Er målernummer fra AMS-målere sensitivt?

[Robin Smidsrød]

Hei alle sammen!

 

Etter at jeg har lest gjennom en del poster på forumet her rundt lesing/dekoding av data fra AMS HAN-porten har jeg begynt å lure på hvor sensitiv målepunkt-ID-en er. Hvis man kobler den sammen med navn på abonnent og adresse er det sannsynligvis relativt sensitivt, men hvis den står alene i en binærdump, hvor mye skade kan en ondsinnet person gjøre hvis de har kjennskap til en målepunkt-ID?

 

Grunnen til at jeg spør er fordi jeg har laget en dekoder[1], og jeg tenkte at det kunne være nyttig å legge ved eksempler på dump-filer fra forskjellige målere. Men hvis kjennskap til målepunkt-ID kan brukes til noe (f.eks. bestille eller avslutte tjenester som koster penger) uten å kjenne navnet på abonnenten tenker jeg at de ikke burde gjøres tilgjengelig på internett.

 

Jeg leste et eller annet sted at NVE sammenligner målepunkt-ID med personnummer, og skatteetaten sier at personnummer ikke er sensitivt, men det er personopplysninger. Folk flest gir ikke fra seg personnummeret sitt til hvem som helst som spør om det, selv om skatteetaten sier som over.

 

Jeg vet at målepunkt-ID består av landskode, kraftverk-ID, løpenummer og kontrollsiffer, som i seg selv ikke kan identifisere brukeren direkte.

 

Så i bunn og grunn, hvis man har en målepunkt-ID, hva kan man gjøre med den?

 

1: https://github.com/robinsmidsrod/ams-han-decoder

[Moskus]

For sånne ting tenker jeg at det er bedre å være "føre var". Å endre et målepunkt-ID før opplasting er jo en smal sak...

[Robin Smidsrød]

3 timer siden, Moskus skrev:

For sånne ting tenker jeg at det er bedre å være "føre var". Å endre et målepunkt-ID før opplasting er jo en smal sak...

 

Vel, å endre målepunkt-id før opplasting er ikke alltid enkelt hvis man har en større binærfil. I tillegg vil da sjekksum på fila ikke stemme, og hvis man bruker en dekoder som faktisk sjekker sjekksum så skal den da forkaste meldingen. I min dekoder (nevnt over) verifiserer jeg faktisk sjekksum, så den vil forkaste en melding hvor målepunkt-id er endret. Derfor har jeg lagt inn et parameter for å ignorere sjekksum (-i) hvis man har slike dump-filer man ønsker å kikke på.

 

Mens jeg jobbet med dekoderen min la jeg merke til at man kan faktisk brute-force målepunkt-id hvis sjekksum (FCS) for meldingen ikke er endret. Og med tanke på at det kun er 17 siffer (0-9) og man kan verifisere offline burde det det ikke ta veldig lang tid å finne en målepunkt-id hvis man ellers har hele meldingen.

 

Så jeg er fremdeles nysgjerrig på hva slags ting man faktisk kan gjøre med en målepunkt-id...

 

-- Robin

[Hårek]

Det er ikke målepunkt-ID som ligger i data fra måleren. Målepunkt-ID (18 siffer) finner du på strømregningen. På HAN porten får du ut Meter ID (16 siffer).

[Robin Smidsrød]

4 timer siden, Hårek skrev:

Det er ikke målepunkt-ID som ligger i data fra måleren. Målepunkt-ID (18 siffer) finner du på strømregningen. På HAN porten får du ut Meter ID (16 siffer).

 

Tusen takk for opplysningen! Det var jo interessant informasjon. Da endrer jo spørsmålet seg litt siden det IKKE dreier seg om målepunkt-ID, men målernummer.

 

Er det noen andre enn nettselskapet som har levert måleren som kan koble målernummer til målepunkt-ID? Når jeg tenket over det, er det kanskje et godt spørsmål å stille til kundeservice hos nettselskapet...

 

-- Robin

[Robin Smidsrød]

Har sendt inn en forespørsel til nettselskapet mitt nå, og håper på et svar tilbake fra de rundt kobling av målernummer til målepunkt-ID og person/adresse.

 

-- Robin

[roy]

Det er godt å høre at det er flere som tenker på disse tingene.  Jeg har sensurert målernummeret mitt i de dataene jeg har lastet opp, men det er kanskje ikke nødvendig.

 

Det som jeg har stusset over derimot, er hvordan man på diverse tjenester på nettet kan skrive inn et mobilnummer og få ut fullt navn, full adresse, fødselsdato, målepunkt-ID, målernummer og netteier. Om man ikke finner en persons mobilnummer i telefonkatalogen finner man det stort sett alltid i en eller annen kontaktliste for et idrettslag, et Facebook-innlegg, en Finn-annonse, eller lignende. Så sånn sett er det litt enklere å få tak i målepunkt-ID enn et fødselsnummer..

[Robin Smidsrød]

På 8.7.2019 den 17.48, roy skrev:

Det er godt å høre at det er flere som tenker på disse tingene.  Jeg har sensurert målernummeret mitt i de dataene jeg har lastet opp, men det er kanskje ikke nødvendig.

 

Og som nevnt tidligere, hvis du beholder resten av melding uendret (med sjekksum) kan man (relativt) enkelt regne seg frem til det.

 

På 8.7.2019 den 17.48, roy skrev:

Det som jeg har stusset over derimot, er hvordan man på diverse tjenester på nettet kan skrive inn et mobilnummer og få ut fullt navn, full adresse, fødselsdato, målepunkt-ID, målernummer og netteier. Om man ikke finner en persons mobilnummer i telefonkatalogen finner man det stort sett alltid i en eller annen kontaktliste for et idrettslag, et Facebook-innlegg, en Finn-annonse, eller lignende. Så sånn sett er det litt enklere å få tak i målepunkt-ID enn et fødselsnummer..

 

Det tror jeg strengt tatt er et brudd på personvernsforordringen (GDPR) og burde således rapporteres til Datatilsynet. Hvis vi alle er flinke til å rapportere det når vi legger merke til det så kanskje vi over tid blir kvitt, i det minste, de verste synderne. Folk som selv deler telefonnummer og andre personopplysninger på sosiale medier er det vanskelig å gjøre noe med.

 

Forøvrig:

 

Jeg fikk dette svaret fra Skagerak Nett her om dagen på spørsmålet mitt rundt målernummer og personvern:

 

Sitat

Det er kun netteier og din strømleverandør (via Elhub) som har tilgang til ditt målernummer og kan koble det mot ditt navn/målepunkt-ID/adresse. 

 

Alle målere fra Aidon har unike målernummer. Hva slags målernummer/serienummer andre produsenter av målere verden over benytter kjenner vi ikke til.

 

Det betyr i det minste at det er et fåtall personer og institusjoner som har mulighet til å koble målernummeret til person/installasjonsadresse.

 

Så da er spørsmålet. Skal eller skal jeg ikke dele målernummer uten å anonymisere det...? Kanskje se om jeg finner ut om det er mulig å lage en poll her for å se hva andre hadde gjort...

 

-- Robin

[roy]

7 timer siden, Robin Smidsrød skrev:

Det tror jeg strengt tatt er et brudd på personvernsforordringen (GDPR) og burde således rapporteres til Datatilsynet. Hvis vi alle er flinke til å rapportere det når vi legger merke til det så kanskje vi over tid blir kvitt, i det minste, de verste synderne. Folk som selv deler telefonnummer og andre personopplysninger på sosiale medier er det vanskelig å gjøre noe med.

 

Jeg tror det er Enoro som i sitt produkt Elwin Elprosess som tilbyr dette her. Uten at jeg vet det så virker det som om de har det meste av opplysninger om de fleste på tvers av selskaper.

 

 

7 timer siden, Robin Smidsrød skrev:

Så da er spørsmålet. Skal eller skal jeg ikke dele målernummer uten å anonymisere det...? Kanskje se om jeg finner ut om det er mulig å lage en poll her for å se hva andre hadde gjort...

 

Poll er nok bra. Virker som om du relativt trygt kan dele det. Selv om jeg fort heller mot å fortsette å modifisere målernummer og sjekksum. Det er jo kjapt å søke og erstatte både målernummer og sjekksummer i både små store mengder data. (Skulle man finne på å scripte det er det jo ikke umulig å få regnet ut ny gyldig sjekksum om ønskelig.)

 

[Alvin]

På 8.7.2019 den 17.48, roy skrev:

Det er godt å høre at det er flere som tenker på disse tingene.  Jeg har sensurert målernummeret mitt i de dataene jeg har lastet opp, men det er kanskje ikke nødvendig.

 

Det som jeg har stusset over derimot, er hvordan man på diverse tjenester på nettet kan skrive inn et mobilnummer og få ut fullt navn, full adresse, fødselsdato, målepunkt-ID, målernummer og netteier. Om man ikke finner en persons mobilnummer i telefonkatalogen finner man det stort sett alltid i en eller annen kontaktliste for et idrettslag, et Facebook-innlegg, en Finn-annonse, eller lignende. Så sånn sett er det litt enklere å få tak i målepunkt-ID enn et fødselsnummer..

Hvilke nett-tjenester er det som oppgir målepunkt-id? 

[roy]

9 timer siden, Alvin skrev:

Hvilke nett-tjenester er det som oppgir målepunkt-id? 

 

Gudbrandsdal Energi har i hvertfall gjort det veldig lenge: https://www.ge.no/stromavtale/produkt/markedskraft/bestill

 

Bare skriv inn mobilnummer og trykk "neste" så har du det.

[Alvin]

Hei. 

Jeg prøvde det du sa men det gikk ikke. 😎 

Er nysgjerrige på hva som genererer Målepunkt ID'n nemlig?

Mener det er en kombo av GSRN (strekkode) og Wgs84 (gps). 

Noen som har kjennskap til dette? 

[stigvi]

1 time siden, Alvin skrev:

og Wgs84 (gps)

Høres helt merkelig ut i så fall. Posisjon til hva da og når da? Da kunne er like greit brukt en tilfeldighetsgenerator

[stigvi]

2 timer siden, Alvin skrev:

Er nysgjerrige på hva som genererer Målepunkt ID'n nemlig?

[roy]

2 timer siden, Alvin skrev:

Jeg prøvde det du sa men det gikk ikke. 😎 

 

Jeg har 100% treffprosent. Ikke at datasettet er så stort.  Men er jo bare å ta tlf.nr. til en nabo du tror strømmen står på. Eller ta navnet til en av oss på forumet her og søk opp nummeret. (Men nå fikk du vel uansett svar på det egentlig lurte på i forhold til målepunkt-id. 🙂)

[stigvi]

2 timer siden, Alvin skrev:

Mener det er en kombo av GSRN (strekkode)

Jeg mistenker at du egentlig lurer på målernummer og ikke målepunkt id. Målepunkt id kan ikke ha noen strekkode. Hvor skulle en i så fall feste den?

[Alvin]

23 timer siden, stigvi skrev:

Jeg mistenker at du egentlig lurer på målernummer og ikke målepunkt id. Målepunkt id kan ikke ha noen strekkode. Hvor skulle en i så fall feste den?

Nei, jeg mener Målepunkt ID