Microsoft: "Passport kan de privacy zelfs vergroten"

ZDNet heeft een interessant artikel geschreven over een discussie tijdens de Computers Freedom & Privacy Conference waarin makers van grote informatienetwerken zoals Microsoft tegenover privacyadvocaten stonden. Jaston Catlett, voorzitter van een privacyadvocaten groep, waarschuwde voor de controle die bijvoorbeeld de overheid kan uitvoeren over netwerken zoals die van Microsofts Passport service. Volgens hem zou dit in de toekomst met betrekking op de gebeurtenissen van elf september alleen maar erger worden.

Microsofts vice-president van het .Net Core Service Platform, Brian Arbogast, zette de contra-attaque in door te stellen dat door middel van informatietechnologie de privacy van gebruikers juist toe kan nemen. Dit doordat iedereen zelf kan bepalen hoeveel informatie men wil vrijgeven in ruil voor service. Volgens Arbogast zal Microsoft er alles aan doen om veilige diensten neer te kunnen zetten:

Arbogast countered jabs from the audience about Microsoft's insecure products. "We're going to do everything we can to make (our products) secure," he said. However, he conceded that "you're never going to have me or other people say you can guarantee security, because you can't."

Audience members also wanted to know what Microsoft would do with its databases if law enforcement officials were to ask for the data, requests that are increasing in a post-Sept. 11 era. Arbogast warned that consumers should be careful before they reveal personal information because "any data that's held by any corporation is subject to subpoena."

Reacties (55)

Dit doordat iedereen zelf kan bepalen hoeveel informatie men wil vrijgeven in ruil voor service.

Je kunt inderdaad kiezen ja, maar als je gebruik wilt maken van hun service moet je wel allerlei persoonlijke gegevens invullen Zo iets achterlijks heb ik nog nooit gehoord. Alsof je dat niet zou kunnen zonder MS Passport!

Waarom is bijvoorbeeld MS Hotmail mijn adresgegevens nodig? Absoluut nergens voor! Als ik mijn Hotmail account misbruik kunnen ze hem verwijderen, en verder kunnen ze (via de gerechterlijke weg) alles achterhalen aan de hand van mijn IP adres. Het is helemaal niet nodig om al de gegevens online bij MS op te slaan.

* 786562 Mecallie

maar als je gebruik wilt maken van hun service moet je wel allerlei persoonlijke gegevens invullen

Ik weet niet wat de meeste mensen doen, maar ik vul vrijwel *nooit* geldige of ware informatie in bij zo'n on-line service als MSN of Passport.

Alleen een leeftijd en email adres mogen ze weten, en voor de rest ben ik Pietje Puk uit Verweggiestan dat vuilnisman van beroep is.
Heb ik toch een gevoel van privacy, ook al zie ik net weer dat me email adres door Microsoft aan talloze bedrijven is doorverkocht...

Maar met die valse informatie krijg ik in ieder geval nooit zinvolle SPAM in me mailbox.

Microsoft verkoopt je e-mailadres niet zonder toestemming. Als jij bij je Passport profile hebt aangegeven dat je geïnteresseerd bent in bloemschikken, kijk dan ook niet raar op als je vervolgens spam krijgt van flowers.com.
En ga ook eens na of je e-mailadres niet ergens op een of andere site staat, want de crawlers die op e-mailadressen jagen weten tegenwoordig je e-mailadres al binnen 8 uur te vinden, zelfs als je e-mailadres op een erg verscholen plek staat.
Zoals al terecht werd opgemerkt door unipuma, Microsoft heeft er geen enkel belang bij om jouw e-mailadres te verkopen als je dat niet zelf wilt.

Microsoft verkoopt je e-mailadres niet zonder toestemming.

Oh, effe vergeten toe te voegen aan mijn verhaal: ik geef nooit toestemming voor SPAM, en toch stonden er checkboxjes voor SPAM aangevinkt. Misschien heb ik zomaar iets vergeten uit te vinden?

Mijn 2e tip: controleer elke zoveel weken even of er niet stiekum checkboxjes bij je voorwaarden zijn bijgemaakt dat jou automatisch weer kan laten doorverkopen.

Yahoo! heeft dit al eens geflikt, en MSN doet het blijkbaar nu ook?

Ik had laatst een Hotmail account aangemaakt, aangegeven dat ik _nergens_ in geinteresseerd was, het adres nergens gebruikt en toch stonden er binnen een week tientallen spammails in de box. En Microsoft maar volhouden dat ze die adressen niet verkopen? Ik geloof er niks van.

Ik begrijp de hele dikussie over privacy niet zo goed.
Ieder mens in het westen staat gemiddeld in 300 tot 500 systemen vermeld.
De systemen varieeren van overheids instellingen tot de buurtsuper waar je een kortingskaart hebt.
De 1 houd bij of je een paspoort hebt en of je wel bestaat.
De ander houd bij welke boodschappen je haalt en wanneer.
Er word zelfs bijgehouden wanneer je belt hoelang en met wie.
Dus privacy heb je al heel lang niet meer.

Dan houd je nog maar 1 discussie punt over en dat is spam verveelend maar al zo oud als de gedrukte media.
Kijk maar naar de reklame die steeds in je brievenbus valt.
Dus over spam in je mailbox kom je ook wel heen gewoon deleten.

Nu komt MS met een systeem om veel gegevens bij elkaar te zetten en dan valt iedereen er ineens over.
Persoonlijk vind ik dat nogal vaag.
Als je hier echt iets tegen hebt moet je ook zorgen dat je uit veel andere systemen gesloopt word.
En dat is erg moeilijk.

Voorbeeldje:

Dat bij een hack-attempt gegevens worden achterhaald waar in staat dat ik memory.com 5 chips besteld heb kan me weinig schelen.

Dat bij een hack bij MS mijn creditcardnummer, SOFI-gegevens, surfgedrag, koopgedrag, eBay-account, Hotmail-adres, prive-adres en nog het een en ander word blootgelegd kan me heel veel schelen!

Waarmee ik dus wil zeggen:
Wat blootgelegde data kan niet veel kwaad, maar als zo'n Passport echt veel belangrijke gegevens bevat (zoals MS dat graag wil) worden de risico's onverantwoord groot.
Zo zou een hacker met alle Passport-gegevens dus in no-time voor duizenden dollars met mijn creditcard kunnen spenderen, hij heeft dan ten slotte alle verificatie-gegevens!
Dat vind ik toch wel verontrustend...

Is waar, als bij een hack attempt deze memory.com 5 chips naar boven komen drijven is niet spannend.

Maar er zijn in het verleden diverse malen met succes credit card gegevens achterhaald en gepubliceerd of gebruikt.
Ik geloof niet dat de eigenaren echt blij waren.
Zover dus het achterhalen van creditcard gegevens.

Stel dat deze hack attempt plaats vond in het ziekenhuis bij je in de buurt en in een keer over straat ligt wat je allemaal mankeert.
Dit is ook al verschillende keren gebeurt.

Dan hebben we het nog niet gehad over de gemeentes waar je hele hebben en houden ook opgenoteerd staat in diverse systemen.

En over alle systemen die gekoppeld staan.
GAK met de gemeente en banken en arbeidsburo om te kijken of je niet froudeerd met uitkeringen.
Het doel is niet slecht maar de middelen die gebruikt worden vaak sneller als je denkt.

Dan gaan we nog over het verwijderen van gegevens.

Voor zover als ik weet kunnen ze bij de belastingdienst, gemeentelijke instellingen het GAK enz niet verwijderd worden.
Bij reclame buros en de ah enz wel maar het kost zeer veel moeite en je weet nooit echt of het ook gebeurt is.

volgens de nederlandse wetgeving mag je bij een bedrijf opvragen welke gegevens ze van je bewaren en mag je vragen ze je te verwijderen (wat ze dan ook verplicht zijn) Dat er dan andere consequenties aan hangen is weer punt 2, stel je wilt uit de kpn database, dat gaat nog al lastig als je nog rekeningen wilt ontvangen.

Het 'gevaar' van het passport systeem schuilt er in dat er 1 bedrijf is dat over een hele hoop gegevens kan beschikken die nu allemaal apart worden opgeslagen. En laat dat nou ook nog eens een bedrijf zijn wat niet schuw is voor monopolistische trekjes....

<off-toppic>
Als ik spam in mn brievenbus krijg, kan ik altijd nog een NEE NEE sticker op mn brievenbus plakken. Als dat niet helpt kan ik ook de PERSOON die het in mijn brievenbus dumpt hierop aanspreken.
Bij spam mail kan ik bij 2 van de 10 e-mails niet eens vinden hoe ik mij uit kan schrijven, 4 van de 10 waar dat wel te vinden is, sturen je vervolgens 10 X zoveel spam, en 3 van de 10 schijnen het zich allemaal niet aan te trekken. Wat inhoud dat uiteindelijk maar 1 uitschrijving effectief is geweest van de 10! Schandalig zou ik zo zeggen, niet?

Verder moet ik mij (helaas) volledig aansluiten bij wimmi die gepost had dat een net aangemaakt hotmail account, nog geen dag later overstroomd met spam e-mail, terwijl dit e-mail adres NERGENS en op geen enkele manier ergens is gebruikt! (Alle vinkjes staan ook uit)
Daar gaat je vertrouwen in microsoft.
</off-toppic>

<edit> ff de off-toppic sluiten

als er een redenatie is van alles bij een organisatie is veiliger, doe het dan bij een onafhankelijke instelling die gecontrolleerd wordt.

een vn organisatie die een internet paspoort aan bied en niet een commerciel bedrijf als microsoft.

het is wel zo dat zo'n organisatie veel macht heeft en een grote burocratie meebrengt, ik denk vergelijkbaar met icann

kiezen tussen 2 kwaden

Ben ik niet met je eens. Een commerciële organisatie heeft 1 hele belangrijke drijfveer om dit soort dingen zo veilig mogelijk te houden, namelijk: het kost ze geld als ze het niet goed doen. Een overheidsinstelling is nooit aansprakelijk te stellen voor wat voor blunders dan ook (in Nederland althans). Ook een individuele ambtenaar die blundert is extreem moeilijk om te vervolgen. Dus wat voor reden zal een ambtenaar of overheidsinstelling hebben om dit WEL naar behoren te doen.

Natuurlijk heb ik liever niet dat mijn gegevens ergens bekend zijn, maar als het dan toch moet, dan vele malen liever bij een commercieel bedrijf dan bij een "publieke" dienst.

/edit: leesteken-foutje

De belangrijke drijfveer van het bedrijf (geld verdienen = aandeelhouders tevreden houden) kan in dit geval ook het probleem veroorzaken.

Zodra het bedrijf meer kan verdienen aan het verkopen van privacy gegevens aan marketing bedrijven dan aan reclame banners tonen aan gebruikers die van hun 'gratis' services gebruiken, dit al snel een overweging zal worden.
Omdat een publieke instelling geen winst-oogmerk heeft, zal dat hier minder snel van toepassing zijn.

(Echter, gezien de omvang en omzet van MS is het niet waarschijnlijk dat zij privacy gegevens zullen gaan verkopen voor die 'extra buck' die het oplevert, tegenover alle negatieve publiciteit die ze daarmee zouden krijgen.)

Nog een ander punt. Op Slashdot stond laatst een artikel over aansprakelijkheid van software, en dat het gebrek hieraan in de huidige software tot gevolg heeft dat veel producten te vroeg (met bugs en security holes) worden gereleased, omdat het dan vast geld op levert. Dit is ook een gevaar van de commerciele sector tov de publieke.
(Het gat is ondertussen al lang gedicht, maar ook Passport had indertijd een security hole, waardoor prive gegevens konden worden afgetapt.)

Microsoft gaat vanaf versie 3.0 van Passport het beveiligingsmechanisme Kerberos gebruiken voor Passport. Op het moment dat ze dat systeem inzetten, zorgt Microsoft ervoor dat hun eigen medewerkers niet eens meer de gegevens kunnen lezen. Dan heeft Microsoft dus ook geen mogelijkheid meer om bij de gegevens te komen en beheert 'niemand' de gegevens, wat tot privacy leidt.

Microsoft heeft ook aangegeven dat volgende Windows versies Kerberos gaan ondersteunen en uiteindelijk moet een Passport zelfs je inlognaam voor Windows worden. Maar lees hier meer over in het 7/8 nummer van Computer!Totaal, want ik heb uit zeer betrouwbare bron vernomen dat hier een artikel over .NET instaat

Kerberos zit al vanaf windows 2000 ingebakken. Helaas heeft Microsoft besloten om kerberos een klein beetje aan te passen zodat het niet meer helemaal compatible is met de rest van de kerberos wereld..

Kijk, dat is nu net waar ik het niet mee eens ben. Je moet mensen tegen zichzelf beschermen. Ga je meer service bieden in ruil voor wat privé gegevens dan overzie je niet altijd de effecten hiervan.
Uit principe ben ik tegen het handelen of vrijgeven van informatie welke gebruikt kan worden voor direct mailing etc.
Ikzelf kan wel tegen uitlokkende aanbiedingen, maar er zijn veel mensen die dit niet of veel minder kunnen....
Één centrale lokatie van alle informatie is per definitie een te grote uitdaging voor hackers en commerciele bedrijven...

Brian Arbogast, zette de contra-attaque in door te stellen dat door middel van informatietechnologie de privacy van gebruikers juist toe kan nemen. Dit doordat iedereen zelf kan bepalen hoeveel informatie men wil vrijgeven in ruil voor service.

Volgens mij staat het vrijgeven van informatie door de gebruiker los van het feit hoe het bedrijf met de gegegevens van de gebruiker zal omgaan. Dus de redenatie is wel heel erg krom, in de trant van 'als wij niet zo veel weten van een klant, dan hebben we ook niet zo veel kans om de gegevens op straat te gooien'. Klinkt net zoiets als dat de politie zou zeggen 'we kunnen het aantal gevallen van zakkenrollen op straat verminderen als we de mensen er toe kunnen brengen om niet meer de straat op te gaan'.
Bovendien weet men ook dat gebruikers niet zitten te springen op minimale service, want als de .Net technologie in combinatie met Passport massaal op het internet toegepast gaat worden ontkom je er niet aan om een zekere hoeveelheid informatie vrij te geven, anders beperk je jezelf als gebruiker behoorlijk in de manier waarop je het internet zal kunnen gebruiken. Ik denk hierbij aan het kopen van spullen via internet waarbij je toch een bepaalde hoeveelheid privicygevoelige informatie beschikbaar moet stellen om uberhaupt een transactie te kunnen doen (naam, adres, credit card gegevens,.....).

In de omschrijving van het hele .NET-principe stond als voorbeeld genoemd dat je eigenaar blijft van e-mails die je verstuurt. Een verstuurde e-mail mocht dan alleen maar gelezen worden door de persoon aan wie deze was gericht.

De 'ontvanger' kon dus niet zomaar het mailtje doorsturen naar iemand anders zonder toestemming en de 'schrijver' mag zelfs op ieder moment besluiten dat NIEMAND het meer mag lezen (herroepen van het recht om het mailtje te lezen).

Dat klinkt mij als een behoorlijke controle over je eigen privacy.

wat een belachelijk idee!

Stel jij stuurt een mailtje naar een bedrijf: Wat kost dit en dat product? Ze antwoorden: €100. Dan zitten ze er dus aan vast. Nu stijgen ineens de prijzen en is hun inkoopprijs al €120. Dan willen ze het niet meer leveren natuurlijk. Hoppa, gewoon een intrek-mailtje de deur uit, zij geen probleem, jij genaaid.

Ik zie het trouwens eerder als een inbreuk op de privacy dan bescherming ervan. Wie geeft iemand het recht om een mailtje in MIJN inbox onleesbaar te maken?

Stel dat Harry Mulish ineens denkt: die boeken van mij, vind ik toch niet zo goed meer. Kom ik maak ze allemaal onleesbaar...

<bash>
dus ms verzint hun eigen standaarden weer voor de mail? Handig die standaarden he.... Volgens mij is het zo gegaan,
"Leuk dat internet, van wie is dat eigenlijk?"
"Van niemand, het draait veel al op open software en volgens open standaarden"
"Dus het wordt lastig om daar geld mee te verdienen?"
"Nou ja op zich wel"
"En als we nou eens 'innovatief' zijn en onze eigen standaarden maken en op dringen aan onze klanten"
"Ja dat zou kunnen maar zou dat niet een soort van monopolie opleveren?"

Hmm volgens mij kunnen ze al alles te weten komen als ze dat echt willen aangezien alles toch diegitaal vast gelged word. En het niet moeilijk is meer om in andermans "niet beschermde" computer in kan loggen. Want waar een wil is een weg. Geloof me als ze echt iets willen weten hoeven ze echt niet het Micosoft netwerk door lichten

Maar zelfs inbreken bij microsoft via het internet om de gehele passport database eens te roven is nog goedkoper dan in iedere pc proberen in te breken in de hoop zeer persoonlijke informatie over personen te achterhalen.
En als klap op de voorpijl heb je dan meteen gegevens over miljoenen personen waar je nog niets over wilt weten maar wat later wel eenz van pas kan komen. Het is gewoon niet verstandig om een commercieel bedrijf zulke vertrouwelijke gegevens in handen te geven waar je verder bijna geen vat meer op hebt. Zeker niet als het ook nog eens onder de buitenlandse wetgeving valt.

Het irritante verschil tussen spam en huis-aan-huis reclame is dat met een nee-nee sticker je vrijwel geen reclame meer je brievenbus inkrijgt. Met spam kun je dit niet instellen. Ook krijg je met spam mailtjes dat je een gratis mobieltje kunt winnen voor aanbieder 'hallo' in arizona, VS. Met gewone mail is het nog altijd van een lokale aanbieder zoals KPN, Ben, enz.

En alle gegevens op 1 plek? Is wel leuk, maar op internet? Dat is dan een hele grote hack-target. En een DoS attack legt dan ook veel plat. En met succesvolle hacks wordt bijna alles van iemand openbaar. En wat denk je van de gebruikers die er geen gebruik van (willen) maken? Of de domme gebruikers die een simpel wachtwoord instellen dat iedereen in de (directe) omgeving weet?
Gaan die dan aankopen op jouw kosten doen

En mijn creditcard gegevens? Ik heb er geen, maar als ik er wel een had, dan zou ik nog niet die gegevens ergens op internet invullen, ookal is het verplicht.

Nee idd, alleen als je iets wil kopen natuurlijk...

Ze hebben het over totaal verschillende dingen.

De privacyadvocaten hebben het over regeringscontrole en ge(mis)bruik maken van de gegeven informatie, Microsoft heeft het erover dat je zelf beslist hoeveel informatie je geeft. Dat zijn twee verschillende dingen.

Hoe kan ik de rest van de discussie dan nog serieus nemen. .

Hoe kan ik de rest van de discussie dan nog serieus nemen.

Ja dat snap ik ook niet. Zijn ze misschien bang dat Microsoft erachter komt dat ze een illegale windowsversie draaien

Niet iedereen draait Windows...