bardóczi ákos @post.r

A Facebook még a 2014-es F8 fejlesztői csúcson jelentett be több, Facebook-kisalkalmazást gyökeresen érintő változtatást. 

A módosítások április 30-ától hatályosak és azoknál az appleteknél lehetnek különösen feltűnőek, amik a felhasználó ismerőseinek körét használják egyik adatforrásként, egyébként pedig szinte mindnél.

Amikor egy Facebook appletet indít valaki, a FB illedelmesen rákérdez, hogy a szükséges engedélyeket megadja-e a felhasználó az alkalmazás számára, így például a születésnapot, az életkort, a profilkép lehívását, azt, hogy a felhasználó nevében posztolhat-e a falára, lényegében bármit, olyan információt is, ami egyébként minden ismerős elől rejtve van. A egység sugarú júzer pedig szokás szerint ekkor zsigerből kattint az engedélyezés gombra, az applet pedig lekérdezi a szükséges adatokat. Mindezt az alkalmazás az ún. Facebook API-n [application programming interface] keresztül teszi, aminek megvannak a maga játékszabályai, amik értelemszerűen időnként frissítésre szorulnak.

Alapvetően szinte az összes korábbi alkalmazásnak újra engedélyt kell kérnie a további működéshez az API 2.0-ás verziójának életbe lépése miatt, bizonyos alkalmazások egyáltalán nem lesznek működőképesek: eddig a függvénykönyvtár egy igencsak népszerű részét képezték azok a függvények, amik le tudták kérdezni a felhasználó ismerőseinek körét, sokszor az ismerősök ismerőseit, az ismerősökkel kapcsolatos cimkéket, hogy majd azzal kezdjenek valamit. Például az alkalmazás kiolvasta az ismerőseid, annak az ismerősi körét is a nevedben, majd mindebből rajzolt egy pofás kis gráfot, amiben vagy egyszerűen csak lehetett gyönyörködni, megint mások használhatták adathalászatra, a kutatók pedig természetesen a közösségek legkülönfélébb szempontú vizsgálatára.

Ez utóbbi műfajban az egyik kedvenc tudományos cikkem azzal foglalkozik, hogy egy jól irányzott kisalkalmazással még akkor is lekérdezhető, hogy az adott felhasználó kivel kavar, ha nincs is fenn az ismerősei közt az illető. Már volt róla szó, magyar nyelven ezzel a Precognox blogja foglalkozott A Facebook tudja kivel kavarsz - akkor is ha nem jelölöd a profilodon címmel. Amit azért fontos hozzátennem, ami úgy minden facebookos információra igaz, hogy itt sem maga a Facebook jelent kockázatot a felhasználó magánszférájára nézve, hanem az, ha a felhasználó mindenféle barom kisalkalmazásnak megad mindenféle engedélyt, aztán meg alaposan megfeledkezik róla. Ha történetesen adathalász alkalmazásról van szó, az alkalmazás készítője gyakorlatilag mindent láthatott a felhasználóról, az ismerősi körön keresztül például abból is adatbázist építhetetett a fejlesztő, hogy valaki mikor, kivel, hova checkolt be, teljesen észrevétlenül, egészen eddig akár évekig.

Az appok közül egyébként itt lehet kegyetlenül legyilkolni azonnal azt, amiről nem tudod azonnal, hogy micsoda, míg az Apps Others Use alatt azt szabályozhatod, hogy milyen adatokat tudjanak az appletek rólad lekérdezni. A Facebook Platform teljes kikapcsolása nem ajánlott.

Nem mennék bele abba a kérdésbe, hogy az előbb vázolt kockázat végülis a Facebook, a felhasználó vagy a rosszindulatú kisalkalmazások bűne, a mi szempontunkból a lényeg, hogy az API legújabb változatában az ilyen típusú kukkolásra csak sokkal körülményesebben van lehetőség, mivel kiherélték az ismerősök és velük kapcsolatos adatok lekérdezésével kapcsolatos függvénykönyvtár használhatóságát.

A F8 hivatalos bejelentésének leglényegesebb mondandóját ennél rövidebben aligha lehetne összefoglalni:

Any deprecated permissions will be removed from existing users, and won't be grantable by new users. This includes the friends_* permissions, xmpp_login or user_checkins.

A dokumentációban pedig az indoklás valahogy így néz ki:

To put people first. This update was in response to feedback from people who were uncomfortable knowing that a friend could share their information with an app. With Graph API v2.0, we wanted to make sure that people had more control over their information.

Na már most normális emberben felmerül a kérdés, hogy akkor eddig mégis miért nem eleve így volt? IMHO azért, mert a FB attól tartott, hogy a felhasználói élmény csökkent volna, ami miatt ugye eleve az egész Facebook lett volna valamivel kevésbé népszerű. A "To put people first" igaz, csak éppen nem abban az értelemben, ahogy a Facebook láttatni akarja: a felhasználók biztonsága nem érdekli őket jobban, mint korábban, egészen addig, amíg nem érkeznek olyan visszajelzések tömegesen, amiből arra következtetnek, hogy a felhasználók kevésbé érzik magukat biztonságban, ami nyilván nem azt jelentené, hogy a felhasználó ésszel él, aztán korlátozza a róla lekérdezhető adatokat illetve lelövi az általa futtatott, de ismeretlen, tisztázatlan működésű kisalkalmazásokat, hanem inkább kevésbé használja a FB-t. Emlékeztető: a felhasználók egy részének még így is túl bonyolult a felület!

Elsőre nem nagyon bonyolult dolgokra gondoljunk az ismerőskukkolda kapcsán! Láttam egy tucat olyan alkalmazást, ami persze pénzért figyeli, hogy ki törölt az ismerőseid közül, mindezt nyilván úgy, hogy periodikusan lekérdezi az ismerősök halmazát és összeveti a korábbival. Persze annak, hogy egy ismerős eltűnik, lehet oka az is, hogy az illető deaktiválja a profilját, törli magát a Facebookról vagy letiltja emberünket, azon a lényegi dolgon nem változtat, ami szerint a Facebook a hivatalos súgóban szavatolja, hogy nem jelzi, ha egy ismerős töröl a kontaktjai közül. Erre nyitott kiskaput néhány fizetős mobilapp a kezdetektől azok számára az egoista türhők számára, akik képesek voltak ezért még pénzt is kiadni, azzal kapcsolatban pedig most inkább nem mondanék véleményt, ha valakinek annyira gesztus értékű az, ha más törli ismerősei közül, hogy szükségesnek látja ezt kisalkalmazással figyeltetni, valamit az életben nagyon rosszul csinál...

Végülis amellett, hogy a Facebook - pontosabban ahogy tisztáztam, az API-ja – biztonságosabbá is vált, sajnos sok-sok kutató alaposan szívhatja a fogát, aki például szociometriai kutatásaihoz a Facebookot használta adatforrásként. Az ismeretségi kör továbbra is lekérdezhető bizonyos esetekben, így például, ha a másik, adatforrásként használt ismerős szintén használja ugyanazt az alkalmazást az összes szükséges permissionnel, de nyilván teljesen életszerűtlen, hogy egy alkalmazást az összes ismerősünk használjon, körülbelül annyira, mintha azt mondanád valakinek, hogy "lécci tedd már fel ezt az appletet, mert szeretném tudni, hogy mikor tiltasz le".

Ma amolyan fészezős napot tartok, hamarosan jön még egy poszt arról, hogy hogyan értesülhetsz általad meghatározott szabályok alapján SMS-ben vagy Google Talk üzenetben egy-egy facebookos történésről, a friss posztjaim követéséhez itt tessék csengetni a Követés gombra kattintással: https://www.facebook.com/bardoczi

kép forrása: http://qz.com/140357/what-your-facebook-friends-list-reveals-about-your-love-life/

"Celebrating our 15th anniversary with our new feature: Two-Step Verification" jelentette be a legendás Hushmail májusban a Twitteren, amit - kéretik figyelni! - mindössze egyetlen felhasználó favolt és retwittelt, én meg konkrétan nem vettem észre, pedig jópár éve hardcore hushmailes vagyok. Értem én, hogy a jó munkához idő kell, de ha egy olyan levelezőrendszernél, aminek a születésénél maga Zimmermann, a PGP titkosítóalgoritmus atyja bábáskodott, IMHO máig az egyik legbiztonságosabb levelezőrendszer a világon, gyakorlatilag le vannak maradva az end-user szemében a többiekhez képest, na, az nem jó. Nem jó, mert 2FA téren megelőzte őket az összes nagy, látszólag ingyenes, a felhasználók adataiból élő kommersz mailszolgáltató  Google Mail - Yahoo - Outlook.com sorrendben, ahogy az egy-egy újításnál lenni szokott. Szóval Hushmailék  túl kevéssé kommunikálták a történetet. 

Az, hogy beelőzték őket, még a kisebb probléma: a PRISM-parát meglovagolva ugyanis egy rakás "überbiztonságos", semmiből előtűnő freemium modellel működő vagy előfizetéses levelezőszolgáltatás jelent meg a piacon, amik jó esetben nem zárják be a boltot maholnap és tipliznek a Bahamákra az ügyfelek pénzével ill. jó esetben ezeket a szolgáltatókat nem valamilyen szépnevű hárombetűs szervezet fedőcége vagy nehézsúlyú adathalászok hoztak létre pont azoknak a megfigyelésére, akik éppen azért fizetnek, hogy a levelezésük ne legyen látható. 

Fejtegethetném, hogy nem, nem csak akkor van szükséged elfogadhatóan biztonságos levelezésre, ha egy jó nagy cég vagy hírportál vezetője vagy (egyébként is, 5-10-15 év múlva még lehetsz és igen, 5-10-15 év múlva is valakinél meglesz levelezésed), az meg sokkal cirkalmatosabb téma, hogy mikor is tekinthetünk egy levelezőrendszert biztonságosnak, ugyan egy részét itt már érintettem korábban. 

Az átlag felhasználótól nem várható el, hogy megállapítsa egy levelezőszolgáltatásról, hogy mennyire biztonságos, elég csak rákeresni a neten, hogy melyik is a legbiztonságosabb levelezőrendszer a világon és belenézni az első néhány találatként talált fórumba. Ezt a tudatlanságot kihasználva szedte meg magát egy rakás, elvben biztonságosnak tűnő levelezést kínáló startup olyan jól hangzó, ámbár szakmai szempontból még debilebb érvekkel, minthogy a szervertermük be van fúrva egy hegy gyomrában, skandináv országban/Svájcban van, amire kevésbé lát rá az NSA vagy éppen azzal érvelt a szolgáltató, hogy saját titkosító algoritmust fejlesztett ki, de hogy mi az, na, azt nem árulja el. Ha nem vagy terrorista, a levelezést amúgy nem az NSA-tól kell félteni, hanem mondjuk egy üzleti versenytárstól, aki alighanem meg tud fizetni olyan szakit, aki technikai tudással és/vagy kapcsolati tőkével szinte bármelyik szerverbe bele tud nézni, ha eleget fizetnek neki. Eloszlatnám azt a közhelyet, hogy "minek foglalkozni vele, mert úgyis feltörhető", tökéletes biztonság nincs, viszont elfogadható biztonság igenis van. És általában nem a legdrágább megoldásokkal. 

Ha egyéni felhasználóként vagy cégvezetőként arról szeretnél informálódni, hogy mi az, ami tényleg biztonságosnak tekinthető, ne a zöldségest, hentest vagy a szomszéd neandervölgyi kinézetű, informatikus végzettségű photoshop-artistát kérdezd, hanem olyat, aki ért is hozzá, mondjuk mert ez a hivatása. Ha a netről informálódnál, az csalóka lehet, ugyanis az ezzel kapcsolatos netes keresésnek csak akkor van értelme, ha pontosabb képed van róla, hogy mit is keresel, azaz az értékes információhoz nem meglepő módon eleve jól kell feltenni a kérdést. 

A Securityreactions tumbliról schmittelt képpel zárnám soraimat: 

"Why aren’t you worried about the NSA spying on your internet use or emails?"