Privacy Violation: Unobfuscated Logging

La administración de información privada, como las contraseñas del cliente o los números de la seguridad social, pueden comprometer la privacidad del usuario y a menudo es ilegal.

Se producen infracciones de privacidad cuando:

1. La información privada del usuario entra en el programa.
2. Los datos se escriben en una ubicación externa, como la consola, el sistema de archivos o la red.

Ejemplo 1: El siguiente código vulnerable contiene una declaración de configuración que permite que el secreto "admin_password" se registre sin ofuscar.

from oslo_config import cfg
 ...
opts = [
  cfg.StrOpt('admin_password',secret=False,
               help="User's password")]
 ...              
grp = cfg.OptGroup('mygroup')
cfg.CONF.register_opts(opts, group=grp)
 ...
logger.warning("Adding %s" % cfg.CONF.mygroup.admin_password)

El código en Example 1 escribe admin_password en texto sin formato (sin ofuscar) en la salida del registro, ya que el valor de secret se establece en False. Aunque muchos desarrolladores confían en el registro de eventos como una ubicación segura de almacenamiento para los datos, el usuario no debería confiar absolutamente, en especial, cuando la privacidad es una preocupación.

Los datos privados se pueden escribir en un programa de varias formas:

- Directamente desde el usuario en forma de una contraseña o información personal

- La aplicación accede desde una base de datos u otro almacén de datos

- Indirectamente desde un asociado de negocios u otra tercera parte

En ocasiones, los datos que no están etiquetados como privados pueden tener una implicación de privacidad en un contexto diferente. Por ejemplo, los números de identificación de alumnos no se suelen considerar privados, ya que no hay ninguna asignación explícita y disponible públicamente a la información personal de un alumno. Sin embargo, si una escuela genera números de identificación basados en los números de seguridad social de los alumnos, los números de identificación se deberán considerar privados.

A menudo, las preocupaciones de seguridad y privacidad parecen competir entre sí. Desde una perspectiva de seguridad, debería registrar todas las operaciones importantes de modo que posteriormente se pueda identificar cualquier actividad anómala. Sin embargo, cuando se trata de datos privados, esta práctica puede crear riesgos.

Si bien existen muchas maneras de administrar los datos privados de forma no segura, un riesgo común procede de la confianza mal depositada. Los programadores a menudo confían en el entorno operativo en el que se ejecuta un programa, y por lo tanto, creemos que es aceptable para almacenar información privada en el sistema de archivos, en el registro o en otros recursos controlados localmente. Sin embargo, incluso si se restringe el acceso a determinados recursos, esto no garantiza que se pueda confiar en las personas que tienen acceso. Por ejemplo, en el año 2004, un empleado sin escrúpulos de AOL vendió aproximadamente 92 millones de direcciones de correo electrónico privadas de los clientes a un remitente de marketing de correo electrónico no deseado, un sitio web de juegos de azar ubicado en el extranjero [1].

En respuesta a dichos ataques de alto perfil, la recopilación y gestión de datos privados se está convirtiendo en algo cada vez más regulado. Dependiendo de su ubicación, el tipo de negocio que desarrolle y la naturaleza de los datos privados que controle, una organización puede verse obligada a cumplir uno o varios de los siguientes reglamentos federales y estatales:

- Marco de privacidad de Safe Harbor [3]

- Ley Gramm-Leach Bliley (Gramm-Leach Bliley Act, GLBA) [4]

- Ley de transferencia y responsabilidad de seguros de salud (HIPAA) [5]

- California SB-1386 [6]

A pesar de estas regulaciones, se siguen produciendo infracciones de privacidad con alarmante frecuencia.