IT-viikko uutisoi tänään siitä, kuinka Suomen valtiota ja aseteollisuuden yrityksiä on vakoiltu troijalaista apuna käyttäen. Kaikkien suureksi yllätykseksi (…not) Suojelupoliisi ei antanut tietoja siitä, minne tarkalleen ottaen on hyökätty.
Veikkaisin kuitenkin että sosiaalisen hyökkäyksen, jollainen tässä siis todennäköisesti on kyseessä, pystyisi toteuttamaan yhtä lailla niin vihollisvaltio, terroristijärjestö kuin mikä tahansa muu pahantahtoinen organisaatio. Ja miksei yksittäinen Script Kiddiekin. Vaara on kuitenkin yhtäläinen riippumatta hyökkääjän alkuperästä.
Vaara? Niin, veikkaan että nämä jotka menevät kliksuttelemaan minkä tahansa klikkaa-minua.exe:n auki eivät muutenkaan ole tietoturvallisen tietojenkäsittelyn mestareita. Ja kas kummaa, jotkut ihmiset käsittelevät ihan työksensä toisten ihmisten henkilöllisyystietoja ja muita henkilökohtaisia tietoja.
Tästä taas voidaan rakentaa sellainen skenaario, että mikäli jostain syystä joku haluaisi ryhtyä identiteettivarkaaksi, olisi hänellä ”portit auki taivaita myöten” tehdä se. Ja tällainen taas on aika pelottavaa. Eikä pidä unohtaa sitä, että kirjaimellisesti valtionsalaisuuksiakin varmasti moni käsittelee tietokoneella työkseen.
Ei siinä, olen hyvin tietoinen siitä, että ECHELON tarkkailee tietoliikennettä monin tavoin, mutta en usko että se kuitenkaan salauksille vielä mitään voi, joten salaamalla liikenteen oltaisiin siltä turvassa. Mutta jossain vaiheessa salaus on purettava ihmistä varten, ja tähän väliin haittaohjelma haluaa ujuttautua tietoja urkkimaan.
Ja nyt minä kerron mitä asialle pitäisi tehdä: tietoturvaa pitäisi kasvattaa roimasti. Yksi askel voisi olla siirtyminen *nix-pohjaisiin järjestelmiin, joissa mm. omien ohjelmistojen esto on suoraan järjestelmässä, mutta eiköhän tuo onnistu myös redmondilaiselta jollain ohjelmistolla. En näe mitään tarvetta sille, että työkoneella olisi tarvetta ajaa mitään muita ohjelmia kuin niitä ennalta määrättyjä. Toisin sanoen nykyisten virustorjuntaohjelmistonen nk. blacklist-suodatuksesta täytyisi siirtyä pikaisesti whitelist-suodatukseen.
Toinen asia, mihin ei voi koskaan panostaa liikaa, on tietoturvan kasvattaminen ruudun ja penkin välissä. Käyttäjille täytyisi iskostaa kaaliin mahdollisimman kansantajuisesti että niitä linkkejä sähköpostissa ei klikkailla, vaikka sähköposti näyttäisi tulevan esimieheltä tai vaikka presidentiltä. Myös muunlaisiin hyökkäystekniikoihin (esim. phising) olisi ihmiset koulutettava suhtautumaan asianmukaisesti.
Summa summarum, nykyisellään näen että kenellä tahansa on pienellä vaivalla ja kiinnijäämisriskillä mahdollisuus hankkia mitä tahansa tietoja Suomesta, sen kansalaisista, yrityksistä ja asevoimista. Tämä on se pikku ongelma.