Tietoturva

Kirjoitan nyt pitkästi koska on paljon asiaa.

Ensin: 500 000 järeän reitittimen kokoinen bottiverkko ja sen vakoiluohjelma koostuivat kolmesta komponentista: nettiliikennettä salakuuntelevasta osasta, sitten teollisia järjestelmiä ja sähköverkkoja vastaan suunnatusta moduulista sekä spesifistä tappokytkimestä.

Tämä tappokomento taas oli taiten koodattu rampauttamaan kaikki kaapatut laitteet ylikirjoittamalla niiden laiteohjelmistot. FBI USA:ssa syyttää kyberaseen organisoinnista Venäjää, mutta tieturvayhtiö Symatecin mukaan tällaisesta ei olisi todisteita.

Vaarallinen ase, jolla voi hyökätä yhteiskunnan infrastruktuuria vastaan – ehkä sen takana on joku suurvalta. Viestintäviraston kielellä kyseessä on ”kehittynyt VPNFilter-haittaohjelma”. Siinä ikään kuin aristellaan puhua asiasta sen oikealla nimellä: kyberaseesta.

Pelon lietsonta ei tietenkään auta yhtään. Vaikka totta on, että kyberturvallisuus on heikommissa kantimissa mitä tiedetään. Tietoliikennevika, joka pimensi Helsingin kaupungin hallinnon, muun muassa sen terveydenhuoltojärjestelmät, aiheutui inhimillisestä virheestä, kun runkoverkkohierarkian alimmalla tasolla irrotettiin kyynärvarren paksuisista kaapeleista se väärä. Merkitsemisepäselvyydet niissä tiemmä olivat valmiina. Sitä sattuu.

Mutta se, että varareititin ei vian iskiessä käynnistynytkään oli taas jotain odottamatonta. Oli kenties tapahtunut suunnitelmallinen laitteen rampauttaminen.

Olemme toki nähneet ennenkin kahden samanaikaisen inhimillisen virheen mahdollistamia onnettomia tapahtumaketjuja: hävittäjäkoneita on tippunut taivaalta. Ne on tutkittu riippumattomien viranomaisten toimesta ja tapauksista on opittu. Näin tulisi toimia myös kyberonnettomuuksissa ja velvoittaa verkkoympäristön ylläpitäjää lailla varmistamaan säännöllisesti yhteiskunnan elintärkeiden toimintojen varajärjestelmien toimintakunto. Se on ainoa tie kestävään kriisivalmiuteen ja lohkoketjujen käyttö lisää turvamahdollisuuksia.

Tämä säädös ehtisi vielä poliittisen väännön kohteena olevaan tiedustelulakipakettiin.
Lait eivät yksin auta. Tarvitaan uusi orientaatio, jossa debuggaus on osa tietohallintaorganisaatiota.
Hakkerit ovat löytäneet useita haavoittuvaisuuksia muun muassa väestörekisterikeskuksen ylläpitämistä Suomi.fi -verkkopalvelujen Suomi.fi -valtuuksista. Väestörekisterikeskuksen mukaan se on analysoinut ja korjannut välittömästi nuo havaitut haavoittuvuudet.

Väestörekisterikeskus aloitti kevätalvella ohjelman, jossa se kutsui hakkereita etsimään haavoittuvuuksia nettipalveluistaan. Palkkioita on maksettu neljästätoista löydetystä haavoittuvaisuudesta. Suurimman yksittäisen symbolisen rahapalkinnon suuruus on parintuhannen euroa. Sen sai hakkeri Jarmo Puttonen. Mies on osallistunut hakkerointiohjelmiin niin Suomessa kuin ulkomaillakin.

Puttosen hoksaamalla haavoittuvuudella rikollinen olisi voinut manipuloida käyttäjää niin, että tämä kuvittelee tunnistautuvansa viralliseen valtion tarjoamaan palveluun. Sen sijaan käyttäjä päätyy rikollisen hallitsemalle huijaussivustolle jakamaan tietojaan.

Sitten: henkilörekistereitä on tullut pilvin pimein tietosuojasta säätävän lain piiriin. Tuhannet ja taas tuhannet yritykset eivät tiedä, että he toimivat Suomessa EU:n yleisen tietosuoja-asetuksen, gepardilain (gdpr), alaisuudessa. Heidän tulisi lukea se, eritoten gdpr:n asetuksen 4 artiklan alku:
Tässä asetuksessa tarkoitetaan 1 ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

Sähköpostiosoite ja puhelinnumero ovat sellaisia henkilötietoja, joista on tehtävä luettelo ja erinäisiä ilmoituksia. Samoin nettiyhteyden IP-numero. Se on nyt verkkotunniste-henkilötieto.

Väite, että uusi, voimaan tullut laki olisi periaatteessa samanlainen kuin aikaisempi laki, ei pidä paikkaansa.
Esimerkiksi tilitoimistot ovat jo nyt herkillä. Sama koskee hammaslääkäriasemia ja ties ketä rekisterinpitäjiä kuten vaikkapa isännöitsijöitä, autokorjaamoita ja katsastusasemia.

Asiasta on ilmoitettava rekisteröidylle henkilölle, koska laissa todistustaakka on käännetty: Rekisterinpitäjän on kyettävä itse osoittamaan noudattaneensa lain kaikkia määräyksiä kaikissa tilanteissa.

Entä se kumma käsite, digisisämarkkinat? Selvisi lain voimaantulopäivänä, että osa eurooppalaisista heivattiin ulos jenkkipalveluista.

Googlen Blogger taas nakitti vastuun minulle:
Se sanoo, että Euroopan unionin lait edellyttävät, että Euroopan unionin alueella asuvat käyttäjät saavat tietoa blogissa käytetyistä evästeistä ja blogissa kerätyistä tiedoista. Lain mukaan käyttäjän on yleensä annettava suostumus evästeiden käyttöön ja tietojen keräämiseen.

”Tästä syystä olemme lisänneet blogiisi ilmoituksen, jossa kerrotaan, miten Google käyttää tiettyjä Blogger ja Google-evästeitä.” Ilmoitus koskee myös Google Analyticsin ja AdSensen evästeiden käyttöä, Google jatkaa sekä muita Googlen keräämiä tietoja: ”Olet itse vastuussa siitä, että ilmoitus soveltuu blogillesi ja että käyttäjät voivat nähdä sen.” Okei. En tosin heti ymmärrä, mikä ilmoitus?

Kyberrikollisuuden kirjo, jossa tietokoneita kaapataan ja orjuutetaan erilaisiin tehtäviin, elää ja voi hyvin. Etäkaapattujen suuritehoisten näytönohjainten orjuuttaminen kybervaluutan louhintaan on muodostumassa hitiksi. Sähkö ja louhintakone varastetaan johtuen bittilouhinnan heikosta taloudellisesta kannattavuudesta.

Heikosti suojattuja tietojärjestelmiä ja palvelimia kaapataan boteilla ja rootkiteillä tuottamaan bittirahaa altcoineja ja bitcoineja kryptolompakkoihin.

TheNextWebin mukaan Suomestakin löytyy satoja enemmän tai vähemmän joutilaita kaapattuja koneita, jotka toimivat omistajiensa tietämättä vieraiden isäntien orjina kyberkaivoksilla. Pohjoisin laiton louhintatyömaa löytyi rovaniemeläinen Santasportin palvelimelta.

Viimeksi esillä olleessa tapauksessa tuhansia suojaamattomia Drupal-sisällönhallintaohjelmistoon integroituja järjestelmiä saastutettiin, koska käyttäjät olivat laiminlyöneet Drupalin päivitykset. Haavoittuvuuden kautta järjestelmän kapasiteetti valjastettiin kryptovaluutan louhintaan.

Ratkaisu tähän ongelmaan on selkeä. Palvelin hankitaan luotettavan, kotimaisen internetpalveluntarjoajan salista, jossa riskit tunnetaan ja ilmi tulevat haavoittuvuudet päivitetään heti turvallisiksi.

TheNextWeb-julkaisun mukaan kaikkien Drupal-aukkoa käyttäneiden sivustojen louhima valuutta tuottaa yhden ja saman ansaintamallin uhreja. Kryptolompakosta päätellään, että asialla on kansainvälisen rikollisliigan bottiarmeija.

Drupal-käyttäjiä tietenkin kehotamme päivittämään ohjelmistonsa heti. Jokaisen käyttäjän tulee suojata selaimensa esimerkiksi asentamalla louhintaestot minerBlock- tai No Coin -laajennukset Chromessa.

Bad Packets Reportissa työskentelevä asiantuntija Troy Mursch korostaa, että tällä haavaa kaikki kaapatut sivustot näyttäisivät laiminlyöneen Drupalin päivitykset. Huomenna paljastuu joku toinen turva-aukko, jonka kautta sähkövorot kaivosalgoritmeineen tulevat sisään.

Lista uhreista, joiden luulisi hyvinkin omaavan valmiudet järjestelmien hallintaan, ei mairittele.
Louhintahommissa on tavattu niin D-Link, tietokonevalmistaja Lenovo, kuin UCLA-yliopisto. Pienestä Suomesta listoille komeilevat muun muassa Lemin kunnan konesali ja jo mainittu rovaniemeläisen urheilukeskuksen sivut.

Aivan harmitonta uhrille tämä lysti ei ole. Eräässä tapauksessa louhinta jätti jälkeensä 12 000 euron sähkölaskun.

Kryptovaluuttojen louhinta on alistaa 24 h miljoonat näytönohjaimet kellottamaan rikollista hyötyä.
Digiconomistin tietojen mukaan bitcoinin louhinta kuluttaa tällä hetkellä virtaa 16 terawattituntia vuodessa. Vertailuna entisen itäisen Euroopan satelliittivaltio voi kuluttaa vuodessa sähköä 14 terawattitunnin suuruusluokassa. Maailmaluokassa ethereumin louhinta kuluttaa sähköä noin 5,5 terawattitunnin vuositahtia.

Harmaan alueen kryptovaluutta on kryptografiaan perustuva digitaalinen virtuaalivaluutta, jota yleensä hankitaan louhinnalla. Siinä tietokoneen laskentatehoa käytetään muun muassa valuuttasiirtojen käsittelyyn. Louhinta-algoritmi itsessään on dataspesifikaatio, joka synnyttää ennalta määritetyllä tahdilla uutta valuuttaa kyberlomakoihin. Tyypillisimmillään louhinta sieppaa käyttökapasiteettia huonosti valvotuista konesaleista – ja laittaa kierroksia sen sähkömittariin.

Ikävä ylläri.

Vuoden 2018 EU:n tietosuoja-asetus nähtiin jo muutama vuosi sitten suurimpana uhkana verkkomainonnalle ja mainonnan osana tapahtuvalle datan haalinnalle. Näin siinä näyttäisi käyvänkin.

Pekka Piippa arvioi Jyväskylän AMK:n insinöörityössään myös, että verkkomainonnan mainostajille antamat mahdollisuudet rajoittuvat teknisen osaamisen puutteeseen ja jos kohta myös siihen, ettei jatkuvan kehityksen mukana tahdota pysyä. Piippa ohjeisti, että verkkomedioiden tulisi keskittyä mainonnan laadun parantamiseen ja sen häiritsevyyden vähentämiseen.

Suomalainen verkkomainonta saattaa yhä käyttää Flash-playerin kaltaisia kivikauden riskisovelluksia. MTV korvasi netissä Flashin HTML5:llä jo aikapäiviä sitten, mutta Piipan ohjelauseesta tulee mieleen heidän pääsivunsa audiovisuaalinen vaikutelma. Maikkari suorastaan kannustaa lisäämään mainonnan
esto-ohjelmien käyttöä. Ne ovat itsessään tietoturvariski.

Ylekin tajusi viimein maailman muuttuneen ja lopetti nettipalvelunsa Areenan toiston Flash-formaatissa. Tosin mobiili- ja äly-tv-palveluissa, joiden kautta kulkee 75 % Areenasta striimatusta sisällöistä, Flashia ei ole käytetty lainkaan.

Hyvä, sillä äly-tv on laite, jonka tietoturvasta on syytä olla huolissaan. Laastari vain kamerasilmän päälle.
Selaimien vanhentuneisiin lisäliitännäisiin liittyy haavoittuvuuksia, joiden takia virustartunta voi tapahtua ilman, että käyttäjä edes klikkaa epäilyttäviä mainoksia. Siksi on ensiarvoisen tärkeää, että kaikki tuki muun muassa Flashille, jonka kautta niin kutsutut kiristäjäohjelmat ovat levinneet, loppuu aivan kategorisesti.

Kansan syvien rivien keskuudesta löytyy vielä laaja Windows Explorerin käyttäjäkunta, joka käyttää oletusselainta siitä yksinkertaisesta syystä, ettei siellä osata ladata parempaa selainta tietokoneelle. Googlen Chrome on sellainen parempi, joka päivittää itse itsensä ja jonka kanssa ei joudu pulaan, ainakaan tekniseen pulaan.

Google parantaa selauskokemusta. Jos käyttäjä on siirtymässä haitalliselle sivustolle, Chrome ilmoittaa siitä välittömästi. Data-analytiikan ansiosta verkkosivustoista saadaan informaatiota. Chrome vertaa saitin URLia tunnettujen haitallisten sivustojen luettelotietokantaansa.

Jos aikuisviihdenettosivusto (huom: yhä useammin se voi olla myös vaikeamminkin tunnistettava saitti) vastaa selaimen luettelossa olevaa kohdetta, selain lähettää URL-osoitteesta infon Googlelle määrittääkseen, onko kyseessä haitallinen sivusto.

Selaustietoja koskeva Do Not Track pyyntö on hyvä säätö. Selaustietoja imuroidaan, jotta voidaan tarjota personoitua sisältöä, palveluita ja mainoksia, mutta niin luodaan myös personoitua tilastodataa.

EU:n tietosuoja-asetusta sovelletaan 25.5.2018 lähtien. Henkilötietojen käsittelyn on oltava tietosuoja-asetuksen mukaista. Se ajantasaistaa ja yhtenäistää tietosuojan sääntelyä EU:ssa.
Säädös koskee kaikkia yksityisiä ja julkisia organisaatioita, jotka ovat rekisterinpitäjiä tai henkilötietojen käsittelijöitä.

Uutta nykyiseen henkilötietolakiin verrattuna on läpinäkyvyys ja osoitusvelvollisuus muun muassa dokumentoimalla. Tietosuojavastaava taas olisi piankin pakko löytyä kaikissa julkisissa organisaatioissa.
Edessä on myös pakollinen tietomurroista ilmoittaminen.

Sanktiona kyberrikoksen salaamisesta saa sakot, enintään 4 % liikevaihdosta tai könttänä 20 miljoonaa euroa. Monessa EU-maassa toimiva rekisterinpitäjä voi asioida vain yhden maan valvontaviranomaisen kanssa. Tämä tapahtuu organisaation päätoimipaikan mukaan.
Suomessa tietosuojavaltuutettu Reijo Aarnio näyttää huhtikuussa sanoneen irti luottamuksensa lainsäätäjään. Eduskuntaan tulleesta hallituksen profilointilakiesityksestä ei hänen mukaansa ottanut tolkkua kukaan.

Suomessa kenelläkään viranomaisella ei ole toimivaltaa kansalaisten profiloimiseen, ehkä neuvolajärjestelmää lukuun ottamatta, ja sellaisen profiloinnin aloittaminen osana soteuudistusta haiskahtaa.

”Mitä sille profiilille tapahtuu? Kuka sitä ylläpitää? Kuinka kauan sitä säilytetään? Mitkä ovat kansalaisten oikeudet siihen profiiliin liittyen?”, Aarnio tivasi aamutelevisiossa. Totta, kaikki peruskysymykset ovat auki.

Pientä ristivetoahan tässä tosin ilmenee jo nyt omien profiilieni kanssa.

Otin Facebookin valikkopolun: kärjellään oleva pikkukolmio oikeassa yläkulmassa > asetukset > mainokset> ja kokeeksi vedin liinat kiinni. Facebook kuitenkin palautti takaisin poistetut mielenkiinnonkohteeni.
Tietää kai sitten paremmin kuin minä itse.

Kunnollisella tietoturvakäytäntöjen konsultoinnilla, eli kuinka toteutetaan turvallinen tiedostonjakoetäyhteys pankkijärjestelmään, olisi säästytty miljardiluokan vahingoilta. Yritysten kannattaakin tilata sellainen ihan vaikka vain varmuuden vuoksi.

Seuraavaksi kerron jotain, joka ei ole välttämättä sovi heikkohermoisille.

Pankkilaitosten erilaissa kyberrikoksissa kärsimistä taloudellisista vahingoista on liikkunut sisäpiiritietoja runsaan 20 vuoden ajan. Asiaa Suomessa luotsasi muun muassa parikin asiantuntevaa kynäilijää Tietokonelehden kolumnipalstoilla. Tämä ilmiö, jossa rahaa häviää, on ollut läsnä siitä alkaen, kun nettimaksamisessa ja etäyhteyksien käytössä päästiin vauhtiin.

Se, että tapahtuneet vahingot on liputettu pankkisalaisuuden piiriin, on osin yhteydessä kyberajan pankkiryöstökulttuurin kasvuun. Se sai rauhassa kehittyä 20 vuoden ajan.
Rikosliigat ovat kuitenkin nyt ahtaalla kansainvälisen poliisiyhteistyön iskiessä niin sanottuihin isoihin kaloihin. Ratsaus alkoi näyttävällä iskulla Espanjassa.

Korkonimillä Cobalt tai Carbanak tunnetun legendaarisen krakkerin mukaan nimetty kyberrikollisliiga vei rikoksella saatuna hyötynä maailman pankeilta arviolta 1,5 miljardia euroa noin 40 maassa, raportoi Euroopan pankkiliitto EBF.

Tämä on vain yhden kyberkoplan saalis ja sellaisen vajaan neljän vuoden aikana krakkeroitu rikoksella saatu hyöty.

Miljardiin euroon kohovasta saaliista on todisteet. Sen päälle ynnätään viitteet rikoksista, joita ei aivan voida näyttää toteen tässä vaiheessa. Liigan globaali verkosto ulottui kaikkialle Aasiaan ja läntiseen maailmaan. Rötöstehtailun maaleiksi päätyi ainakin sata rahoitusalan instituutiota.

Pankeilla on hyvä syy yhä vaieta. Uutistoimisto Reutersin mukaan pankkien toimihenkilöiden tietokoneiden ja sähköpostien saastuttaminen rootkiteillä on ollut pääasiallinen tapa kävellä sisään pankkiin sen virtuaalisista ovista.

Kaapatuin pääkäyttäjäoikeuksin myös pankkijärjestelmiä voi säätää kuin avointa kirjaa.
Tällä espanjalaisliigalla meni homma röyhkeydessään niin pitkälle, että se sai vikasietotilan korjaustoimintokäskyllä pankkiautomaatteja suoltamaan setelinsä ulos koneesta. Liiga toimi myös perinteisemmällä tyylillä. Tilisaldoja manipuloitiin suoraan järjestelmässä ja samalla muulit nostivat rahaa seinästä. Muuleja liigalle toimittavat muun muassa Venäjän ja Moldovan mafiat.

Myös rikoksella hankitun saaliin rahanpesu oli laajamittaista. Kassakaappi liigan päämajassa oli täynnä jalokiviä ja kultaa. Yhdysvaltain liittovaltion poliisin FBI:n Romanian, Valko-Venäjän ja Taiwanin poliisien yhteispeli johti keväänkorvalla yllätysiskuun liigan lymyilypaikkaan Espanjan Alicantessa.

Miten tämä kaikki oli mahdollista?

Ongelmista yksi on säännöstelty salailu. Pankkien tiukka salauslinja saattaa horjua kenties silloin, jos uutisnälkäiselle medialle on antaa joku hyvä sankaritarina pankissa torpatusta kyberrikoksesta.
Tämä taas vääristää uutisointia ja on jokseenkin sama asia kuin suomalaisten NHL-jääkiekkoilijoiden urheilumenestyksen uutisointi kotomaassa. Näin syntyy väärä, nurkkakuntainen kuva ja näyttää, että koko NHL pyörisi muutaman suomalaistähden ympärillä. Kokonaiskuva vääristyy pahoin (esimerkiksi Ruotsin NHL-tilasto on Suomea komeampi).

Samoin, jos pankit kertovat kuinka tämä tai tuo vahinko estettiin, niiden tietoturva-asioiden uskotaan olevan paremmassa kunnossa kuin mitä on totuus. Seinien sisässä tapahtuneet vahingot ja petokset maisemoidaan vähän äänin. Mutta eritoten ilmi tulleet virkailijoiden ääliömäiset töppäykset etäyhteyksiensä kanssa pidetään visusti omana tietona.

Toisaalta toki tiedetään, että pohjoismaiset pankit ovat olleet kova pala raskaan sarjan ammattirikollisille.
Vuonna 2013 kyberhyökkäyksessä yritettiin nostaa yhteensä 5,7 miljoonan kruunun eli yli 664 000 euron saalista Nordean tileiltä. Pankin oman selvityksen mukaan vain yksi 27 000 kruunun eli noin 3 100 euron, arvoinen tilisiirto onnistui. Sen sijaa Computer Sweden kertoo, että rikollisten käsiin päätyi pankin asiakkaiden arkaluontoisia tietoja, kuten tilitietoja ja salasanoja: yli 400 tiedostoa, jotka täsmäsivät Nordean tietoihin.

Tekninen dataturva, vaikka se olisi kunnossa, ei mitenkään korvaa henkilöstökoulutusta ja dataturvakäytäntöjen trimmausta huipputasolle. Tekninen dataturva ja yleinen knowhow yhdessä varmistavat parhaan saavutettavissa olevan tuloksen.

TV-ensi-illan hiljakkoin saaneessa amerikkalaiselokuvassa Blackhat (2015) hakkeri, joka on tullut lain pimeältä puolelta, vankilasta, hommii nyt hyvien puolella. Mies murtaa Federal Bureau of Investigationin tietojärjestelmän.

Sattumoisin temppu tapahtuu juuri samalla metodilla kuin Suomen ulkoministeriön sisäisen tiedostojakojärjestelmän ja sähköpostien korkkaus. UM:n virkamiehet latasivat ruokalistan pdf-muodossa koneelleen ja siinä samalla tuollaisen vihamielisen murtotyökalun.

Jos tätä konstia ja leffassa ilmi tullutta muuta kivaa, kuten kurssivedätyksiä, treittauksia, pidetään jonain fictiona – me nauramme pian itsellemme pahemman kerran.

Elokuva ei ole edes kovin marginaalinen, miljardit ihmiset ovat nähneet sen. Elokuva esittelee seikkaperäisesti verkon alamaailmasta ilmaiseksi löytyvän rootkit koodin sujauttamisen erittäin hyvin suojattuun järjestelmään. Se kuvaa myös hienosti, kuinka autuaan pahasta tietämätöntä uhria sitten kehotetaan vaihtamaan salasanansa. Samalla haittaohjelmalla nauhoitetaan näppäintoiminnot, siis se uusia salasana, jonka haittaohjelma lähettää tietomurtoa tekevälle kyberrikolliselle.

Krakkeroinnin kautta voidaan muokata maailmaa, ja eritoten, osakemarkkinoita mieluisiksi. Sekin on totta ja sellaista tapahtuu The Wall Street Journalin mukaan tosi maailmassa useammin kuin mitä maallikot arvaavatkaan.

Enemmänkin katu-uskottavuutta Blackhat-leffassa koetteli äkkipako räjähtävästä autosta. Miten se hemaiseva naispääosan henkilö oli yhtäkkiä saanut ne vaihtovaatteet päälleen heti seuraavassa kohtauksessa, vaikka kamat jäivät autoon. Koko elokuva kärsii jos mukana on selittämättömiä asioita.

Kaiken kukkuraksi tässä Michael Mann’n hienossa elokuvassa käytiin läpi, mitä tehdään sellaiselle serverille, jota ei voida verkkoyhteyksien kautta kräkata. Mahdollista sekin, hyvä muistaa. Silloin serverisaliin saatetaan mennä sorkkaraudalla. Valitettavasti tämäkin juonenkäänne on olemassa olevaa todellisuutta.

Sitten komento: liinat tiukalle!

Me, jotka olemme webiä käyttäneet päivittäin reilusti yli 20 vuotta, pidämme jokseenkin itsestään selvänä, että harkitsemme jokaisen antamamme tiedon. Ja mieluiten vielä harhauttelemme vähän tietojemme jaossa jos mahdollista.

Kuten edellä kirjoitetusta ymmärrätte, emme lataa pdf-dokumentteja tai makroja sisältäviä Office-dokumentteja koneillemme, ellei niitä ole varmistettu useille luotettavilla tietoturvatyökaluilla. Tämän varovaisuusperiaatteen ja orientaation lahjoittaisin koko vapaalle maailmalla, jos se noin vain olisi mahdollista.

Facebookin ympärillä käyty rapsakka keskustelu on onneksi vähän lisännyt ymmärrystä tietojen suojaamisesta.

Palvelu on härski peluri, joka ei juuri ansaitse armoa.

Kaikki käyttäjät, jotka ovat lisänneet puhelinnumeronsa Facebookiin eivätkä sen jälkeen ole muuttaneet oletusasetuksia, ovat voineet joutua tietojen imuroinnin kohteeksi. Puhelinnumerolla ja sähköpostilla etsimisen on voinut alusta asti estää Facebook-palvelun asetuksista, mutta verrattain harvojen uskotaan näin tehneen. Palvelun asetusvalikot ovat näet käytettävyyden kannalta nollan arvoinen sekasotku.

Facebook näköjään painostaa käyttäjiään aggressiivisesti antamaan sille puhelinnumeron. Myös foto olisi kiva ylläri, joo, ja se paikka, jossa olet käynyt koulusi, ja sitten…

Älkää toki puhuko sille totta, valehdelkaa, sillä iso F haluaa uskoa.
Ja Googlen Chrome-selaimelle ehkä kannattaa tehdä oheisen kuvan mukainen säätö: älä raportoi Googlelle mitään.

Raportoi tiedot Googlelle -painikkeen voi laittaa pois päältä Chrome-selaimen asetuksista.

Kansan syvien rivien keskuudessa ilmennyt herääminen tietoisuuteen tietosuojasta, tai pikemminkin sen puutteesta, tulee hyvään aikaan – kaikki paha on jo tapahtunut – massadataa on käytetty ties mihin epäeettiseen tarkoitukseen.

Kuohunnan keskiössä olleen Facebookin ohella myös Google on syynissä. Olen nyt käynyt läpi erilaisia sekavahkoja oheistuksia, joissa neuvotaan tekemään yhtä ja toista ettei vuotaisi nettiin omiaan.
Mielestäni tämä Chrome-selaimen säätö riittäisi:
Asetukset-> Hakuasetukset->Lisäasetukset, ja kohta ”Jätä taustaohjelmat käyntiin, kun Google Chrome suljetaan” napsaistaan poispäältä. Tämä on tärkeä säätö varsinkin jos ja kun selainta käytetään televisiossa.

Data-analytiikkaa voisi luonnehtia suomalaiskansallisella alkujaan tulta tarkoittaneella fraasilla: hyvä renki mutta huono isäntä.

Facebookin dataa analysoimaan kehitetty työkalu, jonka haulla kaivetaan esiin vaikkapa ”kaikki pelokkaat introvertit” heihin vaikuttamista varten, on todellisuutta. Miljardien ihmisten dataa analysoiva ihmishakukone etsii haaviinsa tietyntyyppisiä henkilöitä ja myy näin luodun avatarien galleriansa mainonnansuunnittelijoille. Läpinäkyvyyden puuttuessa homma haiskahtaa salakähmäiseltä.

Avoimesti toimien tapaus Cambridge Analytica olisi ohitettu olankohautuksella.
Sen taustalla yhdistyi koodauksen intohimo ja kognitiotieteet, vaikka olisi ehkä tarvittu myös juridiikan taitoja.

Muuan koodaustaitoinen psykologi Aleksandr Kogan mielsi itsensä poikkitieteelliseksi uusien urien aukojaksi, jos nyt ei aivan neroksi.
Hänen vuonna 2014 suunnittelemansa luomus This is your digital life -algoritmi analysoi massadataa isotehoisessa palvelinympäristössä. Tässä voi havaita jotain mengelmäistä, sillä virtuaaliset kaksoisolentomme tietävät muun muassa seksuaalisen suuntautumisemme, jos emme satu olemaan siitä itse perillä.

Jos taas tuntee tuon logiikan, voi Facebookissa häiritä systeemiä.
Teemme sen niin, että tykkäämme huviksemme esimerkiksi kosmetiikkamerkki MAC:stä, joka tiemmä korreloi käyttäjän homoseksuaalisen taipumuksen kanssa.

Koganin ohjelma päätyi Cambridge Analytica -yritykselle vuonna 2014 tunnetuin seurauksin. Oli tästä puhuttu, mutta varsinainen ”savuava ase” eli todisteet härskistä dataseulonnasta, puuttuivat pitkään.

Koodaustaitoinen psykologimme Kogan taas itse käyttäytyy kuin Novichok-ryhmään kuuluvan A-230-nimisen aseen kehittäjä, kemisti Vil Mirzayanov, 83, joka ei pahimmissa painajaisissaankaan voinut kuvitella, että hänen luomaansa myrkkyä käytetään salamurhassa. Novichok, jolla iskettiin maaliskuussa Lontoossa, kehitettiin harmittomista ainesosista.

Tosi asiassa myös Aleksandr Kogan tajusi mitä teki ja lähestyi itse ideoineen vaalikampanjointia suunnitelleita yrityksiä.

Nyt kun käry kävi, koodia ja sen voimaa näemmä väheksytään. Tosi asiassa Koganin algoritmeilla saavutettava analyyttisyys oli viety huippuunsa ja se toimii henkisenä aseena manipuloitavissa olevia ihmisiä varten.

Tämä algoritmi ei haahuile, se on koodattu verifioimaan itse itseään ja laskemaan tiukkoja todennäköisyyksiä taipumusluokittelujensa perusteeksi.

Kun suoritin vanhamallista sosiaalipsykologiaa tajusin, että vain verrattain vähäinen osa meistä ihmisistä on oikeasti manipuloimattomia, siis manipuloinnille immuuneja. Tämä ilmeni Muzafer Sherifin, John Darleyn, Bibb Latanén ja Stanley Milgramin amerikkalaistutkimuksista, jotka ahmin. Kokeet nimettiinkin pian julmiksi ja epäeettisiksi. Ja olivathan monet kokeet rankkoja, varsinkin kuuluisa Milgramin koe: 75-80 % prosenttia meistä alistuu mihin tahansa hirmutekoon autoritäärisen paineen alla.

Facebookissa toimivia manipulointiyrityksiä vastaan kestävä ratkaisu piilee inhimillisessä resurssissa. Jos ihmiset oppivat ajattelemaan omilla aivoillaan, niihin ei pure mikään huuhaa eivätkä ihmiset paljasta paljon mitään arkaa itsestään, ja vaikka paljastaisivat, manipulointi niillä tiedoin on mahdotonta.

Luottamus ihmisjärkeen on palautettava. Se tekee tyhjäksi kaiken maailman propagandistiset vaikutusyritykset. Ne ampuvat ohi maalin.

Iskostamisen asemesta taas vapaa keskustelu ja mittelö on jotain aivan muuta. Graafisessa internetissä kuohahti vuosina 1996-1997. Se dialogi ja sananmahti oli monella tavalla voimauttavaa ja mukana olleille ikimuistoista. Saatoimme häviön hetkellä todeta, että vahvin argumentti voittaa ja korjata omaa ajattelua paremman tiedon/näkemyksen pohjalta.