Μicrosoft: Μειώνεται στους 6 μήνες ο χρόνος διατήρησης των διευθύνσων IP στην μηχανή Bing

[nm96027]

Η Μicrosoft σχεδιάζει την μείωση του χρόνου αποθήκευσης των διευθύνσεων IP που προκύπτουν από τις αναζητήσεις στην μηχανή Bing, από τους 18 στους 6 μήνες. Η κίνηση αυτή γίνεται προς την κατεύθυνση συμμόρφωσης της εταιρείας με την ευρωπαϊκή νομοθεσία αλλά επιπλέον είναι και ένα μέτρο άσκησης πίεσης στην αντίπαλη Google.

Μέχρι σήμερα οι διευθύνσεις IP, μετά από κάθε αναζήτηση στην Bing, μετατρέπονται αμέσως σε ανώνυμες, όμως η εταιρεία αποθηκεύει τις διευθύνσεις για 18 μήνες. Αυτός ο χρόνος θα μειωθεί στους 6 μήνες, αν και όπως ανακοίνωσε η Microsoft κάτι τέτοιο θα χρειαστεί για να υλοποιηθεί 12 έως 18 μήνες.

Αντιθέτως η Google μετατρέπει τις διευθύνσεις IP σε ανώνυμες μετά από 9 μήνες ενώ και αυτή τις αποθηκεύει για 18 μήνες. Η πολιτική αυτή, σύμφωνα με την Google, υπαγορεύεται από την προστασία των αποτελεσμάτων και των διαφημίσεων από συνεχόμενα κλικ και spam.

Δεν είναι σαφές το κατά πόσον η Google επιθυμεί να μιμηθεί την Microsoft και να συμμορφωθεί με τις αποφάσεις της Ομάδας Εργασίας Προστασίας Δεδομένων που δημιουργήθηκε σύμφωνα με την οδηγία της Ε.Ε. 95/46/ΕC (Σημείωση: πρόκειται για την ανεξάρτητη αρχή της Ε.Ε. για την προστασία των προσωπικών δεδομένων, γνωστή και ως Article 29 Working Party. Εκ μέρους τη Ελλάδας συμμετέχει ο Χρ. Γεραρής).

Σύμφωνα με δημοσιεύματα, ο Petel Fleischer σύμβουλος για θέματα προσωπικών δεδομένων της Google δήλωσε πως δεν πρόκειται να σημειωθούν αλλαγές στην πολιτική της εταιρείας στο άμεσο μέλλον. Και συμπλήρωσε:

"Είμαστε προσηλωμένοι στην χρήση των δεδομένων για την βελτίωση τόσο των υπηρεσιών μας όσο και των μέτρων ασφάλειας που προστατεύουν την ιδιωτικότητα των χρηστών μας και παραμένουμε πεπεισμένοι πως η τρέχουσα πολιτική διατήρησης αρχείων καταγραφής αντιπροσωπεύει μία υπεύθυνη ισορροπία."

Οι εκπρόσωποι της Google δεν απάντησαν άμεσα σε σχετικές ερωτήσεις για περαιτέρω διευκρινίσεις. Όμως ούτως ή άλλως η κίνηση της Microsoft θα μπορούσε να ανοίξει ένα νέο πεδίο ανταγωνισμού στην αγορά των μηχανών αναζήτησης. Οι τελευταίες επιθέσεις στην Google και σε άλλες εταιρείες δημιουργούν εύλογα ερωτηματικά σχετικά με την ασφάλεια των στοιχείων που αποθηκεύονται και τα οποία θα μπορούσαν να χρησιμοποιηθούν από παράνομους ή κακόβουλους χρήστες.

Πηγή: Cnet

[c4lex]

http://ec.europa.eu/justice_home/fsj...r_wp_yahoo.pdf

Αυτό είναι το εν λόγω έγγραφο για την συμμόρφωση της Yahoo! ως προς τις συμβουλές του working party. Το πρόβλημα ήταν το εξής: η Yahoo! είπε ότι θα ανωνυμοποιεί τα στοιχεία που συλλέγει στις 90 μέρες, αλλά αυτό δεν λαμβάνει υπ' όψιν τα δεδομένα που μαζεύει η microsoft (η Yahoo! χρησιμοποιεί πια το Bing ). Δεν υπάρχει κάποια νομοθεσία που να θέτει ρητά άνω όριο στο πόσο δύναται να κρατήσει μια εταιρεία logs των IP.

Από την άλλη, όπως αναγνωρίζει και η microsoft, τα δεδομένα αυτά είναι κρίσημα για την ίδια την υπηρεσία του search. (Δεν μπορείς να πιθανολογήσεις τι ζητάει κάποιος με κάποιο όρο, αν δεν μελετήσεις το τι ψάχναν κάποιοι πριν από αυτόν). To working group θέτει κάποια guidelines και οι εταιρείες προσπαθούν να συμμορφωθούν έχοντας πάντα υπ' όψιν πόση πληροφορία κρίσιμη για τις λειτουργίες τους είναι έτοιμοι να απωλέσουν.

Προσωπικά, εμένα μου κάνει εντύπωση που ανακοινώθηκε ότι σχεδιάζει στο μέλλον να μειώσει το χρόνο που κρατάει τα logs, αντί να ανακοινώσει την άμεση αλλαγή στον χρόνο που κρατάει τα logs. Όταν το βλέπεις υπό το φως του κακού PR που έχει λάβει τελευτάια, έχει ιδιαίτερο ενδιαφέρον.

Έχοντας πει αυτά, η ίδια η Google ήταν η πρώτη που μείωσε το χρόνο που κρατάει τα logs στους 18 μήνες και στη συνέχεια η πρώτη που το μείωσε στους 9 (κάτι που ισχύει σήμερα, σε αντίθεση με το Bing που το σχεδιάζει για του χρόνου η ενάμιση χρόνο από τώρα.).

[ipo]

Η μετατροπή μίας IP σε ανώνυμη, σε τι διαδικασία αφορά; Σβήνεται το χρονικό της στίγμα, ώστε να μη φαίνεται σε ποιον αντιστοιχούσε μία dynamic IP;

[c4lex]

Σβήνονται ολόκληρα τμήματα από την IP που κρατήθηκε αρχικά:

http://www.youtube.com/watch?v=kLgJYBRzUXY

Είναι κάτι ανάλογα με τα μέτρα που θέτει το Payment Card Industry Data Security Standard (το οποίο ήταν μεγάλο θέμα τα τελευταία χρόνια στις τράπεζες, να συμμορφωθούν στα standards του PCI). Σύμφωνά με αυτό το πρότυπο οι μηχανισμοί υπεύθυνοι για τις συναλλαγές, δεν μπορούν να κρατήσουν κάποια ευαίσθητα δεδομένα από την πιστωτική. Για παράδειγμα, ένα requirement:

After authorization, do not store the full
contents of any track from the magnetic stripe
(located on the back of a card, contained in a
chip, or elsewhere). This data is alternatively
called full track, track, track 1, track 2, and
magnetic-stripe data.
In the normal course of business, the following
data elements from the magnetic stripe may
need to be retained:

• The accountholder’s name,
• Primary account number (PAN),
• Expiration date, and
• Service code

To minimize risk, store only those data elements
needed for business.

[ST2008]

http://ec.europa.eu/justice_home/fsj...r_wp_yahoo.pdf

... Δεν υπάρχει κάποια νομοθεσία που να θέτει ρητά άνω όριο στο πόσο δύναται να κρατήσει μια εταιρεία logs των IP ...

νομίζω ότι η Οδηγία 2004/26/ΕΚ ορίζει ανώτερο χρόνο:

"Άρθρο 6

Χρονικό διάστημα διατήρησης

Τα κράτη μέλη διασφαλίζουν ότι οι κατηγορίες δεδομένων του άρθρου 5 διατηρούνται για χρονικό διάστημα όχι μικρότερο του εξαμήνου και όχι μεγαλύτερο της διετίας από την ημερομηνία της επικοινωνίας", και

"Αρθρο 5.1.γ
2. όσον αφορά την πρόσβαση στο Διαδίκτυο και τις υπηρεσίες ηλεκτρονικού ταχυδρομείου και τηλεφωνίας μέσω Διαδικτύου:

i) η ημερομηνία και η ώρα σύνδεσης και αποσύνδεσης με το Διαδίκτυο με βάση συγκεκριμένη ωριαία ζώνη, καθώς και η διεύθυνση πρωτοκόλλου του διαδικτύου (ΙΡ), είτε δυναμική είτε στατική που έδωσε στην επικοινωνία ο πάροχος υπηρεσιών πρόσβασης στο Διαδίκτυο, καθώς και ο κωδικός ταυτότητας χρήστη του συνδρομητή ή εγγεγραμμένου χρήστη".

http://eur-lex.europa.eu/LexUriServ/...6L0024:EL:HTML

[ironfist]

Απλά άσκηση πίεσης στην Google. Ακριβώς επειδή είναι χρήσιμα στοιχεία για την βελτιστοποίηση των αναζητήσεων, αυτός που έρχεται δεύτερος δεν χάνει και πολλά.
Αν όμως αναγκάσει/παρασύρει και τον πρώτο, τότε ο πρώτος (google) χάνει ένα μέρος της δυναμικής του.
Αυτό κατάλαβα εγώ σαν απλός χρήστης.
Αν λέω λαλακίες διορθώστε με

[c4lex]

νομίζω ότι η Οδηγία 2004/26/ΕΚ ορίζει ανώτερο χρόνο:

"Άρθρο 6

Χρονικό διάστημα διατήρησης

Τα κράτη μέλη διασφαλίζουν ότι οι κατηγορίες δεδομένων του άρθρου 5 διατηρούνται για χρονικό διάστημα όχι μικρότερο του εξαμήνου και όχι μεγαλύτερο της διετίας από την ημερομηνία της επικοινωνίας", και

"Αρθρο 5.1.γ
2. όσον αφορά την πρόσβαση στο Διαδίκτυο και τις υπηρεσίες ηλεκτρονικού ταχυδρομείου και τηλεφωνίας μέσω Διαδικτύου:

i) η ημερομηνία και η ώρα σύνδεσης και αποσύνδεσης με το Διαδίκτυο με βάση συγκεκριμένη ωριαία ζώνη, καθώς και η διεύθυνση πρωτοκόλλου του διαδικτύου (ΙΡ), είτε δυναμική είτε στατική που έδωσε στην επικοινωνία ο πάροχος υπηρεσιών πρόσβασης στο Διαδίκτυο, καθώς και ο κωδικός ταυτότητας χρήστη του συνδρομητή ή εγγεγραμμένου χρήστη".

http://eur-lex.europa.eu/LexUriServ/...6L0024:EL:HTML

Ανώτερο (2 χρόνια) και κατώτερο (6 μήνες).

Το κατώτερο όριο, αν δεν κάνω λάθος, είναι αυτό που υποχρεώνει και τις ISP να κρατάνε logs για τους χρήστες τους, για λόγους αστυνόμευσης κοκ.

Η Google δεν κρύβει ότι προσπαθεί να διατηρήσει μια ισσοροπία μεταξύ privacy και χρησιμότητας των υπηρεσιών της. Το λένε και δημόσια σχεδόν σε κάθε ευκαιρία (15:00). Προσωπικά θα προτιμούσα μια υπηρεσία με λιγότερο spam και λιγότερο ευάλωτη σε click-fraud κι ας κρατάνε την IP παραπάνω από το κατώτατο όριο κατά 3 μήνες. =]

Απλά άσκηση πίεσης στην Google. Ακριβώς επειδή είναι χρήσιμα στοιχεία για την βελτιστοποίηση των αναζητήσεων, αυτός που έρχεται δεύτερος δεν χάνει και πολλά.
Αν όμως αναγκάσει/παρασύρει και τον πρώτο, τότε ο πρώτος (google) χάνει ένα μέρος της δυναμικής του.
Αυτό κατάλαβα εγώ σαν απλός χρήστης.
Αν λέω λαλακίες διορθώστε με

Και δίνει και την εντύπωση ότι εκτιμά η microsoft το privacy περισσότερο από την Google, παρά το κακό track record της σε σχέση με την Google. Και ο τίτλος του cnet είναι πάλι παραπληροφοριακός (what a shocker!):

"Microsoft cuts Bing IP address storage to 6 months"

Το "cuts" δίνει την εντύπωση της αμεσότητας, ενώ μιλάνε για χρόνο με ενάμισι χρόνο από τώρα.

Off Topic

Θα χει πλάκα να διορθώνεις παραπληροφορημένους από δω και πέρα πάντως!
(much karma-whoring on /. )

[aiolos.01]

Η μετατροπή μίας IP σε ανώνυμη, σε τι διαδικασία αφορά; Σβήνεται το χρονικό της στίγμα, ώστε να μη φαίνεται σε ποιον αντιστοιχούσε μία dynamic IP;

Αυτό αναρωτιέμαι να εγώ. Μήπως απλά σημαίνει οτι σβήνει την αντιστοίχηση στο cookie που έχει (αν έχει) αποθηκεύσει ο browser; Γιατί τουλαχιστον για όσους κάνουν login στο google η εταιρία αποθηκεύει τα πάντα, αναζητήσεις, page views κλπ κλπ και τα συνδέει με το username.

[ironfist]

Αυτό αναρωτιέμαι να εγώ. Μήπως απλά σημαίνει οτι σβήνει την αντιστοίχηση στο cookie που έχει (αν έχει) αποθηκεύσει ο browser; Γιατί τουλαχιστον για όσους κάνουν login στο google η εταιρία αποθηκεύει τα πάντα, αναζητήσεις, page views κλπ κλπ και τα συνδέει με το username.

Με το μετατροπή μιας IP σε ανώμυμη εννοούν πως σβήνουν το τελευταίο τμήμα της IP και μετά από 18 μήνες σβήνουν τα τελευταία 8 ψηφία.
"After nine months, we will change some of the bits in the IP address in the logs; after 18 months we remove the last eight bits in the IP address and change the cookie information."
Και ειδικότερα για τα log files
www.seroundtable.com/google_log_retention_policy_faq.pdf