Google Street View omylem sbíral útržky WiFi spojení

Google při snímání ulic pro Street View zjišťuje také SSID dostupných WiFi sítí. Přitom ale z nezabezpečených sítí omylem získával útržky komunikací, které mohou obsahovat třeba hesla odesílaná v nezabezpečených přihlašovacích formulářích. Google nyní řeší, jak se takto získaných dat bezpečně zbavit. Samotnou mapu WiFi sítí používá ve svých geolokačních službách. Více informací: Official Google Blog: WiFi data collection: An update nebo The Register: Google Street View snooped WiFi for personal data.

16.5.2010 19:09 | Filip Jirsák | Zajímavý článek

Komentáře

[Filip Jirsák]

Český vývar z článku je na iHNed.cz: Google přiznal, že při mapování ulic získal osobní data, možná i hesla.

[fissie]

Fakt mi unika, proc se z toho zase dela takova afera, ze se to dokonce dostane do medii a natoz pak do zpravicek na abicku.

No a co jako? Kdyz je nekdo blbej a vysila to do vzduchu nesifrovany, tak se holt muze prekvapive stat, ze jede kolem auto a data sebere. Fakt nechapu, v cem je problem a proc se kolem toho dela takovej humbuk. Ostatne pokud ma nekdo nesifrovanou wifi, ma mnohem vetsi problem nez 5 packetu, ktery zrovna sebralo auto co jelo kolem.

[CyberDragon]

Nutno chapat kontextove: v Nemecku nadale pokracuje utahovani sroubu.

[jim]

Nutno chapat kontextove: v Nemecku nadale pokracuje utahovani sroubu.

V tom nalezu se pise:

Internet users can be fined up to euro100 ($126) if a third party takes advantage of their unprotected WLAN connection to illegally ...
 

Private users are obligated to check whether their wireless connection is adequately secured to the danger of unauthorized third parties ...
 

But the court stopped short of holding the users responsible for the illegal content the third party downloads themselves.
 

The court also limited its decision, ruling that users could not be expected to constantly update their wireless connection's security — they are only required to protect their Internet access by setting up a password when they first install it.

Tj. kdo nezabezpeci sve wifi pripojeni pred zneuzitim treti stranou bude potrestan pokutou. Ne za ten cin provedeny pomoci tohoto spojeni, ale za to, ze tento cin umoznil. Bylo tu par analogii, taky bych jednu pridal. U nas existuje podobne narizeni u auta - ridic je povinen zabezpecit vozidlo pred odcizenim. Pokud to neudela ma pruser, ale neni primo zodpovedny za provedenou skodu.

Dokonce si myslim, ze ten soud byl hodne mekky, protoze rika, ze staci, ze zabezpeceni provede uzivatel jednou a to pouze pomoci hesla. Ja bych sel jeste dal, a tusim, ze nas pravni rad tohle uz stejne resi - uzivatel je odpovedny za skodu a muze ji pripadne preuctovat dale. Tj. uzivatel je odpovedny nejen za sve pripojeni, ale take za svuj system, prohlizec, ... Pokud neprokaze, ze se dostatecne pokusil o jeho zabezpeceni, musi nahradit prinejmensim cast vznikle skody.

Vymluvy typu ze ma devadesatileta maminka to neumi bych neresil, kdo na to nema sam, ten si najme firmu.

[Heron]

Bylo tu par analogii, taky bych jednu pridal. U nas existuje podobne narizeni u auta - ridic je povinen zabezpecit vozidlo pred odcizenim. Pokud to neudela ma pruser, ale neni primo zodpovedny za provedenou skodu.

Opět mi to nedá. Auto je potencionálně nebezpečná věc. Podle mého názoru se srovnává nesrovnatelné.

[belisarivs]

s/potencionálně/potenciálně/g

[Käyttäjä 11133]

Jaký mám problém se svou nešifrovanou WiFi? :)

[fissie]

Krome toho ze si od tebe sousedi pujcuji net, ten clovek pod barakem na lavicce si cte tvoji aktualni konverzaci se slecnami a jeste ti tam torrenti nejaky porno, za ktery ti za chvili prijde abuse report?

Tak krome toho nic .

[otula]

Sice nevím, jak přesně Marek ten dotaz myslel, ale určitě nepotřeboval poučovat

[Heron]

Krome toho ze si od tebe sousedi pujcuji net,

No a?

ten clovek pod barakem na lavicce si cte tvoji aktualni konverzaci se slecnami

Nešifrovaná wifi neznamená nešifrované spojení.

a jeste ti tam torrenti nejaky porno, za ktery ti za chvili prijde abuse report?

Proč Markovi? Paket obsahuje nějakou identifikaci člověka?

[fissie]

Nešifrovaná wifi neznamená nešifrované spojení.

Ano, protoze v praxi samozrejme vsechny aplikace vsechno sifruji a vsichni maji vsechno minimalne tunelovane openvpn, spise vsak rovnou ipsec. Haha.

Proč Markovi? Paket obsahuje nějakou identifikaci člověka?

Psal o *sve* wifi, a v takovem pripade jiste nejaka identifikace existuje. At uz primo pres RIPE databazi, nebo pres databazi providera a jeho abuse kontakt... A je to proste opruz neco takoveho resit. Ackoli neverim, ze zrovna Marek neco takoveho doma ma a predpokladam, ze jeho reakce byla v nadsazce, stejne jako ta moje. I kdyz ta ne tak moc, protoze u nesifrovany open wifi v obecnem pripade clovek neco takovyho proste casem cekat muze .

[Jendа]

Ackoli neverim, ze zrovna Marek neco takoveho doma ma

Má

[Mrkva]

Fakt je, že ono je to geniální způsob, jak si zajistit alibi při případných nekalých činnostech. "Já nevím kdo stahoval to dětské porno/sestřelil web PSP/seedoval nejnovější Windows/dělal jiný smrtelný hřich". Tím nechci říct, že pan Stopka nebo já něco takového dělá :)

[Grunt]

Fakt je, že ono je to geniální způsob, jak si zajistit alibi při případných nekalých činnostech.

Jakože to někoho zajímá?

[Mrkva]

Tak ono je to jednoduché - ve chvíli, kdy jako původce toho "zlého" trafficu lze označit zařízení za nijak nezabezpečeným wifi routerem - aniž by bylo možné zjistit jaké konkretně zařízení a kdo ho používal, tak je policie nahraná - nedokáže určit pachatele :)

[Jendа]

Taky někdo mohl ustřihnout kabel na nejbližším dslamu a připojit si tam svůj notebook (u nás je rozvodná skříň UPC jenom přelepená samolepkou a O2 tam má takový sranda zámeček).

[Mrkva]

No vidíš - a já mám domácí wifi šifrovanou (WPA-PSK), na střechu LAN a ze střechy to jde kilometr vzduchem nešifrované (a kdoví jak dál) - a ISP s tím nehodlá nic dělat. Bohužel, nic lepšího tady na vesnici není - už abych měl vlastní server co nejblíž NIXu a mohl tunelovat :)

[petr]

prozacatek neni treba ani server v NIXu...

proste jen vsechny bezne cinnosti honit pres zabezpecene kanaly... mail, jabber, bankovnictvi apod... to vse umi komunikovat sifrovanym kanalem a je to trivialne nastavitelne.

naopak si myslim ze spolehat se na relativne nednoduche sifrovani na urovni hw (wifi) neni tak spolehlive jak by se mohlo zdat...

[Grunt]

Já nechci nic říkat, ale PČR většinou zajímá jméno na smlouvě a jde na to systémem přehazování zodpovědnosti. Kdo není schopný přehodit zodpovědnost níže je zodpovědný. Př.: Neurčí-li ISP smlouvu koncového zákazníka (společně s adresou) je zodpovědný on(, protože ze zákona paragrafu číslo XXX má povinost logovat… bla, bla, bla. Prostě páky na to mají). Tady ty bajky o pátrání, dokazování a hledání alibi jsou sice moc pěkné, ale v praxi moc nikoho nezajímají. Prostě potrestán bude vždy někdo.

[Heron]

Prostě potrestán bude vždy někdo ...

... ať již něco spáchal nebo ne.

[Grunt]

Tak, tak.

[Mrkva]

No, ale pořád platí, že vina musí být jednoznačně dokázána. I kdyby se to mělo hnát třeba až k ÚS. Pravda, odmítnout poskytnout heslo k disku by byla asi přitěžující okolnost - ale pořád musí nejdéle u soudu prokázat, že ten skutek skutečně spáchal obžalovaný.

[Grunt]

Je pravda, že nevím co se děje až se ten papír vyplní a pošle zpátky, ale nějaké iluze si o tom také nedělám.

[Grunt]

No, ale pořád platí, že vina musí být jednoznačně dokázána.

Na druhou stranu, jak ještě lépe dokázat nějakou nekalou činnost než dumpem trafficu a klientskou smlouvou od ISP? Ano, budiž, HADOPI ještě u nás zavedeno nebylo, přímá odpovědnost za přípojku není daná zákonem, ale je to na soudci. Ovšem též si nedělám iluze, že většina soudců ve většině případů tuto přímo zodpovědnost za přípojku nevyužije nepodaří-li se nějakým zázrakem najít opravdového pachatele.

[Mrkva]

Ovšem též si nedělám iluze, že většina soudců ve většině případů tuto přímo zodpovědnost za přípojku nevyužije nepodaří-li se nějakým zázrakem najít opravdového pachatele.

Aha. Takže na řadu přichází (na první pohled nesmyslná) analogie - vrah někomu ukradne z batohu kapesní nůž, na kterém je vaše jméno a zabije s ním člověka. A jelikož vy ani policie nejste schopný toho vraha nalézt vás soudce odsoudí za vraždu?

[Piškot]

To jsou teda pitomé analogie. Co třeba takhle: Nechal jsem pistoli bez zámku a vrah si ji mohl velmi snadno vzít -> napomohl jsem mu. Vylomil mi zámek u pistole, vrah si ji mohl vzít jen při překonání překážky -> nenapomohl jsem mu.

Pak můžeme hledat vraha, ale v tomhle máme jasno.

[Heron]

To je kapánek rozdíl. Zatímco pistole vznikla jako zbraň s cílem někomu ublížit, tak internet vznikl jako počítačová síť pro přenos informací.

Zbraň je smrtelně nebezpečná věc a nějaká ochrana je nutná.

Ale přístup k internetu a tedy k informacím? Proč ho chránit?

U každého trestného činu jde o společenskou nebezpečnost. Když někoho zastřelím (třeba tvojí pistolí), jsem nebezpečný a ty jsi mi k tomu třeba nějak dopomohl. Když se pomocí tvé wifi připojím k internetu, tak se stane co?

[Heron]

Na druhou stranu, jak ještě lépe dokázat nějakou nekalou činnost než dumpem trafficu a klientskou smlouvou od ISP?

To je ale v pořádku. Pokud má policie důvodné podezření, že dotyčný dělá něco nekalého, může jej sledovat. Tj, přijde za ISP, předloží soudní povolení a dá na optiku sledovací krabičku. Za týden si ji odnese pro zpracování důkazů. S tímto nemám moc problém. Ale trvalé sledování všech dané jako povinnost pro ISP? Znamená to snad, že jsme všichni důvodně podezřelí?

[Jendа]

Resp. v Německu se z toho vykroutit za 100 schwindlingů, že.

[Jendа]

Hele, Google nedokáže odpovědět, co je to Schwindling. Pak vězte, že je to měna z jedné staré propagandistické dětské knížky .

[Jendа]

Jediný výskyt vede na ábíčko .

[Bubak]

Nahodou, Neznalek na Mesici me tehdy bavil

[Mrkva]

+1 :)

[Mrkva]

Ach jo, to je zase zákon. Naštěstí, v Německu nežijeme, ale ono je možné, že podobnou kravinu zavedou brzo i u nás :(

[Heron]

Ano, protoze v praxi samozrejme vsechny aplikace vsechno sifruji a vsichni maji vsechno minimalne tunelovane openvpn, spise vsak rovnou ipsec. Haha.

O všech rozhodně nebyla řeč. Ty jsi reagoval na Marka poznámkou, že mu může kdokoliv číst komunikaci, protože nemá zabezpečenou wifi. Tato implikace ale neplatí a těch podmínek, aby toto šlo provést, musí být splněno více. btw u Marka to předpokládám tak nějak automaticky, já šifruji jakýkoliv důležitý přenos (tento blábol samozřejmě ne, ačkoliv i to by šlo) a na nezabezpečené wifi obzvlášť (pokud se na ni vůbec připojím, mě to nějak nemá rádo).

Psal o *sve* wifi, a v takovem pripade jiste nejaka identifikace existuje. At uz primo pres RIPE databazi, nebo pres databazi providera a jeho abuse kontakt... A je to proste opruz neco takoveho resit. Ackoli neverim, ze zrovna Marek neco takoveho doma ma a predpokladam, ze jeho reakce byla v nadsazce, stejne jako ta moje.

Má, proč by neměl? Nemít odpor k wifi, tak bych to měl také. Na k tomuto účelu připravený kabel se mnoho lidí ještě nepřipojilo.

[JirkaH]

napadlo me jedine slovo... hnidopich

[Andrej]

u [nv]as je nejaky zakon zakazujuci filantropiu formou volneho pripojenia na inet?

[Filip Jirsák]

Samozřejmě, že to může udělat každý. Na straně Googlu je problém v tom, že to sbírali omylem, a teoreticky tak mohli ta data někomu zpřístupnit, aniž by se musel se sbíráním obtěžovat. Navíc v tom blogu také píšou, že teprve nedávno zavedli (asi povinné) HTTPS pro GMail a vyhledávání přes HTTPS teprve spustí. Nebo-li Google je zároveň na druhé straě barikády, protože provozuje služby, které se takhle dají snadno odposlouchávat. No a mimo jiné tenhle případ ukazuje, že odposlouchávání WiFi není jen teoretická záležitost nebo že nemusí jít o záměrný útok, ale že je to prostě tak snadné, že můžete spoustu přístupových údajů získat i pouhým omylem.

[fissie]

Nechapu, kdyz si do auta dam wifi antenu a projedu se, tak to nesbiram omylem, ale umyslne, a presto o me nikdo psat nebude.

HTTPS je sice fajn, ze ho GMail ma, ale priznejme si, obecne na netu je jen malo nebankovnich sluzeb, ktery by skutecne HTTPS pouzivaly a tudiz se na HTTPS ve spouste pripadu spolehnout nejde. Jo, je to spatne, ale to je beh na dlouhou trat a bohuzel to jde jen dost pomalu. Na wifi je proste zakladem linkova bezpecnost, aby se vubec o nejaky bezpecnosti dalo mluvit. Bez WPA to dneska fakt nejde.

A ze odposlouchavani wifi neni teoreticka zalezitost se vi tak zhruba... 10 let? A utoky omylem skutecne nejsou to, ceho by se nekdo mel bat, naopak jsou to ty zamerne, ktere predstavuji problem.

[stativ]

Navíc v tom blogu také píšou, že teprve nedávno zavedli (asi povinné) HTTPS pro GMail a vyhledávání přes HTTPS teprve spustí. Nebo-li Google je zároveň na druhé straě barikády, protože provozuje služby, které se takhle dají snadno odposlouchávat.

HTTPS bylo u GMailu pro přihlašování IIRC už od začátku ale pro následující browsování maily se muselo explicitně zapnout v nastavení (což každý člověk se zdravou dávkou paranoie udělal).

[chrono]

Fakt mi unika, proc se z toho zase dela takova afera, ze se to dokonce dostane do medii a natoz pak do zpravicek na abicku.

Napr. preto, lebo v niektorých krajinách je to nelegálne (aj keď je to vysielanie nešifrované).

[vlastikroot]

Od čeho tu ale máme SSL ... když někdo posílá data nešifrovaně po nezabezpečeném kanálu, tak je prostě buď debil, nebo mu to musí být jedno.

[void]

Já tomu nerozumím, ale tohle může dělat snad každý, nebo ne?

[otasomil]

Na wifi hotspot se snad muze (aspon pokusit) pripojit kazdy.

Google maximalne posbiral jmena siti. Nekoho pak muze s**t ze je se svou siti na mapach.

Nic vic.

[Jendа]

Nekoho pak muze s**t ze je se svou siti na mapach.

Existuje spousta komunitních map a vypadá to, že to nikomu nevadí.

[Grunt]

Přesně. Auto či jiný dopravní prostředek vlastní velká spousta lidí. To je jako zakázat listy vlastnictví, protože v náhledu do katastru si může někdo udělat aplikaci, která v mřížce projede ČR a vytvoří si databázi jméno -> bydliště (a nebo spíš zakázat náhled do katastru).

[Grunt]

Též nechápu absolutně o co jde.

ifconfig wlan0 down
iwconfig wlan0 mode monitor
ifconfig wlan0 up

a Wireshark používám téměř furt. A ano, osobní data (včetně hesel) sleduju téměř pořád. Neměl bych být ubičován k smrti na náměstí a nebo bych měl žádat o něco úřad pro zveřejnění osobních údajů? Debil je ten, kdo nepoužívá aspoň WPA (lépe však WPA2) a sám tyto informace ochotně zveřejňuje do éteru.

[default]

A ano, osobní data (včetně hesel) sleduju téměř pořád. Neměl bych být ubičován k smrti na náměstí

Na náměstí bys měl být ubičován k smrti až tehdy, kdybys ta data nějak zneužil nebo ti je někdo ukradnul a ten je zneužil. Co jsem tak pochopil, Google se těch dat chce nějakým transparentním způsobem zbavit, aby nemohl být později obviněn, že to byl on, kdo porušil něčí soukromí…

[Grunt]

IMHO má na to Google plné právo, když si je poctivě nakradl. Debil je ten kdo posílá data, které nechce aby někdo viděl, nešifrovaně. A až se stane, tak se může vztekat jak chce.

[default]

No, já si to nemyslím, ale budiž.

[Grunt]

A na tom snad nějak záleží? Důležité je co si myslím já, ne?

[default]

Důležité je co si myslím já, ne?

O tom si tady snad někdo dovolí pochybovat? :-O

[Grunt]

[qw11]

Tu ani tak nejde o nezasifrovane wifi ale o to ze google zbieral SSID a MAC wifi sieti ktore teraz dokaze identifikovat a presne lokalizovat. Cize svoje terajsie data ktore zbiera inym sposobom dokaze presnejsie spojit s adresou a skupinou ludi. Pritom si mozes davat na nete pozor aky chces a nemusis zadavat skutocne udaje vo formularoch.

[Mrkva]

Tu ani tak nejde o nezasifrovane wifi ale o to ze google zbieral SSID a MAC wifi sieti ktore teraz dokaze identifikovat a presne lokalizovat.

To můžu udělat taky. A zrovna SSID a MAC jsou veřejně dostupné údaje z principu technologie.

[Jendа]

Pritom si mozes davat na nete pozor aky chces a nemusis zadavat skutocne udaje vo formularoch.

To jsem nějak nepobral. Web, který si prohlížíš, přece nevidí SSID tvé WiFi sítě , pokud mu to explicitně nedovolíš

[Grunt]

On to jméno nevidí ani pokud mu to explicitně povolíš. Leda by si jim to SSID poslal v e-mailu. S MAC adresou je to obdobné.

[Jendа]

Myslel jsem providera geolokace, původně v tom komentáři bylo místo „web“ „Google“.

[Grunt]

Myslel jsem providera geolokace

Co to?

[Jendа]

Běž na maps.google.com a klikni na tlačítko Zobrazit moji polohu. Pokud to tvůj prohlížeč umí, tak se zeptá a pak odešle SSID WiFi sítí v dosahu a Google mu vrátí souřadnice.

[default]

Běž na maps.google.com a klikni na tlačítko Zobrazit moji polohu.

Kde to najdu? Já to nějak nemůžu najít… Předpokládám odkaz ve stylu "Show My Location" nebo tak nějak…

[Grunt]

Přidávám se. Též jsem ještě nic takového nikdy neviděl.

[Jendа]

Příloha:

• poloha.png (220634 bytů)

Umí to Firefox a Chrome (a možná ještě něco). Každopádně se mi nepodařilo Firefox přemluvit, aby poslal ty WiFi sítě (tj. lokace byla jenom podle IP adresy „někde v Praze“). Možná to jde jenom na Windows.

[Grunt]

Tady si můžeš přečíst co k tomu potřebuješ. V mém případě je jakékoliv určení polohy neúspěšné. Jde o standard. Zas nějaká novinka ve stylu HTML5. Parkrát jsem o tom zaslechl, ale nevěnoval tomu větší pozornost v čemž také jen tak mimochodem míním pokračovat, protože je mi to docela volné.

[Grunt]

Příloha:

• geolocation.png (379856 bytů)

Ale kur… už. Jinak jsem zrovna pracoval ve Widlích a operační použitý systém na to nemá vliv.

[default]

Hele, já na to nemam. Já prostě nevim, na co kliknout. Navíc ty vaše screenshoty jsou v češtině, takže tomu rozumim jak koza petrželi. :-/ Zkusim to zejtra. Beztak musim jít spát, abych zejtra byl čerstvej na další sra… A to je jedno.

[Grunt]

Příloha:

• poloha.png (55619 bytů)

To kolečko mezi pajďulákem a navigačním kurzorem.

Navíc ty vaše screenshoty jsou v češtině, takže tomu rozumim jak koza petrželi.

A ty si co? Róm?

[default]

To kolečko mezi pajďulákem a navigačním kurzorem.

Aha. Tak to tam nemám.

A ty si co? Róm?

Ne. Bílej jak stěna.

Problém je v tom, že používám výhradně software, který na mě mluví anglicky. Takže cizojazyčnou terminologii neznám. Včetně té české. U normálních programů jde zpravidla lokalizace zvolit, ale občas narazím na problém. Třeba u toho Googlu. Občas si totiž vymaže cookie a spustí na mě v nějaký nesrozumitelný hatmatilce. Já pak vyhodím UnsupportedLanguageException a celej den jsem pak podebranej jako pata.

[default]

Aha. Tak to tam nemám.

OKi. Ve Firefoxu to mám. Asi by to chtělo při těch updatech číst Release Notes. Otázka je, zda-li to je nativní feature of Firefox nebo to přišlo nějakým bočním (k)análem.

[qiRzT]

Je to sice závislý na chybě v jakémsi routeru, ale je to zajímavý: http://samy.pl/mapxss/

[Grunt]

Cize svoje terajsie data ktore zbiera inym sposobom dokaze presnejsie spojit s adresou a skupinou ludi.

A to zas by mě zajímalo jak. A nebo co sbírá Google o čem ještě nevím?

[qw11]

Mozes mat unich mail, pozna co vyhladavas ... A ked som videl co dokaze geolokacna sluzba zacinam chapat tu presnost.

[Jendа]

Ale geolokaci musíš explicitně povolit.

(a že někdo vystavuje Googlu nešifrované soukromé maily je jeho problém, FireGPG dokonce už podporuje přímo gmail)

[Grunt]

Jak? MAC adresa končí na prvním routeru a SSID končí na prvním wireless čipu. A i kdyby si zaznamenával IP adresu, tak by mu to vzhledem k tomu, že 90% internetu je schovaného za nějakou maškarádou.

[qw11]

Ja neviem, ja nevyvijam moderne technologie. :) A co pozerat na SSID a MAC zo strany prehliadaca. Dajako to fungovat musi ked ta dokazu lokalizovat. (po povoleni?)

[Grunt]

Ne, takto jak si to představuješ to nejde. Ano, šlo by sledovat MAC adresu pomocí nějakého programu co si Google udělal, ale jedna by to moc k ničemu nebylo, protože MAC adresy se obměňují rychleji než politici u nás ve vládě a jednak by to byl regulární rootkit. SSID a BSSID je také ve většině případu v režii APčka či jiného transparentního zařízení se kterým nepřijde počítač do styku.

Dajako to fungovat musi ked ta dokazu lokalizovat

Google dovede někoho lokalizovat? Leda pomocí seznamu okolních SSID a BSSID je možné lokalizovat sebe, ale že by uměl někoho Google lokalizovat, tak o tom nic nevím. To by bylo nutné informaci o pozici Googlu nějakým způsobem odeslat. Ale to můžu udělat i tak, když vím kde se nacházím.

[qw11]

Neviem ci geolokacia patri google ale o presnosti som pisal tu http://forum.ubuntu.cz/index.php/topic,43896.0.html a odkaz som uz daval aj tu na niektorom blogu.

[Filip Jirsák]

Ve stolních počítačích se používá lokace podle IP adresy (přesnost nic moc), v mobilních podle GPS (pokud je k dispozici) nebo právě podle mapy sítí (GSM, WiFi). Cílové stránce se určitě nepředávají informace o WiFi sítích atd., ale jen lokace, ale nevím, zda ta lokace dle sítí se dělá off-line (tj. zda např. Android má v sobě tu mapu sítí zabudovanou – doufám, že bez těch hesel), nebo on-line (tj. mobil pošle geolokačnímu serveru info „vidím tu a tu a tu síť, síly signálu jsou takové a takové“ a server mu odpoví „tak to si asi tady“, následně tu informaci o místě předá systém prohlížeči a ten ji pošle webovému serveru). Logičtejší by mi připadala off-line varianta (a ohledně on-line varianty by asi byl velký poprask, takže by se o ní předpokládám běžně vědělo), ale zase mám pocit, že ta mapa musí být docela velká a nezdá se mi, že by jí každý mobil měl jen tak někde v sobě uloženou. Docela by mne zajímalo, jak to tedy je.

[Filip Jirsák]

Ještě doplním, že (aspoň jak jsem jako uživatel pochopil nastavení Androida) základní geolokace (při vypnutém GPS) se dělá podle vysílačů GSM, podle WiFi se pak případně dělá upřesnění.

[default]

Ve stolních počítačích se používá lokace podle IP adresy

Trochu mimo téma, ale nedá mi to.

To mi občas vadí. Některý e-shopy kontrolují původ platební karty oproti lokaci IP adresy, takže mi česká karta za čárou nefunguje. Workaroundy jsou:

1. Použít kartu vydanou v té konkrétní zemi.
2. Připojit se přes mobilní telefon a mít tak českou IP adresu.

[Jendа]

3. Mít v ČR VPN.

[default]

To je pravda. Otázka je, co vyjde levněji. Zda VPN v Čechách, nebo trocha dat v roamingu.

[Grunt]

Ve stolních počítačích se používá lokace podle IP adresy (přesnost nic moc)

To je s přesností na lokaci providera z WHOIS záznamu. Reklamy z AdultFinderu a podobné cipoviny asi nemusím připomínat. Bohužel to nijak z principu nejde zakázat a je potřeba si na to zvyknout. Jde proti tomu využít proxynu. Ovšem není to nic průlomového co by využil Google a nebo k čemu by mu dopomohl průzkum terénu. Provádět to může téměř kdokoliv kdo ví co je to IP adresa a pokud mu někdo nějakou zasílá. Též provozuji téměř běžně.

nebo právě podle mapy sítí (GSM, WiFi). Cílové stránce se určitě nepředávají informace o WiFi sítích atd., ale jen lokace, ale nevím, zda ta lokace dle sítí se dělá off-line (tj. zda např. Android má v sobě tu mapu sítí zabudovanou – doufám, že bez těch hesel), nebo on-line (tj. mobil pošle geolokačnímu serveru info „vidím tu a tu a tu síť, síly signálu jsou takové a takové“ a server mu odpoví „tak to si asi tady“, následně tu informaci o místě předá systém prohlížeči a ten ji pošle webovému serveru). Logičtejší by mi připadala off-line varianta (a ohledně on-line varianty by asi byl velký poprask, takže by se o ní předpokládám běžně vědělo), ale zase mám pocit, že ta mapa musí být docela velká a nezdá se mi, že by jí každý mobil měl jen tak někde v sobě uloženou. Docela by mne zajímalo, jak to tedy je.

Dobře, budiž. To je jediná možnost. Ale jak bylo řečeno, seznam SSID není nutné odesílat, a triangulaci lze téže provádět přímo v koncovém zařízení. Rozhodně se to neodesílá v jakémkoliv požadavku Googlu, ale je nutné mu takové explicitně zaslat. Je to stejné jako získat svoji polohu z GSM satelitů a pak jim ji odeslat.

[Filip Jirsák]

Dobře, budiž. To je jediná možnost. Ale jak bylo řečeno, seznam SSID není nutné odesílat, a triangulaci lze téže provádět přímo v koncovém zařízení. Rozhodně se to neodesílá v jakémkoliv požadavku Googlu, ale je nutné mu takové explicitně zaslat. Je to stejné jako získat svoji polohu z GSM satelitů a pak jim ji odeslat.

Není to nutné, a jak jsem psal, nevím, zda se to děje – pro hovoří jenom předpokládaná velikost mapy (a nutnost aktualizací), ale taky je možné, že si mobil stáhne vždy jen mapu oblasti, kde se zrovna pohybuju (to mi připadá nejpravděpodobnější).

Navíc se tady míchají dohromady dvě věci – jedna je, jak telefon zjistí svou polohu. Tady vystupuje Google v roli dodavatele Androidu, ostatní systémy to musí řešit po svém. Tedy telefon tímto způsobem zjistí svou polohu. Na pokyn uživatele si může internetový prohlížeč tuto polohu vyžádat ze systému a pošle ji spolu s webovým požadavkem webovému serveru – což může být opět Google např. s mapami.

[Grunt]

Navíc se tady míchají dohromady dvě věci – jedna je, jak telefon zjistí svou polohu. Tady vystupuje Google v roli dodavatele Androidu, ostatní systémy to musí řešit po svém. Tedy telefon tímto způsobem zjistí svou polohu. Na pokyn uživatele si může internetový prohlížeč tuto polohu vyžádat ze systému a pošle ji spolu s webovým požadavkem webovému serveru – což může být opět Google např. s mapami.

No dobře, ale o tom musí uživatel vědět, že ji odesílá. Nikdo přece nikoho nenutí odesílat naměřenou sílu signálu v dBm z nachytaných sítí Googlu. A pokud ano, tak je to buď debil a nebo jde ze strany Googlu o rootkit. Není náhodou Google Android OSS?

[Grunt]

Tak jsem se mrknul na přednášku Martin Hassmana a skutečně tomu tak je. Nejen, že databáze Googlu je uzavřená, ale ještě ke všemu se mu odesílají SSID, MAC, a síla signálu nalezených sítí, triangulace se provádí na straně Googlu a on vrací výsledné souřadnice. Vše samozřejmě nad HTTP, takže s mojí IP adresou, cookies a obdobnými technologiemi, které máme tak rádi. Jak funguje Google Latitude se raději ani neptám.

[Mrkva]

Jak funguje Google Latitude se raději ani neptám.

No, tipnul bych si, že to bude kombinace všeho - pokud má mobil GPS tak GPS. Pokud má wifi, tak na základě wifi sítí. A pokud má signál, tak na základě ID BTSky. No, ale používat to nebudu.

[Grunt]

Takto to už požívá přímo to Googlí API v jakékoliv své aplikaci (vč. Maps). Google Latitude jak se dívám zaznamenává pravidelně informace o vaší pozici a tu pak sdílí vašim kamarádům. Ovšem se s tím děje v Googlu ví bůh. A co všechno to zaznamenává a dovede/nedovede se raději ani neptám. Až mi z toho běhá mráz po zádech. Já bych si to na svém zařízení nikdy nespustil.

[Grunt]

A ještě Foursquare. No tý krávo. Ty lidi, to jsou fakt magoři (a Hassman je jejich generál).

[Filip Jirsák]

Nicméně to vše se stále děje na váš pokyn. Cookies by se tam odesílat neměly – do těch operačnímu systému nic není.

[Grunt]

Jak už Martin Hassman říkal, není nejmenší problém si udělat do Firefoxu plugin, který to bude obcházet. Navíc ví bůh jak je to u všelijakých Androidů. No na druhou stranu má pravdu v tom, že když umožňuje plugin spustit libovolný binární kód, tak na tom vlastně stejně moc nezáleží a daly by se s tím dělat i horší věci než jen Geolokace.

[Grunt]

Cookies by se tam odesílat neměly – do těch operačnímu systému nic není.

GET /csi?v=3&s=mfe&action=myLocation-select&rt=mlwp0.5,mlwp1e.12399,mlwp2.12403 HTTP/1.1
Host: gg.google.cz
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; cs-CZ; rv:1.9.1.9) Gecko/20100330 Fedora/3.5.9-2.fc12 Firefox/3.5.9
Accept: image/png,image/*;q=0.8,*/*;q=0.5
Accept-Language: cs,en-us;q=0.7,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-2,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Referer: http://maps.google.cz/
Cookie: NID=34=rNC3k7p0-AfzRrxzpbySyRdZI3R4Csz4dljJJqaY9gJmX1OpVGOuIav2mZY0yfUMo00bbOU-i1Bq_69Ab7lfdcbrksVB3h0ypx_VThOpy_hlGgtAEuFIb2r6DQoY2H1b; PREF=ID=1e2da3e54cad1a45:U=06924615836d08b8:TM=1269542943:LM=1269542947:S=8zakUsNo1Z6q3Gu1; S=photos_html=XGwiZ1g-VThm62txdbrXrw

Samotný požadavek z Firefoxu s největší pravděpodobností putuje skrze SSL, takže ví bůh co se potom ještě odesílá v něm.

[Filip Jirsák]

Firefox ale není systémová komponenta Androidu, takže nejspíš testujete nějaký plugin ve Firefoxu. A ten se může chovat všelijak.

[Grunt]

To jsem nějak nepochopil. Toto odesílá nějaký JavaScript v Google Maps. Co s tím má společného Firefox? A jinak úplně stejným způsobem funguje Chromium a Chrome, což už jsou systémové komponenty Androidu, ne? Teda aspoň co je mi známo.

[Grunt]

Příloha:

• geolokace.png (14382 bytů)

Chromium a Chrome

No a vida ho. V něm to dokonce i funguje.

[Filip Jirsák]

JavaScript v Google Maps je JavaScript běžící v prohlížeči, ve vašem případě ve Firefoxu. A JavaScript v prohlížeči si bez nějakých dalších komponent určitě neproskenuje okolní WiFi sítě.

Chromium ani Chrome na Androidu vůbec nejsou, je tam pouze prohlížeč postavený na stejném jádru, WebKitu. Ale ani ten není součástí jádra Androidu.

Mícháte dohromady dvě různé věci, na nutnost jejich rozlišování jsem právě upozorňoval. Jedna věc jsou geolokační údaje, které může internetový prohlížeč posílat serveru, pokud o ně server požádá a uživatel to schválí. Příslušný standard už se myslím i projednává ve W3C. Tuhle věc může použít každý webový server, třeba provozovatel sítě restaurací vám podle toho nabídne nejbližší restauraci. Záleží to ale na tom, zda prohlížeč takové údaje umí poskytnout, a zda mu to uživatel dovolí. V tomto okamžiku se nijak neřeší, kde prohlížeč ty údaje vezme – třeba uživatel zadá v konfiguraci prohlížeče GPS souřadnice, kde se jeho počítač nachází.

Druhá věc je, že některá zařízení mohou být schopna určit svou polohu – typicky se to týká chytrých telefonů. Například systém Android pro to má podporu, a mimo GPS umí polohu určit i triangulací podle mapy GSM a/nebo WiFi sítí. Pro Android tohle určení polohy dělá služba provozovaná Googlem. Určení polohy je funkce systému, kterou mohou použít na Androidu různé aplikace – třeba správce profilů může telefon přepnout na tichý režim, pokud podle polohy zjistí, že jste doma. Jednou z aplikací, která takto získanou informaci o poloze může použít, je internetový prohlížeč – který ji použije způsobem popsaným v předchozím odstavci (místo ručního zadání souřadnic ale souřadnice určí systém s pomocí služeb Google).

Zřejmě vás mate to, že v Androidu je komponenta vytvořená Googlem, která s pomocí on-line služeb Googlu umí určit polohu mobilu a poskytnout ji ostatním částem systému. Pak je v mobilu internetový prohlížeč, také shodou okolností od Googlu, který může tyto informace využít a předat je webovému serveru – a tím mohou být shodou okolností třeba mapy Googlu. Ale web serverem klidně mohou být mapy Seznamu, prohlížeč může být Fennec od Mozilly, a tu systémovou komponentu pro určování polohy mobilu by zřejmě také bylo možné vyměnit.

[Grunt]

Počkat. O čem to je vůbec řeč? Tak nějak mi přijde, že se každý bavíme úplně o něčem jiném.

[Filip Jirsák]

Původně byla řeč o tom, jak mobil dokáže zjistit svou polohu (třetí odstavec v mém předchozím komentáři). K tomu pak přibylo to, k čemu může znalost této polohy software v mobilu využít (druhý odstavec mého komentáře) – protože se to s tím prvním často plete.

[Jendа]

To je s přesností na lokaci providera z WHOIS záznamu. Reklamy z AdultFinderu a podobné cipoviny asi nemusím připomínat. Bohužel to nijak z principu nejde zakázat a je potřeba si na to zvyknout. Jde proti tomu využít proxynu.

A jak to dělá Maxmind s GeoIP? Tam je to nějak podrobněji, ne?

[Grunt]

Nevím co to je, ale podle Googlu:

Geolocation determines the country, region, city and ISP of your Internet visitors.

takže těžko říct, jestli ISP body nějak upřesňuje do WHOIS databáze a nebo to používá nějaké Geolokační API. Musel bych to vidět.

[Jendа]

Martin Hassmann měl docela zajímavou přednášku.

[Filip Jirsák]

V tom ale problém není, protože to Google dělal záměrně (a není jediný, kdo tohle dělá). Problém je právě v tom, že přitom omylem nesbíraly i jiná data.

[Rivon]

Proč se vlastně dal Google na Wardriving? :)

[Jendа]

Geolokace.

[danaketh]

Za nešifrovanou síť by se měly sekat ruce. A těm co jí provozují/používají by měla automaticky propadat možnost si stěžovat v případě zcizení dat. To je jako zaparkovat auto v Chánově a nechat v něm klíčky a otevřené dveře.

[Jendа]

A co restaurace, hotely? Jinak souhlasím, v případě použití cizí sítě (restaurace, hotel…) natáhnout domů šifrovanou VPN.

[asdf]

ty jsi dobrej asocial, takze misto abychom zili ve slusne spolecnosti a zbavili se ksindlu co dela bordel, tak se zamkneme v atomovym bunkru abychom nam kdokoliv nemohl cokoliv udelat ne?

[dfgdg]

Neco jako slusna spolecnost neexistuje, jestli tomu neveris, prestan si zamykat a jinak chranit svuj majetek (byt, auto, chatu, etc.) a uvidis. Tudiz je potreba se s tim nejakym zpusobem vyrovnat. Atomovy bunkr je prozatim prilis silne reseni, ale slabsi ochrana je nutna.

[Milan Vít]

Možná, že až bude k dispozici připojení zdarma, disponující takovou rychlostí, že jej sám nedokáži využít, otevřu svou WiFi síť širokému okolí. Do té doby mě ani nehne.

[kralyk z abclinuxu]

Omylem? Jasně

Jinak ale souhlasím s ostatními, že když si někdo nezašifruje síť a/nebo odesílaná data, nemůže se pak divit