פרטיות בהאנשה – ידועה בציבור?! או: איך לאכול את העוגה ולהשאירה שלימה......

1. פרטיות בהאנשה – ידועה בציבור?!או: איך לאכול את העוגה ולהשאירה שלימה...... ד"ר ברכה שפירא המחלקה להנדסת מערכות מידע אוניברסיטת בן-גוריון

2. מהי פרטיות • זכות של האדם למנוע חשיפה של פרטים אודותיו • זכות של האדם לדעת ולשלוט על איסוף מידע אודותיו ועל מסירת מידע עליו לגורמים אחרים • פרטיות – הגדרה תרבותית לא מוחלטת (עניין של גיאוגרפיה.......) • קיים מתח בין הזכות לפרטיות לבין ערכים אחרים, כמו האינטרס הציבורי, יעילות כלכלית או חופש המידע

3. פרטיות בעידן הדיגיטלי...... “You have zero privacy anyway, so get over it!” Scott McNealy Sun Microsystems' CEO • המהפכה הטכנולוגית מאפשרת איסוף, עיבוד ותפוצה של מידע על אודות מיליוני אנשים, ללא ידיעתם • גופים שונים מעוניינים להשיג חומר אישי על אנשים אחרים • "כריית מידע" – מאפשרת הצלבת מידע ממקורות שונים כדי להסיק ידע נוסף • the Virginia Watchdog (www.opcva.com/watchdog)

4. ובעתיד..... “A search engine of 2010 will know who you are, where you are and what you need and look across every form of information to automatically find what will help you.. .” Maney Kevin Technology journalist, USA TODAY, May, 2005 טכנולוגיות חדישות - איום מתגבר לפרטיות מערכות איתור לוויניות (GPS) מערכות זיהוי ביומטריות מערכות זיהוי מבוססות ריח, גלי רדיו ועוד.... ubiquitous computing

5. המצב בארץ - החוק • חוק יסוד : כבוד האדם וחרותו • סעיף 7 לחוק יסוד: כבוד האדם וחירותו :"כל אדם זכאי לפרטיות ולצנעת חייו, אין נכנסים לרשות היחיד של אדם שלא בהסכמתו, אין עורכים חיפוש ברשות היחיד של אדם, על גופו, בגופו או בכליו ואין פוגעים בסוד שיחו של אדם, בכתביו או ברשומותיו". • חוק הגנת הפרטיות, התשמ"א – 1981 1. איסור הפגיעה בפרטיות לא יפגע אדם בפרטיות של זולתו ללא הסכמתו. 2. פגיעה בפרטיות היא אחת מאלה:... • (7) הפרה של חובת סודיות שנקבעה בדין לגבי עניניו הפרטיים של אדם; • (8) הפרה של חובת סודיות לגבי עניניו הפרטיים של אדם, שנקבעה בהסכם מפורש או משתמע; • (9) שימוש בידיעה על ענייניו של אדם או מסירתה לאחר, שלא למטרה שלשמה נמסרה...

6. החוק.... 4. פגיעה בפרטיות – עוולה אזרחית פגיעה בפרטיות היא עוולה אזרחית, והוראות פקודת הנזיקין (נוסח חדש), יחולו עליה בכפוף להוראות חוק זה. 5. פגיעה בפרטיות - עבירה הפוגע במזיד בפרטיות זולתו, באחת הדרכים האמורות, בין השאר, בסעיפים 2(7) ו – 2(9), דינו – מאסר 5 שנים.

7. החוק....פרטיות מאגרי מידע 7. הגדרות "מאגר מידע" – אוסף נתוני מידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב, למעט- • אוסף לשימוש אישי שאינו למטרות עסק; או • אוסף הכולל רק שם, מען ודרכי התקשרות, שכשלעצמו אינו יוצר איפיון שיש בו פגיעה בפרטיות לגבי בני האדם ששמותיהם כלולים בו, ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף נוסף; • חוק מאגרי המידע נבחן עכשיו לצורך עדכונו

8. המצב בארץ– שמירה על החוק..... Elkin Birnhack, 2004

9. יחס של משתמשים לנושא הפרטיות • Increasingly people say they are concerned about online privacy (80-90% of US Net users) • Improved privacy protection is factor most likely to persuade non-Net users to go online • 27% of US Net users have abandoned online shopping carts due to privacy concerns • 64% of US Net users decided not to use a web site or make an online purchase due to privacy concerns • 34% of US Net users who do not buy online would buy online if they didn’t have privacy concerns http://www.research.att.com/projects/privacystudy/

10. דאגה גוברת אצל הצרכנים העתונות והממשל ...... Most articles relate to the lack of disclosure in privacy policies Number of Articles Published Source: News.com; Forbes.com Jan, 2001

11. סוגי מתקיפים • מתקיף מקומי- יכול לזהות את התקשורת היוצאת והנכנסת למשתמש • מנהל רשת, • ISP • שרתים בין מחשב המשתמש לשרת המטרה • שרתי דואר – יכולים לקרוא אינפורמציה אפילו בשינוי הפרוטוקול • שרת המטרה • למידה של פרופיל המשתמש , cookies • מתקיף גלובאלי • Carnivore

12. סיכוני פרטיות בהאנשהדוגמאות...... • הסקת עובדות חדשות על בסיס עובדות ידועות • הסקה לא נכונה • הסקה נכונה ......של פרטים בלתי רצויים • המידע יכול להוות בסיס לתביעות • שיווק אגרסיבי של מוצרים לא רצויים • חשיפה של פרטים אישיים למשתמשים אחרים באותו מחשב (בעבודה או במשפחה.....) • מסחר אלקטרוני מותאם אישית • מחיר יקר יותר • יחס מושפע לקונה (על פי קניותיו והתנהגותו) • שימוש במידע שנאסף והוסק על ידי גורמים עבריינים • שימוש במידע על ידי הרשויות • ...........

13. סוגים של משתמשים בהקשר לפרטיות והאנשה ללא מודעות לפרטיות מודעות פאסיבית מודעות וההעדפה של האנשה על פרטיות העדפה של פרטיות על שירותי האנשה ושירותים נוספים

14. האנשה ופרטיות – סתירה?? • לצורך האנשה איכותית חיוני לאסוף מידע פרטי על משתמשים התוצאה היא חוסר אימון של המשתמשים במערכת ומפחיתה את אימון המשתמשים במערכת • האמון של המשתמשים ושיתוף הפעולה שלהם במסירת פרטים למערכת הוא חיוני לתפקוד של מערכות האנשה רבות.

15. הפתרון...... • שימוש באמצעים למניעת פגיעה בפרטיות על ידי מערכות האנשה • הגבלה על האיסוף • לאסוף רק מידע נחוץ • להסיק רק מה שהכרחי • שימוש באבטחה נאותה למידע השמור ובעת התעבורה שלו • שימוש באמצעים "בוני אמון" • העברת שליטה למשתמש • שמירה על החוק • ליידע את המשתמש, • להשתמש במידע לפי המטרה שהוצהרה • לאפשר למשתמש לראות את המידע ולתקן אותו

16. צירי ההאנשה ורמת הסיכון לפרטיות סיכוי גבוה לפגיעה בפרטיות סיכוי נמוך לפגיעה בפרטיות אופן איסוף המידע סמוי מפורש משך איסוף המידע אקראי(task or session) מתמשך (פרופיל) מעורבות המשתמש יוזמת המערכת יוזמת המשתמש מידת השימוש בהערכות מבוסס ניבוי מבוסס תוכן

17. מודלים מונעי חשיפה של האנשה1) פרופיל במחשב המשתמש(client-side profile) • מותאם לחוק, מפחית סיכונים (עדיין במעבר לשרת של הבקשות תיתכן חשיפה) • תקשורת עמוסה • ארכיטקטורה מוצעת למערכת המלצות במחשב המשתמש • Canny (IEEE Symposium on Security and Privacy 2002)

18. מודלים מונעי חשיפה של האנשה2) האנשה מבוססת משימה • מתמקד רק במידע הקשור למשימה הנוכחית – פרופיל ארוך טווח לא נשמר • מונע בעיה של המלצות לא רלוונטיות למשימה הנוכחית • האנשה עלולה להיות לא מספקת

19. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS אמצעים לשמירת הפרטיות • אמצעי אבטחה • אנונימיות • הצפנה • אמצעים בוני אמון • Trust Seals • P3P • Hi-WePPS

20. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS Request Request Reply Reply אנונימיות (1) Anonymizer • משמש כ proxy למשתמשים • מסתיר אינפורמציה משרתי המטרה • רואה את כל התעבורה (יש לסמוך על השרת המתווך) http://www.anonymizer.com Client Server

21. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS אנונימיות (2)- Crowds • המשתמש מצטרף לקהל של משתמשים • בקשות מהקהל לא יכולות להיות מזוהות עם אחד מהחברים • הגנה מ: • שרתי מטרה • חברים אחרים בקהל • אדמיניסטרטורים של שרתים "בדרך" • אין הגנה ממאזינים גלובאלים • המערכת הראשונה ללא שרת מרכזי שיש להאמין בו. http://avirubin.com/cacm.pdf

22. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS הצפנה • מדע של הגנה על מידע. • בעבר הסתרת מידע. • כיום כולל גם: • אבטחת שלמות המידע. • אימות מקור המידע. • חתימה דיגיטאלית. • פרוטוקולי הסכמה על מפתחות. • ועוד.

23. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS טקסט ברור Plain text טקסט מוצפן Cipher text Due to the availability and publishing ease of information on the Web, terrorists increasingly exploit the Internet as a communication, intelligence, and propaganda unicate with their affiliates xdffhliouse345 fjged09e5fjsks qwfnxpdifuw0 awdbczoksrya aaksjhaswe4u fdnaweaa2wfs awrkjsfya38yf הצפנה Encryption פענוח Decryption הצפנה מפתח Key המפתח עושה שימוש באלגוריתם מתימטי להעביר טקסט ברור לטקסט מוצפן והפוך

24. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS msg dest,msg B, C kC kB kA kC dest,msg C kC kB dest,msg kX = encrypted with public key of Mix X Mixes [Chaum81] Sender Destination Mix C Mix A Mix B Sender routes message randomly through network of “Mixes”, using layered public-key encryption.

25. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS חותם אמון TRUSTe • נחשב לחותם האימון הנפוץ ביותר לאישור אתרים • מאפשר לארגונים ולאנשים פרטיים להגביר את אמון המשתמשים בהקשר לשמירה על פרטיותם • דורג כחותם האמין ביותר וכסימן הנצפה ביותר בWeb- • לא מבצע בדיקות התאמה לאחר קבלת האישור • תלוי ברצונם הטוב של האתרים.....

26. אמצעי אבטחה אמצעים בוני אמון Hi-WePPS אמצעים בוני אמון למשתמשP3P - http://w3c.org/TR/P3P • סטנדרט מבוסס XML המאפשרים למשתמשים להגדיר ההעדפות בנושאי פרטיות • סטנדרט מבוסס XML המאפשרים לאתרים להגדיר את פוליסת הפרטיות שלהם • P3P enabled browsers יכולים לקרוא את הפוליסה של האתר ולהשוות עם העדפות המשתמש • תוכניות יישום שונות מאפשרות להגדיר בצורה נוחה את ההעדפות מצד המשתמשים, את הפוליסה מצד האתרים כולל בדיקות והתאמות וכן לתת אינדיקציות על מצב ההתאמה של ההעדפות המשתמש לפוליסה של האתרים • אין בדיקה שהאתר אכן מקיים את הפוליסה המוצהרת שלו Privacy Bird conflicts Uncertain images or other embedded content that do not match your preferences Match

27. Hi-WePPs Hidden Web Privacy Preservation Model

28. Hi-wepps – Hidden Web Privacy Preservation Model • מודל להסתרת פרופיל המשתמש באתרים של Web נסתר • שירות של האתר למשתמשים • מיושם על אתר הפטנטים האמריקאי • מחקר בשיתוף עם ד"ר יובל אלוביץ ויעל שפנגלט • מבוסס על מערכת PRAW שפותחה להסתרת פרופיל המשתמש בגלישה בWeb- הלא נסתר

29. PRAW- PRivAte-Web • Bracha Shapira, Yuval Elovici, Adlay Meshiach, Tsvi Kuflik: PRAW - A PRivAcy model for the Web. JASIST 56(2): 159-172 (2005) • Kuflik, T., Shapira, B., Elovici,Y., and Meschiach, A. Privacy Preservation Improvement by Learning Optimal Profile Generation Rate 9th International conference on User Modeling, UM03, Pittsburg, June 22-26 2003 • Elovici, Y., Shapira, B., and Meshiach, A.: A New Privacy Model for Hiding Group Interests while Accessing the Web. , Proceeding of The ACM Workshop in Electronic Society, at The 9t ACM Conference on Computer and Communication Security, Washington, DC, USA -November 2002 • Elovici, Y., Shapira, B., and Meschiach, A. : A New Privacy Model for Web Surfing. NGITS 2002, Israel, 2002; pp. 45-57.

30. User + End Transaction Generator Server רעיון כללי • הסתרת הפרופיל כשמירה על פרטיות מפני האתר ומהמאזינים ב"דרך" • פרופיל המשתמש מוסתר על ידי טרנזקציות דמה "חכמות" המטשטשות את הפרופיל שלו • סוכן במחשב המקומי של המשתמש בהנחה שמאזינים לא יכולים לשתול תוכנות במחשב המשתמש WEB User Computer

31. עקרונות המודל • Hi-WePPS לומד את פרופיל המשתמש – את תחומי ההתעניינות שלו ואת האתר • מערכת Hi-WePPS ממלאת טפסים באופן אוטומאטי באתר ויוצר טרנזקציות דמה חכמות אשר יוצרות מיסוך על תחומי העניין האמיתיים של המשתמש

32. הגדרות • טרנזקציית משתמש מוגדרת כשליחה של בקשה (גישה) לאתר ממחשב המשתמש • Internal user profile (IUP) מוגדר כפרופיל האמיתי של המשתמש הנובע מהבקשות שלו לאתר • - External user profile (EUP)מוגדר כפרופיל הנצפה על ידי האזנה באתר או מחוץ למחשב המשתמש • - “Transaction fakeness rate” -Trמוגדר כמספר הממוצע של טרנזקציות דמה על כל טרנזקציה אמיתית • “Profile update rate” - Pr – מוגדר כמספר הטרנזקציות הנכללות בחישוב הפרופיל האמיתי

33. רציונל..... • טרנזקציות הדמה מיועדות לספק למאזינים נתונים שגויים כך שאי אפשר יהיה לחשב את ה - IUP • מאזין יכול לחשב רק את EUPבאמצעות ניתוח התעבורה ממחשב המשתמש • המרחק בין IUP ל EUPהיא רמת הפרטיות המושגת על ידי המערכת • המערכת כוללת מודולים ל • ניטור המשתמש וחישוב הפרופיל שלו • חישוב והפעלה של טרנזקציות דמה על פי פרופיל המשתמש והידע באתר

34. Hi-WePPS - מטרות • הסתרת פרופיל המשתמש ממאזינים על ידי יצירת טרנזקציות דמה חכמות • עדכון דינמי של פרופיל המשתמש והרגלי הגלישה שלו ובהתאמה עדכון של אסטרטגיית ההסתרה • זיהוי אוטומאטי של שינוי בתחומי ההתעניינות של המשתמשים • הגדרה של מדד לפרטיות של המשתמש ואפשרות לכוון את רמת הפרטיות

35. Registration Initializer ISP User Hi-WePPS - ארכיטקטורה User Computer Authentication Web Server User Transactions Wrapper User Transactions Fake Transactions Profile Meter IUP Transaction Generator Mixed Transactions Fake Transaction Domain Knowledge User Transaction

36. הערכת המודל • סימולציות • פותח אב-טיפוס לבחינה בסימולציות על אתר הפטנטים האמריקאי להשוואה של הפרופיל האמיתי מול הפרופיל הנצפה • סימולציה של התקפה • הפעלה של שיטות כריית נתונים על התעבורה ממחשב המשתמש כדי לבחון את עמידות המודל

37. סיכום • אין אמצעי יחיד לשמירה על פרטיות • גם שילוב של אמצעים לא מבטיח 100% הצלחה........ • המתח בין חופש המידע והתועלת ממנו לשמירה על פרטיות יגבר • מערכות האנשה צריכות לתת מענה לבעיית הפרטיות כדי לשרוד.......

38. Regulatoryandself-regulatoryframework Secure channel Regulatoryandself-regulatoryframework The Internet Anonymizing agent User Service P3P user agent

39. תודה רבה