A proposito di Emerald

Tanto si è parlato in questi ultimi giorni del "furto" di un database contenente alcuni dati personali di utenti Emerald. Tra loro anche alcuni nomi noti a noi tutti.

A questo proposito:

http://opensourceobscure.com/2010/05/20/reso-pubblico-un-database-di-dati-personali-raccolti-dal-team-di-emerald-prime-considerazioni/

Non ho visto l'elenco di nomi e non mi interessa vederlo perchè non mi interessa conoscere l'IP di chicchessia.
Premesso questo, Second Life, ancora più che il web è composta da 2 caste:
i privilegiati ed i comuni.
I privilegiati sono i programmatori e noi comuni siamo in loro balìa e non possiamo che rassegnarci soprattutto avendo i Lind scelto di rendere il client opensource,
che è una bella cosa si, ma era prevedibile che avrebbe condotto ad ogni sorta di brutte sorprese...infatti adesso stanno facendo meno i permissivi e mi sembra giusto visto che ques'ibrido un pò stona.
SL non è come un qualunque software opensource, è un'azienda privata con utenti che pagano il loro abbonamento e devono essere necessariamente tutelati.

Capisco quale enorme stimolo possa essere per i giovani programmatori vivere e confrontarsi in quella che per la prima volta appare come qualcosa di molto simile ad una realtà virtuale...ma Linden Lab è pur sempre un'azienda...

Ma tornate sulla terra per favore! L'indirizzo IP non è nulla di trascendentale: come una targa automobilistica, e non è nemmeno associato ad un nome utente, anzi, per molte connessioni è dinamico, e cambia ad ogni connessione.
Il nome dell'utente SL è un nickname assolutamente di fantasia. Che qualcuno faccia una lista associando nomi di fantasia con indirizzi IP è plausibile, possibile, probabile, ma quasi sicuramente inutile, se non non nelle perverse regole del marketing virtuale, ed, almeno per me, del tutto ininfluente rispetto a tanti reali problemi di diritti violati che ci assillano tutti i giorni.
Che qualcuno sappia che Fenton Maurer si è connesso il giorno tale da una linea Telecom o Wind o Tiscali che termina nella centrale telefonica di Farmville o Topolinia (questo si riesce a capire dall'IP) e che contemporaneamente si sia connessa Frida Maurer, alt di Fenton, e che quindi questo turbi le regole di SL, sinceramente non mi dà alcun fastidio, al massimo mi tolgono l'account, e va bene, se voglio lo rifaccio o cambio gioco. Ma il mio commercialista non è per nulla turbato da ciò, nemmeno il mio medico, e nemmeno il mio assistente spirituale, sempre che ce l'abbia, e questo per me basta.
Scusate ma trovo patetico farne un caso, scriverci sopra pagine di blog con citazioni dotte e dietrologismi! Se solo si potesse immaginare cosa succede tutti i giorni in rete, relativamente ad applicazioni ed argomenti ben più seri e che toccano la vita REALE di tutti noi forse ci sentiremmo veramente ridicoli a farci tanti problemi per un gioco.

Ma già i romani ci insegnavano che se la plebe si eccita per i gladiatori, forse non ha tempo e voglia di occuparsi di ciò che accade in senato! Oggi la rete è (era) l'unico flusso di informazioni renitente all'oppio istituzionale. Creando finte ragioni di paura e di scandalo nella rete, si comincia a gettare anche lì un semino di insicurezza, e magari Fenton Maurer si spaventa, la smette di discutere con Alice sul modo di fare la rivoluzione (scherzo, solo un esempio nè) e si chiude in se stesso, interessato solo a comprare l'ultima gesture e a trombare il/la primo/a niubbo/a che incontra.
Io mi sono scaravoltato emerald come un calzino, usandolo come viewer anche per la mia sim su Osgrid, non ho trovato comportamenti anormali, non escludo che ci siano, anzi sono teoricamente sicuro, ma fino a quando avrò il diritto di usare lo pseudonimo Fenton Maurer, che facciano quello che vogliono del mio IP, io stesso traccio gli IP di tutti quelli che vengono sui miei server da oltre 10 anni, ma sinceramente non saprei proprio cosa farne, oltre a farmi sprecare decine di DVD per archiviarli.
Mi preoccupo molto di più delle leggi sull'editoria, che richiederebbero il nome del direttore responsabile per ogni cosa pubblicata in rete!

Che dire quoto Fenton in toto.
Inoltre navigare in internet e pensare di non essere tracciati e godere dell'invisibilità è pura utopia.

famiglia_maurer ha scritto:
Mi preoccupo molto di più delle leggi sull'editoria, che richiederebbero il nome del direttore responsabile per ogni cosa pubblicata in rete!

Se la legge bavaglio passasse (e passa) e io qui pubblicassi delle intercettazioni, multerebbero Angelica per 464mila euro?

certo!

Sai Fenton.... il problema privacy dell'ip è importante anche se sei solo un avatar.

Poniamo un esempio assurdo, ma abbiamo visto che esistono .

Io e il mio fidanzato apriamo un account su sl.
Gli dico che nn ho alt etc.
Per sfiga l'ip si presenta sempre uguale sia quando entro con Alice che con l'alt.
Il mio fidanzato controlla e scopre che
ho un alt
e mi collego da quella isola, quando lui crede stia solo con lui.

Prendiamo altri esempi:

io dico di essere siciliana e di collegarmi da catania.
Mi prendono a lavorare x l'isola catania perchè del loco etc .
Dall'ip scoprono che mi collego da torino quindi probabilmente manco sono catanese, scattano una serie do conseguenze su fiducia etc.

Si certo, avevo solo da nn prendere in giro i miei amici etc...ma questi sono cazzi miei, nn puoi essere tu a sputtanarmi con il mio ip eh.

Un pò come il marito che scopre che la moglie lo tradisce perche la compagnia telefonica manda la bolletta del cell a casa anzichè in ufficio, lei è zoccola okei, ma loro nn avevano il diritto di farlo sapere al marito.

Ecco tutto.

Una mia amica si collega da Roma e risulta collegata da Brescia per l'IP (si vedeva del contatore di visite del blog).

Alice, quelli sono problemi di rapporti personali tuoi. Anche se giri in macchina a Napoli dicendo che quel giorno sei stata a casa a stirare, poi ti arriva una multa, la colpa è mica della targa, del vigile o della posta che ti ha recapitato la multa .. fa parte del rischio di dire le bugie .. LOL
A scuola un secolo fa ho tagliato per andare a giocare a biliardo, e non ti vado a finire sul tg regionale in diretta su uno stupido servizio sui bar aperti al mattino? Ti ricordi l'Impera? No, forse sei troppo giovane ....
La colpa di chi era, del bar, della tv, o mia che avevo tagliato?
In ogni esempio che hai fatto c'é un fattore comune: una bugia ... ora non puoi chiedere alla tecnologia di aiutarti a coprire le bugie, quella non è privacy. La violazione della privacy avviene quando vengono divulgati dati personali, non dati generici che permettono a terzi di confermare o smontare affermazioni personali. Certo che se io usassi il dato per scrivere al tuo fidanzato che tu gli hai mentito, o per ricattarti, avresti ragione, ma se lui, attraverso l'analisi di dati non personali arriva a trarre delle conclusioni, a mio parere non tocca la tua privacy.
Esiste anche una ipotesi di legge europea, non ancora promulgata ma di fatto ampiamente applicata dai gestori dei server per pararsi il c..o, che suggerisce di tenere traccia comunque di tutti le attività fatte da ogni utente sul server, e l'ip di collegamento. Questa è l'unica arma che ha oggi il gestore di un server per non essere incriminato a fronte di illegalità (tipo pedofilia) fatte da un suo utente. Io devo poter dimostrare che tu utente Alice, ha caricato la foto incriminata sul mio server il giorno tale dal tale IP, e che quindi non l'ho messa io. Anche se non probante al 100% dal punto di vista legale, (perché io avrei potuto usare la tua utenza da un altro IP) almeno riesco a coinvolgere un utente nel problema. Se non traccio le attività, la responsabilità è tutta e solo mia. E' UN MONDO DIFFICILE!

Scusate, (Fenton), io 10 anni fa sapevo che conoscendo l'IP della persona si poteva nukkare il PC...non è più così? Lo dico da ignorante...
E c'è anche il discorso sulla privacy...

ho già detto che i miei interessi non riguardano queste cose ma c'è gente su SL che vive per queste cose...convengo che sia roba da ragazzini che non hanno altro da fare!

famiglia_maurer ha scritto:
A scuola un secolo fa ho tagliato per andare a giocare a biliardo, e non ti vado a finire sul tg regionale in diretta su uno stupido servizio sui bar aperti al mattino?

che sfiga

famiglia_maurer ha scritto: E' UN MONDO DIFFICILE!

Elvira ha scritto:Scusate, (Fenton), io 10 anni fa sapevo che conoscendo l'IP della persona si poteva nukkare il PC...non è più così? Lo dico da ignorante...
E c'è anche il discorso sulla privacy...
ho già detto che i miei interessi non riguardano queste cose ma c'è gente su SL che vive per queste cose...convengo che sia roba da ragazzini che non hanno altro da fare!

Vero che se la macchina non è protetta, conoscendo l'ip puoi provare ad attaccarla.
Allo stesso modo il tuo indirizzo: per venire a rapinarti devo sapere dove abiti, ma non per questo l'indirizzo diventa automaticamente una cosa da abolire! Senza di esso, non potremmo fare quasi nulla (non so se è obbligatorio per costituzione avere una residenza o no, ma penso che sia plausibile). Per questo esistono le porte e le serrature ... ed i firewall!

Ribadisco che l'IP è un parametro tecnico pubblico indispensabile per partecipare ad una rete pubblica. Sulla tua rete privata (Intranet) puoi usare IP privati senza registrarli a nessuno, ma se vuoi partecipare alla rete pubblica (Internet) lo devi avere, e deve essere registrato (conosciuto) almeno per il tempo in cui stai connesso, e di conseguenza ti devi proteggere dagli immancabili problemi che ciò comporta.

Calza sempre il discorso della targa automobilistica: su un terreno privato, puoi girare senza targa, senza luci, cinture, assicurazione e con le gomme lisce, ma se vai sulla rete stradale pubblica, sei tenuto a ad avere la targa e tutti i dispositivi per proteggere te stesso e gli altri da possibili errori e violazioni del codice. Quando si è in tanti a fare la stessa cosa (res publica) servono organizzazioni e regole, è un postulato della convivenza.

Siccome ogni computer in ogni momento ha potenzialmente bisogno di comunicare con qualsiasi altro della rete, non c'é altro modo che assegnargli un codice, con tutti i problemi che questo comporta, ma, ribadisco, nulla ha a che vedere con la privacy a mio parere.

L'anagrafe dei cittadini va protetta da "sguardi" indesiderati, verissimo, ma è la divulgazione del dato anagrafico che va contro la privacy, non il fatto che questo dato esista per scopi comuni e condivisi, altrimenti dovremmo vivere in un sistema veramente anarco-individualista del tutto utopistico in nome di una una riservatezza che ci trasformerebbe tutti in isole autoreferenti. Non potresti nemmeno più mandare una lettera .. LOL

Domanda...
ma, tramite questo elenco è facile risalire agli alt?
Per esempio, Sonia, che dovrebbe avere un IP "diverso" quindi facilmente identificabile, se fosse presente nel tabulato col suo nick ufficiale e quello dei suoi alt, sarebbe facilmente sgamabile...o no?
Funziona così? Sono stati sgamati alt così facilmente?

Elvira ha scritto:Domanda...
ma, tramite questo elenco è facile risalire agli alt?
Per esempio, Sonia, che dovrebbe avere un IP "diverso" quindi facilmente identificabile, se fosse presente nel tabulato col suo nick ufficiale e quello dei suoi alt, sarebbe facilmente sgamabile...o no?
Funziona così? Sono stati sgamati alt così facilmente?

Sarebbe possibile, si, ma penso che a nessuno interessi in generale, se non per trovare uno specifico alt che si è reso responsabile di qualche cosa di particolare.
Comunque è sempre un lavoro che richiede risorse tecniche e di elaborazione (=costi) e che dà un risultato che a LindenLab non interessa + di tanto. Se veramente volessero applicare strettamente la regola dell'unico utente per IP (regola assurda, perché certe reti private con decine/centinaia di utenze escono sul pubblico con un solo IP "nattato") lo avrebbero già fatto ed in modi molto più semplici ed immediati che non andare a scorrere tabulati.
Ogni software che gira sul server infatti, conoscendo l'ip di provenienza della connessione, può rifiutarsi immediatamente di aprirne una seconda con un utenza diversa se proveniente dallo stesso ip. Per fare ciò basta pochissimo, non occorre rubare dei databases!

Se volete spaventarvi davvero

Non mi spaventa, lo trovo affascinante.
Ricordo ancora quando c'era Altavista come principale motore di ricerca...
ricordo quando venne soppiantato da Google e non mi spiegavo perchè.
Quando dovevo cercare qualcosa i risultati che mi dava Altavista erano più rispondenti alle mie esigenze...ma poi...ho ceduto a Google perchè tutti usavano Google.

Sono convintissima che il grosso problema nel futuro sarà la net addiction...

Chiariamo un paio di cose.

L'elenco a cui ti riferisci, Elvira, riporta solo i nomi presenti nel database che sarebbe stato sottratto. E' un elenco a disposizione di chi volesse controllare se il suo nome è presente o meno.

L'articolo di Open contribuisce a fare chiarezza su voci che girano da giorni. Non è tanto importante che siano stati tracciati degli IP, come giustamente dice Fenton siamo tracciati quotidianamente, quanto la possibilità che con essi siano state sottratte anche password e dati personali.
E risalire ad una password che ti fa accedere a un mondo virtuale in cui girano spesso tanti soldini non dovrebbe far dire "chi se ne frega se mi tracciano".

Ho usato Emerald una volta soltanto e avrei non aver voluto farlo.

E comunque se esistono client come Emerald è responsabilità di LL, hanno messo a repentaglio la sicurezza degli utenti e stanno tornando indietro.

Certo che il voler sostenere che il database conteneva i dati di coloro che hanno visitato Emerald Point IW mi pare grottesco.

Per esempio, Keishiro, se ci leggi puoi dire se sei mai stato a Emerald Point? Perché il tuo nome nell'elenco c'è, e anche quello di altri che non ricordo, a parte Trilly Sands.

Io scrivo programmi dal 1973, penso di potere asserire con una certa sicurezza che chiunque scriva in un db o faccia transitare una password in chiaro su una rete, non è degno del nome di programmatore professionista, oppure lo fa deliberatamente su specifiche di progetto, se i dati accedibili dalla password vengono definiti "non critici" e non soggetti a valutazione monetaria.
Nel caso delle utenze sl, essendo parte di un progetto commerciale, mi sento di dire che "dovrebbero" essere trattate in modo criptato, visto che sl è stato progettato proprio con l'intenzione di essere un mondo virtuale completo e soggetto a leggi economiche ben precise. Il condizionale è d'obbligo perché dal 1990 in poi il mondo dell'informatica è stato messo in discussione nei suoi assunti fondamentali da un certo signore che lavorava in un garage. Ma non facciamo polemica ...
Una password, se trattata in modo professionale, è codificata (criptata) in un modo in cui non è ricuperabile nemmeno dall'amministratore di sistema. Una volta dimenticata deve essere ridefinita. Nei sistemi dove così non è, e la si può richiedere o recuperare, è segno che la password è mantenuta scritta in chiaro da qualche parte, in violazione alle regole di sicurezza, perché se è scritta in chiaro, qualcuno può leggerla, e quel qualcuno che non è l'utente che l'ha scelta, non dovrebbe esistere.
I sistemi di decrittazione attuale, peraltro esistenti, richiedono potenze di calcolo che hanno un costo ed un tempo di lavoro tali da rendere non economica la decrittazione. Si parla sempre di password definite secondo le regole canoniche della security: lunghezza congrua, utilizzo di tutti i caratteri disponibili, evitare il nome utente nella password e le parole del vocabolario, ecc, ecc
Chiaro che se definisco come password acbdefgh o 12345678, non serve nessun sistema di decrittazione, anche un pc sgalfo me la trova con poche migliaia di tentativi.
Ma se le cose sono fatte a dovere, nessuno è in grado di carpire la password in rete mentre viaggia criptata, o nemmeno di decrittarla dal db eventualmente trafugato, se è stata criptata a regola d'arte. Gli hacker di cosa vivono allora? Della ignoranza degli utenti o delle falle di competenza degli amministratori, che magari per comodità o ignoranza non applicano le regole, o che usano la password standard e o nessuna password, "intanto è lo stesso" ..
Un po' come i virus. Io sono stato il quarto italiano ad avere un pc in casa (dal marzo 1982) e per vedere come funziona un virus ho dovuto mettermelo da solo ... LOL
Come ho fatto? Ho applicato il "Metodo Carosello": cioé come non credo mai assolutamente alle pubblicità per cui il medicinale xx toglie la cellulite o il detersivo yyy lava più bianco del bianco, perché dovrei credere alla pubblicità ingannevole che ci vuole convincere che un computer è così bravo che non occorre che io decida cosa lui deve fare? Lo so che costa tempo e informazione, ma il computer è uno strumento di gioco e di lavoro come qualsiasi altro, e richiede un minimo di nozioni di base nonostante quello che dicono i fornitori. Nessuno compra una scatola di colori a tempera credendo che questo basti per essere un pittore .. LOL ma tutti ormai credono che basti avere un pc per essere di volta in volta informatici, musicisti, creativi, letterati, fotografi, in funzione del software che uso!

Emerald o no, ti assicuro che la password su un server, almeno con OpenSim, è ben criptata, e siccome i viewer lavorano sui server Linden e con software proprietario scritto ad hoc, è il software Linden che definisce le regole per la password, il viewer non fa che rispettarle: Emerald non può certo comportarsi in modo diverso da quanto faccia il client standard, altrimenti il server non ti permetterebbe il login.
Quindi se il progetto è stato fatto bene, tutto funziona indipendentemente da emerald o pincopallino, se fosse stato fatto male, ormai lo avrebbero forato da tutte le parti!

A riprova, ecco la mia password come appare criptata in un DB:
$H$9S5XkXzkJ3ERk/VhpZs7y44xXVtsfE.
ora a voi scoprirla, e rubarmi tutti i linden! Anzi a chi ci riesce pago anche la cena ... ed il dopocena.

molte delle persone che conosco e usano emerald nn sono su quella lista
praticamente tutti i wdt....almeno che nn li abbia convinti a lasciare perdere, cosa che sarebbe veramente incredibile....non mi danno mai retta...

Io uso sempre e solo Emerald da quando è nato e non sono nella lista con nessuno dei miei innumerevoli alt.
Ma proprio non riesco a capire dove stia il problema, se volete vi faccio vedere la stessa lista generata dal mio server che riporta per la mia sim su OsGrid nome ed IP di chi ci è passato, quanto si è fermato, e se volessi, anche i vestiti che si è messo mentre stava li, o le cose che ha toccato ....
Che ci faccio con questa lista? Scrivo un IM ad ognuno dicendo: guarda che il giorno tale sei passato per Fentonlandia ed avevi il tali indirizzo IP.... dammi 1000 L$ altrimenti lo scrivo sul mio blog che ti sei messo le mutande nere ed il reggicalze ed hai anche strizzato l'occhio al quel bellimbusto che era lì per caso!
Ma andiamo, un po' di serietà!

Allora non mi sono spiegata.
Da un lato condivido la critica alle paranoie eccessive sulla privacy, ma qui si ventilava la possibilità che siano state carpite delle password, cosa che pare smentita ma in modo non del tutto convincente.
Sapere che calzini indossava un avatar alla tal ora del tal giorno non credo interessi a certa gente.

Sonia Drechsler ha scritto:Allora non mi sono spiegata.
Da un lato condivido la critica alle paranoie eccessive sulla privacy, ma qui si ventilava la possibilità che siano state carpite delle password, cosa che pare smentita ma in modo non del tutto convincente.
Sapere che calzini indossava un avatar alla tal ora del tal giorno non credo interessi a certa gente.

Non sono stato chiaro... la password non esiste se non nella testa di chi la pensa. Nel momento che tu scrivi la password, se il software è fatto bene, la cripta, la scrive criptata e la dimentica. Siccome il processo di criptazione è praticamente monodirezionale, dalla password criptata non si torna indietro a quella che hai pensato tu.
Ogni volta che tu ti colleghi, il software legge la password che scrivi tu, la ricripta con lo stesso algoritmo, la manda al server ed il server paragona la stringa ricevuta (già criptata) con quella che ha lui registrata. Di fatto il server non deve sapere la password, ma solo una translitterazione della password, che per assurdo, potrebbe anche essere pubblica!
Quindi ciò che potrebbero avere è la lista delle password criptate, ma non se ne fanno nulla!

Capito, ma allora perché rubare un database?

Per le altre info che tu dici non interessare: a parte sl, ma se nel db che traccia gli accessi ad un motore di ricerca ad esempio viene fuori che dagli indirizzi italiani la gente visita i siti sportivi, e dagli ip tedeschi sono più cercati i siti di viaggi, per i supponenti studiosi di comunicazione, queste possono essere notizie appetitose per "guidare gli investimenti".
Lasciami dire un po' acidamente che loro pensano di saperle interpretare perché a scienza della comunicazione si studia troppo poca statistica .. LOL ... per loro la statistica del mezzo pollo va interpretata come "suggeriamo agli allevatori di allevare i mezzi polli invece dei polli interi".
Hai notato che sui motori, dopo un po che li usi dallo stesso pc, il motore sembra interpretare le tue ricerche e ti suggerisce a volte dei siti piuttosto che altri? Anche FB lo fa, in funzione dei tuoi gruppi e di quelli dei tuoi amici.
Hai notato che una delle info che ti chiedono quando ti registri, anche con nomi fittizi, è il CAP? In genere uno non lo dà sbagliato, è facile da verificare ed è un indicatore di dove sei e del fatto che vivi in area metropolitana o rurale .... facile da incrociare con l'ip, senza tanti costi aggiuntivi!
IL GRANDE FRATELLO E' PIU' FURBO DI QUANTO LUI NON VOGLIA LASCIARE TRASPARIRE

Oh se è per quello FB continua a suggerirmi di fare amicizia con la mia vicina di casa.

Fenton, altra domanda, ma il software che SL utilizza per criptare le password è fatto da esterni? Chi costruisce il software per criptare è in grado di decriptare o poi le password diventano non decifrabili anche per chi ha creato il software?