Tekniikka - arkisto - Sivu 3 5:stä Tietojesiturvaksi.fi

Miksi tietokoneesi halutaan hakkeroida?

Olet varmasti joskus pohtinut miksi ihmeessä juuri sinun tietokoneesi haluttaisiin hakkeroida?

Eihän sillä tehdä mitään tärkeää eikä siellä säilytetä liikesalaisuuksia. ”Minulla ei ole mitään salattavaa” kuulee myös usein sanottavan.

Lähtökohtaisesti rikollisia ei kiinnosta se, mitä normaalin kotikäyttäjän koneella on. Sen sijaan heitä kiinnostaa se mitä kaikkea koneellasi voi tehdä. Kaikki millä on rahallista arvoa ovat kohteena verkkorikollisille.

Ohessa on kaavio, jonka tarkoituksena on esitellä eri syitä hakkeroida / kaapata tietokone. Kaaviossa on yhdistettynä sekä yritysmaailman että kotikäyttäjän koneisiin liittyviä asioita. Vaikka kaavio ei ole täydellinen ja se sisältää päällekäisyyksiä niin kaikki varmasti ymmärtävät, miksi oma kone kannattaisi suojata..

Kaavion on alunperin julkaissut Brian Krebs.
Hän pitää aiheeseen liittyvää blogia osoitteessa http://krebsonsecurity.com

Näin hakkerit hyödyntävät konettasi

Tässä vielä lyhyesti selostettuna kaaviossa esitetyt kohdat. Tätä kaikkea koneellasi voidaan tehdä, kun se on hakkeroitu:

Palvelin
Koneestasi voidaan tehdä palvelin, jossa ylläpidetään huijaussivustoja sekä jaetaan haittaohjelmia ja laitonta materiaalia.

Sähköposti
Hakkerit voivat hyödyntää konettasi myös sähköpostipalvelimena. Koneesi kautta lähetetään roskpostia ja huijausviestejä ympäri maailmaa. Sähköpostitililtäsi voi löytyä myös tietoja, joiden avulla hakkerit pääsevät yrityksesi tai työnantajasi palvelimille.

Liikesalaisuudet
Mikäli kyseessä on yrityksen tietokone, voi sinne olla tallennettuna liikesalaisuuksia kuten tuotetietoja, alustavia patenttihakemuksia, tutkimustuloksia jne. Nämä kaikki ovat rahanarvoista tietoa rikollisille ja kilpailijoille.

Virtuaalinen omaisuus
Koneeltasi voi olla pääsy verkkopelien rahoihin ja muihin hyödykkeisiin. Maailmalla liikkuu myös paljon haittaohjelmia, jotka keräävät lisenssikoodeja koneilta ja lähettävät ne eteenpäin.

Sosiaalinen media
Et varmasti hirveästi ilahtuisi jos joku esiintyisi sinun tai yrityksesi tunnuksilla sosiaalisessa mediassa?

Henkilökohtaiset asiat
Koneellasi saattaa olla tietojasi tai muita henkilökohtaisia dokumentteja. Et varmastikaan halua, että muilla olisi pääsy lastesi valokuviin?

Kiristäminen
Rikolliset saattavat asentaa koneellesi ns Ransomware ohjelmistoja, jotka pyytävät lähettämään rahaa tai muuten koneesi ei enää aukea. Ohjelmat saattavat myös uhata tyhjentää koneesi ellei rahoja makseta. Sinua voidaan kiristää myös kaapatun webbikameran kautta otettujen kuvien avulla.

Taloudelliset hyödykkeet
Suomessakin on tavattu erilaisia verkkopankkihaittaohjelmia sekä pankkitunnuksia utelevia sivustoja (kts. kohta Palvelin). Näiden lisäksi myös luottokorttitiedot ja verkkokukkarot ovat hyviä kohteita rikollisille.

Käyttäjätunnukset
Eri verkkopelien, verkkopalveluiden sekä palvelimien käyttäjätunnukset avaavat rikollisille uusia mahdollisuuksia hankkia rahaa.

Bot-verkko
Koneesi saatetaan liittää osaksi ns bot-verkkoa, jota käytetään mm roskapostin levittämiseen ja isojen verkkohyökkäysten tekemiseen. Rikolliset saattavat myös peitellä omia jälkiään kierrättämällä verkkoliikenteen sinuun koneesi kautta.

Sosiaalisen median yhteisöliitännäisten tietosuoja

Monilla nettisivuilla näkee nykyään eri sosiaalisten medioiden Tykkää / Jaa -nappeja, ns. yhteisöliitännäisiä. Kyseisten toimintojen hyödystä verkkosivujen ylläpitäjille ei liene kiisteltävää. Ne lisäävät parhaissa tapauksissa sivustojen kävijämääriä ja palveluiden tunnettavuutta huimasti.

Harva kuitenkaan tietää miten tällaiset liitännäiset vaikuttavat käyttäjien yksityisyyteen. Asia lyhyesti: Hyvin usein sinusta siirretään tietoa eteenpäin tietämättäsi ja ilman sinun lupaasi!

Kuvaan tässä nyt muutaman asian aiheeseen liittyen. Nämä perustuvat omiin tulkintoihini ja mielipiteisiin eivätkä ole minkään tahon virallisia kannanottoja asiasta.

Yksittäiset yhteisöliitännäiset

Kun käyttäjä vierailee sivustolla, jossa on esimerkiksi Facebookin Tykkää-nappi, niin käyttäjän selain lataa kyseisen napin Facebookin palvelimelta. Toisin sanoen latauspyynnön yhteydessä käyttäjän selaintietoja lähetetään sosiaalisen median palvelun tarjoajalle. Palveluntarjoaja (esim Facebook, Twitter jne.) tietää sinun liikkuvan kyseisellä sivulla, vaikka et sivusta ”Tykkäisikään”

Asiasta on kerrottu myös palvelun ohje- ja tukikeskuksessa. Facebook tosin ilmoittaa, että he eivät kerää tietojasi, mutta hyödyntävät niitä kyllä.

Kolmannen osapuolen tarjoamat yhteisöliitännäiset

Internetissä on lukuisia palveluita, jotka mahdollistavat useiden yhteisöliitännäisten lisäämisen helposti ja vaivattomasti. Esimerkkinä tällaisista palveluista ovat AddThis ja ShareThis. Kyseessä on paljon käytetyt ja laajalle levinneet palvelut, jotka jakolinkkien lisäksi tuottavat nettisivujen ylläpitäjille arvokasta tietoa mm. käyttäjän toimista nettisivulla.

Kun käytät sivustoja, joissa on kyseisten palveluiden tarjoamia jakonappeja, niin selaintietosi siirtyvät palvelua tarjoaville yrityksille (vaikka et nappeja painaisikaan)!

Palvelut omistavat yritykset myyvät tietoja (esim miten liikut nettisivulla, mitä mainoksia klikkaat jne.) myös eteenpäin saadakseen itse rahaa ja ylläpitääkseen palvelua. Tietojasi siirretään ulkomaille ja selailutietojasi käytetään kauppatavarana.

Ratkaisuja tietosuojaongelmiin

Nettisivustojen ylläpitäjät voivat rajoittaa yhteisöliitännäisistä aiheutuvia tietosuojaongelmia parillakin tavalla.

Staattiset liitännäiset

Ensimmäinen keino on käyttää staattisia Tykkää / Jaa -nappeja. Teknisesti ottaen ne ovat linkkejä ja ottavat yhteyden palveluun vasta kun niitä painetaan.
Haittapuolena on se, että käyttäjä ei näe suoraan napin vieressä kuinka monta kertaa kyseistä nappia on painettu.
Esimerkiksi Twitterissä ja Facebookissa on tällainen mahdollisuus. Facebook ei kuitenkaan tue enää toimintoa ja he ovat myös poistaneet toiminnon dokumentaatiot.

Käyttäjän aktivoimat liitännäiset

Sosiaalisen median napit voidaan tuoda nettisivuille myös siten, että ne aktivoidaan vasta kun käyttäjä tätä erikseen pyytää. Näin ollen tietoja siirtyy vain käyttäjän omasta päätöksestä ja toiminnasta johtuen.

Loppupäätelmä: Anna käyttäjän valita

Jos haluat käyttää sosiaalisen median yhteisöliitännäisiä sivustollasi, niin ok. Anna kuitenkin käyttäjän itse ottaa toiminnot käyttöönsä mikäli hän näin haluaa!

Verkkopalveluusi hyökätään päivittäin?

Tiesitkö, että julkiseen verkkopalveluusi hyökätään todennäköisesti päivittäin?

Mikäli sinulla on Internetiin julkisesti näkyvillä oleva verkkopalvelu, kuten esimerkiksi verkkosivut, tiedostopalvelin tai etäyhteyspalvelu, niin sitä yritetään todennäköisesti murtaa päivittäin.

Hyökkääjä on saattanut ottaa erityisesti sinun palvelusi kohteekseen tai sitten hän vain etsii Internetistä sattumanvaraisia kohteita ja yrittää tehdä niihin automaattisia hyökkäyksiä.

Sattumanvaraisissa hyökkäyksissä verkkopalvelustasi etsitään yleensä jotain tiettyä sovellusta tai avointa tietoliikenneporttia, johon hyökkäyks sitten kohdistetaan. Yllä olevassa kuvassa on esimerkki siitä, kuinka hyökkääjä on etsinyt palvelimelta phpMyAdmin -sovelluksen tiettyjä versioita.

Mikäli etsit hakukoneella tietoa sovelluksen versionumerosta 2.5.7 niin huomaat, että kyseisestä versiosta on löydetty tietoturvahaavoittuvuus. Jos hyökkääjä löytää palvelimeltasi kyseisen version, niin hän voi helposti jatkaa automaattista hyökkäystä eteenpäin.

Toisessa kuvassa on esimerkki eräästä lokitiedosta, joka on otettu SSH-etäyhteyspalvelusta. Kyseinen palvelu oli testimielessä oletusasetuksilla avoinna verkkoon noin 1,5 vuorokauden ajan. Sinä aikana palveluun yritettiin kirjautua yli 300 kertaa eri käyttäjätunnuksilla. Kuvasta huomaa hyvin sen, että kyseessä on ns. sanakirjahyökkäys, jossa yritetään arvata käyttäjätunnus-salasana pareja.

Tällaiset automaattiset hyökkäykset ovat siitä pelottavia, että niitä voidaan toteuttaa useita erittäin lyhyessä ajassa. Tästä johtuen on erittäin tärkeää, että verkkopalvelusi tietoturva on ajan tasalla. Muista pitää palvelut aina päivitettyinä ja sulje turhat avonaiset palvelut pois julkisesta verkosta. SSH-esimerkistä huomaa myös sen, että salasanojen monimutkaisuuteen* kannattaa kiinnittää huomiota.

Huomioi myös se, että automaattisia hyökkäyksiä tekevä taho ei välttämättä välitä siitä onko kohteena yritys vai kotikäyttäjä. Itse asiassa edellä mainitussa SSH-esimerkissä palvelu oli käynnissä normaalilla kotikoneella, johon siis hyökättiin 1,5 vuorokauden aikana yli 300 kertaa!

*Vinkki: Mikäli salasanojen hallinta tuottaa tuskaa, niin tutustu KeePass-ohjelmaan!

Sähköpostin väärentäminen

Kun puhutaan sähköpostin väärentämisestä, niin usein sillä tarkoitetaan sähköpostin lähettäjätietojen väärentämistä. Toisin sanoen viesti näyttää tulleen eri paikasta, kuin mistä se oikeasti on tullut. Esimerkiksi käyttäjälle näkyy, että viestin lähettäjä on Yritys X vaikka todellisuudessa viestin lähetti Huijari Y.

Teknisesti sähköpostin lähettäjätietojen väärentäminen ei ole haastava asia. Itse asiassa riittää, että sähköpostiohjelmalle kerrotaan lähettäjän sähköpostiosoite, oli se sitten oikein tai ei. Tarvittavat työkalutkin saattaavat jopa löytyä tavallisen käyttäjän koneelta.

Yllä olevassa kuvassa on esimerkki väärennetystä lähettäjästä. Olen saanut viestin käyttäjältä, jonka sähköpostiosoitteen loppu on vaaraosoite.abcd. Viestin mukana on tullut myös liitetiedosto tiedotPDF.pdf.

Mikään ei estä muuttamasta sähköpostiosoitteeksi jotain uskottavampaa ja samalla selostamaan itse viestissä jotain liitetiedostosta. Luonnollisesti jos lähettäjä ja selostus on tarpeeksi kiinnostava, niin liitetiedosto tulee avattua sen enempää ajattelematta. Ja kaikkihan me tiedämme, että ”epäilyttäviä liitetiedostoja” ei saa avata!

Väärennetyn sähköpostin jäljittäminen

Väärennetystä sähköpostista, kuten oikeistakin, jää jälkiä vastaanottajan sähköpostijärjestelmään. Tutkimalla viestin alkuperäisiä lähetystietoja voidaan havaita mitä kautta viesti on meille saapunut. Tiedot ei välttämättä paljasta oikeaa lähettäjää (esim roskapostittajaa, hakkeria tms), mutta tiedot kertovat ainakin mitä kautta viesti saapui. Mikäli on syytä epäillä että lähetetty viesti ei ole asianmukainen, niin kannattaa ottaa yhteyttä alkuperäistiedoista paljastuvaan tahoon. Voi olla että hekään eivät ole olleet tietoisia, että heidän palveluitaan käytetään vääriin tarkoituksiin.

Sähköpostiviestin alkuperäistietojen tulkitseminen ei ole välttämättä se yksinkertaisin asia, mutta tavallinen käyttäjä saa ne toki näkyville melko helposti. Esimerkiksi Gmailissa ne löytyvät yksittäisen sähköpostiviestin toimintavalikon kohdasta ”Show original / Näytä alkuperäinen”. Vastaavasti Outlookin Webmailista alkuperäistiedot saa esille avaamalla viestin omaan ikkunaansa ja valitsemalla kohdan ”Message details / Viestin tiedot”

Jotkut sähköpostipalvelut sisältävät tietoturvaominaisuuksia, jotka varoittavat poikkeuksista alkuperäistiedoissa. Esimerkiksi Gmailissa tulee erillinen keltainen varoitusteksti (kuva yllä vuodelta 2013), jos viestin väitetään tulevan Gmailista, mutta ei oikeasti tule.

Poistettujen tiedostojen palauttaminen

Aina välillä tulee eteen tilanteita, kun joku on poistanut tärkeitä tiedostoja ja haluaisi ne takaisin. Varmuuskopioitkin ovat aina tuolloin jostain syystä kadonneet johonkin.

Päätin testata tiedostojen palauttamista USB-tikulta PhotoRec nimisellä ohjelmalla. Ohjelmisto on saatavilla yleisimmille käyttöjärjestelmille. Kattavat ohjeistukset ohjelman käyttöön löytyvät ohjelmiston kotisivuilta.

Huom! Ohjelmaa ajetaan ns Vain-Luku tilassa, joka tarkoittaa sitä että USB-tikulle ei tehdä muutoksia vaikka et heti osaisikaan käyttää ohjelmaa oikein. Testaaminen on siis kohtuullisen turvallista!

Perustietoa tiedostojen palauttamisesta

Poistettujen tiedostojen palauttamisessa on tärkeä ymmärtää mikä on tallennusvälineiden yleinen toimintalogiikka: Idea on se, että kun tiedostoja tallennetaan esim USB-muistille, niin tiedostot kirjoitetaan muistille tiettyyn paikkaan. Näistä eri paikoista pidetään kirjanpitoa, jonka perusteella käyttöjärjestelmä osaa etsiä tiedostoja. Kun tiedosto poistetaan, niin itse tiedosto ei välttämättä katoa mihinkään, vaan kyseisen tallenuskohdan kirjanpito pyyhitään. Näin ollen tiedosto näyttää kadonneen, koska sitä ei osata etsiä (kirjanpito puuttuu).

Tiedostojen palautusohjelmien idea on ohittaa kirjanpito ja etsiä tiedostoon liittyvää dataa muistista itsestään. Aina kun muistista löytyy tietyntyyppistä dataa, niin palautusohjelma pyrkii palauttamaan kaiken datan. Kun kaikki data on saatu talteen, niin siitä pyritään rakentamaan uudelleen poistettu tiedosto.

Palautusohjelmien työ tulee kuitenkin vaikeaksi, mikäli vanhan tiedoston datan päälle on jo ehditty tallentamaan uuden tiedoston dataa. Tämä johtaa siihen, että kaikkia tarvittavia dataosia tiedostosta ei löydy eikä palautusta voida tehdä. Jos olet poistanut jonkun tiedoston vahingossa vaikkapa muistitikulta, niin on ensiarvoisen tärkeää olla tekemättä mitään ylimääräistä kyseiselle muistitikulle. Mikäli muistitikulle tallennetaan jotain, niin se saattaa ylikirjoittaa vanhan tiedoston.

Tiedostojen palauttaminen muistitikulta

Tässä esimerkissä oli käytössä kaksi kappaletta muistitikkuja. Niissä oli eri määrä eri tyyppisiä tiedostoja. Tyhjensin molemmat tikut normaalilla käyttöjärjestelmän poisto-operaatiolla, eli valitsin kaikki tiedostot ja valitsin Poista. Kun muistitikut olivat tyhjät, niin käynnistin PhotoRec ohjelman. Esimerkkikoneessa oli käyttössä Debian Linux, mutta samat toimenpiteet voidaan toki tehdä myös esim Windows koneilla.

PhotoRecin nettisivuilta löytyy helpot kuvaohjeet ohjelman käyttöön. Vaikka PhotoRecin käyttö onkin kohtuullisen helppoa, niin kannattanee kysyä teknistä henkilöä avuksi mikäli hiukankin epäröit taitojasi.

En tässä sen tarkemmin selosta mitä valintoja PhotoReciä käyttäessä tulee tehdä. Perusidea on kuitenkin se, että sinun tulee valita muistitikkuasi vastaavat tekniset ominaisuudet kun ohjelmisto niitä kysyy. Ohjelmisto tarjoaa oletuksena joitakin vaihtoehtoja. Mikäli muistitikkusi on ollut normaalissa Windows käytössä, niin kirjainyhdistelmät FAT ja NTFS ovat olennaista tietoa ohjelmaa käytettäessä. Ohjelma kysyy myös osiotietoja, mutta yleensä muistitikussa ei ole kuin yksi osio, niin tämäkin kohtaa mennee ohjelman tarjoamilla oletusasetuksilla. Lopulta kysytään vielä paikkaa, jonne mahdolliset palautettevat tiedostot tallennetaan.

Näin minulle kävi:

419 files saved in /home/matti/recup_dir directory
Recovery completed.
jpg: 327 recovered
txt: 54 recovered
doc: 27 recovered
pdf: 9 recovered
tx?: 1 recovered
zip: 1 recovered

Eli pelkkiä kuvatiedostojakin saatiin palautettua poiston jäljiltä jopa 327kpl. Tässä oli tietysti olennaista se, että en ollut kirjoittanut muistitikulle mitään uusia tiedostoja vanhojen päälle!

Onnea tiedostojen metsästykseen!