19 replies to this topic

[PliPi]

Hoe staat het met privacy bescherming in pli 7.2 als je ermee online bent/gaat?
Houdt pli 7.2 bijv. het zap en kijkgedrag bij zoals veel 'smart' tv's doen? Wat word er allemaal geregistreerd en opgeslagen en door wie?

 

[WanWizard]

Daar kunnen we kort over zijn: OpenPLi slaat wat (gebruikers)gedrag betreft niks op.

 

Enigma houdt je zap gedrag vast in het geheugen van de box (om terug naar de vorige zender te kunnen zappen), en dat wordt opgeslagen op de box als je de zap history plugin hebt geinstalleerd.

 

Verder doet de box een ICMP ping naar google.com en openpli.org bij het opstarten, om te checken of er internet connectiviteit is, en gebeurt er vanaf 7.3 een API call tijdens de setup om op basis van je IP adres de timezone te bepalen.

 

Daarnaast is er, als je een image download of een update doet, een entry in de webserver logs met je IP adres en het bestand dat wordt gedownload. Deze logs worden 30 dagen bewaard voor troubleshooting doeleinden.

 

We hebben deze log informatie in het verleden gebruikt om een inzicht te krijgen over hoeveel gebruikers we hebben, en waar ter wereld die zitten, maar dat doen we al jaren niet meer.

[stef3812]

[PliPi]

Bedankt WanWizard. Bij het horen van Google krijg ik altijd de kriebels. Dit grootste 'legale' commerciele spionage bedrijf ter wereld vreet zich overal binnen.

Dus wat moet je je voorstellen met een'Internet Control Message Protocol ping naar Google'? En welke gegevens worden er dan teruggepingt? Hier  word ik als leek niet veel wijzer van, maar het klinkt alsof er geen data worden gestuurd.
Waarom/hoe is Google uberhaupt betrokken bij PLi?

En hoe zit het met de diverse plugins, welke informatie kunnen die onttrekken? Zijn daar privacy regels voor en is daar controle op?


 

Edited by PliPi, 26 May 2020 - 21:27.

[cobus]

Het is opensource dus als je de code bekijkt kun je van iedere plugin en pli zelf zien wat ze doen of kunnen doen.

[WanWizard]

Een ping is een echo pakket (als de ping van een onderzeeboot).

 

Het heeft een data payload, afhankelijk van de lengte van ping pakket, maar het is gewoon een letter reeks ('abcdefg....') om het pakket te vullen. De ontvanger doet niks anders dat het pakket terugsturen naar de verzender.

 

Om te controleren of er een internet verbinding is het het makkelijkst om te kijken of een IP bereikbaar is via een ICMP ping. En Google is altijd bereikbaar, openpli.org heeft geen 100% uptime.

 

Google heeft geo-loadbalancers over de hele wereld, zo'n ping pakket komt niet bij servers, en zelfs al was dat het geval, dan kunnen ze er nog weinig mee, anders dan je publiek IP registeren (en dat is niet direct geheim, noch nieuws). In het geval van OpenPLi komt het antwoord van de de loadbalancers van onze datacenter provider, en daarvan weet ik zeker dat die daar niks mee doen.

 

Geen idee hoe je hieruit afleid dat Google bij PLi betrokken zou zijn.

 

En hoe zit het met de diverse plugins, welke informatie kunnen die onttrekken? Zijn daar privacy regels voor en is daar controle op?

 

Geen idee, in principe alles, er is geen security op de box, en in essentie is het een linux server. En nee, daar zijn geen regels voor nog controle (door ons) op.

Dat gezegd hebbende zijn veel plugins open source, net als onze code zelf, en dan wordt het lastig stiekeme zaken in te bouwen.

[WanWizard]

In het geval van OpenPLi komt het antwoord van de de loadbalancers van onze datacenter provider, en daarvan weet ik zeker dat die daar niks mee doen.

 

Ik wordt gevraagd dit corrigeren, het is de firewall die antwoord op de ICMP.

 

De loadbalancers staan daar achter, maar die worden niet door OpenPLi gebruikt (we hebben maar 1 web server, dus er valt niks te balancen ).
 

[40H3X]

... ter aanvulling , mijn lokale firewall gebruikt dpinger en toevallig ook Google om te pingen, zo wordt hier de TTL bepaalt. In Jip en Janneke (bedoel ik niks negatief mee) dit doen ik om te checken of mijn internet verbinding actief cq. ik een internet verbinding heb en dan is Google pingen een logische keuze, net zoals PLi doet, simpel omdat je iets wil pingen dat er nooit uit ligt en dat is met Google bijna 100% 

[littlesat]

Was het niet dat we eerst OpenPli deden pingen en daarna pas als ooenpli er niet was Google?

[Tech]

... ter aanvulling , mijn lokale firewall gebruikt dpinger en toevallig ook Google om te pingen, zo wordt hier de TTL bepaalt. In Jip en Janneke (bedoel ik niks negatief mee) dit doen ik om te checken of mijn internet verbinding actief cq. ik een internet verbinding heb en dan is Google pingen een logische keuze, net zoals PLi doet, simpel omdat je iets wil pingen dat er nooit uit ligt en dat is met Google bijna 100% 

Ik heb dat allemaal gelukkig niet nodig, ik merk zonder ping wel of mijn netwerk online is of niet en een ping zegt dan erg weinig, als de DNS offline is, krijg je geen ping, tenzij je op ip pingt.

[40H3X]

<off topic>Klopt,daar heb ik ook over nagedacht , dus ik monitor (ping) 8.8.8.8 en het IP van mijn gateway en btw ik gebruik mijn eigen DNS server (unbound).</off topic>

Edited by 40H3X, 27 May 2020 - 08:34.

[PliPi]

Bedankt iedereen voor de serieuse reakties!
@40H3X 'Jip en Janneke' taal is goed verstaanbaar en niks mis mee.

WanWizard on 26 May 2020
"Geen idee hoe je hieruit afleid dat Google bij PLi betrokken zou zijn"

Dat beweer ik niet, maar vind het jammer dat Google gebruikt ('betrokken') word, er zijn vast andere altijd online servers te vinden.

WanWizard on 26 May 2020
"Geen idee, in principe alles, er is geen security op de box, en in essentie is het een linux server. En nee, daar zijn geen regels voor nog controle (door ons) op.
Dat gezegd hebbende zijn veel plugins open source, net als onze code zelf, en dan wordt het lastig stiekeme zaken in te bouwen."

Open source is natuurlijk geen bevestiging dat iets 'veilig' is. Als de weinigen die de programmeertaal kunnen lezen dat niet controleren houdt alles op. Dit is uiteraard niet als verwijt bedoeld.

[WanWizard]

en een ping zegt dan erg weinig, als de DNS offline is, krijg je geen ping, tenzij je op ip pingt.

 

Voor de image is dat ook de check, "is het bereikbaar". Dus het test zowel connectiviteit als DNS.

 

Dat beweer ik niet, maar vind het jammer dat Google gebruikt ('betrokken') word, er zijn vast andere altijd online servers te vinden

 

Doe maar een voorstel voor iets anders, dat net zo betrouwbaar is, en je meer vertrouwen inboezemd (zal niet meevallen ).

 

Open source is natuurlijk geen bevestiging dat iets 'veilig' is. Als de weinigen die de programmeertaal kunnen lezen dat niet controleren houdt alles op. Dit is uiteraard niet als verwijt bedoeld.

 

Helemaal waar. Bottom line is dat het controleerbaar is, en dat wij dat niet doen (behalve voor wat we zelf maken / beheren natuurlijk ).

[Pippin]

Open source is natuurlijk geen bevestiging dat iets 'veilig' is.

Veiligheid en privacy zijn verschillende zaken.....

Edited by Pippin, 27 May 2020 - 13:32.

[WanWizard]

Ja, vraag maar aan de chinezen: het volledig opgeven van alle privacy is erg veilig...

[PliPi]

Doe maar een voorstel voor iets anders, dat net zo betrouwbaar is, en je meer vertrouwen inboezemd (zal niet meevallen ).

https://europa.eu/eu...-union/index_nl

[WanWizard]

Geen idee wat je met die link bedoelt, maar waar vind ik dat "europa.eu" 100% uptime heeft?

[40H3X]

@Plipi een ping is zeg maar de meest simpele test om te checken of een (node) apparaat "verbonden" is, meer niet. Er vindt verder geen enkele data overdracht plaats.Het is zeg maar een bal die je naar een muur gooit en als deze niet terug komt dan kunnen er 2 dingen aan de hand zijn, er is geen muur of daar waar je hem heen gooide zit er een gat in de muur (firewall die ICMP blockt). In dit geval wil OpenPLi weten of er een internet verbinding is en dan moet je dus zeker weten dat de muur er altijd staat en er geen gat in zit en met Google is dat 100%, das de enige reden waarom OpenPLi dit doet.

[PliPi]

Geen idee wat je met die link bedoelt, maar waar vind ik dat "europa.eu" 100% uptime heeft?

Dat was mijn voorstel om als ping te gebruiken. Hoe groot is de kans dat "europa.eu" geen 100% uptime heeft?

@40H3X Die bal moet wel weten waarheen die terug moet stuiteren, en de muur dus ook...

[WanWizard]

Ik heb in het verleden datacenters voor een overheid ontworpen en gemanaged, en heb nu zelf een managed hosting firma.

 

Je wilt niet weten hoe ingewikkeld het is om 100% uptime te realiseren...

 

@40H3X Die bal moet wel weten waarheen die terug moet stuiteren, en de muur dus ook...

 

Op het exacte moment dat de bal bij die muur arriveert, ja.

 

Het wordt pas een issue als dat onthouden wordt, nog even los van de vraag wat iemand moet met een hele lange lijst aan alleen IP adressen....

 

Een ICMP wordt afgehandeld in de IP stack van in practisch alle gevallen een hardware device (router, firewall, etc), zolang je geen individueel direct op het internet aangesloten servers gaat pingen.

 

Om daar dit soort informatie te gaan harvesten moet je Cisco, Juniper of Huawei (of zo) heten, en nogmaals, een platte lijst aan IP adressen is totaal waardeloos, die kan ik zo voor je genereren.

 

Hier over in paniek raken is als zeggen dat je geen brieven meer verstuurt, want de ontvanger zou wel eens een database met afzenderadressen kunnen vastleggen...