Näin suojaat yksityisyytesi netissä

 Taustaa artikkelista

Kehittelimme Haaga-Helian ammattikorkeakoulussa Digitalouden koulutusyksikössä uuden lähestymistavan CRM -opetukseen, jossa painopisteenä on tietojärjestelmien ja markkinointiteorioiden sijasta data ja sen hallinta. Opintojakson kuluessa saimme palautetta, jossa epäuskoisesti ihmeteltiin kuinka tehokkaasti on kohdennettu markkinointi toteutettu ja mitä kaikkea verkkopalvelut sekä tietotekniikkajätit tietävät verkon käyttäjistä.

Asiaan nousi myös eettisiä kysymyksiä, jossa huolestuttiin yksityisyydensuojasta ja sen joutumisesta vääriin käsiin. Onhan nähty Euroopassakin viime vuosikymmeninä poliittisia järjestelmiä, jotka ovat olleet vähemmän ystävällisiä omille kansalaisille. Kysymykset yksityisyyden suojasta ja verkkoanonymiteetista ovat olleet ymmärrettäviä.

Juttupäivitykset

• Artikkeli on päivitetty 18.3.2017 jolloin on lisätty kappaleet Browser Fingerprint,  WebCamera -osuus, omien tietojen jakaminen ja virtuaalikoneiden käyttäminen
• Artikkeliin 20.3.2017  lisättiin WebRTC -haavoittuvuuden korjaaminen, lista suositeltavista selaimen lisäosista lisätty jutun loppuun, sisällysluettelo jutun alkuun

Sisällysluettelo

Seuraavat asiat ovat kuvattu tässä blogissa

1. IoT lisää tarvetta yksilön tietosuojaan
2. Vinkkejä yksityisyyden suojaamiseen netissä
3. Ohjeita yksityisyyden suojaamiseen
4. Ensisijaisen verkkoselaimen valinta: Firefox
5. Cookiet, eli evästeet ja niiden poistaminen
6. Super Cookiet, LSO (Local Shared Objects)
7. Browser Fingerprint = Laitteistoprofiilin yksilöllisen tunnistamisen piilottaminen
8. Kirjaudu ulos Facebookista, Googlesta tai muista verkkopalveluista
9. Verkon käyttäminen VPN -palvelun kautta
10. Hakukoneen valinta: DuckDuckGo
11. Käyttöjärjestelmäksi GNU/Linux, esimerkiksi Ubuntu tai Linux Mint.
12. Vältä pilvipalveluiden käyttöä
13. TOR verkon käyttäminen
14. Webkameran peittäminen tai fyysinen irrottaminen laitteesta
15. Virtuaalikoneiden käyttäminen
16. Omien tietojen jakaminen
17. Lisäosat selaimeen, jotka suojaavat yksityisyyttä (Firefox)
18. Älypuhelimet ja tabletit
19. Lopuksi

IoT lisää tarvetta yksilön tietosuojaan

Tätä juttua innoitti uutinen CIA:n mahdollisuudesta kuunnella älytelevisioita. Käytännössähän se tarkoittaa, että jokaiseen nettiin kytkettyyn laitteeseen liittyy riski, jossa kolmas osapuoli voi ottaa sen haltuunsa. Itseohjautuvat autot ovat tässä suhteessa mielenkiintoisessa asemassa.

Yksityisyyden tarvetta tulee lisäämään verkon ja verkkoon kytkettyjen laitteiden jatkuva läsnäolo sekä laitteiden keskinäinen kommunikointikyky, jota kutsutaan IoT -kehityssuunnaksi. IoT tulee siis sanoista Internet of Things ja vapaasti suomennettuna se tarkoittaa esineiden Internetiä.

Käytännössä esineiden Internetiin liittyy ominaisuuksia, joista ei välttämättä puhuta, nimittäin esineiden käyttö voi vaatia henkilökohtaista käyttäjäprofiilia johon kerätään käyttäjistä dataa siitä mitä käyttäjät viestivät, missä liikkuvat, millä verkkosivuilla käyvät jne. Mahdollisuudet ovat jokseenkin rajattomat, ja on mahdollista että kahvinkeitin tulevaisuudessa tietää käyttäjästä enemmän mitä käyttäjä itse. Mutta kahvinkeittimen lisäksi sen tietää kuka tahansa ja käyttäjillä ei ole juurikaan mahdollista välttää datan keruuta paitsi lopettamalla Internetin käyttö – jos se on ylipäätään mahdollista maailmassa, jossa esineiden käyttö ja asioiden hoitaminen riippuu Internetistä.

Lisäksi esineiden Internetiin liittyy myös esineiden päätöksentekokyky. Esineet voivat tehdä niiden käyttäjiä koskevia päätöksiä profiilitietojen perusteella, jotka ovat varastoitu pilvipalveluun. Tämä lienee varsinaisesti se syy, miksi esineiden Internetiä halutaan edistää sen lisäksi, että esineiden Internet mahdollistaa esineiden muuttamisen palveluiksi.

Ihmettelen muuten kovasti IoT -suuntausta, koska se on herkkä häiriöille ja kuluttajaystävällisyys on kaukana. Kuluttajille IoT -tarkoittaa tuotteiden priorisointia jonka avulla voidaan kuluttajat saada helposti hyväksymään itselleen epäedullisia käyttäjäehtoja. Tätä suuntausta viestitään siten, että voidaan “parantaa palveluita” asiakkaille. Käytännössä se tarkoittaa että voimme priorisoida palveluita ja ohjata käyttäjiä, jota ennen ei ole voinut tehdä.

Vinkkejä yksityisyyden suojaamiseen netissä

Yksityisyyttä netissä voi kuitenkin suojata, mikäli yksityisyyden menettäminen ja profiilisi yksityistietojen tuntematon käyttö huolettaa. Ohessa muutama käytännönläheinen vinkki, jotka ovat tarkoitettu peruskäyttäjien yksityisyyden suojaamiseksi. Ne ovat kokoelma suosituksia, joiden tavoitteena on suojata yksilön tietosuojaa ja koskevat ensisijaisesti perinteisiä tietokoneita.

Soveltavin osin näitä voi myös käyttää älylaitteissa, tosin mikäli haluaa suojata yksityisyyttä, niin suosittelen lukemaan lopuksi älypuhelimia ja tabletteja koskevan kappaleen.

Ohjeita yksityisyyden suojaamiseen Internetissä

Ensisijaisen verkkoselaimen valinta: Firefox

Turvallinen verkon käyttö alkaa verkkoselaimen valinnasta, johon on suositeltavaa valita avoimen lähdekoodin selain käytettäväksi. Esimerkiksi Firefoxin on tällainen valinta.

Mutta kannattaa käyttää muitakin selaimia, eli sekakäyttö selainten kohdalla on suotavaa. Esimerkiksi kannattaa käyttää yhteen paljon käyttämään palveluun yhtä selainta. Esimerkiksi Facebookille kannattaa varata oma selain, Googlen palveluille oma ja yleiseen verkkoselailuun oma.

Cookiet, eli evästeet ja niiden poistaminen

Evästeet tallentavat käyttäjästä tietoja ja ne jakavat tietoa eri verkkopalveluiden kesken. Esimerkiksi Googlen Analytics on tällainen eväste. Turvallisin valinta on estää evästeiden käyttö kokonaan, mutta monet verkkosivut edellyttävät evästeiden käyttöä, joten se ei ole realistista. Firefox -selaimessa asetuksissa voi poistaa evästeet, kun lopettaa selailun tai käyttää oletusarvoisesti selainta private browing -moodissa. Myöskin painamalla control+shift+delete nappeja yhtäaikaisesti, voi poistaa evästeet näppäinkomennolla.

• Super Cookiet, LSO (Local Shared Objects)

Super Cookiet tallettavat evästeitä käyttäjistä, vaikka poistaisi selaimesta muut evästeet. Ne jäävät tallennettuna muistiin, ja kerääväät sekä välittävät tietoa käyttäjistä ja Super Cookiet eivät vanhene koskaan periaatteessa, jos niitä ei poista. Niitä toisin sanoen ei voi hallita, ellei tiedä keinoja, ja tästä huolimatta se on haastavaa koska SuperCookiet tallentavat esimerkiksi laitteistoprofiileja (Browser Fingerprint) pilvipalveluihin. Kun laitteistoprofiilitiedot  ovat yksilöllisiä, niin sen perusteella voidaan päätellä käyttäjiä ketkä laitteistoja käyttävät.

Super Cookiet toimivat Flash -teknologialla, josta jää digitaalinen sormenjälki hakemistoon. Tämä ei poistu tavallisin keinoin, vaan se tarvitsee Firefoxiin laajennuksen nimeltä BetterPrivacy, joka on ladattavissa Työkalut -valikosta. Paras tietenkin olisi, että Flash ei olisi käytössä ollenkaan siihen liittyvien tietosuojariskien vuoksi.

• Browser Fingerprint = Laitteistoprofiilin yksilöllisen tunnistamisen piilottaminen

On kuitenkin mahdollista rakentaa keinotekoisia laitteistoprofiileja, jotka viestivät verkkopalveluille lumeprofiileja käytetyistä laitteistosta.

Kyseinen viestintä tapahtuu selaimessa olevan user agent -toiminnon kautta. Se sisältää runsaasti tietoa laitteistokokoonpanosta. Esimerkiksi selainversio, käyttöjärjestelmän versiotiedot, näytön resoluutio, fontit ja käytössä olevan kielituen, näin esimerkiksi.

Voit testata selaimesi turvallisuuden Panopticlick -palvelussa, jota ylläpitää Electronic Frontier Foundation.

Samalla voit katsoa, millainen on sinun käyttämäsi selaimen digijälki.

Firefoxissa on lisäosa Random Agent Spoofer, jolla voidaan luoda lumeprofiileja käytetystä laitteistosta. Sen avulla palvelun käyttäjä voi esittää käyttävänsä eri laitteistokokoonpanoja, jolloin käyttäjän liittäminen tiettyyn laitteistokokoonpanoon vaikeutuu.

• Kirjaudu ulos Facebookista, Googlesta tai muista verkkopalveluista

Kun käytät verkkoa ja haluat liikkua yksityisesti, niin Facebookin tai Googlen kaltaisista palveluista on syytä kirjautua ulos. Nämä palvelut rakentavat digitaalista jalanjälkeä käyttäjästä ja yhdistävät sen profiilitietoihin, joka myydään eteenpäin mainostajille tai muille tahoille, joilla on tarve kerätä tietoa käyttäjistä.

Kun kirjaudut ulos, niin sulje selain. Muista tarkastaa asetus, joka tyhjentää evästeet selaimesta samalla kun sulkee selaimen. Jos et ole varma, niin voit painaa Ctrl+Shift+Del näppäin yhdistelmää.

• Verkon käyttäminen VPN -palvelun kautta

Edellä mainitut keinot suojaavat verkon käyttäjän yksityisyyttä siten, että käyttäjästä ei jäisi jälkeä, joka voitaisiin yhdistää historiatietoihin. Verkkoa käyttäessä verkkopalveluihin jää merkintä käyttäjän sijainnista, josta verkkoa on käytetty. Se on yllättävän tarkkaa tietoa, käyttäjiä voidaan pelkän tietokoneen IP-osoitteen perusteella jäljittää useimmiten parin sadan metrin tarkkuudella.

Omaa sijaintitietoa voidaan peittää VPN Virtual Private Network -palveluiden avulla, jossa verkkosivuihin otetaan yhteyttä reitittämällä liikenne jostain muusta paikasta kuin käyttäjän sijainnista. VPN -palveluita saa ilmaiseksi, mutta voiko niihin luottaa jos palveluiden käyttäjät eivät maksa palveluiden käytöstä. Siksi on ehkä suositeltavaa käyttää kaupallista VPN -palvelua luotettavaksi mielletyiltä palveluntarjoajilta sillä viisi euroa kuukaudessa ei ole paha hinta maksettavaksi, mikäli yksityisyyden suojaaminen kiinnostaa verkossa.

Mutta VPN ei ole myöskään täysin turvallinen, koska WebRTC -teknologian avulla voidaan saada selville käyttäjän todellinen sijainti. Käytännössä sijainnin peittäminen edellyttää WebRTC toiminnon deaktivoimista. Esimerkiksi Firefoxiin on saatavana maksuton lisäosa Disable WebRTC, joka suojaa käyttäjän todellista IP -osoitetta.

Asiaan voi tutustua The Hacker newsin jutussa lisää: WebRTC Vulnerability leaks Real IP Addresses of VPN Users

• Hakukoneen valinta: DuckDuckGo

Koska Googlen hakukoneen käyttämisen perustana on käyttäjän tunnistaminen ja identifiointi, on suositeltavaa käyttää hakukonetta jonka tavoitteena ei ole tunnistaa käyttäjiä.

DuckDuckGo on hakukone, joka on kehittynyt voimakkaasti ja samalla Edward Snowdenin tekemät paljastukset ovat nostaneet sen suosiota. Toistaiseksi se ei ole aivan yhtä etevä kuin Googlen hakukone, mutta silläkin pärjää mainiosti tietoa haettaessa. Sen voi laittaa helposti Firefoxissa oletushakukoneeksi muuttamalla hakuasetuksia.

• Käyttöjärjestelmäksi GNU/Linux, esimerkiksi Ubuntu tai Linux Mint.

Tietokoneiden käyttöjärjestelmillä on ikävä piirre aina ajoittain ”soittaa kotiin”, eli ottaa yhteyksiä käyttöjärjestelmän valmistajaan. Tämä siis koskee Microsoftin Windows -käyttöjärjestelmiä sekä Applen Mac -tuotteita. GNU/Linux -pohjaiset käyttöjärjestelmät pohjautuvat avoimeen lähdekoodiin, jotka ovat useimmiten valmiiksi suunniteltu tietoturva edellä. Avoin kehitysmalli turvaa sen, ettei valmistajat voi asentaa käyttöjärjestelmiin käyttäjiä seuraavia vakoiluohjelmia, tai mikäli asentavat niin ne ovat kehittäjäyhteisön tiedossa ja niistä informoidaan käyttäjiä.

• Vältä pilvipalveluiden käyttöä

Pilvipalvelut, kuten Googlen Drive tai Microsoftin Office365 keräävät myös käyttäjistä dataa. Lisäksi on mahdollista, että pilvipalvelun data skannataan ja tallennettua dataa eivät koske eurooppalaiset tietosuoja-asetukset. Tiedoston tallennukseen on suositeltavaa käyttää OwnCloud -pohjaisia pilvipalveluita, joita voi ostaa verkosta edullisesti. Siinä kannattaa varmistaa, että data säilytetään Euroopassa, se on suojattujen yhteyksien ja palvelinten hallussa sekä palveluntarjoajasta on referenssejä alan julkaisuissa.

Mikäli päätyy tallentamaan dataa pilvipalveluun, niin ehdottomasti kannattaa säilyttää datasta paikalliset kopiot tietokoneella. Sillä mikäli pilvipalvelu on ulottumattomista eri syistä johtuen, niin se johtaa toimintakyvyttömyyteen.

• TOR verkon käyttäminen

Jos haluaa mahdollisimman täydellisesti peittää digitaalisen jalanjäljen verkossa, on suositeltavaa asentaa TOR -verkko. Sen voi tehdä lataamalla selain TOR -yhteisön verkkosivuilta. Se on hieman epäkäytännöllinen ja nopeus on ajoittain hitaahko, mutta se ajaa asiansa tehokkaasti.

• Webkameran peittäminen tai fyysinen irrottaminen laitteesta

Facebookin perustaja Mark Zuckerberg peittää kameran linssin tietokoneesta, niin uskon että sen voi peittää myös peruskäyttäjäkin. Kiva tarra kameran linssin päälle antaa myös näköä laitteelle kannettavassa tietokoneessa. Miksiköhän muuten laitevalmistajat eivät tarjoa oletusarvoisesti luukkua jonka voi vetää kameran linssin eteen silloin kun sitä ei käytä? Sen luulisi suojaavan myös linssejä kolhuilta.

• Virtuaalikoneiden käyttäminen

Aina ei ole pakko käyttää samaa käyttöjärjestelmäversiota, vaan niistä voi myös rakentaa virtuaalisia versioita, kuten edistyneet käyttäjät usein niin tekevätkin. Käytännössä virtutaalikoneen käyttäminen tarkoittaa käyttöjärjestelmäasennusta käyttöjärjestelmän päälle. Erittäin suositeltava keino yksityisyyden suojaamiseen netissä.

• Omien tietojen jakaminen

Erittäin suuri merkitys on sillä, miten ja mitä tietoa jaat itsestäsi netistä. Erityisen suuri tietosuojariski on kuvien jakaminen ja nimen täggääminen kuvaan.

Esimerkiksi liikuttaessa julkisilla paikoilla, henkilöstä otettua kuvaa voidaan verrata  sosiaalisen median kuvatietopankkeihin kasvontunnistuksella ja siihen liitetyllä profiilitiedolla.  Myöskin ääninäytteitä voidaan verrata henkilöllisyyden identiteetin toteamiseksi. En olisi yllättänyt, vaikka useat eri pilvipalvelut keräisivät dataa älypuhelinten ääninäytteissä, joka yhdistää puhujansa äänen someprofiiliin tai johonkin vahvasti yksilöityyn tietoon.

Miten tällaiselta voi suojautua? Teknisesti se on hyvin haastavaa, mutta jakamalla epäselviä kuvia ja liittämällä epätietoa omiin profiilikuviin, voidaan automaattisia tiedonkeruujärjestelmiä harhauttaa helposti. Esimerkki epätiedosta on, että liitää jonkin toisen profiilikuvan Facebook -profiilin, johon täggää oman nimensä ja sen tekee riittävän monta kertaa useat eri henkilöt.

Lisäosat selaimeen, jotka suojaavat yksityisyyttä (Firefox)

On suositeltavaa asentaa myös lisäosia Firefoxiin, jotka kertovat käyttäjilleen mitä evästeitä verkkopalvelut asentavat käyttäjän koneelle kun käy vierailemassa verkkosivuilla.

• Privacy Badger

Lisäosa on Firefoxin liitännäinen, joka blokkaa evästeet joiden tarkoituksena on jäljittää liikkeitäsi netissä. Kyseisen lisäosan takana on EFF, Electronic Frontier Foundation, jonka tehtävänä on turvata netin käyttäjien oikeuksia.

• Ad-Block

Suojaa myös käyttäjän yksityisyyttä. Verkkosivujen tuottajien harmiksi lisäosa blokkaa mainokset pois sivuilta, joka palvelee puolestaan verkkosivujen käyttäjiä. Mikäli verkkosivujen mainokset eivät pyrkisi jäljittämään käyttäjiä netissä, niin Ad-Block lisäosaa ei tarvitsisi asentaa koska mainokset ovat tapa rahoittaa verkkopalveluita joten siinä mielessä mainoksia tarvitaan.

• HTTPS -everywhere lisäosa Firefoxiin.

HTTPS -everywhere ottaa  käyttöön automaattisesti suojatun yhteyden aina silloin kun se on mahdollista ja yhteys on saatavilla.

• Better Privacy

Better Privacy poistaa Super cookiet koneelta. Mutta se ei yksin riitä, koska super cookiet voivat jättää pilvipalveluun laitteistokokoonpanosta uniikin sormenjäljen. Se tarvitsee siihen Random Agent Spoofer -lisäosan, joka luo keinotekoisia ja vaihtuvia ns. lumeprofiileja käytetyistä laitteistoista.

Älypuhelimet ja tabletit

Paras tapa suojata yksityisyyttä on luopua älypuhelimesta. Useimmat ovat kuitenkin riippuvaisia älypuhelimesta, ettei laitteesta luopuminen tule kysymykseen. Tosin senkin voi ratkaista valitsemalla missä ja milloin älypuhelinta käytetään, tai korvaa älypuhelimen käytön tietokoneella.

Googlen Android älypuhelimet kysyvät käyttäjätunnuksia laitteeseen. Niitä ei ole pakko syöttää, mutta silloin useat Googlen palvelut jäävät saamatta, kuten esimerkiksi Google Play sovelluskauppa.

Muitakin sovelluskauppoja on ja ne voidaan asentaa älypuhelimeen, jos laitteessa on asetus päällä, joka sallii ulkopuolisten asennuslähteiden käytön.

Yksi sovelluskauppa on F-Droid, joka jakelee avoimen lähdekoodin ohjelmistoja älypuhelimiin. Ne ovat pääsääntöisesti turvallisia käyttää, koska niiden lataaminen ei edellytä käyttäjäprofiilia. Sieltä on suositeltavaa ladata Firefox selain,  jota voi konfiguroida turvalliseksi.

Älypuhelimissa toimii TOR -verkko yllättävän hyvin. Asentamalla F-Droid sovelluskaupasta Orbot -ohjelmiston ja Orfox -selaimen, älypuhelimen yksityisyys paranee merkittävästi – etenkin, jos ei ole kirjautunut Google tunnuksilla sisään (tai millään muullakaan).

Näillä ohjeilla pitäisi päästä ainakin jonkin verran alkuun, mikäli yksityisyyden suojaaminen kiinnostaa.

Lopuksi

Yksityisyyttä voi suojata muutenkin, kuin pelkästään kehittämällä omia netin käyttötottumuksia. Esimerkiksi luopuminen kanta-asiakaskorteista on nopein tapa parantaa yksityisyyden suojaa, mutta myös siirtyminen käteisen käyttöön parantaa sitä merkittävästi. Päivittäiset kulutustottumuksemme vain tuppaavat tekemään kaikesta hyvin helppoa, josta seuraa yksityisyyden menettäminen.

Jokainen voi tehdä omia johtopäätöksiä siitä, kuinka merkittäväksi asiaksi kokee yksityisyyden suojan ja kuinka paljon haluaa asian hyväksi tehdä.

KTM Tuomo Ryynänen

Lehtori, Haaga-Helia Ammattikorkeakoulu

Digitalouden koulutusohjelma