Windows-sovellukset asentavat itsensä yleensä C:\Program Files -hakemistoon, johon tavallisella käyttäjällä on vain lukuoikeudet. Se estää haittaohjelmien tarttumisen järjestelmään ja on kaiken tietoturvan perusta niin Windowsissa, OSX:ssä kuin Linuxissakin.
Googlen Chrome -selain asentaa kuitenkin itsensä kone- ja käyttäjäkohtaiseen datahakemistoon C:\Users\
Tämä on pöhköä kahdesta syystä:
- Haittaohjelma voi tarttua selaimeen tai korvata sen vaikka kokonaan toisella ohjelmalla ilman, että käyttäjä huomaa mitään.
- Jos koneella on useita käyttäjiä, Chrome pitää asentaa jokaiselle erikseen (mikä on paitsi työlästä myös moninkertaistaa ohjelman viemän levytilan).
Chromen asennusvalinta tuntuu kummalliselta erityisesti siksi, että selainta pidetään tietoturvallisena. Ohjelmahakemistoon kirjoittaminen on ehdoton no-no ja sen pitäisi olla sallittua vain ylläpito-oikeuksilla.
Keksin Googlen outoon menettelyyn vain kaksi selitystä:
- Google on halunnut lisätä selaimensa suosiota varmistamalla, että peruskäyttäjä voi asentaa sen koneeseensa vaikkei hänellä olisikaan ylläpito-oikeuksia (hyi hyi Google!). Siksi Chrome on tietohallinnon kauhu.
- Selain voi päivittää itsensä automaattisesti ja huomaamattomasti.
Jälkimmäinen ranskalainen on esimerkki klassisesta mukavuus kertaa turvallisuus on vakio -periaatteesta. Tietojärjestelmästä voidaan tehdä joko tietoturvallinen tai käyttäjän kannalta mukava, mutta ei molempia samanaikaisesti.
Googlen menettely osoittaa myös, miten vaikeaa Windowsin tietoturvan kohentaminen on. Viisi vuotta sitten Vistassa käyttöön otettu UAC herätti käyttäjissä närkästystä ja moni kytki sen pois päältä, vaikka ilman oikeuksien tarkistamista tietoturvallisen käyttöjärjestelmän tekeminen on täysin mahdotonta. Google puolestaan rikkoo tärkeintä ohjelmointiperiaatetta sotkemalla käyttäjän datan ja koodin samaan hakemistoon. Aina, kun Microsoft yrittää parantaa asioita, sekä ohjelmien tekijät että niiden käyttäjät pyrkivät mitätöimään kehityksen.
Google ei ole aivan yksin. Samoin tekevät Opera-selain (C:\Users\petteri\AppData\Local\Programs\Opera) sekä Evernote-muistiinpano-ohjelma (C:\Users\petteri\AppData\Local\Apps\Evernote\Evernote).
Ubuntu ja Mac-käyttäjät: meneekö Chrome teillä oikeaoppisesti ohjelmahakemistoon? Kysyykö selaimen sisäinen päivitys ylläpitäjän salasanan vai miten päivitys on järjestetty?
---
Saman otsikon alle sopii käänteinen ongelma: pelit, jotka vaativat ylläpito-oikeuksia (admin) toimiakseen. Luulin, ettei näitä olisi tehty enää 1990-luvun jälkeen, mutta olin näköjään väärässä.
Asensin pojan koneeseen tuoreen (2010) World of Tanks -pelin (itse en pelaa koskaan). Pojalla on tietenkin koneeseensa vain peruskäyttäjän oikeudet, jotta hän ei sotke asetuksia eikä pysty asentamaan haittaohjelmia. Käsittämätöntä kyllä, peli kysyy aina käynnistyessään ylläpitäjän salasanan. Ilmeisesti vanhassa versiossa salasana tarvittiin vain Launcher-ohjelmaa varten ja pelin pystyi käynnistämään suoraan varsinaisesta ohjelmatiedostosta, mutta nykyversioissa tätäkään mahdollisuutta ei enää ole.
Turha syyllistää tietoturvaongelmista yksin käyttäjiä tai Microsoftia, jos ohjelmavalmistajat toimivat näin typerästi!
25 kommenttia:
Vähän riskialtista näin aprillipäivänä lähteä kommentoimaan... ;)
Mutta jotta niin. Näin Kubuntu-käyttäjänä totean, että selain on asentunut kotihakemiston ulkopuolelle ja päivitykset tulevat ajallaan käyttöjärjestelmän puolesta ja nykyisen Ubuntu-politiikan vallitessa vaativat sudo-oikeudet.
Miksi sitten Windows-puolella halutaan mennä käyttäjän kotihakemistoon? Syyt mainitsetkin, minä annan esimerkin: Yliopiston kirjaston koneilla minulla on vaihtoehtoina ollut joko Ie 8 tai Firefox 4. Ei ole kovin vaikea arvata miksi asennan käyttööni Chromen. Tietohallinto ei ole pitänyt selaimia ajan tasalla, joten käyttäjän on pidettävä.
Toisaalta kyse on juuri mukavuudesta. Töitä halutaan tehdä juuri niillä työkaluilla kuin itse tykätään ja Chromea on mahdollisuus käyttää koneella kuin koneella.
OS X:ssä ohjelmat asennetaan raahaamalla sinne minne halutaan. Yleensä ihmiset ilmeisesti raahaavat ohjelmansa Ohjelmat kansioon, mutta mitään estettä raahata niitä muualle ei ole.
Pikaisen tutkimisen jälkeen näyttäisi siltä, että Chrome tekee tiedostojaan samoihin peruspaikkoihin mihin muutkin ohjelmat niitä tekevät. Chromen tietoja löytyi omassa koneessani ainakin kansioista Preferences, Caches ja Appication Support. Ihan peruskauraa siis.
Noihin peleihin hämärä muistkuva, että directx ja näytönohjain tarvitsi admin oikeudet aikoinaan, että sai renderointia jne säädettyä ja taisi jollain pelillä olla oma ohjainkin suorituskyvyn takia ja tavallisen käyttäjän oikeuksilla tuollaista ei voinut hyödyntää.
Tuollaiset historialliset painolastit sitten putkahtelevat esiin ja aiheuttavat hämmästystä.
> which chromium
/usr/bin/chromium
Debian-käyttäjä täällä, kuten näkyy niin aivan oikeassa paikassa on ja dpkg -L (tai guista pitäville esim. synaptic) katsottuna loput nekin täysin ok.
Huomattavaa tietenkin että käyttää mielummin Chromium kuin Chrome.
10:55 kommentissa ehtikin tulla jo yksi esimerkkisyy miksi w-tapauksessa näin.
Vaan tämä kohta tökkää:
"Haittaohjelma voi tarttua selaimeen tai korvata sen vaikka kokonaan toisella ohjelmalla ilman, että käyttäjä huomaa mitään."
Ei voi, jos käyttäjä ymmärtää ajaa esim. palomuuria joka samalla tsekkaa jokaisen ajettavan softan ja mikäli on muuttunut tai ei ole ennen tallennettu lupatietoa, ilmoittaa ja kysyy että annetaanko käynnistyä vai estetäänkö.
Ainakin Kerio/Sunbelt osaa tämän.
(Eikä useille käyttäjillekään tarvitse asentaa erikseen jos ei halua, kahden sekunnin googletus kertoo niin sen kuin tuon alkuperäisenkin syyn että miksi se on käyttäjän hakemistossa itse asennettaessa.)
Itse Chrome tallentuu harvinaiseen /opt hakemistoon, mutta sen asentaminen vaatii silti pääkäyttäjän oikeudet. Päivitys tapahtuu Ubuntussa normaalisti dpkg:llä ja sen paketinhallintatyökalulla aptilla.
@windosista vapaa (sic!): koodin sijoittaminen käyttäjän datahakemistoon ja sen muokkaaminen siellä ei ole perusteltavissa.
Tarkistussummia laskeva palomuuri vain pahentaa asiaa, koska käyttäjä joutuu kuittailemaan kahdenlaisia ilmoituksia (sovelluksen päivitys, tarkistussumman muuttuminen) ymmärtämättä niitä. Ainoa järkevä järjestely on, että lupa kysytään juuri ennen päivitystä, ja että kaikki ajettava koodi on samassa hakemistohaarassa, johon vaaditaan ylläpitäjän tai rootin oikeudet. Varmenteilla luotettujen valmistajien päivitykset voidaan ajaa automaattisesti, niinhän Windows 7 tekee nytkin ajureille.
Kannattaisi siirtyä pikkuhiljaa windowsista Linuxiin niin ei tarvitse pelleillä windowsin kanssa.
Eikös tuo ole ihan windowsin tietoturvaominaisuus? Windowsissa on program files kansio missä ohjelma on ja sitten on "valehdeltu" program files missä on KLOONI kyseisestä ohjelmasta (appdata). Kun program files kansioon ei voi kirjoittaa, niin klooniin taas voi. Taisi olla jokin roaming tjsp ominaisuuden nimi. Itse huomasin tämän aikanaan kun käytti Mirc- IRC-clientia. Aikanaan asetukset tallentui suoraan mircin omaan kansioon. Nyt program filesissa, mihin mircin asensin oli ihan tyhjää. Skriptit eivät vain toimineet. Mircissä oli myös tapana ottaa "varmuuskopio" vain huitasemalla koko mirc-kansio talteen. Yhtäkkiä ihmettelin vain että kaikki skriptit oli kadonnut. Tämän myötä huomasin että samainen mirc - muutoksineen - on kloonattuna käyttäjäkansiossa ja näin ollen program filesiin ei ole missään tilanteessa koskettu. Sielä vain suoritetaan exe, joka samantien simuloituu virtuaaliseen kansioon.
@Upeaa tällaiset huippuasiantuntijan blogit,vaikka tällaiselle tavalliselle tallaajalle enimmäkseen silkkaa munkkilatinaa! Jonkun tiedonjyvän sentään ehkä aika-ajoin omaksuu. Pahoin pelkään, että silloin kun tietokoneet, internet ja älykännykät otettiin käyttöön,menetettiin lopullisesti oman elämän hallinta,asiantuntija saa sinusta tietoonsa halutessaan kaiken.
No,minulla ei ole salattavaa,mutta kuten joskus aiemmin totesin,jos suunnittelisin täydellistä rikosta, heittäisin ensinnä vesilintua läppärillä ja kännyllä.
Niin sitä vaan Järvinenkin menee näköjään vipuun tietoturva-asioissa.
Siinä vaiheessa kun kone on saatu ajamaan tavallisen käyttäjän oikeuksilla haittaohjelman koodia, on peli jo menetetty. Ylläpito-oikeudet hakkerille olisivat siinä vaiheessa enää kiva bonus.
Tavallisen käyttäjän oikeuksilla pääsee käsiksi kaikkeen olennaiseen tietoon: dokumentteihin. Tavallisen käyttäjän oikeuksilla voi myös asentaa ohjelmia, jotka käynnistyvät automaattisesti sisäänkirjautuessa.
Tavallisen käyttäjän oikeuksilla on myös lähes aina mahdollista lähettää palomuurista huolimatta tietoa ulospäin. Jos ei muuta niin DNS-kyselyitä tekemällä, joka hyvin harvassa koneessa on oletuksena estetty.
Se on siis käytännössä merkityksetöntä vaikka haittaohjelma pystyisi korvaamaan käyttäjän Chromen toisella ohjelmalla. Siinä mielessä Chromessa on tehty järkevä ratkaisu, koska hyödyt ovat suuremmat kuin haitat.
Pekka
>Siinä mielessä Chromessa on tehty
>järkevä ratkaisu, koska hyödyt
>ovat suuremmat kuin haitat.
Ei ole, Chromen ratkaisu on pöljä. Jos kaikki noudattaisivat sitä, Windowsin yritys parantaa tietoturvaa Macin ja Linuxin tasolle ei koskaan onnistuisi.
Se, että ohjelman voi asentaa käyttäjähakemistoon tai virtualisoituun ohjelmahakemistoon, on pakkoratkaisu *vanhoja* sovelluksia varten. Tällä vuosituhannella tehtyjen sovellusten pitää varautua peruskäyttäjän rajoitettuihin oikeuksiin ja lopettaa kirjoittaminen ohjelmahakemistoihin. Siihen ei ole mitään todellista tarvetta.
IE9 ja Firefox toimivat tässä suhteessa oikein. Koodi ja käyttäjän data pidetään erillään.
On totta, että perusoikeuksillakin pystyy asentamaan automaattisesti käynnistyvän haittaohjelman - tosin vain niitä uusia, jotka tuntevat asian. Vanhemmat yrittävät edelleen tarttua Windowsin ohjelmahakemistoihin mikä ei onnistu, jolloin haitake ei toimi lainkaan.
Perusoikeuksien suurin hyöty on siinä, että kotihakemistoon tarttunut haitake on helppo poistaa (kirjautumalla ylläpitotunnuksella sisään) eikä haitake voi tarttua itse käyttöjärjestelmään.
Peruskäyttäjän oikeuksilla ei voi muuttaa softapalomuurin asetuksia. Jos datan lähettäminen on sallittu, vika on asetuksissa. Toki käytännössä asialla ei ole juurikaan merkitystä, sillä 80- ja 443-porttien kautta voi lähettää mitä tahansa.
Tarkastelemme asiaa eri näkökulmista. Sinun näkökulmasi lienee hieman pragmaattisempi ja peruskäyttäjää ajatteleva, sisältäen enemmän harmaansävyjä. Oma näkökulmani on mustavalkoisempi tarkastelu absoluuttisesta tietoturvasta. Oletan siis, että hyökääjä on älykäs, jopa täydellinen. Mielestäni se on oikeaa tietoturvaa, muu on luuloturvaa. Myönnän että se on kärjistettyä, ja että haittojen asettaminen hidastaa tai jopa estää hyökkäyksen.
Tänä päivänä käyttöjärjestelmien pitäisi olla sellaisia, ettei ohjelmia voisi ajaa kuin tietyistä hakemistoista. Ja näihin hakemistoihin kirjoittaminen perusoikeuksilla olisi estetty. Jotain tämän suuntaista olen lukevinani sinunkin jutuista rivien väleistä.
Mutta näinhän asia ei Linuxissa ja Macissäkään ole. En ole ikinä ymmärtänyt myyttiä Linuxin/Macin paremmasta tietoturvasta, sillä niissä on täsmälleen sama huono perusrakenne kuin Windowsissa. Vaikea sanoa onko Windowsissa ollut enemmän aukkoja eli bugeja. Ehkä, mutta on niitä Unixissakin tullut vastaan häkellyttävän paljon, ja siinä hommassa olen päässyt olemaan sekä ottavana että antavana osapuolena.
Näin rivien välistä ymmärrän nyt paremmin sanomasi siitä, että Chromen ratkaisu haittaa kehitystä. Jos siis kehityksen suunnaksi halutaan se, että Windows/Linux/OSX ei jonain päivänä suostuisi ajamaan ajettavaa tiedostoa muualta kuin järjestelmähakemistoista.
Eli vielä rautalangasta: jos käyttäjällä olisi vaikkapa omassa kotihakemistossaan .exe-tiedosto, joka on jopa ylläpitäjän oikeuksilla sinne luotu, niin käyttöjärjestelmä ei vain suostuisi sitä ajamaan. Tiedostojärjestelmän käyttöoikeudet eivät ole tähän ratkaisu, vaan ainoa todellinen ratkaisu olisi järeä arkkitehtuurimuutos.
Tähän suuntaan kehityksen tosiaan toivoisi kulkevan ja nopeasti, vaikka se aiheuttaakin suuria käytännön ongelmia. Ironista kyllä, prosessoreissahan vastaavia arkkitehtuureja on ollut jo iät ja ajat. Käyttöjärjestelmissä tämä kehitys on jo vauhdissa mobiilipuolella, onneksi.
>Eli vielä rautalangasta: jos
>käyttäjällä olisi vaikkapa omassa
>kotihakemistossaan .exe-tiedosto,
>joka on jopa ylläpitäjän oikeuksilla
>sinne luotu, niin käyttöjärjestelmä
>ei vain suostuisi sitä ajamaan.
Näinhän se taisi Unixissa alunperin ollakin. Vinkki: miksi path-asetuksessa on pelkkä piste?
Se piste avitta sen verran, että ei tarvitse kirjoitella ./ohjelma vaan olemassa olevassa hakemistossa kirjoitat vain ohjelma ja johan starttaa.
Mielestäni Unixissa ei ole koskaan rajoitettu mistä ohjelman voi käynnistää.
Toki nykyään selinux ja apparmour jne mahdollistavat kuka ja mistä ohjelman saa käynnistää.
Minulla Chrome on c:\Program Files(x86)\Google\Chrome\Application -hakemistossa. Voi olla itse ohjasin sen sinne, en enää muista. (win7)
Kyllähän tässä on kyseessä kaksiteräinen miekka. Googlen puolustukseksi, Google tarjoaa myös työkalut ylläpidolle jolla asennukset voidaan estää. Vastaavasti ylläpitoa varten on olemassa paketti joka asentaa Chromen myös oikeaan paikkaansa.
Itse näen ongelman siten päin että Windows alustana ei tarjoa ohjelmistokehittäjille työkaluja päivittää omia ohjelmiaan automaattisesti, joten pitää keksiä tällaisia kikkoja ja kiertoteitä jotta ohjelmat saadaan pysymään ajantasalla.
Vastaavaa ongelmaa ei ole niin huomattavissa määrin esim Linux distribuutioissa koska tämä mekanismi on jo olemassa ja ohjelma voidaan asentaa oikeaan paikkaansa.
>Vastaavaa ongelmaa ei ole niin
>huomattavissa määrin esim Linux
>distribuutioissa koska tämä
>mekanismi on jo olemassa
Eli Chrome voi siellä päivittää itsensä automaattisesti uuteen versioon? Perustuuko se varmenteisiin vai mihin?
Sitten on jäljellä vielä filosofinen kysymys: onko hyvä, että ohjelma voi oma-aloitteisesti ja käyttäjän huomaamatta päivittää itsensä, vai pitäisikö käyttäjällä olla aina viimeinen sana?
Nettipalveluissa usein harmittaa, kun joku ominaisuus muuttuu huonompaan suuntaan, eikä käyttäjä voi jatkaa vanhemmalla versiolla. Onko toivottavaa, että sama idea leviää perinteisiin sovelluksiin?
Linux distrubuutioissa on kaikissa avain, jollla paketit on allekirjoitettu, joten ne pitäisi olla luotettavia, paitsi jos avain on onnisttuttu varastamaan.
Kaikissa Linux distrubuutioissa on mahdollista tehdä automaattinen päivitys tai käyttäjän pitää hyväksyä se. Jälkimmäinen on yleensä oletus kaikissa distrubuutioissa.
Tuo parempi/huonompi on yleensä katsojan silmässä. Kyllä niille yleensä jokin peruste on.
@Pekka Myllyrinne:
jos käyttäjällä olisi vaikkapa omassa kotihakemistossaan .exe-tiedosto, joka on jopa ylläpitäjän oikeuksilla sinne luotu, niin käyttöjärjestelmä ei vain suostuisi sitä ajamaan. Tiedostojärjestelmän käyttöoikeudet eivät ole tähän ratkaisu, vaan ainoa todellinen ratkaisu olisi järeä arkkitehtuurimuutos.
Tuollainen järjestely voidaan tehdä käyttöoikeuksilla kaikissa nykyisissäkin järjestelmissä, vaikkei se oletusarvo olekaan.
Oleellista on erottaa tavallinen käyttö ja ylläpito (sis. mm. sovellusten asentamisen). Se, joka omistaa koneen ja vastaa sen käytöstä, tietää aina ylläpitotunnuksen. Ohjelman asentaminen on aina ylläpitoa riippumatta siitä, onko kyseessä ajuri, sovellus vai haittaohjelma.
Kotikäyttäjä tietää oman koneensa ylläpitotunnuksen, yrityksessä sen tietää tietohallinto tai mikrotuki. Ikävä juttu työpaikoilla, kun on työpöytä on lukittu eikä voi asentaa parempaa selainta, mutta oikea ratkaisu ei ole asentaa Operaa tai Chromea käyttäjän omaan datahakemistoon. Kyse on kuitenkin työnantajan omistamista laitteista.
Yksi ratkaisu tehokäyttäjille on tuoda työpaikalle omat koneet ja käyttää niitä yritysverkon ulkopuolella esim. 3G-datalla (BOYD-ajattelu, joka nyt on kovin suosittua).
Googlen valinta asentaa Chrome käyttäjän hakemistoon liittyy käytettyyn asennustekniikkaan: Chrome käyttää ns. ClickOnce-asennusta, joka on Microsoftin helppoa netistä käsin tehtävää asennusta varten tekemä tekniikka. Eli kyseessä ei ole mikään Googlen yritys kiertää sääntöjä, vaan Google käyttää Microsoftin tarjoamaa työkalupakkia oikein hyväkseen. ClickOnce ei edes tue kaikille käyttäjille asentamista.
Tällä tavalla jokainen käyttäjä voi ajaa haluamaansa versiota Chromesta, ja yhdellä käyttäjällä voi helposti olla monta eri versiota rinnakkain. Syy on siis sekä tekninen että looginen; itse pidän Chromesta juuri tällaisena kuin se on, en näe mitään syytä miksi tämän pitäisi asentua käyttäjäprofiilin ulkopuolelle. En ymmärrä minkä vuoksi tämä tapa olisi turvattomampi kuin jokin muu tapa.
Kiitos Tero asiantuntevista kommenteista.
Tietoturvan näkökulmasta olen edelleen sitä mieltä, että sovellusten asentamisen pitäisi vaatia ylläpito-oikeudet (pl. digitaalisesti allekirjoitetut päivitykset). Tämä antaisi koneen omistajalle - on se sitten yritys tai perheenisä/äiti - mahdollisuuden varmistaa koneen tietoturvan säilyminen surffailuista, viruksista ym. huolimatta. Käyttäjän näkökulma on tietenkin toinen: hän haluaa mahdollisuuden asentaa mitä vain sovelluksia "omaan" koneeseensa.
Koodin ja datan sotkeminen samaan hakemistoon on lähtökohtaisesti huono idea - sehän esim. mahdollistaa haittaohjelmat, jotka pätsäävät lennossa sovellusta.
Chrome-ympäristön siirtyminen roaming-profiilin mukana koneesta toiseen on niin ikään kyseenalainen ratkaisu, parempi tapa on synkronoida asetukset, laajennukset ja kirjanmerkit kuten Chrome ja Firefox nykyään tekevätkin.
Koodin ja datan pitäminen erillään on tietoturvan ja loogisen kehittämisen kannalta perusteltua mutta näitä tasojen sotkemisia käytettiin ennen suorituskyvyn parantamiseksi. Lisäksi joissain tietojenkäsittelyn paradigmoissa tieto, logiikka, ja hardis on sekoitettu tehojen maksimoimisen takia. Vahva erotus on sekä uutta että vanhaa yhtäaikaa. Esim. analogisessa tietotekniikassa data ja logiikka ovat sekaisin ja sama koskee monia laitteistopohjaisen tekoälyn muotoja kuten memristor verkkoja ja analogisia neuroverkkoja.
MikroPC:n Kromi-portaabeliversio (www.mikropc.net/mpc-kromi) on hyvä mm. siksi, että sitä ei tarvitse asentaa erikseen Windowsiin. Mutta varmuuskopion ottoa siitä en ainakaan minä ole saanut onnistumaan täydellisesti. Ainakin Windows XP:llä kopiointi stoppaa pariin alihakemistoon, joiden nimissä on erikoismerkkejä.
Minulla sekä Chrome että kaikki Operan versiot ovat aina asentuneet ihan perinteiseen paikkaan, sekä Windows XP:ssä, Vistassa että 7:ssa. On toki totta, että tahallaan asentamalla erilaiseen hakemistoon (tai tekemällä asennuksen ilman järjestelmävalvojan oikeuksilla olevaa tunnusta) voi asennus mennä muualle, mutta se on asentajan vika. Lisäksi Operasta on saatavilla monenlaisia asennuspaketteja; asennuksen voi ohjata suoraan johonkin tiettyyn hakemistoon sekä myös portable-versio on olemassa.
Ongelman analysointiin (esimerkiksi juuri Operan kohdalla) pitäisi tietää enemmän Petterin koneen asetuksista, ja esimerkiksi tietoa siitä, onko hän testannut tätä varmaankin alunperin Tietokone-lehden selainvertailua varten tehtyä testiä muulla kuin vain yhdellä (juuri sillä omille asetuksilleen viritetyllä) koneella.
En ole itse siis vielä kertaakaan nähnyt Chromen enkä Operan selaimen asentuvan minnekään muualle kuin program filesin alle (tai program files (x86) jos on 64-bittinen windows.)
hmm, näköjään olin väärässä ja Chrome on tosiaan asentunut käyttäjän profiiliin. Opera sen sijaan ei ole.
Lähetä kommentti