Ohjelmiston tietoturva riippuu käyttöjärjestelmästä
WikiLeaksin julkaisemat dokumentit ovat tuoneet esiin mielenkiintoisia yksityiskohtia CIA:n tekniseen seurantaan (lue: vakoiluun) käyttämistä keinoista. Tämä artikkeli pyrkii avaamaan ilmitulleita tietoja ja niiden merkitystä kansantajuisella tavalla.
Kaikissa tietoteknisissä laitteissa, kuten matka- ja älypuhelimissa, älytelevisioissa yms. on aina ns. käyttöjärjestelmä. Se on ohjelmisto, jonka kautta ja avulla varsinaiset sovellukset (kuten vaikkapa pikaviestintäohjelma) keskustelevat esimerkiksi älypuhelimen fyysisen laitteiston kanssa — ja sitä kautta edelleen sekä käyttäjän että internetin ja siellä sijaitsevien palvelimien ja palveluiden kanssa.
Nykyään on tarjolla monia tietoturvalliseksi itseään mainostavia pikaviestintäohjelmistoja. Yleensä tietoturvalla tarkoitetaan tässä yhteydessä sitä, että viestinnän teksti-, ääni- ja videoyhteydet on salattu jollain vahvalla salausmenetelmällä, kuten SSL tai TLS. Esimerkiksi WhatsApp koetaan turvalliseksi, koska kaikki ohjelmiston ja palvelimien (ks. viereinen kaavio) välinen tietoliikenne on salattu.
Wikileaksin julkaisemat dokumentit antavat vahvistuksen sille, mistä tietoturva-asiantuntijat ovat puhuneet jo pitkään: Koska ”turvallisten” ohjelmistojen liikenteen salaaminen tapahtuu kyseisen ohjelmiston sisällä, se ei suojaa millään tavoin vakoilulta, joka toteutetaan ohjelmiston ulkopuolella käyttöjärjestelmän tasolla.
Ellei ohjelmiston ”alla” toimivaan käyttöjärjestelmään ole mahdollista luottaa, niin ei ole mahdollista luottaa myöskään yhteenkään kyseisen käyttöjärjestelmän ”päällä” toimivaan sovellukseen. Jos käyttöjärjestelmään on mahdollista murtautua tai ujuttaa sinne muulla keinoin tarkoitusta varten kehitetty vakoiluohjelmisto, kaikki ”turvallisen” ohjelmiston kautta kulkeva teksti-, ääni- ja videoliikenne on siepattavissa talteen hyvin helposti.
Kaikki yleisesti käytössä olevat käyttöjärjestelmät, kuten Windows, Windows Mobile, Linux, Android, Mac OS X ja iOS, ovat sisäisesti erittäin suojattomia erilaisia hyökkäyksiä kohtaan. Parhaatkaan virustorjuntaohjelmat eivät estä käyttöjärjestelmään tavalla tai toisella asennetun ohjelmiston mahdollisuuksia esimerkiksi tallentaa näppäilyitä tai näytön sisältöä.
Vaikka käyttöjärjestelmät asettavatkin jonkinlaisia rajoituksia sille, mitä ohjelmistot saavat tehdä, käytännössä näistä rajoituksista ei ole mitään apua ammattimaista murtautujaa tai vakoojaa vastaan. On tosiasia, että harvoja poikkeuksia lukuun ottamatta kaikki ns. älykkäät laitteet ovat käyttöjärjestelmistään johtuen erittäin helppoja tai enintään keskivaikeita murtokohteita CIA:n tyyppisille runsaat resurssit ja likimain rajattoman toimivallan omaaville organisaatioille.
Käyttöjärjestelmien ja ohjelmistojen valmistajilla on sekä omista intresseistään että osittain puhtaasta tietämättömyydestä johtuen tapana liioitella tuotteidensa tietoturvatasoa ylöspäin. Tämä tendenssi on korostunut viime vuosina, kun suuri yleisö on tullut aiempaa tietoiseksi tietoturvan merkityksestä myös omassa elämässään. Tämän seurauksena käyttöjärjestelmien valmistajilta on alettu vaatia toimia tietoturvan parantamiseksi.
Turvallista järjestelmää ei kuitenkaan ole mahdollista rakentaa korjaamalla puutteita jälkikäteen erilaisin laastariratkaisuin.
AIDOSTI TURVALLINEN järjestelmä on suunniteltu turvalliseksi alusta asti. Vastoin yleistä luuloa tällaisen oikeasti turvallisen järjestelmän valmistaminen ei ole mitenkään erityisen työlästä tai kallista. Laajaan suosioon nousseiden käyttöjärjestelmien valmistajilla (Linux-yhteisö mukaan lukien) on kuitenkin omat syynsä siihen, etteivät he ole valmiita lähtemään liikkeelle puhtaalta pöydältä, vaikka se olisi ainoa keino ”korjata” nykyiset vakavasti vajaat ja vanhentuneet ratkaisut.
Käyttöjärjestelmänkään turvallisuus ei vielä riitä takaamaan kokonaisuuden turvallisuutta. Huomioon on otettava myös itse laite, jonka varassa käyttöjärjestelmä toimii. Laitteiden piirilevyillä on myös ohjelmistoa, ns. firmwarea, ja yhtä lailla kuin ohjelmisto on haavoittuvainen jos käyttöjärjestelmä on haavoittuvainen, on myös käyttöjärjestelmä haavoittuvainen jos sen alla toimiva laitteisto tai laitteiston firmware-ohjelmisto mahdollistaa vakoilun.
Joitain turvatasoltaan olennaisesti keskivertoa parempia käyttöjärjestelmiä on olemassa.
Esimerkiksi Androidista on tehty huomattavasti turvallisempi versio nimeltä Copperhead OS, jossa Androidin pahimpia puutteita on korjattu melko fiksuin ja toimivin tavoin. OpenBSD taas tarjoaa paljon Linuxia turvallisemman vaihtoehdon palvelimiin, kannettaviin tietokoneisiin ja pöytäkoneisiin. Näiden vaihtoehtojen ongelmana on kuitenkin se, että ne vaativat käyttäjältä syvällistä perehtymistä kyseisten järjestelmien teknisiin yksityiskohtiin. Valmiiksi paketoituja, aidosti tietoturvallisia, helppokäyttöisiä ja kohtuuhintaisia ratkaisuita on vielä toistaiseksi saatavilla vain vähän.
Jyri Hovila on tietotekniikka-asiantuntija, jolla on 20 vuoden kokemus käyttöjärjestelmien tietoturvan parantamisesta.
Ei kommentteja:
Lähetä kommentti