Natrafiłem dzisiaj na
artykuł w serwisie Hacking.pl poświęcony
kwestii ochrony (a raczej, jak usiłuje udowodnić autor - jej braku)
danych osobowych zgromadzonych w bazie chyba bezsprzecznie
najpopularniejszego ostatnio serwisu społecznościowego w Polsce -
nasza-klasa.pl. Problem faktycznie istnieje,
jak w każdym tego typu przedsięwzięciu, a jego skala zwiększa się
wraz ze wzrostem liczby użytkowników - ta zaś wydaje się rosnąć w
tempie geometrycznym. Czytałem sporo komentarzy na temat słabych
zabezpieczeń Naszej-Klasy i odniosłem wrażenie, że szum zrobiony
sztucznie wokół tej sprawy zaczyna już być uciążliwy i niestrawny
dla świadomych użytkowników Internetu, a co dopiero dla osoby
kompletnie niezorientowanej (a jak w grę wchodzi osiem milionów
internautów, to trzeba jednak mimo wszystko zakładać, że większość
ma niewielkie lub nawet żadne pojęcie o Internecie).
Do rzeczy. Na temat słabych
zabezpieczeń Naszej-Klasy pisało już wiele serwisów. Lubię
Hacking.pl i często go odwiedzam, akurat dzisiaj przeczytałem tam
artykuł na ten temat więc pozwolę sobie właśnie do niego się
odwołać i porównać ze swoją opinią. Autor tego artykułu opisał
rzeczywiście banalną metodę na uzyskanie grubego arkusza Excela z
takimi informacjami jak imię, nazwisko (także rodowe), numer
telefonu czy Gadu-Gadu użytkowników Naszej-Klasy. Do pobrania tych
danych używany jest skrypt i tekstowy klient HTTP. Gdyby do tego
skryptu dopisać parę linijek i poświęcić kilka, nawet nie chcę
strzelać ile, gigabajtów to oprócz wspominanego arkusza Excela
zapewne można by jeszcze uzyskać folder z ładnie skatalogowanym
repozytorium zdjęć kilku milionów osób. Dramaturgii w artykule
dodaje zdanie z początku, które mówi, że być może nawet Policja nie
posiada tak dobrych baz danych, jakie każdy może sobie sam pobrać w
domowym zaciszu. O zgrozo!
Problem (na szczęście!) w tym, że możliwość pobrania tych danych
nie wynika z architektury serwisu Nasza-Klasa, jej błędów
zabezpieczeń, dziur czy nieporadności programistów. Sytuacja ta
wynika z tego, że każdy podczas rejestracji podaje jakieś dane i
decyduje, które mogą być widoczne publicznie, a które nie. Z reguły
publicznie podaje się imię i nazwisko oraz ukończone szkoły (de
facto, nie ma opcji ukrycia tych danych), ale już numer telefonu
czy Gadu-Gadu można swobodnie zastrzec tylko dla znajomych. I tu
dochodzimy do meritum - wspomnianym przez Hacking.pl sposobem da
się, owszem, stworzyć skoroszyt Excela z milionami rekordów, ale
zawierających tylko te dane, które są normalnie widoczne dla
każdego na stronach serwisu. Skrypt, o którym pisałem wyżej nie
robi bowiem nic innego, jak wchodzi do profilu kolejnego
użytkownika i zapisuje te dane, które tam zobaczy.
I tak pojęcie "włamania" staje się po prostu "czytaniem z ekranu",
a problem "słabych zabezpieczeń" przechodzi w kwestię "podawania
(może zbyt?) dużej ilości danych osobowych w Internecie przez
internautów". Jest to problem, który dotyczy nie tylko
Naszej-Klasy, ale wszystkich serwisów na świecie, gdzie rejestrują
się ludzie i gdzie można oglądać ich profile. Wydaje mi się jednak,
że prezentowanie publicznie danych, które użytkownik sam
opublikował na stronie swojego profilu nie powinno interesować
Generalnego Inspektora Ochrony Danych Osobowych (a takie wrażenie
można odnieść po lekturze wspominanego artykułu). Można więc tylko
apelować do użytkowników, aby zachowali umiar i nie podawali w
Internecie tych danych, których normalnie nie podaliby nieznajomemu
człowiekowi na ulicy.
Chciałbym zawrzeć w podsumowaniu prosty, ale ważny wniosek - nikt w
Internecie nie jest anonimowy i jeśli ktoś tak uważa, nie powinien
w ogóle dotykać klawiatury. Sam też mam konto w Naszej-Klasie, choć
z racji mojego wieku kolegów ze szkolnej ławy, nawet ze szkoły
podstawowej, pamiętam jeszcze dość dobrze, a z większością nadal
często się widuję. Uznałem to po prostu za ciekawą rozrywkę. Nie
boję się jednak podać linka do swojego profilu, bo i tak każdy mógłby
go sam odnaleźć. Nie boję się między innymi dlatego, że nie wrzucam
tam nagich zdjęć i nie ujawniam na publicznym forum swoich (a tym
bardziej nie swoich) szkolnych sekretów. Nie boję się również
dlatego, że choć podałem swój numer telefonu i Gadu-Gadu, to
zastrzegłem te informacje tylko dla członków moich klas (choć
oczywiście potencjalnie zawsze ktoś może te dane wykraść - tak jak
i włamać do mojego konta bankowego).
Nie twierdzę, że zabezpieczenia Naszej-Klasy są nie do przejścia
dla osoby zdeterminowanej do kradzieży danych. Uważam jednak, że
nie ma co podniecać się samym faktem, że w jednym miejscu można
znaleźć osiem milionów nazwisk i informacji, które ktoś, czując
widocznie wielką potrzebę, dobrowolnie podał całemu światu.