Yksityisyys uhattuna



Javascript on mainio apuväline web-sivujen elävöittämiseen, mutta se on tuonut mukanaan myös turvallisuusongelmia.


CERT suositteli heinäkuussa web-käyttäjille ongelmallisten selainten päivitystä tai Javascriptin ottamista pois käytöstä. Selainten uudet korjatut versiot ovat onneksi jo saatavilla.

Javaa ja Javascriptia on moni web-suunnittelija tervehtinyt ilolla, koska ne tarjoavat mahdollisuuden elävöittää muuten varsin staattisia web-sivuja. Mutta samalla on herännyt suuria epäilyksiä niiden turvallisuudesta.

Jo pelkkä ajatus verkosta huomaamatta tulevasta ohjelmasta, joka sitten käynnistyy käyttäjän koneessa tehden kaikenlaista vekkulia web-sivulla, saa jokaisen ajattelevan ihmisen kohottamaan kulmakarvojaan. Entäs jos latautuva ohjelma onkin virus tai jotakin muuta kauheaa?

Javascriptin turvallisuusongelma

Netscapen kehittämä Javascript on yksinkertainen kieli, jolla kirjoitetaan Javascript-ohjelmia suoraan html-sivulle. Selain lukee html-sivulla olevan Javascript-ohjelman ja suorittaa sen. Javascriptiä ei pidä sekoittaa Javaan, joka on Sun Microsystemsin kehittämä ohjelmointikieli, jolla voidaan tehdä käyttöjärjestelmästä riippumattomia Java-ohjelmia, esimerkiksi webissä paljon käytettyjä Java-appletteja.

Javascript-ohjelmia käytetään yleensä vuorovaikutteisuuden aikaansaamiseen käyttäjän kanssa ja välittämään tietoja selaimen ja web-palvelimen välillä. Javascript-ohjelmat suoritetaan ainoastaan sen html-sivun puitteissa, johon ohjelma on kirjoitettu, ja ne pääsevät käsiksi selaimen muihin resursseihin vain rajoitetusti. Tai ainakin näin on suunniteltu, mutta rajoitukset eivät toimikaan kaikissa selaimissa.

Ohjelma on ohjelmalle susi

Bell Laboratories raportoi alkukesästä Javascriptissä havaitsemastaan vakavasta turvallisuusongelmasta. Javascriptillä on mahdollista tehdä web-sivu, jonka avulla käyttäjän toimintaa voidaan seurata.

Käyttäjän koneelle saavuttuaan paha sivu avaa toisen hyvin pienen selainikkunan, jota käyttäjän on vaikea tai lähes mahdoton havaita. Sitten tämä uusi ikkuna alkaa seurata käyttäjän selaimen toimintaa ja lähettää käyttäjän huomaamatta tiedot takaisin pahalle palvelimelle.

Kun käyttäjä poistuu pahan sivun lähettäneestä web-paikasta, jatkaa salainen sivu elämäänsä. Mihin menetkin verkossa, se tulee pahan palvelimen tietoon. Pahinta on, että palomuuristakaan ei ole apua, jos se vain sallii Javascriptin käytön, eivätkä myöskään turvallisen http-palvelimen sivut ole turvassa.

Tälläisen pahan web-sivun avulla saa paha palvelin tietoonsa käyttäjän lukemien muiden web-sivujen url-osoitteet, käyttäjän html-kaavakkeisiin kirjoittamat tiedot (mukaanlukien tunnussanat) sekä cookie-tiedot.

Kuulostaa kauhealta, mutta Microsoftin mukaan on kuitenkin tosiasiassa hyvin vaikeaa täydellisesti piilottaa toista selaimen ikkunaa, joka luultavasti paljastuisi viimeistään silloin, kun käyttäjä sulkee muut ikkunat. Myöskään mistään väärinkäytöksistä eivät Microsoft ja Netscape ilmoita kuulleensa.

Pahan sivun toiminta rajoittuu selaimen tietojen urkintaan. Se ei esimerkiksi kykene imuroimaan tai tuhoamaan tiedostoja käyttäjän kovalevyltä.

Kaikki selaimet eivät ole uhattuina

Microsoftin selaimista ovat uhattuina Win95:ssä ja NT 4.0:ssä toimivat InternetExplorer 3.x ja InternetExplorer 4 preview 1.

Win 3.1:ssä, NT 3.51:ssä tai MacIntoshissa toimivat Microsoftin selaimet eivät ole vaarassa, eikä myöskään uusi InternetExplorer 4.

Netscapen selaimista ongelma esiintyi Navigator 2.0:ssa, Navigator 3.0:ssa, ja Communicator 4.01:ssä.

Suojautuminen

The Computer Emergency Response Team (CERT), riippumaton tietokoneiden turvakysymyksiä käsittelevä tutkijaryhmä, neuvoi heinäkuun alussa käyttäjiä päivittämään selaimensa turvallisiksi tai poistamaan selaimistaan Javascriptin käytön.

JavaScriptin poistaminen tehdään selaimissa yleensä Options- tai Preferences-valikossa. Javaan tämä asia ei liity mitenkään, joten sitä ei tarvitse ottaa pois. Esimerkiksi InternetExplorer 3:ssa avaa View/Options ja valitse Security tab. Poista ruksi ruudusta Run ActiveX scripts.

Microsoftilla on tarjolla bugin korjaava päivitys IE 3.02:een. Netscapella on bugi korjattu versioissa Navigator 3.02 ja Communicator 4.01a for Windows, joihin päivitystä suositellaan.

Eikä tässä kaikki

Bellin bugin lisäksi selaimissa on ollut muitakin käyttäjän yksityisyyttä uhkaavia ohjelmavirheitä. Netscapen sivuilla mainitaan esimerkiksi Communicatorin ensimmäisiä versioita kiusanneet ranskalainen bugi, Santa Barbaran bugi ja Singaporen bugi.

Ranskalainen bugi mahdollistaa käyttäjän preferenssitiedostojen lukemisen. Santa Barbaran avulla hakkeri saa selaimelta tietoja generoimalla toisen selainikkunan. Singaporelainen puolestaan päästää hakkerin hyödyntämään LiveConnectia, jota käytetään Javan ja JavaScriptin välisessä kommunikaatiossa. Päivitys Communicator 4.03:een on näitä bugeja säikähtäneille aiheellinen.

Tanskalainen bugi kiusaa Navigator 2.0:aa ja 3.0:a sekä Communitor 4.0:ää. Sen ansiosta paha web-palvelin voi imuroida etukäteen nimeämiään tiedostoja käyttäjän kovelevyltä. Navigator 3.0:sta vaivaa myös Bellin bugia muistuttava Tracker Bug.

Mitä tästä opimme? Sen, että ohjelmissa on aina kaikenlaista harmia. Kannattaa seurata valppaasti sekä Microsoftin Security Area että Netscapen Security Solutions -sivuja ja päivittää selaimiaan aina tarpeen vaatiessa.

Bellin bugista katso lisää esimerksi

Bell Laboratories: JavaScript Related Browser Vulnerability

Microsoftin ilmoitus

Netscapen ilmoitus

CERT:in ohjeet

HEIKKI JANTUNEN
3.10.1997


AJASSA -SIVULLE