Tietoturva

Puhelimesta alkujaan kehittynyt älylaitteeni kysyi lupaa viedä terveystietojani kiinalaiselle pilvipalvelimelle. Ilmeinen periaate: eihän tuo ota mitään, jos ei annakaan. Tarjous oli suorastaan houkuttava. Se lupasi kuusi kaunista ja kymmenen hyvää,
Vakavoituu: oikeasti miljardien ihmisten terveysdata on hitti data-analyysimarkkinoilla. Tämä kyseenalainen big datan haalinnan trendi iskee rakoon, jossa lääkinnällisten laitteiden ja niiden ohjelmistojen päivittäminen on hidasta. Vaikka laitevalmistajan kuuluisi pitää huoli, että tietoturvan taso on hyvä – ja laitteiden verkon yli raportoivien spesifikaatioiden tulee vastata Euroopan unionin asettamia suojavaatimuksia. Softille ei ole olemassa minkäänlaista museorekisteröintiä.

Vanhalla ystävällä oli hieman huono päivä: äijä lyyhistyi bussipysäkille. Onneksi paikalla oli elvytystaitoien kanssaihminen – mies elvytettiin. Kun infarktin jälkeen asennetaan nykyaikainen dataa raportoiva tahdistin sydämeen, toimii se vuorovaikutteisesti nettiprotokollien kautta.

Kyberrikollisuus ammattimaistuu

Netissä toimivat uuden sukupolven IoT-laitteet ja -koneet ovat kaksisuuntaisia. Ne välittävät tietoa verkossa, ja koska potilaan vointia kontrolloidaan, kojeita voidaan myös ohjata etänä verkon kautta. Verkossa toimivat lääkintälaitteet muodostavat tietoturvariskin, sillä puutteellisen tietoturvan vuoksi pahantahtoinen taho tai sen nikkaroima haittaohjelma voi päästä vaikuttamaan laitteen toimintaan. Laitteeseen voi päästä käsiksi verkossa useiden UPD- tietoturva-aukkojen kautta. 

UPD-formaatissa moni yleisesti tunnettu ohjelma päivittää dataa. Tuo .upd tiedostopääte voidaan laukaista ainoastaan tietyissä sovelluksissa, mutta nykyisin yhä useammissa. On mahdollista, että .upd-tiedostot ovat asiakirjatiedostojen sijaan koodeja, joita ei ole tarkoitettu katsottavaksi ollenkaan.

Kyberrikollisuudessa kyse on huumerikollisuutteen verrattavissa olevasta ammattirikollisuuden lajista, jossa tuotetaan myös omia spesifejä työkaluja kybermurtojen tekemiseen. Esimerkiksi korkeabittistä mobiililinkkiteknologiaa vastaan hyökätään UPD-tasolla – mistä ei välttämättä jää jälkiä ja jos jääkin, ne voidaan siivota. Tietoturva olisi syytä ottaa vakavasti myös terveydenhuollossa. Jopa data sydämentahdistimesta saattaa kiinnostaa taustalla pysyttelevää kolmatta osapuolta. Se änkeää potilaan ja sairaalan väliin. Lääkemainonnan härskein ulottuvuus analysoi terveysdataa. Samaan aikaan kun terveydenhuolto hyötyy IoT-kehityksestä, sen tulee kantaa vastuut potilastiedoista.

Huawei asialla

Hieno älypuhelimenikin yrittää kaupata seurantatoimintoja, ja viedä terveystietoja kiinalaiselle pilvipalvelimille. Kone kysyy lupaa. Oikein täytyy silmiä hieraista, ´tä? Kiitos ei. Olin tosin lähellä hurahtaa, ja ottaa käyttöön toimintoja. Miten muilla?

Terveydenhuoltoon ja terveystietoihin kohdistuessaan tietoturvaloukkaukset ovat nasakka riski ihmisten yksityisyydensuojalle. Työntekijät ja tietojärjestelmät voivat joutua tietoturvaloukkausten kohteiksi sattumalta eritoten hyvää uskoisuuttaan. Kiristysohjelmia esimerkiksi laukeaa sairaaloissa ja terveydenhuollossa poikkeuksellisen paljon. Data-analytiikkaa kiinnostaa vain big data, josta tietomarkkinat pystyvät hyötymään jollakin tapaa. Mutta ennen kuin datavirtaa alkaa syntyä sen on myytävä terveystuote uhrille, mikä (katso edelle) voi näyttää pyyteettömältä.

Valtioneuvosto kyberturvallisuuden asialla

Valtioneuvosto antoi viime vuoden syksyllä ohjeen, jonka tarkoitus on antaa yleiskuva terveydenhuollon toimialaa koskevista kyberturvallisuuden periaatteista sekä olemassa olevista ohjeista ja suosituksista. Uhkien yleisyys sai valtiovallan paimentamaan. Kyberhäiriötilanteisiin varautuminen ja niiden hallinta ovat nyt osa sosiaali- ja terveydenhuollon organisaatioiden jokapäiväistä toimintaa. Erillisohje perustuu Suomen kyberturvallisuusstrategian toimeenpano-ohjelmaan ja sillä tuetaan yhteiskunnan elintärkeiden toimintojen varmistamista häiriötilanteissa: kyberturvallisuus on osa sosiaali- ja terveydenhuollon palveluiden valmiutta ja varautumista.

Ohjeet ovat ohjeita, kapulakieltä, mutta suositukset tulivat kreivinaikaan. Maaliskuussa v. 2020 repesi tilanne terveydenhuollossa koronaviruksesta johtuen.

Tietoturvasta keskustellaan, kun valtiovalta Suomessa – poikkeuksellisesti, kyllä – tulee sovellusmarkkinoille. Muistutetaan, että kun Koronavilkku on ladattu, joka tapauksessa käyttäjän tulee hyväksyä uusi yhteys. Ei se kuitenkaan ihan näin mene. Vilkku vain pannaan päälle omasta puhelimesta eikä sen jälkeen hyväksytä yhtään mitään. Bluetooth on järkevää kytkeä päälle vain, kun on mukana vilinässä ja kohtaa ihmisiä.

Mutta päällä ollessa Bluetooth kenttä reagoi koko ajan lukuisiin tätä protokollaa käyttäviin kojeisiin, jääkaapeista leivänpaahtimiin ja seksileluihin. Muuten, jos yhteyspyynnöt hyväksytään summanmutikassa, se on sama kuin availisi epäilyttäviä linkkejä sähköpostistaan. IPhonen sovellusasetuksista löytyy kaksi eri näkymää, jotka kertovat Koronavilkun vaihtamista tiedoista: katsomme listan: altistustarkistukset, ja edelleen valikko ”tarkista tiedot”. Siellä näkyy kaikki tarpeellinen. Androidissa taas toimii ominaisuus, joka löytyy valitsemalla Asetukset > Google > Covid-19-tuki > altistumistarkistukset. Tämä on käyttöjärjestelmätason ominaisuus, jota löytyy uusimmalla Android-versiolla varustetuista puhelimista.  Ensimmäinen näkymä kertoo, milloin sovellus on viimeksi ollut yhteydessä taustajärjestelmän palvelimille vaihtaakseen tietoja.  Toinen näkymä puolestaan näyttää 6 avainta, jotka ovat viimeisimmällä tarkistuskerralla saatuja jo sairastuneiden tartuntakoodeja. Näkymät tulevat nopeasti tutuiksi.

Puhelimista jotkut saattavat oletuksena piilottaa yhteyttä ottavien Bluetooth-laitteiden näkyvyyden.

Tämä johtuu asetuksista, esim. Huaweissa, jossa Vilkku toimii, valikot ovat aika pirulliset. Samsung helpompi. Tässä voi hyvällä syyllä poiketa puhelimen myyneeseen liikkeeseen hakemaan neuvoa…

Palavereissa olemme todenneet, että kyse on yhteiskunnallisesti merkittävästä sovelluksesta, ja näin muodoin kynnys käsitellä sen mahdollisia turvapuutteita saattaa olla hieman tavallista korkeammalla tasolla. Näin tuumitaan – Vaikka jämäkkää turvaohjeistusta kai tarvittaisiin eritoten yhteiskunnallisesti merkittävän sovelluksen käyttöön? 

Turvallisuustiedotus huteralla pohjalla

Se, että Kyberturvallisuuskeskuksen tiedote on niin sekava, että siinä asiakohdat lyövät toistaan korvalle, ei juuri lisää luottamusta – kylläkin kuvaavaa tärkeässä asiassa. Tiedote löytyy täältä.

Kyberturvallisuuskeskus: ”Onko Bluetoothin ja BLE:n käyttäminen esimerkiksi puhelimessani turvallisuusriski? Ei varsinaisesti.”

Eikö? Vastuutonta väheksyntää, jos saan sanoa.

”Jos laite on niin sanotusti vihamielinen”

Kyberturvallisuuskeskus: ”Jos laite on niin sanotusti vihamielinen ja se pystyy käsittelemään tietojasi, sellaisessa tilanteessa mikään tietoturvapäivitys ei auta.”

Toisaalta tämäkään ei ole aivan totta. Totaalinen esto on mahdollinen. Sen minkä minä olen oppinut 30 v. aikana on, että aliarvioimalla kyberrikollisia ja niiden metkuja ei pitkälle pötkitä.

Miljoonat autot ovat haavoittuvia varkaudelle, jossa yhdistyy korkean teknologian hyödyntäminen ja vanhan ajan tavat varastaa auto, tietää Wired-lehti. Mutta tiedetään myös, että miljoonat kodit älylukkoineen ovat kyberrikollisten työvälinein korkattavissa milloin tahansa. Lue lopusta hyvä sanoma.

Muun muassa Toyotan, Hyundain, Kian useissa automalleissa toimii varkaudelle altistava lukituksen pilipalisointi, anteeksi, digitalisointi. Birminghamin yliopiston kokoamassa pdf-raportissa on lista käynnistysjärjestelmiltään haavoittuvista automalleista. Myös Tesla S oli haavoittuva, kunnes tämä lippulaiva korjattiin viime vuonna pikapikaa toimitetun ohjelmistopaikkauksen avulla. 

Wired raportoi spesifistä haavoittuvuudesta autojen radiolaitteessa. Komponentti on tarkoitettu avaimenperän kanssa viestimiseen auton käynnistämiseksi. Toiminto on ohitettavissa tavalla, joka ei tee kunniaa nimekkäille merkeille.

Kybermurto tapahtuu alle 200 euron hintaisella radiotaajuusnuuskintalaitteella, joka on yleisesti saatavilla internetissä.

Jäätelötikku is back!

Avaimenperässä toimii siru ja salausavain. Koje matkii autossa sen omaa avainta. Auto käynnistyy, kun lisäksi virtalukkoa käännetään jollain esineellä, esimerkiksi jäätelön tikulla tai ruuvimeisselillä.

Autojen turvallisuus viedään takaisin 80-luvulle, Birminghamin yliopiston tutkija Flavio Garcia kuvailee tilannetta Wiredille. Oikeastaan 1960-luvulle, jolloin legendaarisen Ford Escordin oven lukko aukesi puhtaaksi nuollulla tikkujäätelön tikulla – melkoista “kierrätystä” tämäkin. Brittiläinen kuluttajajärjestö Which on jo aiemmin romuttanut myytin avaimettoman auton murtamattomuudesta. Se on mahdollista tehdä halvalla ja nopeasti tapahtuvalla iskulla: 18 sekunnissa – Whichin mukaan satojen automallien ovet aukeavat helpolla menetelmällä. Samassa yhteydessä osoitettiin, että myös autojen turvaksi suunnitellut hälyttimet voidaan kääntää omistajaansa vastaan. Moottorin sammuttaminen autosta kesken ajon saattaa tapahtua kuin action-filmissä, kaukosäätimen näköisellä kojeella, mutta siis oikeassa elämässä.

Entäpä miten kotien laita? – Ei paljonkaan paremmin.

Radiotaajuustunnistin murtotyökaluna

En voi olla mainitsematta monien maineikkaiden älylukkojen vähäisestä murtosuojasta. Muutama vuosi sitten tutkijat onnistuivat murtamaan 16:sta testatusta peräti 12 älylukkoa – halpahintaisilla työkaluilla. Se on yleisesti saatavilla oleva radiotaajuuksien etätunnistuslaite, jonka voi halvimmillaan tosiaankin löytää runsaan 150 euron hintaan netin alamaailmoista.

F-Securen kokeessa tutkijat kavahtivat, koska laitteella voi kaivaa hotellin ovitunnisteet vaikkapa vanhasta avainkortista. Murtohommiin valjastettu radiotaajuuksien etätunnistuslaite on laboratoriotyökalu, joka itsessään ei ole laiton. 

F-Secure on nyt laboratoriossaan tutkinut eritoten bittisyydeltään alhaisella bluetooth-yhteydellä salausavaimia vaihtavien lukkojen haavoittuvuuksia. Näissä kokeissa asiantuntijaryhmä on murtanut yhden markkinoilla olevista älykkäällä salausavaimella toimivista lukoista. Lukko (KeWE) tosin taitaa mainostaa itseään edelleen maailman älykkäimmäksi.

Ongelmia löytyy eritoten lukoista, jotka avataan langattomalla yhteydellä. Yrityksissä tulisi valita lukko, kun niitä uusitaan, jossa toimii elektroninen varmenne sekä perinteinen, mekaaninen avain, kuten esimerkiksi ABLOY PROTEC2 CLIQ® –lukitus. En pelkää vetää esiin nimiä. Tuo lukkojärjestelmä, kuten pari muuta, toimivat myös kaiken kattavasti lukituksissa. Yhteensopivuus- ja turvaongelmat on mahdollista sivuuttaa valitsemalla varmanpäälle. Hintakilpailutus toimii monella alueella, mutta ei silloin kun turvallisuus on ykkösprioriteetti.

Onni onnettomuudessa. Jos ei osta sikaa säkissä, välttynee edellä mainituilta ansoilta. Rautakauppaketjuilla, jotka esittelevät ja kertovat tuotteista, näkyy myynnissä vain turvallisia lukkoja. Tämä voitane kertoa.

Etäyhteydet palavat kuumana – ne nostavat dataliikenteen reitityksen mittarit lähes punaiselle. Mutta verkko kestää ennennäkemättömän kuorman. Samoin verkko pullistelee roskaposteja ja huijauksia. Oiva tilaisuus haksautella etätyöntekijöitä, ajattelee krakkeri.

Kaupan tuotemerkkejä ja yritysten nimiä liitetään asiattomiin yhteyksiin. Useimmiten kyselyjen tai osallistumispyyntöjen avulla pahaa-aavistamattomia uhreja taivutellaan jakamaan kriittisiä luottamuksellisia tietojaan. Uhri saattaa joutua levittämään haittaohjelmia zombiksi kaapatulta tietokoneeltaan.

Kun sähköpostiin kolahtaa kivalta näyttävä viesti, seuraavia seikkoja tulee tarkistaa: 
Kuulostaako tarjous liian hyvältä? Esimerkiksi OneCoin-pyramidihuijaus.
Onko viestin kirjoitusasu ja kielioppi okei? 
Onko viestin sisältö jotenkin muuten epäilyttävä? 
On itsestään selvää – ja asia toistettu tämän tästä – ettei yksikään pankki tai kauppa lähetä sähköposteja, joissa kysellään salasanoja, tilinumeroita, pankki- tai luottokorttitietoja tai pyydetään rahaa.

Tarkista, takaista, epäile…

Jos epäilyttävässä sähköpostiviestissä on linkki, tarkastamme, mihin internetosoitteeseen linkki viittaa viemällä hiiren osoitin linkin päälle – Mutta älkäämme klikatko linkkiä. Jos linkin takana oleva verkkotunnus ei liity viestin lähettäneeseen tahoon, on kyseessä tietojenkalastelu- tai huijaustarkoituksessa tehty vaarallinen yhteydenotto.

Sitten väärät hälyt: kyberrikollinen ei voi päästä Facebook-tilillesi käsiksi pelkän kaveripyynnön hyväksymisen seurauksena. Ei onneksi voi. Kevät on mitä ihmeellisempien huijausviestien sesonkiaika. Otamme faktantarkistussivut Snopes ja Hoax-Slayer käyttöön. Hoax-viestin levityssystematiikka hyödyntää ihmisten hyväntahtoisuutta ja koska varoitus tulee kaverilta, siihen suhtaudutaan usein vakavasti.

Facebookissa leviää taas haittaohjelmia, minkä takia palvelun käyttäjät ovat varpaillaan. Valheellisilla varoituksilla luodaan myös omalaisensa epidemia. Tässä viimeisin: “Välitäthän tämän Messenger-kontakteillesi: älkää hyväksykö Fabrizio Brambillaa. Hänellä on profiilifoto itsestään ja koirastaan. Hän on hakkeri ja hän pääsee sinun Messenger-tiliisi käsiksi. Jos kontaktisi hyväksyvät hänet, pääsee hän sitä kautta myös hakkeroitumaan sinun tiliisi, joten yritä infoa kaikkia kontakteja listallasi. Kiitos. Lähetä tämä viesti eteenpäin. Pidä sormeasi viestin päällä ja valitse ’välitä eteenpäin’. Klikkaa sitten erikseen jokaista nimeä listallasi (tai jokaisen kohdalla ’lähetä’ tms.) ja viesti lähtee heille. Kiitos ja onnea matkaan!” Tämä huijausviesti säikyttelee Facebook-käyttäjiä jakamaan hoaxia eteenpäin. 

Hoax on syytä pysäyttää

Todellisuudessa krakkeri, tätä on syytä toistaa, ei voi päästä kenenkään Facebook-tilille käsiksi pelkän em. kaveripyynnön hyväksymisen seurauksena.

”Fabrizio Brambillasta”-kaveripyynnön kirjoitusmuoto saattaa hieman vaihdella. Fabrizio Brambilla -huijaus on kiertänyt Facebookissa vuosien ajan, ja sitä on jaettu ympäri maailman. Fabrizio Brambilla Hacker -sivu on olemassa. Siitä ei ole tietoa, onko hänellä mitään tekemistä nimeään käyttävän huijauksen kanssa.

Snopes analysoi hoax-kaavaa, jossa varoitetaan olemaan tekemättä jotain tietokoneella tai puhelimella. Muutoin seuraukset voivat olla ikäviä. Pelkkää kiusantekoa.

Asia erikseen: Hewlett Packard varoittaa pahasta virheestä joissakin ssd-levyissään. Voi olla muutakin, hyväksykää, jos tarholle ilmestyy HP:n järjestelmäpäivitys.

Hyvin suunnitellulla tietojenkalastelusivustolla tiedetään ansaan menneen jopa 43% saitin käyttäjistä. He siis luovuttavat kyberrikollisille luottamuksellisia tietojaan. Pieni osa uhreista luovuttaa valmiiksi sekä tilitietonsa että transaktion varmentamista edellyttävät numerosarjat mutta sitäkin tavataan.

Suurin piirtein jokaisen tietovuodon yhteydessä – aiheellisesti – saadaan muistutus siitä, kuinka vääräoppisesti salasanoja käytetään. Puolittaiset tilitiedot korkatuista tietokannoista ovat kauppatavaraa. 

Tilitietojen ostajina ”poliisit” sekä ”pankin tietoturva-asiantuntija”, jotka puhelimessa vakuuttavana esiintyen utsivat ihmisiltä itseltään transaktioihin tarvittavat avainlukusarjat. Monilla puhelimessa uhria lähestyvistä urkkijoista olisi varmasti esim. radioteatterissa ollut ihan hyvät menestymisen mahdollisuudet. Näistä nettipohjaisten huijausten tekijöistä muuten löytyy poliisin profiloinnit. Profiilien takaa paljastuu arkoja taustatietoja.

Entistä suurempi huomio kiinnittyy nyt siihen, että meillä on tietosuojalainsäädännön mukaan oikeus saada tietoomme tietokannoissa tapahtuneista asioista, nimenomaan tietojemme käsittelystä, onko se ollut lain ja standardien mukaista. Aina niin ei ole. Nyt valuvika on korjattu.

Avoimuus lokitiedoista lisääntyy paitsi rahalaitoksissa

Sijoitus-, luotto-, treidaus- ja rahalaitokset taas eivät ole kiinnostuneita lain määräämästä avoimuudesta, vaan herkästi vetoavat kaiken kattavaan pankkisalaisuuteen, vaikka kyseessä olisi tietomurto pankin järjestelmään (ennen pahan vahingon paljasti, pankin taholta tullut yllättävä salasanojen ja käyttäjätunnusten vaihto).

Sen sijaan osa terveydenhuollon toimijoista tekee asiakkaan lokitiedoista selvityksen automaattisesti viimeisen kahden vuoden ajalta, ellei hakemuksessa toisin pyydetä. Toiset terveydenhuollon toimijat puolestaan pyytävät määrittelemään tarkemmin ajanjakson, jolta lokitietoja halutaan nähtäväksi.

Tietosuojavaltuutettu Reijo Aarnio muistuttaa, että suurilla terveydenhuollon toimijoilla toimii tietosuojavastaava, jolta voi kysyä neuvoja lokitietojen pyytämiseen.

Mitä sitten anastetuilla yksityis- ja yritystiedoilla tehdään? Erityisesti lääke- ja teknologiafirmojen työntekijöiden käyttäjätunnukset, luottokorttitiedot ja salasanat ovat kauppatavaraa Tor-verkossa siinä missä perinteiset hittiartikkelit: doping- ja huumausaineet. Yritysten tietojärjestelmiin ovia avaavilla salasanoilla ja käyttäjätunnuksilla käydään kauppaa. Niitä halutaan erityisesti teknologia- ja tuotekehitysyrityksistä. Suomi on pitkälle digitalisoitunut maa. Passit taas ovat kysytyin yksittäinen tekaistu dokumentti hämärillä kauppapaikoilla. Sitä varten varastetaan identiteettejä. Suomessa näkee vielä hyvän määrän yliopistoväkeä, joka jakaa nettisivuillaan CV:nsä, jopa valmiin passikuvan kerran.

CV:t verkossa – sen kun ottaa

Suomi-passi on kovaa valuuttaa. Niitä tarvitsee etenkin järjestäytynyt rikollisuus jo sijaintinsa puolesta. Olemme kauttakulkumaa Venäjälle. Väärälle henkilöllisyydelle luodulla passilla voi avata tilejä. Venäjän tulli on tarkkana, mutta ei voi tilanteelle paljoa vanhentuneine valvontatyölakuineen.

Tor-verkko, ja sitä ennen mm. meidän privatizer.net, olivat ideana sananvapauden ja viestintäsalaisuuden turvaamisen ratkaisuja. Näin oli määrä turvata toisinajattelijoiden ja vähemmistöjen oikeuksia. Pianhan se selvisi nettikäyttäjän IP:n piilottavia Proxy palvelimia viritellessä (vuosituhannen alussa), että anonymiteettia tarvitsivat myös aivan muut ryhmät kuin toisinajattelijat ja vainotut vähemmistöt. Nykyinen tarjonta: https://websetnet.net/fi/parhaimmat-v%C3%A4lityspalvelinten-sivustot-luetellaan-27-proxy-palvelimia/

Rikolliset ovat mustanneet Tor-verkon maineen – näkyy olevan ihan okei kutsua Toria pimeäksi verkoksi tai kauppapaikaksi. Mutta nyt olemme helisemässä näiden ”kauppapaikkojen” kanssa. Edelleen, vaikka muuta saattaa kuulla, ainut tapa murtaa Tor-sipuli on pääsy päätelaitteelle – joko laitetakavarikosta tai muusta seikasta johtuen.

Se lisääntyy: paitsi datan vohkinta puhelimista, kojeen kaappaus spämmäyksen alustaksi – taas riesa vakavimmasta päästä on petosten tehtailu ulosvuotaneilla yksityistiedoilla.

Venäläinen tietoturvayhtiö Kaspersky Lab ampuu kovilla. Tämä arvostettu alan toimija näköjään odottaa, että nyt syntyy oikea tietoturvakulttuuri, jossa turva-asioihin paneudutaan systemaattisesti. Heti kärkeen Kaspersky ehdottaa, että käytämme vahvaa salasanaa ja kaksivaiheista tunnistusta. Lisään: käytämme biometristä tunnistusta, jos se vain suinkin on mahdollista. Tärkeää on, että tietomurrossa tietokannasta paljastunut salasana ei yksinään päästä ketään tunkeutumaan tileille. Se on estettävissä joko biometrisellä tunnistuksella tai konffaamalla tunnistautuminen monivaiheiseksi. Kirjautumiseen voidaan usein myös lisätä puhelimeen lähetettävä varmistuskoodi. Myös vahvalla PIN-koodilla tekee paljon: kuka tahansa ei pääse puhelimelle asentamaan siihen vakoiluohjelmia.

Turhat luvat pois

Sitten venäläisessä turvaohjelistassa korostetaan, että lataamme sovelluksia vain virallisista kaupoista, eli Google Playsta tai App Storesta. Niissäkin tosin voi olla haitallisia sovelluksia, mutta silti selvästi muita latauslähteitä vähemmän. Toisaalta luottamus viralliseen kauppapaikkaan voi olla petollista. Hyvä vinkki on katsoa appikaupassa ennen houkuttavaa lataamista, millaisen arvosanan tämä sovellus on saanut; laskea sen tähdet, kauanko se on ollut saatavilla, ja kuka sen on kehittänyt? Lisään: ennen muuta tulee miettiä kahdesti, “tarvitsenko minä oikeasti tällaista härpäkettä”.

Osa sovelluksista aktivoituu haitaksi vasta joskus myöhemmin. Ikävä tosiasia. Edelleen emme anna puhelinsovelluksille lupia, jotka vaikuttavat turhilta, jos emme ole aivan varmoja siitä mitä olemme tekemässä. Aina mieluummin kysymyksiin valtuutuksista vastaus “en salli” kuin “salli”.  Se ei ole epäkohteliastakaan: vastassa on kone. Jos epäilyttävälle pyynnölle löytyy myöhemmin viaton selitys, luvan voi antaa myös jälkikäteen. Sen sijaan, jos sovellus pyytää vaikkapa lupaa käyttää paikkatietoja tai mikrofonia ilman ilmeistä syytä, tulee luvan epääminen olla ykkösvaihtoehto. Data-analytiikka hyödyntää kumpaakin infovirtaa.

Puhelimessa voi käyttää luotettua tietoturvaohjelmaa, mikä tuntuu olevalle useimmalle vieras ajatus. Tällä oma historiansa: ennen kun muisti- ja prosessoritehoresurssit olivat niukkoja, tietoturvaohjelmat saattoivat hidastaa huomattavastikin päätelaitteen toimintaa. Kuvien metadatan poistaminen on hyvä yleisvinkki. Kasperskyn mukaan data, josta ilmenee esimerkiksi kuvan ottopaikka, voi olla riski yksityisyydelle. Kuvan metadataa lukee muun muassa Googlen kuvahaku. Sen sijaan ainakin Facebook ja Imgur poistavat metadatan automaattisesti.

Metadata minimiin

Viimeisenä pääkohtana venäläinen tieturvayhtiö ehdottaa, että GPS:n luomat paikkatieto tagit olisi paras poistaa kuvista. Tämä säätö tehdään puhelimen kamerasovelluksen hammasrataspainikkeen takaa yleensä helposti aukeavasta asetusvalikosta. Muutama esimerkki sijaintitunnisteiden rajoittamiseen.

Applen iPhone: avaa puhelimen seuraavasti: Asetukset > valitse Tietosuoja > Sijaintipalvelut > Kamera > Ei koskaan.

Huawei Smart P 2019 > Asetukset > Sovellukset > Sovelluksen asetukset > Kamera > Sovelluksen tiedot > Taustadata: sallittu – se vaihdetaan muotoon “rajoitettu”.

Miksi? Katso, jos kuvan julkaisuajankohta on tuore, saatat pian saada mainoksia palveluista tuon kuvauspaikkasi lähistöllä.

Aina laillisuuden rajoilla

Näet massiivinen, kaikkialle ulottuva data-analytiikka käyttää saamansa kuvien metadatan omiin tarpeisiinsa. Pikku juttu mutta turhaa tiedon jakamista elämästään tulee välttää.

Älkää luottako: Huawei tarjoaa terveyspalveluja mobiiliympäristössä. Aiheettoman terveystiedon vuodatus on syytä torpata: USA:ssa Googlen Project Nightingalesessa haalima Big data asiakasyhtiö Ascensionille sisälsi muun muassa laboratoriotuloksia, lääkäreiden diagnooseja sekä potilaskertomuksia 21 osavaltiossa. Big datan perusteella henkilöistä sai koottua täyden terveyshistorian, nimiä ja syntymäpäiviä myöten.

Onneksi meillä on GDPR, sen sanon.

Google Playssa on ollut 27. tammikuuta alkaen ladattavana, Veikkaus-niminen sovellus, jonka kömpelö kuvausteksti kertoo: ”Veikkaus-sovellus, jolla on enemmän kuin upea kokemus” – kyseessä on haittaohjelma, mainosgeneraattori ja urkkija, jonka jakelun torppaamisessa Google jostakin syystä vitkutteli viikkokausia. Veikkaus ainakin reagoi asiassa flegmaattisesti, valtion yhtiö, kun on. Eräs toinen valtion liikelaitos, VR, ei saa sen parempia tietoturvapisteitä.

VR.fi sivustolla junafirma kertoo, että sen graafinen ulkoasu on parhaimmillaan käytettäessä uusimpia selainversioita Firefox 9.0, Internet Explorer 8.0, Chrome 17.0.x ja Safari 533.x. Tämä epäammattimaisuus jatkuu kautta linjan. Ehkä ”graafinen ulkoasu” tässä tärkeintä onkin, sillä listassa mainittu Internet Explorer 8.0 ei ole tietoturvanäkökulmasta enää kelvollinen selain – eikä tietenkään yksikään Explorer-versio – vaan tolkun tieturvariski. Microsoft itse varoittaa Explorerista, eikä yhtiö enää päivitä menneisyyden selaintaan, joka oli täynnä porttiskannerilla esiin blokattavia turva-aukkoja.

”Muilla selaimilla ja em. selainten vanhemmilla versioilla sivuston ulkoasussa voi esiintyä osittaisia poikkeuksia”, VR kertoo, ja jatkaa: ”suosittelemme uusimpien selainversioiden käyttämistä myös niiden tarjoaman kattavamman tietoturvan vuoksi.” Kaunis lause, mutta nettiselainta koskevat huolet vain ovat pieniä siihen verrattuna, mitä lipunostoportaali pakottaa matkustajia lataamaan. Tosi asiassa VR-Yhtymä ohjaa nettisivullaan haavoittuvien selainlaajennusten pakkohyväksyntään.

Ne uhat ladataan, jos tahtoo onnistua lipputilailussaan. Yhtymä ei ole luopunut Adobe-laajennuksesta, vastoin yleistä käsitystä. Tämä luulo perustui julkisuustemppuun: VR otti lopulta käyttöön erään ohjelmoijan sille varta vasten tekemän avoimen lähdekoodin. VR sai sen ilmaiseksi. Yhtymä on kertonut julki, ettei se tee mitään ostohankintoja web-sovelluksista (joita se kertoo osaavansa tehdä itse).

Näin muodoin sen ei tarvinnut maksaa – valkohattuhakkerin sille toimittaman ilmaisen koodin oli määrä korjata Flash-sovelluksen turva-aukko valtionyhtiön portaalin sivulla. Tämä näytti jotenkin toimivan. Ainakin se oli parempi kuin entinen järjestelmä.

Haavoittuvuus takaisin sivuston käyttöön

Nyt Flash-laajennus syystä tai toisesta on tehnyt revanssin VR:n portaaliin. Ehkä syy on Flash Player -ohjelmistoon julkaistu korjauspäivitys. Paikka tuli sen toisto-ohjelmistostaan kriittiseen haavoittuvuuteen.

Jäljellä kuitenkin on jäänyt esimerkiksi Microsoft Office –tiedostoon upotettu Flash-hyökkäyskoodi, joka avattaessa päivittämättömällä tietokoneella, päästää haavoittuvuus hyökkääjät ajamaan laitteessa omaa ohjelmakoodiaan. Koneista on viety ulos esimerkiksi henkilötieto- ja pankkidata.

Myös uusista haavoittuvuuksista on raportoitu.

VR kertoo, että ”Flash Player -laajennusta vr.fi-sivustolla käyttävät ainoastaan paikan valinta verkkokaupassa ja Junat kartalla –sovellus”. Jos siis haluaa ostaa istumapaikan junaan, se tarkoittaa käytännössä sitä, että ostaja altistaa omansa tai jonkin toisen tietokoneen, jolla työskentelee, vakavalle tietoturvauhkalle. Ja Adope Flash Playeriä käytetään ”ainoastaan” istumapaikan ostamiseen. Tämä on ydintoiminto, jota kaikki eivät voi käyttää, koska tuo häijy selainlaajennus on kokonaan estetty esimerkiksi eräissä Android-järjestelmissä. Tämä paikanvarauspuute taas näyttäisi junissa johtavan jatkuviin sekaannuksiin, kun asemilla vaunuihin nousee kahdenlaisia matkustajia paikanostaneita ja niitä, jotka istuvat kulloinkin vapaaksi jääneillä paikoilla tai seisovat.

Kuulostaako vaikealta? Sitä se on.

Lataan ja poistan Flash Playerin pakon edessä

Itse käytän VR:n kanssa seuraavaa metodia lähipiiriin hyväksi: lataan Flash-laajennuksen Windows 10 pohjaiseen tablettiin istumapaikan ostamista varten, mutta poistan sen saman tien, kun asia on hoidettu, koska tämä haavoittuvuus voi avata takaportin kyberrikollisille. Ei mikään niin iso lisähomma, kun poisto rutinoituu ostosten päätteeksi.

Vanhentunut Flash on ollut käytössä mm. siksi, että se minimoi tiedostokoon ja luo tiedostoja, jotka säästävät siirto- ja latausnopeutta. Asiantuntijat ovat sitä mieltä, että Adoben Flash-selainlaajennuksesta ei näytä korjaamalla tulevan turvallista kalua.

Adobe ilmoitti jo heinäkuussa 2017 lopettavansa Flash Playerin kehittämisen ja jakelun vuoden 2020 lopulla. Sen jälkeen härpäke vasta vaarallinen onkin. Flash Player –version voi tarkistaa Adoben testisivulla https://helpx.adobe.com/fi/flash-player.html. Aina uusin versio, niin kauan kun lähdekoodi päivitetään, on kuitenkin turvallisin. Tämä tulee tehdä vielä yhdistettynä em. käyttötapaan, jossa Flashia ei ”unohdeta” selainlaajennukseksi.

Oletko kyllästynyt siihen, että sinun on syötettävä salasana aina kun haluat käyttää kassakaapin tai lukitun sovelluksen sisältämiä yksityisiä tietoja? Voit siirtyä yksityisiin tietoihin nopeasti sormenjäljelläsi. Tämä menetelmä on kätevä ja turvallinen, huhuilee Huawei P Smart 2019:n manuaali.

Google on ottanut kopin – se on tehnyt fido2-standardin mukaisen biometrisen tunnistusprotokollan palveluihinsa. Sormenjälkeä ei suinkaan lähetetä Googlen palvelimille, vaan biometritunniste on säilötty turvallisesti Android-laitteeseen.

Sormenjälkitunnistusta tarjolla tavallisissa kansan puhelimissa

Sormenjälkitunnistus ei enää ole kalliiden puhelinten ominaisuus – vaan parhaimmillaan vakiona 250 euron hintaluokissa. Kun yksi kiinalainen puhelinvalmistaja lähti huipputoimintojen halpuuttamisen tielle, muiden ei kannata pyristellä vastaan.

Hinnoissa tullaan alas Kaikilla herkuilla –tason puhelimissa. Halvin Samsung, joka käyttää sormenjälkitunnistusta, on 500 euron hintainen Galaxy S10e. Pikaisesti en löydä erityistä etua verratessani sitä kaksi kertaa halvempaan Huawei P Smart 2019 –puhelimeen.

Sormituntuma on se, että sormenjälkitunnistusta alkaa olla tarjolla tavallisissa kansan puhelimissa. Intuitiiviseksi mainostetuissa Samsung-malleissa Galaxy S10 ja Galaxy S10+ on ultraääntä hyödyntävä sormenjälkitunnistin näytön etuosassa.  Mallin S10e anturi sijaitsee virtapainikkeessa, joten puhelimen avaaminen on helppoa.

Asetuksiin perehtymällä sormenjäljen taakse voi viedä turvaan melkein mitä tahansa sisältöä. Urkkijalle sormenjälkitunnistimella toimiva puhelin on haaste. Kasvo- ja sormenpäätunnistustekniikan avulla luodaan vahva salaus – tarvittaessa vielä kaksivaiheinen vahvistus, mikä lisää tietoturvaa logaritmisesti. P Smart tarjoaa lisäksi etukameraan perustuvan kasvojentunnistuksen. Kirkkaassa valossa se tunnisti käyttäjän niin silmälaseilla kuin ilmankin – jopa käsivarren mitan päästä. Tunnistuksessa lienee pientä viivettä, ja varsinkin hämärässä kasvojentunnistus muuttuu epävarmaksi. Tässä leikissä viime vuosina yleistynyt puhelimen etäkaappaus haittaohjelmalla vaikeutuu kokonaan toiseen vaikeusasteeseen. Biometristen tunnistusjärjestelmien murtamiseen tarvitaan aivan muut konstit. Laajassa mitassa se ei tule olemaan kustannustehokasta.

Huijata voi, mutta ei helposti

Sormenjälkitunnistimia on mahdollista huijata useilla tavoilla, mutta ei helposti. Myös sormenjälkitunnistimet on pystytty krakkeroimaan, ja laite on kyetty avaamaan ilman omistajan sormea. Tiedetään, että sormenjälkiä on onnistuttu kopioimaan lastenhuoneissa taattavalla Play-doh-vahalla. Lisää poikkeuksia: totta tietenkin on, että sormenjäljet ovat ikuisia, ja jos käy niin, että ne vuotavat kyberrikollisille, ei sormitunnisteen käyttö ole enää turvallista.

Windows-kympin haavoittuvuus osoitti kouriintuntuvasti, kuinka tärkeää on, että käyttöjärjestelmän päivitykset asentuvat kaikille laitteille, missä Windows pyörii. Huom. tämä koskee kaikkia laitteita tabletista järeälle pöytäkoneelle. Kun menemme Windows 10 ohjauspaneelin pääikkunasta Windows Update –valikkoon, sivulla kuuluu näkyä teksti; ”Päivitykset asennetaan automaattisesti”. Tarkistakaamme asia nyt vielä kerran. Sillä jo puolet suomalaisista on joutunut nettihuijauksen uhriksi – osa näistä hyökkäyksistä käyttää apuna järjestelmien haavoittuvuuksia.

NSA kuskin paikalla

Maailmaa järkytti Win 10:n haavoittuvuus, jonka kautta voi tehdä esimerkiksi omia tilauksia mutta myös väärentää tilauksiin digitaalisia allekirjoituksia. Haavoittuvuus mahdollistaa muun muassa väärennettyjen verkkosivustojen ja Windows-päivitysten naamioimisen aidoiksi. Jos päivitykset asennetaan automaattisesti, Windows huolehtii päivityksestä, ja asian periaatteessa pitäisi olla kunnossa. Periaatteessa.

Tätä haavoittuvuutta on kuitenkin mahdollista hyödyntää niin vakoilussa kuin rikollisuudessakin, joten turvallisuusvirasto NSA ilmoitti havainnoistaan Microsoftille. Poikkeuksellisesti data-aukon julkistuksen lopulta teki Yhdysvaltain kansallinen turvallisuusvirasto NSA, koska sen mukaan Microsoft vitkutteli asian kanssa liikkeellelähdössä. Haavoittuvuuden löytäneen NSA:n arvion mukaan taas haavoittuvuudella voi olla niin merkittäviä seurauksia, niin pahoja, että ongelma tuli korjata heti. NSA:n mukaan kybermaailman ammattirikolliset pystyvät ajamaan sieppaamilleen koneille omia vaarallisia työkaluohjelmiaan.

DNA kuskin paikalla

Alan blogit ovat pohtineet NSA:n julkistusta. Turvallisuusvirasto näet ei ole itsekään erityisen hyvämaineinen, vaan aiemmin piti löytämiään aukkoja omassa käytössään ja epäillään, että se valjasti takaportit omaan vakoiluunsa. On mahdollista, että myös joku muu taho on löytänyt haavoittuvuuden ja alkanut sitä hyödyntää.

Tätä lukiessa Microsoft on korjannut Windows 10:stä tietoturva-aukon, joka on yksi pahimmista kautta aikojen. Koodilla CVE-2020-0601 tunnettu haavoittuvuus auki jäädessään mahdollistaa vakoiluohjelmien huomaamattoman ujuttamisen tietokoneelle. Monesti kysymme, mitä haavoittuvuudelle voi tehdä? ja mitä ylläpito voi tehdä paljastuneille aukoille, jos valmistaja itse ei tarjoa tuota päivityskorjausta? NSA hoiti asia, käyttämällä omaa auktoriteettiaan. Se näytti toimineen.

Haavoittuvuuksille voi tehdä esimerkiksi sen, että niiden käyttämä portti suljetaan, konffaamalla laitteen bios (tai sitä vastaava alustajärjestelmä). Operaattori DNA toimi jokin aika sitten näin, kun sen tietoon tuli vakava haavoittuvuus kaapelimodeemeissa Plus F-3686AC v1:n ja v2:n.

Entäpä sitten, kuulen kysymyksen, mitä haittaa tuollaisesta haavoittuvuudesta nyt olisi? Hyvä kysymys, tuon kaapelimodeemihaavoittuvuuden kautta päästään ajamaan työkalut modeemiin, ja siitä eteenpäin esimeriksi ip-tv-laitteeseen, jossa entistä useammin on oma kamera vuorovaikutteisia kuvayhteyssessioita varten. Tämä toiminto voidaan haitakkeella aktivoida myös salaa etäkäyttöön: joten tässä tulee muistutus: Maalarinteippipalanen tai laastari kamerasilmän eteen, kun kameralla ei ole käyttöä, että olohuoneen (tai makuuhuoneen) tapahtumat pysyvät yksityisinä. Edellä mainittujen lisäksii kaapelimodeemi Technicolor TC7200 on näkynyt haavoittuvien laitteiden listalla.