Geocaching.com -muutoksien vaikutus geocache.fi:hin

[haksu10]

Hei,

kuten uutisissa jo kerrottiin geocaching.com on tehnyt jälleen muutoksia palvelussaan ja tästä johtuen automaattista geocaching.com:n www-sivujen kautta tapahtunutta käyttäjätietojen tarkastusta ei enää pystynyt tekohengittämään toimintaan.

Toiminto toki suuresta premimkäyttäjämäärästä sekä geocaching.com:n www-sivujen hitaudesta johtuen onkin ollut hyvin hidas ja hankala ja vienyt suuren osan palvelimen tehoista. Tarkastuksia on joutunut suorittamaan 24/7 jotta tiedot ovat mahdollisimman ajantasaisia ja siltikään ei tarkastusta ole voinut tehdä kuin päättyvien premiumjäsenyyksien osalta.

Geocaching.com:n ainoa tarjoama ratkaisu tarkastukseen on apiliityntä jonka kautta käyttäjätunnuksen ja salasanan avulla saa tarpeelliset käyttäjäkohtaiset tiedot. Näin ollen geocache.fi joutuukin siirtymään tähän vaihtoehtoon ja tämä edellyttää käyttäjiä tallentamaan geocaching.com -salasanansa omien tietojen ylläpidon kautta.

Koska välttämättä kaikki eivät tätä halua tehdä on tämä salasana erikseen syötettävä, ts. geocache.fi ei siirtynyt pakolliseen saman salasanan käyttöön geocaching.com -sivuston kanssa. Kuitenkin ainakin geocache.fi -palvelussa tarjottavia geocaching.com -premiumkäyttäjäjän ominaisuuksia käyttääkseen täytyy salasana tallentaa koska tämä datalisenssimme määrittelee että joudumme ylläpitämään reaaliaikaista tietoa premiumtilanteesta geocaching.com:ssa.

Pyrkimyksenä on tämäkin tappio kääntää voitoksi eli (ainakin pidemmällä aikavälillä) tuoda muutamia uusia omininaisuuksia geocache.fi -palveluun. Niiden toteutus on ollut kiinni siitä ettei tarvittavia toimintoja ole voinut suorittaa ilman käyttäjän geocaching.com -salasanaa apiliitynnän kautta.

Tähän ketjuun voi kirjoittaa viestejä, kommentteja ja kysymyksiä asian tiimoilta.

[Giliad]

En rehellisesti voi sanoa olevani varauksettoman tyytyväinen gc.com:n toimintaan ja linjauksiin näissä viime päivien härdelleissä. Vaan kun tarjoavat sellaista palvelua, sellaisella volyymilla mitä haluan käyttää, niin minkäs teet...

Mutta se mitä varsinaisesti piti sanomani on, että kiitos Haksu tasokkaasta tiedottamisesta. Keventää kummasti tuskaa, kun olet pitänyt meitä ajan tasalla ja vielä jaksanut kertoa sopivan yksityiskohtaisesti asioista.

[Geomurmelit]

Näin ollen geocache.fi joutuukin siirtymään tähän vaihtoehtoon ja tämä edellyttää käyttäjiä tallentamaan geocaching.com -salasanansa omien tietojen ylläpidon kautta.

Kuulin #toisaalta huhun, jonka mukaan Geocaching Liven käyttäjien tunnukset ja salasanat olisivat tallennettu kantaan selväkielisinä. Toivottavasti tämä ei pidä paikkaansa, mutta siitä riippumatta herättää kysymyksen, kuinka Geocache.fi:n tallennetut Geocaching.comin salasanat on suojattu?

[Giliad]

Kuulin #toisaalta huhun, jonka mukaan Geocaching Liven käyttäjien tunnukset ja salasanat olisivat tallennettu kantaan selväkielisinä. Toivottavasti tämä ei pidä paikkaansa, mutta siitä riippumatta herättää kysymyksen, kuinka Geocache.fi:n tallennetut Geocaching.comin salasanat on suojattu?

Erittäin huolestuttava huhu. Kuulisin mieluusti tämän kumottuna molempien osalta. Ja mitä muuttuu Liven tunnusten ja salasanojen osalta nyt, kun kehitys siirtyy amerikanmaalle?

[aku506]

Mutta se mitä varsinaisesti piti sanomani on, että kiitos Haksu tasokkaasta tiedottamisesta. Keventää kummasti tuskaa, kun olet pitänyt meitä ajan tasalla ja vielä jaksanut kertoa sopivan yksityiskohtaisesti asioista.

Samaa mieltä!

Minua salasanajuttu ei haittaa yhtään. Eihän sille voi mitään, jos .com sotkee kaiken =( Kohtalaisen laadukasta palvelua =) (Siis Haksulta, ei .comilta) SUURET KIITOKSET HAKSULLE!

[haksu10]

Kuulin #toisaalta huhun, jonka mukaan Geocaching Liven käyttäjien tunnukset ja salasanat olisivat tallennettu kantaan selväkielisinä. Toivottavasti tämä ei pidä paikkaansa, mutta siitä riippumatta herättää kysymyksen, kuinka Geocache.fi:n tallennetut Geocaching.comin salasanat on suojattu?

Erittäin huolestuttava huhu. Kuulisin mieluusti tämän kumottuna molempien osalta. Ja mitä muuttuu Liven tunnusten ja salasanojen osalta nyt, kun kehitys siirtyy amerikanmaalle?

Huhut ovat huhuja, toisinaan ne pitävät paikkaansa ja toisinaan ei. Tällä kertaa yllättäen pitää paikkansa mutta... huhut harvemmin kertovat koko totuutta.

Lähtökohtahan on siis se että geocaching.com:n tekniikat eivät mahdollista kryptatun salasanan käyttöä joten salasanat on oltava käytettävissä selväkielisenä, ts. yhdensuuntaista kryptausta ei ole mahdollista käyttää.

Toki palvelimet on suojattu erittäin hyvin murtoyrityksiltä ja rekisterien käyttöoikeus on vain minulla, mutta luonnollisesti silti on varautunut myös pahin mahdollinen -skenaarioihin.


Geocaching Live

Käytössä olevan apiliitynnän hitauden johdosta käyttäjätunnus-salasanatarkastusta ei ole mahdollista suorittaa lennossa ohjelman jokaisen palvelimeen yhteydenoton yhteydessä (tarkastus apin kautta ottaa 5-10 sekuntia). Niinpä salasanat on tallennettava paikallisesti.

Salasasanat ovat tallennettu selväkielisenä. Ne eivät kuitenkaan turvallisuussyistä ole käyttäjätietokannassa vaan aivan muualla ja suojauksen muodostaakin näiden osalta tekniikka millä käyttäjätunnus/salasana -pari yhteenliitetään; ts. vaikka käyttäjätietokannan saisikin käsiin se ei olisi turvallisuusriski.

Jatkossa kun Geocaching Live siirtyy amerikanmaalle tilanne muuttuu koska tällöin Live siirtyy osaksi Groundspeakin palveluita. Tällöin Liven erillinen salasanatallennus on mahdollista poistaa koska tällöin samassa maassa ja konehuoneessa sijaitsevat palvelimet pystyvät tekemään tarkastuksen joka yhteydenottokerralla.


Geocache.fi

Vaikka salasana onkin oltava käytettävissä selväkielisenä se ei tarkoita että se on tallennettava näin.

Niinpä salasanan tallennuksessa on käytössä monimutkainen kryptaustekniikka jossa on mukana toki myös itse tehtyä tietojen vääristystä joten tekniikka ei perustu mihinkään avainsanan avulla tehtävään kryptaukseen. Näin ollen tiedon murtaminen on käytännössä mahdotonta vaikka kryptattu salasana olisikin käsissä ja ääretön määrä aikaa sen murtoyrityksiin avainsanan tai muiden tunnettujen tekniikoiden avulla.

Kryptaustekniikka tekee lopputuloksena salasanasta MD5 -tyyppisen heksadesimaalijonon tyyliin: 6c28d3e8c28523a4...


Toivottavasti tämä valoittaa hieman tallennus- ja kryptaustekniikoita.

[haksu10]

Aluksi kiitokset tiedotusta koskevista kiitoksista!

Sitten vielä salasana -asiaan mietittyäni tässä pääni puhki eri vaihtoehtoja. Ongelmahan on se ettei geocaching.com -sivustolta saada mikään käyttäjäkohtaista tietoa (esim. premiumin päättymisestä) ja toisaalta se että datalisenssin ehtojen mukaisesti geocache.fi joutuu kuitenkin pitämään yllä käyttäjien senhetkistä jäsenyystilannetta.

Koska kaikki välttämättä eivät halua geocaching.com -salasanaansa tallentaa tulee käytöön seuraavat lisävaihtovaihtoehtot:

- Käyttäjätason tarkastus määräajoin. Sivulle tulee kenttä mihin syöttämällä geocaching.com -salasana tehdään käyttäjän oikeustason tarkastus lennossa geocaching.com:n apiliitynnän kautta ja käyttäjän tietoihin päivitetään oikeudet. Tarkastustieto pysyy voimassa geocache.fi -sivustolla 7 vuorokauden ajan jonka jälkeen tarkastus tulee tehdä uudelleen.

- Jatkossa Kiven alla -verkkokaupasta hankittu geocaching.com -premiumjäsenyys (laskun eräpäivään mennessä maksettuna) aktivoi automaattisesti premiumkäyttäjätiedon geocache.fi -sivustolle vuoden ajaksi. Tällöin salasanan tallennus taikka määrävälein salasanan avulla tehtävä tarkastus jää siis pois.

Geocache.fi -palveluun nämä ominaisuudet tulee viimeistään lähipäivien aikana.

Käyttäjäoikeustilanne on tällä hetkellä "jäädytetty", ts. muualta kuin Kiven alta hankittu premiumjäsenyys ei päivity palveluun eikä myöskään premiumoikeus katoa vaikka jäsenyys geocaching.com:ssa päättyisi; myöskään nimimerkkien vahvistus ei ole käytössä. Kun em. uudet ominaisuudet saan valmiiksi alkaa taas normaali toiminta uusien härveleiden turvin.

[haksu10]

- Käyttäjätason tarkastus määräajoin. Sivulle tulee kenttä mihin syöttämällä geocaching.com -salasana tehdään käyttäjän oikeustason tarkastus lennossa geocaching.com:n apiliitynnän kautta ja käyttäjän tietoihin päivitetään oikeudet. Tarkastustieto pysyy voimassa geocache.fi -sivustolla 7 vuorokauden ajan jonka jälkeen tarkastus tulee tehdä uudelleen.

- Jatkossa Kiven alla -verkkokaupasta hankittu geocaching.com -premiumjäsenyys (laskun eräpäivään mennessä maksettuna) aktivoi automaattisesti premiumkäyttäjätiedon geocache.fi -sivustolle vuoden ajaksi. Tällöin salasanan tallennus taikka määrävälein salasanan avulla tehtävä tarkastus jää siis pois.

Näiden pitäisi nyt (teoriassa) olla toimivia ja käytössä.

Nyt sekä premium-tietonsa että nimimerkin vahvistuksen voi tehdä täällä

Linkki sivuun löytyy myös (kirjautuneena) oikean yläkulman käyttäjätietojen alimmalta riviltä mikäli geocaching.com -salasanaa ei ole tallennettu. Linkissä on (nykytasosta riippuen) joko "Vahvistus" taikka "Premium Update".

Ongelmista voipi kertoa täällä jne

[Giliad]

Toivottavasti tämä valoittaa hieman tallennus- ja kryptaustekniikoita.

Kyllä valoitti. Kiitos varsin kattavasta vastauksesta. Onnistuit kätevästi myös lukemaan ajatuksiani ja vastaamaan pariin juttuun, joita olin ajatellut mahdollisiksi jatkokysymyksiksi

Tilanne ei ole missään nimessä optimaalinen, mutta olet mielestäni ratkaissut sen tavalla joka tekee tilanteesta kuitenkin tyydyttävän. Vaikkakin, täytyy tunnustaa että en ihan täysin ymmärrä, mikä estää salasanojen kryptaamisen liven kohdalla? Jos käsitin oikein, selväkielistä salasanaa tarvitaan vain gc.com:iin päin puhuttaessa (mitäköhän ihmettä ne ovat muuten miettineet kun ovat sen noin speksanneet... Siis jo lähtökohtaisesti, että järjestelmien väliseen keskusteluun tarkoitetussa api:ssa liikutellaan käyttäjien salasanoja )? Ja paikallisesti ne tarvitaan jotta clientit saadaan autentikoitua ilman kohtuuttomia viiveitä? Kumpikaan näistä vaatimuksista ei käsittääkseni mitenkään estä kryptaamista. Ehkä vastaus on tavassa, jolla yhdistät käyttäjätunnukset salasanoihin ja epäluuloni johtuu vain siitä, etten tunne sitä

Kiitos myös näistä uusista vaihtoehdoista käyttäjätason tarkistamiseen. Saattaapi olla, että jotain niistä hyödynnän.

[haksu10]

Vaikkakin, täytyy tunnustaa että en ihan täysin ymmärrä, mikä estää salasanojen kryptaamisen liven kohdalla?

Siispä vuorossa "Miksi, oi miksi, kuvaelma liven kehitystiestä"

Aikojen alussa Trackonfly -ohjelma päästi ensiparkaisunsa epämääräisenä geocache.fi -liittännäisenä härvelinä. Tällöin kaikki oli vielä hyvin eikä mitään huolia ollut geocaching.com -salasanojen suhteen.

Ohjelma alkoi paisumaan kuin Miettisen mummon pullataikina. Mukaan tuli kaiken maailman apinoita sun muita datailmeellisyyksiä ohjelman lähennellessä geocaching.comin datavarastoja. Kaikki toki toimi vieläkin kohtuullisen hyvin mutta alkoi käymään selväksi ettei jatkuva käyttäjätietojen tarkastus apin kautta todellakaan toimi vaan palvelin alkoi kaatuilemaan.

Niinpä suplikoimme sopimuksen geocaching.comin kanssa että saamme oman palvelimen, joka alkaa palvelemaan Live -nimiseksi muuttunutta lihavaa vauvaa, heidän konehuoneeseensa ja ongelma poistuu. Väliaikaiseksi ratkaisuksi kuormituksen takia täytyi kuitenkin tehdä paikallinen salasanojen tallennus. Koska tällöin oli jo melkoinen sillisalaatti kasassa ja niin monen monessa paikassa tarvitsee salasanaa käsitellä ja kun palvelin kuitenkin on lähes hetkessä tarjolla oli järjetöntä alkaa tätä lyhyttä hetkeä varten tekemään salasanan kryptaus&purku -rakenteita näihin lukuisiin härveleihin joten salasanat pistin piiloon muilla keinoin.

.
.
.
.
.
.
.


Tässä välissä kuluu aikaa

.
.
.
.
.
.
.

ja lisää aikaa

.
.
.
.
.
.
.

vuosikohan jo vierähtänyt

.
.
.
.
.
.
.

Kuviot onkin muuttuneet ja oman palvelimen sijaan live muuttaakin amerikan maalle. Tällöin paikallisesti tallennetuista salasanoista pääsee eroon joten tämän (toivottavasti korkeintaan viikkojen) siirtymävaiheen jälkeen salasanat saa jyrätä kadoksiin.


Eli lopullinen syy siihen, miksi salasanoilla ei ole vielä erillistä kryptausta, on se että kukaan ei tiennyt mitä kaikkea tähän matkalle tuleekaan ja että kaikki ei mene aikataulullisesti suunnitellusti.

[Giliad]

Eli lopullinen syy siihen, miksi salasanoilla ei ole vielä erillistä kryptausta, on se että kukaan ei tiennyt mitä kaikkea tähän matkalle tuleekaan ja että kaikki ei mene aikataulullisesti suunnitellusti.

Ymmärrän. Ja käyttäjänä toki luotan siihen, että olet piilottanut salasanat riittävän hyvin muilla keinoin. Ongelmahan sitä paitsi näyttää juuri poistuvan itsekseen