Nytt system for artikkelkommentarer i TU Media

[AnthonyEdwardS]

attz skrev (På 12.10.2022 den 7.37):

Fra Datatilsynet: Fødselsnummeret kan bare brukes når det er saklig behov for sikker identifisering av en person og fødselsnummeret er nødvendig for å oppnå slik identifisering (personopplysningsloven § 12)

Er kommentarfelt egentlig saklig behov?

Det tviler jeg på at det er, men de skjuler seg vel bak "vi kan aldri se fødselsnummeret ditt, det er det kun BankID som gjør" unnskyldningen.

[Frank Drebin]

qualbeen skrev (6 timer siden):

Jepp, og det er et problem som har vært tatt opp i tråden allerede.

TU har nemlig valgt å endre malverket sitt, med tilbakevirkende kraft.

Alle de flotte kommentarene til artikkelen du viser til over, er dermed usynlige og utilgjengelige for folk flest. Det ble skrevet kommentarer opp og ned i mente, og svært mange av TU sine lesere har bidratt på en god og konstruktiv måte ❤️.

 

Disse tidligere bidragene blir tydeligvis sett på som verdiløse for TU Media. Eller?  
 – Det må være lov å bytte kommentarplattform, men jeg synes de kunne spandert på seg en link til de eldre kommentarer der de finnes. 

 

Heldigvis går det an å finne igjen tråder her på Diskusjon.

 

For min del har Diskusjon i økende grad vært veien inn til TU.no-saker, ikke omvendt. Og diskusjonstråden har ofte vært mer interessant enn selve artikkelen. Som abonnent på Teknisk Ukeblad pga. Tekna-medlemskap synes jeg også det var en uting at jeg måtte betale for Ekstra-saker (kombinert med at papirbladet vel allerede hadde redusert fra 40+ til 11 utgivelser i året), så Ekstra-abonnement har jeg av prinsipp holdt meg unna. Dermed ble TU.no en mindre og mindre relevant nettside etterhvert som andelen Ekstra-saker økte. Dette er siste spikeren i kista for min del, det blir nok ikke mange besøk på TU.no framover.

[Memento scientiam (takk for meg)]

Frank Drebin skrev (22 minutter siden):

Heldigvis går det an å finne igjen tråder her på Diskusjon.

Noen fikk viljen sin.

Nå som denne gamle tråden faktisk ble trukket fram igjen, vil jeg gjerne utheve et innlegg som står der:

 

Endret 14. oktober 2022 av Memento scientiam

[qualbeen]

AnthonyEdwardS skrev (4 timer siden):

Det tviler jeg på at det er, men de skjuler seg vel bak "vi kan aldri se fødselsnummeret ditt, det er det kun BankID som gjør" unnskyldningen.

Har du lest mine innlegg? Jeg har sett med egne øyne hva de (henter ut fra BankID og) sender med videre til et internt "signup-api":

Hele fødselsnummeret ditt er med i den payloaden!! 

Dette er det selvfølgelig ikke noen grunn til. Allikevel er det nå engang slik løsningen fungerer i dag ...

Ikke tror jeg de egentlig bruker fødselsnummeret mitt til noe fornuftig, riktignok. Men det sendes altså inn, sammen med annen persondata for registrering (navn, e-post, personnummer).  Og med tanke på at de mest sannsynlig ikke bruker fødselsnummeret mitt til noe, så burde de ei heller ha samlet det inn!

Hva en eventuell database-lekkasje fra denne løsningen kan inneholde, tør jeg ikke tenkte på engang!! 😱 De samler nemlig inn BankID- og en del andre bank-relaterte innloggingsmetoder fra Norge, Sverige og Finland! 

Endret 14. oktober 2022 av qualbeen

[Memento scientiam (takk for meg)]

qualbeen skrev (1 time siden):

Har du lest mine innlegg? Jeg har sett med egne øyne hva de (henter ut fra BankID og) sender med videre til et internt "signup-api":

Hele fødselsnummeret ditt er med i den payloaden!! 

Dette er det selvfølgelig ikke noen grunn til. Allikevel er det nå engang slik løsningen fungerer i dag ...

Ikke tror jeg de egentlig bruker fødselsnummeret mitt til noe fornuftig, riktignok. Men det sendes altså inn, sammen med annen persondata for registrering (navn, e-post, personnummer).  Og med tanke på at de mest sannsynlig ikke bruker fødselsnummeret mitt til noe, så burde de ei heller ha samlet det inn!

Hva en eventuell database-lekkasje fra denne løsningen kan inneholde, tør jeg ikke tenkte på engang!! 😱 De samler nemlig inn BankID- og en del andre bank-relaterte innloggingsmetoder fra Norge, Sverige og Finland! 

Jeg tenkte på å gi han et svar, men faktum er nå sånn at hvis de ikke har tenkt til å bruke det nummeret, så kan de da skjule seg bak den forklaringen, ved å be BankID om å slutte å sende den til dem.

Når det er sagt, så er det ikke sikkert at de lagrer personnummeret i databasen deres, selv om de mottar det. I og med at de faktisk stoler blindt på BankID, trenger de ikke å lagre verken telefonnummeret eller fødselsdatoen, eller noe annet, bare e-posten og navnet ditt. 
 

Faktisk er dette en mulig fordel ved å benytte BankID: tjenesten trenger bare å motta navn og et unikt nummer. Dette nummeret er unikt for deg og tjenesten, altså kan det ikke identifisere deg på tvers av tjenester. Dog er ikke dette sånn det er implementert, og det er vel ikke det BankID er ment for heller. 
 

Endret 14. oktober 2022 av Memento scientiam

[Kahuna]

Memento scientiam skrev (20 minutter siden):

Jeg tenkte på å gi han et svar, men faktum er nå sånn at hvis de ikke har tenkt til å bruke det nummeret, så kan de da skjule seg bak den forklaringen, ved å be BankID om å slutte å sende den til dem.

Når det er sagt, så er det ikke sikkert at de lagrer personnummeret i databasen deres, selv om de mottar det. I og med at de faktisk stoler blindt på BankID, trenger de ikke å lagre verken telefonnummeret eller fødselsdatoen, eller noe annet, bare e-posten og navnet ditt. 
 

Faktisk er dette en mulig fordel ved å benytte BankID: tjenesten trenger bare å motta navn og et unikt nummer. Dette nummeret er unikt for deg og tjenesten, altså kan det ikke identifisere deg på tvers av tjenester. Dog er ikke dette sånn det er implementert, og det er vel ikke det BankID er ment for heller. 
 

Fåglarna vet va de bruker personnummeret til, de sjekker det hvert fall ikke. Forhåpentligvis lagrer de det ikke en gang men det kan vi ikke vite(siden det faktisk sendes bør vi være mistenksomme). Det genereres også et kundenr jeg *antar* brukes internt i løsningen. 

@qualbeen har vist meg hva som sendes inn og det var null problem for meg å replikere dette med oppdiktet personnr(uten å gå via bankid). 

[qualbeen]

Memento scientiam skrev (26 minutter siden):

Når det er sagt, så er det ikke sikkert at de lagrer personnummeret i databasen deres, selv om de mottar det.

Korrekt. Men umulig å verifisere. 

Jeg har (til nå) ikke ramlet over et API som utleverer mitt personnummer. Standard-apiene med brukerinformasjon (navn, avatar/bilde, m.m, inneholder hvertfall ikke noe sensitiv informasjon. Så det er bra. 

Håper virkelig de har valgt å unnlate å lagre mine personopplysninger. Men hvordan skal jeg kunne vite dette helt sikkert?

[Memento scientiam (takk for meg)]

Kahuna skrev (1 minutt siden):

Fåglarna vet va de bruker personnummeret til, de sjekker det hvert fall ikke. Forhåpentligvis lagrer de det ikke en gang men det kan vi ikke vite(siden det faktisk sendes bør vi være mistenksomme). Det genereres også et kundenr jeg *antar* brukes internt i løsningen. 

@qualbeen har vist meg hva som sendes inn og det var null problem for meg å replikere dette med oppdiktet personnr(uten å gå via bankid). 

Ja, jeg har lest alle innleggene hans. Jeg er fornøyd med at han gjorde det, for da slapp jeg. Jeg hadde jo uansett ikke gjort det, ikke fordi at jeg ikke kan, men fordi at jeg ikke vil (har skrevet hvorfor flere ganger). Og, ja, så lenge vi ikke vet hva det brukes til, kan vi spekulere i massevis hvorfor de mottar det. Det kan være inkompetanse, eller kanskje mangel på tid/ressurser til å ordne noe som for dem virker. Kanskje de også selger personnumrene våre. Hvem vet. 

[Memento scientiam (takk for meg)]

qualbeen skrev (4 minutter siden):

Men hvordan skal jeg kunne vite dette helt sikkert?

Skulle likt å ha svaret. Det har jeg ikke. Nå vet jeg ikke hvordan BankID sitt API er, så jeg kan ikke si om slurvet ligger hos dem eller BankID (eller at BankID bare aldri var bygd til dette formålet), så hvis det er slurv hos Ifrågasätt, kan det jo hende de har slurvet med noe annet også, som sikkerheten. Du kan jo prøve å finne ut av det? Skaffe deg urettmessig tilgang? Så lenge du ikke bruker den tilgangen til noe annet formål enn å avdekke problemer hos dem, slipper du kanskje politi på døren. Eventuelt gjør dem som i Bergen: sender politi på døren til 10-åringer som gjetter passord til It’s Learning. 

Endret 14. oktober 2022 av Memento scientiam

[Nautica]

qualbeen skrev (14 timer siden):

Håper virkelig de har valgt å unnlate å lagre mine personopplysninger. Men hvordan skal jeg kunne vite dette helt sikkert?

Du kan forespørre og få utlevert all informasjon de har om deg ifølge norsk lov, så da burde du få svar på dette.

 

Ville ikke forundre meg om man kan forespørre som en annen TU-bruker og få utlever dokumentasjon.

Endret 15. oktober 2022 av Nautica

[Kahuna]

Nautica skrev (40 minutter siden):

Du kan forespørre og få utlevert all informasjon de har om deg ifølge norsk lov, så da burde du få svar på dette.

Godt poeng. 👍

Hvem spør man? TU Media først? Så Ifrågasett og BankID? 

[Nautica]

Kahuna skrev (57 minutter siden):

Godt poeng. 👍

Hvem spør man? TU Media først? Så Ifrågasett og BankID? 

Begynne med mail:  [email protected] så finner man ut hva de lagrer av informasjon.

tu.no/personvern

Personnummer, etc. burde lagres med ddmmååxxxxx

Endret 15. oktober 2022 av Nautica

[Ekspertkommentator]

17 hours ago, Memento scientiam said:

Når det er sagt, så er det ikke sikkert at de lagrer personnummeret i databasen deres, selv om de mottar det. I og med at de faktisk stoler blindt på BankID, trenger de ikke å lagre verken telefonnummeret eller fødselsdatoen, eller noe annet, bare e-posten og navnet ditt. 

Nei ifragasatt lagrer alt de kommer over av dine personlige data inkludert fødselsnummer. Her er hva ifragasatt selv sier de lagrer av personlige data: se link https://ifragasatt.com/membership-terms-and-conditions/#personaldatapolicy 

ifragasatt støvsuger opp personlig informasjon som de sier de kan selge eller gi bort til tredjeparter inkludert myndigheter. Litt som facebook og google, men at de i tillegg bruker bankID for registrering og validering. Jeg kommer til å holde meg langt unna denne gjengen.

Endret 15. oktober 2022 av Ekspertkommentator

[trikola]

1 hour ago, Ekspertkommentator said:

Nei ifragasatt lagrer alt de kommer over av dine personlige data inkludert fødselsnummer. Her er hva ifragasatt selv sier de lagrer av personlige data: se link https://ifragasatt.com/membership-terms-and-conditions/#personaldatapolicy 

At de lagrer 'personal identification number' kryptert betyr etter min forståelse at de ikke lagrer nummeret. De lagrer nummeret i kodet form men kan ikke de-kode det igjen. Det de oppnår med dette er at de vet: samme kode er samme person men hvilket nummer det er vet de ikke.

[qualbeen]

trikola skrev (4 minutter siden):

De lagrer nummeret i kodet form men kan ikke de-kode det igjen.

Nja, det skriver de ikke. Den vanligste form for kryptering, er at innholdet også kan dekrypteres. 

Dersom det er snakk om enveis-kryptering, er det normalt å omtale resultatet som en hash. Det begrepet ser jeg ikke nevnt, så selv om en hash hadde vært ypperlig for å oppnå akkurat det du beskriver, stoler jeg ikke på at dette stemmer. De kan like gjerne ha brukt normal kryptering. 

[Sutekh]

1 hour ago, qualbeen said:

Nja, det skriver de ikke. Den vanligste form for kryptering, er at innholdet også kan dekrypteres. 

Dersom det er snakk om enveis-kryptering, er det normalt å omtale resultatet som en hash.

Dette.

Det er forskjell på å kryptere så tredjeparter som klarer å stjele databasen ikke kan hente ut originalverdien, og å hashe så heller ikke eieren av databasen kjenner originalverdien.

[Gravitass]

Memento scientiam skrev (På 13.10.2022 den 13.43):

Nei, det funker fint i Safari. Er noen småfeil her og der, men de er også i Firefox. Finner det forøvrig spesielt at du nevner Safari, av alt. Den er basert på WebKit, noe av det vanligste på internett. 
 

Mulig at TUM har en del lesere med særs uvanlige nettleservalg. De som liker IT har gjerne det. 

Denne saken viser trafikken i desmber 2019 på digi.no.

I saken så er det bare Safari som kan være 1/3 av nettlesere (om jeg leser korrekt). Men det spørst jo om 3 år gamle data er representativt for dagens brukerbase og den merkelige påstanden til TU (med tanke på kjørbarheten til diskusjon.no).

https://www.digi.no/artikler/innsikt-mer-enn-halvparten-av-digi-no-leserne-bruker-en-annen-nettleser-enn-chrome/481954?key=bFBAeV6A

Jeg har ingen problemer med diskusjon.no på Firefox i android. Det er et ekstra blankt felt helt til høyre på kanskje 20-30 piksler som gjør at jeg kan skrolle horisontalt på mobil. Må aktivt zoome ut for å unngå det.

 

[Allostasis]

On 10/5/2022 at 8:14 PM, Gjest MKII said:

Idioti å gå vekk i fra veletablerte Diskusjon.no som har fungert så bra, og som tillater alias. Tvungen bruk av fullt navn medfører at psykopater som ikke bryr seg om hva andre mener om de og deres meninger får større plass, og de som ikke våger/ikke kan debatere under eget navn fortrenges!

Mener bestemt også å ha lest undersøkelse/forskning på at tvungen bruk av fullt navn i kommentarfelt medfører nettopp det! Aner ikke hvor jeg har lest det, så har ingen kilde på det.

Dette å kommentere med full navn har alltid vært tull og faktisk direkte diskriminerende. Ingen utenfor BankID systemet vet hvem du er om du heter Ole Olsen. Har du derimot ett unikt navn, vil alle kunne finne ut hvem du er. Dermed er man i praksis forskjellsbehandlet, hvis hensikten er at man skal kunne oppføre seg redelig og ærlig av å ikke være anonym (slik journalister argumenterer for). 

Når det er sagt så tror jeg du kan endre visningsnavn på plasser som Tek og VG til noe annet enn ditt opprinnelige navn. Hvorvidt det er noen kontroll på om du kommenterer med ditt faktiske navn og om moderatorene ser det, kan man jo lure på. 

[-Night-]

20 minutes ago, Allostasis said:

Dette å kommentere med full navn har alltid vært tull og faktisk direkte diskriminerende. Ingen utenfor BankID systemet vet hvem du er om du heter Ole Olsen. Har du derimot ett unikt navn, vil alle kunne finne ut hvem du er. Dermed er man i praksis forskjellsbehandlet, hvis hensikten er at man skal kunne oppføre seg redelig og ærlig av å ikke være anonym (slik journalister argumenterer for). 

Når det er sagt så tror jeg du kan endre visningsnavn på plasser som Tek og VG til noe annet enn ditt opprinnelige navn. Hvorvidt det er noen kontroll på om du kommenterer med ditt faktiske navn og om moderatorene ser det, kan man jo lure på. 

Oppfordere til mindre diskusjon og på den måten få gjennom viljen sin, en etter en fjerent aviser kommentarfeltet siden journalistene ble gang etter gang hengt ut som kunnskapsløse ja mulig på en en noe krass måte, men vi ser samme her   schibsted/amedia kjøper noe opp ytteringsfriheten forsvinner med engang siden partiet veit jo best ikke sant? 

[Memento scientiam (takk for meg)]

-Night- skrev (2 timer siden):

schibsted/amedia kjøper noe opp ytteringsfriheten forsvinner med engang siden partiet veit jo best ikke sant? 

Hæ? Schibsted/Amedia kjøpte Diskusjon.no, ikke TU Media. De er forøvrig et selskap, ikke noe parti? Jeg skjønner ikke hva du mener.  

Endret 17. oktober 2022 av Memento scientiam