Личные данные россиян обязали хранить только в России

Личные данные россиян обязали хранить только в России

Поправки в законодательство о персональных данных нижняя палата приняла во вторник в первом чтении. Их авторами выступили первый зампред комитета ГД по информационной политике Вадим Деньгин (ЛДПР), член этого комитета Александр Ющенко (КПРФ) и зампред комитета по безопасности Андрей Луговой (ЛДПР).

Если проект вступит в силу, операторам в обязанность будет вменено «обеспечение записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения персональных данных граждан... в базах данных информации, расположенных на территории РФ, а также указывать сведения о месте расположения таких баз данных», – говорится в пояснительной записке.

Следовательно, крупные иностранные интернет-компании, располагающие базами данных российских пользователей (например, Twitter, Facebook, Booking.com), должны будут открыть свои филиалы в России для хранения персональных данных россиян, пояснял РИА «Новости» Александр Ющенко. Он отметил, что в случае принятия закон вступит в силу в 2016 году, поэтому у компаний будет достаточно времени, чтобы открыть свои дата-центры в РФ.

«Если вы за три месяца не удалили свою переписку из «Твиттера», она сразу переходит в США на серверы и хранится там. Отсюда пришла инициатива Деньгину, Луговому и Ющенко, чтобы заставить подобные компании хранить такие данные в России. Поверьте мне, большинство россиян хотят, чтобы их данные оставались на территории Российской Федерации», – сказал Вадим Деньгин, представляя инициативу на заседании Госдумы.

Ранее Деньгин отмечал, что иностранные государства «владеют полностью всей информацией, перепиской, фотографиями наших граждан». «Мы беспокоимся за безопасность личных данных граждан Российской Федерации и не нарушаем абсолютно никакого законодательства и уж тем более морально-этических норм», – заявлял ранее газете ВЗГЛЯД Деньгин.

Никто не хочет, чтобы их личные данные, в том числе переписка в социальных сетях, были использованы какими-то мошенниками, вскрывшими сайт на территории, допустим, США. Не секрет, что большинство социальных сетей и поисковиков физически расположены на серверах на территории Соединенных Штатов Америки, в Европе, добавил парламентарий. «Мы должны обезопасить себя. Естественно, эта инициатива положительно встречена общественностью»,– отметил Деньгин.

Если закон вступит в силу, Роскомнадзор сможет – на основании вступившего в силу судебного акта – ограничивать доступ к информации, обрабатываемой с нарушением российского закона. Внесенные поправки определяют порядок ограничения доступа к такой информации. В целях ограничения доступа к этой информации предлагается создать черный список – реестр нарушителей прав субъектов персональных данных.

«Законопроект важный и своевременный», – заявил «Интерфаксу» первый зампред комитета Госдумы по информационной политике, информационным технологиям и связи Леонид Левин. Он подчеркнул, что «безопасность персональных данных россиян – это одна из основополагающих вещей, такие данные должны быть защищены, в том числе и законами РФ».

Парламентарий отметил, что схожую позицию занял недавно и Высший суд Евросоюза, который предписал Google обеспечить удаление личной информации по запросу пользователя. Решение Высшего суда Евросоюза подтверждает, что это является не только российской, но и общеевропейской тенденцией в сторону защиты персональных данных пользователей во всех странах, сказал Левин. Он также подчеркнул, что предложения по созданию дата-центров на территории РФ обсуждались в Госдуме еще до вынесения решения Высшим судом Евросоюза.

«У нас давно с Роскомнадзором – единая позиция, рассчитанная на то, что крупные международные компании в интернет-сфере должны не только создавать представительства в РФ, но и в принципе быть заинтересованными в российской аудитории. А они заинтересованы», – сказал он.

По мнению Левина, такие компании получают в России доходы с рекламы, что «также коррелирует с решением Высшего суда Евросоюза». «Если компания зарабатывает на территории РФ, значит, она ведет деятельность на территории РФ, значит, она должна рассматривать не только необходимость открывать офисы, но и создавать здесь хранилища», – сказал политик, передает vz.ru.

Как и Ющенко, Леви полагает, что положения данного законопроекта касаются таких компаний, как Twitter, Facebook. Депутат также подчеркнул, что два года, отведенные законопроектом до вступления его положений в силу, – достаточный период и для открытия офисов, и для создания хранилищ на территории РФ.

 

В МАКС нашли вход без пароля и СМС через токен в браузере

Вокруг российского мессенджера МАКС разгорелась новая дискуссия о безопасности. Пользователь Хабра под ником sansmaster рассказал, что для входа в веб-версию сервиса можно обойтись без пароля, СМС-кода и даже QR-аутентификации.

Правда, речь идёт не о взломе и не об уязвимости в классическом понимании.

Автор публикации обратил внимание, что после успешного входа в web.max.ru браузер сохраняет токен сессии в локальном хранилище (localStorage). Этот токен позволяет серверу идентифицировать пользователя и поддерживать активную сессию.

Через консоль разработчика браузера пользователь может извлечь сохранённый токен, а затем импортировать его в другой браузер или на другой компьютер. После перезагрузки страницы веб-версия МАКС откроется уже под нужной учётной записью, и всё это без ввода пароля, получения СМС или сканирования QR-кода.

 

По сути, речь идёт о переносе уже существующей сессии между браузерами. Сам автор подчёркивает, что никаких эксплойтов или обходов защиты здесь нет. Используются штатные механизмы браузера и данные, которые приложение само сохраняет на устройстве пользователя. Аналогичные принципы работы применяются и во многих других веб-сервисах.

 

Тем не менее публикация вызвала бурное обсуждение. Многие пользователи удивились тому, насколько легко можно получить доступ к токену через DevTools и перенести его в другую среду.

При этом есть важный нюанс. Для выполнения всей процедуры злоумышленнику уже необходим доступ к устройству или браузеру пользователя, где активна сессия МАКС. Без этого получить токен не получится.

Кроме того, выход из аккаунта или завершение сессии через настройки делает токен недействительным сразу на всех устройствах, где он использовался.

 

Фактически история стала ещё одним напоминанием о том, что токен аутентификации зачастую представляет не меньшую ценность, чем пароль. Если он попадает в чужие руки, то может открыть доступ к аккаунту без каких-либо дополнительных проверок.

RSS: Новости на портале Anti-Malware.ru