Networksecurity.fi Weblog - Juha-Matti Laurio

Tivi 28/08: Pankkialan sivusto levitti haittaohjelmia

Uusimmassa, perjantain Tietoviikossa uutisoin tapauksesta, jossa pankkeja, rahoitusyhtiöitä ja vakuutusyhtiöitä edustavan Finanssialan Keskusliiton sivusto levitti SQL-injektiolla saastutetuilla linkeillä  haittaohjelmia. Laajempi versio jutusta on julkaistu verkossa.

Finanssialan Keskusliitto eli FK on n. 450 jäsenyhteisön toimialajärjestö, joka edustaa Suomessa toimivia pankkeja, rahoitusyhtiöitä, vakuutusyhtiöitä ja finanssialan työnantajia. Järjestö syntyi viime vuoden alussa Suomen Pankkiyhdistyksen, Vakuutusyhtiöiden Keskusliiton, Rahoitusyhtiöiden Yhdistyksen ja Finanssityönantajien yhdistyttyä. Yhdistys on myös vuosittaisen Tietoturvapäivän virallisia yhteistyöorganisaatioita. Sivustolla ylläpidetään esim. korttimaksamisen ja pankkien tietoturvaratkaisujen järjestelmäkuvauksia.

Suomalaisorganisaatioita on olut kohteena myös mm. huhtikuun lopulla massiivisessa Nihaorr1-epidemiassa.

FK-tapauksen laaja työmärä selittää myös hiljaiselon blogissa.

Tivi 35/07: Verkkoväen laiskuus on rosvon onni

Sovelluksien vanhat, tietoturvattomat versiot edesauttoivat tietojen hankkimista ns. 79 000 salasanan paljastustapauksessa aikaisemmin tässä kuussa. Käsittelen ongelmaa Juho Pentikäisen kanssa kirjoittamassani uutisartikkelissa toiseksi viimeisen Tietoviikon sivulla 7.

Esimerkkinä on mm. Päihdelinkin wanha UBB.classic-ohjelmisto viiden vuoden takaa ja Naimisiin.infon paikkaamaton YaBB-sovellus. Myös sivuston blogiosioon on nimittäin yhtä lailla murtauduttu.

Tivi 34/07: Operaattorien teknologiausko ei taltu

Kirjoitin Tietoviikon numerossa 34 teleoperaattoreiden linjasta panostaa edelleen verkon palveluiden sijasta tekniikkaan. Juttu pohjautuu Telesten hallituksen puheenjohtajan, tekstissä telekonkariksi nimeämäni Tapio Hintikan luentoon tietoliikenneseminaarissa Telewarella. Esimerkki erilaisesta ajattelutavasta on jutussa käsitelty Suupohjan Seutuverkko.
29.10.: Korjattu otsikkoon oikea lehden numero 32->34.

Tivi 32/07: Tanskan teletallennuslaki vaikuttaa suomalaisiinkin

Uutisoin eilisessä Tietoviikossa Tanskan uuden teletietojen tallennukseen velvoittavan lain vaikutuksia suomalaisiin. Laki ei vaikuta pelkästään suomalaisiin netinkäyttäjiin. Uutinen on lehden sivulla 3.

Kävijämittauksissa TNS Gallupin palveluita käyttävät sivustot luovat yhteyden tanskalaiseen statistik-gallup.net-palvelimeen. Homma menee näin:

Käyttäjän vieraillessa esimerkiksi mukana olevan Kansaneläkelaitoksen sivuilla selaimeen ladataan 1x1 pikselin kokoinen GIF-kuva tanskalaispalvelimen Kela_fi-alihakemistosta. Tanskan MSN:ää varten on vastaavasti käytössä msn_dk-alihakemisto jne. Tuoreimpia kärkisijoja mittauksen tuottamissa tilastoissa pitävät Mtv3, Msn, Ilta-Sanomat, Iltalehti ja Suomi24. Mukana on myös kymmeniä lehtiä, YLE, IRC-Galleria, Habbo, Huuto.net jne.

Käytännössä kaikki Suomen suosituimmat verkkosivustot. Koko listaan voi tutustua täällä: www.gallupweb.com/tnsmetrix/. Kaikkiaan TNS Metrix mittaa yli 50 eri ominaisuutta sivustojen käytöstä.

Yhteydenottajan IP-osoite jää siten tanskalaisoperaattorin haltuun ja on vuoden ajan tanskalaisviranomaisten käytettävissä. Toimintaa ohjaa Tanskan turvallisuuspoliisi PET eli Politiets Efterretningstjeneste. Sekä direktiiviä että lakia on selitetty tällä tanskankielisellä Logningsdirektivet.dk-sivustolla.

Tanskalaiseen lanka- tai matkapuhelimeen soitettaessa tilanne on tietenkin sama.

Kerroin asiasta verkossa jo keskiviikkona.

Tivi 26/07: Yritykset sormeilevat tietojaan Wikipediassa

Kirjoitan uusimmassa, perjantain Tietoviikossa WikiScannerista monine esimerkkeineen suomalaisyrityksien kaunistelujen ja muokkausten kannalta. Artikkeli on uutisosiossa, lehden sivulla 3.

Tivi 23/07: Web 2.0 haastaa tietoturvan

Uusimmassa Tietoviikossa käsittelen viime viikon Tietoturvaterassin luento- ja keskusteluaihetta - onko työasemakulttuuria löysennettävä Web 2.0:n nimissä, jos yritys tällaisiä "kilkkeitä ja vimpaimia" kehittää?

Onhan työntekijöiden tiedettävä mitä firma kehittää ja ylipäätään myy. Artikkelin esimerkkeinä ovat Nokia ja Poliisin tietohallintokeskus. Lisää voit lukea lehden uutisosiosta sivulta 6. Mikäli et ole Tietoviikon tilaaja tai lukija teksti on myös verkossa lehden sivuilla.

Tivi 22/07: Lomaviesti paljastaa yrityssalaisuudet

Sivulta 13 voit puolestaan lukea toimintaohjeiden kera poissaolovastaukseen (Out Of Office) sisällytettyjen liian tarkkojen tietojen vaaroista.

Nuo ns. lomaviestit ovat potentiaalinen keino yrityssalaisuuksien metsästäjille - esimerkiksi hyökkäystä valmisteltaessa. Viestit paljastavat henkilökohtaisia kännykkänumeroita, sijaisuusjärjestelyjä ja organisaation rakennetta.

Juttu on siis 8.6. Tietoviikossa (Tietoturvan teemanumero).

Lomaviesti ei muuten ole ainoa murtomiehelle tietoja antava väline. Ennen kesälomasta varoitettiin kertomasta lankapuhelimen vastaajassa. Nyt murtovarkaat hakevat tietoa blogeista. Murtovaras voi ajoittaa murtokeikkansa saatuaan tiedon asukkaiden poissaolosta verkkopäiväkirjasta - tai perheen teinin MySpace-profiilista. Uutisoin asiasta verkossa reilu vuosi sitten.

Sivulla 9 Uutiset-osiossa kirjoitan lisäksi Kuluttajaliiton havainnoista, joiden mukaan PC-kaupassa on alettu käyttää asiakkaiden tietämättömyyttä hyväksi. Tietokoneiden mukana kaupitellut ohjelmat eivät toimi siedettävällä nopeudella aina edes optiona saatavan lisämuistin kanssa, kertoo Suomen Kuluttajaliitto.

Tivi 22/07: Oma varmuuskopio webistä

Tietoviikon tänään ilmestyneessä Tietoturva-teemanumerossa on lukuisia artikkeleitani. Laajin on matkaraportti IBM ISS:n Saksassa sijaitsevasta Datacentre-keskuksesta. Artikkeli on lehden sivulla 15.

Jutun linkkivinkit myös tässä klikattavina linkkeinä:

X-Forcen AlertCon-uhkatasomittari

sekä

X-Force-yksikön Frequency X-blogi

Tivi 20/07: Kunnat eivät hallitse tietoriskejä

Perjantainen Tietoviikon uutisartikkelini (s. 3) käsittelee Tampereen teknillinen yliopiston toteuttamaa ja niinikään tamperelaisen Granite Partners Oy:n tilaamaa tutkimusta tietoriskien hallinnasta Suomen kunnissa.

Parannettavaa kuntasektorilla on todella paljon. Yli puolet 111 vastanneista kunnista antoi tietoturvakoulutusta harvemmin kuin kerrran vuodessa.

Esimerkkikysymys:
Kuinka hyvin mielestänne henkilöstöön liittyvät tietoturvariskit ovat hallinnassa kunnassanne?
tyydyttävästi: 51,4 %
melko hyvin: 38,7 %
melko huonosti: 9,9 %
erittäin hyvin: 0,0 %
erittäin huonosti: 0,0 %

Yli puolet kuntatyöntekijöistä näkee henkilöriskien hoidon vain tyydyttävänä.

Laajemmin tutkimusta on käsitelty artikkelin verkkoversiossa tässä osoitteessa.

Tivi 19/07: Viisujuhla vaihtui nettikriisiksi

Kirjoitin tänään ilmestyneeseen Tietoviikkoon Yleen kohdistuneen palvelunestohyökkäyksen tilanteesta. Helatorstain takia uutinen sivulla 3 perustuu keskiviikkoaamupäivän tietoihin.

Uutisen kainalo-osuus käsittelee puolestaan Ylelle tiistai-iltana sattunutta pahaa tietoturvamokaa. Yleisradion www-palvelimen käyttäjätunnushakemisto oli avoimesti kaiken kansan selattavissa!

YLE Uutiset -sivustolle ilmestyi illalla klo 23:00 tiedote, joka kertoi teknisestä huoltokatkosta. Tiedotteen mukaan uusia uutisia ei ajankohdan jälkeen myöskään sivustolla luvattu julkaistavan. Todellisuudessa Ylen IT-väki taisi olla korjaamassa ongelmaa, jossa /etc/passwd-hakemisto oli tavallisella selaimella kenen tahansa selattavissa. Ylelle sattui samanlainen moka itsenäisyyspäiväviikonloppuna vuonna 2003.

Ja mihin osoite http://www.yle.fi/etc/passwd muuten tiistain ja keskiviikon välisenä yönä johtikaan? Pikku Kakkosen Flash-hässäkkäsivuille!

Tivi 16/07: Haitakkeiden kimppuun

Matkaraportti-tyyppinen juttuni vierailusta IBM ISS:n lehdistöseminaarissa Kasselissa viime viikolla on uuden Tietoviikon sivulla 9. Juttu käsittelee firmojen yhdistymisen vaikutuksia IBM Internet Security Systemsin tuotteisiin sekä X-Force-tutkimusyksikön roolia naimakaupassa.

Tivi 14/07: Kuvaväärennökset kuriin

Ajattelin kertoa yhdestä Tietoviikkoon kirjoittamastani uutisartikkelista. Perjantain uudessa lehdessä sivulla 3 kerron Hany Faridin julkistamasta ohjelmistosta, joka tunnistaa manipuloidut valokuvat uusia menetelmiä käyttäen.

Dartmouthin yliopiston tietojenkäsittelytieteen professorin ohjelma analysoi muun muassa kuvan varjoja. Lisäksi se tutkii kuvissa olevien ihmisten pupilleja. Jos vierekkäisistä henkilöistä toisella näkyy yksi valonlähdettä kuvaava piste ja toisela kaksi, ovat kuvat eri lähteestä, kertoo Farid.

Kirjoitin myös uutisen sivulle 8 ja Afteriin sivulle 15.

Tivin artikkeliseuranta blogissa ei ole kattava

Uusille lukijoille tiedoksi, että tämän reilu vuosi sitten avatun kategorian ei ole tarkoituskaan olla täysin kattava. Esimerkiksi lyhyempien, Tietoviikko-lehdessä ilman kirjoittajan nimeä olevien uutisteni kirjaaminen blogiin ei ole mielekästä.

Tästä luokasta löydät laajemmat artikkelit maininnalla miltä lehden sivulta juttu löytyy. Lehden numero on mainittu jo otsikossa muodossa Tivi 7/07: Artikkelin nimi.

Tivi 7/07: Täsmähyökkäys iskee liitteestä

Kirjoitin eilen ilmestyneeseen Tietoviikkoon kohdistettujen hyökkäysten nykytilanteesta nimenomaan Office-liitteiden hyökkäysvektorin kannalta.

Lehden sivulla 9 oleva koko sivun artikkeli on luettavissa myös verkkoversiona osoitteessa www.tietoviikko.fi/doc.ot?f_id=1121720.

Tivi 3/07: Pankkitunnuksia myynnissä verkossa

Uutisoin perjantaisessa Tietoviikko-lehdessä havaintoa pohjoismaalaispankkien verkkopankkitunnusten myynnistä nettifoorumeilla. Muun muassa Nordean, Handelsbankenin ja Skandinaviska Enskilda Bankenin Haxdoor-vakoilijalla hankittuja tietoja on kaupiteltu marraskuussa. SEB-pankilla on myös C&I Online -niminen verkkopankki ja rahastosalkkujen seurantaan tarkoitettu verkkopalvelu Suomessa.

Sama foorumi myy myös passitietoja, henkilötunnuksia jne.

Uutinen on lehden sivulla 3.

Tivi 39/06: Seuranta vaatii suunnittelua

Tänään ilmestyneessä Tietoviikossa julkaistiin koko sivun artikkelini tietojärjestelmien käytön seurannasta. Artikkeli perustuu pääosin vierailuun Päijät-Hämeen keskussairaalassa Lahdessa viime kuun puolella. Toinen artikkelin esimerkkiorganisaatio on varainhoitoalalta - helsinkiläinen Danske Capital Finland. Artikkeli löytyy lehden sivulta 22.

Molemmissa organisaatioissa käytössä oleva järjestelmä on Lumigent Technologiesin Audit DB.

Päivitys: Artikkelin melkein täydellinen verkkoversio löytyy kuvituksineen tästä osoitteesta.

Tivi 36/06: Riskinhallinta pitää keskittää

Kirjoitin uutistyylisen artikkelin TeliaSoneran Chief Risk Manager Lassi Väisäsen keskiviikon luennosta Turvallisuusjohtaminen-seminaarissa. Artikkeli on luettavissa tänään ilmestyneen Tietoviikon sivulta 3.

Tivi 33/06: Turvamoduli TPM tulee nyt mobiililaitteisiin

TPM-moduulin (Trusted Platform Module) mobiiliversion esiinmarssia mobiililaitteisiin käsittelee tänään ilmestyneen Tietoviikon artikkelini.

Lauri Tarkkalan viime viikkoiseen T2 06:n luentoon perustuva juttu on lehden sivulla 9. Tarkkala on Trusted Computing Group TCG:n mobiilijaoston aktiivinen suomalaisjäsen.

Tietoviikko 32/06: Tietoturvaoppi ei ole rahasta kiinni

Kirjoitin Tietoviikon PK-teemanumeroon PK-yrittäjälle tarjolla olevasta tietoturvakoulutuksesta. Artikkeli löytyy tänään ilmestyneen Tivin sivulta 21.

Tietoviikko (Tivi) 28/06: Uusi passi on vain väliaikainen

Kirjoitin tänään ilmestyneeseen Tietoviikkoon tietoturvaorientoituneen uutisen uusista biopasseista.

Niin passin kopioiminen kuin 10 senttimetrin sijaan 20 metrin etäisyydeltä lukeminen on jo onnistunut. Pienoispommikin on biopassia ja lukijalaitetta käyttäen jo räjäytetty.

Sormenjälkitunnisteiden tallennuksen ollessa totta kolmen vuoden kuluttua on uudet biopassit uusittava, päivittäminen ei nimittäin ole mahdollista.

Uutisartikkeli on lehden n:o 28 sivulla 3.