Software de GNOME es la aplicación predeterminada en el entorno de escritorio GNOME para administrar el software. También permite recibir actualizaciones de firmware a través de un daemon subyacente denominado “fwupd”, que se basa en una plataforma llamada “LVFS”.

Para entender la relación de una manera más clara, puedes pensar en LVFS como la plataforma en línea donde los proveedores de hardware vienen y cargan nuevas versiones de su firmware que luego estarán disponibles para descargar a través de fwupd. El software GNOME utiliza el daemon fwupd para descargar e instalar estas actualizaciones. Fwupd es una dependencia de software de GNOME.

Todo el ecosistema está desarrollado principalmente por Richard Hughes, que actualmente trabaja para Red Hat, y que también es el creador original de PackageKit. Pero vale la pena mencionar que Red Hat no desarrolla / administra el proyecto directamente, sino que lo contribuye con apoyo financiero y logístico.

La preocupación por la privacidad

Fwupd es una parte integrada del software de GNOME. Para poder recibir actualizaciones para el firmware disponible en tu sistema, fwupd recupera un archivo de metadatos de fwupd.org (que se llama LVFS) y coincide con el lado del cliente para ver si hay una actualización de ese firmware o no. Si hay una actualización, el archivo de firmware será capturado e instalado desde fwupd.org.

Además, fwupd (cada vez que busca actualizaciones en el software GNOME) envía tu ID de máquina (hash), dirección IP, nombre de distribución de Linux actual y versión y user-agent de cliente a fwupd.org.

Según fwupd.org/privacy, algunas partes de esta información están siendo compartidas por proveedores de hardware de terceros, que pueden estar interesados ​​en la cantidad de personas que descargan estas actualizaciones y qué tipo de distribución de Linux están utilizando. Las direcciones IP no se comparten, pero las identificaciones de las máquinas cliente y de los agentes cliente sí. Esta política de privacidad está garantizada por el propio desarrollador, no por una empresa o una organización:

Como oficial de protección de datos, Richard Hughes tiene la responsabilidad general de la implementación diaria de esta política. El DPO está registrado en la Oficina del Comisionado de Información (ICO) en el Reino Unido como un controlador de datos registrado.

El problema aquí es que en el software GNOME, los usuarios no tienen idea de que se están enviando o recopilando dichos datos. Un usuario común no espera que su centro de software descargue actualizaciones de un sitio web en línea sin decírselo. Al abrir el software GNOME por primera vez, no se muestra ninguna política de privacidad y ningún mensaje informa al usuario que dichos datos se utilizan y se envían a fwupd.org en primer lugar. No hay indicaciones al usar el software GNOME de que fwupd.org se utilizará para actualizar los paquetes de firmware.

Actualmente, el desarrollador principal detrás del software GNOME anunció que se están descargando 100 millones de archivos de fwupd.org cada mes. La mayoría de ellos son archivos de metadatos. Esto se debe al hecho de que tanto el software de GNOME como fwupd están instalados por defecto en todas las distribuciones modernas de Linux, como Ubuntu y Fedora. El desarrollador pudo generar la siguiente tabla a partir de los datos que posee:

 

 

Esta es una gran cantidad de datos y accesibilidad disponibles sobre los usuarios de Linux bajo las manos de un único desarrollador. La recopilación de dichos datos debe ser de aceptación, no de exclusión voluntaria, para respetar la privacidad de los usuarios que no desean utilizar el servicio fwupd.org para buscar actualizaciones de firmware. Más importante aún, al menos, la política de privacidad relacionada con la recopilación de estos datos debe mostrarse en el primer uso del software GNOME. De lo contrario, los usuarios no sabrán que se están enviando dichos datos.

El otro problema es que hasta hace algunas semanas, no había forma de deshabilitar la integración fwupd en el software GNOME. Fue justo después de la versión 3.26 (no incluida) que los desarrolladores agregaron una opción en la página de configuración para deshabilitar el servicio fwupd. Antes de eso, te obligaban a utilizar fwupd si estás utilizando el software GNOME. Ni siquiera puedes deshabilitarlo (gráficamente).

Según el desarrollador, fwupd.org está alojado en Amazon EC2. Amazon (además de muchas otras empresas) ha donado $ 2000 por año para desarrollar el proyecto, y también ofrece algunas características de alojamiento de forma gratuita. El nombre de dominio fwupd.org está registrado en el nombre personal del desarrollador del proyecto.

La página de política de privacidad menciona que los usuarios de metadatos que envían a fwupd.org se almacenan hasta un máximo de 5 años:

Los datos de usuario anónimos (por ejemplo, las solicitudes de metadatos) se conservarán durante un máximo de 5 años, lo que nos permite proyectar los requisitos futuros del servicio y proporcionar gráficos de uso al proveedor.

El desarrollador dice que las direcciones IP no están almacenadas en fwupd.org. Pero lamentablemente, como se trata de un reclamo del lado del servidor, no hay forma de que los usuarios confirmen dicho reclamo. Además, se dice que la identificación de la máquina recopilada de /etc/machine-id de los usuarios es hash antes de compartirla con los proveedores.

Un solo cuello de botella para administrar los datos de hardware de todos los usuarios de escritorio de Linux no sería una buena idea.

Una preocupación de seguridad
fwupd.org permite a los proveedores de hardware crear una cuenta enviando un correo electrónico al fundador del proyecto. Luego, los proveedores pueden obtener información sobre la cantidad de usuarios de su hardware y qué sistema operativo y cliente están usando. Los proveedores pueden enviar archivos .cab a los usuarios para que luego los descargue el software GNOME. Se alega que estos .cab archivados son probados por un equipo de QA separado antes de ser entregados a los usuarios.

El problema de seguridad está en mantener la infraestructura para fwupd.org. Si se piratea, se podrían filtrar miles de solicitudes diarias al servidor y los datos disponibles. El equipo detrás de fwupd.org afirma que hay muchos equipos profesionales trabajando para asegurar la plataforma de acuerdo con las mejores prácticas de la industria. Sin embargo, un usuario no puede garantizarlo.

No pudimos encontrar informes o fuentes sobre cuántas personas en total están detrás de todo el proyecto, o cuántas personas están revisando los archivos .cab presionados por los proveedores. Se dice que los metadatos almacenados en fwupd.org se almacenan bajo un sistema de archivos LUKS bloqueado alojado en Amazon.

El otro tema relacionado es que los desarrolladores no están 100% cubiertos financieramente. Ha habido varias convocatorias de donaciones por parte de los desarrolladores:

Por el momento, la parte segura de LVFS está alojada en una instancia dedicada de Scaleway, por lo que cualquier donación adicional se gastaría en pagar esta pequeña factura y, quizás más importante, comprar algunos (¿de segunda mano?) Para incluir como parte de nuestro tiempo de lanzamiento. Verificaciones de control de calidad

Y otro:

El CDN actual (~ $ 100 / mes) es amablemente patrocinado por Amazon, pero eso no durará para siempre y las donaciones que recibo para el servicio LVFS no cubren el costo de usar S3. A largo plazo estamos cambiando a un proveedor “tonto” (actualmente BunnyCDN) que calcula una décima parte del costo.

Lo que podría plantear preguntas sobre el futuro del ecosistema que gestiona 100 millones de solicitudes por mes.

Una solución sugerida
Creemos que se debe tener en cuenta lo siguiente para resolver los problemas anteriores:

El software de GNOME debe separar fwupd como una dependencia. Porque si el paquete fwupd está instalado, se verificarán automáticamente las actualizaciones en segundo plano (fwupd daemon se iniciará automáticamente después del arranque) y enviará los datos a fwupd.org automáticamente.
El software de GNOME debe desactivar el servicio de usar fwupd.org para las actualizaciones de firmware de forma predeterminada. Los usuarios que deseen suscribirse a dicho servicio deben optar por sí mismos.
Tras la activación del servicio fwupd, se debe mostrar un cuadro de diálogo de política de privacidad para informar a los usuarios sobre lo que se va a recopilar y por qué.
El nombre de dominio y la infraestructura del proyecto deben ser administrados y administrados por una organización / empresa. Se debe contar con información más detallada sobre quién está accediendo a la infraestructura y trabajando en ella.
La línea de fondo
Aquí, no tratamos de cuestionar la sinceridad o la autenticidad de los desarrolladores del proyecto, pero tratamos de que los usuarios sepan qué está pasando bajo el capó de su centro de software. También creemos que dicha infraestructura debería ser más transparente en la forma en que está asegurada y administrada, y cómo se almacenan y se accede a los datos.

Como resultado, este ecosistema tendrá acceso a millones de máquinas Linux en todo el mundo, y poner todos los huevos en una sola canasta es algo preocupante. Creemos que dicho modelo se implementó con buenas intenciones por la única razón de servir a los usuarios, de forma gratuita. Pero la privacidad se está convirtiendo en un tema muy importante. especialmente en estos días con los llamados secuestros de datos en todo el mundo.

Al final, nos gustaría agradecer a Richard y a todos los demás por su trabajo en software libre.

Actualización: el desarrollador aclaró que la información de hardware de un usuario no se envía a fwupd.org. Como tal, este artículo fue actualizado.

Original de Foss Post

 

(Visitada 1 veces, 1 visitas hoy )