Miért pont Facebook? 

 

Minden olyan webes szolgáltatásnál, ahol extrém nagy mennyiségű felhasználói információ koncentrálódik, mindenképpen érdemes megvizsgálni azt, hogy az adott szolgáltatás alkalmas-e arra, hogy megvédje felhasználóit adatainak illetéktelen felhasználásától illetve a felhasználót önmagától [l. alább]. Szinte magától adódik tehát a kérdés, hogy mekkora kockázat leselkedik a FB-felhasználókra például az adatbárókkal, újságok informátoraival, ipari kémekkel vagy bármilyen más támadóval szemben, ha eltekintünk a bugoktól és csupán a legális felhasználás adta lehetőségeket nézzük. 

 

A Facebook biztonságpolitikájából adódóan – a policy-t egyébként pont nyáron gondolta újra a webes óriás – gyakorlatilag mindenki alapértelmezett beállítások mellett használtja a Facebook-ot, ami sokkal többet árul el a felhasználóról, mint amennyit feltehetően ő meg szeretne osztani a büdös nagy nyilvánossággal. Itt most csak azokra az opciókra térek ki, amiket különösen aggályosnak találtam. 

 

A Privacy panel, Search alapértelmezése szerint a mindenki számára kereshető felhasználónak idegenként látható a profilképe, teljes ismerősi összetétele, valamint az, hogy milyen rajongói lapokat helyezett el adatlapján. Nos, idegenek számára az ismerősöket láthatóan hagyni nem csak fölösleges, de igen kockázatos is, hiszen se szeri, se száma az ezt kihasználó social engineering módszereknek. Ilyen például az az unalomig ismételt, ámbár örökzöld eset, amikor a támadó egy kamu profil létrehozását követően felveheti olyan valakinek az identitását, akiről a többiek már elhiszik, hogy a célszemélyhez ténylegesen közel álló figuráról van szó, majd ezt használja ki. Kevésbé ködösen – ha valaki egy jól kialakított fake-profil mögül megkérdezi egy újságíró/politikus/felsővezető privát mobilszámát egy "közös ismerősüktől" arra hivatkozva, hogy elhagyta a telefonját, ugyanakkor sürgősen szeretné elérni az áldozatot, közel 100%, hogy ezt az adatot a naiv júzer ki is adja, ahogy azt korábban már más mérésekkel igazolták! A Pages I am a fan of opció első blikkre kevésbé tűnik rizikósnak, viszont szükségtelen egy kívülállónak tudnia, hogy egy júzer, aki nincs az ismerősei közt, hol is fan, hiszen következtethetni lehet belőle fogyasztási szokásokra, vallási hovatartozásra, érdeklődési körre és egyáltalán bármire, amivel kapcsolatban FB-lap hozható létre. 

 

 AJÁNLOTT BEÁLLíTÁS ITT

 

A News Feed and Wall privacy beállításainál a helyzet még katasztrofálisabb, alapértelmezés szerint ugyanis a felhasználó összes mozzanatát küldi a júzer Wall-jára, ami bizonyos esetekben nem csak a saját ismerősei számára látható, hanem az ismerősei ÉS nagyon sokszor annak ismerősei számára is, ami potenciálisan több tízezer felhasználót jelent! Azaz például ha Pistike, - akihez semmi közöm - dobja az asszonyt, barátságot köt valakivel, új fotót tolt fel, ír valamelyik discussion board-ra, kommentel egy videót vagy fotót, azt még nem látom, hiszen teljesen idegen számomra. Viszont ha Pistike valamelyik aktivitására egy közös ismerősünk reagál, azaz vagy kommenteli, like-olja, stb. az aktivitással kapcsolatos tartalom számomra is látható lesz, holott semmi közöm a harmadik félhez. Pistike, mint a harmadik fél által megosztott információ tehát a tudta és határozott döntése ellenére jut el hozzám. Az alapgondolattal, ami szerint a FB hozza minél közelebb egymáshoz a közösségeket az éterben, nem is lenne semmi baj, ha a Facebook nem keltené azt a téves benyomást, hogy a felhasználó megosztásai csak az ismerősök számára látható, a megosztások és aktivitások láthatósága pedig egyszerűen és átláthatóan beállítható. 

 

 

 AJÁNLOTT BEÁLLíTÁS ITT

 

A Profile privacy bizarrba illő alapbeállításai közt a mobilszámon kívül minden megadott adat látható az ismerősök és az ismerőseik számára is, ami, ahogy korábban írtam – tipikusan  több tízezer júzert is jelent. Legalábbis sokáig így volt. A nyáron újragondolt FB-biztonságpolitika ilyet már nem tesz lehetővé, sőt, nem csak a frissen regisztrált felhasználóknál, tudomásom szerint a meglévő felhasználóknál is automatikusan módosították mindenkinél ezeket az alapértékeket úgy, hogy ezeket csak a közvetlen ismerősök láthassák. A régi beállítás lehetővé tette, hogy a teljes adatlapok láthassa harmadik fél, aki a felhasználóval egy hálózatba tartozik. 

 

 

 

 

 

 

 

 

Ami talán a leginkább aggodalomra adhat okot, a FB kisalkalmazásokkal kapcsolatos beállítása. Mogyoróhéjban arról van szó, hogy ha egy ismerős olyan appletet használ, aminek a működéséhez fel kell használnia a felhasználó ismerőseinek adatait [pl. ki a legjobb barátod kvíz], akkor átgondolatlan beállítás mellett az applet nem csak az appletet használó ismerősnek a megosztásaihoz, hanem a hülye júzer ismerőseinek tartalmaihoz is hozzáférhet [sokszor kérdés nélkül, szinte mindenhez], feltéve, ha ezt a szóban forgó egyszeri júzer ismerősei nem tiltották le! Na már most szép számmal léteznek olyan harmadik fél által feltöltött alkalmazások, amik alkalmasak lehetnek arra, hogy a felhasználók minden kinyert adatát egy Seychelle-szigeteken zakatoló szerver adatbázisába továbbítsa. Még egyszer: összesen egy mindenre kattintó naiv felhasználó elég az ismeretségi körödből, aki ráadásul lehet nem létező személy is! Ugyanakkor az alkalmazások előtt egy az egyben elzárni a csapot szintén nem szerencsés, hiszen több olyan hírről is lemaradhatunk, amit applet küld a falra, ezen kívül néha jól esik röhögni rajta, hogy egyik-másik felhasználó milyen alkalmazásokat használ. [Ezeken mindenki röhög, csak éppen senki sem vállalja :- )] Megoldásként érdemes az összes jelölőnégyzetet kiszedni. Alapértelmezés szerint a Facebook-on kívüli platformok is hozzáférhetnek a Facebook által tárolt adatokhoz, így súlyos tévedés lenne azt gondolni, hogy ami a Facebook-on van, az csak a Facebook-on látható. Megoldásként letiltható, hogy más helyek hozzáférhessenek a profiladatokhoz. Eddig nem írtam ugyan, de érdemes észrevenni, hogy a jelenség kicsit hasonlít ahhoz, hogy a Facebook az általános keresőmotorok számára nyitott könyv, hacsak adatlapunk indexelése nincs letiltva a Keresés-nél. 

 

 

 

 

 

 

 

AJÁNLOTT BEÁLLíTÁS ITT VALAMINT ITT 

 

Az egyik legelképesztőbb bakit a végére hagytam. Ha valaki egyáltalán nem használ egyéb kisalkalmazásokat, a rendszer alapszolgáltatásokat nyújtó alkalmazásait [Events, Gifts, Groups, Links, Notes, Photos] mégsem szabad figyelmen kívül hagyni, mint a FB API hátán zakatoló elemeket. Ugyanis ezeknek az alap feature-öknek az alapbeállítása a mai napig az, hogy a felhasználó alkalmazásbeli aktivitása kis kitérővel minden más felhasználó számára is látható! Konkrétabban, ha például valaki megjelöli Pistikét egy képen, nekem pedig van olyan ismerősöm, akinek az albumjai közt ott van Pistike taggelve, én ezt meg tudom nézni, holott Pistikéhez semmi közöm. Szintén ebből a beállításból állhat elő az az eset, hogy egy ismerős Pistike képét kommenteli, akkor a frissen kommentelt hivatkozásra kattintva Pistike teljes albumát láthatom, amihez a komment íródott. Az, hogy ezt szinte senki sem állítja át, arra enged következtetni, hogy a felhasználók döntő része ebbe egyszerűen nem gondol bele, mert esetleg úgy gondolja, hogy mindenki csak olyan albumot tud megnézni, amihez köze van, azaz vagy a sajátja, vagy ahol taggelve van vagy egy ismerőse albuma. Holott legrosszabb forgatókönyv szerint roppant mód meg lehet kavarni a szart azzal, ha valaki egy éjszaka nekiáll fotókat feltölteni és taggelgetni elővigyázatlan felhasználókat. Így a taggelést is mindenképp érdemes az ismerőseink körére korlátozni a képek láthatóságával együtt. 

 

 

 

 

 

A szintén alap feautre-ök közé tartozó Csoportok appletben még csak közös ismerős adatlapján kattintani vagy abszolút URL-t megadni sem szükséges, a csoport megtalálása után látható a csoport összes tagja és csoportbeli aktivitásuk, amiből sokszor következtetni lehet a felhasználók vallási hovatartozására, szexuális orientációjára, szórakozási és fogyasztási szokásaikra, politikai álláspontjukra, ami persze ismétcsak egy az egyben exportálható a Facebook rendszeréből az utókor számára. A Csoportok ráadásul annyival rizikósabb az Oldalaknál, hogy pillanatok alatt létre lehet hozni és lehet is használni az összes rajta keresztül elérhető szolgáltatást. 

 

 

Az alap feature-ökkel kapcsolatban ne felejtsük el, hogy a hozzájuk tartozó aktivitás megjelenik a Wall-on is, ami a jól kiszámítható felhasználói viselkedést még követhetőbbé teszi. 

 

 

Ha már a felhasználói magatartásról van szó, talán a FB-n kevésbé divat az esztelen ismerős-gyűjtögetés, viszont sokan még mindig nem eléggé karakának ahhoz, hogy ha olyan jelöli ismerősnek őket, akiről nem tudják azonnal, hogy ki is, kérdés nélkül utasítsák el a picsába. Bocs a nyelvezetért, de tényleg. Így fordulhatott elő, hogy a napokba megjelent legújabb kamucsaj,  akinek a tulajdonosa és célja tisztázatlan, nem csak hogy bespajzolt 4-5 ismerősömmel, de szerencsétlen módon a Puruttya blogon kiírt támadás sem sikerült, mert senki sem tudott utólag az ismerősei közé férkőzni, én meg nem voltam eléggé átgondolt ahhoz, hogy amikor ismerősnek jelölt, visszaigazoljam, feltöltsek a falára néhány száz hugyos-szaros képet, taggeljem-kommenteljem pár tucat helyen, aztán pedig töröljem. 

 

Egy szó, mint száz, sokadszorra ismétlen önmagam, ha azt írom, hogy az internetes szólásszabadság - ideértve a web 2.0 szolgáltatásait – súlyosan megbosszulhatja önmagát, ha abba a felhasználók továbbra sem szocializálódnak bele. Erre most egyszerű példaként hozhatnám a Subba, az Agyiszint vagy a Puruttya Pózolj felületekeit, ahol roppant mód meg tudnak sértődni a felhasználók a sunás-segges-rajos képüket viszontlátva vagy linkelve, holott ők maguk töltötték fel. Tehát a tudatos privacy-kialakítás minden eddiginél fontosabbá fog válni. Jó reggelt, ez itt az internet! 

 

Konkrétan screenshotoltam a szerintem megfelelő beállításokat, ami ide kattintva elérhető.