O Internet Security Research Group (ISRG) tem um plano para permitir que as empresas coletem informações sobre como as pessoas estão usando seus produtos, protegendo a privacidade de quem está gerando os dados
BlockChain / Security / Pen Test
Hoje, a organização sem fins lucrativos com sede na Califórnia, que opera o Let’s Encrypt, lançou o Prio Services, uma forma de reunir métricas de produtos online sem comprometer as informações pessoais dos usuários do produto.
“Aplicativos como navegadores da web, aplicativos móveis e sites geram métricas”, disse Josh Aas, fundador e diretor executivo da ISRG, e Tim Geoghegan, engenheiro de confiabilidade do site, em um anúncio.
“Normalmente, eles apenas enviariam todas as métricas de volta para o desenvolvedor do aplicativo, mas com o Prio, os aplicativos dividem as métricas em dois compartilhamentos anônimos e criptografados e carregam cada compartilhamento para diferentes processadores que não compartilham dados entre si.”
Normalmente, eles apenas enviariam todas as métricas de volta para o desenvolvedor do aplicativo, mas com o Prio, os aplicativos dividem as métricas em dois compartilhamentos anônimos e criptografados
O Prio é descrito em um artigo de pesquisa de 2017 como “um sistema de preservação de privacidade para a coleta de estatísticas agregadas”.
O sistema foi desenvolvido por Henry Corrigan-Gibbs, então estudante de doutorado em Stanford e atualmente professor assistente do MIT, e Dan Boneh, professor de ciência da computação e engenharia elétrica em Stanford.
O Prio implementa uma abordagem criptográfica chamada de provas não interativas compartilhadas por segredo (SNIPs). De acordo com seus criadores, ele lida com dados apenas 5,7 vezes mais lento do que sistemas sem proteção de privacidade.
Isso é consideravelmente melhor do que a concorrência: as provas de correção não interativas de conhecimento zero geradas pelo cliente (NIZKs) são 267 vezes mais lentas do que o processamento de dados desprotegidos e os métodos de privacidade baseados em argumentos sucintos de conhecimento não interativos (SNARKs) marcam três ordens de magnitude mais lenta.
“Com o Prio, você pode obter os dois: as estatísticas agregadas necessárias para melhorar um aplicativo ou serviço e manter a privacidade das pessoas que fornecem os dados”, disse Boneh em um comunicado. “Este sistema oferece uma solução robusta para duas demandas crescentes em nossa economia voltada para a tecnologia.”
Em 2018, a Mozilla começou a testar o Prio para coletar dados de telemetria do Firefox e achou o esquema criptográfico atraente o suficiente para torná-lo a base de seu serviço de telemetria de origem do Firefox.
Em uma postagem de blog no ano passado, Chris Hutten-Czapski, engenheiro de plataforma do Firefox, escreveu: “O Prio é legal. Ele nos permite saber contagens de coisas que acontecem na população do Firefox sem nunca sermos capazes de saber qual Firefox nos enviou quais peças em formação.”
A Prio Services permitirá que qualquer empresa se inscreva para ter seus dados gerados pelo produto fatiados, divididos em cubos e anônimos para que possam ser vistos em conjunto, sem o risco de que os dados possam ser usados para identificar pessoas.
O ISRG operará um servidor de processamento de dados e os assinantes terão que implementar um segundo servidor e providenciar para que seus aplicativos transmitam suas métricas para que possam ser divididos entre os dois servidores para posterior agregação e análise anônima.
“Ao oferecer proteção de privacidade criptográfica fácil de usar e de baixo custo para as métricas do usuário, o ISRG dará um passo significativo para proteger o público em geral de violações de privacidade”, disseram Aas e Geoghegan. “Esperamos que a coleta de métricas de respeito à privacidade se torne uma expectativa para os desenvolvedores de aplicativos.”
Prio Services ainda não está aberto ao público. O ISRG está trabalhando para implementar o serviço com seu primeiro conjunto de assinantes e fornecerá mais informações posteriormente.
Mas a organização diz que espera ser a primeira organização a executar o Prio como um serviço de produção.
No Brasil, as empresas interessadas na LGPD devem considerar em utilizar a metodologia e implementar em seus sistemas, de modo a garantir a privacidades das coletas de dados, com menor impacto na performance das aplicações.
Fonte: TheRegister
Dicas práticas para implementação de Privacy by Design – Parte II de IV
