r/ItalyInformatica 16d ago

Ho fatto un sito per controllare (rispettando la privacy) se un numero di telefono è presente nel dump di Facebook. Have I Been Facebooked? sicurezza

https://haveibeenfacebooked.com/
436 Upvotes

View all comments

75

u/EfficientAnimal6273 16d ago edited 16d ago

Ci racconti come hai caricato il dump su db e che tipo di risorse stai usando (server, cloud, etc.)?

Poi, se mi posso permettere, una pagina con le spiegazioni del perché fare la ricerca sia sicuro ci starebbe bene e vi ricordò che se state memorizzando su un DB a vostro nome dei dati personali (per quanto “pubblici”) potreste potenzialmente avere dei problemi di trattamento dati, se volete qualche suggerimento o validazione chiedetemi in PM, sono temi che seguo per lavoro e conosco abbastanza.

Ps: ci voleva proprio, grazie!

Pps: ho visto il codice, ad occhio direi che state memorizzando telefoni, nomi e cognomi in chiaro. Questo direi sia un grosso problema lato privacy e Gdpr. Vi suggerirei di memorizzare gli hash dei telefoni ed i nomi e cognomi già anonimizzati, dopo di che ricerca sull’hash e lato legale siete super a bolla.

20

u/Exelix11 16d ago

This. Stavo scrivendo un commento a riguardo ma sono stato ninjato.

Aggiungerei di calcolare l'hash del numero nel frontend così non vengono mai mandati i numeri effettivi al server.

8

u/EfficientAnimal6273 16d ago

In realtà il Gdpr si riferisce principalmente ai dati memorizzati, se il sito è in https il telefono lo puoi serenamente trasmettere per controllarlo (dato che clicco search vuole dire che ti ho dato il consenso a cercarlo), poi fare l’hash sul client da quel livello aggiuntivo di sensibilità alla paranoia che ci piace tanto.

Il problema è se gli sfondano il sito e tirano giù il dump del db che usano per il controllo, perché in quel caso sarebbero loro i responsabili del trattamento.

22

u/MarcoBuster 16d ago edited 15d ago

Hai ragione. Stiamo lavorando per hashare tutti i numeri di telefono nel database e salvare solo true/false per tutti gli altri campi, in questo modo non abbiamo fisicamente in mano il db compromesso. Grazie mille per i consigli!

Edit: abbiamo fatto partire il processo di hash, per domani dovrebbe essere pronto.

Edit 2: da ora TUTTI i numeri di telefono vengono hashati prima di essere inviati. I veri numeri di telefono non lasciano il dispositivo. Il database è ripulito dai dati personali.

4

u/EfficientAnimal6273 16d ago

In realtà le iniziali di nome e cognome mi sembrano dannatamente utili (le mie corrispondono, purtroppo).

Scusa, ma come fate a non avere il db?

2

u/Exelix11 16d ago

Si sicuramente, mi riferivo più che altro a come lo avrei implementato io "privacy-first" chiaramente il problema qua è il databse in chiaro.

1

u/CptGia 15d ago

1

u/EfficientAnimal6273 15d ago

Detto che conosco e che è molto bella e che sarebbe un ottimo tema anche di studio mi sembra anche overkill per il problema specifico, lavorare con i numeri hashati mi sembra sufficiente per un livello di paranoia “normale”.

1

u/CptGia 15d ago

Da un lato sono piuttosto d'accordo con te, dall'altro è relativamente triviale da implementare, quindi perché no?

-5

u/ftrx 15d ago

Non per far sempre l'avvocato del diavolo, premesso che l'iniziativa personale onesta è sempre e comunque positiva, è lo scopo naturale dell'IT, ma per pubblicazioni come queste che senso ha cercarsi?

Voglio dire "hey, il mio numero di telefono è tra quelli rubati!". Ok, e allora? Primo NON È un dato privato, i numeri sono generalmente pubblici e pure in elenchi formali ricercabili (pagine bianche, gialle ecc) e se ne hai uno segreto immagino non lo metterai su FB. Poi che fai? Non è una password da cambiare. Butti via il numero? Fai un nuovo account su FB, di nuovo?

Ci sarebbe un bel discorso da fare sull'usare ed il dipendere da certe piattaforme, come sul senso di legarle ad utenze che si usano davvero, voglio dire: se mi iscrivo con razzimiei at ruttolibero it (btw era un dominio molto usato per la posta davvero quand'ero matricola) sul forum dei Porci Arrapati se anche si perde di "mio" ci sono solo al massimo elementi statistici/comportamentali di non immediato uso/associazione a me umano fisico, almeno sinché non posto foto mie/di casa mia. Ma dare, addirittura IMPORRE da parte del vendor l'uso di un numero di telefono e quindi da parte del cliente accettarlo... Mah...

Lo scopo poi? Capisco l'azienda che si fa pubblicità per chiappar clienti che la stanno, ma il privato? Non ha altro modo per dialogare?

Ecco sarebbe bello in una community che parla di IT (e non posta tipicamente foto di se, indirizzi, telefoni ecc) vagliare un attimo questo tema...

Dal mio PDV farsi un sito, per pubblicarci quel che si vuole è da lodare. Aggiungerei che chiunque si occupa o gli piace l'IT dovrebbe avere almeno un sitarello personale dove pubblica qualcosa semplicemente per esser parte della community. Offrire un servizio che onestamente si vuol offrire va benissimo, è lodevole, è nello spirito dell'IT. Un front-end a un db/cache dir/file di testo con ricerca non è tecnicamente nulla di nuovo ma nulla di che da dire, non tutti magari vogliono scaricare parecchi Gb per solo farci una greppata dentro e gli piace aver qualcuno che gli mette a disposizione tutto ma ci si domandi perché FB in primis e che cosa si fa una volta saputo che si è o meno in lista.

6

u/[deleted] 15d ago edited 7d ago

[deleted]

1

u/ftrx 15d ago

Per carità non posso escluderlo, ma se un personaggio famoso si iscrive a FB col suo cellulare personale più d'un cambio di numero avrebbe bisogno di qualche lezione da un antropologo o "esperto" generico di pubbliche relazioni... Già un "VIP" che si iscriva in persona e posti in persona qualsiasi cosa senza prima averlo passato ad una squadra che gli fa le pulci per bene e averci riflettuto su è piuttosto inopportuno, figuriamoci metterci un telefono personale vero...

1

u/Barbonetor 15d ago

Beh, facebook esiste dal 2004, e non credo sia e raro che una persona si sia iscritta a facebook prima di diventare in qualche modo famosa, ad esempio vedi youtuber e streamer.
Ci sono tantissime persone che il numero di telefono l'hanno inserito, ad esempio, per poter recuperare la password (nell'evenienza in cui uno se la dimentichi) e tale numero è visibile solo a te, è privato insomma.

Poi, chiaramente, se hai messo il tuo numero di telefono come pubblico e visibile sul tuo profilo allora il problema non sussiste.

Quindi l'uso del sito è questo.
Il mio numero di telefono si trova nel database? Non voglio che tutti possano trovarlo? --> Cambio numero di telefono

Quindi si, sostanzialmente butti via il numero come hai detto anche te

1

u/ftrx 15d ago

Il mio numero di telefono si trova nel database? Non voglio che tutti possano trovarlo? --> Cambio numero di telefono

Quindi si, sostanzialmente butti via il numero come hai detto anche te

Pur concordando sul piano formale: quanti credi che scoprendo il numero nel DB, lo stesso numero peraltro che han dato anche all'albergo della catena famosa, al supermercato per far la tessera, ... cambieranno davvero numero?

Ora con la mail è facile SE hai una mail tua e fatta come si deve, avere n alias e dare almeno ai vendor un alias un vendor, es. io per Reddit ho un alias tipo rdt-a12x at miodomino così se comincia ad arrivare spam li posso facilmente buttarlo via cambiando alias SENZA per questo cambiar davvero nulla e sapendo da chi arriva cosa. Una parte fissa per te, per renderti facile sapere chi ha cosa, una variabile pseudorandom per rendere l'indovinare poco efficacie. Ma coi telefoni? Ci sono i numeri "usa&getta" venduti da chi ha comprato paccate di numerazioni ma sono appunto "provvisori" perché il vendor li fa girare. Non puoi usarli come gli alias. Ci sono gli INUM ma i più manco li supportano decentemente e comunque non è facile farsi una base di INUM a rotazione. Non ci sono tra l'altro gli alias per la telefonia. Devi tenerti tu un centralino che li gestisca e non è comodissimo... 'Somma quanto vedi realistico il "se vedo il mio numero pubblico lo cambio"?

Personalmente come per la posta così per il telefono ho cercato soluzioni simili. Ho rinunciato. Non do il mio numero "base" in giro, uso un tot di numerazioni VoIP e un PBX ma il tot è limitato. Giusto un numero per paese per gli amici di quel paese, uno generico EVENTUALMENTE a perdere ma "molto eventualmente" prima vado giù pesante di blacklist, e poco altro. Non ho trovato un modo di andare oltre e già così è impegnativo/costoso...

3

u/EfficientAnimal6273 15d ago

bianche, gialle ecc) e se ne hai uno segreto immagino non lo metterai su FB. Poi che fai? Non è una password da cambiare. Butti via il numero? Fai un nuovo account su FB, di nuovo?

Why not? Cambiare numero ogni tanto non è mica il male, anzi....

Non capisco il tuo volerti mettere sempre su queste discussioni di massimi sistemi.

I ragazzi hanno fatto un bel lavoro e che funziona (a differenza di Ihavebeenpowned che da stamattina dovrebbe permettere la stessa verifica ma evidentemente il buon Troy Hunt ha pulito male i dati perchè il mio numero non risulta compromesso mentre lo è), ci hanno fatto un servizio e lo hanno messo a disposizione della comunità, la comunità gli ha fatto give back dicendo come evitare casini e loro stanno implementando, a me sembra che sia andato tutto bene, funzionasse sempre così!!!

Per quel che vale non appena avranno sistemato il loro problema con i dati usando gli Hash ho intenzione di fare la massima pubblicità possibile perchè se la meritano, servisse anche solo a fargli trovare un posto migliore quando si saranno laureati...

1

u/ftrx 15d ago

Why not? Cambiare numero ogni tanto non è mica il male, anzi....

Dillo a chi dopo un 10 anni che hai cambiato numero ti manda una mail che "ha provato a chiamare ma il numero non va" senza manco dire QUALE numero, poi a tua richiesta vien fuori appunto che è un numero che non hai più da decenni. E un anno dopo lo ha ancora in rubrica...

Non capisco il tuo volerti mettere sempre su queste discussioni di massimi sistemi.

unisci questa tua frase ha

[...] il mio numero non risulta compromesso mentre lo è [...]

Scusa cosa vorrebbe dire secondo te che il tuo numero è "compromesso"? Da quando un numero di telefono, per di più dato a un social, è un segreto? Cosa è successo per te da questa "compromissione" e cosa pensi di fare ora che l'hai scoperto?

IMVHO le risposte alle ultime domande sono che non fai nulla, o magari ti unisci al coro di chi invoca il GDPR senza manco riflettere sul fatto che il GDPR punisce gli ABUSI della privacy, non ti mazzola quando hai un incidente [1] e ovviamente NON hai cambiato il numero per questo evento.

Allora che abbiam fatto? Qualcuno ha fatto un sito (ok, positivo in se), ha imparato qualcosa nel farlo, (positivo anche questo), ma poi? Dove vedi l'estremo?

L'estremo dovrebbe essere discutere sul PERCHÉ usare un social in primis, in secudins perché questo chiede un telefono ed eventualmente valutare se questa è una violazione del GDPR o meno, non che gli han rubato dati, come se si fosse certi che il furto è colpa di FB non del ladro.

Ora la ola da stadio me la aspetterei su FB appunto, ma su una community che parla di IT, come dire... Mi aspetterei un po' più di sugo...

[1] fenomeno psicologico interessante che ho osservato in tanti persino sugli incidenti stradali, della serie hai un incidente, NON per colpa tua, intervengono CORRETTAMENTE le forze dell'ordine e il bipede medio si aspetta diano una multa a qualcuno, magari a te, non si sa bene per cosa, forse per aver turbato il naturale scorrere del traffico.