Proteggere la Privacy e i dati personali: analisi e studio del concetto di profilazione online

Attacchi Alcuni degli attacchi relativi ai cookie sono:
Packet Sniffing viene intercettato il traffico e letto il cookie; settando il flag secure e utilizzando una connessione HTTPS si ovvia al problema.
Cookie Poisoning modificando il campo dello header l’attaccante riesce a cambiare (o cancellare) i valori dei cookie.
Script si inserisce un cookie all’interno di uno script che viene eseguito senza che l’utente ne sia consapevole. Utilizzando il flag HTTPOnly si garantisce che il cookie venga spedito e che non sia accessibile tramite script.
Cookie Grabbing ruba i cookie ad un utente loggato all’interno di un portale e li imposta nel proprio browser così darisultare loggato con l’username dell’utente senza conoscerne la password (solo se l’utente si logga con la pagina modificata dall’attaccante). Consiste nell’unione di XSS, JS e PHP ed è diffusa nel mondo dei forum che consentono l’invio di codice HTML all’interno di messaggi privati. Per proteggersi l’aiuto deve arrivare dall’alto e ciò dai WebMaster che dovrebbero filtrare i dati che provengono dall’esterno oppure da un’attenzione dell’utente che non dovrebbe aprire contenuti che hanno provenienza ignota.

Contromisure Le contromisure attuabili possono essere di due tipi: bloccaggio o anonimato.
• bloccaggio: l’utente setta il browser in modo tale da essere più protetto utilizzando volontariamente opt-out che è un particolare cookie che blocca tutti i cookie eccetto se stesso, utilizzando plugin (ad esempio AdBlock blocca soprattutto i cookie di terze parti), oppure eliminando la cronologia (spesso controproducente per i cookie di comodo che servono all’utente per ricordare ciò che solitamente dimentica facilmente).

• anonimato: l’utente per la Rete non esiste perchè è in modalità private browsing (in incognito) e (secondo lui) invisibile. Oppure si utilizzano appositi plug-in (vedremo nel terzo capitolo la policy di Pokemon Go che non accetta l’esistenza di DoNotTrack e se lo rileva all’interno di un dispositivo, lo annulla).
Un utente può tutelarsi grazie al plugin Ghostery che garantisce libertà all’utente che può vivere più tranquillamente la sua Internet Experience. I dati che in genere vengono utilizzati dai grandi Data Broker e dai Service Provider più noti, possono non essere rilasciati perchè il plugin sopra citato blocca gli elementi Web progettati per ottenere tali informazioni. In particolare, blocca: tag, Web bug, script, pubblicità.
La Figura 8 che rappresenta il funzionamento di Ghostery come plugin su Firefox:

Un altro plugin che ha riscosso molto successo negli anni scorsi è Privacy Fix, una estensione intuitiva per la gestione della Privacy Online. La scelta e la classificazione di siti Internet era una funzionalità dedicata completamente alla libertà dell’utente che poteva scoprire anche se in quel momento era tracciato oppure no oppure quanto Google o Facebook stavano guadagnando grazie ai suoi dati:

Privacy Fix è presente anche all’interno della suite del noto antivirus AVG e permette di connettere all’app AVG PrivacyFix gli account delle app disponibili sul dispositivo mobile dell’utente.Questa app è disponibile solo per chi già la possiede in quanto AVG l’ha ritirata dal mercato, a maggio 2016, solo dopo due anni dal lancio (Nel 2016 lo scandalo AVG ha fatto emergere dettagli sconcertanti riguardo la vendita dei dati degli utenti free, ovvero la maggioranza degli utenti di PrivacyFix).
In Figura 10 un esempio della applicazione AVG in esecuzione durante il controllo di un profilo Facebook:

Una lista aggiornata di un gran numero di plugin per i browser più diffusi per la gestione dei vari meccanismi per la profilazione online è disponibile sul sito Am I unique? e in Figura 11 ne è riportata un’estrazione:

Google Analytics Beacon (GA -Beacon) Il gestore di un sito (oppure utenti di portali come GitHub o addetti all’invio di newsletter), che è particolarmente attento al suo bacino di utenza, vuole tener traccia del comportamento dei suoi utenti e per farlo deve ricorrere ai tracker. Come già spiegato, i cookie sono molto diffusi (e molto regolamentati); è per questo che molti gestori ricorrono all’utilizzo dei Web Beacon che si presentano in maniera raffinata sotto forma di Google Analytics Beacon. Quindi, non rappresentano nè un attacco, nè una contromisura ma possono essere interpretati sia come metodo di profilazione (con accezione negativa) che come difesa da eventuali attaccanti che potrebbero insidiarsi nel bacino di utenza.
Attraverso il proprio profilo Analytics by Google si inseriscono i vari settaggi e si aggiunge anche il vero Web Beacon:
Inserendo il codice all’interno del sito Internet si può tener traccia di molti parametri:
Il traffico è visualizzabile anche all’interno di GitHub con layout differente ma con stesse funzionalità.