Il business del ventunesimo secolo è indubbiamente la raccolta e la catalogazione dei dati da sfruttare per proporre pubblicità mirata, ricavare statistiche e/o rivendere a soggetti terzi interessati. Rimanere fuori da questo business, iniziato da Google, "migliorato" da Facebook (non più dati anonimi!), per una grande azienda informatica può essere una grave perdita e quindi anche Microsoft (dopo averci già provato con il motore di ricerca, Bing) non poteva rimanerne fuori a lungo. Ecco, allora, Windows 10, il primo nella storia dei sistemi operativi Microsoft ad essere stato proposto (o imposto??) come aggiornamento gratuito per le tre ( t-r-e !!!) versioni precedenti (Windows 7, 8 e 8.1), che ha fatto inorridire un sacco di utenti attenti alla privacy per la sua invasività.
Aggiornamento: impedire invio report MRT
Aggiornamento: Microsoft rivela i data raccolti dalla diagnostica
Aggiornamento: Windows 10 1809
Aggiornamento: Report del BSI tedesco
QUALI dati vengono raccolti e inviati a Microsoft??
Su internet si possono trovare informazioni dettagliatissime che riportano un'analisi del traffico di rete di una nuova installazione di Windows 10, ma più o meno tutte fanno capo ad un unica fonte: un sito in lingua ceca la cui traduzione in lingua inglese era raggiungibile a questo link. Oggi sappiamo che non è una fonte attendibile e solo per curiosità (e per paragonare eventuali altri articoli o thread che contengono dati simili), riporto brevemente l'analisi dei dati raccolti secondo questa fonte:
- ogni testo digitato sulla tastiera viene inviato ogni 30 minuti;
- informazioni su rete e posizione inviate ogni 30 minuti;
- dati di telemetria inviati ogni 5 minuti;
- ricerche e indicizzazione dei file locali inviati ogni 30 minuti;
- ricerca di un numero di telefono inviato dopo 5 minuti;
- la prima volta che viene collegata una webcam, viene inviato un pacchetto dati da 35 MB;
- se presente un microfono ogni traccia vocale è trasmessa immediatamente;
- se disattivato Cortana, i dati vocali vengono convertiti in testo e inviati ogni 15 minuti in pacchetti da 80 MB;
- se entra il salva schermo, entro 15 minuti, l'attività di rete aumenta sospettosamente.
L'articolo originale era molto più ricco di dettagli, la maggior parte dei quali però erano illazioni dell'autore che ammetteva più volte di non conoscere il contenuto dei pacchetti dati inviati dato che questi sono trasmessi su connessione cifrata. La riprova fatta da uno sviluppatore di software di nome Rob Seder, che ha letto l'articolo e ha voluto provarne la veridicità delle affermazioni, ha dimostrato che non c'è stato poi tutto questo traffico...
Decisamente più autorevole è la ricerca fatta da ArsTechnica che ha monitorato il traffico di una versione di Windows 10 con le impostazioni settate per garantire la maggior privacy all'utilizzatore. Il risultato dimostra che potrebbe (il condizionale è d'obbligo in quanto, come già detto, la connessione cifrata non consente l'ispezione dei pacchetti dati) esserci comunque un problema per la privacy, considerato che:
- anche disattivando la ricerca sul web di Cortana, quando si cerca localmente un file, c'è comunque l'invio di una richiesta a bing.com e questa richiesta contiene un ID che persiste anche dopo riavvii di sistema;
- c'è comunque un traffico dati periodico (probabilmente dati di telemetria) verso un server Microsoft che sembrerebbe legato a OneDrive, anche se questo ultimo è stato disabilitato, si utilizza Windows con solo account locale e si è bloccato la telemetria con le Group Policy;
- anche impostando un proxy di sistema (utilizzato, in questo caso, per permettere la cattura del traffico di rete) ci sono delle richieste verso un CDN che bypassano il proxy.
Si ma, tutte queste ricerche, prove e test e ancora non sappiamo quali dati Microsoft raccoglie. Se andiamo a rileggere la licenza di utilizzo e l'Informativa sulla privacy, che abbiamo implicitamente accettato con l'utilizzo di Windows 10, possiamo farci un'idea abbastanza chiara di quali sono questi dati: TUTTI quelli che passano dai servizi di Microsoft!! E se consideriamo i numerosi servizi offerti (che comprendono, fra gli altri, Bing, Cortana, Groove Music/Movies & TV, Servizi Microsoft Health, MSN, Office, OneDrive, Outlook.com, Silverlight, Skype, Xbox), è facile capire che sono poche le informazioni che possiamo tenere nascoste!! Inoltre Microsoft non si accontenta nemmeno dei "soli" dati forniti esplicitamente dall'utente ma (cito testualmente) "interessi e preferiti dell'utente possono anche essere ricavati o dedotti da altri dati raccolti".
A favore di Microsoft dobbiamo dire che i dati raccolti dai file personali (documenti, foto, video, mail, chat, ... ) non vengono utilizzati per proporre annunci basati sugli interessi, fa parte di un gruppo di inserzionisti che segue norme di autoregolamentazione (come il rispetto della scelta DoNotTrack) e permette la disattivazione degli annunci basati sugli interessi. Peccato che ci siano anche note negative, una su tutte, la possibilità di cedere a terzi il compito di inviare annunci basati sugli interessi (questo comporta che anche i "terzi" vengono a conoscenza dei nostri dati!).
In data 4/5/2017 Microsoft ha rivelato finalmente quali sono i dati di diagnostica raccolti; potete trovare l'elenco completo a questo link. Tale elenco rappresenta tutti i dati raccolti con l'impostazione di privacy riguardante Feedback e Diagnostica impostata su Completa e può essere ridotto cambiando questo valore (come descritto in seguito) a Di base: l'elenco delle informazioni raccolte con questa impostazione è visibile a questo link.
È importante sottolineare che questo elenco rappresenta solo i dati raccolti dalla diagnostica e non tenga minimamente conto di tutti i dati che Microsoft raccoglie dai suoi servizi, per cui valgono le considerazioni fatte in precedenza.
A novembre del 2018, l'Ufficio federale per la sicurezza nelle tecnologie dell'informazione tedesco (Bundesamt für Sicherheit in der Informationstechnik in breve BSI) ha rilasciato un documento (in inglese) con una completa indagine sulla raccolta e trasmissione dei dati di telemetria fatta tramite Windows 10 e ha poi pubblicato un altro documento (purtroppo solo in tedesco) con alcuni provvedimenti e precauzioni da prendere per limitare il tracciamento e aumentare la privacy. Quest'ultimo documento conferma la validità dei provvedimenti già segnalati in questo articolo e ne suggerisce altri.
Cosa si può fare?
Come sempre si può fare qualcosa per metterci, almeno un po', al riparo dalla eccessiva curiosità di Microsoft nei nostri confronti e come sempre si deve "sacrificare" qualcosa in termini di usabilità. L'obiettivo anche in questo caso segue il solito mantra "diversificare il più possibile i fornitori di servizi". Non mancano certo programmi che promettono di mettere al riparo la nostra privacy. Sono valide alternative all'impostazione manuale descritta in seguito e il mio suggerimento è quello di preferire quelli che sono Open Source, così che è possibile sapere esattamente cosa vanno a fare (parte di questa "guida" è ispirata da queste applicazioni!!). Se però volete intervenire manualmente, per sapere esattamente cosa fare, per immaginare le modifiche fatte dai sopra citati programmi o magari per iniziare a capire un po' meglio il funzionamento di questo complesso sistema operativo, eccovi di seguito alcuni suggerimenti.
DISCLAMER: La guida che segue va a modificare il funzionamento del sistema operativo e anche se ogni azione è completamente reversibile ed è stata testata da me personalmente, su più di un sistema, senza riscontrare nessun problema, ne io ne TurboLab saremo da ritenere responsabili di eventuali problemi o malfunzionamenti. Se decidete di seguire i consigli qui riportati sarete totalmente responsabili di quello che accadrà al vostro sistema!!!
NOTA: il sistema di riferimento è Windows 10 Home versione 1809.
Tanto per cominciare si può fare subito qualcosa in fase di installazione; dopo la presentazione di Cortana e dopo aver scelto la lingua e il layout della tastiera, meglio scegliere di non connettersi immediatamente a internet e confermare nella schermata successiva (questo per rendere più facile la creazione di un account locale!)
Poi evitiamo di attivare Cortana e la Sincronizzazione delle attività
A questo punto neghiamo ogni funzione che ci verrà proposta (utilizzo della voce, posizione, trova dispositivo), attiviamo i dati di diagnostica di Base e neghiamo ancora la funzione di riconoscimento della scrittura, l'esperienze personalizzate e la pubblicità mirata
Dopo aver installato il sistema e averlo configurato come descritto sopra, dobbiamo comunque modificare alcune impostazioni!!
Questa parte è uguale anche per coloro che si trovano questo sistema già installato e non hanno avuto l'accortezza di modificare le opzioni sopra descritte in fase di installazione. Apriamo le Impostazioni e partiamo subito da quello che ci interessa: Privacy. Selezioniamo una alla volta tutte le voci sulla colonna di sinistra, leggiamo attentamente ogni opzione e poi disattiviamola
Andiamo ora su Aggiornamento e Sicurezza; seguitemi passo passo perché Microsoft ha "nascosto" molto bene questa impostazione: scegliamo Sicurezza di Windows, Apri sicurezza di Windows, Protezione da virus e minacce, Gestisci impostazioni (si trova sotto Impostazioni di protezione da Virus e minacce) e disattiviamo la Protezione fornita dal Cloud e soprattutto l'Invio automatico di file di esempio. Scegliamo anche Ignora per ognuno dei due messaggi di allarme (quelli con il triangolino giallo con punto esclamativo nero, per intenderci)
Ritorniamo a Impostazioni e questa volta Dispositivi, scegliamo Digitazione e disattiviamo le voci sotto Controllo Ortografico e Digitazione
Ancora in Impostazioni, Cortana: disattiviamo tutte le opzioni rimaste attive
Altra cosa da fare è rimuovere tutte le applicazioni pre-installate da Microsoft (ricordate "tutto quello che passa per i servizi Microsoft"!!). Per fare ciò vi rimando a questo articolo (per rapidità ed efficacia, vi consiglio di seguire il metodo che prevede l'utilizzo di PowerShell):
» Leggi: Come disinstallare le app da Windows 10 Creators Update
La rimozione delle applicazioni appena fatta ne lascia qualcuna tra cui OneDrive. Occupiamocene subito; per disinstallarlo correttamente, vi rimando a quest'altro articolo:
» Leggi: Come rimuovere OneDrive da Windows 10: guida per disinstallare OneDrive in modo "pulito"
Apriamo ora l'Editor del registro di sistema come Amministratore e andiamo a creare una nuova chiave di registro per disabilitare l'invio del report delle infezioni rilevate dal Malicious software Removal Tool. Questo programma viene rilasciato ed eseguito insieme agli aggiornamenti periodici di Windows e, come impostazione predefinita, comunica a Microsoft il risultato della scansione effettuata. Per impedire che questo avvenga possiamo seguire il consiglio di Microsoft stessa che prevede la creazione di una nuova chiave di registro di tipo REG_DWORD con nome DontReportInfectionInformation e valore 1, nel ramo HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT.
Chiudiamo il regedit e apriamo il Prompt dei comandi, sempre come Amministratore. Diamo il colpo di grazia alla telemetria digitando i seguenti comandi:
echo " " > C:\ProgramData\Microsoft\Diagnosis\ETLLogs\AutoLogger\AutoLogger-Diagtrack-Listener.etl
cacls C:\ProgramData\Microsoft\Diagnosis\ETLLogs\AutoLogger\AutoLogger-Diagtrack-Listener.etl /D SYSTEM
Quello che abbiamo fatto con questi comandi è stato "svuotare" il file log della telemetria e assicurarci che non possa essere riscritto da "SYSTEM".
Secondo il documento rilasciato dal BSI tedesco, c'è un altro file a cui potremo riservare lo stesso trattamento di cui sopra ed è quello che si trova in C:\ProgramData\Microsoft\Diagnosis\DownloadedSettings\utc.app.json. Secondo quanto scritto nel documento, questo file contiene le informazioni per la raccolta dei dati di telemetria per ogni livello preimpostato ed è aggiornato periodicamente da Microsoft. Se non fosse possibile sovrascrivere il file con il comando echo, dovremo prima prenderne il controllo con il Prompt dei comandi come indicato alla fine di questo articolo.
Sempre secondo il BSI, il processo di raccolta e trasmissione dati è regolato tramite il famoso servizio Esperienze utente connesse e telemetria (DiagTrack), oltre a disattivarlo, si consiglia di bloccare le connessioni in entrata e uscita a questo processo. Il metodo suggererito è piuttosto laborioso e prevede di fare una copia di svchost.exe (eseguibile che si trova in %SystemRoot%\System32\ e che è responsabile di moltissimi altri, per non dire tutti gli altri, servizi) e chiamarlo in altro modo (ad esempio, prorpio diagtrack.exe), cambiare il valore ImagePath nella chiave di registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DiagTrack che specifica con quale eseguibile caricare il file di libreria sopra indicato e, infine, bloccare tutte le connessioni a questo "nuovo" eseguibile con il Firewall integrato in Windows o con uno di terze parti.
Tale soluzione, come detto, è piuttosto laboriosa e tutto questo lavoro viene perso ad ogni avanzamento di versione; meglio quindi semplificarci la vita e, semplicemente disattivare detto servizio!!
Se decidiamo di disattivare questo servizio, possiamo anche interrompere e disattivare qualche servizio particolarmente "curioso" come:
-
Servizio di georivelazione(lfsvc) -
Servizio di biometria Windows(WbioSrvc)
Li troviamo in Strumenti di amministrazione e poi Servizi e dato che ci siamo sarebbe una buona idea controllare ed eventualmente disattivare tutti quei servizi che non ci servono ma sta a voi decidere quali.
Nelle ultime versioni di Windows non è più possibile disattivare direttamente dalle impostazioni la ricerca web di Cortana ma possiamo comunque farlo in altro modo:
In alternativa o per maggior sicurezza, possiamo bloccare le connessioni (in entrata e uscita) al processo responsabile della ricerca tramite Cortana. Se decidiamo di utilizzare il Firewall con sicurezza avanzata di Windows noteremo che esiste già una regola apposita che consente le connessioni a Cortana; invece di modificare questa regola, creiamone una ex novo per bloccare il processo che si trova nel path %windir%\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe. In questo modo non dovremo preoccuparci di eventuali conflitti con altre regole (le regole espressamente bloccate "vincono" sulle altre) e soprattutto, questa nuova regola sopravvivera ai passaggi di versione di Windows!!
Manca qualcosa?? Sì; le operazioni pianificarte. Andiamo in Strumenti di amministrazione, Unità di pianificazione ed espandiamo l'albero delle attività pianificate sulla colonna di sinistra. Qui cerchiamo due cartelle: Application Experience e Customer Experience Improvement Program e, con click del tasto destro del mouse su ogni voce presente nella colonna centrale, disattiviamo tutte le operazioni pianificate (se volete, potete anche lasciare attiva StartupAppTask) .
Come ultima indicazione, l'Ufficio federale per la sicurezza nelle tecnologie dell'informazione tedesco consiglia di modificare il file %windir%\System32\drivers\etc\hosts aggiungendo le seguenti voci:
0.0.0.0 geo.settings-win.data.microsoft.com.akadns.net0.0.0.0 db5-eap.settings-win.data.microsoft.com.akadns.net0.0.0.0 settings-win.data.microsoft.com0.0.0.0 db5.settings-win.data.microsoft.com.akadns.net0.0.0.0 asimov-win.settings.data.microsoft.com.akadns.net0.0.0.0 db5.vortex.data.microsoft.com.akadns.net0.0.0.0 v10-win.vortex.data.microsft.com.akadns.net0.0.0.0 geo.vortex.data.microsoft.com.akadns.net0.0.0.0 v10.vortex-win.data.microsft.com0.0.0.0 us.vortex-win.data.microsft.com0.0.0.0 eu.vortex-win.data.microsft.com0.0.0.0 vortex-win-sandbox.data.microsoft.com0.0.0.0 alpha.telemetry.microsft.com0.0.0.0 oca.telemetry.microsft.com
Questi domini sono codificati all'interno del file diagtrack.dll e sono quelli contattati per la trasmissione dei dati. Bloccarli a livello hosts sul sistema operativo però potrebbe non essere sufficiente e si consiglia pertanto di bloccare questi domini anche su un firewall esterno (per esempio sul router) ma, anche in questo caso, non garantisce una protezione totale in quanto i domini posso cambiare ad ogni minimo aggiornamento.
Abbiamo quasi finito: rimane solo da scaricare un altro browser ed evitare quello fornito da Microsoft.
Ripeto per l'ultima volta che, futuri aggiornamenti, potrebbero andare a ripristinare tutte le modifiche che abbiamo effettuato. Per questo motivo, i power users potrebbero pensare di creare un file batch per riapplicare tutte queste modifiche periodicamente ma anche in questo caso non possiamo essere sicuri dell'efficacia di tale soluzione, in quanto, sempre durante il passaggio di versione di Windows, alcuni servizi, eseguibili, operazioni pianificate, potrebbero essere cambiati; è sempre buona regola, quindi, un controllo periodico!!
