Miksi Chrome asentaa itsensä käyttäjän datahakemistoon?

Tekninen postaus sunnuntaiaamun kunniaksi, nörttiasiaa.

Windows-sovellukset asentavat itsensä yleensä C:\Program Files -hakemistoon, johon tavallisella käyttäjällä on vain lukuoikeudet. Se estää haittaohjelmien tarttumisen järjestelmään ja on kaiken tietoturvan perusta niin Windowsissa, OSX:ssä kuin Linuxissakin.

Googlen Chrome -selain asentaa kuitenkin itsensä kone- ja käyttäjäkohtaiseen datahakemistoon C:\Users\\AppData\Local\Google\Chrome.

Tämä on pöhköä kahdesta syystä:

- Haittaohjelma voi tarttua selaimeen tai korvata sen vaikka kokonaan toisella ohjelmalla ilman, että käyttäjä huomaa mitään.

- Jos koneella on useita käyttäjiä, Chrome pitää asentaa jokaiselle erikseen (mikä on paitsi työlästä myös moninkertaistaa ohjelman viemän levytilan).

Chromen asennusvalinta tuntuu kummalliselta erityisesti siksi, että selainta pidetään tietoturvallisena. Ohjelmahakemistoon kirjoittaminen on ehdoton no-no ja sen pitäisi olla sallittua vain ylläpito-oikeuksilla.

Keksin Googlen outoon menettelyyn vain kaksi selitystä:

- Google on halunnut lisätä selaimensa suosiota varmistamalla, että peruskäyttäjä voi asentaa sen koneeseensa vaikkei hänellä olisikaan ylläpito-oikeuksia (hyi hyi Google!). Siksi Chrome on tietohallinnon kauhu.

- Selain voi päivittää itsensä automaattisesti ja huomaamattomasti.

Jälkimmäinen ranskalainen on esimerkki klassisesta mukavuus kertaa turvallisuus on vakio -periaatteesta. Tietojärjestelmästä voidaan tehdä joko tietoturvallinen tai käyttäjän kannalta mukava, mutta ei molempia samanaikaisesti.

Googlen menettely osoittaa myös, miten vaikeaa Windowsin tietoturvan kohentaminen on. Viisi vuotta sitten Vistassa käyttöön otettu UAC herätti käyttäjissä närkästystä ja moni kytki sen pois päältä, vaikka ilman oikeuksien tarkistamista tietoturvallisen käyttöjärjestelmän tekeminen on täysin mahdotonta. Google puolestaan rikkoo tärkeintä ohjelmointiperiaatetta sotkemalla käyttäjän datan ja koodin samaan hakemistoon. Aina, kun Microsoft yrittää parantaa asioita, sekä ohjelmien tekijät että niiden käyttäjät pyrkivät mitätöimään kehityksen.

Google ei ole aivan yksin. Samoin tekevät Opera-selain (C:\Users\petteri\AppData\Local\Programs\Opera) sekä Evernote-muistiinpano-ohjelma (C:\Users\petteri\AppData\Local\Apps\Evernote\Evernote).

Ubuntu ja Mac-käyttäjät: meneekö Chrome teillä oikeaoppisesti ohjelmahakemistoon? Kysyykö selaimen sisäinen päivitys ylläpitäjän salasanan vai miten päivitys on järjestetty?

---

Saman otsikon alle sopii käänteinen ongelma: pelit, jotka vaativat ylläpito-oikeuksia (admin) toimiakseen. Luulin, ettei näitä olisi tehty enää 1990-luvun jälkeen, mutta olin näköjään väärässä.

Asensin pojan koneeseen tuoreen (2010) World of Tanks -pelin (itse en pelaa koskaan). Pojalla on tietenkin koneeseensa vain peruskäyttäjän oikeudet, jotta hän ei sotke asetuksia eikä pysty asentamaan haittaohjelmia. Käsittämätöntä kyllä, peli kysyy aina käynnistyessään ylläpitäjän salasanan. Ilmeisesti vanhassa versiossa salasana tarvittiin vain Launcher-ohjelmaa varten ja pelin pystyi käynnistämään suoraan varsinaisesta ohjelmatiedostosta, mutta nykyversioissa tätäkään mahdollisuutta ei enää ole.

Turha syyllistää tietoturvaongelmista yksin käyttäjiä tai Microsoftia, jos ohjelmavalmistajat toimivat näin typerästi!

Kammottavan kryptaajan salaisuus (YLE tv-uutiset)

YLEn uutiset kertoi eilen älypuhelinten vaaroista. Juttu on nähtävissä ja luettavissa (Älypuhelimet raportoivat salaista tietoa ties minne) verkossa.

Aihe on tärkeä, mutta rikosuutisiin erikoistunut toimittaja Ari Mölsä dramatisoi juttuaan epäasiallisesti.

Uutistenlukijan johdanto väittää, että puhelimet seuraavat käyttäjän sijaintia ja raportoivat niistä "salaisille tahoille". Keitä nämä tahot siis ovat? Mistä tiedetään, että tiedot ovat salaisia?

Itse jutussa on yhdistetty kaksi eri asiaa, joilla ei ole juurikaan tekemistä keskenään. Varjo-IT eli se, että ihmiset kokevat työnantajan puhelimen omakseen ja vaativat oikeutta asentaa siihen mitä haluavat, olisi ollut oman uutisen aihe. Viestintäviraston Erka Koivunen kommentoi tätä puolta asiallisesti.

Mutta sitten toimittaja Mölsältä karkaa näppis lapasesta ja hän hyppää ihan toiseen näkökulmaan: "Älypuhelimen rakentaja on viekas. Salaista paikannusdataa suhisee Suomestakin maailmalle yhtenä soittona." Tietosuojavaltuutetulta tivataan kauhuskenaariota.

Mölsä on ennenkin kunnostautunut värikkäillä kielikuvilla. Uutisen www-version väliotsikoita ovat "Missä se mörkö asuu?" ja "Vetääkö kryptaaja kuluttajaa nenästä?". Vastauksiin on laitettu sanoja, joita ainakaan tv-haastattelussa ei kuulla, kuten "huippusensoreilla". Reijo Aarnion vastauksiin on lisätty sanoja kuten "karmiva", ja "viisas" on vaihdettu "ovelaksi". Toimittaja on väkisin tehnyt jutusta pelottavan.

Arveluttavaa journalismia on sekin, että tv-haastattelussa vastauksesta leikataan keskeltä pätkä pois.

Liioitteleva ja sensaatiohakuinen tyyli ei sovi uutisiin, ei varsinkaan julkisen palvelun kanavalla. VR:n lippusotku on vain yksi esimerkki puutteellisesta tietoyhteiskunnan osaamisesta. Jos uutisointi on tätä tasoa, mitä voimme odottaa kansalaisilta?