Pirullisen helppo palvelunestohyökkäys

Vii­me päi­vi­nä on uu­ti­soi­tu pal­ve­lun­es­to­hyök­käyk­sis­tä niin suo­ma­lai­sia verk­ko­pank­ke­ja kuin iso­ja pe­li­pal­ve­lu­ja vas­taan. DDoS on help­po ja hal­pa hyök­kää­jäl­le, mut­ta vai­kea pa­la uh­ril­le.Kuva: felixtriller.de: Networking Switch. c b 2.0

Jouluna monet yrittivät päästä uudella Sonyn tai Microsoftin valmistamalla pelikonsolillaan pelaamaan Internetissä, mutta Lizard Squad -niminen joukko oli tehnyt yhdistämisen mahdottomaksi. Lizard Squadin käyttämää, teknisesti varsin simppeliä, kikkaa kutsutaan hajautetuksi palvelunestohyökkäykseksi (Distributed Denial of Service, DDoS). Samanlaisten hyökkäysten kohteena ovat viime päivinä olleet myös monet suomalaisten käyttämät verkkopankit, viimeisimpänä Danske Bank1.

Palvelunestohyökkäys on onnistuessaan varsin näkyvä, sillä se nimensä mukaisesti estää pääsyn johonkin verkkopalveluun, kuten verkkopankkiin, sen oikeilta käyttäjiltä. Toisin kuin iltapäivälehdissä maalaillaan, viime päivien hyökkäysten takaa tuskin löytyy ammattirikollisia saatikka valtiollisia toimijoita. Näyttävyydestään huolimatta suurienkin verkkopalvelujen kaataminen onnistuu yksittäiseltä harrastelijaltakin.

Jatka lukemista >>

Mennyttä ja tulevaa, osa 2014

Vuo­si 2014 on ol­lut mi­nul­le ko­ke­mus­ri­kas, ja IT-maa­il­mas­sa­kin on eh­ti­nyt ta­pah­tua kai­ken­lais­ta. Saa­pa näh­dä, mi­tä ensi vuo­si tuo tul­les­saan.Kuva: Billy Idle: Aurora Borealis. c ba 2.0

Jälleen alkaa yksi vuosi olla lopuillaan ja uusi alkamassa. Ennen uuden kalenterin ripustamista seinälle on totuttuun tapaan (10, 11, 12, 13) aika käydä läpi kuluneen vuoden tapahtumia.

Minulle itselleni vuosi on ollut varsin värikäs ja kiireinenkin, ja harmikseni olen ehtinyt julkaista vain viisitoista postausta. Monista muistakin aiheista olisi tehnyt mieleni kertoa, mutta artikkelit ovat syystä tai toisesta päätyneet korkeintaan luonnosvaiheeseen. On tosin sanottava, että itselleni asettama kirjoitusten laatuvaatimus on myös koventunut.

Keväällä kirjoitin muun muassa .fi-verkkotunnuksen hankkimisen vaikeutumisesta ja Elisa Viihteen kaltaisten nettitallennuspalvelujen vaikeasta tulevaisuudesta. Oman elämäni osalta vuoden suurimmat tapahtumat sattuivat kesälle: muutin ensinnäkin Keljonkankaalta Keltinmäelle, mikä tiesi muiden pulmien lisäksi nettiongelmia. Elokuussa suuntasin pariksi viikoksi kauas Japaniin, ja purin näkemääni blogipostauksen muotoon.

Syksyllä hämmästelin ES Clickerin suosiota ja kirjoitin yllättävän kovaan suosioon nousseen hämmästelyni yksityisen kopioinnin hyvitysmaksun tulevaisuudesta1. Muutaman ohjeartikkelinkin ehdin kirjoitella.

Jatka lukemista >>

Mitä Heartbleed tarkoittaa netinkäyttäjälle

Lu­ke­mat­to­mat verk­ko­pal­ve­lut − niin isot kuin pie­net − ovat ol­leet alt­tii­na mm. käyt­tä­jien tie­to­jen vien­ni­lle Heart­bleed-ni­mi­sen tie­to­tur­va-au­kon ta­kia. Ne­tin­se­laa­jan­kin täy­tyy ryh­tyä ko­viin toi­men­pi­tei­siin.

Kuva: Heartbleed logo, CC0

Viime päivät ovat olleet verkkopalvelujen pyörittäjille vaikeita. Mylläkkä sai alkunsa, kun Googlen turvallisuusyksikössä työskentelevä Neel Mehta huomasi, ettei verkkoliikenteen salauksessa usein käytetty OpenSSL-ohjelmistokirjasto toimii pahasti väärin: pahantahtoinen käyttäjä voisi laatia kyselyn, jolla saisi palvelimen lähettämään hänelle ohjelmiston muistista dataa, esimerkiksi yksityisiä viestejä ja salasanoja. Haavoittuvuus sai kutsumanimekseen Heartbleed, sydänvuoto.

IT-piireissä uutinen levisi kulovalkean tavoin, ja järjestelmänvalvojat kiirehtivät paikkaamaan ohjelmistojaan. Harmi vain, että vahinko oli jo ehtinyt tapahtua: pahimmassa tapauksessa noin 80 prosenttia verkkopalveluista on ollut haavoittuvaisia viimeiset pari vuotta. Sitä, kuinka monesta palvelusta on tietoja viety, ei tiedä kukaan.

Näin äkkiseltään ei tule mieleen pahempaa tietoturva-aukkoa: voidaan sanoa, että Heartbleed-haavoittuvuus koskee jok’ikistä Internetin käyttäjää. Pahimmassa tapauksessa siis kaikkien Internet-käyttäjien tietoja on viety. Tilanne on paha ennen kaikkea käyttäjien kannalta, joten toimettomaksi ei kannata jäädä.

Heartbleed-haavoittuvuuden toimintatapa

Johtuen ohjelmointivirheestä OpenSSL-kirjastossa, voi tietynlaisella pyynnöllä saada kirjaston lukemaan muistiaan vastaukselle varatun tilan yli, ja lähettämään tuon datan paluupostissa. Vastaukselle varatun muistitilan jälkeen ohjelman muistissa voi olla mitä tahansa, ja tuota ”mitä tahansa” voidaan pyytää jopa 64 kilotavua. Hyökkääjä voi lähettää pyyntöjä yhä uudelleen ja uudelleen, saaden aina uuden siivun muistia tutkittavakseen.

Ohjelman muistissa voi olla esimerkiksi itse salaukseen käytetty yksityinen avain tai käyttäjien salasanoja, mutta myös mitä tahansa muuta. Hyökkäyksestä ei tyypillisesti jää uhripalvelimeen mitään jälkiä, joten jälkikäteen ei voida sanoa, onko palvelua vastaan hyökätty vai ei. Tietoturva-asioissa kannattaa kuitenkin lähteä pahimmasta mahdollisesta tilanteesta, eli olettaa kaiken arkaluonteisen olevan hyökkääjän tiedossa.

Haavoittuvuuden aiheuttanut OpenSSL:n ohjelmointivirhe on sittemmin korjattu, ja kaikki valveutuneet verkkopalvelujen ylläpitäjät ovat asentaneet korjauspäivityksen. Enää tietojen vienti ei siis enää ole mahdollista. Sen sijaan jo viedyt tiedot on menetetty, eikä verkkoliikenteen salauskaan ole luotettavaa, ennen kuin palvelu vaihtaa salausavaimensa.

Haavoittuvuudesta kärsineet palvelut

Kirjoitushetkellä varsin harva palvelu on julkisesti kertonut, koskettaako haavoittuvuus sitä. Tämä voi johtua muun muassa seuraavista:

  • Palvelu ei käyttänyt haavoittuvaista versiota, eikä näin näe tarvetta tiedottaa käyttäjiään.
  • Palvelun tuottaja ei tiedä, koskettaako haavoittuvuus heitä.
  • Palvelun tuottaja tietää, että palvelu on (ollut) haavoittuvainen, muttei halua tiedottaa käyttäjiään.

Esimerkiksi Mashable on koonnut luetteloa palveluista, jotka ovat varmuudella olleet uhattuna. Listalla ovat mm. Pinterest, Tumblr, Google ja Yahoo.

Uskon, että monet edellä mainittuja pienemmät toimijat (mm. kotimaiset verkkokaupat, yliopistot, hosting-yritykset…) ovat niin ikään käyttäneet reikäistä OpenSSL-versiota.

Ohjeita käyttäjälle (eli kaikille)

Kannattaa seurata sähköpostia ja verkkosivujen tiedotteita, ja vaihtaa salasana heti, jos verkkopalvelun ylläpito niin suosittelee. Verkkokauppojen asiakkaiden kannattaa myös seurata tiliotteitaan, ja mitätöidä maksukortti, jos outoja maksutapahtumia ilmestyy.

Salasanaansa ei kannata vielä vaihtaa joka paikkaan, sillä kaikki palvelut eivät vielä ole päivittäneet ohjelmistojaan − muuten riskinä on, että uusikin salasana joutuu ulkopuolisten käsiin. Jos verkkopalvelu ei aiemmin pyydä niin tekemään, suosittelen vaihtamaan kaikkien verkkopalvelujen salasanat huhtikuun viimeisellä viikolla.

Mitään sellaista verkkopalvelua2 ei pidä käyttää, jolle seuraavat kriteerit täyttyvät:

  • palvelu vaatii käyttäjätunnuksen tai muun tunnistautumisen, ja
  • palvelu on ollut haavoittuvainen tai haavoittuvaisuustilanne ei ole tiedossa, ja
  • palvelun varmenne1 on julkaistu aiemmin kuin 9.4.2014.

Palvelua voi käyttää, kun varmenne on korvattu uudella. Tällöin kannattaa ensi töikseen vaihtaa salasanansa. Sanomattakin lie selvää, ettei samaa salasanaa kannata käyttää eri paikoissa.


1) Varmenteen tietoja pääsee useimmissa selaimissa katsomaan klikkaamalla salauksesta kertovaa lukonkuvaa ja sitten sopivia painikkeita painelemalla.
2) Joo, netin käytöstä tuli juuri aika paljon ikävämpää. Tai sitten vetelet riskillä ja toivot parasta.

Sinuakin vakoillaan

Vii­me ai­koi­na on pu­hut­tu pal­jon In­ter­net-va­koi­lus­ta. Pal­jas­tuk­set ovat kui­ten­kin vain pin­ta­raa­pai­su isom­paan on­gel­maan, jo­ka kos­ket­taa val­ti­oi­den ja yri­tys­ten li­säk­si myös yk­sit­täi­siä ih­mi­siä.
 
Kuva: Mike_fleming: CCTV Camera. c ba 2.0

PRISM:n ja kumppaneiden tuleminen ihmisten tietoon on herättänyt monissa yrityksissä keskustelun siitä, missä luottamuksellista tietoa voidaan digitaalisesti säilyttää ilman, että jokin valtio on sitä urkkimassa. On hyvä, että asiasta nyt puhutaan, vaikka todellisuudessa sen aika olisi ollut paljon aiemmin.

Kun vielä 5-10 vuotta sitten tieto varastoitiin yrityksen omilla paikallisilla palvelimilla, niin nykyään ulkopuolisen palveluntarjoajan on annettu ottaa haltuun sähköpostit, ja tiedostotkin ovat kätevästi jonkun toisen hostattavana. Käteväksi homma käy myös NSA:lle tai muulle vakoilijalle: kun pääsyn saa − tavalla tai toisella − yhteen palveluun, pääsee käsiksi usean organisaation tietoihin. Myös yksittäiset ihmiset kärsivät vakoilusta joko suorasti tai epäsuorasti.


Kyse ei ole pelkästään siitä, että Yhdysvallat urkkisi muiden valtioiden puolustussalaisuuksia, vaan paljastunut vakoilu pitää nähdä osana laajempaa kokonaisuutta − jäävuoren huippuna. Jokaisella kohtuukokoisella valtiolla (ja myös joillakin yksityisillä yrityksillä) on varmasti tiedustelu- ja vakoilutoimintaa. Ajan hengen mukaisesti tämä sisältää myös Internet-vakoilun, tapahtuipa se linjoja kuuntelemalla tai palveluihin murtautumalla. Toiminta koskettaa valtioiden ja suuryritysten lisäksi myös pienempiä yrityksiä ja yksityisiä ihmisiä.

”Mutta eihän minulla yksilönä ole mitään salattavaa tai muita kiinnostavaa”, saatat nyt ajatella, etkä välttämättä ole täysin väärässä. Ajat kuitenkin muuttuvat, ja tulevaisuudessa nyt vähäpätöiset seikat voivat muuttua merkityksellisiksi − jopa vaarantaa yksilön oman turvallisuuden: Entä, jos rotuhygienia keskitysleireineen ja Zyklon B -myrkkyineen palaa muotiin? Kaukaa haettua, ehkä, mutta esimerkiksi Kiinassa jo ”vääränlainen” postaus keskustelufoorumeille saattaa aiheuttaa lähettäjälle tukalat oltavat.

Nyt jos koskaan on tartuttava toimeen, ja ryhdyttävä toimiin Internet-vakoilua vastaan, sillä pelkkä passiivinen ”ei kosketa minua” -ajattelu mahdollistaa orwellistisen Isoveli valvoo -maailman kehittymisen edelleen. Yksi ihminen ei voi pysäyttää muutosta, eikä edes oikeastaan estää omien tietojensa vakoilua. Omalla toiminnallaan voi kuitenkin laittaa NSA:n agentit ahkeroimaan koko rahan edestä.

Tärkeintä on lähteä ajatuksesta, että mikään Internetiin kytketty ei ole täysin turvassa. Salaamalla tietoja voi kuitenkin hankaloittaa niiden hyödyntämistä väärissä käsissä: esimerkiksi pilvipalveluihin lähetetyt valokuvat voi salakirjoittaa ennen lähettämistä. Näin palveluntarjoajakaan ei pääse tiedostojen sisältöihin käsiksi. Salaus ei ole ainoa eikä pomminvarma keino, mutta hyvä alku.

Apua Facebook-madon tunnistamiseen

Olen tä­nään näh­nyt ”mie­len­kiin­toi­sia” pos­tauk­sia Face­boo­kis­sa enem­män kuin ai­koi­hin. Ky­sees­sä on ma­to­tyyp­pi­ses­ti le­vi­ä­vä ros­ka­pos­ti. Sen tun­nis­ta­mi­ses­sa WOT-li­sä­osa on avuk­si.
Ku­va: Ku­va­kaap­paus Face­boo­kis­ta.

Varmasti kaikki Facebook-käyttäjät törmäävät aika ajoin tilanteeseen, jossa FB-kaveri julkaisee arveluttavaa, yleensä kuitenkin tietyllä tapaa uteliaisuuden herättävää, materiaalia. Suurin osa ymmärtää, että tällainen käyttäjä on joutunut Facebook-madon uhriksi ja tajuaa olla klikkaamatta linkkiä. Esittelyteksti saa kuitenkin aina houkuteltua jonkun klikkaamaan, ja pian roskaa on entistä useamman facebookittajan silmillä.

Jos on luonteeltaan utelias, eikä niin kovin teknisesti orientoitunut, saattaa vahinko sattua. Tällöin parasta on poistaa roskasivuston lähettämä tilapäivitys, jotta kierre saataisiin katkaistua. Jatkossa kannattaa olla hieman tarkempi: tähän on mainio, suomalainen2 ja ilmainen työkalu olemassa.

Var­si­nai­sel­la hui­jaus­si­vus­tol­la käyt­tä­jää tyy­pil­li­ses­ti hou­ku­tel­laan klik­kaa­maan ”vi­de­on” Play-pai­ni­ket­ta. Vi­deo­ta ei pyö­ri­mään saa, mut­ta klik­kaa­jan Face­book-sei­näl­le il­mes­tyy päi­vi­tys pyy­tä­mät­tä ja yl­lät­täen.
Ku­va: Ku­va­kaap­paus hui­jaus­si­vus­ta4.

Käydäänpä ensin lyhyesti läpi, mistä oikeastaan edes puhutaan. Facebook-madon toimintaidea on useimmiten seuraava: käyttäjän siirryttyä kohdesivulle, tässä tapauksessa osoitteeseen http:​//821​40837​12920​5ruth​ietop​video​9pef​aquyk​ypefa​quyky​.[poistettu]​/vide​oen.p​hp?wa​tch=U​oQgS2​NfP&p​lay=​true&​[poistettu], hänen olisi tarkoitus klikata ”YouTube-soittimen”1 ”Play-nappia”1. Sen sijaan, että haluttu video lähtisi pyörimään, sivusto lähettää käyttäjän nimissä Facebookiin uuden roskapostauksen. Kaikki on siis pelkkää huijausta, eikä mitään videota sivustolla ole alunalkaenkaan.

Madon sielunelämää kuvailee tarkemmin Troy Hunt blogissaan (englanniksi), enkä siksi lähde asiaa tarkemmin kuvailemaan. Sen sijaan haluan kertoa, miten helposti Facebookissa − ja muuallakin Internetissä3 − voi suojella itseään epäilyttäviltä, jopa vaarallisilta sivuilta. Apu löytyy Web Of Trust -selainlisäosasta.

Lisäosa on saatavilla yleisimmille selaimille, ja se kertoo sivujen luotettavuuden selaimen työkalurivillä olevalla yksinkertaisella kuvakkeella: vihreä=hyvä, punainen=huono, ja värit noiden välillä ovat jotain siltä väliltä. Työkalu on kelvollinen auki olevan sivuston luotettavuuden suurpiirteiseen arviointiin, mutta sen todellinen voima on mielestäni Facebook-sivujen (ja mm. Googlen hakusivujen) linkkeihin ilmestyvät kuvakkeet, jotka kertovat linkin kohteesta huomattavan paljon.

Huo­no­mai­nei­sis­ta si­vus­tois­ta WOT va­roit­taa nä­ky­väs­ti, en­nen kuin käyt­tä­jä edes pää­see si­vul­le.
Ku­va: Ku­va­kaap­paus WOT-li­sä­osan va­roi­tus­vies­tis­tä

WOT:n toimintaperiaate perustuu siihen, että lisäosan käyttäjät arvostelevat vierailemiaan sivuja muutamassa kategoriassa (Luotettavuus, Asioinnin turvallisuus, Tietosuoja ja haluttaessa Lapsiturvallisuus), ja palvelu laskee näistä sivustolle luokituksen, joka sitten esitetään käyttäjille. Huonoimmille sivustoille navigoitaessa lisäosa ei päästä käyttäjää sivustolle ennen kuin tämä on nähnyt varoitussivun.

Aivan sataprosenttisen luotettava WOT ei ole, sillä luokitukset perustuvat käyttäjien arvioihin. Monet käyttäjistä eivät esimerkiksi (ymmärrettävästi) piittaa TTVK ry:stä, jonka seurauksena heidän sivustolleen WOT antaa epätyydyttävä-arvosanan. Kuitenkin, jos Facebook-linkin luokitus on oranssi (huono), punainen (erittäin huono) tai valkoinen (ei tietoa), ei sitä yleensä kannata klikata.

Pidänkin WOT-lisäosaa ehdottomasti asentamisen arvoisena ihan kaikille. Nopeasti ymmärrettävä liikennevalo on hyvä apu sivuston arvioimiselle ennen klikkausta.

Pähkinänkuoressa:

  • Facebook-madot ovat ärsyttäviä.
  • Matopostausten tunnistamista auttaa Web of Trust -selainlisäosa.
  • Kyseisestä lisäosa on hyödyksi muutenkin.
  • Asenna se selaimeesi.


1) Termit lainausmerkeissä siksi, ettei kyseessä ole muuta kuin JavaScriptillä ryyditetty kasa HTML:ää ja kuvia.
2) WOT-palvelua ylläpitää suomalainen Wot Services Oy, mutta sen arvokkuus on sen kansainvälisen käyttäjäkuntansa ansiota.
3) Oikeastaan vain WWW:ssä, mutta oikeat termit eivät ole olleet IT-alalla aikoihin muodissa.
4) WOT-lisäosaa ei näy tässä, sillä varmuuden vuoksi avasin sivun virtuaalikoneessa.