Blogi - SecMeter

Go to content

Luottamusvaje

SecMeter
Published by SecMeter in Turvallisuusala · 23 January 2018
Tags: Turvallisuusala
Tietoturvatuotteiden kohdalla ei ole kysymys tavanomaisista kuluttajatuotteista. Tietoturvatuotteilla on suora vaikutus jokaisen kansalaisen perusoikeuksien toteutumiseen ja yksityisyyden suojaan. Ei ole yhdentekevää missä tuote on valmistettu.

Valtiollisten toimijoiden taholta kohdistuva painostus tietoturvatuotteiden kehittäjiä ja valmistajia kohtaan ovat lisänneet yleistä epäluuloa tietoturvatuotteiden käyttäjien keskuudessa. Tietoturvatuotteiden hankinta edellyttää tavanomaisuudesta poiketen kokonaisvaltaista harkintaa ja suurempaa tarkkuutta, kuin mihin on totuttu.

On täysin selvää, että yleisesti saatavilla olevat rauta- ja sovelluspohjaiset turvallisuusratkaisut luovat yrityksille ja kansalaisille perusteettoman turvallisuudentunteen. Sokea luottamus kaupallisiin turvallisuusratkaisuihin voi jopa pahentaa tietoturvaongelmaa. Tästä huolimatta kattavat turvallisuusratkaisut ovat aivan välttämättömiä.

Mainonnan avulla pyritään luomaan yhteisöille ja yksityishenkilöille mielikuvaa tehokkaista ja aukottomista ratkaisuista. Samaan aikaan rikollisorganisaatiot ja myös valtioiden turvallisuusorganisaatiot kehittävät julkisuudelta piilossa yhä tehokkaampia ratkaisuja mm. tietomurtoihin ja verkkosodankäyntiin.

Haittaohjelmien torjuntaan tarkoitetut ohjelmistoratkaisut ja ratkaisukokonaisuudet eivät pysty tarjoamaan aukotonta turvallisuutta. Ne eivät useinkaan tunnista esimerkiksi turvallisuusorganisaatioissa koodattuja verkkotutkintaan käytettäviä vakoiluohjelmia.

Salausohjelmistot
Vahvan salauksen murtaminen on erittäin kallista ja vie runsaasti aikaa. Tämä on ongelma turvallisuusviranomaisille sekä myös rikollisille. Tiedusteluorganisaatiot ovat havainneet, että merkittävien kansallisten turvallisuusintressien puolustaminen ei ole käytännössä mahdollista puhtaasti numeroita murskaamalla. Tarvitaan myös muita keinoja. Useissa valtioissa tehokkaiden salausmenetelmien käyttöä on rajoitettu lainsäädännöllä ja kansainvälisin sopimuksin. Kysymys kuuluu miksi?

Lainsäädäntöä ja kansainvälisiä sopimuksia on perusteltu paitsi kansallisen turvallisuuden näkökulmasta myös kansainvälisen talousrikollisuuden ja terrorismin torjunnalla. Salausohjelmistojen valmistajien on ollut pakko toteuttaa salausohjelmistot niin, että viranomaisilla on mahdollisuus purkaa salaus. Kaupallisiin palomuuriratkaisuihin on rakennettu tietoisesti takaportteja, jotka mahdollistavat tarvittaessa hyökkäykset tietojärjestelmiä kohtaan.

Salauksen purkamisesta voidaan tehdä vaivatonta monin keinoin. Salausalgoritmit käyttävät salausavainten generoinnissa (pseudoalkulukugeneraattorit) satunnaislukuja. Salausavaimen turvallisuuteen vaikuttaa olennaisesti satunnaisluvun satunnaisuus. On mahdollista, että esimerkiksi kaupallisessa salausohjelmistossa avaimien luonti ei tapahdu aivan odotusten mukaisesti satunnaisesti, vaan salausavaimien generoinnissa käytetään hyökkääjän tuntemaa rajattua satunnaislukuavaruutta.

Yrityksillä ei ole kyvykkyyttä, eikä erityisiä halujakaan ryhtyä todentamaan tietojärjestelmiensä eheyttä ja luottamuksellisuutta, puhumattakaan salausavainten turvallisuudesta. Esimerkiksi RSA:n salausjärjestelmä sisältää NSA:n takaportin tietoihin.  Edward Snowdenin paljastusasiakirjojen mukaan NSA maksoi EMC-konserniin kuuluvalle RSA:lle 10 miljoonaa dollaria tietoisesti heikon Dual Elliptic Curve Deterministic Random Bit Generator (Dual EC DRBG) salausmenetelmän valitsemisesta. NSA:n toivomuksesta salausjärjestelmän satunnaislukuavaruutta heikennettiin. Lähde: (theregister.co.uk 21.12.2013)

Vuonna 2004 RSA päätti käyttää Dual EY DRBG satunnaislukugeneraattoria. Vuonna 2007 kaksi Microsoftin tutkijaa havaitsi, että koodin sisältämät puutteet mahdollistivat täydellisen takaoven tietoihin, jotka Snowdenin paljastusasiakirjat vahvistivat NSA:n maksamiksi. Samasta asiasta varoitti vuonna 2007 tietoturva-asiantuntija Bruce Schneier. Hän ihmetteli jo tuolloin miksi NSA suosii tätä satunnaislukugeneraattoria ja epäili siihen sisältyvän takaoven. RSA oli sisällyttänyt kaksi NSA:n kehittämää salaustulosta heikentävää työkalua BSAFE-tuotteeseen, jotka olivat:

        • Dual Elliptic Curve Deterministic satunnaislukugeneraattori
        • Extended Random salauksen vahvennustyökalu.

Ryhmä eri yliopistojen professoreita havaitsi myös, että asiakkaille tarjottu Extended Random -salauksen vahvennustyökalu vastoin asiakkaiden odotuksia, nopeutti salauksen purkamista. NSA:n Extended Random-laajennus teki Dual Elliptic Curve Deterministic satunnaislukugeneraattorilla salatun tiedon purkamisesta jopa 65 000 kertaa nopeampaa.

Sittemmin RSA ilmoitti, että Extended Random-laajennus oli poistettu salausohjelmistosta. Johns Hopkinsin yliopiston professori Matthew Green totesi, että Dual Elliptic Curve Deterministic satunnaislukugeneraattorin käyttö vastaa tulitikkuleikkiä ja Extended Random-salauksen vahvennustyökalun samanaikainen käyttö tarkoittaa itsensä valelua bensiinillä. Lähde: (reuters.com 31.3.2014)

Palomuurit
NSA:lla oli Juniperin palomuurin ohittamiseen käytössä kaksi takaporttia. Asiasta kertoi Juniper Networks itse. NSA teki takaportit käyttämällä hyväksi Dual_EC-salauksen maksettuja heikkouksia ja Juniperin NetScreen-palomuurin virhettä vpn-salauksen konfiguroinnissa.

Tuoteväärennökset
Tuoteväärennöksissä ja halvoissa laitetarjouksissa piilee myös omat riskinsä. Maailmalla liikkuviin tuoteväärennöksiin ja edullisiin laite-eriin voi olla asennettuina esimerkiksi takaportteja ja haittaohjelmia. Tosin tästä ei voi olla varma myöskään laillisten merkkituotteiden kohdalla. FBI on varoittanut mm. Ciscon reitittimiä koskevista tuoteväärennöksistä, joista on löydetty takaportteja. Tuote-eriä on tullut markkinoille erityisesti Kiinasta.

Troijalaiset piilotetaan syvälle elektronisten laitteiden komponentteihin, jolloin ulkopuolisen on mahdollista vaikuttaa niiden toimintaan. Tilanne on luonnollisesti ongelmallinen niiden siviilikäytössä olevien järjestelmien kohdalla, joiden vakavilla käyttöhäiriöillä voidaan sekoittaa koko yhteiskunnan toiminta.

Kulutustavarat
Kiinalaiset vakoilevat myös vedenkeittimiin ja silitysrautoihin asennettujen mikrosirujen avulla. Venäjän valtiollinen Rossiya 24 -tv-kanava esitti raportin, jossa teknikko avasi kiinalaisen silitysraudan, jonka sisältä löytyi mikrofonin sisältävä mikrosiru. Kiinalaisten uskottiin käyttävän kodinkoneeseen piilotettua mikrosirua vakoilutarkoituksiin.

Vedenkeittimiin ja silitysrautoihin asennetut mikrosirut löytyivät tullin maahantuontitarkastuksen yhteydessä Pietarin alueelta. Näitä Kiinassa valmistettuja laitteita ehdittiin myydä noin 20-30 kappaletta.

Kyseisten laitteiden maahantuojan mukaan siru etsii salasanalla suojaamattoman wlan-verkon (Wi-Fi) jopa 200 metrin etäisyydeltä ja lähettää sen kautta salakuuntelutietoja ulkomaiselle palvelimelle. Piilotetut mikrosirut levittivät myös vakoojaviruksia muihin tietokoneisiin, jotka käyttävät suojaamattomia wlan-verkkoja. Matkapuhelimista ja autojen ajokameroista on löytynyt vastaavia ylimääräisiä komponentteja. Lähde: (bbc. co.uk 28.10.2013, rosbalt.ru/piter 22.10.2013)

Kiinassa valmistetaan lukuisten eri alihankkijoiden toimesta valtaosa maailmalla käytettävien tietokoneiden komponenteista. Tilaajilla ei ole käytännön mahdollisuuksia valvoa alihankintayhtiöiden tuotantoa.

Lenovon tuotteet epäluulojen kohteena
Kiinalainen Lenovo on maailman suurin henkilökohtaisten tietokoneiden (PC) valmistaja. Lenovo osti IBM:n PC-liiketoiminnan vuonna 2005. Sen pääkonttori on Pekingissä. Kiinan tiedeakatemia on osa Kiinan julkista hallintoa. Se omistaa 38 prosenttia Legend Holdingista, joka omistaa 34 prosenttia Lenovosta ja on osuudellaan Lenovon suurin omistaja.

Lenovo ei ole koskaan akkreditoinut tietokoneitaan käytettäväksi salaisissa tai erittäin salaisissa tietoliikenneverkoissa toisin kuin IBM, joka myy edelleen akkreditoituja palvelimia ja keskusyksiköitä salaisiin ja erittäin salaisiin tietoliikenneverkkoihin.

Britannian ja Australian puolustus- ja tiedusteluviranomaiset vahvistivat Lenovon valmistamien tietokoneiden käyttökiellon turvallisuusluokitelluissa tietoverkoissa. Kielto otettiin käyttöön 2000-luvun puolivälissä pääasiassa Ison-Britannian tiedustelupalvelun suorittamien intensiivisten laboratoriokokeiden jälkeen.

Laboratoriokokeissa todettiin mm. takaportin mahdollisuus "ilkeiden piirien" ja turvattoman firmwaren johdosta. Haavoittuvuudet mahdollistivat mm. tietokoneiden luvattoman etäkäytön. Omassa lausunnossaan Lenovo totesi olevansa tietoinen käyttökiellosta. Lenovon mukaan sen tuotteet oli todettu kerta toisensa jälkeen luotettaviksi ja turvallisiksi yritys-ja julkisen sektorin asiakkaille.

Käyttäjät löysivät kesäkuussa 2014 Lenovon Windows-käyttöjärjestelmällä varustetuista kannettavista Superfish-mainosohjelman, joka pahimmillaan avasi salattuja yhteyksiä ja mahdollisti tietoliikenteen vakoilemisen käyttäjän ja internetin välissä (man-in-the-middle-hyökkäys).

Kovan paineen alla Lenovo lopulta myönsi kiistellyn Superfish-mainosohjelman asennukset kuluttajakannettaviinsa. Lähteet: (forbes.com 19.2.2015, cnet.com 20.2.2015, theverge.com 20.2.2015)

Mikrosiruissa takaportteja
Teknologia-asiantuntija professori John Villasenor totesi, että toimitusketjujen globalisoituminen puolijohdemarkkinoilla on johtanut tilanteeseen, jossa markkinoilla liikkuu mikrosiruja, joihin on tahallisesti piilotettu takaporttiohjelmia (kill-kytkimiä). Näiden takaporttien kautta voidaan laukaista kuukausia tai vuosia myöhemmin kyberhyökkäyksiä.

Turvallisuusanalyytikko James Turner totesi, että laitteiston takaportteja on erittäin vaikea havaita. Ne voivat näyttäytyä tahattomina suunnittelu- tai ohjelmistovirheinä. Niiden havaitseminen edellyttää pitkälle erikoistuneen laboratorion suorittamia koesarjoja. Lähde: (afr.com 26.7.2013)

Microsoftin tutkijat halusivat todentaa tilanteen hankkimalla kaksikymmentä uutta tietokonetta eri puolilta Kiinaa. Puolet oli pöytäkoneita ja puolet kannettavia. Neljästä uudesta tietokoneesta löytyi haittaohjelmia. Britannian yleisradioyhtiön BBC totesi, että vaarallisin löydetyistä haittaohjelmista oli pankkitietoja urkkiva Nitol (Backdoor.Nitol). Kyseessä on Troijan hevonen, joka avaa tietokoneeseen takaportin ja sitä voidaan hallita komentopalvelimelta.

Vuonna 2012 Microsoft onnistui myös estämään haitallisen liikenteen 3322.org-domainista, jonka kautta mm. Nitol botnet -verkkoa aiottiin rakentaa. Verkkotunnuksen omisti kiinalainen Peng Yong. Peng totesi, että he omistavat 2 850 000 verkkotunnusta, eikä voi sulkea pois mahdollisuutta, että joku käyttää verkkotunnuksia haitallisiin tarkoituksiin.

”Nitol botnet army”olisi voinut laajentua nopeasti miljooniin koneisiin, jos Microsoft ei olisi puuttunut asiaan. Operaatio oli osa meneillään ollutta MARS-hanketta (Microsoft Active Response Security). Lähteet: (bbc.com 13.9.2012, theregister.co.uk 13.9.2012)

Microsoft ilmoittaa havaitsemansa ohjelmistovirheet (nollapäivähaavoittuvuudet) ennen niiden korjaamista Yhdysvaltojen tiedusteluviranomaisille. Ajatuksena on, että tiedusteluviranomaisille jää aikaa suojata omat tietojärjestelmät ia käyttää ohjelmistovirheitä hyväksi tietomurroissa. Microsoftia ei kiinnostanut miten Yhdysvaltojen tiedusteluviranomaiset hyödynsivät saamiaan tietoja tietoturva-aukoista. Lähteet: (bloomberg.com 15.6.2013, yle.fi 15.6.2013)

Elektronisiin komponentteihin (mikropiireihin) sijoitettujen troijalaisten avulla on mahdollista kytkeä esimerkiksi tutkajärjestelmät pois päältä. Israelin on epäilty vuonna 2007 käyttäneen kyseistä menettelyä ilmaiskussa Syyrian ydinreaktoreita vastaan.

Pienelle valtiolle strategisten järjestelmien hankinta on poliittinen valintatilanne. Ulkomailta hankittu järjestelmä on toimintakykyinen niin kauan kuin ostajalla ja myyjällä on yhteinen intressi (taloudellinen etu tai vihollinen). Järjestelmän myyjä varmistaa aina sen, että omaa järjestelmää ei voida käyttää sen intressien vastaisesti.

Case ”Älypuhelin sisältää salaisen seurantaohjelman”
Yhdysvaltalainen asiantuntija Trevor Eckhart havaitsi, että älypuhelimiin on asennettu laitteen käyttöä seuraava Carrier IQ (CIQ) rootkit-sovellus. Sovellus on asennettu yli 140 miljoonaan älypuhelimeen. Sovelluksen valmistaja Carrier IQ -yhtiö yritti estää asiasta kertomisen uhkaamalla Trevor Eckhartia oikeustoimilla. Yhtiön mukaan sovellus on tarkoitettu palveluongelmien kartoittamiseen ja ratkaisuun. Yhtiö kiisti väitteet, joiden mukaan sovellus seuraisi viestien sisältöä ja käyttäjän sijaintitietoja.

Yhtiön 16.11.2011 päivätyssä tiedotteessaan Carrier IQ -yhtiö kertoi, että sovellus mittaa älypuhelimien suorituskykyä laitevalmistajille ja operaattoreille laadukkaiden tuotteiden ja palveluiden tarjoamiseksi asiakkailleen. Carrier IQ -yhtiön mukaan sovellus ei tallenna näppäinten painalluksia eikä tarjoa seurantatyökaluja.

Carrier IQ -yhtiön tiedotteen julkaisemisen jälkeen Trevor Eckhart esitteli sovelluksen toimintaa YouTubessa julkaistussa videossa. Videossa sovellus välitti hänen kirjoittamansa viestin sanasta sanaan Carrier IQ -yhtiölle. sovellus tallensi myös Google-hakujen tiedot.

Trevor Eckhart väitti, että sovellusta käytetään Android-puhelinten lisäksi Blackberryissä ja Nokian älypuhelimissa. Nokia ilmoitti pian kohun jälkeen, ettei sen puhelinmalleihin ole asennettu kyseistä ohjelmaa. Tunnettu iPhone hakkeri Chpwn kertoi twitterissä, että ainakin iPhone OS 3.1.3 versio sisälsi viittauksia CIQ -sovelluksesta ja vahvisti myöhemmin sovelluksen löytyvän kaikista iOS-versioista. sovellus oli asennettu myös Tablet-laitteisiin.

Hakkerin mukaan hyvä uutinen on se, että iPhone -puhelimissa sovellus lähettää tietoja eteenpäin vain, jos se on diagnostiikkatilassa. Asetus DiagnosticsAllowed on iPhone -puhelimissa oletusarvoisesti pois päältä. Esimerkiksi HTC:n laitteissa tätä mahdollisuutta ei ollut. Asian nostattaman kohun johdosta Apple lupasi, että se poistaa CIQ -sovelluksen iOS-käyttöjärjestelmän laitteistaan, joita ovat iPhone ja iPad-tablet.

CIQ -sovellus pystyy välittämään puhelimeen liittyvää tietoa, kuten laitetyypin, mallin ja valmistajan sekä muistin käytön, akun ja laitteeseen asennetut sovellukset. sovellus voi välittää myös puhelinpäätteen maantieteellisen sijainnin ja käyttäjän näppäimistöpainallukset. sovellus osaa tallentaa fyysisten ja virtuaalisten näppäinten painallukset.

Coloradon yliopiston oikeustieteellisen tiedekunnan professori Paul Ohm on entinen oikeusministeriön syyttäjä. Hän arveli, että tapaus rikkoo liittovaltion salakuuntelulakia ja johtaa todennäköisesti ryhmäkanteeseen sekä merkittäviin vahingonkorvausvaateisiin. Lähteet: (carrieriq.com 6.11.2011, theverge.com 30.11.2011, forbes.com 30.11.2011, yle.fi 1.12.2011)

Yhdysvaltain kolmanneksi suurin matkapuhelinoperaattori kertoi, ettei se enää käytä CIQ -sovellusta älypuhelinten toiminnan seuraamiseen. Sprint määräsi kaikkien puhelintoimittajiensa poistamaan kyseinen sovellus puhelinlaitteista mahdollisimman pian.

Operaattori ilmoitti, että se pohtii vaihtoehtoisia tapoja älypuhelinten aiheuttamien häiriötilanteiden analysointitarpeisiin. Operaattori kertoi myös, että CIQ -sovellus oli asennettu sen 26 miljoonan asiakkaan älypuhelimeen. Näistä 1,3 miljoonaa puhelinta oli aktiivisesti raportoinut tietoja operaattorille.

Operaattori huolestui asiakkaiden palautteesta ja päätti lopettaa sovelluksen käytön ja datan keräämisen, Toinen suuri teleoperaattori AT & T vahvisti samaan aikaan, että sen älypuhelimiin oli asennettu CIQ -sovellus. Lähde: (mobileburn.com 16.12.2011)

Case ”Tietojärjestelmäkauppa Neuvostoliittoon”
Vuonna 2004 Thomas C. Reed (Secretary of Air Force 2.1.1976-6.4.1977, presidentti Ronald Raganin neuvonantaja) kirjoitti (An Insider's History of the Cold War), että Yhdysvallat oli presidentti Ronald Reaganin aikana lisännyt onnistuneesti Troijan hevosen kanadalaisen tietokonetoimittajan Neuvostoliittoon myymään tietojärjestelmään, jota käytettiin Siperian kaasuputkijärjestelmän ohjaukseen. Lähde: (nytimes.com 26.10.2009).

Case ”NSA ja Crypto AG”
Kansallisen lainsäädännön ulottumattomissa olevia ohjelmistojen valmistajia on painostettu lahjuksin ja uhkauksin. Esimerkiksi Yhdysvaltojen kansallinen turvallisuusvirasto NSA painosti sveitsiläisen Crypto AG:n asentamaan salaustuotteisiinsa takaportteja.

NSA:n ja Crypto AG:n yhteistyö päättyi onnettomasti maaliskuussa 1992, kun Iranin vastavakoilu pidätti 13 vuotta Crypto AG:n palveluksessa toimineen henkilön. Tuolloin paljastui, että Crypto AG:n tuotteissa oli takaportti, jonka seurauksena NSA pystyi purkamaan 120 valtion diplomaattiviestejä. NSA:n analyytikot pystyivät lukemaan salakirjoitettuja viestejä yhtä helposti kuin sanomalehtiä.




There are no reviews yet.
0
0
0
0
0
Sääntö nro 2
Valvontaa ei voi korvata luottamuksella.

Sääntö nro 3
Asiakkaiden luottamus on voitettava joka päivä uudelleen.
Sääntö nro 2
Riittävän isolla vasaralla voi rikkoa mitä tahansa.
Sääntö nro 3
Riittävän isolla vasaralla voi rikkoa mitä tahansa.

Sääntö nro 4
Jonkun pitää aina johtaa.

Sääntö nro 5
Delegoimalla ei voi välttää vastuuta.

Sääntö nro 1
Yritysturvallisuuden on palveltava toimintojen tavoitteita.

Back to content