Foodora paljasti lähettiensä henkilötietoja − paikkatiedot vuotavat edelleen

Kuten tiedämme, foodora.fi-verkkopalvelun kautta on mahdollista tilata ruokaa ravintoloista kotiinkuljetettuna. Tilauksen toimittaa ravintolasta riippuen joko ravintola itse tai Foodoran ruokalähettikumppani. Kun verkkopalvelun käyttäjä on tehnyt tilauksensa, siirtyy hän tilauksen seurantasivulle, jossa esitetään tilauksen perustiedot, tila sekä arvioitu toimitusaika. Kun tilauksen toimittaa lähettikumppani, näytetään lisäksi lähetin sijainti kartalla silloin, kun tilauksen tehnyt käyttäjä on lähetin seuraava kohde.

Eräänä heinäkuisena iltana Foodorasta ruokaa tilatessani painoin uteliaisuudesta selaimen kehittäjätyökalujen HTTP-kyselytyökalun auki nähdäkseni, miten tämä tilatiedon päivittäminen selaimeen tapahtuu. Kävi ilmi, että tilauksen tiedot päivitetään tilausseurantasivulle ajoittain tehtävällä asynkronisella HTTP-kyselyllä, johon palvelin vastaa JSON:ia.

JSON-vastauksessa tietoja oli kuitenkin paljon enemmän kuin mitä tilasivulla itsessään näytetään.  Osa näistä tiedoista oli tylsiä ”teknisiä tietoja”, mutta joukossa oli myös sellaista, jota minun ei ruokatilauksen tekijänä pitäisi nähdä.

Jatka lukemista >>

Mennyttä ja tulevaa, osa 2017

Blogini päivitystahti on näemmä nykyään vakiintunut tähän postaus per vuosi -tahtiin, sillä vaikka tänä vuonna hyviä kirjoittelun aiheita olisi ollut viime vuotta enemmän, en kaikilta kiireiltäni ole ehtinyt kirjoittaa näistä pitkiä pätkiä. Jos kaipaat tiuhempaa tahtia, kannattaa meikäläistä seurata Twitterin puolella. Tässä postauksessa kuitenkin tutulla kaavalla vuoden 2017 kohokohdat.

Jatka lukemista >>

Mitä tehdä toiselle tarkoitetulle sähköpostille?

Saan vä­lil­lä säh­kö­pos­tia, jo­ka ei ole tar­koi­tet­tu mi­nul­le. Mi­tä vies­teil­le saa ja pi­täi­si teh­dä? La­ki­kir­jas­ta apua ei ai­na­kaan löy­dy.

Kuva: RaHuL Rodriguez: Buenas noticias – email marketing. c ba 2.0

Saan joka päivä paljon sähköpostia kolmelle sähköpostitililleni: opiskelu- ja työsähköposteja jyu.fi-osoitteeseeni, mainoksia ja muita vähemmän tärkeitä viestejä GMailiin, ja kaiken muun omaan1 KServer-sähköpostiin. Näistä jälkimmäinen kerää kaikki kserver.dy.fi-, itq.fi– ja kingi89.fi-domaineille lähetetyt viestit @-merkkiä edeltävästä osasta2 riippumatta.

Catch-all -osoite on kätevä paristakin syystä. Ensinnäkin voin ”luoda” itselleni uusia, toimivia, sähköpostiosoitteita yksinkertaisesti keksimällä paikallisen osan päästäni. Tämän lisäksi vakioituihin rooliosoitteisiin (kuten abuse@… tai hostmaster@…) lähetetyt viestit napsuvat samaan, seuraamaani, postilaatikkoon.

Täysin vailla vaikeuksia ei tällainen kikkailu ole: yleensä suurin murhe on lisääntynyt roskaposti − tyhmempikin roskapostittaja osaa pommittaa satunnaisia osoitteita − mutta Googlen spämmifiltterien teho on mielestäni ollut riittävä, enkä siis itse ole toistaiseksi hukkunut Viagra-tarjouksiin.

Yksityisyydestä ja viestinnänsuojasta välittävänä ihmisenä minua vaivaa enemmänkin sähköpostiviestit, joita ei ole tarkoitettu minulle vaan jollekin aivan muulle. Tämä ongelma on itselleni kiusallinen ja todellinen: saan kuukausittain viestejä, joiden sisällöstä käy äkkiä ilmi, että viesti ei kuulu minulle. Tässä vaiheessa tietenkin lopetan viestin lukemisen.

Avattuani viestin vahinko − viestisalaisuuden rikkoutuminen − on jo kuitenkin tapahtunut, eikä kumoaminen onnistu Ctrl+Z:aa3 painamalla. Sitten seuraa moraalia ja oikeudentajua koetteleva ongelma: mitä tehdä viestille? Pitäisikö se poistaa? Vastata lähettäjälle ja kertoa tilanteesta? Uudelleenohjata tarkoitetulle vastaanottajalle? Soittaa poliisille tai palokunnalle? Vai olla tekemättä yhtään mitään ja jatkaa elämää kuin mitään ei olisi tapahtunut?

Oikeaa vastausta − jos sellaista onkaan − en tiedä, mutta lähtekäämme liikkeelle vaikkapa Suomen perustuslain kymmenennen pykälän toisesta momentista:

Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on loukkaamaton.

Rangaistus viestisalaisuuden loukkaamisesta löytyy puolestaan Rikoslaista (38 luku 3 §):

Joka oikeudettomasti
1) avaa toiselle osoitetun kirjeen tai muun suljetun
viestin taikka suojauksen murtaen hankkii tiedon sähköisesti tai muulla
vastaavalla teknisellä keinolla tallennetusta, ulkopuoliselta suojatusta
viestistä taikka
2) hankkii tiedon televerkossa välitettävänä olevan
puhelun, sähkeen, tekstin-, kuvan- tai datasiirron taikka muun vastaavan
televiestin sisällöstä taikka tällaisen viestin lähettämisestä tai
vastaanottamisesta,
on tuomittava viestintäsalaisuuden loukkauksesta sakkoon tai vankeuteen enintään yhdeksi vuodeksi.
Yritys on rangaistava.

Okei, ehkä itsensä ilmiantaminen poliisille olisikin the right thing to do, mutta vuoden vankilareissu kerran kuussa sopii aikatauluuni hieman huonosti. Toisaalta oikeudettomuuden ja toiselle osoittamisen osalta kriteerien täyttyminen on vähintäänkin kyseenalaista4. Sähköisen viestinnän tietosuojalaki (2 luku, 5 §, 1 mom.) sanoo lisäksi näin:

Se, joka on ottanut vastaan tai muutoin saanut tiedon
luottamuksellisesta viestistä tai tunnistamistiedosta, jota ei ole
hänelle tarkoitettu, ei saa ilman viestinnän osapuolen suostumusta
ilmaista tai käyttää hyväksi viestin sisältöä, tunnistamistietoa tai
tietoa viestin olemassaolosta, ellei laissa toisin säädetä.

Edellä mainitun puolesta helpointa ja turvallisinta olisi jättää viesti tyystin huomiotta, mutta ainakin omasta mielestäni mitääntekemättömyys on ikävä vaihtoehto: tällöin tarkoitettu vastaanottaja ei saa koskaan viestiään, ja lähettäjä saattaa jäädä siihen luuloon, että mahdollisesti tärkeäkin viesti on tavoittanut kohteensa.

Tarkoitettu vastaanottaja olisi yleensä melko yksiselitteisesti määritettävissä, sillä noin yhdeksän viestiä kymmenestä on tarkoitettu erään organisaation5, jonka verkkotunnus muistuttaa omaani, jollekulle jäsenelle. On kuitenkin mahdollista, että arvaukseni osuu väärään, ja viesti päätyy jälleen väärään osoitteeseen. Riskien välttämiseksi tarkoitettua vastaanottajaa ei siis voi asiasta tiedottaa.

Viestin lähettäjä on varmuudella6 oikein, joten hänelle tieto viestin päätymisestä väärään osoitteeseen on toimitettavissa. Vai onko? Jos Sähköisen viestinnän tietosuojalakia tulkitaan kuin Piru Raamattua7, voidaan tulla siihen lopputulokseen, etten voi kertoa edes viestin lähettäjälle hänen virheestään ennen kuin saan hänen lupansa. Muna-vai-kana -ongelma on valmis.

Olen toistaiseksi toiminut tällaissa tilanteissa pienimmän pahan periaatteella: varsinaista viestiä mitenkään yksilöimättä olen ottanut yhteyttä lähettäjään seuraavanlaisella viestillä:

Vastaanotin sähköpostitse lähettämänne viestin, jota ette olleet
tarkoittaneet minulle, sillä olitte syöttäneet kyseiseen viestiin
vastaanottajan osoitetiedon virheellisesti. Virheenne johdosta tämä
yksityinen viestinne on päätynyt tietooni, ja sen luottamuksellisuus on
näin ollen vaarantunut.

Kehotan teitä ottamaan välittömästi yhteyttä tarkoittamaanne
vastaanottajaan, ja ilmoittamaan hänelle tästä ongelmasta.

Viestissä tarjoan myös mahdollisuuden pyytää yksilöintitietoja viestistä − sellaisten antaminenhan on lähettäjän luvalla sallittua − kirjallisen lomakkeen kautta. Jos lähettäjä ei kerro kaipaavansa tietoja, poistan viestin sähköpostilaatikostani8.

Toistaiseksi yksikään lähettäjä ei ole tarjoukseen tarttunut. Pelkään tämän tarkoittavan myös sitä, ettei mihinkään muihinkaan toimenpiteisiin, varsinkaan tarkoitetun vastaanottajan varoittamiseen tilanteesta, ole ryhdytty. Näen kuitenkin asian olevan pois omista käsistäni, ja nukun kyllä yöni hyvin.

Lain näkökulmasta on epäselvää, onko toimintani oikein. Pidän kuitenkin, kuten sanoin, tärkeämpänä ja moraalisesti oikeampana ongelmasta kertomista kuin lain pilkuntarkkaa seuraamista. Arkaluonteisen viestin luottamuksellisuutta en voi kuitenkaan millään teoin palauttaa9, vaikka viestin sisällön pidänkin visusti salassa − se on lupaus!


1) Oikeastaan tämäkin on Googlen tarjoamalla alustalla.
2) Viralliselta nimeltään local part, paikallinen osa.
3) Lausutaan ”kontroltset|aa”, jos päätteen muoto kummastuttaa.
4) En ole asianajaja, katso disclaimeri alta.
5) Kyseinen organisaatio jääköön nimettömäksi. Heille ongelma on yleisellä tasolla kyllä tehty äärimmäisen selväksi, mutta he eivät ole halunneet siihen reagoida mitenkään.
6) Okei, onhan tuokin väärennettävissä, mutta silloin saa lähettäjä kyllä puolestani kärsiä.
7) Ja näinhän Suomessa yleensä vähänkin Internetiä liippaavissa oikeudenkäynneissä juuri tehdään.
8) Viesti ei tietenkään lopullisesti katoa mihinkään ainakaan heti, mutta onpahan ainakin minun saavuttamattomissani.
9) Ainakaan ennen kuin täsmämuistintyhjennyspillerit keksitään.

Disclaimer: En ole juristi enkä muutenkaan lainoppinut, eikä näitä sepustuksia kannata ottaa oikeudellisina neuvoina. Toisin sanoen virheet ovat mahdollisia, ja lakia tulkitaan viime kädessä oikeudessa.

Mitä Heartbleed tarkoittaa netinkäyttäjälle

Lu­ke­mat­to­mat verk­ko­pal­ve­lut − niin isot kuin pie­net − ovat ol­leet alt­tii­na mm. käyt­tä­jien tie­to­jen vien­ni­lle Heart­bleed-ni­mi­sen tie­to­tur­va-au­kon ta­kia. Ne­tin­se­laa­jan­kin täy­tyy ryh­tyä ko­viin toi­men­pi­tei­siin.

Kuva: Heartbleed logo, CC0

Viime päivät ovat olleet verkkopalvelujen pyörittäjille vaikeita. Mylläkkä sai alkunsa, kun Googlen turvallisuusyksikössä työskentelevä Neel Mehta huomasi, ettei verkkoliikenteen salauksessa usein käytetty OpenSSL-ohjelmistokirjasto toimii pahasti väärin: pahantahtoinen käyttäjä voisi laatia kyselyn, jolla saisi palvelimen lähettämään hänelle ohjelmiston muistista dataa, esimerkiksi yksityisiä viestejä ja salasanoja. Haavoittuvuus sai kutsumanimekseen Heartbleed, sydänvuoto.

IT-piireissä uutinen levisi kulovalkean tavoin, ja järjestelmänvalvojat kiirehtivät paikkaamaan ohjelmistojaan. Harmi vain, että vahinko oli jo ehtinyt tapahtua: pahimmassa tapauksessa noin 80 prosenttia verkkopalveluista on ollut haavoittuvaisia viimeiset pari vuotta. Sitä, kuinka monesta palvelusta on tietoja viety, ei tiedä kukaan.

Näin äkkiseltään ei tule mieleen pahempaa tietoturva-aukkoa: voidaan sanoa, että Heartbleed-haavoittuvuus koskee jok’ikistä Internetin käyttäjää. Pahimmassa tapauksessa siis kaikkien Internet-käyttäjien tietoja on viety. Tilanne on paha ennen kaikkea käyttäjien kannalta, joten toimettomaksi ei kannata jäädä.

Heartbleed-haavoittuvuuden toimintatapa

Johtuen ohjelmointivirheestä OpenSSL-kirjastossa, voi tietynlaisella pyynnöllä saada kirjaston lukemaan muistiaan vastaukselle varatun tilan yli, ja lähettämään tuon datan paluupostissa. Vastaukselle varatun muistitilan jälkeen ohjelman muistissa voi olla mitä tahansa, ja tuota ”mitä tahansa” voidaan pyytää jopa 64 kilotavua. Hyökkääjä voi lähettää pyyntöjä yhä uudelleen ja uudelleen, saaden aina uuden siivun muistia tutkittavakseen.

Ohjelman muistissa voi olla esimerkiksi itse salaukseen käytetty yksityinen avain tai käyttäjien salasanoja, mutta myös mitä tahansa muuta. Hyökkäyksestä ei tyypillisesti jää uhripalvelimeen mitään jälkiä, joten jälkikäteen ei voida sanoa, onko palvelua vastaan hyökätty vai ei. Tietoturva-asioissa kannattaa kuitenkin lähteä pahimmasta mahdollisesta tilanteesta, eli olettaa kaiken arkaluonteisen olevan hyökkääjän tiedossa.

Haavoittuvuuden aiheuttanut OpenSSL:n ohjelmointivirhe on sittemmin korjattu, ja kaikki valveutuneet verkkopalvelujen ylläpitäjät ovat asentaneet korjauspäivityksen. Enää tietojen vienti ei siis enää ole mahdollista. Sen sijaan jo viedyt tiedot on menetetty, eikä verkkoliikenteen salauskaan ole luotettavaa, ennen kuin palvelu vaihtaa salausavaimensa.

Haavoittuvuudesta kärsineet palvelut

Kirjoitushetkellä varsin harva palvelu on julkisesti kertonut, koskettaako haavoittuvuus sitä. Tämä voi johtua muun muassa seuraavista:

  • Palvelu ei käyttänyt haavoittuvaista versiota, eikä näin näe tarvetta tiedottaa käyttäjiään.
  • Palvelun tuottaja ei tiedä, koskettaako haavoittuvuus heitä.
  • Palvelun tuottaja tietää, että palvelu on (ollut) haavoittuvainen, muttei halua tiedottaa käyttäjiään.

Esimerkiksi Mashable on koonnut luetteloa palveluista, jotka ovat varmuudella olleet uhattuna. Listalla ovat mm. Pinterest, Tumblr, Google ja Yahoo.

Uskon, että monet edellä mainittuja pienemmät toimijat (mm. kotimaiset verkkokaupat, yliopistot, hosting-yritykset…) ovat niin ikään käyttäneet reikäistä OpenSSL-versiota.

Ohjeita käyttäjälle (eli kaikille)

Kannattaa seurata sähköpostia ja verkkosivujen tiedotteita, ja vaihtaa salasana heti, jos verkkopalvelun ylläpito niin suosittelee. Verkkokauppojen asiakkaiden kannattaa myös seurata tiliotteitaan, ja mitätöidä maksukortti, jos outoja maksutapahtumia ilmestyy.

Salasanaansa ei kannata vielä vaihtaa joka paikkaan, sillä kaikki palvelut eivät vielä ole päivittäneet ohjelmistojaan − muuten riskinä on, että uusikin salasana joutuu ulkopuolisten käsiin. Jos verkkopalvelu ei aiemmin pyydä niin tekemään, suosittelen vaihtamaan kaikkien verkkopalvelujen salasanat huhtikuun viimeisellä viikolla.

Mitään sellaista verkkopalvelua2 ei pidä käyttää, jolle seuraavat kriteerit täyttyvät:

  • palvelu vaatii käyttäjätunnuksen tai muun tunnistautumisen, ja
  • palvelu on ollut haavoittuvainen tai haavoittuvaisuustilanne ei ole tiedossa, ja
  • palvelun varmenne1 on julkaistu aiemmin kuin 9.4.2014.

Palvelua voi käyttää, kun varmenne on korvattu uudella. Tällöin kannattaa ensi töikseen vaihtaa salasanansa. Sanomattakin lie selvää, ettei samaa salasanaa kannata käyttää eri paikoissa.


1) Varmenteen tietoja pääsee useimmissa selaimissa katsomaan klikkaamalla salauksesta kertovaa lukonkuvaa ja sitten sopivia painikkeita painelemalla.
2) Joo, netin käytöstä tuli juuri aika paljon ikävämpää. Tai sitten vetelet riskillä ja toivot parasta.