Eikö sitä ole aika turvassa jos kaikki palvelut on pois päältä ja selain ilman epämääräisiä plugeja.
'Aika', kun nykyisissä selaimissa ja käyttiksissä on molemmissa niin paljon reikiä, että tuntuvat pääsevän tuollaiseenkin järjestelmään melkovarmasti jos vaan tietävät missä vierailet selaimesi kanssa, eli murtautuvat sinne ensin.
Tavallisilla käyttäjillä ja organisaatioilla ei ole edes teoreetitsia mahdollisuuksia olla turvassa. ;(
Tämän lisäksi pitäisi tietenkin valvoa tarkasti kaikkea verkkoliikennettä niin sisään kuin ulospäinkin, jotta mahdolliset 2C yhteydet havaitaan. Sekin on ihan herrassaan että havaitaanko niitä vai ei.
Näyttää yhä enemmän siltä, mikä on aina ennenkin pitänyt kutinsa. Turvalliset järjestelmät pitää eriyttää monikerroksisilla ratkaisuilla julkisista järjestelmistä ja jokaisessa vaiheessa pitää olla moninkertaiset ja testatut tietoturvajärjestelmät käytössä. Henkilötön ja käyttäjien pitäisi olla tilanteen tasalla, kuten myös kaikki softien ja palvelujen toimittajat pitäisi auditoida säännöllisesti jne. Huhhuh, aika raskaaksi menee.
Luin tässä justiin huvikseni PCI SSC:n dokkarit ja HIPAA:t siihen päälle. Totuus on siinä, että tietoturvaa varten tarvitaan kokonainen osasto ja sinne pitkän kokemuksen omaavat kaverit, että hommasta tulee edes jotain. Tämän lisäksi tarvitaan mittavat auditoinnit ja dokumentoidut prosessit kaikkiin toimenpiteisiin joista ei saa poiketa ennakkoon selvästi määriteltyjen sanktioiden uhalla. Sitten pitäisi olla vielä testatut ja todistettavasti toimivat prosessit kaikkien asioiden vaihtamiseen, kaikki tieto pitää aina salata turvalliseksi todetuilla ja todistetuilla menetelmillä kun sitä siirretään verkon yli. Verkkoautentikoinneissa pitää käyttää aina vaihtuvia tunnuksia, eikä silloinkaan koskaan saisi käyttää konetta jonka suhteen on pieniäkin tietoturvaepäilyksiä.
Mulla on juuri näistä syistä erikseen koneet joilla hoidetaan päivittäistä nettiasiointia ja sitten erilliset koneet joilla hoidetaan luottamuksellista viestintää, nämä koneet eivät ole internettiin kytkettynä. Mutta kuten tiedämme, tuokaan ei estä päteviä kavereita. Sanotaan että siirrän vaikka ASCII armored viestin tästä koneesta RS-kaapelilla tuohon turvalliseen koneeseen. Se on aika turvallista vielä, mutta kun alan purkamaan samonaa GPG:llä, mikään ei takaa, etteikö GPG:ssä olisi bugia / backdooria jonka kautta homma alkaa menemään pahasti pieleen.
Kolmantena kannattaa pitää vielä sellaista ympäristöä, joka on täysin erillinen asioille joita ei halua linkattavaksi itseensä. Yhteydet mm. omna pre-paid nettiliittymän kautta ja koneen käynnistäminen aina puhtaalta imagelta joka bootin yhteydessä, koneessa ei kannata pitää mitään kirjoituskelpoista tallennusmediaa. Näin kone käynnistyy joka kerta täysin puhtaana ympäristönä, eikä siinä ole mitään personoivaa dataa saatavilla vaikka se pwnattaisiin.
Monissa ympäristöissä on vielä se ongelma, että tietoturva on se viimeisin ajatus mitä kukaan vaivautuu ajattelemaan, vaan kaikki asiat tehdään ensin ja sitten jos tulee tietoturvaongelmia niitä paikkaillaan myöhemmin. Tietoturvan kannalta tämä on luonnollisesti varsin katastrofaalinen lähestyminen.
Monet varoittelee mm. pilvipalveluiden tietoturvasta, mutta ns. normaaliin tasoon nähden Amazonin ja Googlen tietoturva on varmasti monta kertaa paremmalla tolalla, kuin random X web-hostaajan Suomessa.
Se että koneeseen ei pääse verkosta, ei riitä. Koska mikä tahansa sovellus / ohjelma joka muodostaa verkkoonpäin voi olla se kikka jolla koneelle päästään. Samoin automaattiset päivitykset on suunnaton riski, varsinkin silloin kun niiden prosesseja ei ole erittäin huolellisesti hiottu tietoturvaosaston toimesta.
Uskon että mm. F-Securella ja Microsoftilla on noi hommat hallussa. Mutta sellaisia softatoimittajia joilla homma ei ole samalla tasolla on maailmassa aikas monta.
Muistakaapa nyt mm. se SSH key generation fail, se oli todella vakava ja silti meni läpi kaikista suojausprosesseista.
Edit, linkki lisätty:
https://www.pcisecuritystandards.org/security_standards/documents.phpNäitä tietoturva aspekteja on myös sivuttu paljon monissa keskusteluissa, joissa on pohdittu miten vaikeaa on mm. Pystyttää Tor-hidden service, jos oletetaan että palvelu ei miellytä kaikkia ja sitä vastaan yrittää oikeasti pätevät kaverit hyökätä tosi tarkoituksella. Tuokin vaatii monikerroksisen lähestymisen asiaan, samoin jos kohde järjestelmä murretaan, niin kaikki mahdolliset tavat päästä ulos siitä järjestelmästä pitää olla tukittu vielä muilla tavoilla. Jotta koneen pwnaaminen sallii vain palvelun kaappaamisen, ei palvelimien sijainnin selvittämistä. Toisaalta, tuossa tapauksessa olisi varsin luonnollista ajaa noita palvelimia paikassa X joka itsessään on luotu Toria käyttäen, kaikki ylläpito tehdään Torin (tai vastaavan anonymisoivan proxy networkin, kuten botnetin) kautta ja tämän lisäksi kaikki maksutavat / muut asiaan liittyvät tekijät on erittäin huolellisesti anonymisoitu. Tästä voisi muuten luoda oman keskustelun jos jotakuta kiinnostaa jutustella.
Watering hole ja RAT hyökkäykset on nykyjään kovin yleisiä ja noilla saadaan helposti suuriakin määriä koneita haltuun. Onneksi monessa tapauksessa ilmeisesti hyökkääjät saavat niin paljon koneita haltuun, etteivät ne ehdi edes tarkastamaan mitä lottovoittoja koneilla saattaisi olla. Monesti ovat missanneet ne mahikset joita olisi ollut kyseisen koneen ownaamisen kautta mahdollista hyödyntää, mutta ei ole silti kiinnostanut. Tilanne olisi luonnollisesti täysin toisenlainen, mikäli kyse olisi tarkasti kohdennetusta hyökkäyksestä jolloin hyökkääjällä on erilainen agenda.
Kannattaa myös miettiä erilaisia turvallisuuden kannalta ajateltuja Linux distribuutioita. (Security Hardened / Enhanced Linux). Totuus on kuitenkin siinä, että jos käytät Lynxiä kummallisempaa selainta, niin mitä todennäköisimmin se on aivan varmasti turvaton.
Lue mm.
https://en.wikipedia.org/wiki/Security-Enhanced_Linuxhttps://en.wikipedia.org/wiki/Multilevel_securityKatso myös LPS, Surprise! ja se klassikko Tails.
Kunkahan moni Tailsin lataaja edes tarkistaa lataamansa imagen signaturen? Ei sinänsä, että se mitään oikeasti takaisi.
gpg tails-i386-0.17.iso.pgp
Detached signature.
Please enter name of data file: tails-i386-0.17.iso
gpg: Signature made 2013-02-23T17:34:53 EET using RSA key ID BE2CD9C1
gpg: Good signature from "Tails developers (signing key)
<tails@boum.org>"
gpg: aka "T(A)ILS developers (signing key)
<amnesia@boum.org>"
Jokaisen ohjelmiston osata jossa on automaattiset päivitykset, pitää käydä läpi
A) miten automaattisten päivitysten oikeellisuudesta voidaan varmistua mm. allekirjoituksen avulla ja sitten tietysti
B) Mitkä kaikki tarkistukset sille tehdään, ennen kuin sovellus suostutaan allekirjoittamaan.
C) Riski voi olla esim se, että allekirjoittajalla on pääsy koodiin ja hän pystyy allekirjoittamaan koodin. Tämä tarkoittaa sitä, että tietoturva on yhden ihmisen varassa, joka on tietenkin tavalla tai toisella korruptoitavissa, kuten historia on näyttänyt.
Jos nuo tekijät eivät ole yksityiskohtaisesti dokumentoitu ja tai dokumentaatiota ei noudateta, ollaan heti leväperäisillä vesillä liikenteessä.
