Tää on nyt jo alkuviikon juttua, mutta varmuuden vuoksi...
XP: n mukana asentuu Windows Media Player (versio 8). Siinä on oletusasetuksena juttu, joka sisältää turvallisuusriskin yhdessä IE: ja Netscapen kanssa vaikka koko soitinta ei edes käyttäiskään.
Asetuksia täytyy itse käydä muuttamassa WMP:ssa (Tools > Options... > välilehti Player > Internet settings > väkä pois ruudusta Allow internet sites to uniquely identify your Player
Asiaa koskeva artikkeli oli mm. Digitodayssa:
"Windows Media Player otsikoissa
Mediasoittimen vanha heikkous puhuttaa taas
Antti Kirves Julkaistu 17.01.2002 23:29
Helsinki (17.01.2002) - Aikaa sitten löydetty heikkous Windows Media Playerissä (WMP) voi tietoturva-asiantuntijan mukaan auttaa ohittamaan Internet Explorerin (IE) uusimmankin version kiristetyt turva-asetukset. Ongelma koskee myös Netscapen selainta, mikäli sitä käytetään yhdessä WMP:n kanssa
Tietoturva-asiantuntija Richard M. Smith toi tiistaina julkisuuteen Microsoftin WMP:ssä olevan puutteen, jonka vuoksi IE:n parannetuista ominaisuuksista huolimatta selaimen käyttäjän liikkeistä verkossa voidaan kerätä tietoja.
Smithin mukaan WMP saa yksilöllisen tunnistenumeron, kun se asennetaan. Numero tallentuu Windows-rekisteriin ja se pysyy siksi samana jokaisella yhteyskerralla.
Tunnisteen avulla konetta, johon WMP on asennettu, on mahdollista seurata niin sanotun super cookien avulla, mikä olisi ristiriidassa Microsoftin viime aikoina julkisuudessa esittämän, yksityisyyden suojaa peräävän linjan kanssa.
Microsoft on pyrkinyt tuomaan julki IE 6:n parannettuja tietoturvaominaisuuksia. Kuutosversio tukee niin sanottuja P3P-standardeja, joilla selaimen käyttäjä voi vaikuttaa muun muassa siihen, miten paljon hänen liikkeistään verkossa jää sähköisiä jälkiä.
Mahdollinen ongelma ei koske vain IE:tä, vaan ainakin myös Netscapen selainten käyttäjät voivat olla samassa tilanteessa.
Tunnistus pois päältä
Tunnisteen lähettäminen edellyttää sitä, että selattaville www-sivuille annetaan WMP:n asetuksissa mahdollisuus soittimen tunnistamiseen. Myös selaimen JavaScript -asetuksen on oltava päällä, jotta tunniste voisi päätyä vääriin käsiin.
WMP:n uusimmassa, kahdeksannessa versiossa tunnistus on oletusarvoisesti päällä. Joissakin vanhemmissa ohjelmaversioissa ei edes ole mahdollisuutta kytkeä ominaisuutta pois, ellei niitä päivitetä.
Ongelmana on se, että moni tietokoneen käyttäjä ei koskaan käytä WMP:tä eikä välttämättä edes tiedä koneellaan olevan sellainen. Tietoturva-aukko kun ei edellytä, että WMP:tä käytettäisiin, vaan riittää, että se on asennettu. WMP 8 on valmiiksi asennettuna uusissa Windows XP -koneissa.
Toinen puoli asiassa on se, että jos WMP:llä voidaan JavaScriptin avulla lähettää tietokoneen yksilöiviä tietoja ulkopuolisille, mahdollisuuksia saattaa olla muunkinlaisille uhkille.
Smith sanoo ilmoittaneensa ongelmasta Microsoftille jo maaliskuussa 2001. Microsoft julkaisikin tuolloin paikkauksen, joka ei kuitenkaan Smithiä miellytä, sillä käyttäjä joutuu päivityksen jälkeenkin edelleen itse kytkemään tunnistuksen pois päältä.
Hankaluuksilta välttyy päivittämällä WMP ja kytkemällä sen asetuksista mainittu tunnistus pois päältä. Tällä tavoin WMP saa uuden numeron aina, kun se käynnistetään. JavaScriptin voi sulkea käytettävän selaimen asetuksista.
Lisätietoja saa Microsoftin ja Richard M. Smithin sivuilta."
XP: n mukana asentuu Windows Media Player (versio 8). Siinä on oletusasetuksena juttu, joka sisältää turvallisuusriskin yhdessä IE: ja Netscapen kanssa vaikka koko soitinta ei edes käyttäiskään.
Asetuksia täytyy itse käydä muuttamassa WMP:ssa (Tools > Options... > välilehti Player > Internet settings > väkä pois ruudusta Allow internet sites to uniquely identify your Player
Asiaa koskeva artikkeli oli mm. Digitodayssa:
"Windows Media Player otsikoissa
Mediasoittimen vanha heikkous puhuttaa taas
Antti Kirves Julkaistu 17.01.2002 23:29
Helsinki (17.01.2002) - Aikaa sitten löydetty heikkous Windows Media Playerissä (WMP) voi tietoturva-asiantuntijan mukaan auttaa ohittamaan Internet Explorerin (IE) uusimmankin version kiristetyt turva-asetukset. Ongelma koskee myös Netscapen selainta, mikäli sitä käytetään yhdessä WMP:n kanssa
Tietoturva-asiantuntija Richard M. Smith toi tiistaina julkisuuteen Microsoftin WMP:ssä olevan puutteen, jonka vuoksi IE:n parannetuista ominaisuuksista huolimatta selaimen käyttäjän liikkeistä verkossa voidaan kerätä tietoja.
Smithin mukaan WMP saa yksilöllisen tunnistenumeron, kun se asennetaan. Numero tallentuu Windows-rekisteriin ja se pysyy siksi samana jokaisella yhteyskerralla.
Tunnisteen avulla konetta, johon WMP on asennettu, on mahdollista seurata niin sanotun super cookien avulla, mikä olisi ristiriidassa Microsoftin viime aikoina julkisuudessa esittämän, yksityisyyden suojaa peräävän linjan kanssa.
Microsoft on pyrkinyt tuomaan julki IE 6:n parannettuja tietoturvaominaisuuksia. Kuutosversio tukee niin sanottuja P3P-standardeja, joilla selaimen käyttäjä voi vaikuttaa muun muassa siihen, miten paljon hänen liikkeistään verkossa jää sähköisiä jälkiä.
Mahdollinen ongelma ei koske vain IE:tä, vaan ainakin myös Netscapen selainten käyttäjät voivat olla samassa tilanteessa.
Tunnistus pois päältä
Tunnisteen lähettäminen edellyttää sitä, että selattaville www-sivuille annetaan WMP:n asetuksissa mahdollisuus soittimen tunnistamiseen. Myös selaimen JavaScript -asetuksen on oltava päällä, jotta tunniste voisi päätyä vääriin käsiin.
WMP:n uusimmassa, kahdeksannessa versiossa tunnistus on oletusarvoisesti päällä. Joissakin vanhemmissa ohjelmaversioissa ei edes ole mahdollisuutta kytkeä ominaisuutta pois, ellei niitä päivitetä.
Ongelmana on se, että moni tietokoneen käyttäjä ei koskaan käytä WMP:tä eikä välttämättä edes tiedä koneellaan olevan sellainen. Tietoturva-aukko kun ei edellytä, että WMP:tä käytettäisiin, vaan riittää, että se on asennettu. WMP 8 on valmiiksi asennettuna uusissa Windows XP -koneissa.
Toinen puoli asiassa on se, että jos WMP:llä voidaan JavaScriptin avulla lähettää tietokoneen yksilöiviä tietoja ulkopuolisille, mahdollisuuksia saattaa olla muunkinlaisille uhkille.
Smith sanoo ilmoittaneensa ongelmasta Microsoftille jo maaliskuussa 2001. Microsoft julkaisikin tuolloin paikkauksen, joka ei kuitenkaan Smithiä miellytä, sillä käyttäjä joutuu päivityksen jälkeenkin edelleen itse kytkemään tunnistuksen pois päältä.
Hankaluuksilta välttyy päivittämällä WMP ja kytkemällä sen asetuksista mainittu tunnistus pois päältä. Tällä tavoin WMP saa uuden numeron aina, kun se käynnistetään. JavaScriptin voi sulkea käytettävän selaimen asetuksista.
Lisätietoja saa Microsoftin ja Richard M. Smithin sivuilta."
Vastaukset 5
Vanhimmat
Tietoturvareiän löytäjä Richard M. Smith on luonut testisivun, joka näyttää miten WMP:n luoma sarjanumero voidaan lukea rekisteristä yksinkertaisella asiakastunnistepyynnöllä (ClientID request).
http://www.computerbytesman.com/privacy/supercookiedemo.htm
Asiasta on myös keskusteltu SEKTORIn sivustoilla:
http://sektori.com/uutiset/3133/windows josta linkki on kopioitu.
Aivan, tuolla Smithin testisivulla voi vaikka huvikseen tsekata WMP:n tunnistenumeroa ennen asetuksen pois kytkemistä ja sen jälkeen. Jos asetus on päällä pysyy tunnistenumero (supercoocie) aina samana, mutta pois kytkennän jälkeen WMP saa aina uuden numeron. Joten ulkopuolisten tahojen suorittama pitkäaikainen käyttäjäseuranta ei ole enää mahdollista.
Thanks! Enpä olis tuatakaan tienny, kiitos tiedosta!
Ja mistä kaikesta paskasta sitä maksetaankin! Eiköhän vaan kaikista MS:n ohjelmista pikkuhiljaa paljastu jotain vastaavaa. Officen avustajaklemmarikin on ActiveX-ohjelma, joka jättää MS:lle takaoven auki, jotta se voi käyttää makrojansa!
Mistä hitosta noita kaikkia juttuja aina löytyykin. No hyvä vaan, että täällä on asiantuntijoita, jotka jaksavat valistaa tämmöistä taunoakin. Kiitos!
Mulla on XP ja mediaplayer, tein siis tuon operaation:
"XP: n mukana asentuu Windows Media Player (versio 8). Siinä on oletusasetuksena juttu, joka sisältää turvallisuusriskin yhdessä IE: ja Netscapen kanssa vaikka koko soitinta ei edes käyttäiskään.
Asetuksia täytyy itse käydä muuttamassa WMP:ssa (Tools > Options... > välilehti Player > Internet settings > väkä pois ruudusta Allow internet sites to uniquely identify your Player"