoldásait vizsgálom.

3.1 Célkitűzések és problémák Bármely, adatokat forgalmazó és tároló rendszer esetén felmerülnek biztonsági igények, melyek az alábbiak lehetnek: Szabályozni kell a hozzáférés védelem mikéntjét, ennek megfelelően hitelesítő rendszert kell alkotni. Biztosítani kell az adatok megbízhatóságát, integritását és letagadhatatlanságát. Ezen célok mellett elvárható az elérhetőség is, mely azt követeli meg, hogy minden esetben hozzáférhető legyenek az adatok jogosult hozzáférés esetén. Ezen építőelemek fellelhetőek szociális hálózatokban, a megvalósítás módja változatos. A fent leírt általános biztonsági követelmények azonban teljes mértékben nem értelmezhetők az általam vizsgált kontextusban, hiszen ezen oldalak célja éppen az, hogy minél több lényeges információt osszunk meg magunkról nyílt formában. Ebben az esetben pedig nem lehet célunk az,

5


Madocsai Judit

hogy minél kevesebb azonosításra szolgáló jellemzőnket hozzuk nyilvánosságra, hiszen ez éppen egymásnak ellentmondó kívánalmakat hozna létre. A cél tehát bizonyos értelemben ellentétben áll a módszerrel. Az így felépített világban (közösségi hálózatok) támadásokról beszélni lehetséges, és jogos, de mivel a felület maga igen provokatív, nagyon könnyű támadásokat végrehajtani szakmai szempontból. Nem kell szakértőnek lenni, vagy kriptográfiai trükköket alkalmazni ahhoz, hogy más adataihoz illetéktelenül hozzáférhessünk. Ennek ellenére léteznek védelmi módszerek, melyekkel tulajdonképpen a saját magunk által kiadott információt tesszük rejtetté. Ebben az érdekes ellentmondásban vizsgálom tehát a megadott kritériumok alapján a közösségi oldalak mechanizmusait. 3.1.1 Hitelesítés Számos biztonsági és személyiségjogi kérdés merül fel közösségi portálok esetében: Jogosulatlan személyek számára tilos a privát adatok hoz való hozzáférés. Ez a kívánalom anonimitást követel meg, valamint a hozzáférés védelem szükségességét veti fel. Közösségi oldalak használatához tehát minden esetben hitelesítés szükséges. Az egyes oldalak felhasználó név-jelszó párossal végzik a hitelesítést, melyet teljes mértékben a felhasználó választ meg. Általában semmilyen követelmény nincs a jelszó nehézségére, mely visszaélésekhez vezethet. Opcionális megoldás lehet adataink védelmére nagyobb nehézségű jelszavak megkövetelése, ám ez a felhasználóbarát hozzáállást veszélyezteti. Mivel bárki regisztrálhat ezen oldalakon akár rosszindulatú felhasználók is tagjai lehetnek ezen rendszereknek, igen nehéz kiszűrni a támadásokat. Fennáll a megszemélyesítés veszélye is, hiszen nincs olyan mechanizmus, mely azonosítást végezne, azaz ellenőrizné, hogy az adott személy valójában az-e, akinek mondja magát. Hamis profilok létrehozása (pl. kitalált személy) nem egyedi példa, s ezzel a külső támadóból máris belső támadó lett, aki tetszőleges „támadást” hajthat végre immár sokkal több eszközzel és módszerrel. A gyakorlati világban nem idegen az account lopás sem, melynek segítségével illetéktelenek férhetnek hozzá ismeretlen emberek személyes és privát adataihoz. A szolgáltató felelőssége lenne az, hogy az általa ismert, azonosításhoz szükséges adatok semmilyen körülmény között se kerüljenek harmadik fél birtokába. Ilyen jellegű támadások ellen léteznek védelmi megoldások (adatbányászat, adatbázisok védelme), ám a szolgáltató közösségi oldalak esetén olyan helyzetben van, mely megkérdőjelezi a teljes körűen nyújtható biztonságot. A problémák orvosolására a megoldást nem csupán a technikai oldal adhatja meg, hiszen – mint említettem – a kriptográfiai módszerek integrálása nem jelent egyértelmű választ. A szolgáltatónak nem feltétlen érdeke ugyanis az adatokat ilyen módon védeni, és a legtöbb esetben a felhasználónak sem. Ezekben a rendszerekben a hitelesítés tulajdonképpen az azonosításra redukálódik; lényeg az,

6


Madocsai Judit

hogy megkülönböztethető legyen, mely adatok ki osztott meg. 3.1.2 Megbízhatóság Annak érdekében, hogy jogosulatlan személyek adatokhoz való hozzáférését megakadályozzuk, ezt közvetlenül a felhasználónak kell vezérelnie, és az ehhez való hozzáférés védelemnek olyan szintűnek kell lennie, hogy minden egyes elemet külön lehessen kezelni. Problémát jelent ebben az esetben a tipikus felhasználói viselkedés, hiszen nagyon sokakat nem érdekel, ki milyen adatához férhet hozzá. Érdekes problémát vet fel az összekapcsolhatatlanság kérdése: Jogosulatlan személyek számára meg kell akadályozni privát adatok profilokhoz kötését. A kérdéskör komplexitását az is jelzi, hogy ilyen „támadásokra” akkor is lehetőség van, ha az a felhasználó, akiről kiderül a privát információ, gondosan ügyel arra, hogy csak a megfelelő adatai legyenek láthatók bizonyos személyek számára. Ebben az esetben ugyanis az ismerősökön keresztül derülhet ki, hogy ki kicsoda, s ennek nem kívánt hatásai lehetnek. [3] Számos tanulmány foglalkozik ezzel a kérdéssel, tehát céljuk annak kiderítése, hogyan lehetséges a közösségi portálok felhasználói által kialakított szociális hálózat kapcsolatainak felderítése. Kutatási eredmények azt mutatják, hogy ilyen támadások (pl. bizonyos felhasználók tartózkodási helyének nyomon követése) lehetséges, s ez elleni védekezés csak akkor lehet eredményes, ha maga a felhasználó ügyel a saját maga által kiadott információk tartalmára. [6] 3.1.3 Integritásvédelem Mivel az ezen oldalakon kialakított ún. kapcsolati gráfok (melyek a felhasználókat és kapcsolataikat reprezentálják) valójában emberi kapcsolatokat kívánnak modellezni, felmerülnek olyan támadások, melyek a valós életben megfigyelt ismeretségeket veszik alapul. Ilyen lehet például, ha valaki létrehoz egy hamis profilt, s közös ismerősök alapján olyan baráti körre tesz szert, mely segítségével ismeretlen személyek (áldozatok) adatait használhatja fel. [3]. Így tehát az adat integritás és hitelesítés kérdése is felmerül. A kapcsolatok feltérképezésére az ún. szomszéd támadás módszerrel lehetséges, melynek lényege az alábbi. Amennyiben olyan emberekkel van egy felhasználó ismeretségi kapcsolatban, akikről bizonyos más, kevésbé privát információt ismer egy támadó, könnyen kikövetkeztetheti, hogy ki is az a közös ismerős. Ilyen jellegű támadások ellen léteznek védekezési módszerek, melyek anonimitáson alapulnak. [2] Azért alattomos egy ilyen támadás, mert az áldozat szinte észre sem veszi, hogy mi zajlik körülötte, a támadó teljes rejtekben maradhat.

3.2 Esettanulmány Amennyiben arra keressük a választ, hogy a közösségi portálok eredeti célját a valósában eléri-e, érdekes megfigyelnünk az alábbi tanulmány eredményeit. A két nagyobb közösségi portál (Facebook és MySpace) felhasználói által megadott adatainak aránya a következőképpen alakul [5]: 7


Madocsai Judit

A statisztikák igen érdekes képet festenek. A kutatás szerint a felhasználók nem félnek feltárni magukról olyan adatokat, melyek egyedien azonosítják őket. Így például a teljes nevüket egyik esetben 100%, másik esetben 66,7%-os hajlandósággal tárják fel a felhasználók. Meglepően magas azok aránya, akik e-mail címüket, illetve mobiltelefon számukat is nyilvánosságra hozzák. További érdekes kérdés lehet, hogy a virtuális életben létező kapcsolatok a valóságnak milyen reprezentációját adják. Az összefüggést az alábbi táblázat segítségével állapíthatjuk meg [5]:

A táblázat a közösségi hálózatok segítségével létrejött kapcsolatok tartósságát értékeli. Az adatok alapján a legnagyobb arányban a felek chat-en tartották a kapcsolatot, csupán második helyre szorult azok száma, akik személyesen is találkoztak a virtuális ismerőssel Igen számottevő azok aránya is, akik nem kommunikáltak egymással ismeretségük kötése után, valamint az e-mailen keresztül történő kapcsolattartók száma is megemlítendő. Megállapítható tehát, hogy a felhasználók nem vonakodnak személyes adataik közzétételétől, s új kapcsolatok kialakítására is nyitottak. Ahhoz azonban, hogy a kapcsolatok további fejlődése megfelelő mederben maradjon, további biztonsági és adatvédelmi intézkedés szükséges. Az interneten keresztül történő adatmegosztás tekintetében – nem csupán a közösségi portálok körében – magasan vezet a Facebook számos alkalmazás előtt. (Érdemes megfigyelni, hogy a második helyezett e-mail forgalmat is megelőzi ez a portál!) Ezt az alábbi ábra szemlélteti:

8


Madocsai Judit

A riport további részben a jelenlegi legnagyobb közösségi portált, a Facebook-ot használom esettanulmányként adatvédelmi és biztonsági szempontból. A portál működése kezdetén (2004) eredetileg egyetemi hallgatók közötti kapcsolattartás volt a cél. Az oldal hamar nagy népszerűségnek örvendett, így a szolgáltatást nem csupán az előző szűk kör vehette igénybe, hanem bárki. Eleinte az oldal nem ajánlott fel olyan opciót, mely lehetővé tette a felhasználók által megadott adatok láthatóságának korlátozását. Mára már lehetőség van dönteni arról, kinek válik látható az általunk közölt információ. 2009 januárjában vezette be az oldal azt a lehetőséget, hogy a felhasználók maguk állíthatják be, milyen közönségnek teszik láthatóvá közölt adataikat. [1] A Facebook lehetséges adatvédelmi beállításait mutatja az alábbi ábra [7]:

9


Madocsai Judit

Lehetséges tehát beállítani azt, hogy ki láthassa profilunkat és írhasson üzenetet üzenőfalunkra; megadható, hogy ki léphet kapcsolatba velünk e-mailen keresztül, beállítható, hogy egyes alkalmazások számára milyen információk érhetők el. Beállítható, ki kereshet minket az oldalon és kereső motorok segítségével; végül lehetséges megadott emberek blokkolása. Ezen intézkedések azonban nem nyújtanak elég védelmet a felhasználók számára, hiszen megtehetjük például, hogy hamisan egy népszerű személy nevében regisztrálunk az oldalra, s ezzel olyan kapcsolatokra teszünk szert, melyek a valóságban nem léteznek; de a kívánt adatok máris rendelkezésre állnak. A portál adatvédelmi szabályzatából kitűnik az is, hogy a szolgáltató ugyan tájékoztatja a felhasználókat szabályairól, de korántsem mondható tökéletes védelemnek az, amit nyújt. A szabályzat rögtön az elején megállapítja, hogy az itt leírtak nem fedik a külső alkalmazásokban és weboldalakban érvényes elveket. Tehát külső alkalmazás használata esetén nem érvényesek az alább leírtak. Amennyiben valaki felhasználójává válik a rendszernek elfogadja a leírt elveket: [7] Ha valaki képet tölt fel saját profiljába, neki kell gondoskodnia arról, hogy a metaadat (pl. a kép eredeti címe) ne kerüljön nagy nyilvánosság elé; ellenkező esetben azt a szolgáltató nem szűri ki. (content). Tranzakciós információra vonatkozó adatok (ki milyen alkalmazást nyitott meg, milyen képet töltött fel, mit tett elérhetővé magáról az adatlapján) alapértelmezetten megjelennek, a felhasználónak kell arról gondoskodnia saját beállításainak segítségével, hogy ne jelenjen meg ezzel kapcsolatos információ. (transactional information) Amennyiben egy már regisztrált felhasználó törölni szeretné saját profilját az oldalról, ezt megteheti, de a már feltöltött tartalom biztonsági másolatok formájában továbbra is elérhető lesz a szolgáltató számára egy adott ideig („for a reasonable period of time”). Az adatvédelmi szabályzatban az is rögzítve van, hogy a szolgáltató milyen adatokat gyűjt a Facebook-on való közreműködés során. Ezek az alábbiak: •

Aktivitási információ A szolgáltató naplózza és nyomon követi, hogy egy felhasználó milyen kapcsolatokat hozott létre, mikor használt egy alkalmazást, vagy éppen azt, hogy mikor like-olt és kit.

•

Böngésző és használt eszköz információ Azon eszköz segítségével, melyen a felhasználó az alkalmazást futtatja a kiszolgáló információkat gyűjt a böngésző típusáról, az eszközről, a tartózkodási helyről, az IP címről, valamint azokról a weblapokról, melyet a használat során meglátogatunk.

•

Cookie információ

10


Madocsai Judit

A Facebook üzemeltetés cookie-kban tárolja felhasználónevet annak érdekében, hogy a bejelentkezés könnyebben végbemehessen, illetve hogy a bejelentkezés ténye rögzítésre kerülhessen. Ezek az információk a hirdetések szolgálatában is állnak. Azon információk, melyeket a szolgáltató harmadik féltől kap: •

Facebook platformról: Alkalmazások (pl. játékok) használata független az üzemeltető csoporttól, így azok üzemeltetői információt küldenek arról, hogy a felhasználók milyen műveleteket hajtottak ott végre. Bizonyos esetekben, az alkalmazás azonosítása céljából már a kapcsolódás előtt is információkat kérhet le a szolgáltató az alkalmazás üzemeltetetőitől.

•

M ás weboldalaktól: Hirdetések esetén a hirdető fél információt nyújt a szolgáltatónak arról, hogy egy bizonyos reklám milyen reakciót váltott ki a felhasználóból, annak érdekében, hogy mély jobb minőségű és személyre szabottabb hirdetések jelenhessenek meg.

A szabályzat végén a szolgáltatók felhívják a figyelmet arra, hogy habár lehetséges biztonsági beállítások igénybevétele, nem lehetséges a biztonsági megoldásokat tökéletesen kivitelezni, így az sem garantált, hogy csak hitelesített felhasználók férnek hozzá személyes adatainkhoz. Nem garantált, hogy a közzétett adatok nem lesznek publikusak bárki számára, illetve hogy harmadik fél megtartja a rögzített adatvédelmi szabályokat. Ajánlatuk szerint erős jelszót célszerű használni, lehetőség szerint különböző oldalakon mást és mást, és erősen javasolt frissített vírusirtó programot használata is. A fentiek alapján tehát maguk a szolgáltatók is beismerik, hogy nincs tökéletes védelem, mellyel az adatok biztonságban lennének, de a szabályzatban leírtakhoz tartják magukat. Ezzel szemben 2010 májusában milliós nagyságrendű Facebook felhasználói account-ot találtak egy külső szerveren, mely az adatvédők aggályait és a szolgáltatók felelősségvonását eredményezte. Komolyabb változás, vagy tömeges lejelentkezések azonban nem következtek be.

3.3

Megoldások

Mint az a fenti megfontolások alapján is látható, alapvető ellentét bújik meg biztonsági és védelmi célok, valamint közösségi hálózatok célja (használhatóság, szociális lét) között. Ahhoz, hogy egy ember kereshető legyen, nyilván minél több egyedi jellemzőjét kell nyilvánosságra hoznia; így könnyebb lesz őt megtalálni. Ezzel ellentétben viszont biztonsági szempontból nem célszerű olyan adatok közzététele, melyek egyértelműen megkülönböztetnek egyes felhasználókat. Ezen tervezési elvek közt tehát egyensúlyt kell találni. Abban, hogy ez az egyensúly létrejöjjön, nagy szerepe van az adatvédelmi szabályoknak (privacy policy). Kezdetben nem minden közösségi portál kínálta fel ezt a lehetőséget 11


Madocsai Judit

felhasználóinak [2]. Számos média által is felkapott botrány látott napvilágot ezen szabályok hiánya miatt. Mivel ezen oldalak lényegében egy adatbázist reprezentálnak, természetesen jó szociális és marketing statisztika lehet az itt tárolt sok adat, mely alapján hasznos következtetések levonásár is sor kerülhet (pl: társasalom fejlődése, aktuális problémák, … stb.) Sok, a témában érintett szakember véleménye szerint nincs megoldás a problémára: az adatvédelem halott, ezen változtatni már nem tudunk, csupán a beletörődés az egyetlen lehetséges magatartás. A megoldás azonban mindkét szereplő felelős magatartásán múlik; egyrészt a felhasználók felelőssége, hogy milyen adatokat tesznek közzé magukról; másodsorban a szolgáltatók vonhatók felelősségre az adatok helyes tárolás és használat szempontjából.

Személyes konklúzió Sajnálatos (vagy éppen örvendetes) módon ezen portálok nem csupán kapcsolatok nyilvántartására szolgálnak, hanem munkahelyeken is fontos szempont lett a felvétel megítélése tekintetében az, hogy kinek milyen adatai láthatók profiljában. [2] Mivel amit egyszer feltöltöttünk, az onnantól kezdve nyilvános, így hiába töröljük azt később; a feltöltés pillanatától kezdve az ismert lesz. Így nagyon kell arra ügyelni, mit osztunk meg magunkról. Ez is indoka lehet például egy munkahelyről történő elbocsátásnak. Mivel a közösségi oldalak megjelenése adatvédelmi szempontból több problémát okozott, mint az eddigi rendszerek (pl. e-mail rendszerek, skype, msn…) elmondható, hogy nem érte el eredeti célját. Ennek ellenéri igen sok olyan, társadalmi szempontból is hasznos funkciót, jelenséget hozott létre, melynek hatásai egyértelműen pozitívak. Gyakorlati tapasztalataim alapján a közösségi oldalak olyannyira részévé váltak az életünknek, hogy nem ritka eset a függőség kialakulása sem. Természetesen használjunk ilyen oldalakat a józan ész határain belül. Mivel a társadalom jelentősebb hányada nincs tisztában azzal, hogy milyen biztonsági kockázatokkal jár az ilyen közösségi oldalakhoz való tartozás, nem várható el a felelősségteljes együttműködés sem.

12


Madocsai Judit

Irodalomjegyzék [1] What anyone can know – The privacy Risks of Social Networks Sites, Managing Organizational Security, IEEE Security ans Privacy, 1540-7993/07, 40-48. o, 2007. május-június [2] Bin Zhou, Jian Pei: Preserving Privacy in Social Networks Against Neighborhood Attacks, School of Computing Science, Simon Fraser University, Canada, IEEE 978-1-4244-1837/08, 506-515. o, 2008 [3] Chi Zang, Jinyuan Sun, Xiaoan Zhu, Yuguang Fang: Privacy and Security for online Social Networks: Challanges and Opportunities, IEEE Network, 0890-8044/10, 13-18. o, 2010 júliusaugusztus [4] Bruce Schneier: The Value of Privacy, esszé, 2006. május [5] Catherine Dwyer, Starr Roxanne Hiltz, Katia Passerini: Trust and privacy concern within social networkink sites: A comparison of Facebook and MySpace, Proceedings of the Thirteen Americas Conference on Information Systems, Keystone, Colorado, 2007. augusztus [6] Aleksandra Korolova, Rajeev Motwani, Shubha U. Nabar, Ying Xu: Link Privacy in Social Networks, CIKM'08 konferencia, Napa Valley, California, 2008. október [7] Facebook, 2010, http://www.facebook.com/ http://www.facebook.com/policy.php [8] iWiW, 2010, http://iwiw.hu/ [9] http://krono.inaplo.hu/index.php/inter/inter-halozati-jelensegek/600-e-privacy-szemelyisegijogok

13

Privacy problémák közösségi hálózatokban

Recommend Documents