Tietoturva

Se lisääntyy: paitsi datan vohkinta puhelimista, kojeen kaappaus spämmäyksen alustaksi – taas riesa vakavimmasta päästä on petosten tehtailu ulosvuotaneilla yksityistiedoilla.

Venäläinen tietoturvayhtiö Kaspersky Lab ampuu kovilla. Tämä arvostettu alan toimija näköjään odottaa, että nyt syntyy oikea tietoturvakulttuuri, jossa turva-asioihin paneudutaan systemaattisesti. Heti kärkeen Kaspersky ehdottaa, että käytämme vahvaa salasanaa ja kaksivaiheista tunnistusta. Lisään: käytämme biometristä tunnistusta, jos se vain suinkin on mahdollista. Tärkeää on, että tietomurrossa tietokannasta paljastunut salasana ei yksinään päästä ketään tunkeutumaan tileille. Se on estettävissä joko biometrisellä tunnistuksella tai konffaamalla tunnistautuminen monivaiheiseksi. Kirjautumiseen voidaan usein myös lisätä puhelimeen lähetettävä varmistuskoodi. Myös vahvalla PIN-koodilla tekee paljon: kuka tahansa ei pääse puhelimelle asentamaan siihen vakoiluohjelmia.

Turhat luvat pois

Sitten venäläisessä turvaohjelistassa korostetaan, että lataamme sovelluksia vain virallisista kaupoista, eli Google Playsta tai App Storesta. Niissäkin tosin voi olla haitallisia sovelluksia, mutta silti selvästi muita latauslähteitä vähemmän. Toisaalta luottamus viralliseen kauppapaikkaan voi olla petollista. Hyvä vinkki on katsoa appikaupassa ennen houkuttavaa lataamista, millaisen arvosanan tämä sovellus on saanut; laskea sen tähdet, kauanko se on ollut saatavilla, ja kuka sen on kehittänyt? Lisään: ennen muuta tulee miettiä kahdesti, “tarvitsenko minä oikeasti tällaista härpäkettä”.

Osa sovelluksista aktivoituu haitaksi vasta joskus myöhemmin. Ikävä tosiasia. Edelleen emme anna puhelinsovelluksille lupia, jotka vaikuttavat turhilta, jos emme ole aivan varmoja siitä mitä olemme tekemässä. Aina mieluummin kysymyksiin valtuutuksista vastaus “en salli” kuin “salli”.  Se ei ole epäkohteliastakaan: vastassa on kone. Jos epäilyttävälle pyynnölle löytyy myöhemmin viaton selitys, luvan voi antaa myös jälkikäteen. Sen sijaan, jos sovellus pyytää vaikkapa lupaa käyttää paikkatietoja tai mikrofonia ilman ilmeistä syytä, tulee luvan epääminen olla ykkösvaihtoehto. Data-analytiikka hyödyntää kumpaakin infovirtaa.

Puhelimessa voi käyttää luotettua tietoturvaohjelmaa, mikä tuntuu olevalle useimmalle vieras ajatus. Tällä oma historiansa: ennen kun muisti- ja prosessoritehoresurssit olivat niukkoja, tietoturvaohjelmat saattoivat hidastaa huomattavastikin päätelaitteen toimintaa. Kuvien metadatan poistaminen on hyvä yleisvinkki. Kasperskyn mukaan data, josta ilmenee esimerkiksi kuvan ottopaikka, voi olla riski yksityisyydelle. Kuvan metadataa lukee muun muassa Googlen kuvahaku. Sen sijaan ainakin Facebook ja Imgur poistavat metadatan automaattisesti.

Metadata minimiin

Viimeisenä pääkohtana venäläinen tieturvayhtiö ehdottaa, että GPS:n luomat paikkatieto tagit olisi paras poistaa kuvista. Tämä säätö tehdään puhelimen kamerasovelluksen hammasrataspainikkeen takaa yleensä helposti aukeavasta asetusvalikosta. Muutama esimerkki sijaintitunnisteiden rajoittamiseen.

Applen iPhone: avaa puhelimen seuraavasti: Asetukset > valitse Tietosuoja > Sijaintipalvelut > Kamera > Ei koskaan.

Huawei Smart P 2019 > Asetukset > Sovellukset > Sovelluksen asetukset > Kamera > Sovelluksen tiedot > Taustadata: sallittu – se vaihdetaan muotoon “rajoitettu”.

Miksi? Katso, jos kuvan julkaisuajankohta on tuore, saatat pian saada mainoksia palveluista tuon kuvauspaikkasi lähistöllä.

Aina laillisuuden rajoilla

Näet massiivinen, kaikkialle ulottuva data-analytiikka käyttää saamansa kuvien metadatan omiin tarpeisiinsa. Pikku juttu mutta turhaa tiedon jakamista elämästään tulee välttää.

Älkää luottako: Huawei tarjoaa terveyspalveluja mobiiliympäristössä. Aiheettoman terveystiedon vuodatus on syytä torpata: USA:ssa Googlen Project Nightingalesessa haalima Big data asiakasyhtiö Ascensionille sisälsi muun muassa laboratoriotuloksia, lääkäreiden diagnooseja sekä potilaskertomuksia 21 osavaltiossa. Big datan perusteella henkilöistä sai koottua täyden terveyshistorian, nimiä ja syntymäpäiviä myöten.

Onneksi meillä on GDPR, sen sanon.

Google Playssa on ollut 27. tammikuuta alkaen ladattavana, Veikkaus-niminen sovellus, jonka kömpelö kuvausteksti kertoo: ”Veikkaus-sovellus, jolla on enemmän kuin upea kokemus” – kyseessä on haittaohjelma, mainosgeneraattori ja urkkija, jonka jakelun torppaamisessa Google jostakin syystä vitkutteli viikkokausia. Veikkaus ainakin reagoi asiassa flegmaattisesti, valtion yhtiö, kun on. Eräs toinen valtion liikelaitos, VR, ei saa sen parempia tietoturvapisteitä.

VR.fi sivustolla junafirma kertoo, että sen graafinen ulkoasu on parhaimmillaan käytettäessä uusimpia selainversioita Firefox 9.0, Internet Explorer 8.0, Chrome 17.0.x ja Safari 533.x. Tämä epäammattimaisuus jatkuu kautta linjan. Ehkä ”graafinen ulkoasu” tässä tärkeintä onkin, sillä listassa mainittu Internet Explorer 8.0 ei ole tietoturvanäkökulmasta enää kelvollinen selain – eikä tietenkään yksikään Explorer-versio – vaan tolkun tieturvariski. Microsoft itse varoittaa Explorerista, eikä yhtiö enää päivitä menneisyyden selaintaan, joka oli täynnä porttiskannerilla esiin blokattavia turva-aukkoja.

”Muilla selaimilla ja em. selainten vanhemmilla versioilla sivuston ulkoasussa voi esiintyä osittaisia poikkeuksia”, VR kertoo, ja jatkaa: ”suosittelemme uusimpien selainversioiden käyttämistä myös niiden tarjoaman kattavamman tietoturvan vuoksi.” Kaunis lause, mutta nettiselainta koskevat huolet vain ovat pieniä siihen verrattuna, mitä lipunostoportaali pakottaa matkustajia lataamaan. Tosi asiassa VR-Yhtymä ohjaa nettisivullaan haavoittuvien selainlaajennusten pakkohyväksyntään.

Ne uhat ladataan, jos tahtoo onnistua lipputilailussaan. Yhtymä ei ole luopunut Adobe-laajennuksesta, vastoin yleistä käsitystä. Tämä luulo perustui julkisuustemppuun: VR otti lopulta käyttöön erään ohjelmoijan sille varta vasten tekemän avoimen lähdekoodin. VR sai sen ilmaiseksi. Yhtymä on kertonut julki, ettei se tee mitään ostohankintoja web-sovelluksista (joita se kertoo osaavansa tehdä itse).

Näin muodoin sen ei tarvinnut maksaa – valkohattuhakkerin sille toimittaman ilmaisen koodin oli määrä korjata Flash-sovelluksen turva-aukko valtionyhtiön portaalin sivulla. Tämä näytti jotenkin toimivan. Ainakin se oli parempi kuin entinen järjestelmä.

Haavoittuvuus takaisin sivuston käyttöön

Nyt Flash-laajennus syystä tai toisesta on tehnyt revanssin VR:n portaaliin. Ehkä syy on Flash Player -ohjelmistoon julkaistu korjauspäivitys. Paikka tuli sen toisto-ohjelmistostaan kriittiseen haavoittuvuuteen.

Jäljellä kuitenkin on jäänyt esimerkiksi Microsoft Office –tiedostoon upotettu Flash-hyökkäyskoodi, joka avattaessa päivittämättömällä tietokoneella, päästää haavoittuvuus hyökkääjät ajamaan laitteessa omaa ohjelmakoodiaan. Koneista on viety ulos esimerkiksi henkilötieto- ja pankkidata.

Myös uusista haavoittuvuuksista on raportoitu.

VR kertoo, että ”Flash Player -laajennusta vr.fi-sivustolla käyttävät ainoastaan paikan valinta verkkokaupassa ja Junat kartalla –sovellus”. Jos siis haluaa ostaa istumapaikan junaan, se tarkoittaa käytännössä sitä, että ostaja altistaa omansa tai jonkin toisen tietokoneen, jolla työskentelee, vakavalle tietoturvauhkalle. Ja Adope Flash Playeriä käytetään ”ainoastaan” istumapaikan ostamiseen. Tämä on ydintoiminto, jota kaikki eivät voi käyttää, koska tuo häijy selainlaajennus on kokonaan estetty esimerkiksi eräissä Android-järjestelmissä. Tämä paikanvarauspuute taas näyttäisi junissa johtavan jatkuviin sekaannuksiin, kun asemilla vaunuihin nousee kahdenlaisia matkustajia paikanostaneita ja niitä, jotka istuvat kulloinkin vapaaksi jääneillä paikoilla tai seisovat.

Kuulostaako vaikealta? Sitä se on.

Lataan ja poistan Flash Playerin pakon edessä

Itse käytän VR:n kanssa seuraavaa metodia lähipiiriin hyväksi: lataan Flash-laajennuksen Windows 10 pohjaiseen tablettiin istumapaikan ostamista varten, mutta poistan sen saman tien, kun asia on hoidettu, koska tämä haavoittuvuus voi avata takaportin kyberrikollisille. Ei mikään niin iso lisähomma, kun poisto rutinoituu ostosten päätteeksi.

Vanhentunut Flash on ollut käytössä mm. siksi, että se minimoi tiedostokoon ja luo tiedostoja, jotka säästävät siirto- ja latausnopeutta. Asiantuntijat ovat sitä mieltä, että Adoben Flash-selainlaajennuksesta ei näytä korjaamalla tulevan turvallista kalua.

Adobe ilmoitti jo heinäkuussa 2017 lopettavansa Flash Playerin kehittämisen ja jakelun vuoden 2020 lopulla. Sen jälkeen härpäke vasta vaarallinen onkin. Flash Player –version voi tarkistaa Adoben testisivulla https://helpx.adobe.com/fi/flash-player.html. Aina uusin versio, niin kauan kun lähdekoodi päivitetään, on kuitenkin turvallisin. Tämä tulee tehdä vielä yhdistettynä em. käyttötapaan, jossa Flashia ei ”unohdeta” selainlaajennukseksi.

Oletko kyllästynyt siihen, että sinun on syötettävä salasana aina kun haluat käyttää kassakaapin tai lukitun sovelluksen sisältämiä yksityisiä tietoja? Voit siirtyä yksityisiin tietoihin nopeasti sormenjäljelläsi. Tämä menetelmä on kätevä ja turvallinen, huhuilee Huawei P Smart 2019:n manuaali.

Google on ottanut kopin – se on tehnyt fido2-standardin mukaisen biometrisen tunnistusprotokollan palveluihinsa. Sormenjälkeä ei suinkaan lähetetä Googlen palvelimille, vaan biometritunniste on säilötty turvallisesti Android-laitteeseen.

Sormenjälkitunnistusta tarjolla tavallisissa kansan puhelimissa

Sormenjälkitunnistus ei enää ole kalliiden puhelinten ominaisuus – vaan parhaimmillaan vakiona 250 euron hintaluokissa. Kun yksi kiinalainen puhelinvalmistaja lähti huipputoimintojen halpuuttamisen tielle, muiden ei kannata pyristellä vastaan.

Hinnoissa tullaan alas Kaikilla herkuilla –tason puhelimissa. Halvin Samsung, joka käyttää sormenjälkitunnistusta, on 500 euron hintainen Galaxy S10e. Pikaisesti en löydä erityistä etua verratessani sitä kaksi kertaa halvempaan Huawei P Smart 2019 –puhelimeen.

Sormituntuma on se, että sormenjälkitunnistusta alkaa olla tarjolla tavallisissa kansan puhelimissa. Intuitiiviseksi mainostetuissa Samsung-malleissa Galaxy S10 ja Galaxy S10+ on ultraääntä hyödyntävä sormenjälkitunnistin näytön etuosassa.  Mallin S10e anturi sijaitsee virtapainikkeessa, joten puhelimen avaaminen on helppoa.

Asetuksiin perehtymällä sormenjäljen taakse voi viedä turvaan melkein mitä tahansa sisältöä. Urkkijalle sormenjälkitunnistimella toimiva puhelin on haaste. Kasvo- ja sormenpäätunnistustekniikan avulla luodaan vahva salaus – tarvittaessa vielä kaksivaiheinen vahvistus, mikä lisää tietoturvaa logaritmisesti. P Smart tarjoaa lisäksi etukameraan perustuvan kasvojentunnistuksen. Kirkkaassa valossa se tunnisti käyttäjän niin silmälaseilla kuin ilmankin – jopa käsivarren mitan päästä. Tunnistuksessa lienee pientä viivettä, ja varsinkin hämärässä kasvojentunnistus muuttuu epävarmaksi. Tässä leikissä viime vuosina yleistynyt puhelimen etäkaappaus haittaohjelmalla vaikeutuu kokonaan toiseen vaikeusasteeseen. Biometristen tunnistusjärjestelmien murtamiseen tarvitaan aivan muut konstit. Laajassa mitassa se ei tule olemaan kustannustehokasta.

Huijata voi, mutta ei helposti

Sormenjälkitunnistimia on mahdollista huijata useilla tavoilla, mutta ei helposti. Myös sormenjälkitunnistimet on pystytty krakkeroimaan, ja laite on kyetty avaamaan ilman omistajan sormea. Tiedetään, että sormenjälkiä on onnistuttu kopioimaan lastenhuoneissa taattavalla Play-doh-vahalla. Lisää poikkeuksia: totta tietenkin on, että sormenjäljet ovat ikuisia, ja jos käy niin, että ne vuotavat kyberrikollisille, ei sormitunnisteen käyttö ole enää turvallista.

Windows-kympin haavoittuvuus osoitti kouriintuntuvasti, kuinka tärkeää on, että käyttöjärjestelmän päivitykset asentuvat kaikille laitteille, missä Windows pyörii. Huom. tämä koskee kaikkia laitteita tabletista järeälle pöytäkoneelle. Kun menemme Windows 10 ohjauspaneelin pääikkunasta Windows Update –valikkoon, sivulla kuuluu näkyä teksti; ”Päivitykset asennetaan automaattisesti”. Tarkistakaamme asia nyt vielä kerran. Sillä jo puolet suomalaisista on joutunut nettihuijauksen uhriksi – osa näistä hyökkäyksistä käyttää apuna järjestelmien haavoittuvuuksia.

NSA kuskin paikalla

Maailmaa järkytti Win 10:n haavoittuvuus, jonka kautta voi tehdä esimerkiksi omia tilauksia mutta myös väärentää tilauksiin digitaalisia allekirjoituksia. Haavoittuvuus mahdollistaa muun muassa väärennettyjen verkkosivustojen ja Windows-päivitysten naamioimisen aidoiksi. Jos päivitykset asennetaan automaattisesti, Windows huolehtii päivityksestä, ja asian periaatteessa pitäisi olla kunnossa. Periaatteessa.

Tätä haavoittuvuutta on kuitenkin mahdollista hyödyntää niin vakoilussa kuin rikollisuudessakin, joten turvallisuusvirasto NSA ilmoitti havainnoistaan Microsoftille. Poikkeuksellisesti data-aukon julkistuksen lopulta teki Yhdysvaltain kansallinen turvallisuusvirasto NSA, koska sen mukaan Microsoft vitkutteli asian kanssa liikkeellelähdössä. Haavoittuvuuden löytäneen NSA:n arvion mukaan taas haavoittuvuudella voi olla niin merkittäviä seurauksia, niin pahoja, että ongelma tuli korjata heti. NSA:n mukaan kybermaailman ammattirikolliset pystyvät ajamaan sieppaamilleen koneille omia vaarallisia työkaluohjelmiaan.

DNA kuskin paikalla

Alan blogit ovat pohtineet NSA:n julkistusta. Turvallisuusvirasto näet ei ole itsekään erityisen hyvämaineinen, vaan aiemmin piti löytämiään aukkoja omassa käytössään ja epäillään, että se valjasti takaportit omaan vakoiluunsa. On mahdollista, että myös joku muu taho on löytänyt haavoittuvuuden ja alkanut sitä hyödyntää.

Tätä lukiessa Microsoft on korjannut Windows 10:stä tietoturva-aukon, joka on yksi pahimmista kautta aikojen. Koodilla CVE-2020-0601 tunnettu haavoittuvuus auki jäädessään mahdollistaa vakoiluohjelmien huomaamattoman ujuttamisen tietokoneelle. Monesti kysymme, mitä haavoittuvuudelle voi tehdä? ja mitä ylläpito voi tehdä paljastuneille aukoille, jos valmistaja itse ei tarjoa tuota päivityskorjausta? NSA hoiti asia, käyttämällä omaa auktoriteettiaan. Se näytti toimineen.

Haavoittuvuuksille voi tehdä esimerkiksi sen, että niiden käyttämä portti suljetaan, konffaamalla laitteen bios (tai sitä vastaava alustajärjestelmä). Operaattori DNA toimi jokin aika sitten näin, kun sen tietoon tuli vakava haavoittuvuus kaapelimodeemeissa Plus F-3686AC v1:n ja v2:n.

Entäpä sitten, kuulen kysymyksen, mitä haittaa tuollaisesta haavoittuvuudesta nyt olisi? Hyvä kysymys, tuon kaapelimodeemihaavoittuvuuden kautta päästään ajamaan työkalut modeemiin, ja siitä eteenpäin esimeriksi ip-tv-laitteeseen, jossa entistä useammin on oma kamera vuorovaikutteisia kuvayhteyssessioita varten. Tämä toiminto voidaan haitakkeella aktivoida myös salaa etäkäyttöön: joten tässä tulee muistutus: Maalarinteippipalanen tai laastari kamerasilmän eteen, kun kameralla ei ole käyttöä, että olohuoneen (tai makuuhuoneen) tapahtumat pysyvät yksityisinä. Edellä mainittujen lisäksii kaapelimodeemi Technicolor TC7200 on näkynyt haavoittuvien laitteiden listalla.

Suomen itsenäisyyden juhlarahaston Sitran tekemän selvityksen mukaan EU:n tietosuoja-asetuksen toimivuus on yhä suuri kysymysmerkki. Ei ihme, data-analytiikkafirmojen käytännöt mennen tullen lyövät GDPR-asetusta korvalle. Datan vohkintaa ne ovat aina tehneet – jo silloin, kun tuollaista hienoa sanahirviötä kuin data-analytiikka ei ollut edes olemassa. Porukalla mietittiin joskus yli 20v. sitten, millä elää tämä tai tuo nettipalvelu, jonka ansaintamalli ei ollut järkeenkäypä. Sitten paljastui yksi osa.

Parhaiden virustorjuntaohjelmien Kaspersky Lab ja Avira Antivir nimet mainittiin erikseen vaarallisiksi tietoturvaohjelmiksi. Se tapahtui CIA:n alaisen NSA:n Vault 7 -asiakirjassa, koska nämä eivät ottaneet vastaan ”kehitysrahaa” NSA:lta. Taas pitkään Windows-PC-koneilla pyörinyt ilmainen virustutka Avast on šekkiläisen kyberturvallisuusasiantuntijan mukaan hankkinut kiistanalaista tuottoa myymällä käyttäjätietoja, jotka se keräsi turvallisuustyökalujensa avulla. ”Ajattelimme, että voisimme tehdä tämän turvallisemmin kuin lukemattomat muut yritykset, jotka keräävät dataa”, perusteli Avastin toimitusjohtaja Ondrej Vlcek, samalla, kun hän ilmoitti, että noin 435 miljoonan käyttäjän virustorjuntaohjelma lopettaa käyttäjiensä yksityisten selaushistorioiden vohkimisen.

Maksaa kannattaa, että saa oikeasti dataturvaa

Jumpshotiksi kutsutun dataimurin avulla yhtiö tienasi miljoonia dollareita. Käyttäjädataa se möi eteenpäin muun muassa Microsoftille, Googlelle, McKinseylle ja Pepsille. Tšekin tietosuojavaltuutettu ei ollut tyytyväinen Avastin GDPR -tulkintoihin. Vlcek taas väittää, että Jumphotin alasajojärjestely vie työt sadoilta työntekijöiltä. Joka tapauksessa Avast on kouriintuntuva esimerkki siitä, että ei ole ilmaista lounasta. Maksaa kannattaa, että saa oikeasti dataturvaa. Esimerkiksi TotalAV on suhteellisen halpa virustentorjuntapalvelu, mutta kuitenkin yksi markkinoiden parhaista viruksentorjuntaohjelmista. Tuote koostuu täydellisestä turvapaketista, joka suojaa laitteet monilla eri tavoilla. Ohjelmaa voidaan käyttää Windows-, Mac-, iOS- ja Android-alustoilla.

Ovikello vakoilee työkseen

Tietosuoja-asetus puree heikosti yksilöstä kerättävän tiedon kulkuun digipalveluissa. Kansalaisjärjestö EFF:n mukaan yksi röyhkeimmistä on Amazon-teknologiayhtiön omistama video-ovikello Ring. Laite kerää runsaasti käyttäjien henkilökohtaisia tietoja ja lähettää niitä ulkopuolisille yhtiöille. Näitä lavertelevia ovikelloja myydään myös Suomessa. Eikä se ole edes halpa, vaikka tekee myös omaa bisnestä. Amazon-teknologiayhtiön omistukseensa hankkima video-ovikellojen myyjä Ring, kerää runsaasti käyttäjien henkilökohtaisia tietoja ja lähettää niitä ulkopuolisille yhtiöille, kansainvälinen EFF raportoi. Videokameralla varustettu ovikello kytkeytyy käyttäjän puhelimeen eräänlaisella Android-pohjaisella sovelluksella. Ring Video Doorbell 2 – sovelluksella ohjattavassa ovikellossa toimii HD-kamera. Kun joku soittaa ovikelloa tai liikkuu oven lähellä, ovikello lähettää hälytyksen puhelimeen. Pimeässä näkevä 1080p:n HD-kamera käyttää liiketunnistinta.

Tehokas peli, mutta…Laillisuusongelmia tässäkin tapauksessa aiheuttaa se, ettei yksilöllä ole mahdollisuutta tietää kaikkia niitä kolmansia osapuolia, joille heidän tietonsa jaetaan edelleen. Arvokasta kauppatavaraa epäilemättä ovat kuvagalleriat ovikelloa rimpauttelevista vieraista, jotka kuvatunnistusohjelmat pystyvät identifioimaan. Laverteleva ovikello ei tee oikeutta digitalisaatiolle.

EU:n tietosuoja-asetusta eli GDPR:ää alettiin soveltaa vuonna 2018. Sen tarkoituksena oli taata yksilölle lisää oikeuksia häntä koskevan datan keräämiseen ja käsittelyyn. Ring taas mainitsee vain GDPR:n lyhyesti, vaikeasti löydettävällä verkkosivulla. Ymmärrän.

Microsoft Windows 7:ään ei ole enää saatavilla teknistä tukea eikä tietokonetta suojaavia päivityksiä. Tätä Windowsia koskevia aukkoja, joita ei paikata, on jo joutunut hyökkääjien käsiin, kertoo Help Net Security, yhdessä Googlen Chrome-selaimen haavoittuvuuden kanssa. Näin muodoin sylissämme on vakava tietoturvaongelma mm. siksi, että käyttöjärjestelmän vaihtaminen toiseen ei kuulu tietokoneen normikäyttäjän oletettuun osaamisvalmiuteen, vaan edellyttää mikrotukitasoista laiteympäristöjen ja järjestelmien hallintaa.

Windows 7 julkaistiin vuonna 2009

Elinkaari alkaa tuotteen julkaisusta ja päättyy, kun tuotetta ei enää tueta, linjaa Microsoft Support omalla Windows-elinkaaren tietosivullaan. Nyt vain tuen päättymisen kohteena oli Microsoft Windows 7, jonka tuki virallisesti kirjattiin päättymään 14.1.2020. Windows-järjestelmistä vakain, käytettävyydeltään paras mutta myös tietoturvaltaan toimiva käyttis onkin nyt tuuliajolla. Win 7 muodostuu hyvin pian vakavaksi tietoturvariskiksi käyttäjälleen. Tilanne altistaa käyttäjät hyökkäyksille, joissa käytetään hyväksi uudemmista Windowseista paikattuja haavoittuvuuksia. Vain tuen piirissä olevat Windows-versiot saavat päivityksessä paikat haittaohjelmien lähdekoodista paljastamiin aukkoihin. Kuinka tällaista voi tapahtua? Helposti. Microsoft ei ole piitannut ennenkään vähemmän mediaseksikkäistä tekosistaan.

Windows 7:n markkinaosuus on edelleen noin 27 prosenttia – koska se on oikeasti hyvä alusta. Microsoft puolustautuu sillä, että se sitoutui tarjoamaan kymmenen vuotta tuotetukea Windows 7:lle, kun se julkaistiin 22.10.2009. Microsoft kertoi, että lakkautti Windows 7:n tuen voidakseen suunnata tukea uudempiin teknologioihin ja mahtaviin uusiin kokemuksiin. Se jää epäselväksi, että mitähän nämä mahtavat kokemukset ovat? Windows 8 kaikkine versioineen oli susi, eikä Windows 10 vakuuta paljon sen enempää. Microsoft kuitenkin suosittelee siirtymään Windows 10:n käyttöön. Yhtiön mukaan se tulee tehdä, jotta välttää ikävät tilanteet, ”joissa tarvitset sellaista palvelua tai tukea, jota ei enää ole tarjolla”.

Entä jos Win 7 on pyörinyt tietokoneessa, jossa esimerkiksi käyttömuisti ja ohjainmuistiresurssit ovat juuri ja juuri riittäneet 7:n tarpeisiin? Sen seiskakoneen päivittäminen Win 10:n tarpeisiin, kokemukseni mukaan tekee läppäristä onnettoman hitaan ja kaatuilevan. Epävakaa läppäri on raivostuttavin asia maailmassa.

Microsoft on ongelmissa tuotteidensa myynnin kanssa, ja konstit rahastaa ovat koventuneet mm. mobiililaitteisiin tehdyn Microsoft Office 365 käyttöoikeuksien seurannassa. Laitteen mukana tullut Microsoft Office 365:n esittelyversio jäi tabletille ennen kehotuksin, että se täytyy maksaa. Nyt ohjelmat päivityksellä jymähtävät kiinni.

Windows 7:n lisenssiavaimella voi ehkä edelleen päivittää ilmaiseksi Windows 10:een. Usein kysytyissä kysymyksissä kerrotaan päivitystarjouksen päättyneen jo heinäkuun lopussa vuonna 2016. Teoriassa tuo pitänee paikkansa, käytännössä ei ehkä kuitenkaan mene niin. Seiskakoneita päiviteltiin pitkin viime vuotta kympeiksi. Apua löytyy, ottakaa yhteyttä.

KUVA: Erityisesti tulee varoa ilmaisia, villejä päivitystyökaluja.

Kyberrikolliset voivat olla todella ovelia – he osaavat tyhjentää pankkitilejä, varastaa henkilöllisyyksiä ja vahingoittaa yrityksiä lukuisilla tavoilla. Nämä verkon kautta tulevat hyökkäykset vaikuttavat sairaan kekseliäitä, mutta onneksi kekseliäisyyttä löytyy myös rikosten torjujilta.

VPN -ratkaisut varmistavat yksityisyyden verkossa. VPN (Virtual Private Network, suomeksi virtuaalinen erillisverkko) -suojaustekniikka luotiin alun perin mahdollistamaan etätyöntekijöiden turvallinen pääsy työpaikkojensa verkkoihin. Vaikka VPN:ää käytetään edelleen myös tässä tarkoituksessa, tarkoitetaan termillä nykyään pääosin kaupallisia VPN-palveluja, joiden serverien kautta asiakkaat voivat yhdistää laitteensa internetiin yksityisesti.

Normaalisti yhdistettäessä tietokonetta internetiin yhdistyy se ensin internetpalvelun tarjoajaan, joka yhdistää laitteen käyttäjän haluamille verkkosivuille. Avoin verkkoliikenne kulkee ISP:n kautta, mikä periaatteessa antaa ISP:lle mahdollisuuden tarkkailla verkkokäyttäytymistä.

Yksinkertaistaen kuvattuna VPN-ohjelmisto salaa sekä purkaa datapaketteja ja lähettää ne suojatun yhteyden läpi. VPN-käytävässä kaikki laitteen ja serverin välillä kulkeva data on salattua ja piilossa kolmansilta osapuolilta.

Tällöin on myös vaikeampi kalastella tietoa siitä, millä verkkosivuilla käyttäjä liikkuu. Surffaushistoria jää itselle, koska kaikki verkkoliikenne kulkee VPN-serverin kautta. Palveluissa voidaan ainoastaan nähdä, että käyttäjät ovat yhdistettyinä internetiin VPN:n kautta.

Tämän teknologian käytössä on kyse yksityisyydensuojasta sekä tietosuojasta eli vanhalta nimeltään kirjesalaisuudesta, joka on lakiin perustuva kansalaisoikeus. Netissä kirjeestä puuttuu nyt lähettäjätieto ja leimasta näkyy vain postitoimipaikka.

VPN-ratkaisut eivät enää ole vaivalloisia käyttää. Tarjolla on jopa maksuttomia ratkaisuita, joiden kohdalla kuitenkin herää vahva epäilys. Mikä on palvelun ansaintamalli, jos palvelu ei maksa käyttäjälle mitään? Osa maksuttomien VPN-palvelujen tarjoajista on jäänyt kiinni data-analytiikasta, siis käyttäjätietojen myynnistä kolmansille osapuolille.

Artikkeli julkaistu ensimmäisen kerran 5.6.2017. Päivitetty 30.3.2020.

Uusi WIBattack (WIB = Wireless Internet Browser) -haavoittuvuus perustuu selaintekniikkaan mutta nyt modernilla SIM-kortilla, jossa toimii oma WIB-työkaluohjelmisto. Hyökkäysmallissa haittakoodia sisältävä tekstiviesti puhelimessa operoi suoraan SIM-kortilta käsin, ja lähettää viestejä, välittää hyökkääjälle puhelimen sijaintitietoja sekä ottaa puhelinyhteyksiä. Lisäksi haitake ohjaa ja määrittää selaintoimintoja: SIM:ltä käsin koodi esimerkiksi ohjaa käyttäjän tietylle verkkosivustolle. Maineikas Ginno Security Lab on arvioinut, että WIB-alustan kautta hyökkääjä voi tuottaa puhelimen näytölle tekstiä ja ohjeita. Kuulostaa pahalta.

“Lähes scifiltä kuulostava toiminto”

Simjacker-nimen saanut koodi oli lajissaan ensimmäinen, uudenlainen. Se toimii näkymättömillä tekstiviesteillä SIM-kortteihin upotettujen, dynaamisten SIM-selaintyökalusarjojen avulla. Tämä jo lähes scifiltä kuulostava toiminto on mahdollinen, mutta sitä ei vielä ole tavattu Suomessa. On kuitenkin hyvä tietää, että tämä tietoturva-aukko mahdollisti puhelimen kaappaamisen käyttäjälle. WIBAttack edustaa samaa tekniikkaa kuin Simjacker, ja ikään kuin jatkaa siitä, mihin edeltäjä jäi. Koska haittakoodi on SIM-korttipohjainen, se on myös riippumaton käyttöjärjestelmistä ja selaimista: SIM-korttiin tallennettuja valikkoja voidaan hallita ja päivittää OTA-komentojen avulla millä puhelimilla tai älylaitteilla tahansa.

Over the air (OTA)

Hyökkäys alkaa hyökkääjän matkapuhelimen tekstiviestillä; hyökkääjät lähettävät uhrin puhelinnumeroon haitalliset OTA-tekstiviestit, jotka sisältävät WIB-komennot. Mahdollisuus OTA-komentojen konfigurointiin taas tarkoittaa, että haavoittuvuuden piiriin tulevat myös radiolinkkitekniikat Sigfox, LoRa ja kenties myös NB-IoT.  

SRLabs rauhoittelee pelkoja, SIM-korteista vain 11 prosentilla WIB-työkalupakki olisi vaarallisesti auki. Näistä taas alle puolet on Simjacker- ja WIBattack- tyyppisen haittakoodien potentiaalisia saaliita. Haittakoodit löytävät kohteeseensa puhelimelle mm. somepalvelujen kautta. Sosiaalisen median nuorisoa kosiskelevassa mobiilinettipalvelu TikTokissa on paljastunut vakava vuoto, joka todennäköisesti käytti hyväkseen myös WIB-arsenaalia. 

Nuorten suosimia sovelluksia

Tunkeutujat ovat voineet lähettää nuorille käyttäjille huijaustekstiviestejä, joissa tavatun linkin kautta on saatu käyttöoikeudet. TikTok, Kiinassa myös nimellä Douyin, on lyhyiden videoiden jakamiseen tarkoitettu mobiilisovellus. TikTokin on julkaissut ja sitä kehittää kiinalainen ByteDance. Sovelluksen suosio alkoi kasvaa maailmalla merkittävästi vuonna 2018 – ja pian myös Suomessa.

Näin kyberrikolliset ovat päässeet tutkimaan käyttäjätilien sisältöjä ja poimimaan niille tallennettuja, myös erittäin henkilökohtaisia tietoja ja videoita, tietoturvayhtiön Check Point tiedottaa. TikTok-tilin pääkäyttäjäoikeudet haltuunsa saanut hyökkääjä pystyy poistamaan videoita tai lataamaan luvattomia videoita. 

Hyökkääjä, joka operoi WIB:n kautta pääsee halunsa mukaan käsiksi yksityisiin ja piilotettuihin videoihin. Sosiaalisen median sovellukset eivät silti ole erityisen alttiita haavoittuvuuksille. Ne sisältävät paljon yksityisiä tietoja, ja ovat siksi nyt suosittuja kohteita hyökkääjille. Rikolliset ovat melkoisia neropatteja, ja valmiita satsaamaan siihen, että suosituista sovelluksista löytyy heidän käyttöönsä sopivia turva-aukkoja.

Tietosuojavaltuutettu Reijo Aarnion mukaan jatkossa käyttäjien tulisi seurata, miten TikTokin ja sen kaltaisten sovellusten turvallisuutta arvioidaan julkisessa keskustelussa. Oikein.

KUVALÄHDE: ZDNet.com