I.2.3 Poglavitne rešitve

Po predlogu zakona se izmed storitev, ki jih je prepovedano opravljati za osebe, ki nimajo koncesije Vlade RS za prirejanje iger na srečo, črta »omogočanje dostopa do spletnih strani oziroma drugih telekomunikacijskih povezav, preko katerih se je mogoče udeležiti spletnih iger na srečo«, ker iz besedila ni povsem jasno, da se nanaša le na tiste ponudnike storitev informacijske družbe, ki opravljajo storitve (storitev je naročeno delo, ki se opravi za koga, navadno za plačilo), torej so v pogodbenem odnosu z osebami, ki prirejajo igre na srečo brez koncesije Vlade RS.

Po predlogu zakona sme le sodišče ponudniku storitev informacijske družbe odrediti omejitev dostopa do spletnih strani, preko katerih se prirejajo igre na srečo brez koncesije Vlade RS. S tem je zagotovljena pravna varnost ponudnikov storitev informacijske družbe in upoštevano načelo sorazmernosti. Predlog sodišču lahko posreduje tudi pristojni nadzorni organ. Takšna ureditev je povzeta po Zakonu o elektronskem poslovanju na trgu (Uradni list RS, št. 96/09 – uradno prečiščeno besedilo), ki sicer dejavnost iger na srečo izključuje iz uporabe zakona.

Tak razvoj je seveda pozitiven, sploh ker se bo zakon spremenil brez skrajnih mehanizmov, kot so ustavna presoja ali referendum. Ne gre pa pozabiti, da je še pred nedavnim Urad RS za nadzor nad prirejanjem iger na srečo (Unpis) vseeno izdal več odločb slovenskim ponudnikom za blokado spletnih mest. Slovenski ponudniki so odreagirali s skupno izjavo za javnost, pritožbami in pozivom k odpravi odločb. Direktor Unpisa, Boris Kovačič je ob tem za Finance izjavil:

Verjamem, da smo (ponudnike interneta, op. a.) jih z ukrepom presenetili. Očitno na to niso bili pripravljeni. Toda njihovo dejanje pomeni, da podpirajo kaznivo dejanje. Drugega ne morem reči, zato jim bomo izdali plačilne naloge oziroma druge ustrezne ukrepe.

• Boris Kovačič, direktor Unpisa v članku “Unpis: Če ne bodo ubogali, jih bomo pa kaznovali“, Finance, 6. 4. 2010

Konec dober, vse dobro?

Moji prejšnji prispevki na to temo:

• Cenzura prometa na stranska vrata (5. 1. 2010)
• Smiselnost internet filtriranja (13. 1. 2010)
• Predavanje o cenzuri interneta v Kiberpipi (25. 2. 2010)
• Ne glej, ne poslušaj (22. 3. 2010)

Omejevanje dostopa

Kot kaže, so na Uradu izbrali možnost omejevanja dostopa preko DNS sistema, o kateri sem tu že pisal. Izbrali pa so dokaj nerodno različico. Blokade spletnih mest s pomočjo DNS preslikav se običajno izvedejo s preusmeritvijo na nek drug IP naslov. Tam uporabnika običajno čaka obvestilo, da je njegova zahteva preusmerjena, skupaj z razlogi, zakaj se je to zgodilo. S tem, ko pa Urad zahteva onemogočanje pretvorbe, naroča operaterjem, naj njihovi strežniki vrnejo odgovor, da tega spletnega mesta ni. Bolj natančno bi pravzaprav bilo reči, da se morajo operaterjevi DNS resolverji delati, kot da tega spletnega mesta ni. S tem pristopom je pa kar nekaj težav.

• Uporabniki pri brskanju ne bomo mogli več enostavno ugotoviti, kdaj gre za napako v omrežju ali našem tipkanju, kdaj pa spletno mesto je, a nam Urad ne pusti do njega. Prav bi bilo, da je razlog za omejitev dostopa vsakemu uporabniku jasno predstavljen takoj, ko dobi odgovor na svojo zahtevo.
• Izogib ukrepu je enostaven: igralci bodo uporabili OpenDNS ali Google Public DNS strežnike in se trivialno izognili omejitvi (ali pa se preslikava vpiše v hosts datoteko). Tak ukrep torej ni učinkovit.
• Ukrep želi omejiti dostop ne glede na to, ali je vaš namen igrati igre na srečo, ali pa samo pogledati, kaj je na spetnih straneg bwin.com in bet-at-home.com. Ali pa če ste recimo novinar in želite pobrskati po seznamu kontaktnih naslovov prirediteljev, da bi dobili uradno izjavo glede blokade. Omejitev velja tudi takrat.
• Blokada velja recimo le za www.bwin.com, ne pa za www2.bwin.com ali bwin.com (čeprav se slednji na spletnem strežniku kasneje preslika na www.bwin.com). Pričakovati je torej še dodatne odločbe, s katerimi bo Urad to popravil.

Zakaj je Urad izbral takšno različico omejevanja, lahko le ugibam. Morda zato, ker ni potrebna vzpostavitev posebnega spletnega strežnika, ki bi sprejemal preusmerjene zahteve in uporabnikom pojasnjeval, zakaj je bil promet preusmerjen (ali pa jim Urad tega ne želi pojasnjevati)?

Kot poroča Delo, pa odločbe niso razveselile Direktorata za informacijsko družbo.

DODANO 23.3.2010: Kot sva napovedala z Matejem Kovačičem na predavanju v Kiberpipi, se bwin.com seveda ne bo tako enostavno predal. Poleg omenjenega www2.bwin.com je postavil še spletni naslov www77.bwin.com (ki seveda ni predmet izdanih odločb za omejitev dostopa), na voljo pa je dal še program za PC, ki zagotavlja izogibanje blokadi. Da ne bo pomote: nisem hazarder in se ne želim opredeljevati o igrah na srečo za denar, še manj pa želim zagovarjati tujo igralnico! Se pa lahko opredelim glede smiselnosti poskusa omejevanja tujega spletnega mesta. Ministrstvo za finance in UNPIS sta zatrjevala v izredno skopih izjavah medijem, da je ukrep omejevanja “smotrn in učinkovit” (Delo, 21.1.2010), medtem ko smo drugi nizali argument za argumentom, zakaj temu ni tako in kazali na resno kolateralno škodo takšnega ukrepa. No, menim, da je sedaj zadnje dogajanje jasno in praktično pokazalo, da ukrep verjetno ni smotrn, zagotovo pa ni učinkovit.

Glede tega sem pomislil na scenarij, ki se verjetno kar pogosto odvija pri nas: otrok nekje v prvih razredih osnovne šole sliši, da imajo eni že Facebook in ga hoče tudi sam, čeprav ne ve čisto, kaj to pravzaprav je. Starši pogosto tudi ne vedo, ali pa so neizmerno navdušeni nad web 2.0 sposobnostmi svojega otroka (oz. se imajo za blazno moderne in napredne) in mu naredijo FB račun. Kaj bo, če bo prišlo do kakšnega problema in bo otrok nevede objavil preveč, ali pa bo žrtev kakšnega nadlegovanja? Se mi zdi, da bodo starši zelo hitro obtožili državo, šole in še koga, ne bodo pa pomislili na to, da je njihova dolžnost, da se pozanimajo, kam spuščajo otroka. Če to počnejo v fizičnem svetu, morajo tudi v virtualnem. Pa še Facebook sam med pogoji uporabe določa, da morate imeti vsaj 13 let …

O zasebnosti na omrežju je Mazi v ponedeljkovem Dnevniku napisal tudi ločen komentar (priporočam!), o vrednosti Facebook profila pa sem tudi že sam pisal.

Posnetek predavanja je tule, med najavo na začetku za kakšno minuto slika izgine, potem pa je v redu.

Omogočanje dostopa prepovedano! from SI-CERT on Vimeo.

Upam, da sva v predavanju uspela prikazati, kako spremembe v ZIS-C očitno niso bile dovolj premišljene, ne s pravnega, ne s tehničnega stališča.

Če poleg te, vsaj meni zelo pomembne funkcionalnosti, upoštevam tudi zadovoljivo podporo za prepoznavo obeh formatov slovenskih telefonskih številk (tistih s +386 predpono in onih brez), potem zase ne vidim več razloga za jailbreak. Super!

Related articles by Zemanta

• iPhone OS 3.1.3 Update Available for All iPhone and iPod touch Models (lifehacker.com)
• Apple patch plugs iPhone, iPod Touch holes (news.cnet.com)
• Apple releases iPhone software 3.1.3 (macworld.com)

Technically, it is difficult. Legally, it is problematic. Above all, it represents a real threat to the free transfer of information and conflicts with basic democratic principles.

Cormac Callanan

V povzetku poudarjajo tudi, da filtriranje in omejevanje dostopa ni učinkovito, saj blokira bodisi premalo ali preveč, poleg tega pa bodo storici ali prekrškarji zlahka ukrep zaobšli.

Zanimiva pa je v luči sprememb naše zakonodaje novica, da bo Google zaradi hekerskih napadov in omejevanja svobode govora prenehal cenzurirati iskalne rezultate na google.cn in celo razmišlja o tem, da bi zaprl svojo kitajsko poslovalnico. Ameriška vlada se je hitro odzvala in Hillary Clinton pravi, da bo naslednji teden govorila o svobodi interneta v 21. stoletju.

Rekli boste, da primerov ne moremo enačiti. Res je.

Če nadzorni organ pri izvajanju nadzora ugotovi, da se prirejajo spletne igre na srečo brez koncesije vlade, lahko ponudniku storitve informacijske družbe naloži omejitev dostopa do spletnih strani oziroma drugih telekomunikacijskih povezav, preko katerih se take igre prirejajo.

Vsem, ki vas zanimajo pravne implikacije in družbena primernost uvajanja takšnih ukrepov, toplo priporočam članka Mateja Kovačiča in Žige Turka, sam pa se bom osredotočil na tehnične možnosti blokiranja omrežnega prometa in posledice, ki jih ta lahko prinese.

Kadar želimo omejiti dostop do nekega strežnika oz. do spletnega mesta, imamo v bistvu na voljo štiri možnosti: blokada prometa glede na ciljni IP naslov, spreminjanje tabel za usmerjanje prometa, preusmerjanje s pomočjo lažnih DNS odgovorov in tehnologijo DPI, Deep Packet Inspection. Vsaka od teh možnosti ima svoje pomanjkljivosti oz. povzroči probleme, na katere zakonodajalec verjetno ni pomislil, bodo pa padli na ramena “ponudnikov storitev informacijske družbe”.

Blokada prometa na podlagi IP naslova

To je najbolj enostavna metoda, ki jo običajno internetni ponudniki uporabljajo recimo za obrambo pred napadi s poplavo podatkov (DDoS, Distributed Denial of Service oz. na kratko kar “dosanje”). Tudi najbolj enostavne omrežne naprave podpirajo vsaj osnovno filtriranje prometa te oblike. Na napravi (običajno usmerjevalniku prometa, lahko tudi požarnem zidu) se ustvari novo pravilo, ki pravi, naj se promet na nek ciljni IP naslov (recimo 195.72.135.41) zavrže. To bi ustrezalo primeru, ko poštar na določen naslov (recimo Jamova 39, 1000 Ljubljana) ne bi več dostavljal pošiljk. S tem morda dosežemo namen, kadar je na tem naslovu samo ena oseba, povzročimo pa lahko dodatno škodo, kadar stoji na tem naslovu blok ali celo poslovna stavba (ali v tem konkretnem primeru Inštitut Jožefa Stefana).

Takšni blokadi se lahko prireditelj iger na srečo enostavno izogne tako, da prosi svojega ponudnika gostovanja, naj mu zamenja IP naslov. Ta bo verjetno rade volje to storil in ukrep je izničen. Še več: ponudnik bo ta prosti IP naslov recikliral in ga že naslednji trenutek dodelil drugi svoji stranki, do njenega spletnega mesta pa naenkrat iz Slovenije ne bomo mogli.

Vsi tisti igralci, ki se bodo ukrepu želeli izogniti, bodo ukrep zaobšli z uporabo anonimnih proxy strežnikov (kot se je to zgodilo v udba.net primeru) ali omrežja Tor, ki je namenjeno anonimnemu brskanju.

Spremembe tabel za usmerjanje prometa

Omrežje internet je sestavljeno iz ogromnega števila povezav med usmerjevalniki prometa (router). Vsak od njih ve na podlagi posebnih tabel za usmerjanje prometa, kateremu sosedu mora poslati paket, da bo prišel na cilj. Vsi internetni ponudniki svoj IP naslovni prostor oglašujejo sosednim omrežjem, posebni protokoli in postopki pa poskrbijo, da se ustrezna informacija razširi po omrežju. Če se vsi ponudniki držijo dogovorjenih pravil, lahko od koderkoli na internetu pridemo kamorkoli.

Ponudniki v Sloveniji bi omejevanje dostopa lahko implementirali tako, da bi dodali v usmerjevalne tabele lažne podatke, ki bi govorili, da se recimo bwin.com nahaja dejansko na strežniku Urada RS za nadzor nad prirejanjem iger na srečo. S tem ne bi zavrgli ali uničili pakete, ampak bi jihpreusmerili. Kot da bi na cestah v vsej državi zamenjali table, ki kažejo, kako se pride recimo v Trst in bi potnike usmerjali v Celje. Dodaten “bonus” takšnega omejevanja je, da upravitelj tega lažnega cilja jasno vidi, kdo vse želi priti do prepovedanega spletnega mesta …

Ostale problemi in metode izogibanja ukrepu pa so povsem isti, kot v prejšnjem načinu blokade. Ker pa lahko po nesreči usmerjevalna informacija “uide” v tuja omrežja, pa se tu pojavi še dodaten problem, ko preusmerimo promet tudi v drugih državah. To se je dejansko že zgodilo v primeru, ko je pakistanski telekom leta 2008 dobil navodilo države, naj zablokira Youtube zaradi neprimernih vsebin. Zaradi napake pri urejanju usmerjevalnih tabel je ta laž ušla iz Pakistana ven in se v hipu razširila po internetu. Tako je bil nekaj ur Youtube nedosegljiv za večino uporabnikov interneta!

Podtikanje lažnih DNS odgovorov

Omrežna komunikacija poteka med različnimi IP naslovi, te pa si ljudje težko zapomnimo, zato je eden od temeljnih gradnikov interneta tudi porazdeljeni imenik DNS, Domain Name System. Vsakič, ko recimo vpišemo spletni naslov v brskalnik, si naš računalnik v ozadju izmenja kopico paketov z DNS strežniki na omrežju. Tako vpraša, kateri so domenski strežniki za bwin.com; ko izve za te, njih vpraša za IP naslov spletnega mesta www.bwin.com in prejme odgovor: 195.72.135.41. Brskalnik šele nato lahko pošlje zahtevek za vsebino spletne strani. Za te DNS poizvedbe običajno uporabljamo strežnike svojega internetnega ponudnika (pogovorno tak DNS strežnik imenujemo resolver).

Spletno mesto lahko s pomočjo DNS sistema blokiramo tako, da v resolver dodamo črno listo imen. Ko recimo tako spremenjen resolver na črni listi najde www.bwin.com, namesto pravega odgovora vrne IP naslov vnaprej določenega spletnega mesta, kjer se uporabniku prikaže sporočilo, da do tega spletnega mesta ne sme.

Pri tem načinu se vsak igralec iger na srečo še bolj enostavno izogne blokadi. Na primer tako, da si na računalniku nastavi OpenDNS ali Googlove strežnike (resolverje), ki brezplačno nudijo svoje storitve komurkoli. Ker pa je podtikanje lažnih DNS odgovorov tudi ena od metod omrežnih kriminalcev, ki nam skušajo na ta način ukrasti gesla in denar, zato se bo prej ali slej vpeljal nov, bolj varen protokol, DNSSEC. Ta bo vzpostavil hierarhijo ključev za digitalno podpisovanje, takšne blokade (oz. preusmeritve) pa naredil manj uporabne.

DPI – Deep Packet Inspection

Najbolj kompleksna in napredna (ali pa perfidna, odvisno od stališča) tehnologija za filtriranje prometa temelji na vpogledu v vsebino, samodejnem pregledovanju celotnega prometa in iskanju vzorcev v njem. Če se vrnemo na poštarsko analogijo: vsako pismo bi na pošti odprli in na podlagi vsebine pisma odločili, ali se ga sme dostaviti, ali ne. DPI se uporablja kot dodatek pri nekaterih požarnih zidovih, seveda pa je tudi idealno orodje za nadzor nad prometom zaposlenih. Tudi pri nas se skuša še dodatno promovirati internetnim operaterjem, saj omogoča tudi spreminjanje in dodajanje vsebine v komunikacijo. Reklam, recimo.

DPI sigurno pomeni nesorazmeren poseg v zasebnost komunikacije glede na namen omenjenega zakona, zato kaj dosti besed o tej možnosti ne bi izgubljal, morda bi le pokazal na članek o neprimerni uporabi DPI tehnologije pri nas.

Splošni problemi

Obstaja tudi nekaj pomislekov, ki pa so skupni vsem trem načinom blokiranja prometa. Najprej bi omenil ažuriranje spiska blokiranih mest. Kdo bo vzdrževal spisek, preverjal ali še veljajo razlogi za blokado in sporočal vse skupaj slovenskim “ponudnikom storitev informacijske družbe”? Urad RS za nadzor nad prirejanjem iger na srečo? Kaj, ko bo prireditelj zamenjal IP naslov ali DNS ime? Bomo imeli centralni državni organ za urejanje cenzuriranih spletnih mest, ali bodo to počeli posamezni uradi in inšpekcije? Zdi se mi, da so vse te službe bolj vajene postopka, kjer izdajo odredbo, nato pa je stvar zaključena. Kaj pa bo čez dve leti, ko bo prireditelj propadel, zamenjal ponudnika gostovanja ipd.?

Zanesljiva komunikacija je tista, pri kateri vemo, kakšni so možni rezultati: ali bo sporočilo prišlo na cilj, sicer pa bomo dobili povratno informacijo, da nekaj ni bilo v redu. Z nekaterimi načini filtriranja to zanesljivost zmanjšamo in vnesemo polje zmede v omrežje.

Predvsem pa ni prav, da v spor med Uradom, ki skrbi za zakonitost iger na srečo in tujim prirediteljem iger na srečo vlečemo tretje osebe. Še posebej, če gre tu za operaterje, ki imajo za nalogo hitro in učinkovito omrežno komunikacijo in jim zakonodaja sicer nalaga, da se vsebine uporabnikove komunikacije ne smejo pritakniti. Ne zdi se mi primeren izgovor, da je težko doseči, da bodo tujci sprejeli omejitve, ki veljajo v Sloveniji, ter da ti postopki trajajo dolgo časa. Še posebej, kadar ima prireditelj sedež v članici EU.

Končal bom s prispodobo. Predstavljajmo si italijanske uradnike nekaj let nazaj, kako so preko meje strmeli v Hitove reklame in se jezili, da njihovi državljani v slovenske igralnice nosijo denar. Ker vedo, da čez mejo pristojnosti nimajo in da so tam zakoni drugačni, so po mrzličnem iskanju rešitve odredili lastniku ozemlja ob meji, naj na lastne stroške postavi veliko tablo, ki mimoidočim zakrije pogled na reklamne napise igralnice tam čez. Ne glede na to, da vsak lahko reklame vidi, če se premakne nekaj deset metrov stran, bi svoj “ukrep” opravičili s tem, da so naredili vsaj nekaj in da je tudi to bolje, kot nič.

Pa je res?

Posted via web from Micro Bursts

Internetna družabna omrežja temeljijo na tem, da si zgradimo mrežo prijateljev, tem pa nato oznanjamo, kaj počnemo, kje smo bili, kam gremo in kaj si o kakšni aktualni stvari mislimo. Objavljamo slike, povezave na bloge in video posnetke, ter komentiramo objave svojih prijateljev. Ker na internetu velja, da je z objavljeno stvarjo tako kot z zobno pasto, ko jo iztisnemo iz tube (t.j. zelo težko jo spravimo nazaj), bi morali biti pozorni na vsaj dve stvari.

Najprej, koga vse na Facebooku vzamemo za svojega prijatelja? Dovolimo bežnim znancem in popolnim tujcem v svoje omrežje, ker se želimo postaviti z visokim številom FB prijateljev, ali pa nam je nerodno koga zavrniti? Bolj ko je temu tako, težje napovemo, kako bodo ti “prijatelji” ravnali z našimi podatki. In nato: kdo vse vidi naše podatke, samo prijatelji, tudi prijatelji prijateljev, ali kdorkoli na internetu?

Vedno govorimo, da imajo informacije vrednost. To vrednost sami večamo z objavami na FB o tem, kdo smo in kaj počnemo. Tako lahko nekdo recimo izkoristi dejstvo, da ste se odpravili na pot po Afriki in v vašem imenu pošlje obvestilo FB prijateljem, kako so vas okradli, ste v hudi stiski in nujno potrebujete denar za vrnitev domov, nakazilo pa naj bo v neko banko v Nigeriji (dvig z geslom, brez osebne identifikacije) … Takšne goljufije se redno dogajajo že danes, pričakujemo lahko le, da bodo jutri goljufi postali še bolj zviti s pomočjo informacij, ki jih mi sami dajemo na voljo.

FB in podobna omrežja so dejansko platforma za izmenjavo različnih tipov informacij med uporabniki, te pa so lahko tudi neposredno škodljive, denimo računalniški virusi in črvi. V pradavnini so ti potovali po disketah, včeraj po elektronski pošti, družabna omrežja pa so naslednja na spisku.

Na koncu ne smemo pozabiti na to, da vse podatke na FB hrani in upravlja zasebno podjetje v ZDA. Kaj bodo z njimi počeli bo verjetno prej stvar zaslužka, kot neke nedefinirane skupne koristi uporabnikov.

Je torej glede na zgoraj nametane probleme rešitev v popolni web 2.0 abstinenci in strogo anonimnem brskanju po spletu? Za nekatere morda res, za večino nas pa bo verjetno dovolj, če poskrbimo za osnovno zaščito in higieno pri uporabi. Zato si priskrbimo profesionalni zaščitni program, ki nas bo obranil virusov in podtaknjenih stvari na spletu (ter nas na leto stane toliko kot ena cenejša večerja v mestu). FB, spletne pošte in drugih omrežnih storitev raje ne uporabljajmo s tujih računalnikov (cybercafeji), lahko nam ukradejo geslo in z njim našo omrežno identiteto. Preverimo nastavitve na FB, ki določajo, kdo lahko pregleduje naše objave. Pri objavljanju osebnih podatkov, slik in video posnetkov pa bodimo raje bolj na konzervativni strani. In ker odrasli zaradi svojih izkušenj to mejo konzervativnosti lažje najdemo kot otroci in mladostniki, jim pomagajmo z nasveti.

Slika: pshab

Med velikonočnimi prazniki so se na Twitterju pojavili XSS (cross-site scripting) črvi. Ob obisku okuženega profila vam lahko podtaknjena koda na strani ukrade Twitter piškotek, s katerim se identificirate. Črv v vašem imenu (a brez vaše vednosti, seveda) počivka, kjer skuša vaše prijatelje namamiti na stran z zlonamerno kodo in tako okužiti tudi njihov profil.

Kot vse kaže, je v tem primeru šlo za “proof-of-concept” črva, doživel pa je par mutacij. Sigurno ni to zadnji varnostni problem, s katerim se je Twitter soočil. Družabna omrežja vabijo s tem, da so preprosta in prijazna, včasih tudi na račun opuščanja razmisleka o varnem snovanju za splet.

Zaenkrat svetujem, da bodisi izklopite Javascript (radikalno), ali pa bodite zelo rezervirani pri klikanju po Twitterju (verjetno dovolj). Še posebej, pri povezavah novih neznanih “sledilcev”. Twitter ekipa pa pravi, da so izbruh spravili pod nadzor, vendar pa še “pregledujejo vse podrobnosti.” Torej še ni čisto jasno ali je zadeve konec, zato previdno.