Ohjelmistojen tietoturvariskeistä

[Sami Lehtinen]

Pitää muistaa että nykyjään lähes kaikissa laitteissa on ohjelmisto:
Backdoor found in Linksys, Netgear Routers
Hacking SD cards

Tarkoittaa myös sitä, että minkään laitteen toimintoihin ei voi luottaa. mm. SSD:n Secure Erase, voi toimia tai olla toimimatta, riippuen siitä mikä firmware siinä on. Lisäksi SSD voi näyttää tyhjältä pyyhkimisen jälkeen, vaikka kaikki data on vielä tallella.

DZAT/RZAT SSD tekevätkin tuon by defaut sen jälkeen kun tiedot on "deletoitu", mutta silti ne ovat vielä muistipiireillä, koska itse flashin tyhjentäminen jätetään myöhemmäksi.

Tämä kannattaa myös lukaista iltapalaksi: Year 2013 in Crypto.

[ariv]

Tiedoksi joillekkin.
https://www.mikrobitti.fi/2018/07/suositun-linux-jakelun-kayttajat-vaarassa-haittaohjelma-ujutettiin-useaan-ohjelmistopakettiin/?utm_source=Mikrobitti_uutiskirje&utm_medium=email&utm_campaign=Mikrobitti_uutiskirje

[jekku]

"AURin valikoima koostuu käyttäjien lataamasta sisällöstä. Ohjelmistolähteen käyttö edellyttää erityistä varovaisuutta, sillä AURista ladattu paketti saattaa sisältää käytännössä mitä tahansa."

Eiköös Ubuntuunkin ole saatavilla eritasoisia ohjelmalähteitä?

[Eesaurus]

"AURin valikoima koostuu käyttäjien lataamasta sisällöstä. Ohjelmistolähteen käyttö edellyttää erityistä varovaisuutta, sillä AURista ladattu paketti saattaa sisältää käytännössä mitä tahansa."

Eiköös Ubuntuunkin ole saatavilla eritasoisia ohjelmalähteitä?

Joo. Ketjun aloitusviestissä on aika hyvin kerrottu ko. asiat ja mahdolliset riskit.

[Liorrl]

Tarkistaako mikään taho ylipäätään esim. Ubuntun repositoreissa olevien sovellusten toimintaa ja lähdekoodia mitenkään hallitusti troijalaisten ym. varalta? Eli vaikkapa kuvienkäsittelysovellusta, joka aikoinaan on tuota Ubuntun repositoryyn, onkin tekijän/jonkun muun osalta muutettu ja siihen on lisätty troijalainen, joka samalla varastaa näppäinpainallukset tms. ja lähettää ne ulkopuoliselle palvelimelle. Kuinka tällainen on estetty Ubuntun tai muiden jakelujen kohdalla?

Käsittääkseni nuo ovat pitkälti varmenteilla varmistettuja asioita (mm. hash lukemat). Varmasti yksi potentiaalinen uhka on se, että ohjelmistosta löydetään haavoittuvuus mikä ei tietysti vielä ole vakavaa, mutta jos haavoittuvuus on tunnetussa ohjelmassa ja yleisessä versiossa ja että sitä ei korjata ja päivitetä jakeluun on minusta uhka. Tuon takia en itse käytä käytännössä lainkaan uusia jakeluita joissa on omia "repoja". Muutamia jakeluitahan on löydettykin joihin on tahallisesti upotettu jotain haittakoodia, enkä oikein luota siihenkään että vaikka kuinka vihkiytynyt jakelun tekijä olisi, että hänellä kuitenkaan on yksinkertaisesti edes aikaa kahlata päivittäin tietoa läpi uusista haavoittuvuuksista. Tarkoitan tällä siis lähinnä näitä yhden miehen kustomoituja distroja. Mm. cert.fi:n sivuilta kun laittaa hakusanaksi linux ja haavoittuvuus, niin löytyy todella yleisiä ohjelmia joista näitä on löydetty esim. pidgin, xpdf yms yms. ja mikä lienee tosiaan tilanne sitten harvinaisemmilla ohjelmilla, joita ei varmasti tutkailla niin paljon.

Periaatteessa opensource on idioottivarma tapa tehdä ohjelmista tietoturvallisia, mutta tuntuu että lähdekoodin lueskelijoita ja ennenkaikkea niistä oikeasti ne uhat hoksaavia käyttäjiä ei taida kuitenkaan olla älyttömän paljon ja siksi minusta suljetun koodin softissa on tietoturvan kannalta kyllä omat hyvät puolensa.

Mitä tulee Ubuntun tietoturvaan niin käsittääkseni se on hyvin pitkälle samalla tasolla kuin Debian. Ilmeisesti kutakuinkin samat ohjelmat ja versiot löytyy kummankin varastoista? Viisaammat korjatkoon.

Pahin uhka on varmaankin seuraavan uutisen mukaiset hyökkäykset, jotka on kohdistettu suoraan ylläpitäjiin. Jos hyökkäys on oikein onnistunut ja sitä ei nopeasti huomata, niin melkoinen soppa varmasti alkaa selvittämään niitä ei virallisia muutoksia ohjelmistoihin. Pena peruskoodaaja tuskin huomaisi esim. ytimeen tehtyjä haitallisia muutoksia. Koskee kiertäen myös alussa mainittuja varmenteita. Eipä niistäkään ole paljoa hyötyä jos ylläpitäjän oikeuksilla niitä joku pääsee peukaloimaan.
http://www.itviikko.fi/tietoturva/2011/09/12/linux-kehittajien-salasanat-vietiin-parhaatlaajassa-tietomurrossa/201112872/7

No ok. Tietysti erittäin epätodennäköisiä uhkia ja vaikeita toteuttaa tarkemman valvonnan takia, mutta toisaalta jossain niitä tulevia Mitnickejä lymyilee joita kiinnostaa tähdätä suoraan "ytimeen" täydellä rähinällä. Eikös mm. SecurID:n pitänyt myös olla 100% varma? Ainakin siihen asti kun joku vei heiltä siemenet ja hävittäjien tietoja kait meinasi hävitä Lockheediltä. Kaikki on kyllä turvassa mutta varuilta vaihdetaan 40miljoonaa sirua?

Se siitä. Pahin suora käyttäjäuhka on kuitenkin se tietokoneen käyttöasenne. Kuinka monesti olenkaan putsannut tietokoneita viruksista, koska käyttäjällä on ollut välillä ollut oikein maksettu ohjelmisto. Se on sitten käsityksen mukaan tarkoittanut sitä, että kone ei voi saastua mitenkään ja netissä on voinut tehdä ihan mitä vain ja ennenkaikkea nehän löytää tietysti kaikki virukset ohjelmista joita yrittää asentaa? Joskus aiemminkin olen täällä maininnut asiasta, mutta mainitsen nyt vielä kerran. Eräs kone käyttäytyi todella erikoisen oloisesti heti asennuksen jälkeen ja tämä käyttäjä osasikin epäillä asiaa, koska mm. kuukkelin osumissa oli välillä varsin oudon oloisia osumia. Kävin itse katsoon paikanpäällä ja kysyin tarkalleen mitä asennuksen jälkeen on tehty. Kaikki oli ihan ok, ei mitään typeryyksiä vaan koneen olisi pitänyt olla ihan varmasti tietoturvallinen ja asialliset asennetut tietoturvaohjelmatkaan ei nähneet mitään erikoista. Skannailin koneen kuitenkin muutamalla livecd torjuntaohjelmalla ja joku troijalainen oli koneella, joka kuukkelin mukaan ilmeisesti ohjasi kaikki verkkoliikenteen erikoisempia reittejä pitkin (jos en väärin muista niin muokkasi suoraan dns osoitteistoa). Tätä vihulaista ei olisi järkeni mukaan pitänyt päästä koneelle missään vaiheessa ja tuli puheeksi asennusmedia. Ei mahda olla yllätys että alkuperäinen media oli hukkunut ja uusi oli noudettu netistä ja poltettu.

kiitos tästä tiedosta!

[Eeriikki]

Minkälainen riski on se, että samalla koneella on Win10 ja Linux ?
Olisiko parempi, että molemmille oma kone ?

[AimoE]

Minkälainen riski on se, että samalla koneella on Win10 ja Linux ?
Olisiko parempi, että molemmille oma kone ?

En minä siinä riskiä näe, mutta vaivaa kyllä kun pitää bootata että pääsee vaihatmaan. Paljon helpompi niitä on ajaa eri koneilla ettei tarvi koko ajan boottailla.

[kamara]

Minkälainen riski on se, että samalla koneella on Win10 ja Linux ?
Olisiko parempi, että molemmille oma kone ?

En minä siinä riskiä näe, mutta vaivaa kyllä kun pitää bootata että pääsee vaihatmaan. Paljon helpompi niitä on ajaa eri koneilla ettei tarvi koko ajan boottailla.

Tai ajaa jompaa kumpaa virtuaalisesti, niin ei tartte boottailla, mutta virtualisoitu käyttis tosin pyörii huomattavasti tahmeammin kuin natiivi.

[Tomin]

Minkälainen riski on se, että samalla koneella on Win10 ja Linux ?
Olisiko parempi, että molemmille oma kone ?

En minä siinä riskiä näe, mutta vaivaa kyllä kun pitää bootata että pääsee vaihatmaan. Paljon helpompi niitä on ajaa eri koneilla ettei tarvi koko ajan boottailla.

Helpompaa jättä Windows kokonaan asentamatta. Vakavasti puhuen ainakin minulla tärkein syy sille, etten pidä millään koneella dual-bootina Windowsia on, että sitä pitäisi sitten myös ylläpitää. Päivitykset jäävät asentamatta ja sittenhän sen käyttäminen vasta olisikin tietoturvariski. Kun ei sille muutenkaan ole navigaattorin päivityksiä kummempaa käyttöä, niin turha sitä on ollut asentaa. Virtuaalikoneella voi hoitaa tuon vähäisen tarpeen ja sen saa nopeasti laitettua imagesta uusiksi aina tarvittaessa.