Skjerp Dere

Det blir mer og mer populært å gjemme innhold til digitale aviser bak en paywall. Lokalavisa i Tønsberg, tb.no, har et abonnement til kr. 216/mnd som dekker ca. 99% av alle artiklene deres.

Det er spennende å se hvordan samtidig med introduksjonen av betaling for innhold har overskriftene blitt mer og mer i stil av buzzfeed. “Nå skal denne ferja få ny havn” sier veldig lite om innholdet av artikkelen, og jeg kommer ikke til å punge ut med et abonnement for å finne ut om det handler om en lokal ferge til min øy eller en ferge i Nederland.

Det er vår, og da pleier politiet å ha en sykkelauksjon. Jeg trenger en ny gammel sykkel, og derfor sjekker jeg på politiet.no. Det ser ut til å være en vanlig CMS med veldig lite tilpassing, og er fullt av innlegg om politiauksjoner fra diverse år og alle mulige fylker. Men ingenting om auksjonene som er planlagt i 2016.

Navigasjonen til politiet.no er helt håpløst. Ingen vei leder fra hovedsiden til informasjon om hyttegodsauksjoner uten at jeg bruker søkefeltet. Det stemmer at søk er mektig, men da leter jeg altså i hele korpus av CMS databasen, og får opp forslag om høst 2012 auksjonen i Trondheim, og diverse andere “treff” som ikke hjelper meg heller.

Hvorfor er det så vanskelig å fylle på reisekortet på vkt.no? I en perfekt verden går jeg til vkt.no, taster inn kortnummeret, trykker på OK knappen, og betaler med bankkort på neste siden. Men slik enkelt kan vi ikke ha det.

Første siden jeg blir presentert med er ruteplanleggeren, og det er jo bra, fordi det er vel det folk bruker mest, spesielt siden ruteinformasjonene ikke finnes i Google Maps. Hvorfor egentlig? Etter noe leting på siden etter “fylle på” finner jeg en knapp som heter Nettbutikk. Kanskje jeg tenker feil, men en nettbutikk er for meg et sted jeg kjøper fysiske ting, som en I <3 VKT skjorte eller caps.

Men jeg trykker uansett på knappen, og der kommer det opp en side med forklaringer.Dette er ikke noe god tegn. Må du forklare nettbutikken din med to siders instruks, er den sikkert katastrofal dårlig. Den vider meg bilder av en side jeg ikke har kommet til ennå, og minner meg om å trykke på “full på” vis jeg har tenkt å fylle på, eller “kjøp ny” vis jeg trenger ny kort. Dette klarer vi!

Det er to knapper her, begge to heter “Gå til nettbutikk”, og jeg antar at de gjør akkurat det samme. Jeg trukker på en av dem, og tenker at nå skal jeg komme til den siden som ble forklart. Men nei, det er vel for enkelt tenkt. Nå skal jeg først logge meg inn. Hvorfor trenger vi dette? Dere trenger jo ikke noen andre data enn kortnummeret mitt, og jeg skal helt sikkert ikke gi dere nummeret til en annen fyr, og betale for at han kan reise til Tønsberg, altså. Jeg husker ikke om jeg har brukt denne siden før, så jeg trykker på “glemt brukernavn”, prøver 3-5 forskjellige epost-adresser, og da ingen av dem er registrert forstår jeg at dette har jeg ikke brukt før.

“Lag ny brukerkonto”, da. Velg brukernavn og passord, og... jeg skal bekrefte epost-adressen min. Hvorfor det? Hva har dere egentlig tenkt å gjøre med adressen? Skal dere sende noe til den, og denne bekreftelsen er for å beskytte mot folk som lager kontoer for å få spammet sine ex-kjærester? Venter på epost, trykker på linken i den, og nå fortsetter vi.

“Du må knytte et kort til kontoen din”. Ja, dette har vi ventet på. “Er du sikkert at dette er nummeret ditt?” Joda. Er det mange som taster det feil? Da kan det lønner seg å ha dem gjenta det, som man gjerne gjør med epost-adresser (det gjør denne siden dessuten ikke, takk og pris). Eller ha en sjekksum i kortnummeret.

Og nå skal jeg laste opp kortet. Men det er en nettbutikk her som er litt pussig. Jeg skriver inn hvor mange kroner jeg vil ha, og så dukker det opp i handlevognen min. Handlevogn? Det er noe som vi bruker når vi skal flere ting. “først så skal jeg ha 100 kr på kortet mitt, og så 50 kr til, takk” said nobody, ever. Det er ingen “gå til betaling” knapp her, heller, men jeg er flink, og trykker på handlevognen. Da ser jeg gå til betaling knappen og “jeg aksepterer vilkårene rute, som jeg hadde ventet. Egentlig hadde jeg ventet at den dukker opp når jeg lage brukerkonto, da slipper man å gjøre det hver gang, når man nå må ha et konto, men skuffelsene har vært mange i dag, og det er ikke den verste.

Jeg betaler med VISA kortet gjennom PayEx, som vet hvordan betaling skal fungere, og det er ingen “lagre kortet til neste gang” knapp, som hadde vært en grunn til å ha brukerkontoer og passord. Jeg forstår det fortsatt ikke.

Til slutt blir jeg presentert med meldingen: “Din billett vil være tilgjengelig på billettmaskinen neste dag”

Siden jeg endelig fikk pin-kode til mitt konto, kan jeg nå logge meg inn i tnb.no, og sjekke resten av stedet.

Jeg klaget jo allerede over mangelfulle sertifikater, og har sendt en epost til  Webredaktør Stine Lindstad, og fikk som svar idag at det er ikke hun, men Trygve Kikut som er ansvarlig for tekniske ting som dette, men han er på ferie til 17. august. Derfor har jeg ingen andre valg enn å logge meg på over en usikker forbindelse, med pin-kode og brukernavn i klartekst.

Første funksjonen son skal testes er derfor endring av pin kode. Ikke at dette hjelper noe stort, siden den alltid kommer til å bli sendt i klartekst, men det forteller oss kanskje noe mer om systemet. På profilsiden leser jeg: “Vi gjør oppmerksom på at din PIN-kode kan bli oppgitt i brev og e-post du mottar fra biblioteket, f.eks. hentemeldinger- og purrebrev. Dette gjør vi for at det skal være lettere for deg å benytte denne tjenesten”

Hva betyr dette? For å kunne sende pin-koden til meg i brev eller e-post er det nødvendig å lagre den i klartekst på server-siden. Normal standard for passord til et system som dette er å bruke en en-veis hashfunksjion (gjerne scrypt eller bcrypt), noe som betyr at det er umulig å lese passordene selv om det er noen innbrudd eller databasen blir stjålet gjennom en feil i systemet. PIN-koden kan dessuten bare inneholde tall, og må være fire sifre langt, hva betyr at selv om de hadde brukt ordentlig kryptering av passordene ville det vært trivielt å kjøre brute-force attack mot passord-databasen. Det er nesten like enkelt å kjøre det mot selveste nettsiden, og det skulle ikke ta mer en noen minutter å bryte seg inn i et konto når man vet (eller gjetter) et låner-nummer.

Så er det bruk av informasjonskapsler, eller cookies. Innloggingen har en mulighet for å forbli pålogget, noe som gjør at når en setter et kryss på det, så trenger man ikke å logge seg på igjen fra samme nettleseren. Dette blir som vanlig gjort gjennom en unik session-cookie som blir spart i nettleseren, og hver gang en side fra tnb.no blir etterspørt, sender nettleseren selveste cookie tilbake, og så vet nettstedet at det er meg. Vis noen klarer å stjele dette cookie er det lett for han å få tilgang til min konto, han trenger ikke en gang å logge seg på. Det er derfor det er vanlig at all trafikk til nettsteder med brukerkontoer (som tnb.no) skal sendes over SSL-krypterte forbindelser (HTTPS), og derfor er det så ille at sertifikatene til tnb.no ikke fungerer. Vis jeg sitter i samme rom med noen som bruker tnb.no på trådlos-nettverket, er det for eksempel meget enkelt å lese verdien av hans cookie med en verktøy som Wireshark.

Det er derfor også vanlig for et nettsted som bruker session-cookies å gi dem veldig kort levetid, dvs. de fungerer bare i noen timer, og så blir det utvekslet en ny en, i tilfelle det gamle er blitt stjålet. Levetiden på selveste cookie fra tnb.no er ett år, og da antar jeg at dette heller ikke ble gjort ordentlig.

I dag har Tønsberg og Nøtterøy Bibliotek svart på min epost fra gårsdagen, som klaget over manglende svar på forespørsel etter ny pin-kode. De sendte meg SMS til min registrert telefonnummer med ny PIN kode, og koden fungerer.

For meg ser dette ut som det ikke finnes noe automatisk behandling av pin-kode forespørsel, men her sitter det en person som får en epost hver gang jeg trykker på “glemt kode” knappen på nettsiden, og sender en SMS. Dette er noe som skulle fungere automatisk, fordi det er ikke noe jobb som krever utdanning til bibliotekar, og da ville det også fungert på en søndag. Tenk om Facebook ville brukt samme metoden, hvor mange kundebehandlere de ville trengt bare for det. Men norske kommuner har sikkert spart mye penger på IKT systemer som de kan sløse bort på jobber som den? Vi har i hvert fall ingenting å frykte fra automatiseringen, den skaper jo flere jobber en den ødelegger.

At hun sendte koden gjennom SMS til mitt registrerte nummer, istedenfor til en epost-adresse som ikke var registrert i min profil, er et bra tegn, fordi det kunne jo vært hvem som helst som hadde funnet låner-nummeret mitt og skulle trenge seg inn i min konto. Med andre ord: det er ikke bra, men det kunne vært enda verre.

På http://tnb.no/ skulle jeg kunne bestille bøker, fornye de som jeg har utlånt, og søke i katalogen. Søket fungerer, kanskje fordi søk er noe som bibliotekarene selv bruker?

De fleste andre funksjonene forutsetter selvfølgelig at jeg logger meg på. Det gjør jeg med låner-nummer plus PIN-kode. Og her blir det skammelig.

For det første så ble ikke følgt noen sikkerhetsstandard her. Istedenfor passord har jeg en firesiffret PIN-kode, og hele nettsiden er ikke kryptert med SSL. Om jeg prøver å logge meg på blir brukernavn og passord overført i klartekst. Prøver jeg å åpne https://tnb.no/ får jeg meldingen fra nettlesern at nettstedet er usikkert, fordi sertifikatet er utstilt til websok.tnb.no - den ansvarlige utvikleren har kjøpt sertifikat for en subdomene istedenfor en wildcard-sertifikat til hele *.tnb.no, og det forklarer vel hvorfor det ikke er i bruk.

Dette er grovt uansvarlig av en moderne nettside. Men enda verre, selv om jeg logger meg inn med mitt brukernummer og PIN-kode, så blir jeg til en side som sier at jeg har oppgitt “feil i lånernummer eller pin-kode”, og siden jeg har kopiert nummeret fra lånerkortet må det vel være pin-kode som er feil? Jeg trodde helt sikkert at jeg husket den, men jeg skal prøve å få meg en ny en.

For å få ny pin-kode skal jeg altså oppgi låner-nummer og epost-adresse. Så får jeg svar at ny pin-kode skal bli sendt til meg, men ingenting skjer. Er det fordi det er søndag idag, og forespørsel blir svart på manuelt? Jeg håper jo at noe så enkelt blir automatisert. Eller er det fordi det står her: “ Dersom e-postadressen ikke er lik den som er registrert i bibliotekets base så vil det ikke bli laget noen ny PIN-kode”. Har jeg registrert noen epost-adresse? Muligens ikke, jeg har jo aldri brukt dette systemet før.

“Har du ikke registrert din e-post adresse hos oss, kan du kontakte oss på [email protected]” - det er søndag, men jeg skal prøve, og se om jeg får noen svar. Men for en nettside som skal bli brukt av folk flest er dette veldig trist. Jeg kan umulig være den første som har liknende problemer, og jeg undrer meg om det er noen utviklere som samler på sånne type brukerproblemer og fikser dem. Antageligvis har biblioteket kjøpt dette systemet for noen år siden, og ingen har noen gang brydd seg om hvor bra den fungerer, eller hvor mange brukere som har problemer med den.

Jeg ser en del ting som jeg har jobbet med da jeg utviklet en stor nettside i PHP selv. Som for eksempel problemer med character encoding av norske bokstaver: