Jutussa mainittu liftauswiki on hitchwiki ja blogi tietysti tämä nimenomainen.

Joskus aiemmin jutun liftauksesta kirjoitti myös Tamperelainen Utain.

Kaikkihan aina kuitenkin järjestyy! Madventures – kansainvälisen seikkailijan opas -kirjassa kirjoitetaan näin:

Kyse on asioiden asettamisesta tärkeysjärjestykseen. Jos haluaa lähteä pitkälle matkalle, raha ei ole este vaan järjestelykysymys. Pelkillä kesätyösäästöillä voi matkustaa useita kuukausia, opintolainoja saa, asunnostaan voi luopua ja muuttaa tilapäisesti kaverin tai sukulaisen luokse, omaisuuttaan voi myydä, baareissa käynnin ja röökaamisen panna lakkoon vaikkapa puoleksi vuodeksi ja jättää kaikki paitsi välttämättömimmät ostokset tekemättä vuoden ajan… Rahaa säästyy taatusti näitä keinoja käyttämällä riittävästi pitkää reissua varten.

Käytännössä lähes jokainen länsimaalainen on jo syntymällä länsimaihin ollut niin onnekas, ettei varallisuus ole mikään este. Aina voi metsästää kaukokaipuulleen tyydytystä.

Madventures on hieno ilmiö monelta kantilta. Viihteenä se on erinomaista vaikkei matkailusta olisi kiinnostunutkaan. Jätkät ovat luultavasti myös rohkaisseet maailmalle sellaisen lauman nuoria, lähes rahattomia reissaajia kokemaan maailmaa, etteivät mitkään matkailunedistämiskeskukset kykene samaan.

Ohjelmasarjasta saa hyvin inspiraatiota reissujen suunnitteluun – itsekin tsekkasin ykköskauden vasta ja luin kirjankin. Kokeneemmatkin reissaajat saanevat hyviä käytännön vinkkejä pikkujuttuihin, mutta ennenkaikkea niistä oppii siitä asenteesta.

Porkkanointi jäi vähälle, lähinnä mulle jälkeenpäin kiteytyi ideaksi että kuluttamisen(kin) suhteen ihmiset kyllä nykyään tietää mikä on eettistä tai kestävää ja mikä ei sitä ole. Ihmiset vain tuppaavat tekemään juttuja, jotka tietävät vääräksi tai haitallisiksi ihan tietoisestikin. Millä siihen sitten vaikuttaisi? Tehdäänkö positiiviset asiat helpoksi ja negatiiviset laittomaksi. Noin niinku kärjistettynä, vai jotain muuta?

Hoo, että porkkanointi? Sehän = semmoinen positiivissävytteinen kuluttaja-aktivismin muoto, joka on viimeaikoina saanut ihan mukavasti mediahuomiotakin. Jyväskylän toiminta muotoutunee pikkuhiljaa, seuraa Facebookia sekä ningiä.

“Parasta mitä hipit on keksineet vähään aikaan“.

Esimerksiksi Sanoman boikotoiminen olisikin jo aivan eri juttu. Yritys omistaa suurinpiirtein puoli Suomea, kuten vaikkapa huomattavan osan Suomen kaikista medioista; sanomalehtiä, aikakausilehtiä, verkkopalveluita, televisiokanavia, radiokanavia. Näiden lisäksi konserniin kuuluu valtava määrä muiden toimialojen yrityksiä Sanoma Traden (Rautakirja Oy) kautta.

Siinäpä siis firma jota ei aivan helposti boikottiin laitetakaan.

Mutta voi Almaparkaa! Se on vielä hahmotettavassa kokoluokassa ja kokonaisuudessaan boikotoitavissa. Kuvitteellisen Sanoma-boikotin kohdalla protestointi kohdistuisi luultavasti johonkin sen osaan, kuten sanomalehtiin. Alman kohdalla näin ei nyt ole, vaan boikotoinnin kohteeksi on joutunut myös yrityksen vasta ostama, yhden miehen johtama blogipalvelu Vuodatus.net. (Haastekampanja).

Blogiyhteisö käyttää politikointiin sen omia työkaluja, blogeja ja blogipalveluita. Bloggaajien verkko- ja yhteisövoima on perinteisesti ollut valtava, enkä yhtään epäilisi etteikö vuodatus.net joutuisi ongelmiin jos Almamedian kriisi ja konsernin boikotointi pitkittyisi.

Almamedian hallitus on kriisissä eikä erota yritykselle selvästi haittaa aiheuttanutta toimitusjohtajaansa. Kuinka Telanne voi toimia työssään, sillä tottahan toki alaisten luottamuspula TJ:aan on merkittävä ongelma. Boikotti on täysin oikeutettu, mutta pitäisikö meidän pohtia sen kohdistamista hieman uusiksi? Vuodatuksen menettäminen alalta olisi oikeasti merkittävä menetys yhteisölle.

Ymmärrän, että kaikki haluavat osallistua. Pitäisiköhän boikotin kärjen kuitenkin kohdistua lähinnä Lapin Kansaan, eikä sinne tänne minne sen kohdistaminen tuntuu helpommalta? Muistakaa koko boikottitohinalta myös viestittää suoraan yritykselle palautekanavia pitkin, kyllä sekin on toimivaa vaikkei niin dramaattiselta tuntuisikaan.

Haastattelija: Onko sammon verkkopankissa tietoturva-aukko?
Hannu Vuola: Ei.
Haastattelija: Tänään kerrottiin että siinä olis ollu, mitä te sanotte siihen?
Hannu Vuola: Meillä oli tota pieni tietoturva ongelma meidän sivustolla, mut se ei ollu verkkopankissa kyllä suorastaan ja me on korjattu se monta tuntia sitten.

Viestintäjohtaja siis ajattelee, että erittelemällä verkkopankin ja sivuston informaatio-osuudet kahdeksi erilliseksi “sivustoksi”, voidaan sanoa ettei sammon verkkopankissa ole tietoturva-aukkoa. Tavalliset käyttäjäthän eivät näin ajattele.

Kun “pieni tietoturva ongelma” sitten löydettiin ja korjattiin, olisi fiksu pankki tietysti tutkinut ohjelmistonsa läpi muiden vastaavien ongelmien varalta. Muutoin tämmöiset pikkuohjelmoijat Jyväskylästä tsekkaa sivuston läpi ja löytää lisää aukkoja.

Lue lisää XSS-haavoittuvuuksista XSS-sivultani.

Kieku Oy:llä on kunnianhimoinen tavoite uudistaa hommaa:

Ministeri myös ilmaisi ihailevansa Kieku Oy:n pyrkimystä luoda kananmunasta brändi ja kiitosta sai myös rohkeus, jolla Kieku verkkosivuillaan on antanut yrittäjille kasvot.

Tiedote avajaisista 1.2.

Jännää miten sitä ihminen ostaa nätimmän paketin, vaikka ihan samoja luomumunia olis kaikissa paketeissa.

• KSML.fi: Talo vallattu yliopiston kampusalueella
• HS.fi: Yliopiston rakennus vallattin Jyväskylässä
• Yle: Yliopiston rakennus vallattiin Jyväskylässä

Muistakaa, että vaikka Helsingissä nuorisoliikehdintä lisätilojen (nuoriso- ja opiskelijapippalotilat) saamiseksi on ollut näkyvintä, puuttuu tiloja paljon myös Jyväskylästä. Onneksi kohta saadaan veturitallit kulttuurikäyttöön, edes.

Valtaajat kommentoivat osuvasti:

Yliopisto ja kaupunkitila ovat kriisissä. Monet urputtavat. Me teemme.

Viimeaikoina on uutisoitu paljon XSS (Cross Site Scripting) -aukoista, joten tsekkailin joutessani läpi suomalaisia uutispalveluita ja muita johtavia/turvallisiksi luultuja nettisivustoja ko. ongelman varalta. Lähes jokaisella sivustolla, jonka testasin, oli XSS-aukkoja. Yleensä viat löytyivät alle minuutissa. Todella harmillisella tolalla isojenkin sivustojen phising-sietokyky. Erityisesti minua huolettaa nuo pankit.

Listaamani esimerkit saattavat olla hieman karkeita, mutta ajan kanssa aukkojen avulla saisi hiottua todella taitavia huijauksia, jotka pahimmillaan aiheuttaisivat asiakkaille rahanmenetyksiä. Aikkoja löytyi myös Osuuspankin ja Aktia-pankin nettisivuilta, jotka luokittelisin vakavimmiksi.

XSS-haavoittuvuutta voi hyödyntyää rikollisesti muotoilemalla sellaisen sähköpostin, että käyttäjä klikkaa viestissä olevaa linkkiä ja antaa jotain tärkeää informaatiota sivustolla joka linkistä aukeaa. Yleensä käyttäjätunnuksia ja tunnuslukuja sivustolle, jolla käsitellään rahaa. Lisää haavoittuvuudesta voi lukea esim. Wikipediasta tai Tietokone-lehden blogista.

Testailut olen tehnyt vain Opera-selaimella, joten jotkin XSS-aukot saattavat pikkusäätöjen vuoksi jäädä toimimatta muilla selaimilla. Ne ovat kuitenkin toimivia eivätkä vaatisi paljoa säätöä toimiakseen hyvin.

Materiaalit (tekstit ja kuvat) ovat vapaasti lehdistön ja bloggaajien käytettävissä.

Olen informoinut jokaista sivuston ylläpitäjää. Testataksesi haavoittuvuutta, klikkaa sivuston nimeä tai lue tarkemmat ohjeet/vian kuvaus.

Lista

Korjaamatta

1. Sampopankki (joukkolainat.fi korjaamatta)
   Sammon parjatusta verkkopankista löytyi jälleen tietoturva-aukko (19.4.). Aukon kautta on mahdollista suorittaa ns. phising-hyökkäyksiä. Esimerkeissä kirjoitan sivun päälle omaa sisältöäni, mm. youtube-videon.

   Toisessa esimerkissä näkyy Nordean sivu sampopankin päällä.

   Myös sampopankin palvelut Joukkolainat.fi sekä Rahastot.fi ovat haavoittuvaisia (katso esimerkit linkeistä).

   Tästä minulla on kuvakaappaus (TIF, 572 Kb), josta näkyy kuinka osoiterivillä lukee sampopankki.fi

   Olen aiemmin löytänyt aukot jo nordea-, osuus-, ja aktia-pankkien sivuilta. Sampopankkia en aiemmin jaksanut tutkia sivuston pätkimisen vuoksi. Nyt kun tsekkasin niin löytyihän sieltäkin moisia.

2. Yle (1/3 aukkoa korjattu)
   Ylen sivuille on mahdollista (joskin hieman pidemmän mutkan kautta kuin muille tällä listalla) syöttää käytännössä mitä tahansa haittakoodia. Ylen keskustelualueella on enemmänkin XSS-aukkoja - oikeastaan koko softa pitäisi vaihtaa jos haluavat nuo korjata. (esim 1, esim 2). Ensimmäinen esimerkki aukaisee poliisi.fi-sivuston Ylen sivun päälle ja jälkimmäinen näyttää vain varoituksen.
3. Hätäkeskuslaitos
   Hätäkeskuksen sivuille voi kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa poliisi.fi-sivuston ko. sivun päälle.
4. Kuopion yliopisto
   Haavoittuvuuden avulla Kuopion yliopiston sivuille voidaan kirjoittaa mitä tahansa haittakoodia. Esimerkki kertoo haavoittuvuudesta virheilmoituksena.
5. Telkku.com
   Telkku.com on todella reikäinen ja sisältää vaarallisenkin XSS-aukon. Syötteitä ainoastakaan sivuston lomakkeesta ei tarkisteta ja sivuston URL kopioidaan sellaisenaan tarkistamatta sivuston lähdekoodiin - useita kertoja. Esimerkki lataa poliisi.fi-sivun.

   Sivustolle on myös mahdollista tallentaa pysyvästi haittakoodia muiden surffailijoiden nähtäväksi - tämä ei siis vaadi minkäänlaista linkin lähettämistä tms. hyökkääjältä, vain sen että telkku.comissa surffailija sattuu eksymään vahingoitetulle sivulle. Esimerkki varoittaa haavoittuvuudesta (muokattu telkku.comin käyttäjäsivu).

6. Sonera
   Soneran salatun yhteyden päässä oleva sivu antaa kirjoittaa laajakaistan tilauslomakkeeseen mitä tahansa haittakoodia. Esimerkki kirjoittaa pienen jekkuboxin sivun ylälaitaan.

   Aukko on siitä vaarallinen, että sivuston kautta käsitellään rahaa ja tarkkoja henkilötietoja.

7. Helsingin kaupunki (1/2 korjattu - wlan-aukko jäljellä))
   Helsingin rekrypalveluiden sivuilta vuotaa sivuille läpi käytännössä mitä tahansa haittakoodia. Tämän avulla voi tekaista esim. valheellisia työpaikkailmoituksia, tai sellaisia paikkoja johon ihmiset sitten jättävät lomalleella henkilötietojaan. Toinen aukko on WLAN-tukiasemien hakukartalla. Esimerkit latailevat taas tuttua poliisi.fi-sivua.
8. Aurinkomatkat
   Aurinkomatkojen hakusivu ei tarkista saamiaan arvoja. Esimerkki lataa poliisi.fi-sivun.
9. Villivision CMS Luova Tampere, Enmac
   Tamperelaisen Villivision-yrityksen ohjelmistossa on xss-haavoittuvuuksia, joiden kautta sivuille voidaan kirjoittaa mitä tahansa sisältöä. Tsekkasin kolme eri sivustoa, mutta tiedä miten paljon firmalla sitten on asiakkaita... Esimerkit kirjoittelevat tekstejä sivuille.
10. Nokian renkaat
    Simppeli XSS-aukko tulostaa sivulle tekstin.
11. Score24 (mm. mtv3 käyttää)
    mm. mtv3-nettisivun käyttämä score24-tulospalvelu sisältää aukon, jonka kautta sivuille voi kirjoittaa mitä tahansa lähdekoodia. Esimerkki lataa poliisi.fi-sivun.

Korjattu

Huom. alempana listassa vielä erikseen korjaamattomat post-aukot.

12. Helsingin Sanomat (2/2 aukkoa korjattu)
    Esimerkki aukaisee hs.fi:n päälle poliisi.fi-sivun. Haavoittuvuuden avulla on mahdollista esimerkiksi vakoilla käyttäjän tunnukset. Tunnuksilla voisi esim. tehdä osoitteenmuutoksia, tuote- ja lehtitilauksia.

    Aiemmin löytämäni XSS-aukko korjattiin 30.3.

13. Osuuspankki (korjattu)
    Osuuspankin sivuilla edelleenohjaussivu antaa kirjoittaa sivulle käytännössä mitä tahansa koodia. Sama ongelma kuin pohjolassa. Esimerkissä ko. sivun päälle on ladattu poliisi.fi. Joskus vian ilmeneminen vaatii ensin op.fi-osoitteessa käyntiä, en tiedä miksi.

    Tästä minulla on kuvakaappaus (TIF, 680 Kb), josta näkyy kuinka osoiterivillä lukee op.fi, sivuksi on ladattu poliisi.fi ja oikeassa ylänurkassa vieläpä onnistuneesta salatusta yhteydestä kertova lukko.

14. Pohjola (korjattu)
    Pohjolan sivuilla edelleenohjaussivu antaa kirjoittaa sivulle käytännössä mitä tahansa koodia. Esimerkissä ko. sivun päälle on ladattu poliisi.fi.
15. Aktia Säästöpankki (korjattu)
    Aktian sivuilta XSS-aukko löytyi ennätysnopeasti. Heti etusivulla muutamassa sekunnissa! Esimerkissä ko. sivun päälle on ladattu poliisi.fi.

    Tästä minulla on kuvakaappaus (TIF, 341 Kb), josta näkyy kuinka osoiterivillä lukee aktia.fi ja sivuksi on ladattu poliisi.fi

16. Tapiola (korjattu)
    Tapiolan sivuilla on lomake, joka antaa kirjoittaa sivupohjaan mitä tahansa haittakoodia. En ole vielä ehtinyt tutkia, miten sitä voisi hyödyntää XSS-aukkona (jotenkin sopivasti POST-tietoja tuonne lähettämällä jokatapauksessa), mutta voitte itse kokeilla kopioimalla vaikkapa yrityksen nimi-kenttään tämän tekstin: "><h1>XSS-aukko<!--
17. Opetusministeriö
    Opetusministeriön sivuilla hakusivu antaa kirjoittaa sivulle käytännössä mitä tahansa koodia. Esimerkissä ko. sivun päälle on ladattu poliisi.fi.
18. Opetushallitus
    Esimerkissä Opetushallituksen sivuston päälle aukaistaan poliisi.fi-sivusto. Haavoittuvuuden avulla voidaan ladata mitä tahansa sisältöä OPH:n sivuston sisälle.
19. Eläke-Fennia
    Eläke-Fennian sivuilla hakusivu antaa kirjoittaa sivulle käytännössä mitä tahansa koodia ilman minkäänlaista tarkistusta. Esimerkissä ko. sivun päälle on ladattu poliisi.fi. Sivu voi ladata hetken (löytää paljon osumia hakukentän kautta.)
20. Oikeusministeriö (korjattu)
    Haavoittuvuuden avulla Oikeusministeriön sivuille voidaan kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa sivun päälle poliisi.fi-sivuston.
21. STT
    Haavoittuvuuden avulla STT:n sivuille voidaan kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa STT-sivun päälle poliisi.fi-sivuston.
22. Stakes (korjattu)
    Stakesin (Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus) sivuilla hakusivu antaa kirjoittaa sivulle käytännössä mitä tahansa koodia. Esimerkki kertoo haavoittuvuudesta varoitusikkunalla ja kirjoittaa sivulle JavaScriptilla tekstin XSS-haavoittuvuudesta. Tämä tapaus on siitä uskomaton, että sivusto jopa viimeistelee ja siistii kirjoittamani simppelin JavaScriptin kertomalla selaimelle että tässä hakusanassa on nyt tosiaankin JavaScriptiä eikä mitä tahansa "scriptiä", kuten minä laiskasti väitän.
23. Otto (automatia) (korjattu)
    Automatian otto-palvelussa voi hakuominaisuuden kautta kirjoittaa sivustolle mitä tahansa haittakoodia. Esimerkki lataa sivun päälle poliisi.fi-sivuston.
24. Digitoday (3/3 korjattu)
    Sivuston osoite kopioituu suoraan lähdekoodiin ja sallii minkä tahansa koodin ajamisen. Esimerkki aukaisee poliisi.fi-sivun digitodayn päälle.

    Aiemmat bugit on jo korjattu:
    Digitoday käyttää taloussanomien kanssa yhteistä keskustelu-kantaa, joten tämä on identtinen bugi taloussanomien kanssa. Lisäksi Digitodayn keskustelualueen hakukentässä on XSS-aukko.

25. Nebula (korjattu)
    Haavoittuvuuden avulla Nebulan sivuille voidaan kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa poliisi.fi-sivun Nebulan päälle. Myös tilauslomake sisältää post-lomaketiedoilla hyödynnettävän aukon, mutta siitä en ehtinyt rakentamaan demoa. Voitte kokeilla tilausprosessissa edetessä ensimmäiseen eteentulevaan tekstikenttään kirjoittaa vaikkapa: <u>alleviivaus</u>
26. Suomen posti / Itella (2/2 aukkoa korjattu)
    Postin pakettilaskuri salliin koodin kirjoittamisen sivupohjaan. Esimerkki lataa poliisi.fi-sivuston.

    Tämä aukko korjattiin 1.4.:
    Postin sivuilla on todella uskomaton hakusysteemi käytössä. Sillä voi sisällyttää mitä tahansa sivuja postin palvelimella ajettavaksi, jolloin tietysti voidaan suorittaa mitä tahansa koodia. Esimerkissä postin sivun päälle ladataan oman palvelimeni kautta poliisin sivut. Kaikki sivustot jotka käyttävät samaa hakukoneta (Ultraseek) ovat haavoittuvaisia. Sama haavoituvuus löytyy tietysti myös Ultraseekin omilta sivuilta.

27. Helsingin karttapalvelu (korjattu)
    Helsingin karttapalvelu antaa kirjoittaa sivuillensa mitä tahansa haittakoodia. Esimerkki lataa sivun päälle poliisi.fi-sivun. Lisäys: toimii näköjään vain jos osoitteen kopioi osoitekenttään.
28. Keskisuomalainen (korjattu)
    Haavoittuvuus lehdentilausprosessissa, siinä vaiheessa kun siirrytään maksamaan tilausta, mahdollistaa minkä tahansa koodin kirjoittamisen keskisuomalainen.com-sivustolla. Esimerkki lataa poliisi.fi-sivun.
29. Maikkari (korjattu)
    MTV3-kanavan sivustolla on videopalvelussa aukko, joka sallii javascript-komentojen suorittamisen sivustolla. Esimerkki lataa poliisi.fi-sivuston maikkarin sivun päälle (varoituksen kera).
30. City.fi / Deitti.net (5/5 aukkoa korjattu, kts. post-kohta) (Tämän ensimmäisen löysi Margus Sipria. )
    Deitti.net / City.fi -palveluiden lomake antaa kirjoittaa sivustolla tarkistamatta mitä tahansa koodia. Toinen aukko sijaitsee kerro kaverille -ominaisuudessa. Esimerkit lataavat poliisi.fi-sivun city.fi:n päälle. Tällä olisi mahdollista saada ihmisistä hyvinkin yksityisiä ja arkoja tietoja urkittua.
31. Nelonen.fi (korjattu)
    Haavoittuvuuden avulla voidaan ladata mitä tahansa sisältöä Nelonen.fi-sivuston sisälle. Esimerkissä lataan ulkoisen HTML-tiedoston (punainen teksti) sivustolle. Tässä esimerkki punaisesta nelosesta.
32. JimTV (korjattu)
    Jim-televisiokanavan sivustolla on videopalvelussa aukko, joka sallii minkä tahansa koodin kirjoittamisen sivustolle. Esimerkki lataa sivun päälle poliisi.fi-sivuston.
33. Plaza (korjattu)
    Plazan sivuille voi mobiili-sivun hakutoiminnon kautta syöttää mitä tahansa haittakoodia. Esimerkki lataa sivun päälle (hieman kömpelösti tosin) poliisi.fi-sivuston.
34. Afterdawn (korjattu)
    Afterdawn, digi-viihdetekniikkaan keskittynyt uutissivusto antaa hakukentässään kirjoittaa sivustolle mitä tahansa koodia. Esimerkki lataa poliisi.fi:n sivun päälle.
35. Taloussanomat (korjattu)
    Taloussanomien uutiskommentoinnin kautta voi sivustolle kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa sivun päälle poliisi.fi-sivuston. Myös taloussanomien tagi-sivu vuotaa vähän, mutta ihan XSS:ksi asti tästä ei ole.
36. Tietokone.fi (korjattu)
    Tuo aiempi aukko osoittautuikin vähän tehottomaksi, mutta uusi löytyi pienellä vaivalla. Tuo sivuston hakuboxi siis sallii html:n lisäämisen sivustolle, mutta vain keksien kautta, joten XSS-hyökkäyksessä sellaista on hankala hyödyntää. Uusi aukko antaa kirjoittaa mitä tahansa sisältöä sivustolle. Esimerkki lataa poliisi.fi-sivuston tietokone-sivun päälle.

    Tietokone-lehden sivustolla on alkeellinen hakukentän "XSS-karkaus". Tämä on siitä ikävä, että sivusto tallentaa haut selaimeen, jolloin bugista ei pääse eroon. Tuon linkin jälkeen www.tietokone.fi siis näyttää aina poliisilta. ;-)

37. Iltalehti (korjattu)
    Haavoittuvuuden avulla voidaan ladata mitä tahansa sisältöä Iltalehti.fi-sivuston sisälle. Esimerkissä näytetään selaimen varoitus ja kirjoitetaan iso teksti keskelle sivua.
38. Grafia (korjattu)
    Graafisen suunnittelun ammattilaisten järjestö, Grafia ry on XSS-haavoittuvainen. Sivustolle on hakukentän kautta mahdollista kirjoittaa mitä tahansa haittakoodia. Sivusto salaa yhteyden (https). Esimerkki lataa sivun päälle poliisi.fi:n.
39. Blogilista.fi (Sanoma Digital Oy) (korjattu)
    Sivustolle voidaan kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa poliisi.fi-sivuston blogilistan päälle, joskin sijoittelu vähän mättää: en ehtinyt käyttää hienosteluun aikaa.
40. Sektori.com (korjattu)
    Salasanamuistutuslomakkeen kautta voidaan sivustolle kirjoittaa mitä tahansa haittakoodia. Esimerkki lataa poliisi.fi-sivuston sektorin päälle.
41. Patentti- ja rekisterihallitus (korjattu)
    PRH-sivustolla lomakkeelle voi syöttää mitä koodia tahansa "esitäytettäväksi". Esimerkki lataa poliisi.fi-sivuston PRH:n päälle.
42. Pingstate.nu-yhteisösivu (korjattu)
    Sivusto antaa kirjoittaa mitä tahansa haittakoodia. Esimerkissä Punainen laatikko "XSS-haavoituvuus"-tekstillä.
43. Postin kampanja / PHS (korjattu)
    PHS-mainostoimiston toteuttamassa kampanjassa postille on lomakkeenkäsittelyssä puute, joka sallii minkä tahansa koodin kirjoittamisen sivuille. Esimerkissä pieni aprillipila. :-)
44. Verkkokauppa.com (korjattu)
    Verkkokaupan salasanamuistutus-lomake ei tarkista vastaanottamaansa POST-arvoa. Sivustolle voi kirjoittaa mitä tahansa haittakoodia. En vielä ehtinyt rakentamaan javascript-formia, joka ensin avaisi tuon sivun, sitten lähettäisi post-käskyn uuden ikkunan oikeaan frameen. Pelkälle framesetille kun post-käskyä ei voi lähettää - eli sikäli aukko on vähän mutkan kautta käytettävissä. Voitte testata sitä kirjoittamalla sähköpostikenttään:
    <h1 style="color:red">Tässä on XSS-aukko</h1>

    Tämä on siitä vaarallinen aukko, että crakkeri pystyisi väärentämään esim. jonkin halvan tuotteen sivustolle, sekä myös maksupainikkeet - ja sitä kautta urkkimaan käyttäjältä pankkitunnukset/henkilökohtaisia tietoja/luottokorttitiedot jne.

POST-arvojen käsitelyvirhe -XSS-aukot

Nämä ovat siitä vaarallisia, ettei sivuston osoite näytä laisinkaan epäilyttävältä koodisotkulta. Toisaalta näitä ei voi jakaa ihan normaalisti osoitteina, mutta mitä sitten? HTML:nä sähköpostissa ja nettisivuilla nämä ovat silti vaarallisia. Nämä linkit ovat siis oikeasti lomake-nappeja, mutta tavallinen käyttäjä ei sitä välttämättä huomaa.

45. Lue näistä lisää lista-sivulta, en voinut sisällyttääkään kaikkea koska piti käyttää vähän erikoisempaa -tekniikkaa XSS-aukkojen metsästykseen.

Listaa päivitetty viimeksi 19.4.2008

Uutiset & linkit

• 30.3. - Keskisuomalaiseen on tulossa huomenna (ma) juttua tästä aiheesta etusivulle. Toimittaja haastatteli tänään ja kuviakin otettiin.
• 31.3. - Keskustelua aiheesta mm. pingstatessa.
• 31.3. - Osoitteessa xss.dy.fi on lisää listattuna XSS-haavoittuvuuksia suomalaisilla sivustoilla.
• 31.3. - Lisää haavoittuvuuksia osoitteessa piru.dyndns.org/~p/xss.txt.
• 31.3. - Keskisuomalaisen juttu luettavissa lyhennettynä myös ksml.netissä: Suurten yritysten verkkosivut reikäjuustoa. Koko juttu PDF:nä (15mt, klikkaa oikealla napilla linkkiä ja valitse "Save as / Tallenna nimellä")
• 31.3. - Vierityspalkki kirjoitti jutun aiheesta. Jutussa on runsaasti hyviä linkkejä tietolähteisiin.
• 1.4. - Muropaketin keskustelualueella aiheesta, sekä muutamia haavoittuvuuksia listattuna.

Jos löydän haavoittuvuuden?

Ilmoita asiasta sivuston ylläpitäjälle sekä CERT-FI:lle osoitteeseen cert@ficora.fi. Voit myös halutessasi julkaista aukon tällä listalla (ks. yhteystiedot) tai xss.dy.fi-wikissä.

Lisätietoja:

Mikael Korpela
Graafikko & www-suunnittelija
mikael@ihminen.org
www.ihminen.org
Yhteystiedot

Täytyy kyllä todeta Katariina Lillqvistin olevan nero. Sadulla sisällissodan haavoista hän onnistuukin löytämään Suomalaisista yllättävän vahvan ja edelleenkin yleisen homokammon.

No, mitäpä minä höpisen. Katsokaa leffa ja A-talk niin voitte itse tehdä päätelmänne keskustelusta. Ohjaaja Katariina Lillqvist, kenraali Gustav Hägglund ja poliitikot Minna Sirnö ja Bjarne Kallis – A-talk väittelee Marski-animaatiosta. (Ohjelmassa myös klippejä leffasta, nimenomaan Ne kohtaukset)

Keskisuomalainen ivaili tänään Ylelle kysymällä päivän netti-kysymyksenä: juotko enemmän viinaa kuin koskaan? Kyllä / Ei.

Muita huomioita netistä:

Jyväskyläläinen Tapani Tarvainen on tehnyt kantelun internetaktivisti Matti Nikin sivuston sensuroinnista.

Almamedia on ostanut Telkku.comin. Minusta erityisen kiinnostava on tämä kohta: Tavoitteenamme on myös vahvistaa Telkku.comin asemaa yhteisöllisenä mediana ja nostaa se Suomen kolmen suurimman verkkoyhteisöpalvelun joukkoon.

Nykyäänhän telkku.comin “yhteisöllisyys” on lähinnä kuihtuvaa keskustelua tv-ohjelmista, eikä keskustelun taso edes ole niin korkeaa että sitä voisi sanoa keskusteluksi. Saapa siis nähdä mitä tekevät, ihan mielenkiinnolla täällä odotetaan uusia avauksia melko kuumana käyvillä yhteisösivustojen markkinoilla. Saattavat muutenkin tarkoittaa “kolmen suurimman suomalaisen joukkoon”. Jokatapauksessa: jotain uutta ja repäisevää tekisi mieli nähdä Suomessakin, vaikka idikset sitten haettaisiinkin ulkomailta.

Harmittaa, kun jäi Erkan kännyvideo-streaming näkemättä. Sille olisi vaikka kuinka moni blogi vinkannut, jos olisin hoksannut päivän aikana vain vilkaista blogilistaa…

Hieno esimerkki kuitenkin toimivasta kansalaismediasta. Streamille ehti kertyä varsin monipäinen yleisö.

Mitä lie muita käyttömahdollisuuksia tuollaisella olisi? Olisi hienoa saada tänne toimiva kansalaismedia, sellainen, johon käyttäjät voisivat itse streamingin lisäksi lähettää valokuvia, tekstejä ja videonpätkiä kaupungista. Huomioita, tunnelmakuvaa ja informaatiota (tapahtumat, onnettomuudet, kummalliset pikkujutut, poliittiset tempaukset yms.) Sisältöä varmasti riittäisi, kun vain homman saisi pelittämään tarpeeksi helppokäyttöisenä ja ylipäätänsä ihmisiä pyörittämään sellaista. Kulkurissa olisi siihen potentiaalia, mutta se vain lepää laakereillaan aika/ihmispulan vuoksi…

Ehkäpä joku flickr:n, youtuben, googlemapsin yms. palvelut yhdistävä mashup-nettisivusto? Voisin melkein kuvitella että sellaisen rakentaminen olisi mahdollista jo pelkästään WordPressin (tämän blogisoftan) plugareilla.

Toivottavasti hesari lähtee viemään omakaupunki.hs.fi -palveluaan siihen suuntaan – ja mikä parasta, laajentaisi sen kattamaan koko maan.

Jokatapauksessa, tervetuloa katselemaan ja ennenkaikkea osallistumaan. Levittäkää viestiä eteenkinpäin:

Live Herring 2008
Jyväskylän taidemuseo / The Jyväskylä Art Museum
29.10. – 16.11. 2008 Jyväskylä, Finland

Live Herring ‘08 kutsuu pohjoismaiset taiteilijat tarjoamaan näyttelyyn uusmediataideteoksia, digitaalisia kuvia ja aiheeseen liittyviä työpaja-ehdotuksia.

Teosten ilmoittautuminen alkaa: 15.10. 2007
Teosten ilmoittautuminen päättyy: 30.4.2008
Ei jurytys- tai osallistumismaksua.

Live Herring ‘08 näyttely etsii kaikenlaista pohjoismaista uusmediataidetta verkkotaiteesta installaatioihin ja tietokonetaiteesta ääniteoksiin. Valittujen teosten / taiteilijoiden lista julkaistaan Live Herring -verkkosivulla (www.liveherring.org) 15.6.2008. Live Herring etsii myös työpaja-ehdotuksia. Näyttelyyn voi tarjota uusmediataideteoksia kaikista genreistä. Taideteokset voivat olla interaktiivisia, staattisia, online tai offline, hypernarratiivisia tai abstrakteja.

www.pinkisart.com

“Helmikuussa 2008 ensimmäisen kerran ilmestyvä taidelehti PINKISART etsii uusia, nuoria taiteilijoita ja suunnittelijoita sivuillensa esittelemään töitään.

PINKISART tulee olemaan ilmaisjakelulehti, jonka ensimmäinen painos on 2000-2500 kpl ja jonka kohderyhmä on taiteilijat, taide/design opiskelijat, galleriat/museot ja niiden asiakkaat, taidekeräilijät ja kaikki nykyajan visuaalisesta kulttuurista kiinnostuneet ihmiset.”

www.cssnordic.net

CSS Nordic on uusi, vain pohjoismaalaisille web-suunnittelijoille
suunnattu CSS-galleria. Palvelu avataan käyttäjille virallisesti 1.
päivä marraskuuta.

Toisaalta voin esimerkiksi tallentaa jonkin tapahtumapaikan koordinaatit, jolloin saan piirrettyä kartan siitä, missä ja mitä kulloinkin tapahtuu. Miten olisi kännykkään kartta Jyväskylän tapahtumista tänään? Tai kartta Jyväskylän kesäteattereista? Tai vaikkapa kaikki tapahtumat tänään kilometrin säteellä siitä, missä nyt istut? Onnistuu!

Olen kehitellyt yksinkertaista geotaggaus-työkalua, jolla voin lisätä tapahtumapaikkatietoja tietokantaan lisätessäni oikeat koordinaatit vain hiiren klikkauksella. Tai voivat käyttäjätkin tietoja lisätä… Voin näyttää sen teille, tässä:

Etsi paikkakuntaa:
 

Klikkaa nuppineula oikeaan kohtaan kartassa, voit liikuttaa sitä tai klikata uuteen paikkaan. Peruaksesi paikkatiedot, klikkaa tyhjennä-nappia tai nuppineulaa.

Pituus:
   Leveys:
   

Kartat eivät ole kalenterin ainoa lukutapa, vaan normaalin webbisivuselailun lisäksi on luvassa mobiilit ja feedit. En paljasta vielä enempää, mutta projektista on varmasti tulossa lisää tietoa heinäkuun helteiden kuluessa. ;-)

Ideana on järjestää vaihto-kirppis, josta saa itselleen esineen esinettä vastaan. Taideinstallaatio herättelee ihmisiä
ajattelemaan tavaroita ja sitä miten yhdelle turha on toiselle tärkeää.

Toimi siis näin:

• Tuo oma, ehjä, käyttökelpoinen tavara taidemuseolle
• Museossa tavara kuvataan ja sen tarina otetaan talteen
• Esine ja tavara lisätään nettisivuille, josta voi käydä katsomassa uuden tavaransa tarinan

Tervetuloa!

Sitten hieman muutakin luettavaa, kuin tämä poukkoileva blogini: Kenian matkustustiedotetta päivitetty 19.6.2007.

Hyvin, omien sanojensa mukaan, joskin “alkaa liipata turhan läheltä” olivat Minnan terveiset tältä päivältä. Tilanteen epäselvyyden vuoksi on varmasti helpompaa viestiä kotiin ei-niin-panikoivasti. Onko Nairobissa nyt vaarallista, mitä ihmettä siellä oikeasti edes tapahtuu?

Tänään aamulla klo 8.15 paikallista aikaa tapahtuneessa itsemurhapommi-iskussa kuoli 1 tai 2 ihmistä, sekä 34-37 loukkaantui, joista 4-6 vakavasti. Eri lähteet raportoivat eri lukumääriä kuolleista ja haavoittuneista. Räjähdys sattui aamuruuhkassa Ambassadeur-hotellin edustalla. Tapahtumapaikka on lähellä vuonna 1998 tapahtunutta, 200 ihmishenkeä vaatinutta pommi-iskupaikkaa. Tuolloin kohteena oli USAn Kenian suurlähetystö.

Silminnäkijät kertovat taksilla paikalle saapuneesta miehestä, joka oli yrittänyt nousta Kenian kansainväliselle lentokentälle menevään bussiin. Bussi oli kuitenkin ollut täysi, eikä häntä päästetty sisään. Hotellin parkkipaikasta osa toimii paikallisbussi-asemana. Sittemmin hänen kerrottiin yrittäneen mennä sisälle läheiseen pieneen ravintolaan, mutta vartia ei ollut päästänyt häntä sisään epäilyttävän kantamuksen vuoksi (osa kertoo nähneensä kassin ja osa pahvilaatikon). Hetkeä myöhemmin mahdollisesti maahan laskettu pommi oli räjähtänyt ravintolan edustalla. Räjähdys rikkoi ikkunoita ja monien vammat johtuivat ympäriinsä sinkoutuneista lasinpalasista.

Pommi-isku on jatkoa Nairobin toiseksi suurimmassa slummissa, Matharessa (jossa tyttöjen työharjoittelupaikka siis sijaitsee) tapahtuneille väkivaltaisuuksille poliisin ja Matharea “hallinnoivan” rikollisjärjestö Mungikin välillä. Väkivaltaisuuksissa on kuollut 30-40 ihmistä, osa poliiseja, osa Mungikin kannattajia ja osa varmasti sivullisia.

Väkivaltaisuudet alkoivat Mungikin murhattua kaksi poliisia Matheressa. Seuraavana yönä (6.-7.6.) poliisi tunkeutui väkivalloin slummiin surmaten yli 20 Mungiki-jengi epäiltyä ja pidättäen yli sata. Pahoin korruptoitunut poliisi pahoinpiteli operaation yhteydessä useita siviilejä sekä raiskasi naisia. Ammuskelussa loukkaantui ja mahdollisesti myös kuoli sivullisia. Myös Mungikin epäillään tehneen siviili-murhia yön aikana.

Tapahtumat johtuvat lähestyvistä presidentin vaaleista Joulukuussa. Kenia on Afrikan mittakaavassa turvallinen maa, mutta vaalien aikaan saattaa puhjeta kaikenlaisia levottomuuksia.

Kuulostaa hurjalta? No, tytöt seuraavat tarkasti medioita ja tilannetta sekä slummissa että kaupungilla. Eivät ole muutamiin päiviin päässeet töihin turvattoman tilanteen vuoksi. Vaikka slummeissa olisikin turvatonta, on Nairobin keskusta turvallinen.

Seikkailijoiden tunnelmiahan voi seurata Kenia-blogista.

Tietoa netissä

Pommitukset
• AllAfrica.com: Explosion Rocks Nairobi
• Wikinews: Bombing in Kenya’s capital city Nairobi
• NationMedia.com: Nairobi blast: Taxi man arrested
• Reuters: Kenyan rush-hour blast kills one, hurts 37
• Reuters: Kenyan rush-hour blast kills one, hurts 34
• Guardian: Explosion in Downtown Nairobi Kills 2
• Ambassadeur -hotelli näkyy google maps -satelliittikuvassa keskellä valkoisena Moi Avenuella.
• Ambassadeur -hotellin kotisivut

Matharen levottomuudet

• Guardian: 30 die as police hunt gang in Nairobi slum
• NY-Times: Police in Kenya Kill 22 in Gun Battles Over Sect
• NY-Times: Kenyan Police Kill 11 in Nairobi Gang Crackdown
• NY-Times: kuvasarja Matharen pidätyksistä
• AllAfrica.com: Two More Policemen Shot Dead in Nairobi
• AllAfrica.com: More Deaths Blamed On Mungiki

Lisäksi perjantaina 8.6. Aamulehdessä oli juttu Matharen levottomuuksista.

Hesarista bongasin myös pari kulttuuriuutista: Jyväskylään puuhataan konserttisalia sekä Saamelaisten kulttuurikeskus toteutuu vihdoin. Olisikin hauskaa saada klassisen musiikin talo ja rock clubi Lutakko vieretysten. Siinä sitten tönöttäisivät, kesketysten sulassa sovussa. Ettei vain tulisi jonkinlaista kilpailua sen suhteen, että kumpaa tässä kaupungissa todella arvostetaan enemmän? Kummassako riittää kävijöitä – entä kummassako on enemmän lattiapinta-alaa? Kuinkahan paviljonki täyttää suuren auditorionsa jatkossa, jos “suurkeikat” viedään sieltä musiikkitaloon? Kränää on aivan varmasti ilmassa, molemmat talot ovat aiheuttaneet Jyväskylässä melko voimakkaita tunteita puolin ja toisin.

Saamen kulttuuri on heräämässä selkeästi jonkinlaiseen muotiin. Niin Tampere film festival kuin Iiris film festival Jyväskylässä näyttivät erikseen saamelaisnäytöksiä ja Puimuriin on lähinpäivinä tulossa Millan kirjoittama juttu saamelaisuudesta. Puimurin suhteen on tulossa muutenkin hieman jänskäpänskää. En malta odottaa että pääsen kertoilemaan.

Mukavan minimalistinen show toimi hyvän biisin kanssa. Solisti Marija Šerifović on minua vuoden vanhempi, ehtinyt jo vaikka mihin! Ensimmäisen levynsä hän julkaisi vuonna 2003.

Euroviisubiisi Molitva on saatavilla usealla eri kielellä laulettuna – myös suomeksi! Tosin kömpelöä suomennosta ei laula itse Marija, vaan yksi hänen taustalaulajistaan.

Tuo palvelin on juuri nyt hieman tukossa, en ilmeisestikään ole ainoa joka tuonne on wikipedian kautta eksynyt.

Lisäys: biisit löytyvät myös toiselta sivustolta.

Unkarin euroviisu on ihan oikea biisi. Siis sellainen oikeasti kuunneltava, mukavankuuloinen radiosoitto. No ei nyt mitään älytöntä hittiainesta mutta kuitenkin. Solisti on ilmeisesti paikallisen idolsin voittaja.

The Arkin vanhemmasta tuotannosta olen tykännyt, mutta tämä uusin tuntuu tylsältä. Ylipäätänsä euroviisujen biisejä vaivaa sama ongelma: mikään ei jää päähän. Kaikki on niin hiottua ja särmitöntä. The Arkista täytyy kuitenkin mainita yksi Todella Mielenkiintoinen seikka. Rumpalin isoäiti nimittäin on asunut Lappeenrannassa. Joten sikäli – tietenkin – The Arkin voitto olisi oikeastaan sama kuin Suomi voittaisi.

Ihan-hillitön-kiire ollut viimeaikoina. Siksi tämäkin postaus jäänee vain listaukseksi viimeaikaisista puuhistani ja oikeastaan ydinviesti on: ältsin mukava ja aikaansaava olo kaiken kiireen keskellä. Sellainen tyytyväinen. Onnellinen. Onkohan minusta kasvamassa pieni työnarkomaani? Hui.

Opiskeluissa on meneillään kaikkea mielenkiintoista; kursseilla en juurikaan ole viimeaikoina (koskas olisin?) käynyt, mutta projektiluontoisesti puuhastellaan mm. uutta kulttuuriin keskittyvää nettilehteä erinäisten ihmisten kanssa. Porukka on pitkälti JAMK:in viestintäläisiä, mutta jatkossa toimituksen olisi tarkoitus olla hieman monipuolisempi otos Jyväskylän viestinnän alan nuorista. Asiasta käytännön tasolla kiinnostuneet sanokaa hep, sillä vielä meillä ei ole edes nimeä.

Live Herring -mediataidetapahtuma + Arktisen Upeeta elokuvafestarikin on nyt käynnissä, alkoi torstaina ja jatkuu sunnuntaille asti. Tapahtumien graafinen ilme on käsialaani, jonka lisäksi olen pyörinyt tiiviisti mukana Live Herringin järjestämisessä. Hulinaa näyttelyssä on riittänyt: heti aamulla oli jonoa ovella, koska jaamme 10 t-paitaa / päivä kolmea spämmiotsikkoa vastaan. Paidat ovat osa Sebastian Campionin Greatest Hits! -teosta. Tapahtuman jälkeen lähetämme post-it -lapuille kerätyt spämmilauselmat itse taiteilijalle.

Eilinen näyttely/leffafestaripäivä meni ihan kokonaan ohi Helsingin matkan vuoksi. Kävin ammattitaidon MM-kilpailujen Suomen semifinaaleissa ja tänään tuli sähköpostista seuraavanlaista:

Mikael Korpela 59,74
Joni Hasanen 59,60
Juho Fröjd 49,58

Näin siis Mikaelia esitetään Suomen edustajaksi Japaniin lähtevään joukkueeseen Web Design lajiin.

Marraskuussa 2007 on siis edessä Japanin Shizuoka ja kilpailu MM-kullasta. Yritän pysyä nöyränä joten hehkutan asiaa filosofisemmin sitten kun olen oikeasti tajunnut, kuinka isosta jutusta on kyse. Nyt lähinnä nostelen olkiani ja mietin, että kuulostaapa kivalta idealta, Japani nimittäin. Mutta hei: katsokaa noita pisteitä – ihan sikatiukka matsi! Vaude. Ainakin saa tuntea, ettei edustuspaikka tullut helpolla.

Illalla jalat ja selkä olivat ihan jumissa kaiken sen istuskelun jälkeen (JKL-Pasila junassa ~3h, kilpailussa ~7h ja Pasila-JKL junassa ~3h). Poikkesin vain nopeasti Live Herringin epävirallisella kick-off-klubilla (“Vadelma.klubi”) Vakkarissa ja jatkoin suoraa päätä nukkumaan.

Päivän huvituspisteet tulivat aamuyhdeksän Onni von Sopanen-lastenelokuvan näytöksestä AU-festareilla. 9:02 katsomo oli melkein tyhjä – sitten bäng – pari koululuokallista 10-vuotiaita pamahtaa saliin ja penkkejä piti alkaa kaivelemaan verhojen takaa lisää. Itse näytös pääsi alkamaan vasta vartin yli. Onneksi tulin sen verran ajoissa, että sain hyvän paikan eturivistä keskellä. Lapsiyleisö on mielenkiintoinen: eloisampi, liikkuvampi ja hieman äänekkäämpi.