bardóczi ákos @post.r

Több nagy-nagy lap is majdhogynem egyszerre, újdonságként írt róla, hogy a Facebook rendelkezik egy bűvös "titkos üzenetmappával", ami egy egyszerű trükkel persze meg is jeleníthető. Azt most hagyjuk, hogy komoly helyeken ezeknek a cikkeknek akkor lenne értéke, ha akkor írják meg, amikor az új funkciót bevezetik, nem hónapos vagy éves késéssel, de erre még visszatérek.

Korábban már írtam, róla, hogy a Facebook üzenetszűrési logikája az idő folyamán milyen evolúción ment keresztül és ezt bizony figyelembe kell vennie annak, aki használja a FB-t üzenetküldésre, ne adj' Isten, elsősorban azt használja levelezésre.

Az email küldésnél eléggé egyszerű a helyzet, a feladó a levelet feladja, a címzett pedig fogadja, ha azt nem nyelte el a spamfilter valamelyik szinten. A Facebookon gyakorlatilag nincs két ugyanolyan üzenetküldés, ugyanis a FB a feladó és a címzett közti finom kapcsolatokat is figyelembe veszi, mint például azt, hogy ha nem ismerősök, van-e közös ismerősük, tartoznak-e közös csoportba vagy azonos-e a munkahelyük és még ki tudja, hogy mit, az első üzenetküldést követően ez dönti el, hogy a címzettnél az üzenet egyből az Inboxban fog megjelenni vagycsak a  Message requests mappában. Újabban szerencsére már gyakrabban benéznek a felhasználók. Van viszont két eset, amikor az üzenet gyakorlatilag elveszett: ha a Facebook túlságosan spamgyanusnak vagy scamgyanusnak talál egy üzenetet, az a "filtered requests" kategóriába kerül, amit szinte már sosem néz meg a felhasználó, esetleg csak webes felületről érhető el, de az is előfordulhat, hogy az üzenet egyszerűen nem kézbesítődik.

Éppen ezért időnként érdemes megnézni a Message reuqests mappán túl azt, hogy mi jelenik meg, ha azon belül a Filtered message reuqests-re kattintunk a Message requests-en belül. Persze snaszos, hogy jórészt tényleg egy jó adag spamen kívül nem nagyon van ott semmi, ahogy a felkéréseket tartalmazó mappa is, itt is előfordulhat tévesen számunkra irrelevánsként félreosztályozott üzenet, ami a fenti ábrán látható módon jeleníthető meg teljes egészében.

A dologban a webergonómiai megvalósítás a legirritálóbb: azaz, hogy a rendszer nem hívta fel a figyelmet a bevezetéskor sem arra, hogy van egy kvázi-spamfolderként is működő mappa, így a felhasználók azt sosem nézik meg, a hozzájuk érkezett levelek egy részét ennek megfelelősen sosem olvassák el.

Nem először fordult elő velem, hogy egy témával kapcsolatban úgy gondoltam, hogy túl általános vagy köztudott ahhoz, hogy írjak róla, aztán amikor újdonságként megjelent egy-egy szépnevű nemzetközi lapban, még mindig nem tudtam eldönteni egy ideig, hogy érdemes-e posztolni róla, ez esetben is erről volt szó. Mostantól viszont fogok, ezek a posztok pedig mostantól a villámokosság címke alatt lesznek elérhetőek.

kép: Huffingtonpost

Legalábbis, ha működik az a nagyon egyszerű módszer, ami kering a neten néhány napja. 

Persze, minden szoftver törhető valamilyen módon, csak az nem mindegy, hogy kőbaltával is megy vagy éppenséggel kifinomult műtéti beavatkozás kell hozzá. 

Úgy fest, hogy valaki visszafejtette annak a kémprogramnak a forráskódját, amivel a fertőzött mobilok Whatsappja hallgatható le gyakorlatilag úgy, hogy aki bepoloskázta az áldozat mobilját, elhiteti a Whatsappal, hogy a támadó mobilja [vagy a gépén futó mobilkörnyezetet emuláló fejlesztőkörnyezet] a legitim felhasználó mobilja, közben kihasználja azt, hogy a Whatsappal elvben egyszerre több helyről is be lehet jelentkezni, az üzenetek pedig ilyen módon több helyről is elérhetőek. Esetleg magát a Whatsappot fejtették vissza, azaz reverselték, de az sincs kizárva, hogy a sebezhetőségre ilyen bravúrok nélkül jött rá valaki. 

Ha igaz, amit a Quora néhány nappal ezelőtt létrehozott topikjában olvashatunk, gyakorlatilag egy egyszerű MAC-cím klónozással bárki viheti a másik Whatsapp fióját. 

A MAC-cím nem más, mint egy, a hálózati hardverhez tartozó azonosító, ami ideális esetben egyedi, gyakorlati szempontból viszont semmi sem garantálja, hogy egyedinek kell lennie. Abban az esetben, ha valaki a Whatsappot telepíti a mobiljára, a telefonszám hitelesítése után az alkalmazás a telefonszám és a MAC-cím alapján látja, hogy ténylegesen milyen eszközön is fut. Ha valóban csak ennyi biztosítja a kliens identitását, az nagy probléma, márpedig nagyon úgy fest, hogy ez a helyzet. Elvben, ha valaki lenyúlná illetve lehallgatná más Whatsapp-üzeneteit, nincs más dolga, mint megszerezni az áldozat mobiljának MAC-címét, amihez viszont nem kell feltétlenül a telefonhoz fizikailag hozzáférnie, aztán ott megnéznie a beállítások közt,  hiszen például több könyvtár, munkahely is van, ahol a MAC-címet kell megadni ahhoz, hogy a wifi-hálózatra csatlakozni lehessen, a szolgáltató is tárolja ezt az adatot, és a mobil számos más módon is kifecsegi a MAC-címét, ahonnan megszerezhető. Ha ez megvan, akkor a MAC-címet csak le kell másolni, azaz klónozni kell, ami nem nagy bravúr egy root-olt Androidos mobilon, magyarul átírni a támadáshoz használt mobil MAC-címét az áldozat MAC-címére. Miután a MAC-klónozással a támadó megvan, már csak meg kell adni a frissen telepített Whatsappban a hitelesítéshez az áldozat telefonszámát, aminek hatására persze a támadott kap egy SMS-t, mivel formálisan olyan, mintha bejelentkezett volna még egy eszközről vagy újratelepítette volna az alkalmazást a saját mobilján. Nem is tudja az érintett, hogy miért kér tőle extra hitelesítést a Whatsapp, de megadja az SMS-ben kapott azonosítót és ezzel lehetőséget is adott a támadónak, hogy az üzenetfolyamhoz teljes egészében rálásson, hiszen a Whatsapp két különböző irányba fogja továbbítgatni az üzeneteket, amik közül az egyik a támadó mobilja, amivel megszemélyesítette az áldozat mobilját. 

Az üzeneteken kívül egyébként elérhetővé válik az áldozat földrajzi helye mellett több más adat is, szándékosan nem linkelem azt a bolondbiztos alkalmazást, amit erre találtak ki. 

Megjegyzem, a módszer egyáltalán nem technikai szempontból nagyon necces. A már-már bugris, ötletességet, leleményességet nem igénylő módszerek akkora, ha nem nagyobb kárt okoznak minden környezetben, mint a kifinomult, felkészültséget igénylő támadási módszerek, pont azért, mert a bugris módszereket többen meg tudják valósítani, ami pedig még kínosabb, ha mindez egy 200 millió aktív felhasználóval rendelkező üzenetküldő appnál játszható meg. 

Alighanem szinte mindenkivel előfordult már, hogy fontos üzenetet várt vagy küldött,  azonban a levél egyáltalán nem vagy csak hatalmas késéssel érkezett meg illetve kézbesítődött. Mindkettőnek számos oka lehet, azért írok a Facebook üzenetküldésről egy későbbi posztban pedig bővebben írok, hogy mikor fordulhat elő ilyen a legmegbízhatóbbnak számító emailes levelezőrendszerek esetén is, mivel – sajnos – nagyon sokan a FB üzenetküldőjét  nem az email mellett, hanem ahelyett használják.

nemrég kinyírt opció

A Facebookon kezdetben volt az egyszerű üzenetküldő. És ahogy minden rendszerben, ahol üzenetet lehet küldeni, megjelennek valamilyen formában a kéretlen levelet, így nincs mese, azokat szűrni kell. A Facebook üzenetkezelésével a legkomolyabb probléma, hogy egyáltalán nem átlátható, csak következtetni lehet a működésére.

Ha valaki üzenetet küld vagy te küldesz üzenetet valakinek a következő lehet az üzenet sorsa:
-    az üzenet kézbesítődik a címzett bejövő mappájában
-    az üzenet kézbesítődik, de a Message requests/Filtered mappába, ezeket emlékeim szerint mobilos felületről például meg sem lehet nézni, azaz mintha az üzenetet el sem küldted volna, mivel ez olyan, mint a Spam folder, azaz a döntő többség sosem nézi, ha mégis belenéz, a sok kéretlen levél közt elveszik a legitim levél
-    az üzenet nem kézbesítődik, mivel karanténba kerül – azaz semmilyen mappában nem jelenik meg az üzeneted, abban az esetben viszont, ha a címzett valami miatt szintén ír neked, a létrejövő message threadben megjelenik az általad korábban küldött levél

A kérdés csak az, hogy miért és mire érdemes figyelni?  

Kezdetben egyszerű megoldásokat alkalmaztak és a teljesen nyilvánvalóan kéretlen leveleket nem kézbesítették, amit gyorsan le is kellett cserélni. Több átmeneti megoldás után bevezették azt a szűrési logikát, ami üzenetküldésnél megvizsgálta, hogy a címzett és a feladó közt mennyi interakció volt, azaz korábban küldtek-e már egymásnak üzenetet, ismerősei-e egymásnak, ha pedig nem, akkor mennyi közös ismerősük van figyelembe véve mindkét fél ismerőseinek számát, mennyi közös csoportban vannak, milyen közel vannak egymáshoz, de nem a megadott lakhely alapján, hanem az alapján, hogy az IP-tartomány alapján mely országból bejelentkeztek és ezen kívül még ki tudja, hogy mit. Körülbelül ezzel egy időben jelent meg az a lehetőség, amivel a felhasználó kiválaszthatta, hogy az üzenetek szűrése szigorú legyen vagy hagyományos, ugyan a Facebook annyira szűkszavúan ír a hivatalos súgójában arról, hogy ez mit is jelent, hogy az szinte semmit sem jelent. Pontosabban írt, mert már a hivatalos súgóban benne sincs.

amikor még email címre is lehetett üzenetet küldeni

Viszont ekkor még használható volt, pontosabban csak ekkor volt normálisan használható. Ugyanis ha valaki olyannak küldött volna üzenetet, akivel mondjuk közös ismerőse sem volt, a szolgáltatás figyelmeztette, hogy amit küldd, az Egyéb mappában fog landolni, amit ugye szinte sosem néz senki, viszont abban az esetben, ha a felhasználó fizet egy kis összeget, garantáltan a Bejövő üzenetek közé kézbesítődik a levelél. Ezt persze a többségben lévő figyelmetlen júzerek nem vették észre, aztán meg nem értették, hogy a címzett miért nem reagál, ha például olyannak küldtek üzenetet, akinek egy hirdetését egy használt cuccokat vagy albérletet ajánlgató csoportban látták. Akinek viszont volt egy kicsivel több esze, a bankkártyáját hozzákapcsolta a fiókjához, egyszerűen bepipálta, hogy menjen az üzenet egyenesen a Bejövő üzenetek közé, a Facebook mutatta, hogy mennyibe fájna, majd ha a feladónak megfelelt az ár, akkor ment a levél, egy-egy ilyen üzenet küldése szinte mindig 70-80 forintba került. Fontos, hogy valaki miután azt kifizette, a létrejött üzenetszálban az újabb üzenetekért már nem kellett újra 70-80 forintokat fizetni. Viszont van olyan távoli ismerős, aki profi fotósként dolgozik, annak ellenére, hogy abból a városból lép be szinte mindig, ahonnan gyakran én is, a kezdeti üzenet elküldése közel 6000 forintba került volna.  A magyarázat, hogy van többe ezer ismerőse, közel 7000 követője, nekem pedig 140 ismerősöm és körülbelül 250 követőm. Miután kíváncsiságból azonosítottam pár igencsak komoly figura privát, személyesen kezelt fiókját, megnéztem, hogy mennyibe kerülne nekik egyenesen üzenetet küldeni. Sheryl Sandberget, a Facebook operatív főnökét közel 8000 forintért lehetett volna elérni, míg Martin Garrixnek – ugyancsak a privát, eredeti fiókjáról van szó – már közel 9000 forintért lehetett volna mondjuk levelet küldeni, amire ráadásul nagy sansszal válaszolt is volna, mert ahogy kitaláltátok, átlagos felhasználónak esélye sincs azonosítani a valódi fiókját, csak egy viszonylag szűk kör tudja.

Viszont lényeg, hogy ebben a rendszerben legalább volt következetesség! Ha valakinek nagyon fontos volt, fizetett, küldte, kézbesítődött, pont.

Aztán jött a legújabb agyrém, aminél a szűrési logika gyakorlatilag ugyanaz, ami korábban is volt, a nem-ismerőstől származó levelek az Other helyett már a Message requests mappába mennek, hatalmas különbség viszont, hogy itt még csak lehetőség sincs arra, hogy egy bizonyos összeg befizetése után a levél a Bejövőbe menjen, egyébként meg ugye értelmetlen elküldeni is! A változtatás egyik oka többek közt az lehet, hogy a felhasználók többsége egyszerűen túl ostoba volt hozzá, hogy éljen azzal a lehetőséggel, hogy néhány garast fizessen az „ajánlott levélért”, a Facebooknak alighanem technikailag és anyagilag is ésszerűtlen költséggel járt, hogy az éles pénzintézeti tranzakciókat biztonságosan garantálják, az igényszint pedig túl alacsony volt. Ugyanakkor a felhasználói élményt rontotta, hogy a felhasználó azzal szembesült, hogy az üzenete elveszett. Ezért gondolta a Facebook, hogy amiről a felhasználó nem tud, az nem fáj, aztán változtatott. Hiába kérek mindenkit, hogy inkább emailt írjon, azért rendszeresen nézem a Message requests és a Filtered, azaz valami miatt kiszűrt levelek mappáját is, mert egyszerűen nem tehetem meg, hogy ne olvassam az üzeneteimet is, hiába utálom. Viszont az is előfordulhat, hogy valakinek az elküldött levele egyáltalán nem jelenik meg, hanem emailes terminológiával élve karanténba kerül.

amikor még lehetett emailről Facebookra üzenetet küldeni

Pár napja egy Linkedinről ismert kontaktom küldött üzenetet a Facebookon, ami sehol sem jelent meg, viszont amikor én is írtam neki a Facebookon, akkor a létrejött üzenetszálban hirtelen a semmiből előkerült a néhány órával korábban küldött levele. Azaz ha nem írok rá én is, ezt soha az életbe nem vettem volna észre!

Ennek az elbénázott, de azért mégis skálázott üzenetkézbesítési politikának megvan a belső logikája, hiszen a rendszer életszerű paramétereket súlyoz, amikor kimatekozza a háttérben, hogy mi is legyen az üzenet sorsa. A súlyos probléma csak az, hogy ha üzenetet küldünk, a többség természetesnek veszi, hogy az kézbesítődik is, a címzett elolvassa és gesztus értékűnek veszi, ha esetleg nem kap választ. A dolog persze az erős kisebbségben lévő felhasználókat sújtja, engem például egyáltalán nem lehet még ismerősnek jelölni sem, viszont ha valaki az oldalamon keresztül ír üzenetet és látom is, hasonlóan az emailjeimhez, elvből mindenkinek mindenre válaszolok, legfeljebb egy sorban.

Megjegyzem, mióta a Facebook létezik, semmiféle garanciát nem vállal arra, hogy az üzeneteket, a leírtaktól függetlenül időben kézbesíti-e illetve azt sem, hogy egyáltalán kézbesíti. A hatalmas probléma, hogy míg az email esetén igaz, időnként komolyabb háttérismerettel, de pontosan visszakövethető, hogy mi lett egy email sorsa, a Facebookon szinte semmi ilyen lehetőség nincs. Megjegyzem, hogy már csak azért is egyszerűbb lenne az élet, ha mindenki emailt használna, mivel a mai értelemben használt email, azaz aminek a formátuma felhasznalo@domain.tld, már közel harminc éves, pontosan nem tudni mennyi, ami viszont biztos, hogy az internetnek az a szolgáltatása, ami már közel 10 évvel a web megjelenése előtt is létezett, és a rugalmassága, mégis egyetemessége miatt bőven fog létezni akkor is, amikor a Facebook, mi több, a Gmail és Google Hangouts már csak kultúrtörténeti emlék lesz, legalábbis a mai formájában biztosan! Az email egyértelműen a legrégebbi internetes szolgáltatás, amit széles körben használnak, más kérdés, hogy az emailek többségét szinte mindenki webes felületről küldi.

ugyancsak kinyírt funkció: az emailcím megadásával a hozzá tartozó felhasználónak lehetett üzenetet küldeni

Annak az oka, hogy a közösségi szolgáltatásokban miért ennyire népszerű mégis az üzenetküldés, viszonylag egyszerűen magyarázható: nyilván hatalmas különbség felhasználói élmény szempontjából, ha úgy lehet írni valakinek, hogy a feladó beírja a címzett címét – autofill esetén az elejét – megírja, majd küldi, minta a címzés rákattintással történik.

Egy pici praktika: sok eszelős és veszélyes butaság van azzal kapcsolatban a neten, hogy hogyan változtatható meg egy Facebook-üzenet olvasottságának státusz, azaz a „Seen flag”, sajnos azonban még ez sem működik következetesen. Ha olyannak küldünk üzenetet, aki nem ismerős, miután elolvasta, megjelenik, mi több az is, hogy mikor, viszont ezt követően valamennyivel spontán eltűnik! Ha ismerősnek megy az üzenet, a láttamozás megmarad, azt visszavonni az én tudásom szerint nem lehet. Mégis gyakori kérdés, hogy hogyan lehetne megmókolni a dolgot, azaz úgy olvasni egy üzenetet, hogy a feladó ne lássa annak olvasottságát. A mobilos üzenetküldő alkalmazásnál, - amit amúgy egyrészt elvből, másrészt biztonsági megfontolásból nem telepítettem – nem tudom, hogy mi a helyzet, alighanem nincs megoldás, mivel a hivatalos üzenetküldőbe kellene beleberhelni, mivel már csak azzal lehet kapcsolódni a Facebook-üzenetküldőjéhez, míg sokáig erre volt lehetőség bármilyen Jabber-klienssel [ui. a Facebook eredetileg az ún. Jabber/XMMP protokollon alapult]. Viszont ha böngészőről van szó, teljesen más a helyzet. Ha be van állítva az értesítéseknél, eleve az üzenetről email kivonat érkezik akkor, ha nem vagyunk bejelentkezve és nem is jelentkezünk be egy ideig vagy éppen be vagyunk jelentkezve ugyan, de nem olvassuk az üzenetet. Mégis, mi történik a háttérben, ami alapján a rendszer tudja, hogy az üzenetet olvastuk-e és ha igen, akkor mikor?

A rákattintás pillanatában a böngésző küld egy  

facebook.com/ajax/mercury/change_read_status.php$xmlhttprequest

kérést, amit ha blokkolunk, egyszerűen nem értesül róla a Facebook, hogy az üzenet meg lett nyitva, kézzel viszont meg tudjuk jelölni az üzenetet olvasottként. Hogy specifikusan egy-egy böngésző által küldött kérés hogyan blokkolható, nem írom meg, de ügyesek vagytok, megtaláljátok.

A következő posztban írok róla, hogy mik azok az eszelős butaságok, amiket még a legnagyobb emailes levelezőszolgáltatók is elkövetnek, hogyan állapítható meg a korábbi módszernél is pontosabban, hogy egy Gmail-es üzenetet földrajzilag honnan küldtek annak ellenére, hogy webről küldve nem tartalmazza a küldő IP-címét, ahogyan arra is, hogy hogyan állapítható meg, ha egy levelet technikai módszerekkel próbálnak meghamisítani.

Képek: theatlantic.com, digitizor.com, customerparadigm.com