Magyarországi számítógép lefoglalások VPNLAB.net kapcsán

Az összehangolt nemzetközi akció során több ország területén, azonos időpontban 15 szervert foglaltak le és tettek elérhetetlenné a kibernyomozók. Az érintett szervereket egy olyan szolgáltatás működtetéséhez használták, amely éveken keresztül lehetőséget biztosított a kiberbűnözőknek a nyomaik elfedésére.

A VPNLab.net nevű szolgálatás felhasználóit és infrastruktúráját célzó intézkedésekre január 17-én került sor Németországban, Hollandiában, Kanadában, Csehországban, Franciaországban, Lettországban, Ukrajnában, az Egyesült Államokban, az Egyesült Királyságban és Magyarországon. A VPNLab.net működtetéséhez használt szervereket ugyanabban az időpontban állították le a nyomozók, így a szolgáltatás megszokott kezdőképernyője helyett már a rendőrség tájékoztató üzenete fogadja a látogatókat.

A VPNLab.net 2008-ban jött létre és online anonimitás biztosított bárkinek akár már évi 60 dolláros havidíj ellenében is. A szolgáltatás számos különböző országban működő szerverekkel akár többszörös titkosítást is lehetővé tett, emiatt a kiberbűnözők körében is népszerű választás lett, annak a használatát a darknetet is ajánlották egymásnak a bűnelkövetők. A VPNLab.net már korábban a nyomozók látóterébe került, mivel számos nyomozás során állapították meg, hogy a bűnözők a weboldal anonimitást biztosító szolgáltatásait használták zsarolóvírusok és egyéb rosszindulatú programok terjesztése, csaló és zsaroló kampányok futtatása, valamint ezeket lehetővé tevő kommunikáció és infrastruktúra kiépítése során.

Magyarországon a Készenléti Rendőrség Nemzeti Nyomozó Iroda Kiberbűnözés Elleni Főosztály nyomozói vettek részt az akcióban, melyet több hónapos adatcsere előzött meg. A hétfői rajtaütés során a nyomozók felkutatták és lefoglalták az érintett szervereket és megakadályozták az azokhoz való további hozzáférést. A lefoglalt adatok elemzése és cseréje érdekében az akcióban résztvevő rendőri egységek tovább folytatják a nemzetközi együttműködést.

Forrás: http://www.police.hu/hu/hirek-es-informaciok/legfrissebb-hireink/bunugy…

Hozzászólások

'évi 60 dolláros havidíj'

Ezt hogy sikerült összehozni?

How the tables have turned! Már a rendőrség deface-el! Szépen meg lett dizájnolva, irigyek lesznek a haxor groupok :).

Egyebkent csak nekem fura? Egy VPN uzemelteto (tele van vpn reklamokkal a youtube) nem uzemeltethet egy szolgaltatast itthon?

Vagy az a baj, hogy nem logolja, hogy mit csinalnak rajta keresztul a fizeto ugyfelek?

 

Ha a NordVPN itthon uzemeltetne (azt hiszem ok a legnagyobbak), akkor ugyanigy lefoglaltak volna? Nem latom a kulonbseget. Valaki segitene?

Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....

Ha VPN szolgáltató vagy és a rendszeredet zsarolóvírus kampányokhoz használják fel, akkor a ugyanúgy viselned kell a jogkövetkezményeket, mint az elkövetőknek. Jelen esetben, erős végponti titkosítással biztosítottak különféle országokban végpontokat, melyeket a darkweben kimondottan bűnözői köröknek ajánlottak. Szóval, még a jóhiszeműség  is ugrik az esetükben.
Sajnos, visszatérő tévhit, hogy "a neten nem visszakövethető az adatforgalom". De. Hiába húzod be az adatforgalmat ilyen vagy olyan titkosított csatornába, ha nem is látják az adatforgalmad tartalmát, annak az útját vissza lehet követni. Mikor látszólag végetér az adatfolyam valahol, akkor előveszik annak a tulajdonosát és az előbb vagy utóbb az dalolni fog. És ígérhet bármilyen privacyt, ha belengetnek 10-12 év börtönt vagy két törött térdkalácsot, akkor hirtelen elő fognak kerülni a logfileok. 
Mikor zsarolóvírusról, vagy egyéb genyóságról van szó, a kutyát nem érdekli, hogy mikor, milyen adatot küldtél, mert a legtöbb esetben, mikor hajnali 4-kor ajtótörő kossal kopogtatnak, nem lesz annyi időd, hogy minden ellened szóló bizonyítékot eltűntessél. És lehet bárki leet hacker, de halott ember kapcsolóval nem lehet 24 órában élni.

"Maradt még 2 kB-om. Teszek bele egy TCP-IP stacket és egy bootlogót. "

Ha jol veszem ki, akkor szerinted VPN szolgaltatast nem lehet legalisan nyujtani, csakis ugy, hogyha kamu, es igazabol valamelyik rendorseg uzemelteti (attetelesen).

Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....

De csak arról tud adatot szolgáltatni, amije van. Ami nincs, arról nem lehet. Tippem szerint itt az történt, hogy mivel megtagadták az adatszolgáltatást, a rendőrség meg lefoglalta a szervereket. Persze majd 1-2-3 év múlva vissza fogják szolgáltatni, és az egész ügyet ejteni fogják, és majd utána perelhet a szolgáltató, de egy játékost kivontak a forgalomból.

hát igen, ezt ígéri a legtöbb privacy-t reklámozó VPN szolgáltató... a gyakorlatban szerintem ezek 90% szimpla hazugság.

A maradék - ha valóban létezik ilyen - akkor pontosan ezt kockáztatja, hogy adott esetben zaklatják őket a hatóságok.

Tehát, egy ilyen szolgáltatónak nagyon meg kell hogy érje, hogy egy ilyet bevállaljanak

(azaz gazdaságilag nem csak túléljék, de egy ilyen esetet sima veszteség/kiadásként kezeljék)

 

A hatóság meg úgy tűnik ahhoz töketlen, hogy valódi bűnözőket fogjon el, így abba rúg bele, akibe épp tud.

Ez gondolom 'kell', hogy javítsa a statisztikáját, példát statuáljon, és legyen mit a hírekbe tenni ;)

 

szerintem.

"A hatóság meg úgy tűnik ahhoz töketlen, hogy valódi bűnözőket fogjon el, így abba rúg bele, akibe épp tud.

Ez gondolom 'kell', hogy javítsa a statisztikáját, példát statuáljon, és legyen mit a hírekbe tenni ;)"

Ez azert nem ennyire egyszeru. Ha tudjak, hogy egy bunozo ezt a szolgaltatast hasznalta, akkor ez egy felgongyolitendo szal. Valoszinuleg eloszor megkerestek a szolgaltatot, aki nem volt hajlando onkent informaciot adni, ezert szepen kivonultak es lefoglaltak a cokmokot. Az ilyen szolgaltatokat torveny kotelezi, hogy legyen olyan logjuk, amibol az elofizetok azonosithatoak, bemondasra nem fogjak elhinni, hogy nincs. Es igen, egy kicsit a bosszantas is benne van, mert a rendor ebbol azt erzi, hogy itt van valaki, aki azon keres, hogy bunozoket segit, de ugysem lehet utolerni.

A statisztikat szerintem csak akkor javitana, ha a lefoglalt adatok alapjan kesobb lenne egy vademeles.

VPN-t lehet legálisan nyújtani, csak épp a felhasználásával vannak problémák. Ugyebár a VPN funkciója az lenne, hogy nem megbízható hálózati szegmenseken át érzékeny adatokat lehessen mozgatni a felhasználó és az őt kiszolgáló között. Vagy a felhasználó adott eszközről, biztonságos módon, megbízható kapcsolaton keresztül érhesse el az internetet. Erre használják a cégek.
Az átlag emberek meg netcigánykodásra. Ugyanis a közember VPN használata 90%-ban valamilyen szolgáltatási szerződés vagy jogszabály megsértése. Torrentezéstől kezdve, régiós filmek nézésén, emberek közösségi médiákban történő zaklatásán át, egészen a drogvásárlásig.

Ami illúzió a VPN-el kapcsolatban:
Bármit megtehetsz rajta, nem tudnak lekövetni.
VPN használatával elért regionális szolgáltatásokat legálisan lehet használni.
A VPN szolgáltatónak nincs felelőssége a felhasználói tevékenységéért.
A VPN szolgáltatónak nem kell együttműködnie a hatóságokkal. 

"Maradt még 2 kB-om. Teszek bele egy TCP-IP stacket és egy bootlogót. "

Kérdezem, mert nem nem világos.
Odáig tiszta, hogy a honnét - hová az nyomon követhető csak a tartalom nem. A csomag tartalma szerencsétlenebb esetben megsaccolható.
Amit nem értek honnét lehet tudni, hogy "A" felhasználó "X" szerverrel forgalmaz, ha a VPN szerver sok felhasználója sok irányban forgalmaz? Persze a VPN szerver logjait nem ismerhetjük (nincs, hamis ...).

VPN szolgáltatóként érdeked, hogy a ki és bemenő kapcsolatokat ismerjed, loggoljad. Pl. ha egy cég vagy, akkor elég kellemetlen jogi következményei lehetnek ha mondjuk a konkurenciától tölt le adatokat valamelyik dolgozó a céges hálózaton keresztül.
A VPN feladata a biztonságos és nem pedig az anonym kapcsolat biztosítása.
A hatóság is szeretné a VPN logjait látni, és a lefoglalással pont azt akarják megakadályozni, hogy ezek a logok "véletlenül" eltűnjenek.

"Maradt még 2 kB-om. Teszek bele egy TCP-IP stacket és egy bootlogót. "

A mindenfele kitekben vannak erdekes megoldasok. Nem igazan ertek hozza, ezert nem akarok nagy butasagokat mondani, de remlik valami megoldas, ami DMA-t abuzalt, es igy olvasott ki memoriateruleteket.

A masik a cold boot attack. Nem tudom, hogy a gyakorlatban mennyire mukodokepes, de az biztos, hogy ismerik.

A kockás papírtól érdemes eljutni a fizikai valóságig. Nézzük meg például az alábbi mindennapjaimból kiragadott példát.
Ha van a hostingban egy rack telis-teli különböző cégek szerverével és szépen kivitelezett passzentos kábelezéssel, akkor hogyan csatlakoznak a szerver belsejében a RAM-hoz?

Elmeletileg pont az lenne a celja, hogy ne lehessen, de megfelelo backdoor, exploit vagy eroforras birtokaban elofordulhat. Ahogyan a szukseges feltetelek fennallasa mellett az is, hogy celzottan kotelezik a szolgaltatot, hogy a te forgalmadat rogzitse. Ha olyasmit csinalsz, ami a lakohelyeden illegalis, fuggetlenul attol, hogy moralisan rendben van-e, vagy sem, nem erezheted magad teljes biztonsagban. Persze a kockazat a tevekenysegtol is fugg: ha gyerekpornos oldalakat latogatsz, terrorista csoportokkal kommunikalsz, Kinaban Micimackova photoshoppolt Xi-t posztolsz valahova, akkor elofordulhat, hogy radszanjak a szukseges eroforrasokat es egy kodos hajnalon bekopogtatnak hozzad. Ha itthon fikazod OV-t vagy torrentezel, akkor nem valoszinu, hogy barki is fog veled foglalkozni.

terrorista csoportokkal kommunikalsz

Terrorista az, akire az USA azt mondja, hogy az. Nagyjából ez a definíció, és innentől kezdve védhetetlen. Adott esetben, ha magadban beszélsz, lehet, hogy akkor is terrorista sejttel kommunikálsz, legfeljebb nem tudsz róla. :)

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

> A hatóság is szeretné a VPN logjait látni
Mi van ha VPN providerként nem érdekem logolni? Vagy nincs kedvem hozzá. Vagy elrontottam a logolós konfigot. Törvény kötelezi a VPN szolgáltatókat logolni (hogy mikor, ki, honnan, hová?).
A szomszéd wifijét is megtörheted, azon keresztül bűnözve. Akkor mindenki üzemeltessen logging szervert otthon? Vagy csak a VPN providerek? Ha igen, akkor miért csak ők? És milyen formátumban óhatja a logokat a hatóság? txt jó? unix encoded kell vagy vindózos? OS/400 textfile jöhet? Mi van ha kamu logokat adok? Ki mondja meg hogy igaziak-e?

> pont azt akarják megakadályozni, hogy ezek a logok "véletlenül" eltűnjenek
Bármilyen encrypted disk. Vigyed. Passphrase-t nem ismeri senki, keyfile sose volt, a beszállító így adta. Nem kellett volna kihúzni a konnektorból. Sérült FS. A hatóság hibája hogy nincsenek logok.

Megannyi kínzó kérdés, eset, lehetőség :)

echo crash > /dev/kmem

"Megannyi kínzó kérdés, eset, lehetőség :)"

Feneket, egy nyomozo hatosag nem fog veled leallni hulyeskedni. Olyankor nem egy hup flame kozepen vagy, hogy eloadd az okost.

"Mi van ha VPN providerként nem érdekem logolni? Vagy nincs kedvem hozzá. Vagy elrontottam a logolós konfigot."

Birsag.

"mindenki üzemeltessen logging szervert otthon? Vagy csak a VPN providerek? Ha igen, akkor miért csak ők?"

Nem szukseges mindenkinek logolni otthon, mert nem szolgaltato. Ha feltorik a Wi-Fi-d, az egy masik eset, mint amikor szolgaltatast nyujtasz, azaz szandekosan adsz hozzaferest.

"És milyen formátumban óhatja a logokat a hatóság?"

Na ezen vegkepp nem fognak leallni vitatkozni veled. Mondjuk ketszer adsz nekik valami olyat, amit nem tudnak megnyitni, es kedvesen megkerdezik, hogy te akkor most tulajdonkeppen szandekosan akadalyozod a nyomozast? A "nagyok" egyebkent erre kulon lekerdezo rendszereket uzemeltetnek, amihez hozzaferest adnak az erintett hatosagoknak.

"Mi van ha kamu logokat adok?"

Ha kiderul, akkor Btk. 272. 

"Bármilyen encrypted disk. Vigyed. Passphrase-t nem ismeri senki, keyfile sose volt, a beszállító így adta. Nem kellett volna kihúzni a konnektorból. Sérült FS."

Szakerto jelzi, hogy ez itt egy titkositott kotet, megkernek, hogy legyel szives atadni a kulcsot. Ha a beszallito adta, akkor mondd meg, hogy ki az. Felkeresik, elmondja, hogy goze sincs mirol beszelsz, o ilyet nem csinalt. Serult FS-re szinten. Eleg jo szoftvereik vannak, amik tulajdonkeppen barmire kepesek az ilyen-olyan proprietary raid tombok osszeallitasatol kezdve az egzotikus fajlrendszerek kezelesen at a mindenfele cselesnek hitt rejtesek felderiteseig.

Meg lehet probalni nagy arccal tuljarni az eszukon, elvegre a rendor az ugye legendasan buta, de en nem javaslom. Ha piszlicsare ugyrol van szo, akkor persze konnyen lemondanak rolad, de ha kelloen nagy az eset sulya, es raderesztenek valakit az NNI-tol, akkor konnyen lehet, hogy rafazol.

"Mi van ha VPN providerként nem érdekem logolni? Vagy nincs kedvem hozzá. Vagy elrontottam a logolós konfigot. Törvény kötelezi a VPN szolgáltatókat logolni (hogy mikor, ki, honnan, hová?)." - Mivel a _te_ hálózatodból induló forgalom után nyomoznak, qrvára a te érdeked is, hogy be tudd bizonyítani, hogy nem te, hanem egy ügyfeled csinált disznóságot.

"Mi van ha kamu logokat adok?" Tanuként idéznek be, és tanuként kell információt szolgáltatnod. A valódtlan log az ugye...

Folytassuk? nagyon nem köll a másik oldalt hülyének nézni, ugyanis nem az...

Akkor így jártak... Nem csak a törvények/jogszabályok miatt kell megőrizni dolgokat (log, befizetési bizonylat, orvosi lelet, stb.) hanem a saját jól felfogott érdek okán is. Vannak pl.olyan esetek, amikor a logokra az általános 5 éves megőrzési idő _kevés_, mert bizonyos cselekmények elévülése mondjuk 8 év. Ha az adott cég/vállalkozás illetékes értelmes, gondolkodni képes, akkor nem 5, hanem minimum 8 évig fogja őrizni az archivált logokat. Meg lesz olyan, amit mondjuk 10 évig (vagy tovább) is megőriz.

Miért is?
Mivel nem kötelez rá semmi, nem vagyok távközlési szolgáltató, csak szerverüzemeltető, így ahol nincs egyéb céges belső előírás, amit tartanom kell, ott például a Debian-féle default 10 nap után vagy akár hamarabb is dobódhat a LOG. "Csak mert hátha jó lesz" szemléletű adatkészletezés ha bármi személyes adat található a logban, akkor eleve szembe megy a GDPR elvével, hiszen adatkészletezést nem nézi jó szemmel a GDPR.

Ahol viszint például a hírlevél feliratkozást kell igazolni a GDPR-elvekhez, ott viszont a szűken vett releváns információt meg kell őrizni pont a GDPR miatt. De ezt eleve elkülönítetten, nem a default /var/log/-ban célszerű logolni.

Ha bcs. gyanúja során a te céged IP-címét szedik elő, vagy épp a te cégeden belül merül fel bcs. alapos gyanúja, akkor kifejezetten szopóroller, ha nincs log...
A tárolt/archivált log érdekes kérdés, ugyanis az, hogy xyz időpontban a tőled kimenő abcd címre irányuló forgalomhoz te tudsz kötni egy dcba forráscímet, az még _nem_ személyes adat. Személyes adat akkor lesz, ha az érintett természetes személyhez köthető, és ez a kapcsolat az adatokból visszaállítható. Mivel nálad nincs meg, hogy az adott dcba forráscím adott időpontban mely természetes személyhez volt kötve, így ezt az adatot tárolhatod. Ha meg ügyfeledről van szó, aki beazonosítva forgalmaz rajtad keresztül, akkor az adatkezelési tájékoztatódban kell erre kitérni, és az üf.-lel azt elfogadtatni, hogy a forgalmi adatait x évig visszakereshető módon tárolni fogod.

És akkor visszajutottunk oda, hogy nem élhesz a jogaiddal, vagy csak azon az áron, hogy nem veszed igénybe a szolgáltatást. Ez kicsit olyan, hogy engem sem fognak megbüntetni gyorshajtás miatt, mert nem ülök autóba.

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

Milyen jogaiddal nem élhetsz? A jogászfaszok által kitalált törléssel? Nomostan van 5 év, hatvan darab havi archív, worm kazettán, aláírt,időbélyegzett állományokban. Kérdés a jogászfaszokhoz: ezekből hogyan töröljem ki mancibácsi személyes adatait? Ha jön mancibácsi, hogy töröljem, akkor hatban archív visszatölt, mancibácsi helyett egy random adatokkal rendelkező gédépéerlovag123 személy adatai kerülnek a visszatöltött adathalmazokba (olyanokba is, amihez már az azt feldolgozó rendszer sincs talán meg(!)), majd elkezdem visszaírni. Közben jön jóskanéni, hogy ő is szeretne, akkor a mancibácsi törlése folyamatot megállítom, a kiírt verziók mennk darálóba, jóskanéni helyére megy a gédépéerlovag124 random adatokkal bíró user, elkezdem újraírni az archívokat (amik ugy adott időpont állapotát kéne, hogy tartalmazzák(!)), erre jön zabkartács...

Szóval a "törlés", mint olyan totál felejtős dolog - marad az, hogy visszatöltés után a megjelenítésnél(!) elmaszkolni. Oké, nagyszerű - van 1234 rendszerem, van, ami élő, van, ami annyira nem élő, hogy a fejlesztője sem él már - és ezekben mindben implementálni kell(ene) azt, hogy adott személyes adatokat ne jelenítsen meg. Tehát fejlesszünk bele mindenbe _is_ egy ilyen funkciót. Jajdejó... Mondjuk egy fájlszerver mentése, amin ott van 12345678 darab állomány, és a "joskaneni.szabadsagai.xls" például ne jelenjen meg visszatöltés után.
Nomostan honnan tudjuk, hogy mit _nem_ szabad visszatölteni, illetve megjeleníteni? Tárolni kell valamilyen egységes formában azt, hogy joskanéni, meg mancibácsi, mag zaboskartács - midndezt úgy, hogy a tárolt adat _egyértelműen_ azonosítsa ezeket a személyeket(!), és a különböző módon tárolt személyes adataik mindegyikére(!) adjon találatot.

Jogászék mit mondanak: a természetes azonosítókat egységes formára hozva készüljön belőle egy hash, és azzal majd jól... Ja. csak épp ahol nincs ott minden természetes azonosító egyben, ott hogyan? Ja, hogy ott a meglévőket kell hash-elni, és összerendelni a term. azonosítókból képzett egyedi, egyirányú azonosítóval...

Szóval ez az egész GDPR-es adatkezelési tiltós/törléses dolog nagyon nem lett átgondolva, nagyon nem életszerű, hogy finoman fogalmazzak...

Az lehet, hogy te ettől nyígsz, de igény van rá, s nem is alaptalanul. Eleve én nem kértem, hogy bárki bármit tároljon rólam, de ha már ezt teszi, az a legkevesebb, ha megkérhetem, legyen kedves törölni. Gondoltam már arra, hogy törlési kérelmet követően fél évvel GDPR-ra hivatkozással kikérem a rólam tárolt adatokat, s ha vannak...

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

" Például úgy, hogy személyes adatot nem írsz ki logba, ha pedig valamiért még is ki kell írni, akkor azt titkosítod, és a titkosító kulcsot törlöd. " - Aha. és a visszatöltésnél, amikor hatósági megkeresés miatt kell adatot szolgáltatni, akkor mi legyen? És a GDPR előtti archívokkal mi legyen?

Az első lépés az, hogy megnézed, hogy a rendszeredben milyen személyes adatokat tárolsz. Ezeket szépen be kell kategorizálni, mit, miért, és meddig tartasz. Vannak olyan adatok, amiket pl. jogosan tárolsz, és még akkor sem kell törölni, ha a felhasználó kéri. Ha ez megvan, akkor szépen végignézed az általad kezelt adatvagyont, és megnézitek egyesével, hol van személyes adat kezelve, és ez miért is van. Ezután pedig gondoskodsz arról, hogy ha ezt törölni kell, akkor ezt meg lehessen tenni. Ennek egy módja a fent említett technikai megoldás, de hogy ezt te hogyan oldod meg, már elnézést, de a te problémád. Amikor a hatóság pedig visszatöltést kér, akkor akár sorról sorra és végigmehetsz a tárolt logokon, senki nem mondta, hogy neked a hatóság felé azonnal eredményt kell adnod. Ha ez 1 hétig tart, akkor 1 hétig tart. Ha GDPR törlés miatt az adott adat törlődött, akkor nem fogsz tudni a hatóságnak erről információt adni, és így jártak. De ezért van a compliance szakértő, hogy ezeket szépen elmagyarázza. A GDPR előtti archívokat pedig ugyanúgy végig kellett volna nézni, átírni, titkosítani, stb. Ne csináljunk úgy, mintha ez egy új dolog lenne, a GDPR már 2016 óta életbe lépett, volt idő felkészülni. Innentől kezdve pedig az egy üzleti döntés, hogy bevállaljátok-e a 20 millió euró vagy teljes bevétel 4%-a felső plafonnyi büntetést.

"Ha GDPR törlés miatt az adott adat törlődött, akkor nem fogsz tudni a hatóságnak erről információt adni, és így jártak." - No még egyszer... A logok archívba mennek, láncolt aláírással, időbélyegezve, hogy a hitelességük biztosított legyen. Jön mancibácsi, hogy a hozzá kapcsolódó adatokat törölni köll mindenhonnan _is_. Ádám-éva meg az öreg diófa kezdettel elkezdi az emberfia visszatölteni a régi adatokat, és mancibácsit lecserélni gdprhuszér123-ra. Igen ám, de a logok (láncolt hash, aláírt/időbélyegzett fájlok) abban a pillanatban, amikor belepiszkálunk, már nem lesz jó a láncolt hash, az aláírás, az időbélyegzés - azaz lesz egy semmit sem bizonyító adathalmaz. Tehát mancibácsit nem írjuk át a logban, hanem azt mondjuk, hogy a mancibácsis logsorokat a visszaállítás  után nem jelenítjük meg (jogászék így képzelik).
De oké, a mondjuk levelezésből is kiszórjuk az összes "mancibácsi"-t tartalmazó levelet, az összes beérkező dokumentumból kihajítjuk azt, amiben mancibácsi bármit is kért... Keresztkérdés: azt, hogy az adatai törlését kéri, azt az információt megtarthatjuk? hiszen az is személyes adat... Ha nem tartható meg, akkor hogyan bizonyítom, hogy mancibácsi (illetve valaki, aki valamikor üf. volt, de kérte, hogy pucoljuk ki az adatait, és lett belőle gdprhuszar123, mert ugye mancibácsiról nem is tudhatunk semmit sem(!)) kérte az adatainak a törlését, ezért van az összes kimutatásban csupa-csupa gdprhuszar#### user nem valid címekke, okmányazonosítókkal, miegyébbel...

Tudod amióta a zótépében a huszonéve megszüntetett számlám adataival fogadott az ügyintéző új számla nyitásakor, már semin sem csodálkozok...

Ja, és amásik érdekes kérdés... Ugye nem mindenütt szerepel teljes, automatikus azonosításra alkalmas adathalmaz mancibácsiról - gyakorlati megvalósítása szerinted mi legyen annak, hogy mancibácsi _valamennyi_ személyes adata úgy kigyűjthető legyen, hogy az automatikusan megvalósítható legyen, _és_ sem fals negatívot, se fals pozitívot ne dobjon... Legyen mondjuk mancibácsi helyett Kovács Béla az érintett neve...
 

Amiről te beszélsz, azt úgy hívják, hogy audit log. Ott biztosítani kell több mindent, erről pl. a Common Criteria szabvány FAU_GEN fejezete ír. Audit logba NEM tolunk bele ész nélkül mindent, mert az valóban audit logként működő audit lognak pont a megváltoztathatatlanság az egyik fontos tulajdonsága. Tehát olyan adatot írunk ide, amelyet elemeztünk, hogy oda lehet.

Értem én a problémádat, azt gondolom, hogy erre van is jogi és technikai megoldás, de ez már bőven túlmutat egy fórum kereteink. Vannak cégek akik adnak tanácsot/megoldást a témával kapcsolatban, csak ki kell fizetni a szakértői díjakat.

Audit trail: "mancibéla bejelentkezett az emzéperix rendszerbe, és lekérdezte józsinéni adatait" - Ezt hogyan anonimizáljan akár mancibéla, akár józsinéni kapcsán? Igen, a helyes megoldás az lenne, ha mancibéla nem a nevével, hanem egy, ettől a rendszertől független dolgozói kóddal szerepelne a logban, illetve józsinéni helyett is egy kód lenne csak... (Az összerendelést külön tárolva/kezelve, természetesen...)

Nem keveset pörgött nem kevés szakmabeli ezeken a kérdéseken - sajnos ahol legacy rendszerek vannak dögivel, amiknél az átírás/újratervezés nem opció, ott jelentős korlátozásokkal lehet csak betartani a GDPR valamennyi előírását.
Extrém példa: van a józsinéni, aki egy már x éve kivezetett abcd rendszerben is szerepelt, de erről jelenleg nincs információ, csak akkor derül ki, ha az abcd rendszer valamikori állapota visszatöltésre kerül. Ha azt mondod, hogy minden rendszer minden mentett állapotát fel kell túrni és elkészíteni hozzá a "kinek a személyes adatát tartalmazza" listát, az...Mondjuk úgy, nem életszerű dolog. Ezért van az, hogy józsinéniről megjegyezzük valahogy, hogy őt biza' archívból visszajött fájlok, adatbázisok, levelek esetében nem szabad látni - aztán amikor van egy visszatöltés, akkor yool megnézzük, hogy van-e benne olyan adat, ami józsinénire vonatkozó személyes adat. Mindezt úgy, hogy józsinéniről egyébként semmilyen személyes adatot nem tárolunk... Aztán ha az ominózus régi rendszerben józsinéninek nem minden természetes azonosítója volt tárolva, akkor jöhet a fejvakarás, hogy hogyan feleltessük meg az esetleg elrejtendő/törlendő/felülírandó rekordokat a tiltólistánknak? Van rá megoldásom, csak nagyon nem triviális a dolog.

Nem lehetetlen, csak nem akarod megoldani. Azért egy hidrogénbomba hatékonyan megoldaná a törlést, tehát látjuk, hogy nem lehetetlen.

Úgy kell tárolni a rekordokat, hogy azok kiadhatók, törölhetők legyenek, s máshonnan legfeljebb ezekre a rekordokra mutathatna valamiféle hivatkozás, pointer, link.

Kértem már ki GDPR-ra hivatkozva adatot magamról, ki is adták, s meg is tudtam belőle, amit tudni szerettem volna. Volt egy gyanúm, amelyet beigazolt. Szerintem a törvény jó, csak akik lusták, átgázolnának a felhasználók személyes jogain, mert mi az már, hogy a felhasználó élne az információs önrendelkezésének, amikor a lusta, Garfield lét sokkal kellemesebb.

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

"Úgy kell tárolni a rekordokat, hogy azok kiadhatók, törölhetők legyenek, s máshonnan legfeljebb ezekre a rekordokra mutathatna valamiféle hivatkozás, pointer, link."

Nem csak adatbázis van, és mondjuk havi 12-15millió archivált vegyes fájl plusz néhány TiB adatbázis dump meg log esetén oldd már meg, hogy például a Manci és a Béla levelezésében szereplő "lócsemege zabos ügyfél" megjegyzésre is legyen "lócsemegét érintő személyes adat" pointer. (havi milliós darabszámban jönnek-mennek levelek ugye...) És a kérdés az, hogy mi van akkor, ha egy elektronikusan aláírt és időbélyegzett (mert az a törvényi elvárás, hogy adott időpontban hiteles elektronikus dokumentum álljon elő), n+1 ügyfél adatait tartalmazó doskiről/adathalmazről van szó? Abból hogy a búbánatban töröljünk ki téged úgy, hogy a doksi adott időpontban hiteles állapota megmaradjon? Nem minden ilyenre húzható rá a jogszabályi kötelezettség alapján tárolt személyes adat - amire igen, ott neked nyasgem van, onnan nem leszel kivakarva/kitakarva.

 

A banki és számlázós, meg HR-es adatkezelést ne keverd ide, mert ott a vonatkozó jogszabályok egészen mást írnak elő. Eleve azok az adatkezelések nem öncélúak, és elég vad megőrzési idők vonatkozhatnak rá. Ahol időbélyegzett törvényi elvárás van, ott az gyakorlatilag felülvágja a GDPR-t, de ha nem is konkrétan ezzel, de gyanítom, hogy az egyéb jogszabályi előírások már bőven.

Az már más kérdés, hogy ezeket úgy kell tárolni, hogy csak az láthassa, akinek feltétlenül szükséges, és azokat az infókat, amik a munkavégzéshez kellenek (pl. könyvelés vagy bérszámfejtés). Na ez sem egyszerű kérdés. :)

A mentésekre,  archivokra és naplózásra megint más szabályok vonatkoznak, illetve adott esetben elég kacifántosan kell(ene) őket kezelni. Például visszaállításkor adott esetben tudni kell, hogy kik kértek végleges törlést, és őket az eredeti adat visszaállítása után közvetlenül újra kell törölni. A naplózásra pedig vonatkozhat olyan kitétel, hogy az márpedig van, és rendszerszintű, és általában nem is biztos, hogy hozzá tudod konkrét emberhez rendelni. Ez relatív egyszerűen úgy kezelhető, hogy hacsak nincs jogszabályi előírás, akkor megadsz egy megörzési időt és kész. Ha van jogszabályi előírás, akkor lásd fentebb.

Na ezt a szopóroller témát járjuk csak körül. BTK az természetes személyt vádol meg. Van egy forrás IP, az általam üzemeltetett szerver. LOG-okkal nem tudok szolgálni például fél évvel ezelőttről. Törvényt szegtem? Melyiket?

Erről a szerver IP címről történt az információs rendszert érő bűncselekmény. Én voltam, vagy nyom nélkül feltörték? Ez esetben milyen bűncselekmény terhel? Persze ha életvitelemből kifolyólag más nyomokból látszik, hogy ilyen tettekben utazom, akkor tényleg sakk és magyarázkodhatok. De nem utazom ilyen szürke vizeken. És itt egy fontos dolog: tisztának kell maradni ebben a szakmában.

Ezek komoly kérdések és kapaszkodó híján hiába kerestem rá választ már sok évvel ezelőtt is, nem lettem okosabb. Az tény hogy be leszek tanúnak idézve. De a LOG-okat hogy nem tároltam hosszan, vagy tároltam de pont a külső machináció nem látható belőle egyértelműen, zavaros ez nekem hogy az utóbbival miért lennék előrébb. Félő hogy elsőre inkább hátrébb.

A rendőrség természetesen be fog idézni mint tanút. Te pedig elmondod, hogy ilyen hosszú ideig/egyáltalán nem tárolsz adatokat, amely segíthetne. A rendőrség ezt tudomásul veszi, és valószínűleg lezárják az ügyet ismeretlen tettes miatt. Ha persze van logod, akkor ezt át kell adnod.

Azért a legnépszerűbb/legismertebb vpn-szolgáltatókra nézz már rá egyszer, különös tekintettel a no-logging policy-jukra, amely rendszerint kimondja, hogy _semmilyen_ logot nem tárolnak rólad. Nagyon pörögtök ezen, holott ezen a területen nagyon is jellemző a "no logging".

Az, hogy nem tárolnak logot, az csak annyit jelent, hogy a kifelé forgalomért nekik _kell_ tartaniuk a hátukat, mert védekezésként nem tudnak semmit sem felmutatni. És ha mondjuk terrorfenyegetés/terrorizmus a vád, akkor annak a támogatása címmel elég keményen megf1ngathatóak ezek a cégek, illetve a felelős vezetőik.

Tisztában vagyok vele, hogy mit jelent. Ugyanakkor ez nem változtat a tényen, hogy _nincs_ rendelkezésreálló logjuk, és egyre gyakoribb vpn-ek esetén ez a működési modell, tehát egyfelől kicsit sem meglepő, másfelől elég felesleges polemizálni ezen, ha egyszer az "üzleti terv" része, hogy nincs, és kész.

Az Europol azt is jelezte, hogy a VPNLab.net megtagadta az együttműködést a hatóságokkal, ami kiváltotta az eltávolítást. „Az akció egyik fontos szempontja annak bemutatása is, hogy ha nem adnak tájékoztatást a bűnüldöző hatóságoktól érkező jogi kérésekre, akkor ezek a szolgáltatások nem golyóállóak” – mondta Volker Kluwe, a hannoveri rendőrkapitányság vezetője. 

A szigorítás kérdéseket vet fel azzal kapcsolatban, hogy a bűnüldöző szervek utánanéznek-e más VPN-szolgáltatóknak a kiberbűnözéssel kapcsolatos esetleges kapcsolatok miatt. 

 Services such as NordVPN say they will never comply with government requests, which could put them into conflict with international law enforcement.

"...Az akció egyik fontos szempontja annak bemutatása is, hogy ha nem adnak tájékoztatást a bűnüldöző hatóságoktól érkező jogi kérésekre, akkor ezek a szolgáltatások nem golyóállóak” – mondta Volker Kluwe, a hannoveri rendőrkapitányság vezetője. "

- Eztt vajon az iphone esetében is vélelmezi? 

"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség

Igen. Az Apple ilyenkor azzal harit, hogy o maga sem tudja feltorni a biztonsagi megoldasait. Mondjuk ez sem mindig gond, mert vannak cegek, akik sok tipussal elbirnak, csak draga. Egy magyar nyomozo szerv valoszinuleg nem tudna megfizetni, de az USA-ban mar volt ra pelda, hogy igy nyitottak egy titkositott keszuleket.

Ezt én értem, de ez a céges policy, ebből él, ebből csinál brandet, ez a védjegye, hogy véd, kivétel nélkül mindenkit, mindenki ellen. Azért itt érthető, hogy nem fér hozzá a titkositott adatokhoz, hiszen egyszer kell hogy kiszivárogjon hogy mégiscsak hozzáfér és borul a bolt. Ezt egy rendőr lehet hogy nem fogja fel, vagy szándékosan összemossa, de attól még nyilván igaz lehet. Ugyanez egy vpn szolgáltató esetében is áll,  ha az üzlet tárgya a védelem, akkor az mindenkinek kijár, válogatás nélkül, ezt pedig a hatóság nem veheti egy kalap alá a bűnözéssel. 

"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség

A jogszabalyok nem egyformak mindenhol, ha jol valasztod meg a szekhelyed es a szervereid elhelyezeset, akkor biztos megy. Vagy nem tudom.

Szerk:

Pelda: "NordVPN operates under the jurisdiction of Panama, as the country has no mandatory data retention laws and does not participate in the Five Eyes or Fourteen Eyes intelligence sharing alliances"

Számomra egyenlőre érthetetlen, hogy miért léptek fel ellene. Az eredeti cikkben se írják le, hogy milyen jog tényállás alapján kapcsolták le a szervereket. Jogászként se nagyon tudnék a cikkben felsorolt tények alapján bármit is kitalálni.

Szerintem az nem bűncselekmény, ha egy konyhakést árulok és azt, mivel jó éles és könnyen rejthető a bérgyilkosok is előszeretettel használják. Még akkor se, ha a bérgyilkosok napilapjában a fórumban a menő bérgyilkosok ezt ajánlják egymásnak.

Az, hogy megtagadták az együttműködést, pontosan mit is jelent? Azt, hogy egyértelműen kijelentették, hogy nem működnek együtt a hatóságokkal, vagy azt, hogy közölték, hogy a kért adatokat nem tudják átadni, mert nem tárolják és nem is voltak hajlandók hátsó kaput beépíteni a rendszerükbe? Egyik se bűncselekmény.

Kíváncsi lennék a válaszokra és a konkrét bűncselekményre. A gond az, hogy bár nincs jó véleményem a magyar jogszolgáltatásról, de ebben az esetben úgy gondolom azét van jogalapja az intézkedésnek - legalább kerestek valamit hozzá - de azt nem közölték. Ami elég gáz, mert így pont visszájára sül el a tájékoztatás.

"közölték, hogy a kért adatokat nem tudják átadni, mert nem tárolják"

Ez valoszinuleg torvenyi kotelezettseguk. Nem BCS, de jogszabalysertes. A nyomozo hatosag meg kiment megnezni, hogy vajon tenyleg nincs log, vagy csak nem akarnak egyuttmukodni, esetleg talalnak-e valamit a szervereken, amit hasznositani lehet.

Hírközlési törvény a hírközlő szervekre vonatkozik, azaz a távközlési cégekre.
A szerverüzemeltetés viszont nem tartozik a hírközlési törvény hatálya alá. Vagy van errer valahol ellenkező passzus?
Innentől nincs arra előírás, meddig vagy köteles, se arra hogy milyen részletességgel megőrizni pl. Apache LOG-ot.
LOG-ok terén egyedül a GDPR-specifikus LOG-ot kell megőrizni addig, amíg nem kérsz újra beleegyezést az összes usertől. Hiszen igazolnod kell tudni, hogy például a user kérte a hírlevelet.

18. Elektronikus hírközlési tevékenység: olyan tevékenység, amely bármely értelmezhető formában előállított jel, jelzés, írás, kép, hang vagy bármely természetű egyéb közlemény elektronikus hírközlő hálózaton keresztül egy vagy több felhasználóhoz történő eljuttatását szolgálja, így különösen az elektronikus hírközlési szolgáltatás nyújtása, elektronikus hírközlő hálózat vagy berendezés üzemeltetése, végberendezések forgalmazása és a kapcsolódó eszközök üzemeltetése, kapcsolódó szolgáltatások nyújtása.

Furi, hogy nevesítve se szerver, se kiszolgáló se semmiféle informatikai kifejezés nem szerepel ebben a törvényben.
Ellenben nevesíti a közműhálózatot, a rádiófrekvenciát, az internet-hozzáférési szolgáltatást de a szerverszolgáltatásokat nem említi ebben.

Érdemes lenne infojogásszal ezt szétcincálni, mert közel sem mindegy, hogy ha csinálok egy TCP socketet, akkor hírközlő lettem-e vagy csak szerverszolgáltatás írója.

Az IP cim konkretan szerepel benne, meg van emlites valamifele azonosito szamokrol is. Utobbjra konkret pelda amit ismerek: a NAT-olt netet ado szolgaltatoknal tarolando, hogy egy adott publikus IP cimen melyik portot melyik elofizeto fele meno forgalom hasznalta. A nyomozo hatosagok mar ugy adjak be az adatkerest, hogy x idopontban y IP cim z portrol volt egy kapcsolat erre es erre a webszerverre, tessek megmondani, hogy ki az elofizeto.

Egyebkent meg mindig nem jogaszkent, szerintem attol fugg: ha van legalabb ketto portod, amihez ket kulonbozo elofizeto, vagy egy elofizeto tobb vegpontrol csatlakozik, es te kozottuk adatot tovabbitasz, akkor hirkozlo szolgaltato vagy. Ha a webszervereden uzenetkuldo szolgaltatast mukodtetsz, akkor szinten.

Az első példád tiszta, hiszen az nevesítve van "internet-hozzáférési szolgáltatás" néven a törvényben, tehát aki behúzza hozzád távközlési kábelen a megabiteket. Egyébként tudtommal forgalmat sniffelnie nem kell, csak az előfizetői végpontra kiosztott végponti címet (vagy tartományt) naplóznia. Tehát hogy hatósági vizsgálat esetén beazonosítható legyen az előfizető az IP címe alapján.

Viszont a szerverszolgáltatás, TCP socketes bármi továbbra sem szerepel nevesítve ebben a törvényben.

Sniffelni valoban nem kell, csak ha kerik :) Ugy tudom, hogy CGNAT-os kornyezetben is tobbnyire ugy kezelik ezt, hogy port tartomanyokat rendelnek az egyes felhasznalokhoz, ezt a hozzarendelest naplozzak (vagy fix), igy visszakeresheto, hogy kitol eredt a kerdeses forgalom.

Miert kellene nevesiteni? Ha az altalanos megfogalmazast ra lehet huzni, akkor keszen vannak. A portszamoknal sem azt irtak, hogy portszamot kell rogziteni, hanem minden olyan azonositot, ami szukseges az elofizeto beazonositasahoz. De tenyleg nem vagyok jogasz, ha ennyire reszleteiben erdekel, kerdezz meg egyet. Nekem megerne egy egy oras konzultaciot, hogy tudjam, hogy mindent a jogszabalyi kovetelmenyeknek megfeleloen csinalok.

Most akkor miről fogok a Facebookon csípős kommenteket írni a VPN-only profilommal?

Azt nem írja, de a kiberbűnözőket kiberkutyákkal kapták el a kibernyomozók, még a kiberlefoglalás előtt.

A computer is like air conditioning – it becomes useless when you open Windows.” (Linus Torvalds)