Den senaste tiden har Facebook fått hård kritik för sin nya integritetspolicy och samarbetsprojekten med andra sajter, som också får tillgång till en del användardata.

Även om Facebook inte gör någon hemlighet av hur de använder information fortsätter en del säkerhetsexperter och användare att klaga över det de beskriver som otydlig information om hur pass säker sajten verkligen är.

Joey Tyson är expert på sociala medier och ansvarar för sidan Social Hacking. Han säger att Facebook-användare fortfarande missar viktiga datasäkerhets- och integritetsfrågor. Detta är vad Facebook inte säger rakt ut till sina användare:

1. ”Vi vill inte att du ändrar dina privacy-inställningar”

Facebooks intigritetspolicy har utvecklats dramatiskt under de år som sajten funnits. Då Facebook kom till kontrollerades den hårt av användarna. Idag finns delar av den privata informationen som inte går att hemlighålla. Andra delar av informationen går att göra privat men inte utan att man lägger ner en del arbete på att klura ut hur. Att ändra sina settings på Facebook har kallats ”dagens version av att programmera sin gamla video.”

– Facebook pushar användarna att dela mer och mer information, säger Tyson.

– Samtidigt som de erbjuder användarna kontroll verkar det som om det som de verkligen vill är att fler användare ska dela med sig av mer och mer information.

2. ”Det är inte vi, det är applikationerna”

Tyson säger att Facebook gör ett bra jobb med att hålla koll på svagheter och skydda sina användare. Problemet ligger istället i deras api:er och när en tredje part får tillgång till informationen.

– När du använder en applikation på Facebook litar du på den och på att den är säker. Men folk fattar inte hur mycket tillit de sätter till en applikation som faktiskt inte utvecklats av Facebook. Så det kan finnas en svaghet med applikationer som utnyttjas för att tala till Facebook på din bekostnad, säger Joey Tyson.

Poängen är att allt applikationen kan göra, till exempel posta en länk eller dela inlägg eller bilder, kan också nås av den som attackerat den applikationen.

Simon Axten, säkerhetsansvarig för Facebook, kontaktade nyligen amerikanska CSO för att klargöra applikationernas säkerhet.
– Utvecklare, stora som små, måste gå med på säkerhetsriktlinjerna för vår plattform, och ett krav är att applikationerna ger ett tillförlitligt intryck, säger han:

– Med jämna mellanrum kontrollerar vi att riktlinjerna efterlevs, och vi har plockat bort applikationer som strider mot reglerna.

Axten påpekar också att användare har flera möjligheter att kontrollera vilken information de vill dela med sig av. Bland annat kan man:

• Neka en applikation som ser misstänkt ut eller som vill ha tillgång till information man inte vill lämna ut.

• Ändra applikationernas integritetsinställningar. Det betyder att du kan bestämma vilken information dina vänners applikationer har tillgång till och inte.

• Blockera applikationer precis som du kan blockera personer.

Men det handlar inte bara om applikationerna, säger Joey Tyson. Han menar att den nya funktionen ”Instant Personalizer” har sina regler både för Facebook-användare och externa sajter som samarbetar med Facebook.

För inte länge sedan hittade en säkerhetsutredare en person som utnyttjade cross-site scripting för att injicera skadlig kod i Yelp, en av partersajterna i detta pilotprogram. På så sätt kunde inkräktaren få tillgång till Facebook-användares namn, adress och all annan information som är tillgängligt för ”Alla” enligt integritetsinställningarna.

3. ”Vi vet vart du surfar”

Det har varit en del högljudda diskussioner om vilka Facebook delar med sig av information till, speciellt sedan man införde Instant Personalization. Men Tyson säger att många medlemmar missar hur mycket data Facebook självt samlar på sig om användarna.

Som en del av sitt nya program använder Facebook sociala plug-ins som tillåter användare att se på Facebook vad andra vänner har ”gillat” eller kommenterat på på andra sajter. Facebook beskriver sina plug-ins som ”enkla verktyg som kan användas på vilken webbsida som helst för att erbjuda människor personliga, sociala upplevelser”.

4. ”Dina data lagras utanför Facebook”

Tredjepartsutvecklare kan få tillgång till en del av din profilinformation när du tillåter applikationer som Farmville, Mafia Wars och så vidare.

Enligt Simon Axten kräver dock Facebook att varje applikation gör tydligt för användarna vilken information den vill ha tillgång till innan användarna accepterar.

– Applikationen måste få en uttalad tillåtelse från användaren innan den får tillgång till information. Vår nya tillståndsmodell, som blev obligatorisk för alla utvecklare från och med juni månad, kräver att varje applikation specifierar exakt vilka informationskategorier den vill ha tillgång till, presenterar detta för användaren och får användarens uttalade tillstånd, säger Simon Axten.

Tyson å sin sida tror inte att det räcker.
– Jag tror inte folk fattar hur mycket information som skickas runt, säger han. Jag tror inte folk vet att alla spel och frågesporter och applikationer de har okejat lagrar en massa information om dem på någon server någon helt annanstans.

IDG News