Löysikö suomalaisopiskelija Bloggerista tietoturva-aukon, vahingossa?

Sain juuri kuulla ns. kulissien takaa,  miksi Googlen Blogger-blogipalvelu on ollut viimeisen vuorokauden sekaisin. Sain asiaan liittyvän sähköpostiketjun ja luvan kertoa tästä ilman nimiä. Kerron aluksi, mitä tapahtui, ja lopussa hiukan yhteenvetoa ja pohdintaa.

Eräs blogin pitäjä kertoo asian näin:

Olin laittanut blogistani vihjeen joukolle entisiä opiskelijoitani. Eräs heistä oli halunnut ilmoittautua lukijaksi ja ilmeisesti tehnyt jotain outoa…päässyt kirjautumaan ikään kuin minuna bloggeriin ja sillä seurauksella, että ikään kuin ”kaapasi” blogini omakseen.

Pääsen tarkastelemaan esikatselua, jossa blogi on OK-näköinen, mutta kun koetan mennä tarkastelemaan varsinaista bloginäkymää (jonka siis pitäisi näkyä kaikille), siellä kehutaan, että ao. blogia ei oo olemassa.

Kyseinen opiskelija kertoo itse tapauksesta näin:

Olen nyt onnistunut kaksi tuntia sitten kaatamaan yhden suurimmista ohjelmistoista.. löytänyt ns. pubin. Sen ei pitäisi olla mahdollista. Koko blogger on ajattu alas. Minä väännän täällä itkua ja olen todella pahoillani, toivottavasti eivät ole poliisit kohta ovella… Kunpa tämä selviäisi onnellisesti. Anteeksi kamalasti!!! Hirvittävästi anteeksi. Minä en uskalla enää koskea koneeseen.

Mutta aina oppii jotakin, eli näin kaapataan (vahingossa) blogi: kirjaudutaan käyttäjäksi ja huomataan, että ollaan luomassa myös omaa blogia (pitäähän uusia käyttäjiä saada), painetaan vain jatka-näppäintä, niin tekevät kaikki blondit, kunnes kysytään blogin osoitetta. Siihen pitää kirjoittaa sen blogin https-osoite, minkä haluat varastaa (tai kuten minä, päästä lukemaan!)

Eli kyseessä oli käyttäjän kannalta puhdas vahinko. Se, mitkä seikat loppujen lopuksi mahdollistivat toisen blogin kaappaamisen, on vain tämän kertoman perusteella epäselvää. Jotenkin yllä oleva vaikuttaa vähän liian helpolta – myös sattumalla (sessionit, selain, palvelimen tila ko. hetkellä yms.) lienee sormensa pelissä mukana. On  mahdollista, että kyseinen bugi on ilmaantunut viimeisen Bloggerin päivityksen myötä, kuten annetaan ymmärtää heidän tiedotteessaan. Toinen vaihtoehto on, että tietoturva-aukko on ollut olemassa kaikki nämä vuodet – ja mahdollisesti sitä on voitu myös käyttää toisten blogien kaappaamiseen. Jos näin on, niin Bloggerin olisi syytä palkita tämä  suomalaisopiskelija aukon paljastamisesta.

Kaapatun blogin kirjoittaja tuo esille saman suuntaisen näkökulmansa näin:

Tää on upeaa! Siis, että osoitetaan näiden järjestelmien häiriintyvyys näin. Tästä pitäis ottaa kaikki hyöty irti, eli mietin juuri, että mihin otettaisi yhteyttä. ?

Yksi julkaisukanava olin siis minä ja tämä blogi.

Johtopäätöksiä

Bloggeria on pidetty turvallisena palveluna, mutta taas nähtiin, että tietoturva on kunnossa vain siihen asti, että aukot löytyvät. Nyrkkisääntö on ollut, että isoihin palveluihin voi luottaa muita paremmin, mutta tämä ja esim. Facebookin jatkuvat vuodot ovat osoittaneet, että näin ei todellakaan ole.  Sosiaalisen median palveluissa on aina mahdollisuus tietojen vuotamiselle, joka jo lähtökohtaisesti pitää ottaa huomioon. Tästä tulee myös mieleen aiempi kirjoitukseni siitä, mitä tietoja lapsista uskaltaa laittaa nettiin.

On perusteltua kysyä, onko samanlaisia aukkoja Google Docsissa, Picasassa, Gmailissa ja muidenkin yritysten palveluissa? Vastaus on, että todennäköisesti kyllä, mutta ne eivät ole tulleet vielä esiin. Joku voisi sarkastisesti huomauttaa, että sosiaalinen media on todellakin omiaan lisäämään avoimuutta ja läpinäkyvyyttä. No, uhkakuviin nähden näitä tapauksia tulee kuitenkin yllättävän vähän vastaan.

P.S. Omasta puolestani varaudun pahimpaan sillä, että otan blogistani varmuuskopion talteen ja uudestaan aina välillä.

P.P.S. Taas yksi syy lisää suositella Bloggerin sijasta WordPress-blogia. Hyvä työkalu www-sivustojen varmuuskopiointiin on HTTrack Website Copier.