Samy Kamkar, norte-americano que em 2005 obrigou os administradores do MySpace a desligar o site, garante que ninguém tem os seus dados pessoais devidamente protegidos na Web.

Quando em Outubro de 2005 Samy Kamkar , então com 19 anos, desenvolveu um programa malicioso (worm) que lhe permitiu angariar um milhão de amigos no MySpace em apenas 20 horas, estava longe de imaginar que a proeza lhe haveria de render mais popularidade do que realmente pretendia.

Com efeito, o ataque à rede social que por esses dias fazia as delícias dos internautas e a mediatização do processo judicial que se seguiu, conferiu-lhe o estatuto de estrela no firmamento da comunidade hacker.

Os três anos de pena suspensa, acrescida de 90 dias de trabalho comunitário e da proibição de aceder à Internet, para além de uma indemnização nunca revelada, já fazem parte do passado e Kamkar, agora com 24 anos, é co-fundador da Fonality , uma empresa que comercializa centrais telefónicas que usam a tecnologia de voz sobre IP (Protocolo Internet).

Mas é como conferencista, a convite da Fundação OWASP (Open Web Application Security Project), um organismo que tem por missão apoiar o desenvolvimento de aplicações Web seguras, que realiza um périplo pela Europa, tendo já passado por Londres, Leeds, Dublin, Bruxelas, Estocolmo, Copenhaga e Lisboa.
Privacidade na Net, morreu!

No ISCTE - Instituto Universitário de Lisboa, o auditório foi pequeno para acolher todos aqueles que ouviram Kamkar declarar a morte da privacidade na Net, depois de demonstrar como é tecnicamente possível determinar a localização física de um internauta. Como?

Antes de mais é preciso descobrir o endereço físico do router (MAC address ) através do qual o internauta acede à Net, recorrendo para este efeito a um site com um programa malicioso, ao qual é preciso atrair a eventual vítima.

Normalmente, apenas os computadores ligados a um router podem obter esse endereço. Contudo, o programa em javascript faz-se passar por um computador dessa rede e consegue a tal "matrícula" do router.

Já na posse do tal endereço MAC, lança uma pesquisa na base de dados que serve de suporte ao Google Street View , ficando assim a saber as coordenadas GPS do router em causa.

Mas como é que a Google tem estes dados? Porque os automóveis que recolhem as imagens para o Street View também captam os sinais das redes sem fios e registam na sua base de dados os tais endereços MAC, para além da localização em que foram detetados.

Apesar das polémicas recentes que envolveram o Street View, tudo indica que a Google não foi obrigada a apagar desta base de dados os endereços MAC.

O Expresso procurou confirmar junto da Google a existência desta informação na base de dados em causa, mas até à publicação deste artigo não obtivémos resposta.

Ao revelar publicamente os detalhes técnicos deste tipo de operações, tudo o que Kamkar pretende é alertar para os riscos. "O utilizador comum e até alguns técnicos não fazem a mínima ideia da exposição a que seus dados estão sujeitos na Internet", alerta.

Enquanto não esquecer a condenação a uma pena suspensa por três anos e o enorme susto sentido quando viu a polícia invadir a sua casa, algumas semanas depois do ataque ao MySpace, e apreender tudo o que pudesse ter um byte gravado (do computador aos CD), o hacker deu lugar ao especialista em segurança informática.
Cookie eterno

E foi no papel do especialista que Samy Kamkar lançou recentemente um outro alerta, desta feita relacionado com uma fragilidade detetada na versão 5 do HTML , a linguagem de marcação usada para produzir páginas para a Web.

Ora, segundo Kamkar, a última versão do HTML que estará disponível a partir de 2012 poderá expor, como nenhuma outra, a privacidade dos internautas. Vejamos como.

Serão certamente muito raros os sites que não queiram saber mais sobre quem os visita: de que país provêm, quanto tempo dura a visita, etc.

Uma das técnicas usadas para obter esse tipo de informação passa por alojar no computador do internauta um pequeno ficheiro de texto onde esses dados ficam registados. A esse ficheiro dá-se o nome de cookie .

€80.000 milhões é o valor que todos os anos, segundo a IAB - Interactive Advertising Bureau, o mercado da publicidade online fica impossibilitado de gerar por não poder usar comercialmente a informação dos internautas.

Atualmnente, o internauta pode, em qualquer altura, apagar os ditos ficheiros e até impedir que fiquem gravados no disco rígido. Mas, se o HTML5 for usado tal como está a ser desenvolvido, os administradores dos sites e seus anunciantes poderão criar cookies que estes jamais serão capazes de apagar alojando-os em diretorias ocultas ou temporárias. Esta nova geração de cookies foi batizada por Samy Kamkar como "Evercookies" (os cookies eternos).

Resultado: Os hábitos de qualquer internauta ficarão mais expostos do que nunca à curiosidade e aos interesses comerciais de empresas e anunciantes.

Se é verdade que através dos atuais cookies já é possível monitorizar a atividade de qualquer internauta, um evercookie poderá registar informação sobre eventuais compras realizadas online, mensagens de correio eletrónico enviadas e recebidas, entre outros hábitos bem mais íntimos.

Samy Kamkar, 24 anos, nasceu em Pitsburg, Pensilvânia. Aos 13 mudou-se de armas de bagagens para Los Angeles, Califórnia, onde viria a concluir o ensino secundário.

Decide então começar a trabalhar como administrador de sistemas informáticos, num primeiro momento, e como programador, mais tarde.

Contrariamente à maioria dos engenheiros de software com que lida diariamente, tudo o que sabe, aprendeu sozinho.

Em 2005, acabaria por entrar para a história da pirataria informática como o autor do primeiro worm (programa malicioso) da era Web 2.0. Alvo: MySpace. O "Samy Worm" permitiu-lhe angariar um milhão de amigos em apenas 20 horas e acabaria por obrigar o administradores desta rede social a pararem o site para correção do problema.

Segundo Samy Kamkar, foi o próprio Governo norte-americano e não o MySpace que apresentou queixa. Em 31 Janeiro de 2007, chega finalmente a um acordo, tendo sido condenado a três anos de pena suspensa. Hoje, diz-se "arrependido" e garante que não voltará a fazê-lo.

The Very Basics – The Google Analytics Cookies
When someone visits a website that is properly coded with Google Analytics Tracking Code, that website sets four first-party cookies on the visitor’s computer automatically.

So, What Are These Four Cookies?
Well, there can be up to five different cookies that a website with Google Analytics tracking code sets on your computer. However, four of them are automatically set, while the fifth one is an optional cookie. Let’s take a look at each one.

The __utma Cookie
This cookie is what’s called a “persistent” cookie, as in, it never expires (technically, it does expire…in the year 2038…but for the sake of explanation, let’s pretend that it never expires, ever). This cookie keeps track of the number of times a visitor has been to the site pertaining to the cookie, when their first visit was, and when their last visit occurred. Google Analytics uses the information from this cookie to calculate things like Days and Visits to purchase.

The __utmb and __utmc Cookies
The B and C cookies are brothers, working together to calculate how long a visit takes. __utmb takes a timestamp of the exact moment in time when a visitor enters a site, while __utmc takes a timestamp of the exact moment in time when a visitor leaves a site. __utmb expires at the end of the session. __utmc waits 30 minutes, and then it expires. You see, __utmc has no way of knowing when a user closes their browser or leaves a website, so it waits 30 minutes for another pageview to happen, and if it doesn’t, it expires.

The __utmz Cookie
Mr. __utmz keeps track of where the visitor came from, what search engine you used, what link you clicked on, what keyword you used, and where they were in the world when you accessed a website. It expires in 15,768,000 seconds – or, in 6 months. This cookie is how Google Analytics knows to whom and to what source / medium / keyword to assign the credit for a Goal Conversion or an Ecommerce Transaction. __utmz also lets you edit its length with a simple customization to the Google Analytics Tracking code.

The __utmv Cookie
If you are making use of the user-defined report in Google Analytics, and have coded something on your site for some custom segmentation, the __utmv cookie gets set on the person’s computer, so that Google Analytics knows how to classify that visitor. The __utmv cookie is also a persistent, lifetime cookie.

That’s all Great, but What if Someone Deletes These Cookies from their Computers?
Unfortunately, you cannot do anything about someone deleting their cookies from their computers. The __utmb and __utmc cookies are gone before you know it, but the __utma, __utmz, and __utmv cookie (when applicable) will remain for a long period of time. Whenever someone deletes the __utma cookie, they are in essence deleting their history with your website. When they visit your website again, they are considered a brand new visitor, just as they were the first time they came around.

How Concerned Should I Be about This?
Concerned isn’t the word I would use. I would be “aware” of this, but there should be no cause for concern on your part. Over time, you will have collected enough data, and you will have been able to make some pretty good guesses on what’s going on and what to do, by analyzing trends and observing patterns, rather than having to rely on whole numbers. Remember, Google Analytics is a trending and analysis tool, not an accounting software program or a report of your server logs. It relies on data collection via javascript and cookie placements, and not every single person in the world has either enabled on their browser of choice.

http://www.morevisibility.com/analytics ... okies.html

LViieira Escreveu:O que me deixou mais alarmado foi mesmo a Google Street View captar os MAC das redes por onde passa e ter uma base de dados com as coordenadas geográficas a corresponder ao MAC Address... isso sim é preocupante por diversas razões.