logo~stef/blog/

parltrack2013

2013-01-29

EP - ACTA vote About two years ago Parltrack started as another tool trying to get some information that was necessary at that time. Since then the amount and quality of data in Parltrack has come a long way. One year ago, I had to rewrite all the scrapers as the European Parliament upgraded their website. A couple of related tools have been developed, for example Herr Nilsson or - the most widely-known - Political Memory or memopol as we call it. Also ACTA has been defeated. I believe Parltrack contributed a small part to this success. Having recent and good data on the ground was essential for campaigning in and around the European Parliament.

I think Parltrack is a tool with lots of potential. I'd really like to find some more time to just data-mine Parltrack, which was one of my initial motivations when I started this project. As a good friend used to say: most of our work in the commons is financed by pre-accumulated wealth from the traditional system. The peculiar nature of this open data combined with free software makes it somewhat difficult to keep this project sustainable. I've tried Flattr, debated and rejected advertising, offered consulting/custom development jobs, and turns out i'm too small to be eligible for EU funding grants. Depleting resources resulted in a shift of my attention lately to other jobs, however Parltrack seems to be used quite a lot. The lack of maintenance already started showing, so to stop this degradation and to allow me to focus more on Parltrack in the coming year I started an Indiegogo campaign. If you care about freedom, datalove, kittens, puppies, or just me, go here and support this campaign. It will allow me to build more free infrastructure.

thanks, s

Thank you to all my friends who helped me setting up this campaign.

ps: for Parltrack related news you can follow @Parltrack, and RSS updates


cyberfud

2012-11-28

src:http://guckes.soup.io/post/19675336/Fear-FEAR The usage of "cyber" as a prefix is a strong hint for lack of detailed knowledge into a certain topic, the intent to make a profit or take control by diluting the exact issues. Hiding the issues behind such muddled phrasing does not help the understanding and possible solutions.

The more often you hear "cyber" the stronger should be the sense of your "bullshit-meter" signal. Chances are high, that it's about spreading FUD to sell an oppressive and expensive security theater - cyberfud is for the internet, like the liquid-bomb was for airport "security".

So if this greed is only going to make us more oppressed, not safer then how to deal with all these menacing online threats that we hear about in the evening news?

A very wise man said[MP4 video]:

"...I'm suggesting, the internet itself can in no more meaningful sense be secure, than the oceans are secure. The security activities in the oceans, there's the "law of the seas", there are many aspects of it, but the functioning of humanity has depended on the openness and diversity of the seas and i think it depends similarly on the openness and diversity of the internet..."

There's a saying in software development: "a bug is cheapest, when caught as early as possible in the development process". Meaning it's cheaper to fix bugs during unit testing, than after they've been shipped to customers. So instead of starting an arms race to create expensive defensive snakeoil technology, we should focus on making the software more resistant. There's excellent examples, some critical infrastructure - our browsers - show a good understanding of this principle:

Compare this with Siemens not fixing the bug for 625 days that enabled the Stuxnet malware to operate.

It is irresponsible that a vendor waits 625 days to fix bugs that can affect critical infrastructure. Choosing the right words is important, forget cyberfud, here's a positive message:

Responsible Vendor

Closed-source vendors that have a consistent track record fixing bugs promptly and exercising diligence should be awarded, those who are not, should be penalized with full liability.

Instead of spreading cyberfud there should be a publicly available resource where users can check the security track record of vendors, vendors must be absolutely transparent about the vulnerabilities in their products, and it must be possible to objectively compare, measure and rate the vendors according to this data. Procurement decisions must be based on this as a obligatory condition: "no transparency and no sign of responsibility, no contract"

This idea of vendor liability is not new, hackers raised this issue already 14 years ago in a testimony before the US Senate.

I know, this issue cannot be solved solely by suddenly turning this industry into responsible vendors, among others problems are:

  • irresponsible customers disabling security features
  • restrictive laws outlawing security tools reduce the defensive capabilities of the network (like outlawing the immune system),
  • education, instead of paternalizing users into a victim role,
  • increased privacy awareness on the demand side and a strict adoption of the "data-minimization" principle would reduce the amount of "bounty out there" to grab.

The next time you hear about a cyberfud event, or hear some industry guy talking cyberfud, ask a few unsettling questions about commercial vendors externalizing the costs of security that are then exploited by greedy security-corporations and politicians. You are also free to ridicule:

"ich find ja, daß william gibson der einzige ist, der 'cyber' sagen darf, ohne dabei blöd auszusehen" — fx #alternativlos #ftw

(Translation: "The only person who is allowed to use 'cyber' without looking stupid is William Gibson".)


Online cenzúra a BTK-ban

2012-11-27

November 23-án benyújtották az internetes blokkolást lehetővé tevő BTK módosítást. Az alábbi szöveg a társadalmi konzultációra készült, azonban túl későn értesültünk róla, így lekéstünk arról, hogy beadjuk a konzultációra, most itt az alkalom, hogy mégis publikáljuk:

A blokkolást bevezető BTK törvénymódosítás a körülbelül egy éve elfogadott "A gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemről szóló 2011/92/EU irányelvére" hivatkozik mint jogalap. Az irányelv előírja az úgynevezett értesítés és eltávolítás (notice-and-takedown) típusú végleges törlést, amiben mindenki egyet értett, hogy ez a leghatékonyabb módja a fellépésnek. A második pont már opcionális, és nagy viták övezték, ez a blokkolás alkalmazását engedi meg a tagállamoknak, bizonyos feltételek mellett. Ennek történetéhez hozzátartozik, hogy amit Németországban a Zensursula kampány kapcsán sikerült megakadályozni, azt eszkalálták EU-s szintre, hogy onnan újra lecsorogjon ez a cenzúrakezdeményezés a tagországokba, és a németeknek mégis lehessen ilyen rendszerük. Persze voltak figyelmeztető hangok, hogy kevésbe demokratikusabb államok nemcsak azonnal élni fognak az opcionális blokkolás bevezetésével, hanem ki is terjesztik más jellegű tartalomra is (ez a jóslat bejönni látszik).

Minden törvénykezési beavatkozásnak vannak társadalmi költségei. A blokkolás egyértelmű pozitív hatásainak bizonyítékai hiányában veszélyes gyakorlat a széleskörű intézkedés alkalmazása, mely olyan súlyos költségeket okoz, mint a küldetés-tágítás (elkerülhetetlen, hogy bővüljön a blokkolandó tartalom köre), technológia-tágulás (elkerülhetetlen az egyre súlyosabb beavatkozást okozó technológia bevezetése), Magyarország „demokrata” hírnevének további romlása, és a jogsértő tartalmat szolgáltatók számára figyelmeztető rendszer létrejötte. A blokkolás megakadályozza a valóban hatékony nemzetközi ellenintézkedéseket. Véget vetne a hálózatsemlegességnek, mivel arra kényszerítené az internet-szolgáltatókat, hogy olyan technológiába ruházzanak be, amelyek a különböző tartalmak egyre súlyosabb diszkriminációjára alkalmasak.

Az EU Bizottság azóta sokat tanult, és a minap a következő álláspontot alakította ki a szerencsejátékok blokkolásával kapcsolatban:

However, blocking access to websites does not work as an isolated enforcement tool and can be easily circumvented. Moreover, depending on the technology used, website blocking can impact on legitimate businesses. The efficiency of the blocking method furthermore depends on the validity of the list of blocked websites. Keeping the list up-to-date requires significant resources while internet addresses can be changed instantly. Lastly, ISPs are faced with the implementation of the provisions for blocking access to websites, not only implying costs and tying-up of resources but also creating potential liability issues. - forrás: Page 61 of the Commission Staff Working Document on gambling.

Lényeges pontok a módosító javaslatban

Tavaly Brüsszelben még csak a gyermekről volt szó, többen felvetették, hogy veszélyes hogy kiterjesztik a jogkört más cselekményekre is. Sajnos a magyar javaslat nem csak a gyermek bántalmazást kívánja elkendőzni, hanem az indoklásban egyből kiterjeszti:

Elektronikus hírközlő hálózat útján számos bűncselekmény elkövethető, így pl. terrorcselekmény, gyermekpornográfia, rasszista cselekmények, csalás, szerzői jogok megsértése, fogyasztó megtévesztése, személyes adattal visszaélés, rágalmazás, becsületsértés, stb.

158/B 4 b) elektronikus adathoz való hozzáférés ideiglenes megakadályozásával.

Ezzel a felesleges és kontraproduktív blokkolással az eddig semleges internet-szolgáltatókat kényszeríti rendőrködésre.

158/D (2) A bíróság a határozatával az elektronikus hírközlési szolgáltatókat kötelezi az elektronikus adathoz való hozzáférés ideiglenes megakadályozására.

212 (1) ... E törvény hatálya kiterjed „e) a 159/B. § és a 182. § (3) bekezdés tekintetében a közvetítő szolgáltatókra.”

Ezzel két probléma van: Egyrészt kérdéses, hogy a bírságolás mennyire van összhangban az e-kereskedelmi irányelv „mere conduit” rendelkezésével. Másrészt a még frissnek mondható Scarlet/Sabam Europai Bírósági döntése miatt kérdéses, hogy kinek kell a blokkolás költségeit viselni – ha ez a internet-szolgálatókra hárul, akkor a döntés miatt ez egy lehetséges támadási felület.

A KEHTA, amelynek célja a tiltólisták karbantartása, szintén teljesen felesleges, a tiltólista titokban tartása lehetetlenné teszi a transzparenciát és a társadalmi kontrollt, amire nagy szükség van tekintve azon országok kiszivárgott listáit, ahol ilyen rendszer üzemben van, láthatjuk hogy komoly tévedésekkel és visszaélésekkel vannak tele ezek a listák.

Statisztikák

A rendelkezésre álló statisztikák is a blokkolás ellen szólnak. Ha összevetjük a bejelentő vonalak, nemzeti bűnözési, az ECO 2010-es jelentését és a banki online csalások elleni fellépés hatékonyságát, kiderül, hogy mind a bejelentések száma, mint a jogsértő weboldalak száma az elmúlt években folyamatosan csökkent.

Néhány, gyermekek elleni erőszakot tartalmazó weboldal az azonosítást követően még hónapokig elérhető marad olyan országokban, amelyekkel az EU egyébként kitűnő nemzetközi kapcsolatokat ápol.

A kifogásolt tartalom szinte kizárólag magasan fejlett internet infrastruktúrával rendelkező szövetséges nyugati országból kerül terjesztésre. Bár vannak jelek arra, hogy ezt az érintettek kezelik, európai szervezetekhez beérkező bejelentések alapján a legtöbb jogsértő tartalom az Egyesült Államokból érkezik.

Gyermekek elleni erőszakot tartalmazó weboldalak átlagosan 4 hétig elérhetőek, banki csalásokat megvalósító vagy abban közreműködő weboldalakat órákon belül sikerül megszüntetni.

Céltévesztés

A blokkolás meghagyja az illegális tartalmat, csak a hozzáférést nehezíti meg kis mértékben. A hozzáférés mindig lehetséges marad, függetlenül az alkalmazott blokkolási technológiától.

A web alapú tartalmat egyre nagyobb mértékben tárolják legális, ingyenes webtárhelyeken, képfeltöltő oldalakon, vagy feltört website-okon. Ilyen oldalakon nyilvánvalóan szívesen eltávolítják az illegális tartalmat olyan gyorsan, amennyire csak lehet – a blokkolást szükségtelenné téve. A képfeltöltő oldalakkal való visszaélés a 2004-es 0%-os értékéről 2006- ban 10%-ra nőtt majd 2009-ben 40%-ra.

A legtöbb jogsértő tartalom nem szabadon elérhető oldalakon található. Más kommunikációs médiumok, mint például a fórumok vagy a peer-to-peer hálózatok sokkal alkalmasabbak az illegális tevékenységek elfedésére. A szervezett bűnözést nyilván nem fogja megakadályozni a gyenge technológia és a még gyengébb nyomozati intézkedések. Hús-vér emberekre és valós erőforrásokra van szükség a valós bűnözés megakadályozásához.

Nemcsak átlag-felhasználók számára könnyű a blokkolás megkerülése, de bűnözők számára is. A kanadai bejelentő központ megfigyelt egy weboldalt, amely 212-szer költözött el 48 óra alatt – a blokkolás bevezetésével a bűnözők ösztönözve lennének, hogy elköltöztessék a weboldalukat, mihelyt az tiltólistára került.

Összegzés

Nyomatékosan kérjük a Kormányt, a minisztériumot és végső soron a parlamentet, hogy vizsgálja felül terveit és vesse el blokkolás bevezetésének felesleges és káros gondolatát. A gyermek ellen elkövetett erőszak és annak megjelenítése az interneten rettenetes bűntény, amely súlyossága néha csak nehezen fogható fel. Ezt a kérdéskört komolyan, tényeken és hatásvizsgálaton alapuló intézkedésekkel kell kezelni, és nem politikai okokból vagy zsigerből. El kell kerülni az olyan intézkedéseket, amelyek csak kozmetikai hatást váltanak ki, de érdemi megoldással nem szolgálnak. Azokban az országokban, ahol ilyen blokkolás a gyakorlat, egyértelmű bizonyítékok támasztják alá, hogy a blokkolás a hatékony nemzetközi intézkedés hatástalan helyettesítője, és nem kiegészítő eszköz.

Blokkolás helyett kötelességünk mindent megtennünk, hogy az ilyen oldalak működését megszüntessük, azonosítsuk az áldozatokat, és az elkövetőket megbüntessük.

Fel kell ismerni a blokkoló-infrastruktúra kiépítésének káros összhatását, a küldetés-tágulást, és annak a költségét, hogy az áldozatok azonosítása helyett elpazaroljuk erőforrásainkat, és egyre jelentéktelenebb problémát orvosoljunk erre alkalmatlan és súlyos beavatkozást jelentő technológiával.

Köszönet minden közreműködőnek a fenti anyag elkészítéséhez.

Linkek


new pgp key

2012-10-26

I have renewed my PGP key, for the full transition message please see: http://www.ctrlc.hu/~stef/key-transition-ca0557ef.txt


PGP key generation

2012-10-02

With the usage of PGP in everyday life our communication is mostly state of the art, and quite expensive to compromise. The weakest links are nowadays the systems where the communication terminates and is decrypted to plaintext. Not only are the messages available unencrypted, but also the encryption keys. Proper key management becomes essential, however diligent key management is something that not even the German Wehrmacht was always able to do properly. :) To reduce the probability of errors, there's a script at the end that automatizes most steps.

One essential aspect of key life-cycle management is key generation.

Note: most of the procedure below can be substituted by using an OpenPGP smartcards which allow to generate keys, that cannot be extracted easily, all signing and decryption happens in the smartcard itself. Such smartcards however usually have certain storage limits. Current technology allows usually 3 keys with 3072 bits, some newer models also 4096.

Generating a new key

Needed things:

  • a secure offline environment for key generation,
  • secure offline location to store the signing key,
  • Another secure offline location to store a backup of the signing key,
  • A third secure offline location to store a revocation certificate,
  • A pristine offline system for generation and handling of the key,
  • 3 distinct and strong passphrases

Offline system for key management

The biggest threat to key generation is a trojan/malware compromised system that leaks not only the keys but also captures the keystrokes of the passwords. To counter this threat it is strongly advised to use a pristine live CD to boot into an offline environment (yes, disconnecting the network cable is a good idea anyway). I like Tails for such a live system, but Privatix or Liberté Linux might be similarly useful.

Most PGP keys consist usually per default of a signing and an encryption key. The web of trust is woven by signing other peoples signing key. However there's a trade-off, either the key has a limited lifetime, and we have to ask our peers to re-sign the new key from time to time. Alternatively you create an unlimited signing key, but then handling becomes difficult as you want to protect this key with increased diligence. Multiple sources online suggest creating a master signing key, which is only used (again offline - see a pattern here?) for signing other keys and at least two subkeys, one for signing anything else and one for encryption. This allows you to regularly update your sub-keys without the need to re-sign them with your peers, only your master key needs to sign the new sub-keys. Regenerating your sub-keys regularly also reduces the lack of perfect forward secrecy in PGP.

All three keys should be protected by strong passphrases. As signing and encryption are not necessarily happening with the same frequency and applications, so it makes sense to set different passphrases for both. That means 3 passphrases in total, sounds hard to remember. Instead of using a long random password, rather use a passphrase consisting of at least 5 words. Now instead of 14 random letters you have to remember only five words, that should be manageable - especially if you make up a small story out of the words. One way to generate such passphrases is the Diceware method, another way is this simple script which replaces dices with openssls rand and the word list can be any size that fits in memory - this can be seeded with any kind of word list that you trust.

When you generate a key, it is good practice to also generate a key revocation certificate for the case your key gets compromised. In cases where you might not have the key available anymore to generate such a certificate having one ready up-front can prove useful. For cases when you lose or destroy the encrypted container containing the private keys it is also useful to have a backup ready - after all it took a lot of entropy to generate the key, don't waste it ;).

Both the revocation certificate and the backup are hopefully very rarely needed, but should be well protected. You can choose to use passphrases and encrypted containers, or you can encrypt the cert/backup with a 128 byte cryptographically strong random key and use Shamirs Secret Sharing Scheme to split up the encryption key into multiple parts and distribute them geographically and perhaps to trusted persons. Only when a preset amount of shares is presented, can the backup/cert be accessed. You could also generate a third set of shares for your backup, in case something happens to you and you want your family, friends or lawyers be able to read encrypted data belonging to a certain private key...

As you should very rarely need to generate such a full key and it is quite a complex procedure, there's a script that tries to automatize all the steps above. It depends on gpg, gpgsplit, srm, openssl and ssss, of which i think ssss might be necessary to install manually on tails. The script generates all interim material into /run/shm so that no trace on storage media is left, you have to move the various pieces yourself to their final location, like importing the subkeys into your keyring, distributing the shares for the backup and the revocation cert and the master signing key and it's backup copy. I will try to cover the storage of keys on dedicated USB sticks in a later post. I hope you enjoy your new pimped keys (oh and by the way nothing prevents you from having more than only two subkeys).

Comments and improvements are welcome.


amendments in parltrack

2012-09-24

Here's a sneak preview of an upcoming parltrack feature:

http://parltrack.euwiki.org/amendments/2011/0430(COD)

The data is possibly not complete, but gives good additional information. If everything goes well this will be integrated into MEP and dossier views. Until then you can change the dossier id in the url above, or replace it with a name of a mep:

http://parltrack.euwiki.org/amendments/SCHAAKE%20Marietje

Some stats on the data,

  • total number of amendments in the 7th term so far: 168917,
  • amended dossiers: 976,
  • amending MEPs: 775.

top 3 MEPS:

  1. Olle SCHMIDT: 2038
  2. Philippe LAMBERTS: 1974
  3. Silvia-Adriana ŢICĂU: 1610

top3 amended dossiers:

  1. 3075: Structural instruments: common provisions for ERDF, ESF, Cohesion Fund, EAFRD and EMFF; general provisions applicable to ERDF, ESF and Cohesion Fund (2011/0276(COD))
  2. 2482: Common Fisheries Policy (2011/0195(COD))
  3. 2310: Public procurement (2011/0438(COD))

If anyone wants to play with the raw data:

http://parltrack.euwiki.org/dumps/amendments.json.xz

And to see what data might be missing:

http://parltrack.euwiki.org/dumps/amendments.log


felelősség

2012-09-24

Az alábbi gondolatok mentén köszöntöttem a Gábor Dénes Főiskola 2012-es évnyitó ünnepségének résztvevőit.

Bruce Schneier az egyik legismertebb kriptográfus szerint

"A hacker olyan személy, aki intellektuális kíváncsiságból, tiszta kreativitásból vagy élvezetből a rendszerek korlátait próbálja felderíteni vagy meghaladni"

- Hacker pl Da Vinci, Nikola Tesla, és nekem egy-két haverom :)

Azonban ők nem csak hackerek, hanem a technológia mesterei, nem pedig egy gyártó v. termék kiszolgáltatottja, ami sajnos inkább jellemző általában. Ezért kötelességünk az embereknek segíteni, hogy ők is ugyanúgy uraljak és értsék a technológiát. Persze ezt nem mindenki veszi jó néven, úgyhogy más kötelességeink is vannak.

A technológia eszköz és infrastruktúra, ami segíthet a céljaink eléréséhez, de nem cél önmagában. Ha a technológia mesterei vagyunk, alkalmazhatjuk azt arra, hogy felülemelkedjünk a best-practice-t alkalmazók szürke tömegéből és ezzel befolyásolhatjuk mindkettőt.

Felelősek vagyunk a technológiáért amit alkotunk. Mint olyan a technológia általában semleges, lehet használni jóra is, rosszra is - (informatika: tömegmegfigyelés vs tudásmegosztás) - korszakváltáskor a rossz nem összekeverendő a régi rendszer haszonélvezőinek elkeseredett propagandájával. Jó példa erre az internet mellett például Gutenberg, aki kivette a tudást a papság kezéből és odaadta a polgárságnak.

Van azonban olyan technológia is, amely összhatását tekintve társadalmilag káros vagy általánosságban emberi alapjogokat sért. Felelősségünk felismerni az ilyen technológiat és azt semlegesítő technológia fejlesztése. (pl. DRM)

Mérnökként kötelességünk a társadalom felé, hogy jellemzően olyan technológiákat biztosítsuk, amelynek a társadalmi hasznossága nagyobb mint a vele okozható kár és/vagy költségek Ha összevetjük például az elektronikus készpénz helyettesítők és az emberek magánélethez való jogát, amennyiben a helyettesítők kiszorítják a készpénz használatát a mindennapokban, a költségek már nincsenek feltétlenül arányban a társadalmi haszonnal.

Walled-garden vs szabad technológia

A technológiának szabadnak kell lennie. Vannak akik úgy gondoljak, hogy a technológiát le lehet szabályozni, hogy csak "jóra" lehet használni. Lehet, de akkor olyan rendszert kapunk, mint az analóg telefonhálózatot, unalmas statikus, nincs benne innováció. Az otthoni internet - és az internet általános elterjedésének az egyik fontos mérföldköve, amikor a amerikai Carterphone döntéssel a modemek felcsatlakozását tettek lehetővé, ezzel felszabadítva az alatta lévő fizikai réteget - az analog telefonhálózatot.

A modemek esetében a központosított rendszerből egy szabad és decentralizált hálózat és olyan innovatív környezet jött létre, amely globális gazdasági hatása letagadhatatlan. A decentralizáció rendkívül fontos több szempontból, az biztosítja a diverzitást, az ellenállóképességet, függetlenséget és a innovációt. Érdemes elgondolkodni például ahogy a bittorrentet tiltják, az IPTV-t meg erőltetni kell. A zárt és szigorú ellenőrzés alatt tartott iphone esetében is inkább a mérsékelten innovatív appok kerülnek jóváhagyásra, azok amelyek a gyártó vagy szövetségesei érdekeit sértik már kevésbé. Az amerikai AOL volt jó példa ilyen zárt kertre, mára mar történelem ez a cég.

A decentralizáció mellett lényeges elem a korlátozó rendszerből egy emergens rendszerbe való váltás. A korlátozó rendszerekkel szemben az emergens rendszereknél általában kevés, megengedő és generatív szabály van. Az ilyen rendszerek azonban időnként kaotikusan viselkednek és előfordulhatnak benne akár "katasztrófák" is (példa erre tőzsdei magasfrekvenciás kereskedők okozta tőzsdei árfolyam zuhanás).

A szerzői jog zseniális hackje a GNU GPL szabad szoftveres licenc. Mivel egy centralizált korlátozó rendszerben (szerzői jog) és azon alapulva alkotott egy újat, amely decentralizál és generatív, 4 egyszerű generatív szabályon alapulva: a szabad szoftvert szabad korlátok nélkül használni, tanulmányozni, módosítani és továbbadni.

Az interneten nincsenek határok, mégis megpróbálják ráerőltetni a helyi törvényeket, az összes ország minden világi és vallási törvényének megfelelni? Az visszatérés lenne az elszigetelt analog világba. Az interneten a tartalom gazdag és széles, mindenki azt fogyaszt amit akar, és ugyanígy el is kerülheti a szennynek érzett tartalmat. Ezt meg kell tanulni, ez médiafogyasztási higénia kérdése.

Befejezésül egy idézet Pekka Himanen és Linus Torvalds The Hacker Ethic könyvéből:

"A hackerek nem értékelik automatikusan többre a szabadidejüket, mint munkaidőt. Mindkettő iránti igény attól függ, hogyan valósul meg. A tartalmas élet szemszögéből az egész munka / szabadidő kettősséget meg kell szüntetni. Amíg különválasztjuk a munkánk és a szabadidőnket, nem is élünk igazán. Ne keressünk értelmet a munkákban vagy a szabadidőnkben, az értelem a tevékenység jellegéből fakad. Szenvedélyből. Társadalmi értékből. Kreativitásból."


hacker etika

2012-09-24

Az alábbi szöveg a http://www2.fiu.edu/~mizrachs/hackethic.html magyar nyelvű szintézise, a kiegészítések forrása megtalálható a lábjegyzékben:

"A hackerek nem értékelik automatikusan többre a szabadidejüket, mint munkaidőt. Mindkettő iránti igény attól függ, hogyan valósul meg. A tartalmas élet szemszögéből az egész munka / szabadidő kettősséget meg kell szüntetni. Amíg különválasztjuk a munkánk és a szabadidőnket, nem is élünk igazán. Ne keressünk értelmet a munkákban vagy a szabadidőnkben, az értelem a tevékenység jellegéből fakad. Szenvedélyből. Társadalmi értékből. Kreativitásból."1

1. rész

A hozzáférési jog: Teljes hozzáférést kell biztosítani a eszközeinkhez és az erőforrásainkhoz. Alapvető küldetésünk az emberek, a technológia és annak használatának és megértése közötti gátjainak eltávolítsa, legyen ez a technológia akármilyen nagy, bonyolult, veszélyes, zárt vagy hatalmas.

Az információ szabadsága:

  • korlátozások nélküli (szólásszabadság),
  • ellenőrzés nélkül (szellemi monopóliumok),
  • kooperatív (nem-rivális jószág),
  • elérhető (a terjesztés költsége ~ zéró).

A számítógéppel létrehozhatunk igazat, szépet és javíthatjuk az életet: a hackelés művészeti és kreatív tevékenység, jelképezi az emberiség törekvését a jó, az igaz és a szép felé.

A kommunikációs alapjog: Mindenkinek joga van szabadon kommunikálni és társulni másokkal.

Önvédelem disztópikus jövő ellen: Erkölcsi kötelesség visszaállítani az egyensúlyt, amely lehetővé teszi az egyén számára leküzdeni a nagy, személytelen, erősebb erőket, amelyek ellenőrzik az életüket.

A hackelés növeli a biztonságot: a hackelés egy pozitív tevékenység, mert azt mutatja az embereknek, hogyan javíthatunk a gyenge biztonságon, illetve egyes esetekben segít felismerni és elfogadni, hogy a teljes biztonság drasztikus vagy aránytalan áldozatok nélkül elérhetetlen.

Korlátok leküzdése: a hackelés nem más, mint akadályok megkerülése.

Személyes adatok védelme: Mindenkinek joga van a magánéletének tiszteletben tartásához, ahhoz, hogy a saját magára és családjára vonatkozó információk felett csak ő rendelkezhessen.

2. rész

Érdemek megítélése: Tettek alapján kell ítélni, nem olyan a jellemzők alapján, mint a faj, kor, nem, vagy társadalmi pozíció. Az anonimitás lehetővé teszi, hogy minden ilyen jellemző egy személlyel kapcsolatban titokban maradjon. Az ötleteket, embereket - jellemzők hiányában - az érdemeik alapján kell megítélni.

Bízz, de ellenőrizd! Folyamatosan tesztelni kell a rendszerek integritását és kutatni annak módját, hogy lehet ezeket továbbfejleszteni. Ne hagyd másra karbantartási és kapcsolási rajzokat, értsd meg teljes mértékben azokat a dolgokat, amiket használsz vagy amik hatással vannak rád. Ha ki tudsz használni bizonyos rendszereket (mint például a telefonos hálózatot), ahogy soha nem állt szándékában tervezőknek, annál jobb. Ez segíthet jobb rendszereket teremteni. Az egyik ilyen rendszer, amely folyamatos felülvizsgálatot, tesztelést és módosítást igényelhet, az alkotmányos demokrácia.

Védd a személyes adatokat, használd a közérdekü adatokat2: A transzparencia a gyengék ellenőrzése a hatalmasok felett, a személyes adatok védelme pedig a gyengébb védelme a hatalmasok visszaéléseivel szemben.3

Ne bízz a központosításban: Népszerűsítsd a decentralizációt. Az olyan eszközök, mint a számítógép, lehetőséget adnak a "kisembernek" a nagy szervezetekkel szembeni erőviszony kiegyensúlyozására.

3. rész

Ne légy túlzottan önző: Vedd figyelembe a több hacker érdekeit.

Ne pazarolj: erőforrások nem maradhatnak feleslegesen kihasználatlanul. Pazarlás, hogy távol tartják az embereket rendszerektől, amikor használni lehetne őket üresjárati idő alatt. Ugyanígy pazarlás a felesleges bruteforce vagy DoS támadas.

Ne hagyj nyomot: Ne maradjon nyoma a jelenlétednek, ne hívd fel a figyelmet saját magadra és módszereidre. Legfeljebb inspiráló, hasznos, másokat semmilyen formában nem akadályozó dolgokat hagyj hátra.

Ne kalózkodj nyereségből: kalóz szoftverek értékesítése; (blackhat) hacking haszonszerzés céljából; selling-out

Ne potyázz: önző dolog, mindig csak elvenni és soha nem visszaadni. Ne profitálj huzamosan viszonzás nélkül mások erőfeszítéseiből.

Ne rombolj: A Schumpeteri rombolás kivételével - idegen rendszerek, hardver megsemmisítése, más felhasználóknak ártás, rosszindulatú vandalizmus, adatok visszafordíthatatlan károsítása vagy elpusztítása ellentétes az itt leírt értékekkel és rombolja a közmegítélést.

Ne lopj: információk, szolgáltatások és szoftverek nem képeznek tulajdont, hardver, fizikai tulajdon, pénz, és a pénzügyi szolgáltatások (hitelkártya, digitális készpénz, telefonkártya számok, stb.) azonban igen, így ezek lopása még mindig helytelen.

Ne kérkedj: A hencegés elfogadható zárt körökben, azonban elfogadhatatlan hencegni, provokálni vagy gúnyolni adminisztrátorokat, moderátorokat, bűnüldözési, vagy egyéb hatóságokat, vagy bármely nyilvános fórumon, ahol általában az ilyenek jelen vannak.

Ne kémkedj: adatokba való betekintés, emberek nyomon követése, és a magánszférájukba való behatolás elutasítandó.

Ne köpj: más hackerek bemártása.

Végszó

Ha legközelebb valami nagyokos megint riogat gonosz hackerekkel, akkor jusson eszünkbe, hogy az olyan hackerek nélkül mint Gutenberg, DaVinci, Tesla, Neumann, és egy csomó ismeretlen hacker nélkül nem itt tartanánk, ahol. Az ilyenekből több kell, nem kevesebb.

thx a segédkezőknek! mirroring welcome, megjegyzések mailben.

1. The Hacker Ethic: by Pekka Himanen and Linus Torvalds, ISBN: 037575878X, ebook ISBN: 9780307529589

2. Chaos Computer Club 10 szabálya: http://dasalte.ccc.de/hackerethics?language=en

3. Yochai Benkler, http://twitter.com/wikileaks/statuses/49995193147076608


Tunnel daemons

2012-08-22

molerat Various methods of tunneling ssh connections to pierce through restrictive firewalls. The following setups are evaluated:

  • HTTPTunnel+stunnel4, moderately difficult to setup, but once installed it appears as legitimate HTTPS traffic.
  • Iodine, setup needs the most effort, however when done and the network allows DNS queries it works quite reliably.
  • CurveCP, setup is quite easy, when done the link is encrypted and fast. However the firewalls that allow UDP/53 to pass are somewhat limited.
  • ICMPTX, setup is quite easy, however there is no encryption, use it only to tunnel encrypted traffic like ssh and such.
  • TOR, setup is easy, usage is a bit delayed due to the latency of the Tor network, requests look like normal HTTPS traffic.

The setup with the most effort seems to be also the most reliable, an iodine based link over DNS can break out of a lot of networks. If we can use HTTP to browse but other services are restricted then the httptunnel is adequate. For less setup-hassle but increased latency Tor tunnels also deliver reliably. The usefulness of ICMP and CurveCP tunnels depend on the firewall configuration, but if they work, they're pretty fast.

Over HTTPS

This method is generally useful in heavily restricted networks, where you can only use the web for browsing, but no other services are allowed.

We use the fine tool httptunnel for masking our ssh connection. However httptunnel is not encrypted, and thus also the ssh handshake can be identified in the traffic. To avoid that, we put a tunnel into our tunnel using stunnel.

On the server

First we need to generate the SSL certificate:

openssl req -new -x509 -days 365 -nodes \
       -out htcert.pem -keyout htcert.pem

Set up an stunnel, make sure to set the ip address, and the user and group exist:

/usr/bin/stunnel -f -r 127.0.0.1:8888 \
     -d <public ip address>:443 \
     -p htcert.pem -s stunnel4 \
     -g stunnel4 -P ''

When this is done, we can run httptunnel to connect the sshd with the stunnel:

/usr/bin/hts -w -F 127.0.0.1:22 127.0.0.1:8888

On the client

Get the generated certificate from the server (don't forget to remove the private key part). You need to rename the cert to it's hash value and append a '.0':

mv htcert.pem $(openssl x509 -noout -hash -in htcert.pem).0

Now start the stunnel:

sudo stunnel -c -d 127.0.0.1:8888 \
       -r <server-address>:443 \
       -s stunnel4 -g stunnel4 -P '' -a . -v 3

We need to set the server address (can be IP or name-based), make sure the user, group exist.

start the httptunnel:

htc -F <httptunnel-port> 127.0.0.1:8888

The tunnel will listen on httptunnel-port. Enjoy your ssh-over-https:

ssh -p <httptunnel-port> 127.0.0.1

Over DNS

In some cases internet access is blocked however DNS traffic is allowed to pass, allowing us to tunnel through DNS.

If you can setup a special DNS entry for this, tunneling through DNS is very easy using the excellent iodine tool. Follow the straight-forward installation instructions.

Use this method if the network allows resolving of names, even if a local DNS server is forced on us, the tunnel will still work due to recursive queries hitting your "authoritative server".

Hint: you can manage and delegate a DNS zone for free on affraid.org, if you don't have your own.

Using CurveCP on UDP/53

The drawbacks of using any DNS protocol based tunnel like iodine, are that the tunnel has size-wise a huge protocol overhead, you need to setup a slightly uncommon DNS configuration and domain names you control are usually registered on your real name. If the firewall does not force the usage of a local DNS server and it allows traffic to UDP/53, then CurveCP tunnel is a preferred option.

Alternatively you could also run on UDP/80 or other allowed UDP ports.

On the server

Note: During testing I had to recompile CurveCP as the address family was missing from the bind call, see the patch at the end of this post.

Create a server key:

curvecpmakekey serverkey

convert the key to hex, and store it on the client in serverkey.hex:

curvecpprintkey serverkey > serverkey.hex

run the curvecpserver:

curvecpserver <your host name> \
                serverkey \
                <your ip address> \
                53 \
                00000000000000000000000000000000 \
                curvecpmessage /usr/sbin/sshd -i

On the client

This depends on socat the excellent swiss-army knife of socket handling.

Store the serverkey.hex that you generated on the server and run the client:

curvecpclient <curvecpserver hostname> \
    $(cat serverkey.hex) \
    <curvecpserver ip address> \
    53 \
    00000000000000000000000000000000 \
    curvecpmessage \
    -C sh -c "/usr/bin/socat tcp4-listen:9999,bind=127.0.0.1,reuseaddr,fork - <&6 >&7"

Start your ssh-over-curvecp:

ssh -p 9999 127.0.0.1

Over ICMP

Using ICMPTX you can set up tun devices that tunnel over ICMP, which is quite handy as in some cases it's not filtered and allows to pierce through the blockades. ICMPTX creates a local network device, so tunneling anything is quite easy after setup.

On the server

Simply run

(sleep 1; ifconfig tun0 10.0.99.1 netmask 255.255.255.0 )&; icmptx -s <server ip address>

On the client

Simply run

(sleep 1; ifconfig tun0 10.0.99.2 netmask 255.255.255.0 )&; icmptx -c <server ip address>

sshing to your box is then a simple:

ssh 10.0.99.1

Using Tor

Tor is great for hiding traffic, it's latency is a bit bigger than usual, but it's quite possible to get work done through tor tunnels even with ssh. If you configure your client-side tor proxy to use a tor bridge that runs on port 443, then the tunnel looks like casual HTTPS traffic.

There's two options, you can connect from a tor exit node to your normal ssh server, in this case skip the "On the server" part, and use your normal hostname instead of the .onion address referenced there.

On the server

If you want to run your ssh tunnel as a tor hidden service you simply have to add the following two lines

HiddenServiceDir /var/lib/tor/sshtun/
HiddenServicePort 22 127.0.0.1:22

to your /etc/tor/torrc. And find out the hostname of your new hidden service with:

cat /var/lib/tor/sshtun/

On the client

You simply need to call the torified ssh:

torify ssh <.onion hostname from server>

Code

Stubs for running the server-side daemons using the excellent runit tool can be found on github. These can be most easily installed using deamonize.sh. For client-side setup use the instructions in this post.

curvecp patch

curvecpserver had to be patched, as the address family in the bind call was uninitialized, the patch is below:

diff -urw nacl-20110221/curvecp/socket_bind.c nacl-20110221-new/curvecp/socket_bind.c
--- nacl-20110221/curvecp/socket_bind.c 2011-02-21 02:49:34.000000000 +0100
+++ nacl-20110221-new/curvecp/socket_bind.c     2012-08-19 02:52:25.000000000 +0200
@@ -9,6 +9,7 @@
 {
   struct sockaddr_in sa;
   byte_zero(&sa,sizeof sa);
+  sa.sin_family = AF_INET;
   byte_copy(&sa.sin_addr,4,ip);
   byte_copy(&sa.sin_port,2,port);
   return bind(fd,(struct sockaddr *) &sa,sizeof sa);

pippi matures

2012-07-15

New filtering interface for pippi I wanted to pippi CETA with ACTA, some other FTAs (Korea, Cariforum) and some other docs, but found it difficult to do so. So during the last days I revamped pippi a bit.

The results are a new browsing interface, where you can directly start pippifications of documents. Clicking there on the "Pippi ★" button uses the currently selected document and compares it with all shown starred documents. You can quickly filter all documents based on their title (this search uses powerful regular expressions), you can filter on your own documents (more on that later) or starred documents. Later is useful for running a pippi against a greater selection of reference documents.

Another new feature is that it is encouraged to be logged in when creating documents, this allows you to later edit the title of the document and to delete it if it is not yet pippied against other documents. Being a creator of a documents allows you also to access these documents more easily by using a filter for your own collection when browsing documents.

So pippification of CETA against all those other documents was easy:

  1. I created all the documents (e.g. i copy/pasted ACTA from Oct 2011 from http://www.euwiki.org/ACTA/Tokyo_oct2, and used a bunch of CELEX ids for documents available on eur-lex.)
  2. I went to "browse" and filtered on my own collection,
  3. I starred all the relevant documents for pippification,
  4. I selected from this list CETA, so that it is displayed in the Details
  5. I hit "Pippi ★" and after some delay I got the pippied results presented.

The result looks like this: http://pippi.euwiki.org/doc/ceta_ipr_2012feb

Hint: if you enter ACTA in "Filter by tag" in the top bar, then it hides the copies from the other documents...


ACTA vége

2012-07-04

végeredmény A mai napon az Európai Parlament hosszas és izgalmas csaták után (a konzervatívok még az utolsó pillanatban megpróbálták visszadobni a döntést bizottsági fázisba), 478 - 39 arányban (165 tartózkodás mellett) végre nemet mondott a Hamisítás Elleni Kereskedelmi Egyezményre. Ezzel egyelőre vége az Európai Bizottság ámokfutásának - bár 2 hete DeGucht komisszár még jelezte, nem fogja tiszteletben tartani a a parlament demokratikus döntését és újra be fogja terjeszteni, de ezt még meglátjuk. Talán végre hasznosabb vitáknak szentelhetjük a következő heteket, hónapokat. Most, hogy ezzel nem betonozódik be a szerzői jogok és szabadalmak rezsimje, a Szellemi tulajdon érvényesítéséről szóló irányelv, az Adatvédelmi irányelv és az Európai Szerzői Jogi irányelv, Közszféra Információinak további Felhasználásáról szóló irányelv felülvizsgálata lehetnek az első lépések.

Az elmúlt években keményen ACTA ellen fellépő szervezetek közleményei és javaslatai a jövőt illetően:

Köszönet mindenkinek, aki személyesen, telefonon, emailben, levélben, faxban kapcsolatba lépett a képviselőkkel, azoknak akik kimentek az utcára, akik bloggoltak, tweeteltek erről. Ti döbbentettétek rá a képviselőket mekkora a felelősségük. Nélkületek csak egy rakás okostojás lettünk volna.


hálósemlegesség konzultácio

2012-06-30

Az imént küldtem el az NMHH részéről meghírdetett hálózatsemlegességi konzultációra az alább bemásolt véleményt. Köszönet Mariettának, aki lefordította az eredetit és a sok segitőnek, aki magyarított, véleményezett és beleszólt, köszi (tudjátok kik vagytok)!

Hozzászólás a hálózatsemlegességről szóló nyilvános konzultációhoz

A jelen szöveg a Nemzeti Média- és Hírközlési Hatóság által 2012. május 30-án elindított hálózatsemlegességről szóló nyilvános konzultációhoz járul hozzá. Javasoljuk a hatóságnak, hogy tegye világossá, célja a gazdasági fejlődés és az innováció elősegítése. De különösen fontos, hogy kifejezésre juttassa, kiáll a szólásszabadság mellett. Mindezeket megteheti, ha Magyarország internetre vonatkozó szabályozásának értékelése során figyelembe veszi az alábbi alapelveket, melyeket követve biztosítható a hálózatsemlegesség, és hogy a magyar állampolgárok az internet elérésére használt eszközeiket megfelelő szabályozási környezetben tudják használni.

Összefoglaló

  1. A hálózatsemlegesség egy üzleti fogalom, amely kísérlet egy technológiai koncepció újraértelmezésére, ez a kísérletezés az internet működését veszélyezteti.
  2. Az internetszolgáltatókkal akár szabályozás révén is be kell tartatni az „end-to-end” alapelvet
  3. Alapvető fontosságú a hálózatsemlegesség biztosítására a vertikális monopóliumok megtörése, a szolgáltatók korlátozásainak megszüntetése
  4. A nem engedélyköteles spektrumon alapuló, szabad közösségi szolgáltatók támogatása, a Digital Dividend (digitális hozadék) 33 százalékát jelöljük ki erre a célra

Az „end-to-end” alapelv

end-to-end alapelv

A hálózatsemlegesség egy üzleti fogalom, amely alapvetően egy technológiai koncepciót takar, az ún. end-to-end alapelvet.

Az internet különféle protokollok rétegeire épül. A felhasználó interakcióba lép valamely alkalmazással, amely továbbítja az adatokat ezeken a rétegeken keresztül az operációs rendszerbe és tovább. A rétegek legalján valamiféle fizikai eszköz van, például egy kábel vagy egy rádióhullám – lényegében az internetszolgáltató. A fogadó oldalon hasonló rétegek kezelik az adatokat alulról felfelé, amíg azok el nem jutnak a felhasználóig. A különböző rétegek nem vesznek tudomást a felsőbb rétegekből továbbított adatcsomag tartalmáról és nem is változtatnak az adatcsomagokon semmilyen módon. Minden egyes réteg közvetlenül a fogadó oldal azonos funkciójú rétegével kommunikál. Az értelmezés nem a közvetítés során történik, hanem a kommunikáló végfelhasználóknál. Innen ered az alapelv neve.

Az end-to-end alapelv decentralizálja a hálózaton átmenő információt. A klasszikus telefonszolgáltatói háttérrel rendelkező távközlési cégek hozzászoktak, hogy a hálózatukon átmenő információt irányításuk alatt tartják, egy „központban”, amelyben korábban emberek dolgoztak, manapság ezalatt számítógépes kapcsoló központot értünk. Azáltal, hogy a szolgáltatók felügyelet alatt tartják a teljes infrastruktúrát, nincs valódi verseny és nincs innováció. Az 1968-as Caterphone szabályozás létfontosságú volt abból a szempontból, hogy megnyitotta telefonhálózatokat és decentralizálta a hálózati vezérlést azáltal, hogy modemeket engedett csatlakoztatni. Ez a létfontosságú lépés is szükséges volt az internet robbanásszerű növekedéséhez.

A valós hálózatsemlegesség azt jelenti, hogy az internetszolgáltatók csak egy alsóbb rétegét jelentik a teljes rendszernek. Bármilyen, a szolgáltatón keresztül küldött tartalmat a forrástól, a céltól és az adatcsomagot alkotó adatoktól függetlenül továbbítani kell. Ez az end-to-end alapelv, és ez az, amit ma hálózatsemlegesség néven forgatnak ki eredeti jelentéséből. Elengedhetetlen, hogy a szolgáltatókat arra kötelezzük, feleljenek meg az end-to-end alapelvnek, és kezeljenek minden adatcsomagot előítéletek nélkül.

Verseny

Az, hogy az infrastruktúrát és a tartalmat is ugyanaz az üzleti vállalkozás nyújtja, trösztellenes aggályokat vet fel, hiszen ez lehetőséget ad arra, hogy diszkriminálja a harmadik fél által nyújtott tartalmakat, és előnyben részesítse azokat a tartalomszolgáltatásokat, amelyeket ő maga nyújt. Példák vannak arra, hogy a szolgáltató akár teljesen letilthatja a versenytársnak minősülő VoIP (IP-alapú telefon) szolgáltatásokat, vagy a jogkövető, de alternatív hang és videó tartalmakhoz való hozzáférést a hálózatáról. Ez a fajta gyakorlat szintén az end-to-end alapelv megsértése, hiszen az alapelv szerint a tartalmat a hálózat alsóbb rétegeiben előítélet nélkül kell kezelni.

A szabályozásnak hosszútávú megoldásokat kell nyújtania a problémát kiváltó okokra. A tartalmat el kell választani az infrastruktúrát biztosító szolgáltatóktól (például a CDN vagy a triple-play szolgáltatásoknál, ahol az internet-, a telefon- és a televíziószolgáltatás egy csomagban van). A termékek és a szolgáltatások szétválasztására (például a kártyafüggő mobiltelefonoknál) azért van feltétlenül szükség, mert így megszűnik egy ok arra, hogy a hálózatsemlegesség megszegésében a szolgáltató üzletileg érdekelt legyen.

A sávszélesség túlárusítása egy másik probléma, amelyet a verseny hiánya okoz. Az olyan hálózat üzemeltetői, melyek több kapacitást adnak el, mint amennyit képesek szolgáltatni, szükségszerűen a szűrés, a sávszélesség-korlátozás és a blokkolás eszközéhez nyúlnak. Mivel ez gyakran diszkriminatív, így szintén a hálózatsemlegesség megszegésének számít.

Alapvető jogok

A hálózatsemlegességgel kapcsolatos fejlemények az alapvető jogokat is veszélyzetetik. Az analóg tartalomszolgáltatással foglalkozó iparágak (pl. zeneipari kiadók, tudományos folyóirat kiadók) képtelenek felvenni a versenyt a megváltozott feltételekkel, – a terjesztés közel nullszaldósra jön ki – ezért megpróbálják a kormányokat és az internetszolgáltatókat rávenni arra, hogy módosítsanak az alapvető hozzáférésen (hozzáférési jogokon), és automatikusan blokkolják a lakosság nagy részének hozzáférését. A kommunikációhoz, magánszférához és a szólásszabadsághoz való alapvető jogokat sodorják ezzel veszélybe. Kiemelten szigorú igazságszolgáltatói fennhatóságot kell biztosítani, ha és egyáltalán ezen jogok bármelyikét megsértik. A mindennapi élet létfontosságú részei, az adatforgalomról szóló információktól kezdve, az internetbankoláson át a közszolgáltatásokig, mind a szabad internet meglététől függenek. A hálózaton történő blokkolást és módosításokat alkotmányellenesnek minősítették az Európai Unió egyes tagállamaiban. Az internet-hozzáféréshez való jog alapvető jognak számít Észtországban, Finnországban, Franciaországban és Görögországban1. Hollandiában törvény rendelkezik a hálózatsemlegességről2.

Némely tagállamban a szólásszabadsággal kapcsolatos törvényi változások aggodalomra adnak okot. Az anonimitás és a szólásszabadság védelme kiemelten fontos azokban az országokban, ahol a média nagy része valamilyen formában a kormány irányítása alá tartozik. Csak a szabad és korlátok nélkül internet teszi lehetővé a kormányzat átláthatóságát, a korrupció elleni harc segítése érdekében történő szivárogtatásokat, a politikai ellenzék működését és a demokráciát.

Digital Dividend

Ahhoz, hogy kiegyensúlyozott és semleges infrastruktúrát tartsunk fenn, lehetővé kell tennünk az engedélyhez nem kötött rádió spektrumon alapuló, szabad internet-hozzáférés biztosítását. A különféle közösségeket arra kell ösztönöznünk, hogy biztosítsanak last-mile szolgáltatásokat. A Digital Dividend óriási lehetőséget nyújt arra, hogy a felszabaduló analóg televízióspektrum legalább egyharmadát engedélyhez nem kötött spektrum alapú, szabad, közszolgálati internetszolgáltatóknak adjuk. Az olyan kezdeményezéseket, mint az Open Spectrum Alliance3 (magyarországon a HUWICO-hoz hasonlóan), támogatni kell abban, hogy feltörekvő közszolgálati és nem kereskedelmi célú internetszolgáltatókat hozzanak létre, amelyek növelik a piaci versenyt és serkentik a beruházásokat az infrastruktúrába. Az amerikai Szövetségi Kommunikációs Bizottság (FCC) 2010. szeptember 23-i döntése lehetővé teszi a kiosztatlan, úgynevezett white space spektrumának használatát4:

„A white-space spektrum elsőrangú vételnek számít, mert jól közvetíti a jeleket, ezáltal a mobil vezeték-nélküli eszközök számára is megfelelő. Azáltal, hogy ezt az értékes hullámhosszt megnyitjuk az új iparágak virágzásának elősegítésére, munkahelyeket teremtünk Amerikában és serkentjük az új beruházásokat és az innovációt.”

Hazánknak is követnie kell ezt az utat, és elő kell segítenie a nem engedélyhez kötött spektrumon alapuló szereplők megjelenését és fennmaradását a piacon.

Mobil Internet

Az Európában sok helyen általános gyakorlat, hogy a mobil hálózatokra csatlakozó eszközök feletti szigorú ellenőrzés meggátolja a végfelhasználókat abban, hogy alternatív VoIP szolgáltatásokat használjanak. Az üzemeltetők nem engedik, hogy mobil eszközökre más hálózatokról közvetlenül kapcsolatot kezdeményezzünk. A felhasználók készülékei nem tudnak közvetlenül, nem-hangalapú csatornán kommunikálni egymással. Ezenfelül arra sincsen mód, hogy az interneten keresztül hozzákapcsolódjunk egy mobilhálózatra csatlakozott eszközhöz. Ezek a tények már önmagukban sértenek alapvető jogokat, visszafogják a gazdasági növekedést és az innovációt. Az IPv6 bevezetésének felgyorsításával a mobil eszközök esetében feloldható az egyik legnagyobb akadálya annak, hogy ezeket a hálózatokat megnyissuk.

Az end-to-end alapelv szemszögéből semmilyen jelentősége nincsen annak, hogy fizikailag mely közvetítő hálózati médiumról van szó, ezért mindkét hálózat esetében ugyanazokat a szabályokat kell alkalmazni.

Vezetékes és vezeték nélküli hálózatok

Fogyasztói szemszögből nézve nincs igazi verseny sem a vezetékes, sem a vezeték-nélküli elérések piacán. Egy helyi piac, ahol kevesebb mint 4-5 szolgáltató van, nem jelent versenyt. Azáltal, hogy megnyitunk egy nyilvános, nem kereskedelmi célú spektrumot, nőhet a verseny a vezeték-nélküli last-mile piacon.

A vezetékes hálózatok piacán is előnyös lenne, ha a megnyitnák az előfizetők által használt set-top boxokat, hogy növeljék a versenyt, az innovációt és az üzleti növekedést a háztartási szórakoztatóiparban.

Szabályozás és ellenőrzes

A szabályozásban résztvevő szereplőknek meg kell változtatniuk a hozzáállásukat: az „internet szabályozása” helyett a iparági infrastruktúra hálózatsemlegességének betartatására kell fókuszálniuk. Amíg korlátozott számú résztvevője van a piaci versenynek, addig sokkal nagyobb a szigorú felügyelet fontossága, hiszen a nagy piaci koncentrációval nagyobb felelősség is jár.

Alapvető fontosságú, hogy a szabályzó szervezetek ellenálljanak az iparági értékláncon belülről és kívülről jövő aggresszív próbálkozásoknak, melyek a hálózatsemlegességet sérthetik.

Kapacitás

A szolgáltatók kapacitás túlárusításából keletkező bevételüket a tartalomgyártásba és a szolgáltatások működésébe fektetik be, ezek a tényezők definiálják ma a versenyt. Sajnos az, hogy az infrastruktúrába fektetnek be, sokkal ritkább. A széles körben elérhető Fiber To The Home (FTTH) ajánlatok hiányoznak a piacról. A vertikális monopóliumokat, amelyek a last-mile-on alapulnak, szét kell választani külön piacokra és kötelezni kell az internetszolgáltatókat arra, hogy csak a saját piaci kompetenciáik szerint ruházzanak be. Ugyanilyen korlátozásoknak kell érvényesülniük a többi szegmensben is.

Az általános túlárusítási gyakorlatot szabályozni kell: felső korlátra van szükség amely limitiálja a túlárúsítást, továbbá meg kell gátolni, hogy a kapacitás hiány mérséklésére konkrét protokollokat vagy alkalmazásokat szürjenek vagy lassitsanak. Ezekben az esetekben biztosítani kell az átláthatóságot, így a fogyasztók megfelelő képet alkothatnak a szolgáltató valós lehetőségeiről.

Forgalom menedzsment

Az adatforgalom kezelését csak rövid időszakokra szabad megengedni; átmeneti túlterhelés vagy biztonságot veszélyeztető helyzetek esetén. Amennyiben rövidtávú adatforgalom menedzsmentre van szükség, azt bármely más az esethez nem kapcsolódó felhasználó, az adatok és tulajdon diszkriminálása nélkül kell végrehajtani. Ha a sávszélesség nem megfelelő, például a kapacitás túlárusítása miatt, a szolgáltatás minősége forgalom menedzsment nélkül mindenképpen romlani fog. Ha komoly verseny van a piacon, akkor a szolgáltatóknak a sávszélesség növelésével vagy más szolgáltatók versenyképes ajánlataival, például a nem kereskedelmi célú, közszolgálati jellegű szolgáltatásokkal kell felvenniük a versenyt.

Átláthatóság

Az átláthatóság önmagában nem változtat a hálózatsemlegesség megsértésének tényén. A szolgáltatók már most is jelzik az előfizetőkkel kötött szerződéseikben, hogy egyes szolgáltatásokat diszkriminálnak. Ezt a tájékoztatási gyakorlatot meg kell tartani, ugyanakkor valójában semmilyen átláthatóságra nincsen szükség, ha egyszer nincs mit átláthatóvá tenni, amikor semmilyen változtatás vagy blokkolás nem történik – ezért a változtatás- és blokkolásmentesség kell legyen az alapvető állapot. Az átláthatóság a sávszélesség használatának ellenőrzésénél létfontosságú, valamint akkor, ha a végfelhasználókat értesíteni kell arról, hogy ideiglenes hálózati vagy biztonsági problémák fordulnak elő.

Menedzselt szolgáltatások

Menedzselt szolgáltatások csak az alábbi feltételek mellett elfogadhatóak:

  • az ARCEP 2010-es javaslatához hasonlóan, nem működhet a hagyományos hálózat egy minimális minőségének rovására (ha szükséges, akár fizikai szeparáció árán).
  • a végfelhasználónak szabad választást kell biztosítani, melyik szolgáltató szolgáltatását kívánja ily módon kiemelten kezelni (end-to-end),
  • a szolgáltatás kizárólag nagyon korlátozott adatokra vonatkozhat (pl. vészjelző szolgáltatások, közművek mérőberendezései, stb)

Fogyasztói kontroll

A szolgáltatás minőségét az összes fogyasztó tudja ellenőrizni, a sávszélesség sebességének és minőségének valós idejű átláthatósága lehetővé teszi, hogy a fogyasztók saját maguk végezzenek ellenőrzéseket és ennek megfelelően önállóan tegyenek válaszlépéseket. Különösen akkor lehetséges ez, ha a végfelhasználóknak lehetőségük van a bárki számára elérhető eszközöket használni a készülékeiken, és ha a szolgáltatóváltás is egyszerűen megoldható. Biztosítani kell ingyenes és szabad forráskódú eszközöket arra, hogy bármely felhasználó saját maga ellenőrizhesse a minőséget. Ez implikálja azt a feltételt is, hogy bármilyen szoftvert futtathatunk a saját eszközünkön. Ezt jelenleg megnehezítik az eladói vagy szolgáltatói korlátozások a végfelhasználók eszközein. Ha elősegítjük a könnyű szolgáltatóváltást, a nyílt szabványok elterjedését és a nyílt forráskódú szoftverek használatát ezeken az eszközökön, az állampolgárok sokkal bátrabban tesznek majd válaszlépéseket, hiszen sokkal több információval rendelkező szereplői lesznek a piacnak.

Valódi, end-to-end hálózatsemlegesség esetében, a fogyasztók valós időben is ellenőrizhetik az elérhető sávszélességet és az ideiglenes hálózati vagy biztonsági problémákat. Ha egy szolgáltató nem felel meg az end-to-end alapelvnek, akkor az átláthatóság lehetővé teszi azt, hogy ezzel tulajdonképpen a többi, az end-to-end alapelv szerint működő szolgáltatót reklámozza. Ahhoz, hogy ez megvalósuljon, szükségünk van nem-kereskedelmi és nyilvános hozzáférést biztosító szolgáltatókra. Ezen szolgáltatók feladata, hogy biztosítsák az end-to-end alapelv piaci jelenlétét.

Emberi jogokat veszélyeztető technológia

A tartalmak módosítása olyan bonyolult Deep Packet Inspection eszközök elterjedését segíti elő, amelyek károsan hatnak az alapvető szabadságjogokra. Azok a technológiák pedig, amelyeket az Európai Unió piacára fejlesztenek majd, a világ más régióiban is elérhetők lesznek és minimális változtatásokkal politikai ellenzék, ellenzéki csoportosulások ellen lesznek felhasználhatók. Valójában az ilyen technológiák már elérhetők és súlyosan károsítják a demokrácia fejlődését, valamint a politikai menekültek munkásságát.5

Egyéb hatások

Az alapvető jogokat, például a szólásszabadságot vagy a magánszférához való jogot bizonyosan sérti az úgynevezett Deep Packet Inspection (mély csomagelemzés) és a blokkolásra alkalmazott technológiák. Ezekkel a technológiákkal a szolgáltatók visszaélhetnek azért, hogy elnyomják a versenyt és saját kereskedelmi érdekeiket helyezzék előtérbe. Az alternatív tartalmak gyártói, mint például a kis stúdiók, előadók és művészetkedvelő közösségek nem tudnak egyenlő felekként részt venni a tartalomszolgáltatók versenyében. Ez visszaveti az internet sokszorosító hatását a tartalomgyártásban, és a versenyt az iparág domináns szereplőire korlátozza. Az internet alkotást elősegítő, részvételi jellegét pedig egyszerűen csak fogyasztásra alkalmas médiummá alacsonyítja.

Ezt a hatást sajnálatos módon tovább erősíti az a gyakorlat, hogy legtöbb internet ajánlat asszimetrikus, diszkrimálva a letöltést (fogyasztást) szemben a feltöltéssel (termelékeny internethasználattal). Ez a gyakorlat bár ártalmatlannak és nem közvetlenül hálózatsemlegességi kérdés, mégis komoly visszafogó hatása van, a fogyasztóknak maguknak kell tudniuk, dönteni, akarnak-e asszimetriát vagy nem.

Hálózatsemlegesség Magyarországon

Magyarországon a fentiekben taglaltak szellemében kell eljárni. A BEREC jelentésének eredményei alapján hazánkban is széleskörű ellenőrzéseket kell végezni, és meg kell szüntetni a semlegességet sértő gyakorlatokat. Hazánkban a jogalkotás és szabályozás terén a Schewick7 és Neelie Kroes EU-biztos 6 által megjelölt irányban érdemes megtenni az első lépéseket. További kiugrási lehetőséget jelentene, ha a "Digitális Hozadék" meghatározott részét nem-engedélyköteles felhasználásra biztosítanák. Az ebből fakadó innováció, valamint a pozitív gazdasági és versenypiaci hatások révén technológiai lépéselőnybe kerülhetünk a világpiacon.

Zárszó

A kereskedelmi és közszolgálati érdekek ütköztetése során fontos megjegyeznünk, hogy a rövidtávú üzleti érdekek nem állnak összefüggésben a társadalom javát szolgáló hosszútávra szóló előnyökkel, amelyeket ez a vita teljesen kiforgat eredeti jelentésükből. Mind a köz érdekét, mind a kereskedelmi-, innnovációs- és gazdaságfejlesztési érdekeket az eredeti értelemben vett hálózatsemlegesség az end-to-end alapelvhez való szigorú ragaszkodás szolgálja a leghatékonyabban.

Tisztelettel:

  • Veres-Szentkirályi András
  • Marsiske Stefan
  • Maróy Ákos
  • Punger Gergő
  • Kotcauer Péter
  • Horváth Róbert
  • Fekete Tibor
  • Hammerl László
  • Le Marietta
  • Tóth Balázs
  • Kálmán Gergely
  • Dunajcsik Péter
  • Varga-Perke Bálint
  • Tóth Gábor
  • Kürti László

2012 Június 30.

1. http://en.wikipedia.org/wiki/Internet_access#Internet_access_as_right

2. https://www.bof.nl/2012/05/08/netherlands-first-country-in-europe-with-net-neutrality/

3. http://www.openspectrum.eu

4. http://hraunfoss.fcc.gov/edocs_public/attachmatch/DOC-301650A1.pdf

5. http://samibengharbia.com/2010/09/17/the-internet-freedom-fallacy-and-the-arab-digital-activism/

6. http://blogs.ec.europa.eu/neelie-kroes/netneutrality/

7. van Schewick, Barbara. Network Neutrality and Quality of Service: What a Non-Discrimination Rule Should Look Like. Stanford Center for Internet and Society, June 2012. http://cyberlaw.stanford.edu/publications/network-neutrality-and-quality-service-what-non-discrimination-rule-should-look.


acta végső

2012-06-28

kint van az EP ACTA végső szavazásra terjesztett állásfoglalási javaslat:

Az Európai Parlament, [...] tekintettel az Európai Unió és tagállamai, valamint az Amerikai Egyesült Államok, Ausztrália, Japán, Kanada, a Koreai Köztársaság, a Marokkói Királyság, a Mexikói Egyesült Államok, a Svájci Államszövetség, a Szingapúri Köztársaság és Új-Zéland közötti, hamisítás elleni kereskedelmi megállapodás tervezetére, [...] tekintettel a Nemzetközi Kereskedelmi Bizottság ajánlására, valamint a Fejlesztési Bizottság, az Ipari, Kutatási és Energiaügyi Bizottság, a Jogi Bizottság és az Állampolgári Jogi, Bel- és Igazságügyi Bizottság véleményeire (A7-0204/2012), [...]

  1. nem ért egyet a megállapodás megkötésével;
  2. utasítja elnökét, hogy tájékoztassa a Tanácsot arról, hogy a megállapodás nem köthető meg;
  3. utasítja elnökét, hogy továbbítsa álláspontját a Tanácsnak, a Bizottságnak, valamint a tagállamok, illetve az Amerikai Egyesült Államok, Ausztrália, Japán, Kanada, a Koreai Köztársaság, a Marokkói Királyság, a Mexikói Egyesült Államok, a Svájci Államszövetség, a Szingapúri Köztársaság és Új-Zéland kormányának és parlamentjének;

Most mar "csak" - az amerikai függetlenség napján - meg kell szavazni. Az FFII irt ismét egy kíváló levelet, miert fontos ez.

Ugyanaznap az egységes szabadalmi rendszerről is lesz végszavazás, sajnos itt nem állunk olyan rózsásan, a 7 évvel ezelőtti szoftveres szabadalmak elleni győzelemből most majd lefaraghatnak. A harc többfrontos, tessék levelet írni a képviselőknek vagy felhívni őket.


Announcing Herr Nilsson

2012-04-16

Herr Nilsson is a bot which fetches data from parltrack and imports it into a mediawiki. This helps to improve the stubs on euwiki itself.

This also allows other organizations to run their own internal wiki, which can contain private analysis and commentary. A much requested feature. All you need is a mediawiki and Herr Nilsson is setting up stubs for the dossiers of interest.

On parltrack there's now a Preferences menu in the top blue bar, where you can set the address to your mediawiki, and parltrack will automatically display a Notes link in the top blue bar, which links to the dossiers page on your own hosted wiki.


adatkérő levél

2012-04-03

A napokban megint mail-írasra kényszerítettek, ezúttal egy jóakaratú, de tájékozatlan ismerősöm írt fel kéretlenül valami marketing szolgáltatásra. A leiratkozás során több problémás dolgot észleltem. A mostanában történő törvénykezési ámokfutás miatt gyanítható, hogy sok online szolgáltatás még nem állt át az új törvényre, így legalább az elavult törvényre való hivatkozás tekintetében valószínűleg átmenetileg iparági problémával állunk szemben.

Az alábbiak talán másoknak is hasznosak lehetnek, ha hasonló ügyben kívánnak eljárni.

Tisztelt Napidij,

egyik kevésbe tájékozott ismerősöm irt fel az önök szolgáltatására. Ma leiratkoztam a szolgáltatásukról.

1. A leiratkozás során megjelenített megfogalmazás nem feltétlenül jelenti a törlést. Az önök oldala szerint: "Nem akarok tájékoztatást a Napideal ajánlatairól." - nem egyenértékű a törléssel.

2. Továbbá: "A Napideal Kft. ezt követően csak a jogszabályok által előírt kötelező tartalmú adatokat tárolja a jogszabályok szerint előírt ideig."

3. Továbbá: "A Napideal Kft. a Vevők adatainak kezelésekor a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. tv. rendelkezései alapján jár el." Felhívom a figyelmüket, hogy hatályba lepett a "2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról"

Ezert a 2011 CXII tv alapján:

a) a 5. § (1) A pontja értelmében NEM járulok hozza a további kezeléshez.

b) 15. § (1) felszólítom önöket az eddigi adatok felhasználásról teljeskörű tájékoztatásra.

c) a 14. § C pontja szerint kérem személyes adataim törlését.

d) teljeskörű tájékoztatást kérek azokról az adatokról, amelyeket nem törölnek, ott személyes adatonként tételesen megjelölve a további adatkezelés jogalapját.

Ma (2012 Április 3.) az alábbi választ kaptam:

Köszönjük megtisztelő figyelmét és levelét.

Ezúton kívánjuk Önt biztosítani, hogy kívánságának megfelelően az eddig kezelt adatai ( név, e-mail cím ) törlésre kerültek.

Az Ön esetében, mivel semmilyen akcióban nem vett részt, semmilyen további adattárolást nem kell folytatnunk. Nem kell az Ön által esetlegesen megvalósult részvétellel kapcsolatos adatokat ( akció, az akció megrendelési dátuma, fizetési teljesítés banki igazolása, az akció lebonyolítójának visszajelzése, annak dátuma).

Köszönjük levelét!

Üdvözlettel,

Napideal csapata

Szép munka.

Mostanában annyi emailt posztolok, hogy ez lassan már nem is blog, hanem outbox...



next posts >
< prev posts

CC BY-SA RSS Export
Proudly powered by Utterson