search

ProteGO-Safe / specs

Opis, specyfikacja i zadania. Zacznij tutaj.
GNU General Public License v3.0
118 stars 29 forks source link

Schemat przepływu danych pomiędzy aplikacją a serwerami ProteGO oraz Infermedica. #155

Closed miklobit closed 4 years ago

miklobit commented 4 years ago

Is your feature request related to a problem? Please describe. Brak jasnego i czytelnego schematu przepływu danych oraz ich ochrony i bezpieczeństwa w trakcie ich przesyłania pomiędzy aplikacją a serwerami ProteGO oraz Infermedica.

Describe the solution you'd like Dodanie do repozytorium diagramu/grafu/topologii wszystkich elementów/węzłów procesów wymiany danych między aplikacją na telefonie a serwerami wraz z informacją:

  1. Jacy aktorzy odpowiadają za przetwarzanie danych w konkretnym węźle danego procesu (nazwa , podmiot publiczny/prywatny, lokalizacja przetwarzania : PL/EU/poza EU)
  2. Jaka jest relacja każdego z aktorów względem właściciela aplikacji czyli MC (właściciel projektu / partner projektu / strona trzecia ) i czy ta relacja jest uregulowana jakąś umową (dotyczącą tej konkretnej aplikacji / ramową umową pomiędzy podmiotami / jednostronnie zaakceptowaną umową EULA/TOS )
  3. Czy dany aktor ma dostęp do odszyfrowanej treści przesyłanych danych - np całego request/reponse htttp razem z nagłowkami.
  4. czy dany aktor ma dostęp do numeru ip użytkownika lub innych metadanych które pozwalają zdeanonimizować użytkownika choćby potencjalnie.
  5. Jeżeli odpowiedź na 3. lub 4. brzmi TAK to czy dany aktor jest wymieniony wprost (z nazwy) w polityce prywatności i czy jest tam wskazane komu może dalej udostępniać te dane albo kto może te dane od niego legalnie wymusić - np (nie)rząd państwa X.

Describe alternatives you've considered Brak.

Additional context Aktualnie dostępne wyjaśnienia są rozproszone (głównie w komentarzach do zgłoszeń), niepełne i niespójne co utrudnia ich zrozumienie oraz wykonanie oceny zagrożeń pod kątem ew. naruszeń prywatności i bezpieczeństwa danych osobowych. Brak takiego jasnego i czytelnego dokumentu może stwarzać wrażenie ,że twórcy próbują ukrywać/pomijać słabe punkty systemu. Np. jeżeli pierwszym węzłem przez który dane medyczne wychodzą z aplikacji jest cloudflare, (który jest podmiotem trzecim spoza EU i który ma pełny dostęþ do danych z p.3/4 ) to TEN węzeł jest krytyczny w zakresie ochrony prywatności i danych osobowych a nie ew kolejne proxy nawet najlepiej zabezpieczone/anonimizujące z publicznie podaną konfiguracją. Zgłoszenie ma związek z #139 , #141 i jest częściową propozycją rozwiązania dla #148

KoderFPV commented 4 years ago

@miklobit Dzięki za wyciągniecie tego z zamkniętych wątków. Sam nie jestem wstanie przedstawić takiego diagramu, ale na pewno się ktoś tym tematem zainteresuje :)

SeraMoon commented 4 years ago

Popieram powyższe - na liniach połączeń proponuję dodać - jakie medium jest wykorzystywane - rozpisać na tyle dokładnie, aby nie był pominięty ani 1 komputer znajdujący się w sieci i ani jeden dostawca usług (zarówno 1 komputer to może być kilka podmiotów jak też 1 firma może posiadać wiele komputerów). Jeżeli gdzieś jest usługa Tor / I2P proszę to wyraźnie zaznaczyć.

miklobit commented 4 years ago

@SeraMoon Czy ty mowiąc ani 1 komputer w sieci masz na myśli przestawienie całej topologii cloudflare, aws czy innego rozwiązania chmurowego?

IHMO z punktu widzenia oceny zagrożeń prywatności i danych osobowych nie potrzebna nam chyba szczegółowa wewnętrzna topologia zewnętrznych usług dajmy na to cloudflare tylko informacja że ten aktor posiada/nie posiada dostęp/kontrolę nad danymi które mamy (znaczy macie...) chronić.

KoderFPV commented 4 years ago

@miklobit Super! Myśle że taka dokumentacja musi powstać. :)

SeraMoon commented 4 years ago

@SeraMoon Czy ty mowiąc ani 1 komputer w sieci masz na myśli przestawienie całej topologii cloudflare, aws czy innego rozwiązania chmurowego?

IHMO z punktu widzenia oceny zagrożeń prywatności i danych osobowych nie potrzebna nam chyba szczegółowa wewnętrzna topologia zewnętrznych usług dajmy na to cloudflare tylko informacja że ten aktor posiada/nie posiada dostęp/kontrolę nad danymi które mamy (znaczy macie...) chronić.

Taki cloudflare może stać nawet w Chinach pomimo, że siedziba firmy jest w innym kraju. M.in. o to mi chodzi aby wymienić gdzie te dane się znajdują fizycznie. Ilość komputerów mo.żna zawęzić do ilości krajów więc. Do tego proponuję dodać najdłuższy czas przechowywania logów na poszczególnych serwerach / grupach serwerów.

potiuk commented 4 years ago

Taki cloudflare może stać nawet w Chinach pomimo, że siedziba firmy jest w innym kraju. M.in. o to mi chodzi aby wymienić gdzie te dane się znajdują fizycznie. Ilość komputerów mo.żna zawęzić do ilości krajów więc. Do tego proponuję dodać najdłuższy czas przechowywania logów na poszczególnych serwerach / grupach serwerów.

Zobaczmy jak będzie - myślę że wtedy warto te pytania zadać i faktycznie upewnić się że nic nie zostało pominięte. Zupełnie ok będzie jak opis tego co jest w tym cloudflare będzie towarzyszył diagramowi jako tzw. opis "słowno-muzyczny" ale popieram ze trzeba w ten sposób opisać kompletną drogę pakietów, to gdzie/co jest szyfrowane/odszyfrowane, jakie certyfikaty są używane etc. To bardzo ważne, z resztą taki opis będzie absolutnie niezbędny jako element audytu bezpieczeństwa. Sam takie przechodziłem kilka razy i wiem ze tego rodzaju informacje są niezbędne. Jest dobra okazja żeby taka dokumentacja trafiła na GitHuba wtedy macie @Tarvald @qlb i @MateuszRomanow dodatkową możliwość skorzystania z audytu osób tu się udzielających i może na przykład uda się uchronić dzięki temu przed wytknieciem błedów na pozimie audytu.

jasisz commented 4 years ago

Z ciekawostek - aplikacja do diagnostyki oprócz infermedici puka też... google fonts https://github.com/ProteGO-Safe/web/issues/10

potiuk commented 4 years ago

Z ciekawostek - aplikacja do diagnostyki oprócz infermedici puka też... google fonts ProteGO-Safe/web#10

No to audyt o którym pisałem wyżej właśnie się zaczął :)

SeraMoon commented 4 years ago

Z ciekawostek - aplikacja do diagnostyki oprócz infermedici puka też... google fonts ProteGO-Safe/web#10

Wnoszę więc o uwzględnienie tego w powyższej dokumentacji oprócz wymienionych 2 podmiotów.

No to audyt o którym pisałem wyżej właśnie się zaczął :)

Na razie to audyt jedynie w oparciu o zignorowane chusteczki celem wepchnięcia "aplikacji" do sklepu Google i Apple całkowicie bez audytu i jakiegokolwiek sprawdzenia. Im wejdzie się głębiej tym głębsze bagno będzie. Dopiero przeszliśmy pół metra z kilometra.

KoderFPV commented 4 years ago

@SeraMoon tak zrobimy, dopiszemy to do dokumentów

@SeraMoon pamiętaj że w konsorcjum firm zajmujących się protego, również są firmy specjalizujące się w security.

@potiuk audyty już trwają

Na GH są prowadzone prace od tych najdłużej zaniedbanych. Więc przez kilka najbliższych dni może być lekki poślizg w publikacjach.

Pozdrawiam

miklobit commented 4 years ago

@SeraMoon pamiętaj że w konsorcjum firm zajmujących się protego, również są firmy specjalizujące się w security.

A od kogo te fimy biora pieniądze ? Skoro od (nie)rządu to działają w jego interesie a nie w interesie obywateli. A ten projekt jest idealnym przykladem, że to są interesy w znacznej mierze sprzeczne ze sobą. I dlatego nie może obyć się bez zewnętrznych, niezależnych oczu patrzących na ręce wykonawcom.

KoderFPV commented 4 years ago

@miklobit

A od kogo te fimy biora pieniądze ? Skoro od (nie)rządu to działają w jego interesie a nie w interesie obywateli. A ten projekt jest idealnym przykladem, że to są interesy w znacznej mierze sprzeczne ze sobą. I dlatego nie może obyć się bez zewnętrznych, niezależnych oczu patrzących na ręce wykonawcom.

Hej, To od kogo te firmy biorą pieniądze, nie jest powiązane w żaden sposób z przepływem danych pomiędzy protego a infermedica, czyli tematem tego wątku.

W tej sprawie proponuje o bezpośredni kontakt z tymi firmami, lub otwarcie nowego wątku.

Pozdrawiam

miklobit commented 4 years ago

@miklobit

A od kogo te fimy biora pieniądze ? Skoro od (nie)rządu to działają w jego interesie a nie w interesie obywateli. A ten projekt jest idealnym przykladem, że to są interesy w znacznej mierze sprzeczne ze sobą. I dlatego nie może obyć się bez zewnętrznych, niezależnych oczu patrzących na ręce wykonawcom.

Hej, To od kogo te firmy biorą pieniądze, nie jest powiązane w żaden sposób z przepływem danych pomiędzy protego a infermedica, czyli tematem tego wątku.

W tej sprawie proponuje o bezpośredni kontakt z tymi firmami, lub otwarcie nowego wątku.

Pozdrawiam

Zgłaszam sprzeciw wobec cenzurowania w zgłoszeniach komentarzy, które sa niewygodne dla właściciela-nierządu i/lub twórców aplikacji. System zgłoszeń na githubie jest w tej chwili JEDYNYM transparentnym kanałem komunikacji między społecznością a MC+twórcami. Ukryte komentarze widoczne są tylko dla zalogowanych użytkowników a z treści zgłoszeń i komentarzy chce korzystać w tej chwili wiele osób, które nie maja i nie chcą mieć tutaj konta. Takie działanie jest WBREW interesowi społecznemu. Jako developer to was (twórców) nawet trochę rozumiem, że musicie czytać tutaj o sprawach które wykraczają poza kwestie ściśle techniczne ale skoro tak to również w waszym własnym interesie powinniście naciskac na MC (w końcu macie do nich bliżej) żeby zdjęła z was rolę przekaźnika i udostęþniła jakieś inne miejsce / narzędzia gdzie można prowadzić taki dialog publicznie, dwukierunkowo i z osobami, które faktycznie podejmują decyzje.

KoderFPV commented 4 years ago

@miklobit

Zgłaszam sprzeciw wobec cenzurowania w zgłoszeniach komentarzy, które sa niewygodne dla właściciela-nierządu i/lub twórców aplikacji. System zgłoszeń na githubie jest w tej chwili JEDYNYM transparentnym kanałem komunikacji między społecznością a MC+twórcami. Ukryte komentarze widoczne są tylko dla zalogowanych użytkowników a z treści zgłoszeń i komentarzy chce korzystać w tej chwili wiele osób, które nie maja i nie chcą mieć tutaj konta. Takie działanie jest WBREW interesowi społecznemu. Jako developer to was (twórców) nawet trochę rozumiem, że musicie czytać tutaj o sprawach które wykraczają poza kwestie ściśle techniczne ale skoro tak to również w waszym własnym interesie powinniście naciskac na MC (w końcu macie do nich bliżej) żeby zdjęła z was rolę przekaźnika i udostęþniła jakieś inne miejsce / narzędzia gdzie można prowadzić taki dialog publicznie, dwukierunkowo i z osobami, które faktycznie podejmują decyzje.

Przepraszam Cie, ale nikt niczego nie cenzuruje, tylko markuje jako off-topic. To co nawet teraz pieszesz nie ma nic w związku z tematem. Jeżeli chcesz porozmawiać o pieniądzach, albo i nawet samym markowaniu postów jako off-topic to załóż nowy wątek.

Pisząc na tematy nie związane z wątkiem, zaciemniasz temat i nowe osoby, które nie są na bieżąco, mają później trudność w odnalezieniu się.

Robimy to dla przejrzystości i transparentności wobec społeczeństwa.

KoderFPV commented 4 years ago

@miklobit

Zgłaszam sprzeciw wobec cenzurowania w zgłoszeniach komentarzy, które sa niewygodne dla właściciela-nierządu i/lub twórców aplikacji. System zgłoszeń na githubie jest w tej chwili JEDYNYM transparentnym kanałem komunikacji między społecznością a MC+twórcami. Ukryte komentarze widoczne są tylko dla zalogowanych użytkowników a z treści zgłoszeń i komentarzy chce korzystać w tej chwili wiele osób, które nie maja i nie chcą mieć tutaj konta. Takie działanie jest WBREW interesowi społecznemu. Jako developer to was (twórców) nawet trochę rozumiem, że musicie czytać tutaj o sprawach które wykraczają poza kwestie ściśle techniczne ale skoro tak to również w waszym własnym interesie powinniście naciskac na MC (w końcu macie do nich bliżej) żeby zdjęła z was rolę przekaźnika i udostęþniła jakieś inne miejsce / narzędzia gdzie można prowadzić taki dialog publicznie, dwukierunkowo i z osobami, które faktycznie podejmują decyzje.

Wnosisz bardzo dużo wartościowych treści na nasz GH.

Mamy ogromny natłok pracy i staramy się forum utrzymać w ryzach, dlatego musimy je moderować. Jeżeli chciałbyś porozmawiać na jakikolwiek kontrowersyjny lub nie wygodny temat dla twórców lub MC prosimy o zakładanie nowych wątków i trzymaniu się tematu.

Nawet jeżeli jest coś nie wygodne, to musi zostać rozwiązane, ale dajmy się wypowiedzieć też innym! Nie wszyscy śledzą wszystkie wątki, a szczególnie nie wszystkie te bardziej techniczne, do których ten (którego jesteś autorem), na pewno należy.

W sprawach pieniędzy czy interesów mogą (i powinny!) wypowiadać się także osoby nie techniczne.

pingwinwzakiecie commented 4 years ago

Z tego co wiem pracownik firmy Infermedica stwierdził w wywiadzie że ProteGo korzysta z ich darmowego API i żadne dane nie lecą na ich serwery. Ale nie jestem w temacie więc proszę mnie poprawić jeśli się mylę. #161

SeraMoon commented 4 years ago

Tymczasem powstał kalkulator ryzyka zgonu na COVID-19 nie wysyłający żądań do sieci podczas wypełniania testu:

https://vika.life/calculator

Da się? Da się!

Podobnie da się stworzyć kalkulator oceny czy ma się koronę.

KoderFPV commented 4 years ago

@miklobit Zgłoszenie jest przyjęte. Wewnętrzny numer zgłoszenia to: PSAFE-733

MateuszRomanow commented 4 years ago

Informacyjnie - w poniedziałek dostaliśmy zgodę z MC na przepisanie modułu do samooceny tak, żeby funkcjonalność działała lokalnie. Jest to w procesie. Wspominam o tym tutaj, ponieważ bezpośrednio wpływa to na dezaktualizowanie wątków związanych z wydajnością API. Produkcyjne wdrożenie będzie w wersji 4.0.0.

potiuk commented 4 years ago

Super. To załatwia mnóstwo problemów i wątpliwości. Dzięki za informację @MateuszRomanow !

kamilgthecoders commented 4 years ago

Temat dawno nieaktualny. Zamykam