Privacy Violation: Unobfuscated Logging

隱私資訊 (比如客戶密碼或社會安全號碼) 處理不當會導致使用者隱私資訊洩漏，且是不合法的行為。

在以下情況會發生隱私違反情況：

1.私人使用者資訊進入程式。
2.資料寫入到外部位置，例如主控台、檔案系統或網路。

範例 1：以下易受攻擊的程式碼包含一個組態陳述式，其允許記錄未經過模糊處理的密碼「admin_password」。

from oslo_config import cfg
 ...
opts = [
  cfg.StrOpt('admin_password',secret=False,
               help="User's password")]
 ...              
grp = cfg.OptGroup('mygroup')
cfg.CONF.register_opts(opts, group=grp)
 ...
logger.warning("Adding %s" % cfg.CONF.mygroup.admin_password)

Example 1 中的程式碼將 admin_password 以純文字 (未經過模糊處理) 寫入記錄輸出，因為 secret 的值設定為 False。雖然許多的開發人員相信事件記錄為儲存資料的安全位置，但不應對其絕對信賴，特別是關係到隱私問題時。

隱私資料可以透過多種方式進入到程式中：

- 直接來自於使用者的密碼或個人資訊

- 應用程式從資料庫或其他資料存放區存取

- 間接地來自於合作者或者其他第三方

有時候，未標示為隱私的資料仍有可能在不同的內容中有隱私含意。例如，學生的學號通常不會視為隱私資訊，因為學號中沒有明確和公開的資訊以對應於個別學生的個人資訊。不過，如果學校以學生的身份證字號來產生學號，則此學號應視為隱私資訊。

安全性和隱私似乎時常互相矛盾。從安全的觀點來看，您應該要記錄所有重要的操作，以便於日後辨別所有的異常活動。不過，當其中包含了私人資料時，此種作法將會造成風險。

雖然有多種情況會發生隱私資料處理不安全，但常見的風險多是來自盲目的信賴。程式設計師通常會信賴程式執行的作業環境，所以相信將隱私資訊儲存在檔案系統、登錄或是其他局部控制的資源中是可以接受的。但即使限制特定資源的存取權，也並不保證可以信任有存取權的個人。例如，在 2004 年時一位無恥的 AOL 員工將大約 9 千 2 百萬名客戶的私人電子郵件地址賣給了一個透過發送垃圾郵件進行行銷的賭博網站 [1]。

為了應對此類受矚目的資料攻擊事件，隱私資料的收集和管理正日益規範。要求各組織根據其位置、所管理的業務類型，以及其所處理的隱私資訊性質，遵守以下一個或多個聯邦和州的規定：

- Safe Harbor Privacy Framework [3]

- Gramm-Leach Bliley Act (GLBA) [4]

- Health Insurance Portability and Accountability Act (HIPAA) [5]

- California SB-1386 [6]

雖已制訂規範，但隱私違反的情況仍持續發生。