bardóczi ákos @post.r

A Facebook nemrég felhasználók tömegének születési dátumát láthatóvá tette, függetlenül attól, hogy annak láthatóságát a felhasználó korábban hogyan állította be.

Tekintettel arra, hogy nem kevés helyen az ügyintézésnél az ügyfelet többek közt a születése napja alapján azonosítják vagy például a kellően szigorúan beállított más webes szolgáltatás esetén az elfelejtett jelszó újból történő megadása csak a születési dátum megadása után lehetséges, ez az adat bőven az érzékeny adatok körébe tartozik.

Miről is van szó? Nem láttam, hogy máshol cikkeztek-e róla, konkrétan ma vettem észre, hogy gyanusan sok, tetszőlegesen kiválasztott felhasználónál látható a születési éve és dátuma.  Más számára kicsit zavaros lett volna a dolog, én viszont azonnal láttam, hogy dátumról van szó, az iszlám naptár szerinti formátumban. Amiből ugye nem nagy művészet átkonvertálni a Gergely-naptár szerinti formátumra.

Messze nem ez az első olyan eset, amikor a Facebook úgy fedett fel tömegesen adatokat mindenki számára elérhető formában a saját felhasználóiról, hogy azt még csak nem is jelezte előzetesen: amikor évekkel ezelőtt mindenki kapott email-címként is működő nicknév@facebook.com formátumú email címet [ezt a feature-t egyébként kivezették], érthetetlen módon ezzel együtt a felhasználó által korábban megadott email-címeket tette láthatóvá.

Érdemes fejben tartani: a születési dátumot csak olyan szolgáltatásoknál adjuk meg, ahol ez feltétlenül szükséges és ne tegyük láthatóvá!

UPDATE: a lényegen nem változtat, de úgy fest, hogy akkor jelenítette meg a felhasználók születésnapját tömegesen az iszlám naptár szerint, ha a Facebook nyelvi/területi beállításai azt feltételezték a felhasználóról, hogy az arab országok valamelyikéből netezik

Több nagy-nagy lap is majdhogynem egyszerre, újdonságként írt róla, hogy a Facebook rendelkezik egy bűvös "titkos üzenetmappával", ami egy egyszerű trükkel persze meg is jeleníthető. Azt most hagyjuk, hogy komoly helyeken ezeknek a cikkeknek akkor lenne értéke, ha akkor írják meg, amikor az új funkciót bevezetik, nem hónapos vagy éves késéssel, de erre még visszatérek.

Korábban már írtam, róla, hogy a Facebook üzenetszűrési logikája az idő folyamán milyen evolúción ment keresztül és ezt bizony figyelembe kell vennie annak, aki használja a FB-t üzenetküldésre, ne adj' Isten, elsősorban azt használja levelezésre.

Az email küldésnél eléggé egyszerű a helyzet, a feladó a levelet feladja, a címzett pedig fogadja, ha azt nem nyelte el a spamfilter valamelyik szinten. A Facebookon gyakorlatilag nincs két ugyanolyan üzenetküldés, ugyanis a FB a feladó és a címzett közti finom kapcsolatokat is figyelembe veszi, mint például azt, hogy ha nem ismerősök, van-e közös ismerősük, tartoznak-e közös csoportba vagy azonos-e a munkahelyük és még ki tudja, hogy mit, az első üzenetküldést követően ez dönti el, hogy a címzettnél az üzenet egyből az Inboxban fog megjelenni vagycsak a  Message requests mappában. Újabban szerencsére már gyakrabban benéznek a felhasználók. Van viszont két eset, amikor az üzenet gyakorlatilag elveszett: ha a Facebook túlságosan spamgyanusnak vagy scamgyanusnak talál egy üzenetet, az a "filtered requests" kategóriába kerül, amit szinte már sosem néz meg a felhasználó, esetleg csak webes felületről érhető el, de az is előfordulhat, hogy az üzenet egyszerűen nem kézbesítődik.

Éppen ezért időnként érdemes megnézni a Message reuqests mappán túl azt, hogy mi jelenik meg, ha azon belül a Filtered message reuqests-re kattintunk a Message requests-en belül. Persze snaszos, hogy jórészt tényleg egy jó adag spamen kívül nem nagyon van ott semmi, ahogy a felkéréseket tartalmazó mappa is, itt is előfordulhat tévesen számunkra irrelevánsként félreosztályozott üzenet, ami a fenti ábrán látható módon jeleníthető meg teljes egészében.

A dologban a webergonómiai megvalósítás a legirritálóbb: azaz, hogy a rendszer nem hívta fel a figyelmet a bevezetéskor sem arra, hogy van egy kvázi-spamfolderként is működő mappa, így a felhasználók azt sosem nézik meg, a hozzájuk érkezett levelek egy részét ennek megfelelősen sosem olvassák el.

Nem először fordult elő velem, hogy egy témával kapcsolatban úgy gondoltam, hogy túl általános vagy köztudott ahhoz, hogy írjak róla, aztán amikor újdonságként megjelent egy-egy szépnevű nemzetközi lapban, még mindig nem tudtam eldönteni egy ideig, hogy érdemes-e posztolni róla, ez esetben is erről volt szó. Mostantól viszont fogok, ezek a posztok pedig mostantól a villámokosság címke alatt lesznek elérhetőek.

kép: Huffingtonpost

Még májusban nem kis botrány kerekedett belőle, amikor kiderült, hogy szó sincs arról, hogy a Facebook teljesen automatizáltan jelenítené meg, átkattintások, lájkok, megosztások és egyéb interakciók alapján, hogy a felhasználó falán milyen cikkajánlók jelenjenek meg a nagy lapok tartalmai közül. Konkrétan egy ex-Facebook-alkalmazott először a Gizmodo-nak talált ki azzal kapcsolatban, hogy egy részletes guidelinet kell követnie egy jókora szerkesztőségnek, amivel befolyásolják, hogy milyen forrásból, milyen típusú hírek kerüljenek előtérbe, azzal kapcsolatban pedig a Facebook nem állt elő polkorrekt magyarázattal, hogy miért is. Ugyan erre bármit is mondani kommunikációs hiba lett volna, hiszen enélkül is rájuk verték, hogy az USA-beli liberális tartalmakat preferálják a szerkesztők.

Nehezen hihető, de állítólag nemrég a Facebook a teljes kurátorként dolgozó csapatot menesztette és azt állítják, hogy már valóban csak algoritmusok döntenek arról, hogy mi legyen előtérben a nagy lapok által posztok tartalmak közül, csak különösen indokolt esetbe nyúlnak bele ebbe kézzel. Az eredmény teljesen bejósolható volt: az oldalak elkezdték önteni a veszélyes baromságot, kevésbé rossz esetben álhíreket mindenhonnan, elsősorban a szolgáltatást USA-ban használó felhasználók falára. Másrészt mindez meglátszott azoknak a felhasználók falán is, ahol látszik a Trending box, ami egyenlőre csak amerikai angol nyelven érhető el, bizonyos államokban illetve ha a felhasználó megjelölte a beállítások közt, hogy tud az adott nyelven. A képet az Arsról friss cikkéből csentem:

Probléma-e ez? Ha azt nézzük, hogy több friss tudományos kutatás szerint az emberek döntő többségét témafüggően ugyan, de sokszor nem is érdekli a hírek valóságtartalma, még ha érdekelné is őket, nyilván nem mennének minden hír forrásának utána, mondhatni tragikus a helyzet. Ez az egyik magyarázat arra, hogy alapvetően az ostobaság sokkal gyorsabban terjed a neten, amivel összefügg, hogy a nagy átlag jobban harap a gyorsan fogyasztható, érzelmekre, attitűdökre, egyéni értékrendre ható, társadalmi konvenciókat súroló vagy sértő  tartalmakra.

Mindez egyébként nem csak a közösségi médiában figyelhető meg. A legnépszerűbbnek számító Google Kereső többek közt annak megfelelően rangsorolja a találatokat, hogy korábbi keresések során, azonos vagy hasonló jelentésű kulcsszavakra keresve a felhasználók mely webhelyekre kattintottak rá, hiszen ebből is következtet arra, hogy mit találtak hasznosnak. Ennek megfelelően az információszerzésnek vannak olyan területei, amire tökéletesen alkalmatlan a Google keresője, tipikusan ilyen az, amikor valaki egy számára ismeretlen gyógyszerre keres rá. A top 10 találatban szinte biztos, hogy olyan leírásokkal fog találkozni, hogy valakinek a gyógyszertől felrobbant a szive, agya, tüdeje, megőrült, detoxba került és így tovább, mivel az sokkal érdekesebb, mivel ezek egyszerűen érdekesebbek, hiába lenne az angol nyelvű Wikipedia egy egészen használható forrás a laikus felhasználóknak is, az pedig szégyen, hogy egy-egy készítményre keresve mennyire sokadik találatként jön elő a gyógyszer ChEMBL,  Medlineplus,  PubCHEM,  IUPHAR, DrugBank, UNII, KEGG, ChEBI vagy éppen Drugs.com adatlapja, holott a legrelevánsabbak nyilván ezek lennének, az más kérdés, hogy nem a leghasznosabbak, mivel az átlag netező fix, hogy nem értené meg. Ebből is látszik, hogy a keresés külön művészet, de most nem ez a poszt témája.

Itt-ott már slágertéma volt, hogy maholnap nem lesz szükség újságírókra és szerkesztőkre azért, mert annyira kifinomult algoritmusok léteznek ma már, hogy azok is képesek lesznek elvégezni a feladatukat. Való igaz, hogy alkottak már olyan algoritmust, ami olyan pontos cikket szerkesztett, amit nem tudtak megkülönböztetni az ember által írt cikktől, ebből azért ennyire messzemenő következtetéseket levonni nem szabadna.

Szerkesztőkre, kurátorokra egyszerűen szükség van és ezt sokan így érzik helyesnek. Tudom, tudom, már-már rögeszmém a téma, de a net hőskorában az volt a szép, hogy mindenkinek a szava nagyjából egyenértékű volt, akár fórumozásról, akár korai blogbejegyzésekről volt szó, a kommentekből pedig a szerző tanulhatott az olvasóitól. Ez a rendszer nagyon szépen működött addig, amíg körülbelül a népesség legiskolázottabb 10-20%-a fért hozzá az internethez, remek kérdés, hogy mikor és mekkora netpenetráció elérésekor jutott el a net egy olyan átbukási ponthoz, amikor a liberális tudásmegosztásból hirtelen anarchia és ordítozás lett, amire különböző szolgáltatók különböző módon válaszoltak. A mindenki által szabadon szerkeszthető hírportálok, mint amilyen volt például a Virtus vagy az Exergum, nem tudták kezelni a jelenséget és megszűntek, a nagy hírportálokhoz becsatornázott blogszolgáltatásokban keletkező posztokat pedig harceddzett szerkesztők lapátolják olyan felületre – magyarul az anyaoldal nyitólapjára - ahonnan történik is átkattintás, különben ma már minden szolgáltatót elöntene a szar. Mi több, ahol heterogén környezetből kell mindig a legfrissebb híreket kiválogatniuk szerkesztőknek, AI-val alaposan megtámogatott szoftverrendszerek segítik a feladatot, az emberi beavatkozás nélkül, ámde hatékonyan működő híraggregátorok, mint amilyen a felhasználó ízlését tanuló Flipboard eleve kézileg előzetesen szűrt forrásokból dolgoznak, azaz annak az ajánlójába aligha kerül be egy 10 perce létrehozott blogról Droid Pisti épületes bölcsessége.

Miért feltételeznénk, hogy a Facebook máshogy működik, ha hírportálok FB-oldaláról van szó? A szerkesztők saját ízlése szükségszerűen mellélőhet azzal kapcsolatban, hogy mi érdekes a felhasználók számára, viszont még mindig összehasonlíthatatlanul kedvezőbb állapot, mintha okos algoritmusok vennék át a gyeplőt, aztán jobb esetben csak a környezetünknek tetsző, ilyen módon némileg egyhangú tartalmakat kapnánk folyamatosan [mivel a FB mindennek kapcsolatban feltételezi, hogy a felhasználó ismerősei hasonlítanak hozzá, így például érdeklődés szempontjából is]. A rosszabb eset pedig az lenne, ha a tömegesen lájkolt, megosztott, kommentelt silány minőségű vagy akár uszító tartalomtól nem lehetne látni a normális tartalmakat vagy csak ésszerűtlen idő- és energiaráfordítással lehetne megtalálni azokat.

Szinte kizárt, hogy a Facebook teljesen és végleg kiiktatta az emberi tényezőt, pláne azért nem, mert emiatt ideig-óráig hőbörgött pár hülye egybites aggyal, a mostani lépés pedig érthetetlen, ugyan ötletelésnek van helye.

Még egyszer: a változtatás csak a nagy, angol nyelvű lapok tartalmait érinti és nem a teljes hírfolyamot, viszont rendkívül tanulságos még így is, ha figyelembe vesszük, hogy mekkora befolyása van annak a tömegre, amit lát.

Nemrég ismét vezető hír volt, hogy a Facebook ismét meghúzott néhány csavart a motorháztető alatt, ami miatt ismét változik az az algoritmus, ami a besaccolt érdeklődési körünk és aktivitásunk alapján eldönti, hogy milyen tartalmakat jelenítsen meg a falon.

Ez pedig nagyon nem mindegy. A nemrég megszűnt cink.hu olvasói jórészt a Facebookról kattintottak át az oldal cikkeire, azonban amikor a Facebook olyan módon változtatott, hogy valami miatt kevésbé jelenítette meg a Cink oldalán megjelenő posztokat, ez kapásból azt eredményezte, hogy nem tudta a Cink.hu növelni a saját látogatottságukat. Megint más óriáscégek, amik felfoghatatlan összegeket fizettek azért, hogy az oldalukon megjelenő szponzorált posztok a lájkerek előtt megjelenjenek, hatalmasat zakóztak egy hasonló, tisztázatlan módosítás miatt.

Hozzáteszem, sokkal gyakrabban finomít a FB ezen, mint amennyi alkalommal bejelentik, ami eléggé világos, hogy a Facebook az eredeti képes és videós tartalmakat szeretné előtérbe húzni. De mi a helyzet akkor, ha a Facebook helyett mi magunk döntenénk el, hogy mi kerüljön elénk mindenképpen?

Ha egy ismerősünket a Close friends listába soroljuk, automatikusan beállítódik, hogy szinte minden tartalma jelenjen meg előttünk is. Valamivel később bevezetett beállítási lehetőség, hogy felhasználók és oldalak esetén egyaránt dönthetünk arról, hogy az adott ismerős, követett felhasználó vagy oldal tartalmait alapértelmezés szerint jelenítse meg a Facebook vagy mindenképp, azonnal, ez lenne a „See first” beállítás. Igen ám, az viszont korlátozott, hogy összesen mennyi felhasználónál adható meg ez a beállítás, talán maximum 40 felhasználónál állíthatjuk be, hogy azonnal jelenjenek meg nálunk az ő tartalmai is.

Az oldalakkal van egy kis „baj”, már főleg annak, aki ebből él: pusztán azzal, hogy a felhasználó lájkolt egy oldalt, még messze nem jelenti azt, hogy az oldal tartalmai meg is jelennének nála, holott ez lenne a lényeg. Mindenkit megkímélnék az olyan online marketinges bullshitektől, mint például, hogy az ideális jelenléthez hetente mennyiszer, milyen napszakban, mit érdemes posztolni. Ugyanaz a szánalmas szituáció, mint a SEO esetén, ahol a SEO/SEM-szakik megpróbálnak okosabbak lenni a Google-nél. Próbálkozni lehet, viszont a Facebook a ténylegesen értéket teremtő oldalak tartalmait alapértelmezés szerint is meg fogja jeleníteni, a szennyet illetve kevésbé karbantartott oldalak posztjait pedig nagyon helyesen elrejteni.

Na de mi a helyzet akkor, ha egy oldal összes posztját szeretnénk látni a falunkon, alapból, például szakmai érdeklődés miatt? Nos, a See first-öt nekem nem engedte beállítani valami miatt oldalaknál, megoldás viszont természetesen van. Amikor lájkolunk egy oldalt, a belső videós illetve live tartalmak lesznek azok, amik mindenképp megjelennek az oldaltól, míg a többi tartalom vagy vagy pedig nem, függően attól, hogy mennyire tartja számunkra relevánsnak a Facebook. Az adott oldalon a lájk gombra kattintva ha az értesítésekre kattintunk, azt láthatjuk, hogy csak a videós tartalmak jelennek meg. Ha kattintunk az „All off” lehetőségre, majd az „All on” beállítást választjuk, látható, hogy a Facebook vette az adást, az oldal minden tartalma meg fog jelenni a falunkon. Attól nem kell tartani, hogy az értesítések menü áttekinthetetlen lesz, hiszen ha egy oldal posztol mondjuk 10-szer egy nap, az esti belépéskor csak egy értesítés lesz azzal kapcsolatban, hogy az adott oldal 10 posztot tett ki, míg ha éppen be vagyunk jelentkezve, külön-külön megjelennek az értesítések.

Hasznos lehet még, ha belépést követően az oldallécben az ismerős[lista] nevére kattintunk, ekkor az összes poszt megjelenik, amit aznap helyeztek el az ismerőseink, minden aprósággal együtt. Míg ha oldalak tartalmairől tájékozódni megyünk fel, ugyancsak az oldallécben kiválasztjuk a Pages Feed menüpontot, ami az összes posztot megjeleníti, amit az általunk kedvelt és fullos megjelenítésre beállított oldalon elhelyeztek.

Ahány felhasználó, annyi féle, van, aki mindenkit felvesz ismerősnek udvariasságból, aztán legfeljebb némítja, ha már túl sok marhaságot posztol, megint más felhasználók pedig csak azokat veszik fel ismerősnek, akinek a tartalmai kimondottan érdekesek számukra. Az viszont világos, hogy a Close friends elődefiniált csoportot sem érdemes 100-asnál nagyobbra venni, különben követhetetlen lesz, hogy milyen tartalmakat posztoltak az ismerőseink, feltéve persze, ha FB-függő zombiként nem lógunk folyamatosan azon a szaron egész nap. Hasonlóan, hiába van nagyon sok, kimondottan értelmes tartalmat terítő oldal a Facebookon, gondosan ki kell válogatni, hogy mik azok, amiknek az összes bejegyzése érdekel, különben ugyancsak követhetetlen lesz az egész.

A Facebook igenis használható értelmesen is, információszerzésre, de ehhez a tudatos beállítás elengedhetetlen, ha nem akarunk lemaradni semmi fontosról, ugyanakkor este belépve ne az egy nap alatt összegyűlt, végeláthatatlan streamet kelljen pásztázni annak reményében, hogy az érdekes tartalmak közt megtaláljuk a legérdekesebbeket.

Aki nem egy kavics alatt töltötte az elmúlt néhány évet, annak nem új, hogy alapértelmezés szerint a falon azoknak az ismerősöknek a posztjai jelennek meg minél előkelőbb helyen, minél több lájk és komment érkezett a poszthoz. Azóta persze ezen sokan finomítottak, az alapelv még mindig ez. Viszont hiba lenne azt hinni, hogy az jelenti az értéket, amire minél többen reflektálnak valamilyen módon. Nem, az adott kört kimondottan érdeklő témáról szóló poszt mellett legalább akkorát lehet menni’ egy egyszerűen befogadható, ámde bugyuta képi poszttal, hűtőmágnes-bölcsességgel, életvezetési tuti tippet sugalló grafikával és hasonlókkal amik a LinkedIN-en is úgy terjednek újabban, mint a lepra. Az érzelmekre ható posztok ütnek a legjobbak, bejósolható, hogy ami valamilyen módon kapcsolódik a politikához vagy kimondottan politikai tartalmú poszt, az alatt várható igencsak nagy aktivitás.

Slágertéma, hogy a Facebook túl kemények akar beleszólni abba, hogy mi kerüljön elénk, fontos tudni, hogy van más lehetőségünk is, mint rejtélyes algoritmusokra bízni annak eldöntését, hogy mi érdekel.  

Kép: VICE

Nem tudom, hogy ki emlékszik még arra a 2012. őszén napvilágot látott sebezhetőségre, amikor valaki szimplán a felhasználó email-címének ismeretében felül tudta írni az áldozat jelszavát és az új jelszóval be tudott lépni. 

A régi sebezhetőség lényege az volt, hogy ha valaki az elfelejtett jelszóra klikkelt, majd kért egy jelszóhelyreállító tokent emailen, kapott egy 6 számjegyű számot, amit csak meg kellett adni a Facebook jelszóhelyreállító oldalán, majd ha helyes volt a számsor, máris az új jelszót lehetett megadni és azzal belépni. Az „apró” probléma csak az volt, hogy bárki kérhette bárki más nevében a jelszóhelyreállítást, a Facebook semmilyen módon nem korlátozta azt, hogy a helyes számsor ismerete nélkül mennyiszer lehet hibás számsort megadni, azaz valószínűségi alapon átlagosan félmillió, de maximálisan egymillió ismétléses permutáció végigpróbálgatásával [a 000000-999999 tartományban] véletlenül is meg lehetett találni az új jelszó beállításához szükséges számsort, miután valaki egy fiók jelszavának helyreállítását kérte. Márpedig egy fél-egymillió lehetőséget végigpróbálgatni automatizáltan nem olyan nagy manőver. A hibát, a bejelentést követően a Facebook nagyon gyorsan javította. 

Javította, a főoldalon. Viszont a Facebook felületének béta verziójában bennmaradt egészen mostanáig. Anand Prakash indiai kutató véletlenül vette észre, hogy a hiba a bétában és a mobil bétában továbbra is elérhető, a bejelentésért pedig a Facebook ki is csengette neki a bug bounty keretében a 15000 USD-t, ugyan nem lennék meglepve, ha kiderülne, hogy korábban más már a feketepiacon is árulta.  

A mai napon felkerült proof-of-concept videóban látható, ahogyan a Burp suite segítségével egyesével újraküldi a kéréseket a jelszóhelyreállító oldalnak, mire az egy idő után el nem fogadja a brute force, azaz nyers erővel megtalált számsort a béta felület és fel nem ajánlja új jelszó beállítását. Elég erős így majdnem négy év után újra látni ugyanazt a hibát.