
/>
چند سال پیش ، حریم خصوصی اخبار آنلاین در مورد نوع جدیدی از نظارت ، که در محل کار اتفاق می افتد نوشت. در آن زمان هدف این سیستم ها توجه به کارگران بود و آنها اغلب برای شناسایی مشکلات طراحی می شدند. اما دو سال زمان طولانی در دنیای دیجیتال امروز است و همه چیز به طور قابل توجهی پیش رفته است. به عنوان مثال ، در سال 2017 هوش مصنوعی (AI) قبلاً برای نظارت بر محیط کار اعمال شده بود ، اما تا حد زیادی برای کمک به تجزیه و تحلیل الگوهای کار ، و پرچم گذاری ناهنجاری ها بود. هوش مصنوعی امروز قادر تر و مداخله گرتر است. دیگر رضایت ندارد که به صورت استعاری بنشینیم و فقط تماشا کنیم که کارگران مشاغل خود را طی کنند. اکنون شروع به کنترل آنها می کند. گزارشی از داده و جامعه این موضوع را "مدیریت الگوریتمی" توصیف می کند:
[Its] ظهور در محل کار با عزیمت از ساختارهای مدیریتی قبلی که بیشتر بر روی ناظران انسانی به کارگران متکی هستند ، مشخص می شود. مدیریت الگوریتمی مقیاس گذاری کارها را به عنوان مثال با هماهنگی فعالیت های کارگرهای بزرگ و تفکیک شده یا استفاده از داده ها برای بهینه سازی نتایج مطلوب مانند هزینه های پایین تر کار امکان پذیر می کند.
در این گزارش پنج عنصر اصلی مدیریت الگوریتمی انتخاب شده است: "داده های پرکار جمع آوری و نظارت کارگران از طریق فناوری "؛ پاسخگویی در زمان واقعی؛ تصمیم گیری خودکار یا نیمه خودکار؛ ارزیابی عملکرد انجام شده توسط سیستم های AI بر اساس معیارهای نسبتاً ساده؛ و استفاده از "gudges" و مجازات برای تأثیرگذاری بر رفتار کارگران.
گزارش داده و جامعه اشاره می کند که بسیاری از این ویژگی ها برای اولین بار در شرکت هایی که به عنوان بخشی از اقتصاد "گیگ" فعالیت می کنند – به عنوان مثال ، Uber. استفاده از نیروی کار در حال تغییر و توزیع ، به هیچ وجه نیاز به این نوع "نظارت مستمر و نرم" دارد. با این حال ، نکته قابل توجه این است که صنایع سنتی نیز چگونه از این رویکرد استقبال می کنند ، حتی اگر آن را کاملاً لازم نباشد.
این توسط مقاله طولانی در The Verge نشان داده شده است ، که واقعیت مدیریت الگوریتمی را برای افرادی که باید کار کنند نشان می دهد. در زیر آن. داستان ها شامل خانه داران هتل هستند که به وسیله نرم افزار به آنها دستور داده اند که اتاق ها را به روش هایی که خواستار و تخلیه آنها هستند تمیز کنند ، اما در عین حال هر چند فایده ای را برای بازدید کنندگان هتل ایجاد می کنند. با کمال تعجب ، ویژگی های آمازون که وسواس کارآیی دارند. این فقط فرسودگی نیست که مدیریت الگوریتمی بی امان می تواند منجر به آن شود ، بلکه به میزان بالایی از صدمات کارگران نیز منجر می شود. شاید ساده ترین کار برای نظارت و مدیریت الگوریتمی نوشتن کد باشد. هر ضربه ای را می توان ضبط کرد ، هر مکثی ذکر شد ، و از وب کم رایانه می توان برای نظارت تصویری از برنامه نویس هنگام کار خود استفاده کرد. این تجربه مارک رونی ، مهندس نرم افزار در داکا ، بنگلادش ، با استفاده از "ابزار اندازه گیری بهره وری" WorkSmart است ، همانطور که در مقاله "Verge" شرح داده شده است:
این نرم افزار کلیدهای کلید ، کلیک ماوس و برنامه های کاربردی وی را ردیابی کرد. همه برای ارزیابی بهره وری او. او همچنین موظف بود دسترسی به این برنامه را به وب کم خود بدهد. هر 10 دقیقه ، برنامه به طور تصادفی سه عکس می گرفت تا از حضور او در میز کار اطمینان یابد. اگر رونی در آنجا نبود که WorkSmart عکاسی کند ، یا اگر این کار را تعیین کرد که کار وی در زیر آستانه مشخصی از بهرهوری قرار گرفته است ، برای آن بازه 10 دقیقهای پول دریافت نخواهید کرد. شخص دیگری که با رونی شروع به کار کرد ، از دسترسی به وب کم نرم افزار امتناع کرد و شغل خود را از دست داد.
تجربه آنجلا ، که در یک مرکز تماس با بیمه کار می کرد ، به آنچه که احتمالاً با یک مدیریت الگوریتمی تبدیل به یک مسئله جدی می شود ، اشاره می کند. مشاغلی که به مهارتهای بین فردی احتیاج دارند کیفیت اصلی در این زمینه "همدلی" است ، بنابراین نظارت در محیط کار به طور طبیعی در تلاش است تا این امر را اندازه گیری کند و کارگران را تحت فشار قرار دهد تا بیشتر از این نشان دهند. اما یک مشکل بزرگ در اینجا وجود دارد:
این عادت مرسوم است که مهارت های بین فردی مانند همدلی یکی از نقش هایی خواهد بود که انسان پس از به دست آوردن روبات ها ، به انسان ها واگذار می شود ، و این اغلب به عنوان یک آینده خوش بینانه رفتار می شود. اما مراکز تماس نشان می دهند که چگونه می توان آن را به راحتی تاریک کرد: اتوماسیون افزایش همدلی مورد نیاز کارگران و سیستم های خودکار که برای ایجاد همدلی بیشتر از آنها یا حداقل تقریب قابل خواندن با ماشین از آن استفاده می شود. آنجلا ، کارگری که با [the call center evaluation software] Voci مشغول است ، نگران این است که از آنجا که از AI برای خنثی کردن تأثیرات شرایط کار استفاده می شود ، کار او همچنان به صورت ناخوشایند تر می شود.
این تجربه برخی از مسائل مهم دیگر را با استفاده از سیستم های خودکار برای مدیریت قرار می دهد. مردم. به عنوان مثال ، در افراطی ساده لوحانه به نظر می رسد كه فکر می کنیم چیزی به اندازه "همدلی" پیچیده و گنگ است که نمی تواند تنها توسط مجموعه الگوریتمها شناسایی شود ، بلکه با توجه به نوعی درجه بندی به منظور درخواست تغییر در رفتار کارگر. این در مورد بسیاری از جنبه های دیگر کار صادق است. به سادگی نمی توان مهارت های یک مدیر خوب انسانی را به خطوط کد هوش مصنوعی تقسیم کرد ، مهم نیست که چه تعداد یا چه اندازه خوب نوشته شده باشد – حداقل ، هنوز هم نیست.
علاوه بر این ، تلاش برای انجام این کار چالش های معمول را با خود به همراه می آورد. با سیستم های هوش مصنوعی به عنوان مثال ، فرضیات اصلی برنامه ها ممکن است حاوی تعصبات پنهان باشد. و حتی اگر این حداقل ها باشد ، مدیران الگوریتمی همچنان جعبه های سیاه برای کارگران هستند ، که هرگز به آنها گفته نمی شود که چرا تصمیم گیری در مورد آنها گرفته می شود یا به هر فرصتی برای تجدید نظر در مورد آن داده می شود. در واقع ، انتقال از مدیریت سنتی و مبتنی بر رایانه ، روشی از عینیت را فراهم می کند که احتمالاً تصمیم گیری را برای کارگران دشوارتر می کند ، زیرا به نظر می رسد آنها متلاشی و منطقی هستند.
نکته اصلی این است که این به طور فزاینده ای بی حس می شود. و نهایتا روش ضد تولید در مدیریت مردم فقط به دلیل نظارت مستمر و دقیق در محل کار امکان پذیر است. یکی از راه های متوقف کردن این فقدان بشریت ، مبارزه با از بین رفتن حریم خصوصی است که آن را زیرپا می گذارد.
تصویر برجسته توسط اسکات لوئیس.
درباره Glyn Moody
Glyn Moody یک روزنامه نگار آزاد است که در مورد حریم شخصی می نویسد و صحبت می کند ، نظارت ، حقوق دیجیتال ، متن باز ، حق چاپ ، حق ثبت اختراعات و موضوعات کلی سیاست مربوط به فناوری دیجیتال. وی شروع به پوشش استفاده از مشاغل اینترنت در سال 1994 كرد و اولین ویژگی اصلی را در مورد لینوكس نوشت ، كه در اوت 1997 در Wired ظاهر شد. كتاب وی با نام "Rebel Code" اولین و تنها تاریخ كامل در مورد ظهور منبع آزاد است. ، در حالی که کار بعدی او ، "کد دیجیتال زندگی" ، به بررسی بیوانفورماتیک – تقاطع محاسبات با ژنتیک می پردازد.

آسیب پذیری – 2FA / MFA و مدیریت جلسه
سابقه و هدف
محققان اخیراً گزارش كردند كه اشکالات مربوط به وضعیتی را نشان می دهند كه یك وب سایت جلسات فعال ثانویه (جداگانه) را باطل نمی سازد ، زیرا 2FA / MFA در جلسه اولیه فعال شود.
سناریو
-
را در نظر بگیرید user1درsite.comدارای 2FA غیرفعال است. user1وارد دو جلسه جداگانه می شودuser12FA را در یکی از جلسه های اولیهuser1مجدداً جلسه دوم را بارگیری می کند ، تا ببیند جلسه ثانویه انجام می شود یا خیر
بی اعتبار
مغز من
اگرچه منطقی راجع به آن می گیرم ، حتی اگر جلسه ثانویه باطل نشود ، آن را به عنوان یک اشکال امنیتی معتبر نمی دانم. آیا من اینجا چیزی را گم نمی کنم؟ شاید یک PoV متفاوت!
مدیریت کلید – آیا اسکریپت اطلاعات حساس را در دایرکتوری خانگی در لینوکس سرقت می کند و SELinux راه بهینه / ابزار برای جلوگیری از آن است
فرضیه: در یک ایستگاه کاری لینوکس من به طور منظم از نرم افزارهای مختلف دانلود و استفاده می کنیم، بطور مثال ماژول های Perl یا Nodejs. وقتی که من از آنها استفاده می کنم، آنها بر روی دستگاه با من به عنوان صاحب کار می کنند و می توانند هر کاری که می توانند در دایرکتوری من انجام دهند، می توانند به کلید های من دسترسی پیدا کنند و به سرقت بروند (از طریق شبکه)
برای سال ها، در حال حاضر من در نهایت در زمان پیدا کردن SELinux برای مقابله با مشکل پیدا کرد. اما همانطور که SELinux یاد گرفتم، به نظر من این موضوع پیش می آید که ممکن است برخی از ماژول ها برای برنامه های کاربردی که از آن داده های حساس استفاده می کنند ایجاد شود، بگذارید یک ماژول خطمشی SELinux برای gnupg برای محدود کردن دسترسی به کلیدهای gpg برای آن برنامه اما به نظر نمی رسد این مورد باشد. به همین دلیل است که من شروع به تردید کل ایده کردم. من وب را برای "پرونده های دایرکتوری دایرکتوری خانه لینوکس" جستجو کردم و نتایج مشابهی در مورد سرقت فیزیکی بود. این بسیار بعید است که من تنها کسی هستم که در مورد این فکر کرد
بنابراین اولین سوال من این است آیا این فرض درست است ؟
اگر آن است، سپس آنچه مطلوب است گزینه هایی برای مقابله با این ؟ در حال حاضر قصد دارم سعی کنید سفارشی کردن سیاست SELinux هدفمند برای اجازه دسترسی به آن فایل های حساس تنها به یک مجموعه محدود از فرآیندها و احتمالا محدود کردن دسترسی شبکه بر اساس برنامه.
I باید سیاست سفارشی را سفارشی کند، زیرا به نظر می رسد دامنه unconfined_t اجازه دسترسی به هر دو user_home_t و gpg_secret_t از gpg_secret_t بخشی از ویژگی user_home_type و خط مشی اجازه دسترسی کامل به آن را می دهد :
$ sesearch -t gpg_secret_t -A
...
اجازه unconfined_t user_home_type: file {خواندن نوشتن ...}
مدیریت رمز عبور – هنگامی که کلید GPG منقضی می شود چه اتفاقی می افتد؟
اکثر مردم کلید های GPG خود را برای تنظیم نمی کنند . هیچ مشکلی با آن وجود ندارد. مگر اینکه آنها کلید خصوصی را از دست بدهند یا آن را دزدیده و یا فقط فرمان عبور خود را فراموش کنند. در چنین مواردی، کلید عمومی، که احتمالا به چندین سرور کلیدی در سراسر جهان منتشر شده و توسط شمار دلخواه سایر افراد بازیابی شده است، عملا بی فایده است و به استثنای حذف آن از برخی از سرویس دهنده های کلیدی، آنها می توانند کاملا هیچ چیز دیگری در مورد آن، مگر اینکه، آنها قبلا یک گواهی لغو برای کلید عمومی ایجاد کرده اند و هنوز هم به این گواهی دسترسی دارند.
در آن موارد بسیار نادر که گواهی احضاریه در دسترس نیست، تنها راه برای اجازه دادن به کسانی که قبلا یک کپی از کلید عمومی را گرفته اند، می دانند که نباید از آن کلید استفاده کنند، با اطلاع آنها به طور مستقیم، که همیشه امکان پذیر نیست زیرا تعداد واقعی دارندگان آن کلید عمومی خاص شناخته نشده است.
تاریخ انقضا بر روی کلیدهای شما یک معیار امنیتی بسیار خوبی است. این اجازه می دهد تا صاحبان کلید عمومی می دانند تاریخ پایان عمر کلید. از طرف دیگر، شما همیشه می توانید تاریخ انقضای کلید را گسترش دهید و کلید به روز شده را به سرورهای کلیدی ارسال کنید. وقتی دیگران متوجه شوند که کلید عمومی شما منقضی شده است، اولین کاری که انجام می دهید این است که آن را از یک سرور کلید بازخوانی کنید، در این صورت آنها کلید عمومی بهروزرسانی شما را بازیابی خواهند کرد.
حتی اگر کلید خصوصی خود را از دست بدهید یا عبارت عبور را فراموش کنید یا حتی گواهی لغو لغو را از دست بدهید، زمانیکه کلید عمومی منقضی شود، که نشان می دهد که این نامعتبر است و نباید بیشتر اعتماد کرد.
در واقع، کلید های خصوصی هرگز منقضی نمی شوند. اگرچه، من این را مورد بررسی قرار نگرفته ام، عقل سلیم نشان می دهد که از آنجایی که کلید های خصوصی برای امضای و رمزگشایی داده ها استفاده می شوند و نمی توان آنها را توزیع کرد، در صورتی که آنها منقضی شوند، هیچ معنایی ندارد.
، صاحب یک کلید خصوصی منقضی باقیمانده هنوز باید توانایی رمزگشایی داده ها را داشته باشد و همچنین بتواند داده ها را امضا کند، حتی اگر کلیه کلید های عمومی موجود در keypair به پایان رسیده باشد، زیرا همیشه می توانید تاریخ انقضاء را در تاریخ فعلی منقضی کلیدهای عمومی
تشدید امتیاز – آیا راهی برای بازنویسی یک پرونده استفاده شده توسط یک سرویس بدون مجوز مدیریت خدمات وجود دارد؟
من سعی می کنم سوءاستفاده کنم و در اینجا سناریوی است:
یک سرویس با امتیازات سیستم اجرا می شود که در آن اجرایی که در حال اجرا است (binpath) می تواند توسط هر کاربر تغییر یابد. سوءاستفاده از جایگزینی دوتایی هدف با یک مخرب است، به طوری که در هنگام راه اندازی دستگاه، اجرایی مخرب با استفاده از امتیازات سیستم به جای آن از اول شروع می شود. با این وجود، مشکل اینجاست که باینری سرویس نمیتواند جایگزین شود چون این سرویس در حال اجرا در حال اجرا است. به طور معمول، تنها مدیران می توانند خدمات را متوقف کنند تا سرویس را متوقف کنند قبل از اینکه دو باینری را تغییر دهند، نوع نسخه ی نمایشی را متوقف می کنند.
سوال من این است:
آیا راهی برای جایگزینی باینری (که من مجوز کامل آن) ندارم بدون مجوز برای متوقف کردن سرویس وجود دارد؟
