15.8.2014

Isoveli valvoo

Viime päivinä on noussut taas haloo siitä, miten Facebookin uusi Messenger-applikaatio vaati kaikenlaisia lupia toimiakseen. (TalousSanomat, DigiToday, The Bull ja Iltalehti)  Se pyytää lupaa mm. kameran ja mikrofonin käyttöön, paikkatietoon ja tekstiviestien käyttämiseen. Ainakin Android-versio pyytää lisäksi lupia puhelimen käyttöön, puhelinlokien tutkimiseen, yhteystietojen käyttöön sekä puhelimen sisältämän henkilökohtaisen tiedon käyttöön. (iPhone-versio ei kysele mitään, luvat annetaan käytännössä automaattisesti. Lupien kysely Android-alustalla johtuu Googlen politiikasta, kaikki on kerrottava. )

Kuulostaako pahalta? Pitäisikö huolestua? Aika monen mielestä pitäisi. Tosiasia kuitenkin on, että Facebook-applikaatiolla on hyvä syy pyytä noita lupia, eikä tilanne ole lainkaan niin paha kuin voisi kuvitella noiden juttujen perusteella. Lisäksi ihmiset jakavat samoja tietoja ja paljon enemmänkin päivittäin tietämättään tai ymmärtämättään. Toki Facebookin business-päätöstä erottaa Messenger omaksi sovelluksekseen voi ihmetellä, mutta näin suurta haloota se ei välttämättä olisi ansainnut. 

Käydäänpä läpi mitä nuo luvat ovat ja mihin applikaatio niitä käyttää.

Kameran ja mikrofonin käyttö
* Mahdollistaa sen, että voit Messengerin kautta lähettää kavereillesi kuvia puhelimen kameralla tai äänittää viestin puhelimen mikrofonilla. Mahdollistaa teoriassa myös sen, että puhelin voi kuvata ja äänittää sinua salaa, kun käytät sovellusta. Jos Facebook käytännössä tekisi niin, sen taru päättyisi hyvin nopeasti.

Paikannustiedot
*Mahdollistaa sen, että voit jakaa kaverisi kanssa paikan, jossa olet. Tyyliin ”Olympiastadion, Helsinki”, kun haluat hehkuttaa sitä Cheekin konserttia, jonne sait liput korruptiolahjana. Mahdollistaa myös sen, että Facebook voi seurata sinun liikkumistasi aina, kun sovellus on käynnissä. Jos Facebook käytännössä tekisi niin, sen taru päättyisi hyvin nopeasti.

Tekstiviestit
* Facebook varmistaa, että olet, kuka väität olevasi ja omistat puhelimen lähettämällä tekstiviestin Facebook-profiilissasi antamaasi puhelinnumeroon. Tämän luvan avulla Messenger-sovellus pystyy lukemaan automaattisesti vahvistuskoodin tekstiviestistä, eikä käyttäjän tarvitse kirjoittaa sitä ensin paperilapulle ja sen jälkeen siirtää sovellukseen. Mahdollistaa periaatteessa myös sen, että Facebook pystyy lukemaan kaikki tekstiviestisi ja lähettämään ne omalle palvelimelleen selvittääkseen sinusta kaiken. Jos Facebook käytännössä tekisi niin, sen taru päättyisi hyvin nopeasti.

Puhelin
* Puhelimen käyttöoikeus mahdollistaa sen, että pystyt soittamaan Messengerin kautta suoraan kavereillesi, joiden puhelinnumero on Facebookissa. Mahdollistaa myös sen, että Messenger pystyy milloin tahansa soittamaan mihin numeroon tahansa. Jos Facebook käytännössä tekisi niin, sen taru päättyisi hyvin nopeasti.

Ja niin edelleen. Kaikille Facebook Messengerin pyytämille luville on syy ja tarkoitus, tavoitteena on ainoastaan helpottaa käyttäjän elämää. Jos Facebook tekisi jotain vähänkään epämääräistä noiden lupien avulla, maailman tietoturva-asiantuntijat älähtäisivät saman tien ja Facebook olisi käytännössä mennyttä. Jos lupien antaminen Facebookin sovellukselle oikeasti pelottaa, älä asenna sitä. Suosittelen myös Facebookista eroamista, sillä yleensä ottaen ihmiset jakavat noita samoja tietoja ihan avoimesti Facebookissa, jopa julkisesti.

Internet ja sen isoveli


Kovin harva tuntuu ymmärtävän sitä, miten paljon tietoa kukin meistä jakaa internetissä ihan vain surffatessaan. Käytännössä kaikki käyntisi millä tahansa sivulla pystytään yhdistämään käyttämääsi tietokoneeseen, jos näin halutaan ja haluajalla on pääsy riittävään määrään tietoa. On ihan turha kuvitella, että selainten incognito-moodit (tai ns. pornomoodit) piilottaisivat sinua. Parhaimmillaankin tulos on se, ettei puolisosi saa selville surffailuasi selainhistorian avulla. Mutta palvelimet kyllä tunnistavat sinut, jos niin haluavat.

Internet kun toimii IP-osoitteiden avulla. Periaatteessa jokaisella tietokoneella on oma IP-osoitteensa, jonka avulla se voidaan tunnistaa. (Toki on reitittimiä ja yritysverkkoja ja niin edelleen, jotka siirtävät liikenteen yhden IP-osoitteen kautta, mutta niidenkin käyttäjät voidaan selvittää.) Joka kerran, kun lataat sivun internetistä, aivan sama, mistä ja minkä takia, sinusta jää jälki kyseisen sivuston palvelimelle. Siinä kerrotaan sinun koneesi yksilöllinen IP-osoite, tarkka kellonaika, käyttämäsi selainversio ja sivu, jolta olet tulossa. Ja kaikki tämä siis ihan oletusarvoisesti, eikä sitä voi estää mitenkään. Joten jo noiden tietojen perusteella on esimerkiksi pääteltävissä, että tietoteknisesti etevä, työtön tai vuorotyötä tekevä ihminen Pelkosenniemeltä tykkää kanoista. (Käyttää Firefoxin beta-versiota, surffaa yksityis-IP:stä keskellä päivää, IP-paikantuu Pelkosenniemelle ja sivuston aihe on kanojen kasvatus). Tai että kyseessä on ison suomalaisen yrityksen palveluksessa oleva projektityöläinen, joka käyttää työkonetta ja jonka IT-osasto on joko ajastaan jäljessä tai sitten henkilö ei hallitse tietotekniikkaa (Yritys-IP, ruokatunnilla, selaimena IE 8).

Kokeile vaikka itse, mitä kaikkea saat selville pelkästään omalla IP-osoitteellasi. Osoitteesta http://whatismyipaddress.com/ voit tarkistaa IP-osoitteesi ja mihin se paikantuu. Mobiiliyhteyksillä paikannus on heikompaa, mutta kiinteillä yhteyksillä se voi olla yllättävänkin tarkkaa.

 Eli jo yhden palvelimen ja IP-osoitteen perusteella voi arvioida melkoisesti asioita. Nimenomaan ”arvioida”. Faktoja ne eivät välttämättä ole, mutta antavat suuntaa.

Lisäksi JavaScriptin avulla kerätään tietoa siitä, minkälainen näyttö sinulla on, mitä lisäosia selaimeesi on asennettu, mitä kieltä käytät, minkälainen käyttämäsi laite on, mikä on käyttöjärjestelmäsi ja niin edelleen. Pelkästään IP-osoitteesi ja koneesi kertomien tietojen pohjalta voidaan luoda melko täydellinen kuva sinusta ja käyttämästäsi laitteistosta.

Tämän lisäksi palvelimet voivat asentaa koneellesi ”keksejä”, eli cookieita, pieniä ohjelmanpätkiä, jotka voivat sisältää erilaisia tietoja. Käytännössä keksejä käytetään usein mm. kirjautumisiin tai käyttäjän asetusten tallentamiseen. Mutta niitä käytetään myös mainosverkostoissa, jolloin niiden tarkoitus on tallentaa tietoja käyttäytymisestäsi, mielenkiinnon kohteistasi ja muista vastaavista, mainostajia mahdollisesti kiinnostavista tiedoista. Näitä tietoja kerätään ja yhdistellään mainostajan palvelimilla ja niistä kootaan sinulle profiili. Luonnollisestikaan profiili ei sisällä henkilötietojasi tai ”muuta yksilöivää tietoa”, mutta aika tarkasti pystytään kertomaan, minkä ikäinen olet, mitä sukupuolta, mistä pidät ja miten kulutat. Näiden tietojen avulla sinulle kohdennetaan ”sopivaa” mainontaa.

Jos lisäksi olet kirjautunut johonkin mainoskonsernin palveluun, kuten vaikkapa Helsingin Sanomien nettisivuille tai Plazaan, on mainospalvelulla sinusta myös muita tietoja sinusta. Esim. kotiosoitteesi, lehtitilauksesi ja muut vastaavat. Toki on myös mahdollista yhdistää tietoja konsernin muista tietokannoista, kuten vaikkapa laskunmaksuhistoriasi, mutta näinhän ei Suomen lain mukaan saa tehdä. Sen ei pitäisi itse asiassa edes olla mahdollista.

Mutta kyllä se on. Vuonna 2011 Kesko yhdisti Plussa-kortin käyttäjien tiedot ostoshistoriaan löytääkseen mahdollisesti myrkyllisten oliivien ostajat.  S-ryhmä puolestaan etsi pannukasvisten ostajia vuonna 2013.  Kun kanta-asiakasohjelmat aikoinaan lanseerattiin, kuluttajille kerrottiin, ettei yksittäisen ihmisen ostoksia voida mitenkään yhdistää henkilöön. Mutta niinpä se vain onnistui. Oletko koskaan miettinyt, miten kaupat osaavat tarjota juuri oikeita asioita oikeaan aikaan?

Rekistereitä yhdistelemällä voittoon


Jos ostat auton, uuden tai käytetyn, sinulla on yhtäkkiä sekä perinteinen että sähköinen postilaatikko täynnä erilaisia huoltotarjouksia, lisävarustehinnastoja ja jopa vaihtoautotarjouksia. Miksi? Siksi, että uusi autosi on joko ilmoitettu ajoneuvorekisteriin tai sen omistaja on vaihtunut. Mainostajat pääsevät käsiksi tähän dataan maksamalla sopivan summan.

Entäpä, jos saisit perheenlisäystä. Yhtäkkiä tuntuu siltä, että kaikki mainostajat tietävät, että teille on tullut uusi vauva. Ja niin tietävätkin. Väestörekisteristä saa tietää syntyneiden lasten henkilö- ja osoitetiedot pientä maksua vastaan Väestörekisterikeskuksen kumppaneiden kautta. Samalla lailla, kun muutat, saavat mainostajat halutessaan tietoonsa muuton lisäksi myös uuden osoitteesi ja asuntosi tyypin. Google Mapsin avulla voi vaikka käydä tarkistamassa seinän värin, jos se kiinnostaa.

Ja tietysti ihmiset myös jakavat itse näitä tietojaan auliisti netissä. Kuinka moni FourSquarea (tai nykyisin Swarmia) käyttävistä tietää, että heidän liikkeitään pystyy melko tarkkaan seuraamaan netissä, vaikka jakaisitkin tietoa vain kavereillesi? Ihmiset kun yleensä liikkuvat melko ennalta-arvattavia reittejä, voisi joku hämärähemmo halutessaan tietää muutaman minuutin tarkkuudella, missä milloinkin olet arkipäivisin. Ja kun vielä jaat sen kotiosoitteesi paikannuspalvelussa, hän tietää myös, milloin ET ole kotona. Juu, Foursquare ei näytä tarkkoja kotiosoitteita JOS merkitset, että kyseessä on koti. Jos merkkaat kotisi humoristisesti vaikkapa nakkikioskiksi, sen osoite on kaikkien nähtävissä.

LinkedIn:issä ihmiset kertovat auliisti työpaikoistaan ja koulutuksestaan. Työnantajaksi ilmoittautumalla voi tutkiskella ihmisten profiileja hyvinkin vapaasti. Ja verkostoituvat ihmiset haluavat verkostoja, joten uppo-outojenkin ihmisten ystäväpyynnöt hyväksytään, jos heidän työpaikkansa vaikuttaa sellaiselta, josta voisi olla hyötyä jatkossa.

TripItissä kerrotaan, milloin ollaan lomalla ja jaetaan se Facebookiin. Pieni moka yksityisasetuksissa ja käytännössä koko maailma tietää, milloin teillä on talo tyhjä. Tai RunKeeperin, HeiaHeian tai vastaavan live-tilassa voit kertoa kaikille, milloin olet lenkillä ja missä. Ja tiesithän, että esim. Applen iPhone kirjaa jatkuvasti ylös, missä olet ja lähettelee sitä tietoa Applen palvelimille.

Tiesithän muuten, että älypuhelimilla (ja nykyään myös joillain kameroilla) kuvattuihin kuviin tallennetaan automaattisesti myös paikka, missä kuva on otettu? Ja kun jaat niitä kuvia sosiaalisessa mediassa, ne paikkatiedot pysyvät niissä kuvissa mukana? Creepy -nimisellä softalla voit paikantaa vaikkapa TwitPic -palveluun siirrettyjen kuvien lokaation. Näppärää, jos haluat vaikkapa häiritä julkkiksia. Tai tietää, missä se söpö tyttö asuu.

Google tietää eniten


Melko pelottavaa, vai mitä? Mietipä sitten, mitä Google tietää sinusta. Kuten moni muukin, sinullakin on luultavasti GMail-sähköposti, joten sinulla on Google-tunnus. Ja olet useinmiten kirjautuneena sillä tunnuksella, kun surffailet. No, yleistä tietoahan on, että Google lukee kaikki sähköpostiviestisi, niin saapuvat kuin lähtevätkin.  He tekevät tätä omien sanojensa mukaan siksi, että voivat tarjota sinulle parempia mainoksia ja parempaa palvelua. He sanovat myös, ettei tietoja koskaan yhdistetä käyttäjään. Paitsi että he tekivät juuri niin.  Google nimittäin tunnisti, että eräs mies käytti GMail-tiliään lapsipornon levitykseen ja teki asiasta rikosilmoituksen ja yhteistyötä poliisin kanssa, jotta rikollinen saatiin kiinni. Hyvä juttu.

Mutta MITEN Google sai tietää aiheesta? Kyseessä olivat monimutkaiset kuvantunnistusalgoritmit, joiden avulla Google sai automaattisesti selville, että kyseisen tilin kautta lähetettiin lapsipornoa. He eivät kuulemma valvo mitään muuta rikollista toimintaa tai vahdi käyttäjiään. Mutta kuten tuo kertoo, se on kuitenkin mahdollista.

Eli Google tietää kaiken, mitä lähetät sähköpostilla. Sen lisäksi se tietää kaiken, mitä etsit verkosta, sillä - ollanpa nyt rehellisiä - käytännössä kaikki haut, joita teet, teet Googlella. Ja kuinka usein muistat kirjautua ulos ennenkuin etsit sitä yhtä juttua, mitä et haluaisi kenenkään muun tietävän etsiväsi? Lisäksi sinulla on mahdollisesti Google+ -profiili, jossa jaat kavereillesi (jos yksityisyysasetuksesi ovat kunnossa) hienoja hetkiä elämästäsi ja kerrot henkilötietosi. Ja jaat FourSquare-päivityksesi, HeiaHeia-liikuntasuorituksesi ja kuvat kotoasi. Ehkä olet yrittäjä ja yrityksesi toimipaikat löytyvät Googlesta. Kotitalosi on melko varmasti Google Mapsissa. Käytät Google-tunnustasi kirjautuessasi monien muiden valmistamiin palveluihin.

Pientä esimakua siitä, mitä Google sinusta tietää, saat, kun käyt näissä osoitteissa:
https://www.google.com/settings/u/0/ads (Mainosasetukset, eli demografiatietosi ja kiinnostuksen kohteesi)
https://www.google.com/settings/dashboard (Googlen palveluiden yleiset tiedot)

Mieti, mitä kävisi, jos Google vetäisi kaikki nämä tiedot yhteen? Ja yhdistäisi ne vaikkapa kaiken sen kanssa, mitä Twitter ja Facebook sinusta tietävät.  Ei vaadita kuin se, että tunnuksesi ja salasanasi vuotaa ja joku vetää tiedot yhteen. Mutta ethän tietystikään käytä samaa salasanaa kaikissa palveluissa, joten yhden palvelun tietojen vuotaminen ei vielä haittaa, eikö niin? Paitsi että mukavuudenhaluisena kaikkiin käyttämiisi palveluihin voi loggautua joko Googlen tai Facebookin kautta ja niihin muihinkin löytyvät salasanat GMailista…

Niin, ja sitten on tietysti vielä Yhdysvaltain NSA, jonka Echelon-palvelu tallentaa KAIKEN nettiliikenteen, joka kulkee Yhdysaltain kautta (mm. kaiken Googlen ja Applen liikenteen) ja joka on tehnyt salaisia sopimuksia kaikkien Yhdysvaltalaisten tietoturva- ja IT-yritysten kanssa tietojen luovutuksesta ja takaovista laitteisiin, järjestelmiin ja sovelluksiin. Väittävät, että esim. koko Syyrian nettiyhteys katkesi vuonna 2012, kun NSA mokasi reitittimen seurannan kanssa.

Vainoharhaa


Eli halutessani voisin kaivaa juuri sinusta aika paljon tietoja hyvin helposti. Tietäisin, missä käyt töissä, missä lenkillä, milloin olet kotona, missä se koti sijaitsee, miltä se näyttää. Ketkä ovat kavereitasi, ketä perheenjäseniäsi, millä selaimella surffailet, minkälaisella koneella… Yhtä tietovuotoa myöhemmin minulla olisi jo melko täydellinen pääsy koko elämääsi, ilman, että sinulla olisi asiasta mitään hajua, jos toimisin vähänkään älykkäästi.

Niin, että kannattaako olla huolissaan, jos Facebook pyytää lupaa lukea tekstiviestisi, että voisi helpottaa elämääsi hiukan? Onko raivostuminen siitä niin oikeutettua, että käyt samalla antamassa yhden tähden arvioita kirosanoin höystettynä Applen ja Googlen sovelluspalveluihin?

On hyvä tietää, mitä tietoja sinusta kerätään ja miten niitä hyödynnetään. On myös hyvä tietää, että tiedonkeruuta voi usein estää, joko palveluiden asetuksista tai sitten ihan vain uloskirjautumalla. Lisäksi voit hyödyntää niitä selainten incognito-tiloja. Palveluissa kannattaa ehdottomasti ottaa käyttöön kaksivaiheinen varmistus, jolloin joudut vahvistamaan jokaisen kirjautumisen, jonka teet oman laitteesi ulkopuolella. Ja saat myös varoitukset, jos joku onnistuu kirjautumaan tilillesi muualta kuin omalta koneeltasi. Kaksivaiheisen varmistuksen saa ainakin kaikkiin suosituimpiin palveluihin (Google, Facebook, Microsoft…). Lisäksi kannattaa varmistaa, että käyttämäsi kuvanjakopalvelu poistaa paikannustiedot kuvistasi.

Mutta kaikista paras tapa suojautua voi lopulta olla kuitenkin se, että jaat itsestäsi niin paljon kuin mahdollista. Kun kaikki tieto on jo tarjolla, ei ketään kiinnosta kaivaa sitä lisää. Kaikista helpoin tapa tehdä itsestään kiinnostava on antaa ymmärtää, että sinulla on jotain salattavaa. Tai sitten voi tehdä, kuten Petteri Järvinen ehdottaa ja kääriä puhelimen folioon. Ihan oma valintasi.



Ei kommentteja:

Lähetä kommentti