Google -- Není na čase začít se bát?

28.2.2008 00:12 | Přečteno: 2391×

Google spouští nový projekt, ale zdá se, že poměrně stranou zájmu českých médií. Přesto si myslím, že by neměl zapadnout, protože ukazuje, že Google projde ledacos. Projekt je ostatně zajímavý už tím, že není na pozvánky a nemá nápis Beta. Asi není zacílen na geeky.

Projekt se jmenuje Google Health, a mluví se o něm na oficiálním blogu, i na méně oficiálních místech. Ta méně oficiální místa jsou zvláště zajímavá, protože ukazují screen shot přihlašovací obrazovky a vidíme, že je zcela stejná jako do jakékoliv jiné Google aplikace. I oficiální vyjádření uvádí, že pacienti dali souhlas, aby "have their electronic medical records safely and securely imported into a Google account".

O američanech se často říká, že nejsou svéprávní (viz. tradiční sušení kočky v mikrovlnce), ale tohle vypadá, že špína je opravdu žažraná. Tady opravdu 1500 pacientů renomované kliniky dalo dobrovolně data o svém zdravotním stavu do své emailové schránky?. Jak chtějí ochránit heslo, které někdo zadává desetkrát denně do nespočetného počtu počítačů. Chci si přečíst email přihlásím se k google account. Chci si editovat svůj blog -- google account, správa reklamních kampaní -- google account, zaplatit kartou -- google account.

Ono je samozřejmě dobře, když jsou data dostupná. Ale jedno ze základních pravidel ochrany soukromí říká, že databáze se nesmí propojovat. Pokud se jedná o různá data, tak ať jsou oddělená. Ideální jsou systémy, které ukládají informace zcela anonymně. Provozně ale naráží na to, že vlastník dat snadno ztratí přístupový klíč a to je u zdravotní dokumentace dost nešťastná situace. Pokud si uložíte své soubory na mozzy.com a ztatíte klíč, tak jste prostě hloupí a můžete si je pořídít znovu nebo zkrachujete. Zdravotnickou dokumentaci znovu pořídit téměř nelze. Také v situacích, kdy pacient není při vědomí jsou údaje z dokumentace dost důležité, ale pacient těžko poskytne přístupový klíč. Google má v USA lepší telefonní seznam než sami operátoři, protože milióny lidí si zadávají mobilní číslo jako notifikační kontakt - vždyť je SMS o příchozím emailu zadarmo. Nehledě na další davy, které získaly účet na gmailu za SMS (zdravíme Seznam).

Všechny stávající evropské projekty tohoto typu naráží na potřebu bezpečné autentizační metody. Naráží na to, že všechny stávající bezpečné metody jsou nákladné a pro běžného uživatele nepochopitelné, takže aplikace, které takové metody používají jsou nepopulární a získávají své uživatele pomalu. Samozřejmě USA jsou pro takový projekt ideální, protože tam si lidé skutečně cení svého zdraví a vědí, co stojí ho nemít, zvlášť když musí podepsat každý účet a platí si sami pojištění, takže ví na cent přesně co stojí lékařská péče. Potom jsou lační po všem co jim pomůže zdraví utužit a nebo získat slevu na pojistce. Na druhou stranu právě američané by si měli uvědomovat, jak snadné je pojistku nezískat, protože se pojišťova dozví, že žadatel o pojistku je nemocný.

Nedávno tu proběhla diskuze kolem OpenID, Verisign jako OpenID provider zavádí krásné kartičky pro jednorázová hesla, možná to je cesta, jak zajistit bezpečný přístup i do takovýchto aplikací. Cena je $48 + poštovné, takže pro američana max. denní mzda. Bohužel ČR je pro Verisign banánová republika a tak mi vysvětlili, že jsem sice jejich strašně oblíbený zákazník, ale počítač jim nedovolí kartičku poslat. A s počítačem se diskutovat nedá. To že jejich počítač ČR znal, když posílali novoroční přání je možné, ale to je přece úplně jiná situace . Ještě levněji to umí PayPal, tam je token pro jednorázové heslo za $5, ale opět ČR je destinace do které není možné token poslat. A u paypalu se ani nečeká, že by se s vámi někdo bavil. Samozřejmě takovou kartičku můžete pořídit i bez Verisignu, ale ty co znám jsou jednak dražší a také se těžko kupují po jednotlivých kusech, nehledě na nutnost budovat kolem toho vlastní infrastrukturu. Stejně jsem si ji pořídil, jen mě přijde transport trochu dráže než by stálo poslání od nich přímo do ČR.

       

Komentáře

[Bluebear]

Inu, tento projekt se mi sice vůbec nelíbí, ale možná je menší zlo mít to v Googlu, kde je to relativně na očích veřejnosti, v hledáčku médií a se souhlasem uživatelů, než aby se takové databáze budovaly pokoutně a zcela bez kontroly. Výhoda je mimo jiné v tom, že uživatel má alespoň jistou možnost určit, co se bude publikovat a co ne, a pokud proniknou ven informace, které označil za choulostivé a důvěrné, může dělat bugr. Pokud jsou jeho data v nějaké tajné databázi v kdovíjaké firmě, tak se ho nikdo ptát nebude.

Totiž, přijde mi, že postupnému shromažďování a propojování informací o každé osobě nejde moc zabránit, protože k prosakování údajů z firmy do firmy a z databáze do databáze dochází běžně při nejrůznějších obchodních transakcích.

[Let_Me_Be]

Tyhle jednorazove hesla neni jedina moznost. Mne osobne se moc nelibi, protoze chybi pridana ochrana pro pripad ztraty. Kdyz ztratim token, nemel bych, v pripade ze nalezce vi kdo jsem, byt ohrozen.

Lepsi jsou sifrovane SMS + PIN ala Ebanka. Docela by se mi libilo, kdyby konecne zacali lide poradne podporovat klasicke klice. Takovej iKey je super vec.

[Dan Ohnesorg]

Nalezce zna jen cislo z tokenu, ale nezna heslo, takze ma utok dost tezky. A nez heslo uhodne, tak zase ja vim, ze nemam token. A do tokenu se tezko dava backdoor. U chytrych telefonu bych mozna uz byl s bankovnimi SMS opatrnejsi. Ty bankovni SMS asi necekaji, ze nekdo je mezi klavesnici mobilu a SIM kartou.

iKey je prima, ale tam narazime na tu nepodporovanost. Treba ssh-agent z debianu neumi z ikey pouzit klice, to umi jen OpenSUSE a nejsem si jistej jestli Fedora. U windows tam uz je to vubec o nicem, protoze tam aby clovek nosil sebou instalacni CD a doufal, ze kam prijde, tam bude mit prava administratora.

[Let_Me_Be]

Jak jsem to pochopil, tak tohle je klasicky generator, ktery v (ne)pravidelnych intervalech zobrazuje ruzna hesla (http://en.wikipedia.org/wiki/Security_token#Time-synchronized_one-time_passwords). Prihlasujes se loginem + timhle vygenerovanym heslem.

[Dan Ohnesorg]

To jak se heslo pouzije zalezi na konkretni implementaci, vetsinou se bud delaji tri vstupni policka a nebo se proste k zobrazenemu cislu prida jeste nejake dalsi cislo nebo slovo. Skutecne malokdy se dneska pouzije ciste jen kombinace jmena a tohohle hesla, to snad jen v pripade, kdy je samotne prihlasovaci jmeno utajovane.

[miro]

Když ztratíte iKey, budete nejspíš ohrožen také. Jiná věc je, že už vás neohrozí kdejaká lama (i když kdoví, kdo kdy a kde si sniffnul váš PIN do iKeye nějakým keylogerem). IMHO prakticky jakákoli autentizační metoda bude suboptimální, nebude-li doplněna možností okamžité revokace.

[Let_Me_Be]

Tak to je jasne. Ale nez prijdu na to, ze token nemam a nahlasim to, muze to trvat netrivialni dobu (uz vidim jak si blokujete jediny pristupovy bod, kdyz nevite jestli jste token nenechal doma). Od toho pak je nejaka pridana ochrana (casto trivialni, protoze i jednoduchy ciselny pin na tuhle dobu staci).

[miro]

Souhlas, já jsem reagoval na tvrzení "Kdyz ztratim token, nemel bych, v pripade ze nalezce vi kdo jsem, byt ohrozen." v kontextu s vaší zmínkou o iKey jako supr věci. Že iKey přidanou hodnotu má (ve smyslu zpomalení útočníka), to je bez debat. Kalkulačka Komerční banky, tuším, uměla dokonce po asi čtyřech špatných pokusech o zadání PINu zničit nějakým zkratem toho brouka uvnitř (což samozřejmě nutně neznamená, že nejde hacknout). Jestli se nepletu, tak dnes už komerčka tu kalkulačku nenabízí, bohužel.

[_____]

Určitě je na čase přemýšlet o tom, jakou moc Google vlastně má.

• Má kontrolu nad tím, co je možné na internetu najít. Takže mohou zařídit, aby nepohodlné věci nešly najít.
• Šlo by zařídit i že pokud někdo vyhledává informace o něčem divném (např. podle seznamu klíčových slov), tak o něm zaznamenat všechny informace a ty předat někomu (třeba policii, nevím).

Mimochodem podobnou online databázi zdravotnických informací někde má i Microsoft.

[Dan Ohnesorg]

Ta Microsofti vec je linkovana z toho prispevku v blogu. Asi udelana o neco lepe, resp. nebyla propojena s dalsimi databazemi, ale nebyla uspesna a Microsoft si to zapsal na seznam ostatnich ztratovych projektu.

Ony ty databaze vznikaji a vznikat budou, protoze to je proste vec, ktera dava smysl a lidi ji chteji. Ale musi se to delat na nejake urovni.

[elviin]

Zrovna cislo Ekonomu 6 7.-13.2. 2008 je na tema bezpecnost dat sverenych statu. Stat si vede 239 databazi. Podle mne jedina cesta je o sobe poskytnout co nejvice dat, a zaroven skryvat citliva data, ale jen v malych davkach:)

[Dan Ohnesorg]

Tak zase stat je tradicne neschopen udrzet ta data nejak konzistentni natoz propojit ty databaze mezi sebou. Proto tech databazi je take tolik. Budu se na ten clanek muset mrknout, jsem zvedavy jestli tam zminuji tech 13 zdravotnickych statnich registru, ktere jsou rozsahem daleko za tim, co si jakykoliv jiny stat na svete dovoli sbirat a to se pritom uvadi jako duvod, proc se nesmi zrusit.

Navic kazdou databazi vede pro stat jina firma, takze kdyz jich bude mene, tak bude mene statnich IT zakazek. A fura nezamestnanych ITaku. Vzdyt si to predstavte, kdyby ministertsvo financni vyhodilo taxdata pro opakovanou mnoholet trvajici neschopnost napsat aplikaci fungujici pod alespon vice nez jednou verzi prohlizece. To by vypukla dalsi hypotecni krize.

[elviin]

Zrovna taktez v Ekonomu, ale nepamatuji se na cislo, se pise o firmach, ktere o lidech sbiraji informace, ktere by ani pro jejich cinnost nepotrebovaly. Je toho pry tuny (majetek, umrti, pribuzni, orientace, ...). Co si pamatuji, tak hodne dat o lidech maji banky (mluvim o datech, ktera nepotrebuji k poskytovnai sluzeb), elektrarny, plynarny.

[Luk]

Dodavatelé elektřiny a plynu moc údajů nemají. Mají přehled o větších spotřebičích, pokud jim je lidé nahlásili (což zdaleka ne vždy dělají), ale to je asi tak všechno. Mnohem více informací mají banky, už i jen podle transakcí (protistrana, částka, pravidelnost atd.), další informace si pak zjišťují při poskytování úvěru.

[Semo]

Banky zase az tak vela nesuviacich dat nezbieraju. Rozhodne o transakciach maju kazdy prd, ale umrtia, orientacie a pod. nezbieraju.

[elviin]

No s tou orientaci jsem to prehnal, ale napr. prazske plynarny chteji umrtni list (nebo alespon v dobe, kdy jsem cetl clanek v Ekonomu, chtely) v pripade, kdy nekdo potreboval odhlasit plyn v byte, jehoz uzivatele umreli.

[Aleš Kapica]

Každá mince má dvě strany. Uhlídat přístup k více databázím je větší problém než jednu. Troufám si říct, že dnes už je každý tolikrát registrován na nejrůznějších místech, že už ani nemůže tušit odkud jeho data uniknou.

[xvasek]

V nespojování databází jsou naprostí mistři naše státní správa. Teď jsem byl měnit trvalé bydliště a to si musí člověk zajít napřed na registr obyvatel, vyplnit si žádost a dostane papírek. Pak musí jít k paní naproti a dát jí papírek a vyplnit přesně stejné informace do nového formuláře, aby mu paní vyřídila novou občanku. Paní dá zase jiný papírek a pak se jde na registr řidičských průkazů o patro výše. Tam pro změnu vyplním zase stejné informace do formuláře a paní mi pro změnu nic nového nedá. Čirou náhodou jsem si pak potřeboval vyřídit ještě cestovní pas, to jsou dveře vedle řidičáků, opět vypsat stejné informace do formuláře. Problém je, že v této chvíli má člověk jenom občanku s ustřiženým rožkem, které je sice plně platná, ale totožnost se podle ní ověřit nedá, takže paní musela zavolat na oddělení občanských průkazů, jestli já jsem opravdu já - spojení databází tedy funguje, ale join se dělá "analogově" přes telefonní linku.

No a k věci - co je špatného na Google Health? U nás funguje izip, který může obsahovat stejné informace a osobně v tom spatřuji celkem výhodu. Provozuje jej soukromá společnost (AFAIK), která se zaručuje, že nebude informace zveřejňovat, stejnou noticku má v licenci určitě i Google, který si tam může přidat, že nebude tato data kombinovat s jinými v rámci účtu Google. Tak jako tak věřím stejně jenom té dané společnosti.

Jedině to udělat decentralizovaně, něco jako "Health server", kde by měl člověk na svém střeženém stroji svoje zdravotní údaje, které by mohl poskytovat lékařům přímo z toho serveru.

[Cohen]

Tak to jsi v ČR vyhrál první cenu – máš to všechno v jedné budově.

[kralyk z abclinuxu]

google smrdí, nevim proč nemůže prostě zůstat u vyhledávání, maximálně mailu.
i ten blog nestoji celkem za moc...

[Kvakor]

Pokud Google smrdi, tak nai nechci vedet co potom dela Micfosoft ...

[Ostravak ostravsky]

Voni pico.

[ʚĭɞ 🍉]

Třeba já jsem spokojeným uživatelem více googlích služeb než jen vyhledávání a e-mailu.

[Devilkin]

Projekt je ostatně zajímavý už tím, že není na pozvánky a nemá nápis Beta

Já teda nevím, ale třeba přímo na odkazovaném webu nápis BETA je.