Networksecurity.fi Weblog - Juha-Matti Laurio

Ahvenanmaalla on sitten oma tietosuojaviranomainen

Työpaikanvaihto- ja vuodenvaihdekiireissä (käytännössä jo lokakuun lopulta lähtien) on jäänyt huomioimatta, että Ahvenanmaan maakunta on saanut oman tietosuojaviranomaisensa. Datainspektionen-verkkosivut sijaitsevat osoitteessa www.di.ax.

Puolan tiedustelupalvelu skannannut postilähetysten tietoja vuosia

Kirjekuoren vastaanottaja- ja lähettäjätiedot lukeva skannauslaitteisto käyttää myös käsialatunnistuksen tekniikkaa.

Sisäisen turvallisuuden virasto on taltioinut Puolan postin lajittelukeskuksissa vastaanottajatietoja kirjekuorista useiden vuosien ajan.

Asiasta kertoo Puolassa ilmestyvä Dziennik-sanomalehti. Lehti viittaa postin työntekijän antamiin tietoihin marraskuussa 2003 solmitusta postin ja sisäisen turvallisuuden viraston välisestä sopimuksesta. Skannatut tiedot päätyvät Agencja Bezpieczeństwa Wewnętrznego –nimiselle (ABW) virastolle. Sen toimialaan kuuluvat terrorismin vastainen toiminta sekä järjestäytyneen rikollisuuden ja korruption torjunta. Virasto hoitaa myös turvallisuuspoliisin tehtävät ja on maan toinen NSA-turvaviranomainen (National Security Authority).

Myös käsiala tulkitaan

Kirjeistä luetaan vastaanottajan ja lähettäjän nimi ja käsin kirjoitetuissa osoitteissa hyödynnetään myös skannauslaitteiston grafologisia ominaisuuksia. Tällä hetkellä ei ole tietoa luetaanko tiedot myös postipaketeista.

Tarjouskilpailussa olivat mukana saksalainen Siemens ja italialainen Finmeccanica-konserniin kuuluva Elsag Datamat. Postilaitoksen lähteen mukaan myös japanilaisen Mitsuin 30 prosenttia edullisemmat laitteet pääsivät loppusuoralle, mutta niistä puuttui käsialaa tunnistava ominaisuus. Tarjouskilpailun voittaneen Siemensin laitteet ovat olleet sijoitettuina muun muassa Krakovassa, Lodzissa ja Katowicessa sijaitseviin lajittelukeskuksiin.

Puolassa on reilut 38 miljoonaa asukasta ja maan postilaitoksella työskentelee noin 10 000 henkilöä. Järjestelmä on tarkoitus laajentaa keväällä tehdyllä 65 miljoonan euron arvoisella jatkosopimuksella kattamaan koko Puolan.

Varsovalaisen ihmisoikeusjärjestö Helsinki Foundation for Human Rightsin sihteerin Adam Bondarin mukaan kirjekuoreen kirjoitettavia tietoja suojaa kirjesalaisuus. Paikallisten tiedotusvälineiden haastatteleman, hankinnan aikana viraston apulaisjohtajana toimineen Mieczyslaw Tarnowskin mukaan vastaanottajatietojen taltiointi voidaan kuitenkin rinnastaa puhelinlaskutukseen.

Maan oikeusasiamies ja tietosuojavaltuutettu ryhtyvät selvittämään toiminnan lainmukaisuutta ja sitä voidaanko kaikkien kansalaisten lähettäjätiedot tallentaa tietokantaan terrorismiepäilyjen perusteella.

Rekisterien väärinkäyttöä myös verohallinnossa

Verovirastossa Jyväskylässä on havaittu tapaus, jossa työntekijä oli tutkinut yksityishenkilöiden verotietoja omiin, kuolinpesään liittyviin tarkoituksiinsa. Nainen tuomittiin teoista 600 euron sakkoihin.

Jyväskylän käräjäoikeuden hiljattain antaman tuomion mukaan rikosnimikkeet olivat henkilörekisteririkos ja virkavelvollisuuden rikkominen.

Tapauksia tulee ilmi tasaisesti eri hallinnonaloilta. Olisikohan valtiovarainministeriön kaltaisten tahojen aika puuttua asiaan esimerkiksi ohjeistusta ja lokikäytäntöjä lisäämällä ja yhtenäistämällä?

Susan Ruususen nettiherjaustapauksista päiväsakkoja

Susan Ruususta koskevassa kunnianloukkausoikeudenkäynnissä on nyt tällä viikolla annettu tuomiot Espoon käräjäoikeudessa (Ruusunen asuu itse Espoossa). Tuomiot olivat kaikki päiväsakkoja:

Neljä tuomituista sai maksettavakseen 15 päiväsakkoa ja yksi 25 päiväsakkoa. Eniten sakkoja saanut oli kirjoittanut useita loukkaavia viestejä. Hänelle langetettiin myös suurin vahingonkorvaus.

Ja Hesari jatkaa:

Kaksi selvisi 100 euron ja kaksi 50 euron vahingonkorvauksilla.

Kyseessähän on tapaus, jossa Suomi24.fi-keskustelupalstalle kirjoitettiin kymmeniä tuhansia viestejä Ruususesta (ent. Susan Kuronen) Pääministerin morsian -kirjan julkaisun jälkeen.

Käräjäoikeus määräsi viime vuonna Eniron luovuttamaan tiedot 26 viestin kirjoittajan IP-osoitteesta. Kirjoittajan todentaminen oli huomattavan vaikeaa ja lopulta vain seitsemän viestin osalta päädyttiin syyteharkintaan.

Kirjoitin aiheesta ja sen taustoista kesäkuussa syytteiden noston jälkeen.

Voisi todeta, että Suomessa saa herjata toista henkilöä verkossa hyvin, hyvin halvalla. Ja kun ilman rekisteröitävää nimimerkkiä kirjoittaa kirjaston yleiseltä koneelta saa toimia vielä rauhemmassa.

Poliisirekisterin väärinkäyttörikoksesta tuomio nyt tulliin

Kuluvan viikon ikäviä uutisia on, että virkamiehet käyttävät käyttöoikeuksiaan poliisirekistereihin
myös suorasukaisesti omiin tarkoituksiinsa.

Nyt Helsingin hovin vahvistama tuomio on annettu tullilaitoksen ylietsivälle, joka haki tietoja luvatta naisystävättärensä ystävän miesystävästä(!).

Tuomio kuulostaa mitättömältä - 20 päiväsakkoa.

Kirjoitin blogissa ennen vuodenvaihdetta sisäasiainhallinnon antamasta uudesta määräyksestä, jolla väärinkäytöksiä pyritään saamaan mm. lokikäytäntöjä tehostamalla kuriin. Tullin tapauksen tekoajankohdasta ei ole tietoja saatavilla, mutta virkamiehen asenteesta se kertoo surullista kieltään.

TV-mainoksista tulee kohdennettuja

TV-mainos kohdistetaan jatkossa ensi sijassa vastaanottimen sijainnin perusteeella.

Mainostenjakeluhankkeen hiljattain käynnistänyt Motorola on pyytänyt yhteistyökumppanikseen yhdysvaltalaisen INVIDI Technologies Corp:n, joka on erikoistunut kaapeli- ja satelliitti-TV-lähetysten kohdennettuun mainontaan.

Mainosten valintaperusteena on ensi sijassa TV-vastaanottimen sijainti, mutta myös asiakkaan katselumieltymyksiä voidaan operaattorilta saatujen maksukanavatietojen avulla hyödyntää.

Niin ikään asiakkaan annettua luvan taustatietojen hyödyntämiseen voi valintaperusteena olla myös katsojan sukupuoli tai ikäryhmä. INVIDI on jättänyt Yhdysvaltain patenttivirastolle kaikkiaan seitsemän aihepiiriä koskevaa patenttihakemusta.

Motorolan mukaan järjestelmä toimii digi-TV-verkossa, joten todennäköisempi paikannettava laite on digiboksi eikä itse televisio.

Hakukonetulokas panostaa yksityisyyteen

Yhdysvaltalaisyliopiston käynnistämä hakukonehanke järjestää hakutulokset sivustojen yksityisyyden suoja -käytäntöjen mukaan.

Hakukoneen on kehittänyt Carnegie Mellon -yliopiston yksityisyyden ja tietoturvan käytettävyys -laboratorio (Usable Privacy and Security Laboratory eli CUPS). Teknisesti hakukone käyttää Googlen ja Yahoon hakurajapintoja. Hakukone suodattaa myös tekstimainokset pois hakutuloksista.

PrivacyFinder-nimen saanut hanke http://www.privacyfinder.org/ käyttää hauissaan myös käyttäjän valitsemaa yksityisyystasoa, jotka ovat matala, keskitaso, korkea ja räätälöity. Esimerkiksi tiukimmalla tasolla hakutuloksissa viimeisiksi järjestyvät tulokset sivustoilta, joiden tiedetään analysoivan käyttäjän yksilöivää hakutietoa tarkimmin. Keskitason Medium-valinta puolestaan suosii sivustoja, jotka mahdollistavat käyttäjät tutkia itsestään kerättyjä tietoja.

Suurista hakukonetoimijoistahan Google, Yahoo, Microsoft ja Ask ovat hiljattain lyhentäneet ajanjaksoa, jonka ajan hakuhistoria on yhdistettävissä tiettyyn IP-osoitteeseen. Viimeksi mainittu on laatinut myös AskEraser -työkalun, joka poistaa yksilöllisen hakuhistorian Askin palvelimilta.

Hakukone hyödyntää myös P3P-standardia (Platform for Privacy Preferences Project), jonka W3C-konsortio julkaisi kuutisen vuotta sitten. Menetelmässä www-sivuille ja evästeisiin lisätty tietokenttä antaa selaimelle ohjeita muun maussa sivun enimmäissäilytysajasta selaimen välimuistissa.

Yliopistotutkijoista koostuva ryhmä on jo kerännyt Yksityisyyden suoja -lausuntoja saataville hakutulosten yhteyteen tunnetuilta kuvanjako- ja verkkokauppasivustoilta.

Facebook-tilin poistaminen helpottuu vihdoinkin

Facebook-sivusto on luvannut muuttaa käytäntöjään poistaessaan käyttäjiensä tili- ja profiilitietoja. Aikaisemmin poistetut tilin tiedot jäiävät kuvineen päivineen edelleen yhteisösivuston palvelimille.

AIkaisempi käytäntö on suututtanut monia käyttäjiä ja erityinen FB-ryhmä How to permanently delete your facebook account [vaatii kirjautumisen] on kerännyt myös huomattavan määrän kannattajia.

MySpace tilkitsi hiljaisesti kuvia paljastaneen aukon

Yhdysvaltalaismies on onnistunut aikaisemmin tässä kuussa lataamaan kuvia yli 40 000 MySpace-profiilista parametriaukon avulla.

Automatisoituja skriptejä käyttänyt mies latasi yhteisösivusto MySpacesta valokuvia, jotka käyttäjät olivat määritelleet julkisiksi vain ystäväverkostoon kuuluville. MySpace-sivusto on nyt estänyt Friendid-parametriin liittyvän takaporttiyhteyden käytön kuvien hankkimiseksi.

Surullisinta tapauksessa on, että MySpace tilkitsi aukon välittömästi Wiredin uutisen julkaisun jälkeen. Mitä ilmeisimmin sivusto siis oli ollut tietoinen aukosta jo pitkään.

The Wired -julkaisun haastatteleman tietokonehuoltoyrityksessä työskentelevän miehen mukaan läpikäydyt 43 000 profiilia edustavat murto-osaa MySpacen 300 miljoonasta käyttäjäprofiilista. Latausoperaatio kesti miehen mukaan kaikkiaan 94 tuntia.

Skriptien avulla ladatut kaikkiaan 17 gigatavua valokuvia mies lähetti bittorrent-verkkoon. Lisäksi kuvia voi ID:n avulla hakea myös erityiseltä Myspace Private Profile Picture Viewer -sivustolta. Wiredin tekemän otoksen mukaan kuvat muodostuvat pääasiassa niin sanotuista kaverikuvista ja mm. loma- ja hääkuvista.

Motiivikseen mies kertoo keskustelun herättämisen vastaavien sivustojen tietoturvatasosta. Käyttäjien tulisi miehen mukaan suhtautua valokuvien lähettämiseen ymmärtäen niiden tulevan ennemmin tai myöhemmin julkisiksi.

Turvapostipalvelut kieltävät NSA-yhteistyöväitteet

Kolme suojattuja sähköpostipalveluja tarjoavaa yritystä kieltävät NSA:lla olevan pääsyn palvelimilleen. Cryptome-sivusto kertoi lähteeseensä vedoten joulunalusviikolla myös PGP- ja SSL-salattuja postipalveluja seurattavan reaaliaikaisesti.

Yhdysvaltalainen Guardster on kertonut, ettei yhteistyötä ole käynnissä NSA:n tai muiden viranomaisten kanssa. Israelilainen Safe-mail.net on lisäksi ilmoittanut, ettei se jaa teknologiaansa ulkopuolisten kanssa. Juuri ennen vuodenvaihdetta PGP-pohjainen Hushmail vastaavasti kertoi, ettei palvelu ole Yhdysvaltain hallituksen valvonnassa.

Postitukseni vastineiden julkaisusta Bugtraqille on synnyttänyt keskustelun, jonka mukaan lainsäädäntö eli National Security Letter (NSL) sekä CALEA-laki (Communications Assistance for Law Enforcement Act) kieltävät toimijoita paljastamasta viranomaisten suorittaman valvonnan olemassaoloa.

Aiheeseen liittyvä ennen joulua julkaistu SecuriTeam Blogs -kirjoitukseni sisältää päivitetyt tiedot tilanteesta.

Poliisin tekemät tietosuojarikkomukset halutaan kuriin

Poliisihallinnossa syksyllä tehty laaja kartoitus osoittaa, ettei kaikkia henkilöstön tietosuojarikkomuksia tilastoida kattavasti.

Kyselyssä selvitettiin Poliisi-lehden mukaan vuodesta 2000 lukien tapaukset, joissa poliisiin kuuluvaa on epäilty tietoturva- tai tietosuojarikkomuksesta. Tapauksia löytyi yhteensä 94 kappaletta, joista esitutkintaan johti 18 ja syyteharkintaan yhdeksän tapausta.

Poliisin valtakunnallisten rekisterien rekisterinpitäjä on omien tilastojensa mukaan avustanut vuosina 2003 - 2006 jo 116 vastaavan tapauksen selvittelyssä. Tulosten paikkansapitävyys onkin kyseenalainen, kertoo ylitarkastaja Kari Santalahti poliisin ylijohdosta. Santalahti vastaa tietoturvallisuuden ja tietosuojan valvonnasta poliisihallinnossa.

Poliisityössä voi olla joskus vaikea vetää selvää rajaa virkatehtäviin liittymättömän uteliaisuuden ja toimintaympäristön seurannan välille, toteaa poliisijohtaja Kimmo Hakonen. Poliisin mukaan kehitettävää on sekä ohjeistuksessa, tilastoinnissa että raportoinnissa. Sisäasiainministeriö on myös antanut määräyksen, jonka avulla tilannetta pyritään parantamaan erityisesti lokitietoja hyödyntämällä.

Laajimpia väärinkäyttötapauksia edustaa Ruotsin poliisissa vuonna 2004 tapahtunut tapaus, jolloin 230 poliisin entisen ulkoministerin Anna Lindhin murhasta epäillyistä salaiseksi luokiteltuja tietoja hakeneiden haut selvitettiin.

Esimerkkinä lehdistössä viime vuonna olleista tapauksista Helsingin poliisissa työskentelevä tutkintasihteeri tuomittiin oikeudessa 15 päiväsakkoon virkavelvollisuuden rikkomisesta. Tutkintasihteeri etsi poliisin tietojärjestelmästä salassapidettäviä tietoja työtehtäviin kuulumattomissa asioissa.

Toivottavasti asiassa tapahtuu myös jotain konkreettista, eikä ongelman poistaminen jää vain sanahelinäksi tai kansalaisille annetuksi signaaliksi siitä, että asia on tiedostettu.

Pelottavia tapauksia on sattunut syksyllä myös Suomen oikeuslaitoksessa:
Omien juttujen poistamisesta syyttäjälle sakkoja

Cryptome: NSA pääsee Hushmail-palvelimille reaaliaikaisesti

USA:n National Security Agency -virasto kykenee seuraamaan PGP-salattua SSL-pohjaisen Hushmail-sähköpostipalvelun viestintää täysin reaaliajassa, kertoo tietoturvasivusto Cryptome.

Tietoturva-aiheisista paljastuksistaan tunnetun sivuston eilen julkaisema raportti kertoo, että toiminta on muuttunut informatiivisesta täydelliseksi yhteistyöksi. Teknisesti kanadalaisyhtiön palvelimet ovat newyorkilaisen Peer 1 Network -yrityksen verkossa.

Kerroin aiheesta ja yhtiön oikeuden päätöksellä luovuttamista puretuista sähköposteista MikroPC:n verkkouutisessa tänään.

Myös yhdysvaltalainen yhdysvaltalainen Guardster.com ja israelilainen SAFe-mail.net ovat suorassa seurannassa, kertoo sivusto.

Viikonloppuna Cryptome.org kertoi samaan lähteeseen 'A' vedoten NSA:n seuraamiin verkkoihin kuuluvan nykyään myös kymmeniä yliopistoja ympäri maailman. Suomesta mukana on Tampereen yliopisto.

Kirjoittaja ei käytä Hushmail-sähköpostia.

Facebook antoi sovelluksiinsa pääsyn kaikille

Facebook on ryhtynyt näyttämään tietoja sovelluksistaan myös rekisteröitymättömille käyttäjille.

Toukokuussa avatun Facebook Platform -kehitysympäristön alla on valmistunut sovellushakemiston mukaan tähän mennessä noin 10 500 sovellusta ja satakunta uutta sovellusta ladataan palveluun päivittäin. Teknisesti pääsy apps.facebook.com/sovelluksennimi/-muotoisiin sovellushakemistoihin tuli samalla myös mahdolliseksi.

Yksi koko verkkoyhteisölle tarkoitetuista sovelluksista on beeta-vaiheessa oleva Lending Library, jonka avulla käyttäjät voivat lainata erilaisia tavaroita verkkoyhteisön jäsenille. Muita suosittuja sovelluksia ovat Photos, Causes, Super Wall ja Best Friends.

Sovelluksen asentaneesta käyttäjästä kerrotaan ainoastaan etunimi sekä profiilin oletuskuva. Mikäli kuvaa ei ole määritelty näytetään sen sijasta kysymysmerkkisymboli. Sovelluskehittäjät voivat myös PHP-kielen keinoin estää sovelluksensa näkymisen ulkomaailmaan $facebook->require_login()-komennolla.

Yhtiön tekemä päätös ei vaikuta Facebook-profiilien ja niiden tietojen näkymiseen kirjautumattomille käyttäjille tai hakukoneille.

Facebook: Beacon-mainostuksen voi kytkeä pois

Yhteisösivusto Facebook on mahdollistanut kohutun Beacon-mainosohjelmansa poiskytkemisen. Ohjelma ehti olla käytössä noin kuukauden ajan.

Teimme yksinkertaisesti huonoa työtä julkaisun yhteydessä ja olemme pahoillamme siitä, kertoo Facebookin perustaja Mark Zuckerberg avoimesti yhtiön blogissa.

Mainostushankkeessa ystävälistan käyttäjille ilmestyi tieto Facebook-käyttäjän vuokrattua esimerkiksi tietyn elokuvan verkosta. Jos olet kirjautunut BK:iin toiminnon voi estää palvelun Yksityisyys-valikosta suoraan tästä osoitteesta.

Tapaus sai lisäpotkua tietoturvayhtiö CA:n Stefan Berteaun havaittua muutama päivä sitten ulkopuolisten sivustojen kertovan myös niin sanotun viittausosoitteen ja erilaisia parametrejä Facebookille. Lisäksi kolmannen osapuolen sivustot näkivät Facebookin evästeen ja Muista minut -valinnan valinneilla käyttäjillä myös id-tunnuksen. Mies tarkkaili selaimen liikennettä Wireshark-pakettianalysaattorilla.

Center for Digital Democracy -keskuksen johtajan Jeff Chesterin viimekuisen lausunnon mukaan ominaisuus on tähän asti massiivisin Facebookin tiedonkeräykseen ja kohdistettuun mainontaan käytetty keino.

Yksityisyyden suoja -lausuntoa ei kuitenkaan sivuilla ole syyskuun jälkeen päivitetty, toteaa Berteau  kirjoituksessaan CA:n Security Advisor Research -blogissa. Berteaun testien mukaan ulkopuolisiin sivustoihin liittyvä Privacy Settings for External Websites -asetus korvaa yksittäisiä sivustoja varten tehdyt valinnat. Lisäksi Berteau kaipaa yhteistyökumppaneilta BlockBusterilta, Kongregatelta, Sonylta, Blueflylta, STA Travelilta, TripAdvisorilta ja Travel Tickeriltä ilmoitusta sivuilleen tietojen jakamisesta Facebookin kanssa.

Tärkeä viikko yksityisyysrintamalla

Kuluva viikko on tärkeä ja mielenkiintoinen yksityisyyden suojaa seuraavien kannalta.

Eilen tuli eduskunnan käsittelyyn teletietojen tallennukseen velvoittava laki (isovelilaiksikin kutsuttu) ja sisäasiainministeriö niin ikään esitti jokaisen passinhakijan sormenjälkien tallentamista poliisin omaan tietokantaan.

EU-direktiivin mukaan uusien biopassien RFID-siruun tulee tällä tietoa vuoden 2009 alusta lukien sisältymään myös sormenjäljet. Vanhat passit ovat kuitenkin voimassaoloaikansa loppuun saakka voimassa, joten reilun vuoden kuluttua ei biopassin omistajan tarvitse sormiaan jälkien ottamiseksi poliisin uusille skannauslaitteille käydä esittämässä.

iPhonen IMEI-vakoilu oli väärinkäsitys

Verkossa levinnyt tieto iPhonen lähettämästä IMEI-koodista sovelluksia käytettäessä ei pidä paikkaansa.

Havainto julkistettiin alun perin Apple-käyttäjien Hackint0sh-keskustelufoorumilla.
Foorumin käyttäjä oli yrittänyt muuttaa puhelimen Stocks-pörssikurssisovellusta noutamaan tietoja myös Yhdysvaltain ulkopuolisilta pörssimarkkinoilta, jolloin hän löysi kyseisen sovelluksen lähdekoodista parametrin 'imei=merkkijono' sisältävän komennon. Safarin lähettämä komento on tällainen:

iphone-wu.apple.com/dgw?imei=%@&apptype=finance

Palvelin jolle merkkijono lähetetään toimii Applen päämajaan rekisteröidyssä IP-osoitteessa ja on ollut toiminnassa jo toukokuusta lähtien. Blogeissa ja verkkosivuilla ehti levitä tieto puhelimen lähettävän yksilöllisen IMEI-koodin (International Mobile Equipment Identity) aina puhelimen noutaessa pörssikurssitietoja.

Docpool-blogin tarkemmat tutkimukset ovat paljastaneet, ettei merkkijono ole 15-merkkinen IMEI-koodi vaan 32 merkkinen UUID-koodi (Universally Unique Identifier). Myös muut sovellukset kuten sääsovellus lähettävät kyselyjensä yhteydessä koodin, joka yksilöi kyselyn lähettäneen sovelluksen.

Matkapuhelimet lähettävät IMEI:n koodin puhelun alussa matkapuhelinverkkoon muun muassa varastettujen puhelimien jäljittämisen helpottamiseksi. IMEI-koodissa on pelkkiä numeroita kun UUID-koodi puolestaan voi sisältää myös kirjaimia.

Euromaksualue tulee - Swiftin Eurooppa-tietokanta ei ehdi mukaan

Tässä tiivistettynä se mitä on Suomen pankkirintamalla tapahtumassa:

Swift-osuuskunta on kertonut avaavansa uuden datakeskuksen Sveitsiin hoitaakseen Euroopan sisäisen rahaliikenteen seurannan erillään muusta tietojen keruusta, sillä EU:n tietosuoja-asiantuntijoiden näkemyksen mukaan Yhdysvalloilla ei tule olla kaikkien kansalaisten tilisiirtotietoihin pääsyä.

Linkki tuoreeseen uutiseeni Tivissä.

Uusi datakeskus maksaa 150 miljoonaa euroa ja valmistuu vuoden 2009 lopulla.

SEPA eli Single Euro Payments Area astuu kuitenkin voimaan meillä tilisiirtojen ja korttimaksujen muodossa jo vuodenvaihteessa.

DNA Länsi-Suomen ADSL-yhteyksillä NSA-kytkentöjä

Yksi tämän kuun havaintoja NSA-Affiliated IP Resources -rintamalla oli DNA Länsi-Suomen omistamien IP-osoitteiden liittyminen Yhdysvaltain turvallisuusvirasto NSA:n seuraamien osoitteiden listaan. Asiasta raportoi parisen viikkoa sitten Cryptome-sivusto. Tällä hetkellä ei ole tietoa kauanko osoitteet ovat olleet seurannassa eikä sitä onko kyseessä esimerkiksi vain uusi tietolähde Cryptomelle.

Tutkiskelin osoiteavaruutta julkistuksen jälkeen julkisista tietokannoista ja niiden mukaan mukana on runsaasti yritysliittymiä. DNA Länsi-Suomi tunnettiin aikaisemmin nimellä Satakunnan Puhelin Oy.

Suomalaisosoitteiden kokonaismäärä luettelossa on tällä hetkellä jo puolisen miljoonaa.

Vaimon vakoilu keyloggerilla vei raastupaan

Ohiolaismies joutuu vastaamaan vaimoonsa kohdistuneesta näppäilytallentimella tehdystä seurannasta oikeussalissa.

Yhdysvaltain ilmavoimissa palveleva Jeffrey Havlicek asensi keylogger- eli näppäintallenninohjelman vaimonsa tietokoneelle. Oikeudenkäyntidokumenttien mukaan mies halusi tarkkailla vaimonsa toimia tietokoneella ollessaan itse poissa kotoa.

Ohiossa alkaneen oikeudenkäynnin pani vireille Havlicekin vaimon ystävätär, joka oli havainnut myös itse luomiensa sähköpostitilien joutuneen tarkkailuun.

Mies on nostanut syytteen myös keylogger-ohjelman myynyttä kanadalaista Deep Softwarea vastaan. Miehen mukaan yhtiö kertoo ainoastaan ohjelman soveltuvan vakoilutarkoituksiin ja esimerkiksi lasten toimien seurantaan, muttei varoita mahdollisista oikeudellisista seuraamuksista.

Itsekin it-tehtävissä toimivan miehen haaste keylogger-yhtiötä vastaan on hieman yli 7000 euroa. Tech Law Prof Blogin mukaan vaimon ystävättären haaste koski alun perin oikeutta käyttää paljastuneita sähköpostitietoja. Paikallinen lainsäädäntö pätee kuitenkin vain puhelinkeskusteluihin.

Cryptome: Elisankin ADSL-liittymät NSA:n seurannassa

Tietoturvasivusto Cryptome.org:n mukaan Yhdysvaltain turvallisuusviraston seuraamat liittymät ovat pääosin pääkaupunkiseudulla. Tosin myös Tampereen ja Joensuun seudulta löytyy IP-sarjoja, joilla on yhteyksiä National Security Agencyyn.

Julkaisin asian ja IP-osoitteiden lukumäärän Tietoviikossa jo keskiviikkona ja painetussa lehdessä perjantaina.

Cryptomen luettelo on aikaisemmin tuntenut melkoisen määrän TeliaSoneran, Vaasan Läänin Puhelimen ja Maxisatin osoitteita.

Luokittelen tämän enemmän yksityisyys- kuin tietoturvauutiseksi kuten kategorioinnista näkyy. Työasioitaan Elisan ADSL:llä hoitavan kannalta asia on kyllä selkeästi organisaation tietoturvaan liittyvä.