Python Paket Dizini PyPI, ABD Adalet Bakanlığı şüpheli kullanıcılar hakkında veri istemeye gelmeden önce sakladığı tanımlayıcı bilgi miktarını azaltmanın yollarını değerlendirmeye başladı.
Ama şimdi kod deposunun sahip olduğu ifşa Bu yılın başlarında beş kullanıcıyla ilgili veriler için üç mahkeme celbi alan Python topluluk paketi kaydı, geliştiricilerin depoladığı kullanıcı verilerini en aza indirmek için çalıştığını anlamalarını istiyor.
Amaç, yasal bilgi taleplerine cevap verememek değil; bunun yerine, kullanıcıları gereksiz gizlilik ihlaline maruz bırakmamak için yalnızca gerekli olan minimum miktarda veriyi depolamaktır.
Bildiğimiz kadarıyla RubyGems, kullanıcı verileri için herhangi bir mahkeme celbi almadı.
Tesadüfen, veri minimizasyonu, kuruluşların talep üzerine gözetim için tercih edilen bir kaynak olmasını engelleyebilir: kullanıcılar hakkında aşırı miktarda bilgiye sahip olmak, daha sonra personelin ilgilenmesi gereken yasal taleplere yol açar.
GitHub gibi büyük ticari internet hizmetleri arasında yetkililerden veri talepleri olağan olsa da, açık kaynaklı yazılım paketi kayıtlarına yönelik mahkeme celpleri hakkında daha önce kamuya açık raporlardan habersiziz.
RubyGems’in bakımına yardımcı olan Samuel Giddins, şunları söyledi: Kayıt“Bildiğimiz kadarıyla RubyGems, kullanıcı verileri için herhangi bir mahkeme celbi almadı.”
PyPI yönetim ekibinin bir üyesi olan Mike Fiedler, ifade Cuma günü, kuruluşun kullanıcı gizliliğini ve güvenliğini iyileştirme çabası Öncesine 2020’ye
Mart ve Nisan aylarında mahkeme celplerinin alınmasından bu yana, bu çaba yeniden canlandırıldı.
Endişelerin çoğu, web günlüğü erişimiyle birlikte depolanan IP adresi verilerine odaklanır; oturum açma gibi kullanıcı olayları; yüklemeler dahil olmak üzere proje etkinlikleri; ilgili olaylar yeni tanıtılan kuruluşlar; ve idari PyPI günlük girişleri.
Fiedler’e göre PyPI, saklamayı bırak Günlük girişleri için IP verileri – yalnızca ek işlem günlüğü – çünkü bunlar yalnızca yöneticilere açıktı.
Fiedler, “Şu anda IP verilerine ihtiyaç duyduğumuz diğer yerler arasında hız sınırlaması ve IP verilerini sağlamalar ve coğrafi verilerle doldurana kadar geri dönüşler yer alıyor” dedi. “Modern yaklaşımımız, ilgili coğrafi verileri bulmak için görüntüleme zamanında IP verilerini kullanmaktan, coğrafi verileri doğrudan veritabanında depolamaya doğru gelişti.”
IP adreslerini gizlemek için PyPI onları tuzlamak – rasgele bir değer eklemek – ve ardından bu değerleri özetlemek – hash adı verilen bir değer yaratan tek yönlü bir karıştırma işlevi aracılığıyla verileri çalıştırmak. Bu, gerçekte ham verileri depolamadan potansiyel olarak tanımlayıcı verilere bir referans depolamanın bir yolunu sağlar.
Fiedler, sağlamanın geri alınamaz olması gerekirken, bilinen adres alanı çok küçük olduğu için IP adresi karmalarını kaba kuvvetle geri almanın yine de mümkün olabileceğini açıklıyor.
“Bir tuz uygulayarak, değeri kaba kuvvetle zorlamak için birinin hem tuza hem de hashlenmiş IP adreslerine sahip olmasını istiyoruz” dedi. “Tuzumuz, karma IP adresleri tutulurken veritabanında depolanmıyor, bu bilgileri açığa çıkaran sızıntılara karşı koruyoruz.”
PyPI, CDN sağlayıcısını Fastly kullanarak bir tuzlu esrar geniş GeoIP verileri (kullanıcının bulunduğu ülke ve şehir) ile birlikte özel bir başlık yoluyla istekler için IP adresinin ve ham IP adresi yerine bunu kullanıyor.
Nisan ayında, kayıt defteri, istekler PyPI’nin doğrudan resmi Python paket dizinini uygulayan web uygulaması olan Warehouse’da işlediği.
Ve son birkaç gündür, PyPI kullanıcı arayüzündeki IP adreslerini değiştiriyor. coğrafi konum verileri ile.
PyPI, kötüye kullanımı (kötü amaçlı paketlerin oluşturulması, tacizler vb.) belirlemek için hâlâ IP adresi bilgilerine güveniyor, ancak Fiedler bunun bile incelendiğini söylüyor. “IP verilerini depolamadan bunu nasıl yöneteceğimizi düşünüyoruz, ancak henüz o noktaya gelmedik” dedi.
Fiedler, PyPI ekibinin belirli bir süre sonra IP verilerini olay geçmişi kayıtlarından kaldırıp kaldıramayacağını ve hizmetin CDN aracılığıyla tüm isteklerini karşılayıp karşılayamayacağını değerlendireceğini söylüyor.
Bununla birlikte, bu, Fastly’nin yukarısındaki solucanların mahremiyet kutusunu tekmeleyebilir. Kayıt Fastly’ye PyPI IP adresi verileri için mahkeme celbi alıp almadığını sordu. Geri haber alamadık. ®