Miksi selaimet sallivat varmenteilla hämäämisen?

Viime viikolla tuli huijaus osoitteella Nordeatarkistaa.com, jossa oli aidon näköinen sivusto. 

Aidon näköinen huijaussivusto.

Sivu on SSL-suojattu, joten osoitteen edessä näkyy lukon kuva. Aiemmin se kertoi, että osoite on tarkistettu ja oikeaksi havaittu, mutta nykyään SSL-varmenteita (sellaisia, joiden juurivarmenne on selaimessa sisäänrakennettuna) saa helposti ja mille nimelle tahansa (varsinkin Let's encryptiltä). Lukko ei siis enää kerro mitään turvallisuudesta.

Selain pahentaa asioita väittämällä, että sivu on turvallinen. Varmenteen tiedot katsomalla käyttäjä voisi nähdä, ettei osoite varsinaisesti tarkoita mitään, mutta se edellyttää lukon kuvan napsauttamista. Helppokäyttöisyyden nimissä varmenteen tarkistamista on suorastaan vaikeutettu (joskin nykyisissä selaimissa on taas tultu vähän parempaan suuntaan verrattuna tähän vanhaan kirjoitukseeni).

Let's Encrypt - tietenkin.

Aidolla Nordean sivulla varmenne näyttää tältä:

Aito Nordean varmenne.

Varmenteen kentistä näkee, kenelle varmenne on myönnetty (kohde): suomalainen, Helsingissä sijaitseva Nordea -niminen yritys.

Parempia varmenteita, joissa hakijan identiteetti oli varmistettu, kutsuttiin aikoinaan Extended Validation -varmenteiksi. Tällaisella sivulla selaimen osoiterivi muuttui vihreäksi. EV-varmenteet olivat kalliimpia hankkia, mutta luottamukseen perustuvalla toimialalla ne olivat välttämätön investointi.

En ymmärrä, miksi selaimet luopuivat EV-varmenteiden erottelusta, mutta nykyinen käytäntö tuntuu hullulta. Kohtelemalla kaikkia varmenteita samanarvoisesti selaimet suorastaan auttavat huijareita. 

Vaikka varmenteessa ei olisikaan EV-merkintää, selain voisi ainakin varoittaa, ettei tässä varmenteessa ole mitään tietoja kohteesta. Silloin pankkien huijaus- ja kalastelusivut olisi helppo erottaa aidoista sivuista.

Vähintäänkin pitäisi kehittää selaimeen plug-in, joka tarkistaisi varmenteen myöntäjän automaattisesti ja ilmoittaisi, jos se on Let's encrypt. 

Ja juuri osui silmään Ylen uutinen huijaavasta polkupyöräkaupasta. Varmenteen myöntäjä tässäkin tapauksessa Let's encrypt.

Mac Kuvat-sovellus ja diojen lajitteluongelma

Tyytyväiset Apple-käyttäjät kehuvat laitteitaan sanoen, että niiden kanssa työt sujuvat eikä aikaa tuhraannu ongelmiin, kuten Windowsissa. Kyse on varmaan tottumisesta tai siitä, että puhtaassa Apple-maailmassa kaikki toimii hyvin yhteen, mutta itse sekakäyttäjänä törmään jatkuvasti ongelmiin, joita Windows-puolella ei ole. Tässä yksi esimerkki.

Halusin tallentaa Powerpoint-esityksen diat jpeg-tiedostoina voidakseni esittää ne ilman Powerpointin apua. Macin Kuvat-ohjelma sotki kuitenkin diojen järjestyksen, eikä niitä saanut mitenkään siirrettyä takaisin oikeaan järjestykseen. Pari tuntia työaikaa tuhlaantui asiaan, jota ei Windowsissa olisi tarvinnut edes noteerata. Tietenkin jpeg-tiedostot saa esitettyä nimen mukaan.

Tässä havainnollinen esitys ilmiöstä. Käytän Powerpoint-esitystä, jonka dioissa on vain iso numero jokaisella sivulla. 

Alkuperäinen Powerpoint-esitys

Jpeg-tallennuksen jälkeen kansiossa on joukko kuvia nimillä Dia1.jpg, Dia2.jpg... Dia21.jpg. 

Jpeg-tiedostot Windowsin Dropbox-kansiossa.

Vaihdetaan sitten Macbook Airiin. Sielläkin tiedostonäkymä näyttää jpeg-tiedostot oikeassa järjestyksessä, kun lajitteluperusteena on Nimi. 

Finder-näkymä.

Jpeg-kuvat voisi näyttää suoraan tästä näkymästä, mutta Finder ei osaa vaihtaa seuraavalle riville kun tiedostoja kelataan nuoli eteen -painikkeella. Windowsissa tämä on hyvin kätevää. 

Lisätään kuvat sitten Kuvat-sovellukseen (iPhoto) ja luodaan niille selkeyden vuoksi oma Albumi (Sorttitesti). Nyt kuvat menevät outoon järjestykseen:

Kuvat-ohjelman nimijärjestys.

Ja kyllä, on valittu Näytä > Järjestä > Pidä järjestettynä nimen mukaan. 

Lajittelujärjestys on nimen mukaan.

Kummallista kyllä, aikajärjestykseen lajittelu antaa saman (tai käänteisen) virheellisen tuloksen.

Lajittelu ajan mukaan uusimmasta vanhimpaan.

Lopulta oivalsin, ettei näytössä näkyvä tiedostonimi olekaan kuvan nimi. Kun jokaiseen kuvaan kävi erikseen kirjoittamassa nimitiedon (samainen Dia2.jpg jne), järjestys muutti oikeaksi. Mutta mistä kummasta Kuvat-sovellus sitten arpoo nimen ja lajittelujärjestyksen, jos tiedostonimi ja tiedoston kellonaika/päiväys eivät merkitse mitään?

Tehdään sama koe Macin Powerpointilla ja tallennetaan jpeg-kuvat uuteen tiedostokansioon. Tässä Mac näyttää etunsa: tiedoston viennissä on mahdollisuus säätää jpeg-kuvien kokoa. Windows-versiossa tätä ominaisuutta ei ole, joten pitää joko hyväksyä oletusarvo tai vaikuttaa kokoon Powerpointin puolella diakokoa kasvattamalla.

Mac Powerpoint antaa säätää jpeg-dian kokoa.

Jotta edellisen testin Dia-nimiset kuvat eivät sotkisi lajittelua, poistin ensin albumin, kuvat sovelluksesta ja lopuksi vielä kuvatiedostot levyltä. Macin Powerpointin jpeg-tiedostot ovat eri nimisessä kansiossa. 

Ja kas kummaa, nyt kuvat ovat melkein oikeassa järjestyksessä - vain kakkonen on jostain syystä jonon hännillä. 

Kuvat melkein oikeassa järjestyksessä.

Vaihto aikajärjestykseen näyttää kuvat ihan oikein.

Aikajärjestys näyttää kuvat oikein.

Tässäkin tapauksessa kuvien nimikenttä on tyhjä, joten arvoitukseksi jää, minkä kentän perusteella Mac kuvat järjestää.

Ilmiö saattaa liittyä Dropboxiin, mutta se osoittaa joka tapauksessa sekakäytön vaarat.