Martin Dahl

GDPR vs moderne hjemmesider: Holdninger, jura og gråzoner
  1. IP adresser logges konstant massivt. Og det er nødvendigt.

Alle digitale services tilgåes via en IP adresse, som kunden sender med sin forespørgsel, for at servicens svar kan finde vej hjem til kunden. Derfor behandler alle services IP adresser på alle der benytter servicen.

Om man logger eller delvist anonymiserer IP adressen i logs er valgfrit.

Af hensyn til at dæmme op mod de massive mængder bots og misbrug vil de fleste services logge IP adresser på alle forespørgsler.

Af andre hensyn kan IP adressen med andre vektorer benyttes til profilering og efterfølgende marketing, efterretning osv.

Din IP adresse logges når du tilgår en webside, når et website benytter en font fra en tredieparts service, når en webside har en Vimeo-video etc.

  1. IP adresser er svære at personhenføre. Medmindre.

Har man ingen database med øvrig info er det ufatteligt svært at henføre en IP til en person eller husstand.

Jo mere øvrig data man har per IP, des lettere er det at henføre.

Den service som tager imod et login med en email adresse, vil automatisk vide at denne IP blandt andet af og til kan henføre til denne email adresse. Og den service kan sælge den info hvis de synes.

Den service-familie der bliver brugt flest mulig steder, kan etablere de mest præcise og profitable marketingprofiler samt mest præcis henførbarhed. GA, fonte, videoer, Facebookpixels etc. kommer meget vidt omkring. Dette er tracking på tværs af domæner.

Der er allerede etableret et hav af købbare databaser, som knytter persondata eller marketingprofil til IPadresser kombineret med øvrige vektorer.

  1. Risiko og gevinst

Gevinsten bliver forhåbentlig at man kan besøge et produkt på et apotek uden senere at blive profileret på den baggrund, bare fordi apoteket benyttede en særlig font, videoservice eller et statistikværktøj. Og den gevinst er uvurderlig. Lad os få stoppet tracking på tværs af domæner.

Risikoen er at butiksejere ikke må vide om deres egne kunder kan finde vej fra en webforside til et produkt. Eller at ingen services uden for EU må benyttes på et website, fordi de behandler IP adressen.

Ligesom der findes økologiske producenter, som lover at undlade at skade miljø og mennesker på udvalgte punkter, så skal vi have etableret et økosystem af leverandører, som inkluderer een og samme tillæg til deres DBA og privatlivspolitik, noget a la:

"Ingen data herunder IP adresser, aggregeret data, fingerprints eller pseudonymiseret data deles med tredieparter nogensinde. Ingen data benyttes til andet end at levere servicen XYZ."

Tag et kig på Plausible og deres kildekode. Det lader til at være vejen frem for services, som tager de fornødne foranstaltninger for at levere en webstatistik og samtidig respektere privatliv.

  1. Og så er der efterretningstjenester og ikke-EU stater.

Selvom ikke-EU-virksomheder lover ikke at dele data, så kan de blive pålagt at dele uden at måtte fortælle det.

Og den er svær.

29. juni kl. 12:24
»Ser med største alvorlighed på nedbruddet«: Digitaliseringsstyrelsen forlanger »grundig redegørelse« for NemID-nedbrud

Det er ikke en SLA du linker til. Og man har ikke en SLA med sine slutbrugere.

En SLA er den aftale en leverandør laver med den kunde der bestiller en given service, hvor man garanterer oppetider, svartider, service-responstider osv.

Typisk vil der stå:

  • 99.9% af API kald har responstider på under 0.5 sekunder
  • Kritiske supportsager besvares inden for 24 timer
  • Ved nedbrud af system1 opstartes redundant system2 på max 30 minutter.
  • Servicens oppetid er 99.99% årligt

Og typisk vil man indskrive

  • Ved nedetider udover de garanterede 99.99% betales en bod på x% af den årlige driftssum per 0.1% yderligere nedetid.

Det er selvfølgelig ikke fedt at skulle have den slags aftaler med indbygget bod, men alternativet er at Nets er ligeglade med hvor længe NemId er nede.

29. juni kl. 10:56
Nets: Rod-certifikat var i orden - men underliggende certifikater var ikke »funktionsdygtige«

Nets mangler at forklare, hvorfor det tager så lang tid at identificere og rette fejlen.

Der har været oceaner af reproducerbare fejl at tage fat på. Så der er ingen undskyldninger for at de ikke har kunne debugge.

Der er endda en sandsynlighed på 30% for at de kunne bruge deres egen direktørs credentials til fejlsøgningen.

Har det bygget et system, de ikke selv forstår eller kan forklare?

Er kompetencerne, der har bygget systemet, ikke længere i Nets?

Er det benhårdt kalkuleret, at en række hændelige fejltilstande let kan tage dagevis at rette?

28. juni kl. 14:53
Nu forklarer Nets sig: Rod-certifikat står bag stort database-nedbrud

borger.dk har enten et levn eller et script, som bliver hentet fra borger.fobs.dk:

https://borger.fobs.dk/ThirdPartyCookieCheck/step1.js.aspx

Men det domæne har ikke fået opdateret sit SSL certifikat. Så alle moderne browsere vil undlade at loade det script, selvom borger.dk beder browseren om det.

Det lader til at det script analyserer om der bliver sat tredieparts cookies på siden. Så det er muligvis en sikkerhedsforanstaltning borger.dk har, som giver dem selv besked, hvis der har sneget sig noget ind på sitet, som sætter tredieparts cookies.

fobs.dk er ejet af Statens IT.

Ingen af disse sager har noget med NemId at gøre overhovedet.

27. juni kl. 13:50
Nu forklarer Nets sig: Rod-certifikat står bag stort database-nedbrud

Rod-certifikat står bag stort database-nedbrud

En database bryder ikke ned pga. et rodcertifikat der udløber.

Rod-certifikatet står ikke bag nedbruddet af authentikeringstjenesten NemId.

Nets står bag NemId.

Og deres kompetence udi implementering af et driftsikkert miljø for en simpel authentikeringstjeneste, er årsagen til at det har taget over tre dage fejlfinde og rette en kritisk fejl i en kritisk infrastruktur.

Hvad er den økonomiske konsekvens for overskridelse af SLAer?

Er udbetalingen af udbytte til de udenlandske kapitalfonde, der ejer Nets, upåvirket?

Hvad er Nets forklaring på at det tager tre dage at finde og fejlrette en fejl som denne?

27. juni kl. 10:46
Stort nedbrud rammer Borger.dk, NemId og andre tjenester
  • Vi har hen over natten arbejdet intenst med at få de sidste over på en anden server. Billedet er stadig, at en tredjedel af NemID-brugerne kan opleve driftsforstyrrelser, siger Peter Glüsing, pressechef i Nets.

"Få de sidste over på en anden server" ?

Er det vores single point of failure authentikeringsservice i vores digitale infrastruktur, som knytter brugere til en fysisk server?

Betyder det at hvis en given fysisk server går ned, så medfører det en mængde brugere som er afskåret?

Det lyder ikke som behagelig redundans.

23. juni kl. 10:26
Millioner af danskere bruger stadig kun e-Boks trods udbuds-nederlag til Netcompany

Det eneste der ikke er som du gerne vil, er, at private virksomheder selv må finde ud af at tage konktakt til deres kunder, i stedet for at det offentlige stiller en kanal til rådighed.

Og dette lille "eneste" er årsagen til at kerneservicen er mangelfuld.

Den samlede løsning på Digital Post, (som er et nødvendigt og mere lukket alternativ til klassisk email) må og skal indeholde CRUD og API på preferencer og de virksomheder man ønsker at følge.

Lige så snart, at kanalen ind fra virksomheder er noget, som den enkelte udbyder kan fifle sig til og konkurrere på, så ender 5 millioner danskere med at digital post går fra at være een postkasse til et latterligt virvar.

Virvaret åbner for phishing, oversete mails, ekstra udgifter for virksomheder, etc. Herunder erodering af eksistensgrundlaget for Digital Post.

Lige så snart at virksomhederne skal lave individuelle aftaler med de forskellige postkasse UI leverandører, eller selv etablere egne postkasser, så har alle tabt.

14. juni kl. 10:57
Millioner af danskere bruger stadig kun e-Boks trods udbuds-nederlag til Netcompany

Fragmenteret udefineret service og dermed en væsentlig dårligere oplevelse for borgerne, spildte skattekroner på nye dybe tallerkener, og et virvar for virksomheder der vil kommunikere.

Tænk hvis udbuddet havde krævet levering af en platform med et åbent API og en tydelig kerneservice, som alle leverandører af klientsiderne kunne benytte.

Løbende udbudsvindere er kan overtage kernedriften, samt ansvaret for kompatibilitet med det aftalte API.

Helt konkret ville kerneservicen i dette tilfælde lagre og servere krypteret post, CRUD af præferencer og samtykker til hvem man godkender post fra, samt et simpelt filter, som afviser post der ikke er samtykke til.

Så kan det fri marked slås om klientsidens herligheder.

13. juni kl. 12:22
Privacy-udvidelser til Chrome forventes at fungere mindre effektivt fra næste år

Nej. Det er en forkert konklusion.

Fordi man stoler på en part medfører det ikke, at man billiger den parts fremtidige handlinger.

Eksempelvis er der mange, der benytter Chrome fordi det er et godt værktøj, som hidtil i rimeligt omfang har varetaget ens interesser. Men ved overgang til Manifest V3 kan det være at Chrome ikke længere varetager ens interesser nok, sammenlignet med andre browsere.

Benytter man ikke ad-blockere og lignende, så vil opdateringen være en 100% øgelse af sikkerheden i browseren.

Det er ikke et sort/hvidt felt. Og derfor skal man overveje hvad man mener om sagen, inden man omtaler opdateringen som "voldtægt".

9. juni kl. 12:43
Privacy-udvidelser til Chrome forventes at fungere mindre effektivt fra næste år

Istedet for at gylpe blind forargelse kan man tage et konkret kig på hvad problemet er, så man udvikle en konkret holdning til området.

Browsere er user agents. Det er agenter, som handler på vegne af mennesker.

Eller således burde det være, kan man argumentere for.

Extensions er valgfrie moduler, som man kan bede sin browser benytte. På vegne af ens egen færd på nettet.

Manifest v3 fratager Extensions muligheden til at blokkere de rå forespørgsler til f.eks. trackere og reklamer, inden de forespørgsler forlader klientens browser.

Og nu melder problemet sig. Skal man give sin tillid til browseren eller til extensions?

Google gennemtrumfer nu, at man ikke må give sin tillid til særlige extensions, så de på vegne af en selv, kan filtrere i indhold og net forespørgsler.

Argumentet er: fordi at ondartede extensions kan misbruge dette ansvar, må man ikke selv frivilligt give tilliden til udvalgte extensions, som man ellers stoler på.

Således ender Chrome med ikke at være agent for brugeren, som ønsker ad-blocking og andre low level filtre.

Alt efter om de nødvendige extensions finder en alternativ rimelig vej i v3, kan det ende med at være en deal breaker for ellers Chrome fans.

Når v2 deprekeres, kan man sammenligne resultatet mellem Chrome og f.eks. Firefox.

Detaljer fra en værdig kilde:https://www.ghostery.com/blog/manifest-v3-the-ghostery-perspective

9. juni kl. 11:20
Den nye digitaliseringsstrategi landet: Microsoft-chef får central rolle

Hvis du spørger Nana Bule om Microsoft leverer et etisk og ansvarligt fundament for digitale løsninger, så vil svaret være ja.

Hvis du spørger Nana Bule om hun og Microsoft vil arbejde for transparens, åbne standarder, åbne APIer eller open source, gætter jeg på at du bliver bedt om at signe op til en Microsoft konto, logge ind i Windows og via Edge købe en Azure konto for at se et svar.

Uden politisk vilje på området vil vi igen og fortsat igen se at vores digitale infrastruktur skal udbydes og genvindes af de store leverandører, som igen skal starte forfra hver gang fra scratch. Introducere de samme og nye fejl, spilde tid og skattekroner på nyudvikling af infrastuktur, som burde være langt mere langtidsholdbar.

Det er enhver glarmesters drøm at vinduerne smadres hver nat, men det er BNP lige ud af vinduet for fællesskabet sålænge vores digitale infrastruktur forbliver proprietær.

Selvfølgelig skal kommercielle virksomheder udvikle den digitale infrastruktur og tjene godt på det. Men uden åbne APIer og kildekode svarer det til at rive Storebæltsbroen ned og bygge den op igen, fordi man har fået en ny leverandør af bomme og betalingsterminaler.

10. maj kl. 11:19
Den nye digitaliseringsstrategi landet: Microsoft-chef får central rolle

Ikke et ord om transparens, åbne standarder, åbne APIer eller open source.

6. maj kl. 12:58
GDPR vs hjemmesider: Tracking under overfladen

Problemet med Google Analytics er at det både tilbyder en kraftfuld statistik der kan implementeres let, og samtidig benytter den data til tvær-domæne profilering og big-data analysis med senere marketing for øje. Og oven i dette ligger uden for EU, hvor de persondata ikke er beskyttet, som vi ønsker i EU.

Det bliver spændende om marketing-fri webstatistik med heftige foranstaltninger for anonymisering bliver betragtet som godkendt til almindelig nødvendig driftsformål uden særligt samtykke.

Alle webservere behandler allerede IP adresser uden samtykke om behandling af persondata. Og uden webserver logning af IP adresser er det meget svært at gardere sig mod diverse angreb og misbrug. Argumentet er at denne behandling er nødvendig, for at kunne levere den givne service.

Tilsvarende kunne man håbe, at et udvalg af de almindeligste simple data som land, device-type, OS og URL gerne må aggregeres uden samtykke, sålænge formålet er en drift-nødvendighed, ikke-marketing-relateret og med tydelige foranstaltninger for irreversibel anonymisering.

Alternativet er at forbyde at tælle hvormange gange en given side vises på ens eget website. Og det er en absurd konklusion.

3. maj kl. 16:19
GDPR og Europas "tredje vej" (del 1 af 2)

Uh, det lyder på mig som om, at du her tangerer samme tankesæt, som Robert Bork i "The antitrust paradox".

Det er en super spændende vinkel, og jeg er helt enig i at både hyper-kapitalisme og tæt-på-eksponentiel vækst for visse IT giganter, giver anledning til at lovgivning tiltænkt forbrugervelfærd vendes 180 grader for effektivt at eliminere konkurrence på den helt lange bane.

Men eksemplet med Officepakkerne har ikke komponenterne til at falde under denne kategori.

Først og fremmest charger leverandørerne for servicen. Især MS må vist siges at have indkasseret en ufattelig profit på f.eks. Word, taget i betragtning hvad den kodestump håndterer.

Dernæst er en central del af office servicen, at den betalende kunde kan dele co-creation adgang til ikke-betalende parter.

Desuden falder MS dokumentformaterne i den klassiske kategori af et nærmest i praksis monopol. Eller i hvert fald indtil nu hvor online og samskabende formater har overtaget.

18. marts kl. 13:04
GDPR og Europas "tredje vej" (del 1 af 2)

Er techgigant dominerede økosystemer ved at ødelægge fri og innovative markeder?

Lad os kort zoome ind på office-produkternes økosystemer.

Google har leveret en innovation og forbedret oplevelse af online office applikationer, som får den tidligere næsten monopolgigant Microsoft til at se pinlige ud.

Konkurrencen blandt disse økosystemer fungerer, og lader til at være til fordel for forbrugerne, når vi undlader at tage GDPR med i ligningen.

Eneste problem med Googles produkt er at det er underlagt amerikansk lovgivning, som er inferiør ift. Europas på GDPR området.

Behovet for økosystemer er propertionalt med hvor omfattende det er at udvikle et sådan økosystem.

Hvis det var let at udvikle sit eget komplette system, så kan man jo bare forsøge at gå igang allerede iaften.

Google docs og sheets er så effektive, robuste og veludviklede at de sparrer gigantiske mængder tid og besvær i dagligdagen.

Indtil vi har et Europæisk alternativ består dilemmaet:

Vil jeg sende persondata ud af EU eller vil jeg benytte et pinligt dårligt alternativ?

18. marts kl. 10:36
Så er det sagt...

Hvis ordet holder, så får vi nu at se, om de etablerede uigennemsigtige netværk i netværk af transaktionsmekanismer er ligeså profitable, som deres regulerede alternativer, når de skal overholde de samme spilleregler i forhold til hvidvask og insider-handel.

Har EU en pendant i støbeskeen?

16. marts kl. 10:35
Datatilsynet slår fast: Klartekst-data til USA er som hovedregel ulovligt

Indtil FHE kan udføres nogenlunde feasible, så må man nøjes med krypteret storage uden for EU.

https://en.wikipedia.org/wiki/Homomorphic_encryption

Jeg er stadig spændt på hvorledes MitId vil forklare deres brug af Akamai som underdatabehandler.

Deres DPO svarer ikke på hvilke data Akamai har adgang til.

14. marts kl. 12:11
GDPR vs moderne hjemmesider

og som eksempel på noget der hører herunder: "elektroniske indkøbskurve på webshops".

Tak. Der tog jeg helt fejl. Det må have været en fejl i en RAM klods:)

Erhvervsstyrelsen gør det klart, at man ikke skal informere om nødvendige cookies for services, den besøgende udtrykkeligt beder om.

8. marts kl. 12:13
GDPR vs moderne hjemmesider

så behøver de jo slet ikke at prompte den besøgende.

Jo, man skal stadig bede om samykke til at behande persondata, selvom det er en del af teknisknødvendighed på sitet.

8. marts kl. 11:38
GDPR vs moderne hjemmesider

Går verden under, hvis vi dropper cookies?

Hvis debatten skal give mening, så skal det indledningsvis stå soleklart hvorfor cookies og tilsvarende tekniske løsninger, er nødvendige for en lang række interaktioner.

Kort sagt, uden cookies ingen mulighed for at logge ind på noget website. (Trylleløsninger med sessionsvariable i URLer gælder ikke)

Det er også soleklart at cookies idag anvendes til heftig marketing profilering. Dette naturligvis fordi det digitale reklamemarked er en multimiliard forretning, og at indtjeningen er direkte propertional med graden af målrettetheden reklamerne kan serveres i. Profileringen er primært for at øge CTR.

Og så er der de mørkere sideeffekter ved henførbahed, som cookies og ipadressen giver (delvist) anledning til:

  • Efterretningstjenester
  • Screening af forsikringskunder og lignende forskelsbehandling
  • Afpresning fra teknisk personel med adgang til data
  • Prispumpning på baggrund af profilering
  • Datalæk
  • Osv osv..

Det bliver spændende at følge hvorledes GDPR fortolkes i Danmark ift.

  • IP adresser, som jo per definition behandles uanset om de logges eller ej
  • Irreversibel periodisk hashing af device IDer
  • In-browser kohorte etablering
  • Fingerprinting
  • Trediepartscookies generelt
  • Iframe services fra tredieparter
8. marts kl. 11:32