Bittivuoto.net

Kiintolevyn kryptaaminen ei välttämättä pelasta

Jos kryptattu työläppärisi varastetaan sen ollessa päällä, ovat tiedostosi siltikin vaarassa.

http://citp.princeton.edu/memory/

F-secure Health Check

F-secure on julkaissut nettipalvelun, joka tarkistaa tietokoneessa olevien ohjelmistojen tietoturva-aukot. Ohjelma osaa listata vanhentuneet ohjelmat ja ohjata käyttäjän suoraan latamaan uuden ohjelmistoversion ko. tuotteesta.

Kätevä palvelu kotikäyttöön.

Jyrki Kasvi: Lakiesityksessä jokainen kansalainen on potentiaalinen rikollinen

Isovelilakina tunnetun lakiesityksen tarkoituksena on tallentaa kansalaisten teletunnistetietoja siltä varalta, että tiedoista olisi apua terrorismin ja järjestäytyneen rikollisuuden ennaltaehkäisyssä ja rikosten selvittämisessä.

- Se että viranomaisia varten kerätään tietoa kaikista kansalaisista vain rikoksesta epäiltyjen asemesta, on suuri periaatteellinen muutos suomalaiseen käytäntöön, painotti kansanedustaja, Vihreiden varapuheenjohtaja Jyrki Kasvi lakiesityksen tiistaisessa lähetekeskustelussa.

Lakiesityksen taustalla oleva direktiivi on syntynyt New Yorkin, Madridin ja Lontoon terrori-iskujen jälkimainingeissa. Direktiiviä valmisteltaessa kävi ilmi, että kaiken digitaalisen tietoliikenteen tietojen tallentaminen on teknisesti ja taloudellisesti mahdotonta, ja senkin kiertäminen olisi naurettavan helppoa. EU halusi kuitenkin näyttää, että jotain tehdään, ja niin säädettiin direktiivi, jonka ulkopuolelle jäävät esimerkiksi nettisähköposti, pre paid -liittymät, freenet, skype, mese, irc, usenet ja vertaisverkot. Näitä viestivälineitä osaavat lapsetkin käyttää ja ne ovat jatkossakin myös kriminaalien käytössä niin, että niiden kautta kulkevan tietoliikenteen tunnistetiedoista ei tallenneta bittiäkään.

Lain haittapuolena on, että kun tunnistetiedot ovat tallessa, myös rikolliset voivat päästä niihin käsiksi.
Tunnistetiedot ovat rahan arvoista tavaraa esimerkiksi identiteettivarkaille ja roskapostikeisareille. Hiljattain Iso-Britannian viranomaiset hukkasivat 25 miljoonan britin henkilötiedot, jonka seurauksena pelkästään Iso-Britannian pankeille arvioidaan aiheutuvan kustannuksia 340 miljoonan euron edestä.

- Direktiivi ja lakiesitys ovat valitettavan hyviä esimerkkejä huonosta kompromissista, joihin me poliitikot aina välillä sorrumme. Seurauksena on puhdas lose-lose-asetelma, totesi Kasvi.

- Kun direktiivi on kuitenkin pantava toimeen, minimoidaan edes riskit. Riskit tunnistetietojen vuotamiselle ja väärinkäytölle ja ovat sitä suuremmat, mitä kauemmin tietoja säilytetään. Lakiesityksessä tallennusaika on 12 kuukautta, mutta Suomen tulisi pitäytyä direktiivin mahdollistamassa kuuden kuukauden tallennusajassa, painotti Kasvi.

http://www.kasvi.org/

Vuoden tietoturvateko

Iltalehti on kertonut sivuillaan Britannialaisesta virkamiehestä, joka hävitti miljoonien henkilötiedot.

Valtiovarainministeri Alistair Darling ällistytti tiistaina parlamenttia ja koko maata kertomalla, että peräti 25 miljoonan ihmisen luottamukselliset henkilötiedot ovat kateissa.

Kaksi kadoksissa olevaa cd-levyä sisältävät tiedot kaikista lapsilisiä saavista brittiperheistä. Mukana ovat nimet, osoitteet, syntymäajat ja tilitiedot. Veroviraston virkamies oli lähettänyt levykkeet postissa kirjaamatta niitä.

Kuinkahan paljon muutakin salaista tietoa leviää vahingossa sen takia, että ihmisiä ei ole opastettu käsittelemään oikein tietoturvallista materiaalia?

Windowsin prosessi- ja DLL-kirjasto

 Jos olet ikinä ihmetellyt, mitä esimerkiksi svchost.exe tekee, niin tässäpä hyvä sivusto tiedon saamiseksi.

http://process-dll.com/

Panda Softwaren 2008 kuluttajatuotteiden betaversiot julkistettu

Bittivuodon mailiin tuli mielenkiintoinen uutiskirje Panda Softwaren uusista betaversioista koskien kuluttajatuotteita, jos haluat niin testaa ihmeessä. Ohjelmat ovat myös Vista-yhteensopivia. Testauksella voi myös voittaa Play Station Portable -pelikonsolin, jos löydät ohjelmistosta virheitä ja arpaonni suosii.
Artikkeli Panda Softwaren 2008 kuluttajatuotteiden betaversiot julkistettu jatkuu…

Nuo “mukavat” tietoturva-aukot

$id = $_GET['id'];
$query = "SELECT foo FROM BAR WHERE id=$id";

Näyttääkö tutulta? Tämä on SQL-injektio-aukko. Tietoturva-aukko, jolla pahat ihmiset voivat pistää koko SQL-tietokantasi rikki muutamassa sekunnissa tai murtautuvat muuten vaan järjestelmiin. Näitä näkee aloittelijoiden koodeissa erittäin usein ja osa ihmisistä, jotka järjestelmiä suunnittelevat eivät edes ajattele moisia asioita. Osa saattaa luulla, että javascriptin kautta tehdyt tarkistukset riittävät. Javascriptin voi aina kytkeä pois päältä. Tietoturva-asioihin kannattaa aina panostaa. Onneksi nyt on julkaistu kätevä sqlmap-työkalu, jolla nämä aukot on helpompi nähdä.

Hyvä demonstraatio aukon hyödyntämisestä:

Mikko Hyppösen paha päivä

Suomen kuvalehden arkistoista löytyy mielenkiintoinen artikkeli F-secure -yhtiön Mikko Hyppösen “pahasta päivästä”. Jutussa käydään hyvin läpi myös yhtiön ja erityisesti Mikko Hyppösen historiaa. Artikkeli on vuodelta 2006, mutta julkaistu nyt Suomen Kuvalehden -verkkopalvelussa.

Suomen Kuvalehti:

Ensimmäisen viruksensa hän avasi kesällä 1991. Firmalla ei ollut varaa ostaa erillistä konetta, jonka olisi voinut saastuttaa viruksella, joten Hyppönen tulosti ohjelmakoodin paperille ja yritti ennakoida tuholaisen toimintaa piirtelemällä vuokaavioita kuulakärkikynällä.

Pandalta loistava lisäosa tietoturvapakettiin

Pandan uusi tietoturvavuosikerta 2007 sisältää yhden aivan loistavan idean, nimittäin varmuuskopiointiohjelman. Tämä tietoturvapaketin lisäosa saa ainakin täältä kannatusta, sillä kotikäyttäjiä on syytä myös syytä opastaa ottamaan varmuuskopiot tietokoneensa sisällöstä säännöllisin väliajoin. Samalla Pandan tietoturvapaketti on nyt Vista-yhteensopiva.

Panda Softwaren uutiskirjeestä:

Uutena ominaisuutena ohjelmassa on myös paikallisen varmuuskopioinnin mahdollistava ominaisuus. Käyttäjä voi tehdä varmuuskopioita koko kovalevyn sisällöstä tai valikoiden tiedostoista ja kansioista. Hän voi myös valita kuinka usein varmuuskopioita tehdään, niiden tallennuspaikan (toinen kovalevy, USB-laite, CD, DVD ym.), ja jopa sen millaisista tiedostoista varmuuskopiot tehdään. Näin tiedot ovat turvassa siinäkin tapauksessa, että kovalevy särkyy. Tarvittaessa Panda Internet Security 2007 opastaa käyttäjän läpi tiedostojen tallennusprosessin.

Toivottavasti myös F-secure ja muut yhtiöt seuraavat perässä.

Toukokuun tietoturvapäivitykset

Microsoft julkaisee jälleen muutamia tietoturvapäivityksiä, joiden on määrä ilmestyä klo 20 Suomen aikaan. Microsoft puhuu seitsemästä uudesta tietoturvatiedotteesta. Päivitykset saa helpoiten Microsoft Windows- ja Office-tuotteisiin Microsoft Update -palvelun avulla.

Ennakkotieto toukokuun 2007 tietoturvapäivityksistä