bardóczi ákos @post.r

Viszonylag gyakran szokták mondani, hogy a tömegtájékoztatás feladata a minél pontosabb, gyorsabb és hiteles tájékoztatás, azaz egy-egy hír közzétételének esetleges következményei miatt már nem vonható felelősségre a hír előállítója. Személyes véleményem, hogy ez még akkor sem állná meg a helyét bizonyos esetekben, ha egy hírt teljesen objektíven közölnének.

1992. áprilisában Los Angelesben négy rendőr igazoltatott gyorshajtás miatt egy fekete sofőrt, aki ellenszegülni próbált a közúti ellenőrzés során, mire a négy – nem mellékesen fehér illetve hispán – rendőr alaposan helybenhagyta, amiről videófelvétel készült, majd megjelent a helyi televízióban. Ezt követően nem sokkal elszabadult a városban a pokol: szinte példátlan lázadás tört ki a városban, a keletkezett kárt egymilliárd dollárra becsülik, több, mint ötven fő életét vesztette, a rend helyreállításához többek közt a nemzeti gárdát kellett segítségül hívni. Ami külön érdekesség, hogy a példásan liberális amerikai sajtó történetében szinte példátlan módon bírósági végzés született azzal kapcsolatban, hogy a felvételt tilos a továbbiakban bárhol is közzétenni, persze már késő volt.

A sok-sok tanulság közül amit mindenképp kiemelnék, hogy a tömegtájékoztatásnak egészében igenis van felelőssége, másrészt akár egy-egy hír esetén is mérlegelni kell, hogy annak közzététele nem sért-e olyan mértékben közérdeket vagy társadalmi érdeket, hogy az már masszívan szembe megy azzal a társadalmi érdekkel, amit a sajtó hivatott szolgálni.

Bizonyos területeken a teljes sajtóhoz viszonyítva szokatlanul gyakran találkozni olyan információval, aminek az idő előtt történő közzététele súlyos érdeksérelemmel járna. Ez az oka annak, hogy ha a tesztelők, külső etikus hekkerek például a pénzintézeti adatbázisok de facto standardjának tekintett Oracle motorban találnak valamilyen sebezhetőséget egy adott bank esetén, akkor ennek a részleteit csak azt követően teszik közzé, miután az érintett bankot tájékoztatták és a hibát kijavították. A kutatók véleménye megoszlik azzal kapcsolatban, hogy melyik a legjobb reporting gyakorlat, az ún. partial disclosure, azaz amikor csak érzékeltetik egy-egy érintettel, hogy a rendszerében hiba van vagy esetleg a full disclosure, amikor a hibát teljes egészében, minden részletével együtt közzéteszik, így kényszerítve például az érintett pénzintézetet, hogy a hibát azonnal javítsa. Az utóbbi nyilván az a kockázatot hordozza magában, hogy a hibát kihasználhatja egy támadó még az előtt, mielőtt a szóban forgó hibát javítani tudnák.

Nemrég vettem részt egy kicsi, ámde kiváló szakmai rendezvényen, ahol az ország egyik legelismertebb etikus hekkere beszélt a Sony Entertainment elleni támadásról. A Sony elleni támadást a fősodrú média, ahogyan ez lenni szokott, úgy mutatta be, mintha egy igencsak kifinomult, nagy szakértelmet igénylő, nehezen kivédhető támadásról lett volna szó. A látványos breach-ekről olvasva rendszerint az olvasókban az a benyomás alakul ki, hogy itt aztán tényleg egy komoly technikai bravúrt hajtottak végre valamiféle guru csúcshekkerek.

És ez baj. Komoly baj.

Kisebb részben azért, az olvasókban torz benyomást alakítanak ki az információbiztonsággal foglalkozó közösséggel kapcsolatban, ha a prosztó módon, amatőr módszereket használó támadókat úgy kezeli a mainstream sajtó, mintha tényleg hekker guruk lennének. Egyrészt ez sérti azok önérzetét, aki tényleg értenek hozzá, másrészt a tömegekben össze fog kapcsolódni az információbiztonsággal kapcsolatos tevékenység a számítógépes bűnözéssel. Egyszerűbben fogalmazva: simán elképzelhető, hogy egy laza, de személyes ismerősömnek hozzáférnek valamilyen netes fiókjához, aztán azt fogja gondolni, hogy biztosan én voltam úgy szórakozásból, csak azért mert úgy gondolja, hogy én képes lehetek rá.

Mi a másik súlyos következménye annak, ha a hírekben megjelenő támadásokkal és támadókkal kapcsolatban téves kép él az emberek fejében? Ahogy a meetup előadója nagyon frappánsan megfogalmazta, egyfajta nihilisata hozzáállás felé sodorja a felhasználókat. Azaz aszerint a séma szerint fognak gondolkozni, hogy fölösleges odafigyelni az információbiztonságra, hiszen "úgyis van valaki", aki fel tudja törni a hozzáféréseit, ha nagyon akarja. Ennek a nihilista hozzáállásnak lehet következménye vagy ha úgy tetszik tünete, hogy manapság a gépek közel felén semmilyen antivírus szoftver nincs telepítve. De alighanem a jelenség része az is, hogy a végfelhasználók nem titkosítják az adataikat, holott ez mindössze néhány kattintás lenne már a Windows XP elterjedése óta, illetve már közhely emlegetni, hogy gyenge jelszavakat használnak, ráadásul több helyen azonosat. Korábban már részletesen taglaltam, hogy miért nem mondhatja senki azt a mai világban, hogy "az én adataimra senki sem kíváncsi".

Visszatérve az előadásra, a Sony elleni támadást valószínűleg nem az Észak-koreai kormány követte el, de ha már hírbe hozták őket, nyilván nem mondták azt, hogy nem ők voltak. Gondoljunk csak bele, ha történne egy olyan kísérleti atomrobbantás, amire felfigyel a fél világ, de csak hírbe hoznák Észak-Koreával, az fix, hogy nem tiltakozna kézzel-lábbal a diktatúra jóllakott napközis hülyegyereke Kim Jong Un személyében azzal, hogy nem ő voltak.

A Sony elleni támadás kivizsgálása során kiderült, hogy a cég éveken keresztül tömegesen kapott teljesen közönséges adathalász leveleket, így csak idő kérdése volt, hogy minél több alkalmazott hozzáférését tudják elhappolni. Ezen kívül természetesen a kutatók visszafejtették azoknak a kémprogramoknak a kódját, amiknek szerepet tulajdonítottak az adatlopásban, abból pedig kiderült, hogy ha nem is egy kontármunkáról van szó, több jel is arra utal, hogy a támadók igencsak béna módon hagytak nyomokat maguk után.

Nem merülnék technikai részletekbe, de lényeg, hogy a klasszikus vírusokat, rootkiteket, spyware-eket, a professzionális támadók úgy írják meg, hogy azok visszafejtése után ne lehessen következtetni a kilétükre illetve arra sem, hogy a rosszindulatú program milyen korábbi kártékony kód továbbfejlesztése lehet. Erre példa az első valódi informatikai fegyvernek tekintett, urándúsító üzembe bejuttatott Stuxnet és az abból származtatott, később azonosított csúcskártevők, amiknél nemcsak arra nem lehet következtetni, hogy melyik állam állhatott a létrehozásának hátterében, de sokszor még olyan részleteket is elhelyeznek ezekben a malware-ekben, amik megpróbálják félrevezetni a kutatókat!

Ehhez képest a bénább kártevők írói egy halom olyan jellegzetességet hagynak a kártevőjükben a programozásuk során, ami később könnyebben azonosíthatóvá teszi őket.

Az is szóba kerül, hogy az olyan rémes buzzwordök, mint a "nulladik napi sebezhetőség", vagy "szofisztikált támadás" eleve gyanakvásra adnak okot a figyelmes olvasókban.

Hatalmas hiba lenne figyelmen kívül hagyni, hogy a média mellett az IT biztonság is egyre meghatározóbb biznisz, így az bizonyos informatikai biztonsági megoldásokat kínáló cégek jórésze ki is fogja a szelet a vitorlából és a kommunikációjukat szándékosan úgy alakítják, hogy azzal maximalizálják a bevételüket azon keresztül, hogy eladnak olyan terméket is az ügyfeleiknek, amikre valójában nem is lenne szükségük vagy éppenséggel nem olyan módon. Nem is tudom már, hogy hol olvastam, de hatalmas igazság, hogy nem a biztonságot szavatoló technológiai megoldást kell eladni, hanem a biztonság érzetét. Ami nyilván sokkal könnyebb, ha bizonyos szintű félelemérzetet keltenek az ügyfelekben.

Ebben pedig a fősodrú média nagyon gyakran akaratlanul és tudattalanul partner, mi több, a jelenségnek már réges-régen neve is van: FUD, azaz fear, uncertainty, doubt.  

A FUD mögött gyakran könnyen felfedhető az üzleti érdek, ha magyar példát kell hoznom, alighanem nagyon sokan emlékeznek rá, amikor a szolgáltatók a mobiltelefonálás hőskorában azt állították, hogy a mobil függetlenítése olyan bűncselekmény, amiért börtön jár, holott, nem több, mint egy polgárjogi szerződésszegés a telkószolgáltató és az ügyfél közt, de ilyen miatt még az életbe nem indult per az országban. Az már más műfaj, amikor valaki tömegesen és pénzért halomra függetlenítette a mobilokat. Amikor a szolgáltatók látták, hogy ezzel nem lehet gátolni a folyamatot, később azt hangoztatták, hogy a függetlenítés károsítja a mobilt, ami a régi mobilok esetén szintén nem volt igaz.

De ha FUD-ról van szó, a legkomolyabb, leginkább autentikusnak nevezhető cégek is nyilatkoztak már olyan módon, hogy amögött az üzleti érdekek eléggé világon kivehetőek voltak. Például az Apple nem kevesebbet állított néhány évvel ezelőtt, mint hogy a jailbreakelt mobilok kinyírhatják a mobil adótornyokat, míg hivatalosan egy szó sem esett sokáig a jailbreakeléssel járó valós kockázatokról.

Átverések és visszaélések persze a net előtt is léteznek, – kultúrafüggően ugyan – sokszor addig nem szorultak vissza, amíg valaki a saját bőrén nem tapasztalta meg azt a kárt, amit azzal szenvedett el, hogy átverték olyan esetben, amikor tevőlegesen ő maga tette mindezt lehetővé. Az már látszik, hogy a netes közegben teljesen hasonló a helyzet, a kérdés csak az, hogy szervezeti szinten milyen módszerek lehetnek a leghatékonyabbak arra, hogy mintegy immunizáljuk az alkalmazottakat a tipikus átverésekkel szemben.

A social engineering élt, él és élni fog… A rendezvény végén több gondolatindító kérdés is felmerült azzal kapcsolatban, hogy a gyakori, nagy kockázattal járó és emberi gondatlanságból adódó incidenseket hogyan lehetne megelőzni figyelembe véve azt, hogy a céges hálózatokba érkező kártevők több, mint fele email csatolmányként érkezik, amit egyszerűen csak nem kellene megnyitni, nem is beszélve a klasszikus adathalász levelekről, amit egyre inkább személyre szabottan próbálnak eljuttatni egy-egy címzettnek. Ismétcsak úgy tűnik, hogy a technikai fejlődéssel és benne lévő kockázatokkal egyszerűen nem tudott lépést tartani kultúránk, nem tartom kizártnak, hogy ezt lényegesen siettetni nem is lehet. Azaz a technikai evolúciót utolérni sincs esélye a kulturális evolúciónak, ugyan előremutatónak tűnnek azok az ötletek, mint például az, hogy a biztonságtudatosságra egészen a kezdetektől kellene szocializálni mindenkit kisiskolás kortól.

Ha visszaélésekről van szó, világos, hogy mik nem jelentenek megoldást. Például a Magyarországon ezerszer módosított, információs önrendelkezésről szóló törvény a netes közeg vonatkozásában annyit nem ér, mint amennyi a papír, amire valaha is kinyomtatták: még évekkel ezelőtt a jól ismert fikaoldalak a jog betűjére teljesen fittyet hányva hordták fel a felhasználók közösségi webes szolgáltatásból származó fasztortás, bepiálós vagy más módon kínos fotóikat, a törvénynek semmiféle visszatartó ereje nem volt. Viszont eléggé világosan látszik, hogy a náluk néhány évvel fiatalabb és rugalmasabb, most 14-22 éves generáció már jóval elővigyázatosabb azzal kapcsolatban, hogy mit tesz közzé a neten, ha a nagy átlagot nézzük. Azaz a technológiai kockázat és az internet természete maga szankcionálta a felhasználót a saját hülyesége miatt, aminek a hatása néhány év alatt érezhető lett.

Egy munkahelyek ugyanakkor nem tűnik túl életszerű megoldásnak az, hogy a fertőző hivatkozásokra kattintó vagy Google Docs-ban érzékeny adatokat feltalicskázó alkalmazott felkerüljön mondjuk egy hülyetáblára és más szankcionálási formák is vélhetően inkább a szervezeten belüli feszültséget növelnék, mint a biztonságtudatosságot, éves, évtizedes beidegződések nem változtathatóak meg csak úgy.

Az Adecco IT Academyben különösen az tetszett, hogy különböző területről érkezett szakértők, érdeklődők oszthatták meg a tapasztalataikat, aminek hatalmas előnye, hogy ekkor olyan új következtetésekre juthat az érdeklődő, amire egy szűkebb körnek szóló szakmai rendezvényen alighanem kevésbé.

Igencsak tanulságos mini prankkel haknizott a Balabit IT Security a minap: Stockholmban és San Franciscoban szólítottak meg mobilozókat azzal, hogy kipróbálnának-e egy hordozható akkut, amit csak csatlakoztatni kell a mobilhoz és az akkut képes 5 perc alatt feltölteni. Vegyük észre, hogy eleve már csak azokat érdekelhette a dolog, akik nem voltak képben azzal kapcsolatban, hogy nem lehet feltölteni egy okosmobil akkuját 5 perc alatt, pláne olyan univerzális töltő nagyon valószínűtlen, ami erre képes lenne megbízható módon, hiszen eleve különböző mobilok akkumlátorai közt eléggé emberes eltérések vannak.

Később a srác megkérdezte az érintetteket, hogy nincs-e biztonsági szempontból aggályuk azzal kapcsolatban, hogy ismeretlen eszközt csatlakoztatnak kábellel a saját mobiljukhoz. Európában - legalábbis Stockholmban biztosan – láthatósan sokkal kevésbé illetve lassabban esett le, hogy mi ezzel az esetleges para.

A Facebook még a 2014-es F8 fejlesztői csúcson jelentett be több, Facebook-kisalkalmazást gyökeresen érintő változtatást. 

A módosítások április 30-ától hatályosak és azoknál az appleteknél lehetnek különösen feltűnőek, amik a felhasználó ismerőseinek körét használják egyik adatforrásként, egyébként pedig szinte mindnél.

Amikor egy Facebook appletet indít valaki, a FB illedelmesen rákérdez, hogy a szükséges engedélyeket megadja-e a felhasználó az alkalmazás számára, így például a születésnapot, az életkort, a profilkép lehívását, azt, hogy a felhasználó nevében posztolhat-e a falára, lényegében bármit, olyan információt is, ami egyébként minden ismerős elől rejtve van. A egység sugarú júzer pedig szokás szerint ekkor zsigerből kattint az engedélyezés gombra, az applet pedig lekérdezi a szükséges adatokat. Mindezt az alkalmazás az ún. Facebook API-n [application programming interface] keresztül teszi, aminek megvannak a maga játékszabályai, amik értelemszerűen időnként frissítésre szorulnak.

Alapvetően szinte az összes korábbi alkalmazásnak újra engedélyt kell kérnie a további működéshez az API 2.0-ás verziójának életbe lépése miatt, bizonyos alkalmazások egyáltalán nem lesznek működőképesek: eddig a függvénykönyvtár egy igencsak népszerű részét képezték azok a függvények, amik le tudták kérdezni a felhasználó ismerőseinek körét, sokszor az ismerősök ismerőseit, az ismerősökkel kapcsolatos cimkéket, hogy majd azzal kezdjenek valamit. Például az alkalmazás kiolvasta az ismerőseid, annak az ismerősi körét is a nevedben, majd mindebből rajzolt egy pofás kis gráfot, amiben vagy egyszerűen csak lehetett gyönyörködni, megint mások használhatták adathalászatra, a kutatók pedig természetesen a közösségek legkülönfélébb szempontú vizsgálatára.

Ez utóbbi műfajban az egyik kedvenc tudományos cikkem azzal foglalkozik, hogy egy jól irányzott kisalkalmazással még akkor is lekérdezhető, hogy az adott felhasználó kivel kavar, ha nincs is fenn az ismerősei közt az illető. Már volt róla szó, magyar nyelven ezzel a Precognox blogja foglalkozott A Facebook tudja kivel kavarsz - akkor is ha nem jelölöd a profilodon címmel. Amit azért fontos hozzátennem, ami úgy minden facebookos információra igaz, hogy itt sem maga a Facebook jelent kockázatot a felhasználó magánszférájára nézve, hanem az, ha a felhasználó mindenféle barom kisalkalmazásnak megad mindenféle engedélyt, aztán meg alaposan megfeledkezik róla. Ha történetesen adathalász alkalmazásról van szó, az alkalmazás készítője gyakorlatilag mindent láthatott a felhasználóról, az ismerősi körön keresztül például abból is adatbázist építhetetett a fejlesztő, hogy valaki mikor, kivel, hova checkolt be, teljesen észrevétlenül, egészen eddig akár évekig.

Az appok közül egyébként itt lehet kegyetlenül legyilkolni azonnal azt, amiről nem tudod azonnal, hogy micsoda, míg az Apps Others Use alatt azt szabályozhatod, hogy milyen adatokat tudjanak az appletek rólad lekérdezni. A Facebook Platform teljes kikapcsolása nem ajánlott.

Nem mennék bele abba a kérdésbe, hogy az előbb vázolt kockázat végülis a Facebook, a felhasználó vagy a rosszindulatú kisalkalmazások bűne, a mi szempontunkból a lényeg, hogy az API legújabb változatában az ilyen típusú kukkolásra csak sokkal körülményesebben van lehetőség, mivel kiherélték az ismerősök és velük kapcsolatos adatok lekérdezésével kapcsolatos függvénykönyvtár használhatóságát.

A F8 hivatalos bejelentésének leglényegesebb mondandóját ennél rövidebben aligha lehetne összefoglalni:

Any deprecated permissions will be removed from existing users, and won't be grantable by new users. This includes the friends_* permissions, xmpp_login or user_checkins.

A dokumentációban pedig az indoklás valahogy így néz ki:

To put people first. This update was in response to feedback from people who were uncomfortable knowing that a friend could share their information with an app. With Graph API v2.0, we wanted to make sure that people had more control over their information.

Na már most normális emberben felmerül a kérdés, hogy akkor eddig mégis miért nem eleve így volt? IMHO azért, mert a FB attól tartott, hogy a felhasználói élmény csökkent volna, ami miatt ugye eleve az egész Facebook lett volna valamivel kevésbé népszerű. A "To put people first" igaz, csak éppen nem abban az értelemben, ahogy a Facebook láttatni akarja: a felhasználók biztonsága nem érdekli őket jobban, mint korábban, egészen addig, amíg nem érkeznek olyan visszajelzések tömegesen, amiből arra következtetnek, hogy a felhasználók kevésbé érzik magukat biztonságban, ami nyilván nem azt jelentené, hogy a felhasználó ésszel él, aztán korlátozza a róla lekérdezhető adatokat illetve lelövi az általa futtatott, de ismeretlen, tisztázatlan működésű kisalkalmazásokat, hanem inkább kevésbé használja a FB-t. Emlékeztető: a felhasználók egy részének még így is túl bonyolult a felület!

Elsőre nem nagyon bonyolult dolgokra gondoljunk az ismerőskukkolda kapcsán! Láttam egy tucat olyan alkalmazást, ami persze pénzért figyeli, hogy ki törölt az ismerőseid közül, mindezt nyilván úgy, hogy periodikusan lekérdezi az ismerősök halmazát és összeveti a korábbival. Persze annak, hogy egy ismerős eltűnik, lehet oka az is, hogy az illető deaktiválja a profilját, törli magát a Facebookról vagy letiltja emberünket, azon a lényegi dolgon nem változtat, ami szerint a Facebook a hivatalos súgóban szavatolja, hogy nem jelzi, ha egy ismerős töröl a kontaktjai közül. Erre nyitott kiskaput néhány fizetős mobilapp a kezdetektől azok számára az egoista türhők számára, akik képesek voltak ezért még pénzt is kiadni, azzal kapcsolatban pedig most inkább nem mondanék véleményt, ha valakinek annyira gesztus értékű az, ha más törli ismerősei közül, hogy szükségesnek látja ezt kisalkalmazással figyeltetni, valamit az életben nagyon rosszul csinál...

Végülis amellett, hogy a Facebook - pontosabban ahogy tisztáztam, az API-ja – biztonságosabbá is vált, sajnos sok-sok kutató alaposan szívhatja a fogát, aki például szociometriai kutatásaihoz a Facebookot használta adatforrásként. Az ismeretségi kör továbbra is lekérdezhető bizonyos esetekben, így például, ha a másik, adatforrásként használt ismerős szintén használja ugyanazt az alkalmazást az összes szükséges permissionnel, de nyilván teljesen életszerűtlen, hogy egy alkalmazást az összes ismerősünk használjon, körülbelül annyira, mintha azt mondanád valakinek, hogy "lécci tedd már fel ezt az appletet, mert szeretném tudni, hogy mikor tiltasz le".

Ma amolyan fészezős napot tartok, hamarosan jön még egy poszt arról, hogy hogyan értesülhetsz általad meghatározott szabályok alapján SMS-ben vagy Google Talk üzenetben egy-egy facebookos történésről, a friss posztjaim követéséhez itt tessék csengetni a Követés gombra kattintással: https://www.facebook.com/bardoczi

kép forrása: http://qz.com/140357/what-your-facebook-friends-list-reveals-about-your-love-life/