S3 Aflevering 106: Gezichtsherkenning zonder toestemming – moet het worden verboden? PlatoBlockchain gegevensintelligentie. Verticaal zoeken. Ai.

S3 Ep106: Gezichtsherkenning zonder toestemming - moet het worden verboden?

WIJ SCHRAPEN JE GEZICHT VOOR JE EIGEN GOED! (NAAR MEN ZEGT)

Klik en sleep op de onderstaande geluidsgolven om naar een willekeurig punt te gaan. Je kan ook luister direct op Soundcloud.

Met Doug Aamoth en Paul Ducklin. Intro en outro muziek door Edith Mudge.

Je kunt naar ons luisteren op Soundcloud, Apple Podcasts, Google Podcasts, Spotify, stikster en overal waar goede podcasts te vinden zijn. Of laat de URL van onze RSS-feed in je favoriete podcatcher.


LEES DE TRANSCRIPT


DOUG.  Cryptologie, politie die terughackt, Apple-updates en... kaarten tellen!

Dat alles, en meer, op de Naked Security-podcast.

[MUZIEK MODEM]

Welkom bij de podcast, allemaal.

Ik ben Doug Aamoth; hij is Paul Ducklin.

Paul, hoe gaat het vandaag?


EEND.  Het gaat heel goed met me, dank je, Douglas.

En ik kijk erg uit naar het kaarten tellen, niet in de laatste plaats omdat het niet alleen om tellen gaat, maar ook om kaarten schudden.


DOUG.  Oké, heel goed, ik kijk er naar uit!

En in ons Tech History-segment zullen we het hebben over iets dat niet willekeurig was - het was erg berekend.

Deze week, op 25 oktober 2001, kwam Windows XP uit voor de detailhandel.

Het was gebouwd op het Windows NT-besturingssysteem en XP verving zowel Windows 2000 als Windows Millennium Edition als respectievelijk "XP Professional Edition" en "XP Home Edition".

XP Home was de eerste consumentenversie van Windows die niet gebaseerd was op MS-DOS of de Windows 95-kernel.

En, op een persoonlijke noot, ik vond het geweldig.

Ik herinner me misschien eenvoudigere tijden... Ik weet niet of het echt zo goed was als ik het me herinner, maar ik herinner me dat het beter was dan wat we eerder hadden.


EEND.  Daar ben ik het mee eens.

Ik denk dat er een roze bril is die je daar draagt, Doug...


DOUG.  Uhm-hmmm.


EEND.  ... maar ik zou het ermee eens moeten zijn dat het een verbetering was.


DOUG.  Laten we het even hebben over vergoedingen, in het bijzonder vergoedingen voor ongewenste gezichtsherkenning In Frankrijk:

Clearview AI-service voor beeldschrapende gezichtsherkenning krijgt boete van € 20 miljoen in Frankrijk


EEND.  Inderdaad!

Vaste luisteraars zullen weten dat we hebben gesproken over een bedrijf genaamd Clearview AI vele keren, omdat ik denk dat het eerlijk is om te zeggen dat dit bedrijf controversieel is.

De Franse toezichthouder publiceert zeer behulpzaam zijn uitspraken, of heeft in ieder geval zijn Clearview-uitspraken gepubliceerd, zowel in het Frans als in het Engels.

Dus, in principe, hier is hoe ze het beschrijven:

Clearview AI verzamelt foto's van veel websites, waaronder sociale media. Het verzamelt alle foto's die direct toegankelijk zijn op die netwerken. Zo heeft het bedrijf wereldwijd meer dan 20 miljard afbeeldingen verzameld.

Dankzij deze collectie vermarkt het bedrijf de toegang tot zijn beeldbank in de vorm van een zoekmachine waarin een persoon gevonden kan worden aan de hand van een foto. Het bedrijf biedt deze dienst aan rechtshandhavingsinstanties.

En het bezwaar van de Franse toezichthouder, dat vorig jaar ook door de Britse en Australische toezichthouder werd herhaald, luidt: “Wij beschouwen dit als onwettig in ons land. Je mag geen afbeeldingen van mensen voor dit commerciële doel schrapen zonder hun toestemming. En je voldoet ook niet aan de AVG-regels, regels voor gegevensvernietiging, waardoor het voor hen gemakkelijk wordt om contact met je op te nemen en te zeggen: 'Ik wil me afmelden'."

Dus ten eerste moet u zich aanmelden als u dit wilt uitvoeren.

En als je de spullen hebt verzameld, moet je er niet aan vasthouden, zelfs niet nadat ze ervoor willen zorgen dat hun gegevens worden verwijderd.

En het probleem in Frankrijk, Doug, is dat de toezichthouder afgelopen december zei: 'Sorry, je kunt dit niet doen. Stop met het schrapen van gegevens en ontdoe je van wat je hebt over iedereen in Frankrijk. Heel erg bedankt."

Blijkbaar, volgens de toezichthouder, leek Clearview AI gewoon niet te willen voldoen.


DOUG.  Oh Oh!


EEND.  Dus nu zijn de Fransen teruggekomen en zeiden: 'Je lijkt niet te willen luisteren. U lijkt niet te begrijpen dat dit de wet is. Nu geldt hetzelfde, maar dan moet je ook €20 miljoen betalen. Bedankt voor het komen."


DOUG.  We hebben wat reacties op het artikel... we horen graag wat je ervan vindt; je kunt anoniem reageren.

De vragen die we stellen zijn in het bijzonder: "Biedt Clearview AI echt een nuttige en sociaal aanvaardbare dienst aan wetshandhavers? Of is het terloops een inbreuk op onze privacy door onwettig biometrische gegevens te verzamelen en zonder toestemming te commercialiseren voor onderzoeksdoeleinden?”

Oké, laten we het bij dit thema van beloning houden, en praten over een beetje van vergoeding voor de DEADBOLT criminelen.

Dit is een interessant verhaal, waarbij wetshandhaving en terughacken betrokken zijn!

Wanneer agenten terughacken: Nederlandse politie plundert DEADBOLT-criminelen (legaal!)


EEND.  Petje af voor de politie om dit te doen, hoewel het, zoals we zullen uitleggen, een eenmalig iets was.

Vaste luisteraars zullen zich DEADBOLT herinneren - het is al een paar keer eerder naar voren gekomen.

DEADBOLT is de ransomwarebende die in feite uw Network Attached Storage [NAS]-server vindt als u een thuisgebruiker of een klein bedrijf bent...

...en als het niet is gepatcht tegen een kwetsbaarheid die ze weten te misbruiken, komen ze binnen en versleutelen ze gewoon je NAS-box.

Ze dachten dat daar al je back-ups zijn, dat is waar al je grote bestanden zijn, dat is waar al je belangrijke dingen zijn.

“Laten we ons geen zorgen maken over het moeten schrijven van malware voor Windows en malware voor Mac en over welke versie je hebt. We gaan gewoon naar binnen, versleutelen je bestanden en zeggen dan: 'Betaal ons $ 600'.'

Dat is de huidige gangbare koers: 0.03 bitcoins, als je het niet erg vindt.

Dus ze nemen die consumentgerichte benadering om veel mensen te raken en elke keer om een ​​enigszins betaalbaar bedrag te vragen.

En ik denk dat als alles wat je hebt daar een back-up van heeft, je zou kunnen voelen: "Weet je wat? $ 600 is veel geld, maar ik kan het me bijna veroorloven. Ik zal betalen.”

Om de zaken te vereenvoudigen (en we hebben met tegenzin gezegd, dit is een slim onderdeel, als je wilt, van deze specifieke ransomware) ... in feite vertel je de boeven dat je geïnteresseerd bent door ze een bericht te sturen via de Bitcoin-blockchain .

Kortom, u betaalt ze het geld naar een gespecificeerd, uniek voor u Bitcoin-adres.

Wanneer ze het betalingsbericht ontvangen, sturen ze een betaling van $ 0 terug met een opmerking die de decoderingssleutel is.

Dus dat is de * enige * interactie die ze met jou nodig hebben.

Ze hoeven geen e-mail te gebruiken en ze hoeven geen darkwebservers te draaien.

De Nederlandse politie dacht echter dat de boeven een protocolgerelateerde blunder hadden gemaakt!

Zodra uw transactie het Bitcoin-ecosysteem bereikte, op zoek naar iemand om het te minen, zou hun script de decoderingssleutel verzenden.

En het blijkt dat hoewel je bitcoins niet dubbel kunt uitgeven (anders zou het systeem uit elkaar vallen), je twee transacties tegelijkertijd kunt doen, één met een hoge transactiekosten en één met een zeer lage of nul transactiekosten.

En raad eens welke de bitcoin miners en uiteindelijk de bitcoin blockchain zullen accepteren?

En dat is wat de politie deed...


DOUG.  [LACHT] Heel slim, ik vind het leuk!


EEND.  Ze zouden een betaling invoeren zonder transactiekosten, wat dagen kan duren om te worden verwerkt.

En dan, zodra ze de decoderingssleutel van de boeven terugkregen (ze hadden, denk ik, 155 gebruikers die ze een soort van samengeknuppeld hebben)... zodra ze de decoderingssleutel terug kregen, deden ze een dubbele uitgave.

“Ik wil dezelfde Bitcoin opnieuw uitgeven, maar deze keer gaan we het aan onszelf terugbetalen. En nu bieden we redelijke transactiekosten aan.”

Dus die transactie was degene die uiteindelijk daadwerkelijk werd bevestigd en opgesloten in de blockchain...

…en die andere werd gewoon genegeerd en weggegooid… [LACH] zoals altijd, moet niet lachen!


DOUG.  [LACH]


EEND.  Dus eigenlijk betaalden de boeven te snel uit.

En ik denk dat het geen *verraad* is als je wetshandhavers bent, en je doet het op een wettelijk gerechtvaardigde manier... het is eigenlijk een *valstrik*.

En de boeven liepen erin.

Zoals ik in het begin al zei, kan dit maar één keer werken, omdat de boeven natuurlijk dachten: 'O, schat, zo moeten we het niet doen. Laten we het protocol veranderen. Laten we eerst wachten tot de transactie op de blockchain is bevestigd, en als we dan weten dat niemand met een transactie kan komen die het later zal overtroeven, zullen we pas de decoderingssleutel verzenden.


EEND.  Maar de boeven werden wel platvoets met 155 decoderingssleutels van slachtoffers in 13 verschillende landen die de Nederlandse politie om hulp vroegen.

Dus, chapeau [Frans wielerjargon voor een "hat doff"], zoals ze zeggen!


DOUG.  Dat is geweldig… dat zijn twee positieve verhalen op een rij.

En laten we de positieve vibes aan het rollen houden met dit volgende verhaal.

Het gaat over vrouwen in cryptologie.

Ze zijn geëerd door de US Postal Service, die de codebrekers van de Tweede Wereldoorlog viert.

Vertel ons hier alles over – dit is een heel interessant verhaal, Paulus:

Women in Cryptology - USPS viert WW2-codebrekers


EEND.  Ja, het was een van die leuke dingen om over te schrijven op Naked Security: Vrouwen in cryptologie - United States Postal Service viert de codebrekers van de Tweede Wereldoorlog.

Nu hebben we het gehad over het breken van de Bletchley Park-code, de cryptografische inspanningen van het VK tijdens de Tweede Wereldoorlog, voornamelijk om te proberen nazi-cijfers te kraken, zoals de bekende Enigma-machine.

U kunt zich echter voorstellen dat de VS te maken hadden met een enorm probleem vanuit het oorlogsgebied in de Stille Oceaan, in een poging om met Japanse cijfers om te gaan, en in het bijzonder met een cijfer dat bekend staat als PURPLE.

In tegenstelling tot de Enigma van de nazi's, was dit geen commercieel apparaat dat kon worden gekocht.

Het was eigenlijk een machine van eigen bodem die uit het leger kwam, gebaseerd op telefoonschakelrelais, die, als je erover nadenkt, een soort "basis tien" -schakelaars zijn.

Dus, op dezelfde manier dat Bletchley Park in het VK hadden in het geheim meer dan 10,000 mensen in dienst... Ik realiseerde me dit niet, maar het bleek dat er meer dan 10,000 vrouwen waren gerekruteerd voor cryptologie, voor cryptografisch kraken, in de VS om te proberen met Japanse cijfers om te gaan tijdens de oorlog.

In alle opzichten waren ze buitengewoon succesvol.

Er was een cryptografische doorbraak in de vroege jaren 1940 door een van de Amerikaanse cryptologen genaamd Genevieve Grotjan, en blijkbaar leidde dit tot spectaculaire successen bij het lezen van Japanse geheimen.

En ik citeer even van de US Postal Service, uit hun postzegelserie:

Ze ontcijferden de communicatie van de Japanse vloot, hielpen voorkomen dat Duitse U-boten vitale vrachtschepen tot zinken brachten en probeerden de versleutelingssystemen te doorbreken die Japanse scheepvaartroutes en diplomatieke berichten onthulden.

Je kunt je voorstellen dat dit je inderdaad heel, heel bruikbare informatie geeft ... waarvan je moet aannemen dat het heeft geholpen om de oorlog te verkorten.

Gelukkig, hoewel de Japanners waren gewaarschuwd (blijkbaar door de nazi's) dat hun cijfer ofwel breekbaar was of al was gebroken, weigerden ze het te geloven en bleven ze PAARS gedurende de hele oorlog gebruiken.

En de vrouwelijke cryptologen van die tijd maakten beslist stiekem hooi terwijl de zon scheen.

Helaas, net zoals gebeurde in het VK met alle oorlogshelden (alweer, de meeste vrouwen) in Bletchley Park...

...na de oorlog waren ze tot geheimhouding verplicht.

Het duurde dus vele decennia voordat ze enige erkenning kregen, laat staan ​​wat je zou kunnen noemen het welkom van de held dat ze in wezen verdienden toen de vrede uitbrak in 1945.


DOUG.  Wauw, dat is een gaaf verhaal.

En jammer dat het zo lang duurde om de erkenning te krijgen, maar geweldig dat ze die eindelijk kregen.

En ik dring er bij iedereen die naar dit luistert op aan om naar de site te gaan om dat te lezen.

Het heet: Vrouwen in cryptologie - USPS viert codebrekers uit de Tweede Wereldoorlog.

Heel goed stuk!


EEND.  Trouwens, Doug, op de postzegelserie die je kunt kopen (de herdenkingsserie, waar je de postzegels op een volledig vel krijgt)... rond de postzegels heeft de USPS eigenlijk een kleine cryptografische puzzel geplaatst, die we hebben herhaald in het artikel.

Het is niet zo moeilijk als Enigma of PURPLE, dus je kunt het eigenlijk vrij gemakkelijk doen met pen en papier, maar het is een aardig stukje herdenkingsplezier.

Dus kom eens langs en probeer het eens als je wilt.

We hebben ook een link geplaatst naar een artikel dat we een paar jaar geleden schreven (Wat 2000 jaar cryptografie ons kan leren) waarin u hints vindt die u zullen helpen de cryptografische puzzel van USPS op te lossen.

Leuk om mee te maken met je herdenking!


DOUG.  Oké, dus laten we het een beetje bij willekeur en cryptografie houden en een vraag stellen die sommigen zich misschien al eerder hebben afgevraagd.

Hoe willekeurige zijn die automatische kaartenschudmachines die je in een casino zou kunnen zien?

Ernstige beveiliging: hoe willekeurig (of niet) kun je kaarten schudden?


EEND.  Ja, nog een fascinerend verhaal dat ik heb opgepikt dankzij cryptografiegoeroe Bruce Schneier, die erover schreef op zijn eigen blog, en hij noemde zijn artikel Over de willekeur van automatische kaartschudders.

De krant waar we het over hebben gaat, denk ik, terug tot 2013 en het werk dat gedaan is, denk ik, gaat terug tot het begin van de jaren 2000.

Maar wat me fascineerde aan het verhaal, en ervoor zorgde dat ik het wilde delen, is dat het ongelooflijke leerzame momenten heeft voor mensen die momenteel bezig zijn met programmeren, al dan niet op het gebied van cryptografie.

En, nog belangrijker, in testen en kwaliteitsborging.

Omdat, in tegenstelling tot de Japanners, die weigerden te geloven dat hun PAARSE codering misschien niet goed werkte, dit verhaal gaat over een bedrijf dat automatische kaartenschudmachines maakte, maar dacht: "Zijn ze echt goed genoeg?"

Of zou iemand er echt achter kunnen komen hoe ze werken, en een voordeel halen uit het feit dat ze niet willekeurig genoeg zijn?

En dus deden ze hun best om een ​​drietal wiskundigen uit Californië in te huren, van wie er één ook een ervaren goochelaar is...

... en ze zeiden: "We hebben deze machine gebouwd. We denken dat het willekeurig genoeg is, met één shuffle van de kaarten.

Hun eigen ingenieurs hadden hun best gedaan om tests te bedenken waarvan ze dachten dat ze zouden aantonen of de machine willekeurig genoeg was voor het schudden van kaarten, maar ze wilden een second opinion, en dus gingen ze erop uit en kregen er een.

En deze wiskundigen keken hoe de machine werkte, en waren in staat om, geloof het of niet, te komen met wat bekend staat als een gesloten formule.

Ze analyseerden het volledig: hoe het ding zich zou gedragen, en dus welke statistische conclusies ze konden trekken over hoe de kaarten eruit zouden komen.

Ze ontdekten dat, hoewel de geschudde kaarten een aanzienlijke reeks goede willekeurigheidstests zouden doorstaan, er nog steeds voldoende ononderbroken reeksen in de kaarten waren nadat ze waren geschud, waardoor ze de volgende kaart twee keer zo goed konden voorspellen als het toeval.

En ze waren in staat om de redenering te laten zien waarmee ze in staat waren om hun mentale algoritme te bedenken om de volgende kaart twee keer zo goed te raden als zou moeten...

... dus ze deden het niet alleen betrouwbaar en herhaalbaar, ze hadden zelfs de wiskunde om formeel aan te tonen waarom dat het geval was.

En het verhaal is misschien wel het meest bekend om de aardse maar volkomen passende reactie van de president van het bedrijf dat hen heeft aangenomen.

Hij zou hebben gezegd:

We zijn niet blij met uw conclusies, maar we geloven ze, en daar hebben we u voor ingehuurd.

Met andere woorden, hij zegt: 'Ik heb niet betaald om gelukkig gemaakt te worden. Ik heb betaald om de feiten te achterhalen en ernaar te handelen.”

Als alleen meer mensen dat deden als het ging om het bedenken van tests voor hun software!

Omdat het gemakkelijk is om een ​​reeks tests te maken die uw product zal doorstaan ​​en waarbij u weet dat er iets fout is gegaan als het faalt.

Maar het is verrassend moeilijk om een ​​reeks tests te bedenken die *de moeite waard zijn voor uw product om te slagen*.

En dat is wat dit bedrijf deed, door wiskundigen in te huren om te kijken hoe de kaartschudmachine werkte.

Er zitten heel wat levenslessen in, Doug!


DOUG.  Het is een leuk verhaal en erg interessant.

Nu praten we over het algemeen elke week over een soort Apple-update, maar deze week niet.

Nee nee!

Deze week hebben we heb voor jou… een Apple *mega-update*:

Apple mega-update: Ventura out, iOS- en iPad-kernel zero-day - handel nu!


EEND.  Helaas, als je een iPhone of een iPad hebt, dekt de update een zero-day die momenteel actief wordt uitgebuit, die, zoals altijd, ruikt naar jailbreak / volledige spyware-overname.

En zoals altijd, en misschien begrijpelijk, is Apple erg terughoudend over wat de zero-day precies is, waarvoor het wordt gebruikt en, net zo interessant, wie het gebruikt.

Dus als je een iPhone of iPad hebt, is dit *zeker* iets voor jou.

En verwarrend, Doug...

Ik kan dit beter uitleggen, want het was in het begin eigenlijk niet duidelijk... en dankzij wat hulp van de lezers, bedankt Stefaan uit België, die me screenshots heeft gestuurd en precies heeft uitgelegd wat er met hem gebeurde toen hij zijn iPad update!

De update voor iPhones en iPads zei: "Hé, je hebt iOS 16.1 en iPadOS 16". (Omdat iPad OS-versie 16 vertraagd was.)

En dat is wat het beveiligingsbulletin zegt.

Wanneer u de update installeert, zegt het standaard Over-scherm gewoon "iPadOS 16".

Maar als je inzoomt op het hoofdversiescherm, komen beide versies er eigenlijk uit als "iOS/iPadOS 16.1".

Dus dat is de *upgrade* naar versie 16, plus deze essentiële zero-day fix.

Dat is het moeilijke en verwarrende deel ... de rest is dat er ook veel oplossingen zijn voor andere platforms.

Behalve dat, omdat Ventura uitkwam - macOS 13, met 112 CVE-genummerde patches, hoewel ze voor de meeste mensen de bèta niet hebben gehad, dus dit zal tegelijkertijd *upgrade* en *update* zijn...

Omdat macOS 13 uitkwam, blijven er drie versies achter van macOS 10 Catalina.

En het ziet er inderdaad naar uit dat Apple nu pas vorige en vorige ondersteunt.

Er zijn dus * updates voor Big Sur en Monterey, dat is macOS 11 en macOS 12, maar Catalina is notoir afwezig, Doug.

En net zo vervelend als altijd, wat we je niet kunnen vertellen...

Betekent dit dat het gewoon immuun was voor al deze oplossingen?

Betekent dit dat het eigenlijk op zijn minst enkele van de oplossingen nodig heeft, maar dat ze nog niet zijn uitgekomen?

Of betekent dat dat het van de rand van de wereld is gevallen en dat je nooit meer een update krijgt, of het er nu een nodig heeft of niet?

We weten het niet.


DOUG.  Ik voel me buiten adem, en ik heb niet eens het zware werk in dat verhaal gedaan, dus bedankt daarvoor... dat is veel.


EEND.  En je hebt niet eens een iPhone.


DOUG.  Precies!

Ik heb een iPad…


EEND.  Oh echt?


DOUG.  ... dus ik moet gaan om ervoor te zorgen dat ik het up-to-date krijg.

En dat leidt ons naar onze lezersvraag van de dag, over het Apple-verhaal.

Anonieme commentator vraagt:

Zal de 15.7-update voor iPads dit oplossen, of moet ik updaten naar 16? Ik wacht tot de kleine hinderlijke bugs in 16 zijn opgelost voordat ik update.


EEND.  Dat is het tweede niveau van verwarring, als je wilt, hierdoor veroorzaakt.

Ik heb begrepen dat toen iPadOS 15.7 uitkwam, dat precies op hetzelfde moment was als iOS 15.7.

En het was, wat, iets meer dan een maand geleden, denk ik?

Dus dat is een ouderwetse beveiligingsupdate.

En wat we nu niet weten is...

Is er nog een iOS/iPadOS 15.7.1 in de coulissen die nog niet is uitgekomen, waarmee beveiligingslekken worden verholpen die in de vorige versie van besturingssystemen voor die platforms bestaan?

Of is uw updatepad voor beveiligingsupdates voor iOS en iPadOS nu de route van versie 16?

Ik weet het gewoon niet, en ik weet niet hoe je het zegt.

Het ziet er dus naar uit (en het spijt me als ik verward klink, Doug, want dat ben ik!)...

...het lijkt erop dat het *update* en het *upgrade*-pad voor gebruikers van iOS en iPadOS 15.7 naar versie flavour 16 gaat.

En op dit moment betekent dat 16.1.

Dat zou mijn aanbeveling zijn, want dan weet je tenminste dat je de nieuwste en beste build hebt, met de nieuwste en beste beveiligingsoplossingen.

Dus dat is het lange antwoord.

Het korte antwoord is, Doug, "Weet niet."


DOUG.  Helder als modder.


EEND.  Ja.

Nou ja, misschien niet zo duidelijk... [GELACH]

Als je de modder lang genoeg laat liggen, bezinken de stukjes uiteindelijk naar de bodem en is er helder water op de top.

Dus misschien is dat wat je moet doen: afwachten, of gewoon doorbijten en voor 16.1 gaan.

Ze maken het je wel makkelijk, nietwaar? [LACHT]


DOUG.  Goed, dat houden we in de gaten, want dat kan tussen nu en de volgende keer een beetje veranderen.

Hartelijk dank voor het insturen van die opmerking, anonieme commentator.

Als je een interessant verhaal, opmerking of vraag hebt die je wilt indienen, lezen we die graag in de podcast.

U kunt tips@sophos.com e-mailen, u kunt reageren op een van onze artikelen en u kunt ons bereiken op social @NakedSecurity.

Dat is onze show voor vandaag, heel erg bedankt voor het luisteren.

Voor Paul Ducklin, ik ben Doug Aamoth, ik herinner je eraan tot de volgende keer om...


BEIDE.  Blijf veilig!


Tijdstempel:

Meer van Naakte beveiliging