Tekstit

Sivuston tarkoituksesta

Tämän sivuston kehittely sai alkukipinänsä halutessani selventää muille ihmisille minkälaisia netin kautta tapahtuvaa hyökkäilyä itseeni on kohdistunut. Tietoturva-asioista kertominen vaatii taktikointia. Yksittäisen tietoturvadilemman voi sijoittaa osaksi hyvinkin suuria kokonaisuuksia, eikä sitä kokonaisuutta voi ilman jäsentelyä tarjota ymmärrettäväksi yhdeltä istumalta, koska monikaan ei jaksaisi käsitellä sitä tietomäärää. Jos kyse olisi keskustelufoorumilla keskustelusta tai face-2-face -keskustelusta, auttaisi, kun pujahtaa selityskokonaisuuteen sisään jostain kohtaa ja koittaa pitää kuulijan/lukijan tarkoituksenmukaisella reitillä niin kauan, kunnes tavoiteltu kokonaisuus on saatu selitettyä. Tällä sivustolla pyrin jäsentelemään tiedon pieniin ja selkeisiin osiin ja toivon parasta. Kävin myös heittämässä pari kolikkoa kaivoon ja esitin toiveen.

Ihan alkuun ehdottaisin lukemaan tekstin Päätös esitutkinnasta. Se kertoo kuinka käytönnössä käy, jos kokeilet saada tietoturva-asioita ratkottua poliisin avustuksella. Yksityiskohtaisempi ja monisäikeisemman tapahtumakuvauksen olen esittänyt tekstissä Tietoverkon kautta tapahtuvasta häirinnästä. Muihin sivulla oleviin teksteihin olen pyrkinyt liittämään kuvia tai tekemään muuten lukemiskokemuksesta vaihtelevampaa, mutta nämä kaksi ovat ihan silkkaa tekstiä.

Taustastani sen verran, että olen opiskellut kaksi 2 vuotta mediatekniikkaa ammattikorkeakoulussa ja linjanvaihdon jälkeen puolisen vuotta tietotekniikkaa siihen lisäksi, sekä puuhastellut vapaa-ajallakin runsaasti tietotekniikan ja netin parissa. En ole tietoverkkojen asiantuntija, mutta lisäilen tietojani senkin aiheen suhteen, silloin kun se tuntuu tarpeelliselta.

Eräs tämän sivuston tarkoitus on toimia puhtaasti käsiteltyjen aiheiden esittelytarkoituksessa, ikäänkuin sanoen "tälläinenkin on mahdollista". Lähtökohtaisesti tarkoitukseni ei tässä yhteydessä ole maalailla minkäänlaisia dystopioita. Vaikkakin, tosiasia on, että tietoturvaongelmia ei ole mahdollista estää täysin millään muulla tavoin kuin sallimalla tietoverkon ylin hallinta ja valvonta viranomaisten käsiin. Tällä hetkellä viranomaisilla ei ole oikeutta tarkkailla dataliikennettä (esim. internetliikenne, GSM, 3G, WLAN, muu langaton viestintä) kuin törkeiksi määriteltyjen rikosten kohdalla, mutta ne jotka haluavat kokeilla kräkkerin taitojaan voivat tehdä sen melko vapaasti, ilman kummempaa kiinnijäämisen riskiä.

Huom! Obs! Tarkoituksenani ei myöskään ole sanoa, että pitäisi palata takaisin aikaan jolloin koko mokomaa tietokonetta ja internettiä ei vielä ollutkaan.

Mitä tulossa?

a) laitteet, joihin on tarkoituksellisesti sisällytetty takaportteja ja etähallinnan mahdollistavia aukkoja
b) infrared pass filter
c) ei-kaivattuja meemejä hylkivä palomuuri aivoille
d) tiedonhippuset, joita systemaattisesti keräämällä voi muodostaa aikalaisprofiileja jostain henkilöstä
e) GPS-pohjainen ihmisen salajäljitys (vrt. geokätkentä), jossa alati pienenevä GPS-lähetin on piilotettuna kohteen käyttämiin henkilökohtaisiin kulkuneuvoihin, yhdistettynä peliin osallistujien omin aistein tekemiin havaintoihin ja näiden havaintojen pelipalvelimelle lähettämiseen
f) GMS ja 3G -verkot






Osio: Tekstit
Julkaistu 10.02.2008. Lisää del.icio.usiin

Kräkkeri hyödyntää käyttöjärjestelmien ja ohjelmistojen tietoturvahaavoittuvuuksia

Kuva 1. Tietokone oheislaitteineen

Mustahatut ja valkohatut

Ensialkuun olin aikeissa kerätä kuvilla höystettyjä esimerkkejä siitä mitä pahaa tietoturva-aukkoja hyödyntäen voi saada aikaan, mutta sitten päädyin ajattelemaan, että voi tämän hereille ravistelun tehdä toisinkin. Joten etsin aiheeseen liittyviä sivustoja, joilta löytyisi tuoreimmat haavoittuvuustiedotteet, sekä sivustoja, jotka käsittelisivät aihetta blogien, podcastien, artikkeleiden, lehtien, tutoriaalien, esityksien ja keskustelufoorumeiden muodossa.

Pelkistäen ilmaistuna tietoturvaamme uhkaavat mustahatut,

Mustahattu = "Pahantahtoinen kräkkeri, eli osaava tietoliikenteen ja tietoliikennelaitteiden (esim. tietokone) käyttäjä. Mustahattu pyrkii hyötymään muista käyttäjistä, yrityksistä ja organisaatioista jotka liikkuvat netissä, yleensä rahan tai maineen takia." (Urbaanisanakirja.fi)

kun taasen valkohatut ovat puolellamme.

Valkohattu = "Hyväntahtoinen hakkeri, eli osaava tietoliikenteen ja tietoliikennelaitteiden (esim. tietokone) käyttäjä. Valkohattu koittaa varoittaa muita käyttäjiä, yrityksiä ja organisaatioita netissä piilevistä vaaroista." (Urbaanisanakirja.fi)

Kräkkereiden tekosten setvimisestä

Tavanomaisempaa kotikäyttäjää paremmin tietotekniikkaa hallitseva henkilö ei välttämättä loppujen lopuksi ole yhtään paremmassa asemassa kuin se tavanomainen kotikäyttäjä, jos normaalit hoitotoimenpiteet eivät auta ehkäisemään tietokoneen poikkeuksellista toimintaa tai luvatonta etäkäyttöä. Termistö hänellä voi olla paremmin hallussa ja hänellä on jo alussa useampia reittejä valittavanaan, joiden kautta lähteä ongelmaa vakiokuvioiden läpikäymisen jälkeen ratkomaan, mutta hankalaa ongelman setviminen tulee olemaan. Varsinkin, jos mustahattu kräkkerin käynnistä ei ole jäänyt mitään selviä jälkiä, kuten esim. lokimerkintöjä.

Lisää kinkkisyyttä käyttöjärjestelmissä ja ohjelmissa olevien tietoturvaongelmien setvimiseen, niiden valmistajan kannalta, tuo se, että se joka tietoturva-aukon löytää, saattaa lähteä kiristyslinjalle ja alkaa vaatimaan löydöksestään rahaa — or else...

Vaarallisimmat kräkkerit eivät brassaile osaamisellaan julkisilla kaikille avoimilla foorumeilla, vaan he välttävät kaikin keinoin henkilöllisyytensä paljastumista ja mahdollisuutta johtaa polku haittaohjelmalöydöksestä heihin itseensä asti. Heidän motiivinsa voi olla myydä koodaamiaan haittaohjelmistoja ja välittää nämäkin tiedostot privaattien tiedostojensiirtojärjestelmien kautta, joita darkneteiksikin kutsutaan. Darknet sinällään ei viittaa rikolliseen toimintaan, vaan luotettujen tahojen yhteiseen tiedostonjakeluverkkoon.

Käyttäjärjestelmien kuten Windows Vistan vajavuuksista

Tämä sivu ei ole varsinaisesti Windows Vista -spesifinen, mutta tässä silti esimerkkinä muutama viittaus sen vajavuuksiin. Jos tietokoneeseen olisi päässyt pesiytymään VBootkitin tapainen rootkitti, ei Windows Vistan hienot tietoturvamekanismit olisi minkään väärti, sillä hyökkääjällä olisi suora yhteys Vistan kerneliin eli käyttöjärjestelmän ytimeen. Hyökkääjä voisi tällöin ajaa tietokoneessa mitä ohjelmia vain haluaakaan. Onneksi kyse on tekijöiden mukaan vasta proof-of-conceptista. Vistan salasanojenkin kräkkäykseen näyttää löytyvän oma ohjelmansa, Ophcrack. Useat mediat tulivat uutisoineeksi Vistan .ANI-päätteisten tiedostojen tarjoamasta mahdollisuudesta hyökkääjällä saada tietokone etähallintaan. Determina Security Blogissa on videoleike siitä, kuinka se käytännössä voisi tapahtua.

Tietolähteitä

Alla olevat tietolähteet on valikoita ensisijaisesti työpöytäkäyttöjärjestelmään ja siihen asennettuihin ohjelmistoihin kohdistuviin hyökkäyksiin liittyen. Tämän vuoksi monia ehkä tietämisiäkin nettiohjelmistojen tietoturva-aukoista kertovia sivustoja on jätetty pois. Myös liian yleisesti tai jollain tapaa väärällä tasolla tietoturvaa käsitteleviä lähteitä on jätetty pois, ei tosin kaikkia. Podcasteista en itseasiassa ole kuunnellut tätä kirjoittaessa vielä ensimmäistäkään, joten niiden osalta olen laskenut mutun varaan. Valitsin sellaisia podcasteja, jotka päivittyvät suht usein, jotka käsittelevät erityisesti tietoturva-asioita ja joiden esillepano oli riittävän vetoavaa.

Musta- ja valkohattujen sivustoja on netissä valtavasti, mutta valitsin niistä ulkoasullisesti selkeimpiä ja keskustelufoorumeiden osalta riittävän aktiivisia. Aggregaattoreita en käynyt monia etsimäänkin, sillä tuo SecurityNewsPortal on kahminut itseensä niin paljon. Tiedä sitten sen käytännöllisyydestä. Blogeja voisi olla enemmänkin, mutta jos aihe kiinnostaa löydät niitä helposti blogien hakuun tarkoitetuilla hakukoneilla. Lehdistä (IN)Secure vaikutti ilmaiseksi lehdeksi varsin mojovalta paketilta, mutta listattuja tilattavia lehtiä en ole lukenut. Valitsin niistä professionaalisen oloisia sellaisia. Suomalainen Tietosuoja-lehti käsittelee tietoturvaa eri vinkkeleistä.


Tiedotteita ja viittauksia


Blogeja ja artikkeleita


Podcasteja


Aggregaattoreita


Lehtiä


Valko- ja mustahattuilua