Avainsana: haittaohjelma

Vuo­den­vaih­tees­ta al­kaen po­lii­si voi asen­taa hait­ta­oh­jel­man epäil­lyn ko­neel­le seu­ra­tak­seen tä­tä. En hy­väk­sy, kos­ka muut­kin jou­tu­vat kär­si­mään. Kuva: Open­clip­art

”Poliisi hankkii oman vakoiluohjelman”, uutisoi Helsingin Sanomat tänään nettisivuillaan. Mistään NSA:n PRISM-vakoiluohjelmasta ei kuitenkaan ole kyse, vaan otsikolla HS koittaa kalastella lukijoita Facebookista.

Aihe on kuitenkin vakava: ensi vuodesta alkaen poliisi voi asentaa salaa haitta­ohjelman tietyistä rikoksista epäiltyjen tietokoneelle, mobiili­laitteille ja kahvin­keittimiin. Ihan puskista ei tämä uusi mahdollisuus tullut, sillä esitykset poliisi-, esitutkinta- ja pakko­keino­lain­säädännön muuttamiseksi olivat tapetilla jo helmikuussa 2011, jolloin itsekin asiasta kirjoitin.

Ainakaan heti vuodenvaihteessa ei Ville Warettajan tarvitse pelätä, että poliisi ujuttaisi koneelle haitakkeita TTVK:n pyynnöstä, sillä HS:n mukaan ”[s]euranta voi kohdistua vain sellaisiin ihmisiin, joita epäillään muun
muassa terrorismirikoksesta, henkirikoksesta, törkeästä lapsen
seksuaalisesta hyväksikäytöstä, törkeästä talousrikoksesta, törkeästä
huumerikoksesta tai törkeästä vahingonteosta”, ja silloinkin vain oikeuden luvalla.

Oma näkemykseni on kuitenkin edelleen se, että kaikenlaisten ei-toivottujen ohjelmistojen asentaminen on aina paheksuttavaa riippumatta siitä, onko kohteena raskaan sarjan lastenraiskaaja, tekijänoikeustaparikollinen vai tavallinen kadunmies; tai siitä, toimiiko asentajana poliisi, tekijänoikeusmafia vai rikollisryhmä.

Suurin ongelma tässä sivulliset kärsijät, collateral damage. Käytännössä tietokoneeseen murtautuminen ynnä sen käytön ja tietosisällön vakoilu vaarantaa myös muiden kuin suunnitellun kohteen tietoturvan ja oikeuden yksityisyyteen. Esimerkkejä:

• Haittaohjelma asennetaan väärään laitteeseen. Esimerkiksi ISP:ltä saadun IP:n perusteella murtaudutaan Internetin välityksellä koneelle, joka ei olekaan epäillyn. IP voi olla vaihtanut haltijaa, tai piuhan päässä voi olla kyläilemässä olevan kone.
• Laitteella on useita käyttäjiä. Vaikka itselläni on tyystin omassa käytössäni useita tietokoneita, monissa kotitalouksissa samaa tietokonetta käyttää moni henkilö. Tällöin vakoilun rajaaminen vain epäiltyyn on vähintäänkin haasteellista.
• Laitteella on luottamuksellisia tietoja, esimerkiksi henkilörekistereitä. Varsinkin palvelinkoneissa on usein erilaisia tietokantoja ja muita rekistereitä, joista voi löytyä hyvinkin arkaluonteisia tietoja muistakin kuin epäillystä.
• Poliisimiehen uteliaisuus. Vaikka periaatteessa haittaohjelman käyttöön vaaditaan tuomioistuimen lupa, en usko että asentaminen ilman lupaa esimerkiksi julkkiksen tai oman vaimon koneelle olisi teknisesti mahdotonta. Korkean moraalitason olettaminen ei riitä.

Vaikka jollain tavoin varmistettaisiin, ettei oheisvahinkoa pääse syntymään, ei haittaohjelma siltikään ole ”syyttömille” vaaraton, sillä lainsäädäntö voi muuttua. Tulevaisuudessa, kun lippalakin hallussapito on laitonta, voidaan uusia rikosepäilyjä lisätä listalle lakia muuttamalla. Voisin kuvitella, että vaikkapa TTVK olisi kiinnostunut haittaohjelman käytöstä jo nyt.

En halua kuitenkaan täysin tyrmätä käytönseurantaohjelmien käyttöä poliisin apuna. Tällaista ohjelmaa voitaisiin käyttää samaan tapaan kuin seurantapantaa, eli tuomitun rikollisen suostumuksella ja tämän tietäen. Toki tällöin haittaohjelman käyttötarkoitus pitäisi miettiä uudelleen, mutta näin olisi mielestäni hyvä tehdä joka tapauksessa.

Kotimaisen valtiontroijalaisen torjumiseen ei ole oikeastaan mitään uusia keinoja. Pitämällä käyttöjärjestelmän ja sen ohjelmistot ajan tasalla pääsee jo pitkälle, ja tietoturvaohjelmistokin auttaa. Hesarin uutisessa F-Securen tutkimusjohtaja Mikko Hyppönen kertoo:

Tarkoituksenamme ei ole auttaa levittämään haittaohjelmia. Sillä ei ole
merkitystä, minkä maan viranomainen niitä käyttää. Jos tekisimme Suomen
viranomaisten kanssa yhteistyötä, niin sitten varmasti Ruotsikin
haluaisi samaa. Ja Viro. Ja Saksa. Ja Italia. Ja Israel. Ja Syyria.

Silti siihen kannattaa totutella, että tietokoneellasi ja Internetissä tekemistäsi kyttäävät lähitulevaisuudessa − tai jo nyt − niin rikolliset, poliisi, mainostajat kuin palveluntarjoaja. Kuka liittyy listaan seuraavaksi?