Keskustelupalstan nykytila ja GDPR-lainsäädäntö

[Niko Rolamo]

Terve!

Tänne vastikään uuden tilin luoneena tulin kiinnittäneeksi huomiota siihen, ettei sivusto ole suojattu https. HTTPS on käytössä käytännössä kaikilla moderneilla sivustoilla, jotka vaativat käyttäjän kirjautumista. Lisäksi viime vuosina voimaan tulleen GDPR-lainsäädännön myötä vaatimukset henkilötietojen säilytykseen ja sen turvallisuuteen ovat koventuneet.

Haluaisinkin tietää, onko ylläpitäjällä suunnitelmaa sivuston päivittämisestä nykyaikaan ja sen vaatimuksiin?

T. Niko

[Jussi Laukkanen]

Salatun https:n hyöty tämän tyyppisellä sivustolla on jossain määrin kyseenalainen asia. Epäilemättä s-kirjain parantaisi sivuston uskottavuutta sellaiselle, joka näkee sivuston osoitteen hakutuloksissaan ensimmäistä kertaa. Sen lisäksi se varmaankin parantaisi näkyvyyttämme googlessa ja olisi mahdollisuus saada parempaa dataa google analyticsin kautta.

Https:n turvallisuusnäkökohta ei meidän sivuston kohdalla tunnu perustellulta argumentilta. En näe mitään syytä, miksi joku jakaisi henkilötietoja, salasanoja, maksutapahtumia tai mitään arkaluontoisia tietoja julkisella keskustelupalstalla. Toimiva ja tehokas tietoturva on nykyaikana välttämätön osa sähköistä viestintää, mutta sen on muodostuttava muista tärkeämmistä ja oleellisemmista tekijöistä ja tekniikoista kuin https-salauksesta.

Peruslähtökohta Resiina-keskustelussa samoin kuin useimmilla netin keskustelusivuilla on, että kaikki kirjoitettu on julkista ja sen vuoksi mitään salattavaa ei kenenkään pitäisi kirjoittaa. Sivuston ylläpidon tiedossa on, mistä sähköpostiosoitteesta kukin käyttäjä on kirjautunut ja mitkä käyttäjätiedot hän on itsestään halunnut antaa. Missään vaiheessa käyttäjältä ei edellytetä tunnistautumista.

[Teemu Sirkiä]

Argumentointi lähtee nyt siitä, että kiistetään tarve https-protokollan käytölle. Kysymys pitäisi kuulua niin päin, että miksi ylipäänsä haluaisin lähettää salasanani tälle sivustolle suojaamattoman yhteyden yli, kun nykypäivänä https-sertifikaatteja saa ilmaiseksi. Joka kerta kun kirjaudun sivustolle, niin on potentiaalinen riski sille, että joku kaappaa käyttäjätunnuksen. Argumentit pitäisi olla siis aika paljon vahvemmat sille, miksi https-salausta ei saada käyttöön.

Jotkin selaimet toimivat jo nykyään sillä olettamalla, että jos osoiteriville kirjoittaa ”vaunut.org”, niin se yrittää yhdistää osoitteeseen https://vaunut.org, mikä tässä yhteydessä päättyy ”Connection refused”-virheeseen.

[Teemu Sirkiä]

Toimiva ja tehokas tietoturva on nykyaikana välttämätön osa sähköistä viestintää, mutta sen on muodostuttava muista tärkeämmistä ja oleellisemmista tekijöistä ja tekniikoista kuin https-salauksesta.

Lisäksi http-liikenteestä on mahdollista kaapata suojaamattomista http-otsaketiedoista kenen hyvänsä aktiivisen käyttäjän sessioeväste ja täten koko tili, eikä tarvitse edes tietää käyttäjätunnusta tai salasanaa.

Jos https ei ole osa tärkeitä ja olennaisia tekijöitä, niin mikä on?

[Jussi Laukkanen]

Luonnollisesti https on olennainen suojaus silloin, kun suojaukselle on olemassa tarve.

En tiedä, mitä keskusteluja tästä asiasta on aikaisemmin käyty, mutta oletan, että pääsyy siihen, että tällä foorumilla ei https ole otettu käyttöön, on johtunut ihan käytännön ongelmista. Päällimmäisenä on ollut ehkä se, että vanhat URL-osoitteet lakkaisivat toimimasta.

[Sami Koistinen]

Pitäisihän https-sertifikaatti kuulua ihan suoraan webhotellin palveluihin. Omilla Suncometilla olevilla sivuillani riitti kun rupesi käyttämään suoraan https-etuliitettä ja teki uudelleenohjauksen http-sivuilta https-sivuille. Suncometin ohjeet asiaan menee noin:
https://suncomet.fi/tekniset-kysymykset/#18

Tutkikaapa miten asia on palveluntarjoajallanne.

[Teemu Sirkiä]

Päällimmäisenä on ollut ehkä se, että vanhat URL-osoitteet lakkaisivat toimimasta.

Tämä nyt on ihan höpöhöpöä. Selvästikin tiedoissa on aika pahoja puutteita, kun lukee näitä ylläpidon viestejä kokonaisuutena.

[Petri Sallinen]

Tietosuoja-asetuksen (GDPR) ehkä tärkein tehtävä on pitää huolta siitä, että sivustoa/palvelua käyttävien henkilötiedot eivät joudu vääriin käsiin. Kun henkilö rekisteröityy sivustolle/palveluun, hän luovuttaa henkilötietojaan, jotka tavalla tai toisella tallentuvat sivuston ylläpitäjän järjestelmään.

Tiedoista muodostuu henkilörekisteri. Mitä kaikkea rekisteriin on tallennettu, mitä tiedoilla on tarkoistus tehdä ja miten turvallisesti tiedot on tallennettu, jotta ulkopuoliset eivät pääsisi niihin käsiksi. Tämä on ydinkysymys, johon sivuston/järjestelmän ylläpitäjän on kyettävä vastaamaan. Järjestelmän haltija on myös vastuussa siitä, että suojaukset on tehty asianmukaisesti. Suojaukselle on siis jo lähtökohtaisesti aina tarve.

Malliksi julkinen tietosuojaseloste lehdestä, jota teen työkseni.
https://energia.fi/meista/yhteystiedot/tietosuoja/energiauutisten_tilaajarekisteri

Lisäksi kuvaukset evästekäytännöistä.
https://energia.fi/meista/yhteystiedot/evastekaytannot

[Jussi Laukkanen]

Petrille toteaisin, että minun on vaikea kommentoida GDRP-asetuksen vaatimuksia. GDRP-asetuksesta olen ollut kuuntelemassa pari kurssia, mutta niiden kautta en ole saanut oikein mitään käsitystä asiasta. Siksi olen pyrkinyt etenemään hitaasti seuraamalla, mitä muilla vastaavilla nettifoorumeilla tehdään. 

Vorgin tilanne GDRP:n suhteen tuntuisi olevan kaikkea muuta kuin selvä. Vorgissa tähän mennessä toteutetut kirjautumiskäytännöt ovat käsittääkseni sellaiset, ettei käyttäjien todellisia henkilötietoja kerätä. Käyttäjiltä ei edellytetä tunnistautumista eli jokainen käyttäjä ilmoittaa jonkin haluamansa nimen ja tekee kirjautumisen joltain hankkimaltaan sähköpostiosoitteelta. Sivustolla ei siis ylläpito eikä kukaan voi tietää näillä annetuilla tiedoilla kuka kukin todellisuudessa on. Se, että osa käyttäjistä tuntee toisensa ja siten ovat perillä toistensa henkilöllisyydestä ei ehkä kuitenkaan tee käyttäjien luettelosta henkilörekisteriä. Toisinkin voi olla, riippuu tulkitsijasta ja tulkinnasta.

Edellä sanomani on siis ainoastaan yksi näkökulma. GDRP:n osalta on oikeuskäytäntö minun käsitykseni mukaan vielä muotoutumatta. Emme kai vielä tiedä, miten asetusta erilaisissa tilanteissa todellisuudessa tullaan tulkitsemaan. Tietysti GDRP:n asettamat vaatimukset on otettava huomioon keskustelufoorumeilla ja siihen liittyvää keskustelua on seurattava, jotta oikeita toimenpiteitä voidaan tarvittaessa toteuttaa.

On olemassa uhkakuva, että GDRP:n säädösten tulkinnasta käytännön tilanteissa muodostuisi tulevaisuudessa ongelma tämän tyyppisille avoimille ja maksuttomille foorumeille kuten Resiina-keskustelu, koska siitä aiheutuvia toimenpiteitä ei ehkä voisi toteuttaa ilman taloudellisia panostuksia.

Mitä tulee http:n ja https:n vaikutukseen URL-ositteessa, niin olen ollut siinä käsityksessä, että osoite (esim linkki jollain nettisivulla) lakkaa toimimasta, jos yhdenkin merkin muuttaa. Täytyy tässä yhteydessä todeta, että äärimmmäisen epäteknisenä ihmisenä tietoni tekniikan eri aloilta kaikkiaan ovat hyvin hatarat, joten on parasta lähteä siitä, että tietoni on väärä.

[Petri Sallinen]

Käsittääkseni pelkkä sähköpostiosoite on jo henkilötieto ja niiden keräämisestä muodostuu henkilörekisteri. Ainakin näin työpaikkani juristit asiaa taannoin tulkitsivat, kun laadimme lehteämme koskevaa tietosuojaselostetta.

Tietosuojavaltuutetun toimistosta saa kyllä tarkan tulkinnan. Veikkaisin, että tämä sivusto tulkitaan yhdistystoiminnaksi, jota koskevaa GDPR-tietoa löytyy tietosuojavaltuutetun sivustolta https://tietosuoja.fi/usein-kysyttya-yhdistystoiminta

Sivuston tarjoama palvelu esiintyy käyttäjille ilmaisena, mutta tuskin se sitä todellisuudessa on. Voisi kuvitella, että ainakin levytila maksaa, joka näkyy sivustoa julkaisevien MRY:n ja SRHS:n tilinpäätöstiedoissa jonkin sortin kuluina — enpä ole koskaan tullut asiaa tsekanneeksi, vaikka olen kummankin yhdistyksen jäsen. Ehkä kysyn asiaa seuraavassa yhdistyskokouksessa tilintarkastajalta  

Välillisesti sivuston ylläpidosta aiheutuvat kulut todennäköisestti katetaan jäsenmaksuilla, vaikka sivuston käyttö ei edellytäkään yhdistysten jäsenyyttä. Käytännössä tämä siis tarkoittaa sitä, että jäsenmaksuja maksavat yhdistyksen jäsenet subventoivat niiden sivuston käyttäjien aiheuttamia kuluja, jotka eivät ole jäseniä. Tuskinpa mitään sivustoa voidaan ylläpitää tai kehittää ilman taloudellisia panostuksia.

[Jussi Laukkanen]

Sivuston tarjoama palvelu esiintyy käyttäjille ilmaisena, mutta tuskin se sitä todellisuudessa on. Voisi kuvitella, että ainakin levytila maksaa, joka näkyy sivustoa julkaisevien MRY:n ja SRHS:n tilinpäätöstiedoissa jonkin sortin kuluina — enpä ole koskaan tullut asiaa tsekanneeksi, vaikka olen kummankin yhdistyksen jäsen. Ehkä kysyn asiaa seuraavassa yhdistyskokouksessa tilintarkastajalta  

Välillisesti sivuston ylläpidosta aiheutuvat kulut todennäköisestti katetaan jäsenmaksuilla, vaikka sivuston käyttö ei edellytäkään yhdistysten jäsenyyttä. Käytännössä tämä siis tarkoittaa sitä, että jäsenmaksuja maksavat yhdistyksen jäsenet subventoivat niiden sivuston käyttäjien aiheuttamia kuluja, jotka eivät ole jäseniä. Tuskinpa mitään sivustoa voidaan ylläpitää tai kehittää ilman taloudellisia panostuksia.

Näin asia tietysti on: jonkun on kustannuksista huolehdittava. Periaatteellisella tasolla tämän voi nähdä niin, että kuvia vorgiin lisäävät ja keskusteluun osallistuvat käyttäjät tuovat sivustolle ja sen taustaorganisaatioille arvoa, vaikka iso osa käyttäjistä ei ole jäseninä taustayhteisöissä. Käyttäjien voi katsoa toteuttavan toiminnallaan yhdistysten tavoitteita ja siksi käyttäjät ovat saaneet tämän subventoinnin jäsenmaksua maksavilta jäseniltä.

Mitä tulee http:n vaihtamiseen https:ään, en tietenkään millään muotoa vastusta tätä muutosta. Kysymys on siitä, että käytettävissä on rajalliset resurssit ja aina kohdataan kysymys, että kuka tekee ja millä ajalla tai jos palkattu taho asian hoitaa, kuka maksaa. Siksi olen hyväksynyt tässä asiassa kuten monessa muussakin parannustavoitteessa tämän sivuston kohdalla tilanteen, jossa käyttöön ei oteta parasta vaihtoehtoa, vaan mennään sillä, joka on olemassa ja jota voi pitää toistaiseksi hyväksyttävänä. Tämän vuoksi en ole kiirehtinyt myöskään GDPR:n osalta.

Tulevaisuudessa voidaan olla tilanteessa, jossa on tarpeen toteuttaa isompi joukko kehityshankkeita. Se voi vaatia hieman rahaa, mutta ainakin se vaatii ihmisiä, joilla riittää aikaa ja energiaa toteuttaa näitä hankkeita. Omalta osaltani minun on todettava, että aikani ei riitä yhtään enempään eikä osaaminenkaan monessa asiassa. Siksi toivoisin, että mahdollisimman moni harkitsisi ryhtymistä tämän sivuston vetäjäksi ja olisi asiasta yhteydessä julkaisijayhdistyksiin.

[Mikko Herpman]

Teknisesti https käyttöönotto on suhteellisen suoraviivainen. Suoraa kulua tulee varmenteen hankkimisesta, luokkaa 50-150€/vuosi tai useampi. Varmenne pitää tilata sivuston osoitteeseen tai osoitteisiin mikäli useampia. Samassa varmenteessa voi olla useampi nimi. Web-palvelimen asetuksissa syötetään varmenne ja tehdään uudelleen ohjus http->https. Eli jos joku kilauttaa vanhalla http-linkillä ohjataan automaattisesti https-sivuun, edellyttäen että loppu osoite säilyy samanlaisena.

[Uwe Geuder]

Suoraa kulua tulee varmenteen hankkimisesta, luokkaa 50-150€/vuosi tai useampi.

Varmenne ei ole enää maksanut mitään vuosiin. On toki firmoja, jotka myyvät tietämättömille, mutta ei ole pakko ostaa. Let's Encrypt on teknisesti hyvin arvostettu organisaatio joka myöntää varmenteita ilmaiseksi. (Taustalla on Linux Foundation, rahoittajat Google, IBM jne., siis ei köyhiltä oteta.)

Hieman kokemuksella homma hoituu tunnissa tai parissa, paljon kokemuksella nopeamminkin. Minulla ei ole sen kanssa kokemusta, mutta sain sen laitettu helposti: https://uwe.iki.fi/public (palvelimella ei ole juuri mitään julkista, mutta varmennetta voi silti tutkia jos haluaa). Jos joku on kiinnostunut, voin näyttää tai auttaa (Linuxilla, Windowsiin en ole enää koskenut kohta viitisentoista vuotta).

Se mitä voisi maksaa, on CPU-aikaa. Salaus vaatii hieman tehoa. Jos palvelin höyryää jo nyt 90%:llä huippuaikoina, teho ei taida enää riittää. Kuinka paljon tehoa tarvitaan, siitä minulla ei ole kokemusta, koska en ole koskaan ylläpitänyt konetta, jolla olisi enemmän kuin 5 satunaista käyttäjää.

Kyllä minäkin olen huomannut salauksen puuttumista. Mutta kun kyse on kai talkoolla(?) ylläpidetyllä palvelusta, en ole kehdannut sanomaan mitään. Suurin tietoturvaongelma on kai, jos ihmiset käyttävät samaa salasanaa muuallakin ja kirjautuvat sisään vorgiin jollakin jaetulla verkolla, esim. kirjastossa tai kahvilassa. Tai koti-WLAN ei ole konfattu turvallisesti. Kokemuksen mukaan semmoisia käyttäjiä on olemassa, vaikka varmaan kaikki tietävät ettei samaa salasanaa saa koskaan käyttää enemmän kuin yhdessä palvelussa.

[Jussi Laukkanen]

Nuo ovat ainakin minun mielestä tärkeimmät turvatekijät verkossa. Itse olen aikoinaan pelannut varman päälle erottamalla kaikki pankkiasiat ja muut pankkitunnusten käyttöä edellyttävät asiat omalle selaimelle. Nykyisin olen erottanut ne jopa fyysisesti eri koneelle. Luonnollisesti olen sometilejä varten hommannut siihen tarkoitetun sähköpostiosoitteen, jota ei käytetä mihinkään muuhun.

Onko tuollainen sitten liiallista, en osaa sanoa, mutta ompahan ainakin riskit minimoitu. Huonomuistiselle ihmiselle monen sähköpostitilin kanssa toimiminen tuntuu tietysti ajoittain työläältä.

[Roni Äikäs]

Sivuston ylläpidon tiedossa on, mistä sähköpostiosoitteesta kukin käyttäjä on kirjautunut ja mitkä käyttäjätiedot hän on itsestään halunnut antaa. Missään vaiheessa käyttäjältä ei edellytetä tunnistautumista.

Rekisteröintisivuilla lukee "Oikea nimi on pakollinen". Myös esimerkiksi GDPR-lainsäädännön osalta myös esimerkiksi sähköpostiosoite tai IP-osoite lasketaan henkilötiedoksi. ks. https://tietosuoja.fi/mika-on-henkilotieto
GDPR-rekisteriselosteen idea on siis vain kertoa käyttäjäille mitä tietoja heistä tallennetaan tietokantaan (eli rekisteriin), ja kertoa keneen ottaa yhteys mikäli hän haluaa korjata tietoja tai poistaa ne kokonaan.

HTTPS-keskusteluun liittyen: en tiedä missä sivut pyörivät (webhotellissa, jollain palvelimella?), mutta HTTPs:n käyttöönotto ei vaadi muuta kuin että lisenssit luodaan esimerkiksi Let's Encryptin certbot-ohjelmalla (myös päivittää ne automaattisesti), ja palvelinohjelmisto (apache, nginx) konfiguroidaan niin että http:// osoitteet uudelleenohjataan https:// osoitteisiin.

Tällöin siis vanhat osoitteet ohjataan automaattisesti uusiin https:// osoitteisiin.

Autan mielelläni palvelinasioihin liittyen. Minuun saa yhteyden sähköpostitse profiilini sähköpostiosoitteesta.

[Teemu Sirkiä]

lisenssit

Sertifikaatti

[Juhani Pirttilahti]

Firefox ei enää avaa mobiilissa vorgiin osoittavia linkkejä ilman manuaalista operointia https->http osoiterivillä.