Stuxnet ja epäonnistunut kybersota

Helsingin Sanomien pääkirjoituksessa pohditaan tänään sunnuntaina uuden ajan sodankäyntiä. On syytäkin. Samalla, kun Suomessa kiistellään varuskuntien määrästä ja harkitaan asepalveluksen lyhentämistä, sodan uhkakuvat ovat siirtymässä muualle. Tietoyhteiskunnan sodat käydään verkossa.

Kybersota on mediaseksikäs aihe, jossa on helppo sortua liioitteluun. Tieteiselokuvissa virukset ja verkkomadot saavat yhteiskunnan polvilleen ja Skynet ottaa hallintaansa koko maapallon. Mutta elokuvat eivät ole totta. Fakta on, että laajamittaisen ja pitkäkestoisen vahingon tekeminen on edelleen helpompaa reaalimaailmassa kuin verkossa.

Suurin uhka liittyy kohtiin, joissa tietoverkko ja reaalimaailma yhdistyvät. Tehtaita, voimaloita ja vaikkapa katuvalaistusta ohjataan yhä useammin tietoverkon tai jopa kännykän kautta. Jos näihin järjestelmiin pystytään hyökkäämään, reaalimaailmalle voidaan aiheuttaa todellista ja pitkään vaikuttavaa haittaa.

Kehittynyt Stuxnet-mato yrittää juuri sitä. Mutta toisin kuin Mikael Pentikäisen kirjoitus antaa ymmärtää, Stuxnet ei ole merkki verkkosodan vaarallisuudesta vaan pikemminkin sen vaarattomuudesta. Jos Stuxnet todella on Iranin ydinvoimaloita vastaan kohdistettu, Israelissa valmistettu kyberohjus, se on epäonnistunut. Vaikka virus sai levitä vuoden ajan ennen paljastumistaan, se ei tiettävästi onnistunut aiheuttamaan merkittävää vahinkoa Iranin ydinohjelmalle. Sitä vastoin virus on levinnyt hallitsemattomasti mm. Kiinaan, Intiaan, Pakistaniin, Indonesiaan ja Yhdysvaltoihin. Ja nyt se on kansainvälisen spekuloinnin ja yleisen mielenkiinnon kohteena, mitä yksikään hyökkääjä ei toivoisi.

Stuxnet ei ollutkaan varsinaista kybersotaa vaan lähinnä sähköistä sabotaasia. Metsään meni -- mutta kuka tietää, miten käy ensi kerralla? Ja kuka tietää, miten hyvin Suomi on varautunut näihin uhkiin? Julkista keskustelua puolustusvoimien tulevaisuudesta käydään edelleen talvisodan lähtökohdista. Varuskuntia lisäämällä tai pakollisella asevelvollisuudella ei stuxnetejä torjuta.

Mitä Stuxnetiin tulee, kaikki on puhdasta spekulointia. Faktoja ei yksinkertaisesti ole. Tiedetään vain, että virus on teknisesti erittäin kehittynyt ja ensimmäinen, joka hyökkää selkeästi teollisuusautomaation järjestelmiä vastaan. Ei ole mitään varmuutta edes siitä, että kohteena olisi Iran tai tekijänä Israel. Ehkäpä osat ovat peräti päinvastoin? Nykytekniikalla verkkosota on niin epämääräistä, ettei aina voida edes tietää kumpi on hyökkääjä ja kumpi kohde.

Voi vain toivoa, että viruksen taustat joskus paljastuvat. Aiempien tapausten (mm. Nimda, Conficker) valossa se ei ole kovin todennäköistä.

Kirjoituksen lopussa Pentikäinen kertoo Cert-fi:n toimivan lähinnä elinkeinoelämän hyväksi, koska saa sieltä rahoituksensa. Cert-fi on kuitenkin Viestintäviraston alainen yksikkö ja siten osa koko kansaa hyödyttävää viranomaistoimintaa. Myös viittaus F-Securen viruslaboratorioon on hieman... hmm, markkinointihenkinen.

Tarvitaanko virustorjuntaohjelmia?

Aamulehti on nostanut haastatteluni kärjeksi virustorjuntaohjelmat: Tunnettu tietokoneasiantuntija Petteri Järvinen yllättää: hänellä ei ole ollut omassa tietokoneessaan koskaan virustorjuntaohjelmistoa.

Olen kirjoittanut asiasta aiemmin, mm. Tietokone-lehden kolumnissa Tietoturvan medikalisaatio (maaliskuu 2006).

Tietoturvakoulutuksessa muistutetaan aina, miten tärkeää on käyttää ajan tasalla olevaa virustorjuntaohjelmaa. Ohjeet on tarkoitettu käyttäjille, jotka eivät tiedä eivätkä haluakaan tietää asiasta mitään. Kehotus ostaa jokin tuote ongelman ratkaisemiseksi on yleispätevä ja ainoa, minkä tuossa tilanteessa voi antaa. Mutta se ei ole koko totuus. Ei lähellekään.

Tietoturvaohjelmat aiheuttavat monia lieveilmiöitä. Ne hidastavat Windowsin käytön pahimmillaan mateluksi ja saattavat aiheuttaa vaikeasti tunnistettavia yhteensopivuusongelmia. Eräs tuore tapaus sattui viime syksynä. McAfeen ongelma Windows XP SP3-koneiden kanssa aiheutti viikko sitten suoranaisen kaaoksen: sairaaloita ja kauppoja jouduttiin sulkemaan, poliisin toiminta häiriintyi; Suomessa ongelmista kärsivät mm. TeliaSonera ja Helsingin Sanomat.

Tekniset ongelmat on helppo ymmärtää, koska torjuntaohjelmat pyrkivät tunnistamaan satoja tuhansia haittaohjelmia ja jotain löydettyään eliminoimaan tiedoston. Väärät diagnoosit ja siitä seuraavat ongelmat ovat väistämättömiä. McAfeen aiheuttama tuho oli kuin laajamittaisen verkkohyökkäyksen jäljiltä.

Sitten on vielä talouspuoli. Virustorjunta on monelle kotikäyttäjälle ainoa ohjelma, josta pitää maksaa - ja vieläpä vuosittain. Joissakin uusissa koneissa on valmiina torjuntaohjelman testiversio (yleensä juuri McAfee), josta on erittäin vaikea päästä eroon muutoin kuin maksamalla pyydetty hinta. Aivan kuin kyseessä olisi haittaohjelma. Torjuntaohjelmien tekijät maksavat laitevalmistajille selvää rahaa saadakseen ohjelmansa testiversion mukaan levylle.

Torjuntaohjelmien myynti on raakaa bisnestä. Kuka muistaa vielä matkapuhelimiin myydyt palomuuri- ja virustorjuntasoftat? Torjuntabisnes alkaa muistuttaa yhä enemmän vihollistaan. Lääke on pahempi kuin tauti.

Moni luopuisi mielellään torjuntaohjelmista. Mutta voiko ilman niitä todella pärjätä?

Nykyiset virukset ovat hyvin selkeitä ja yksinkertaisia. Takavuosina virus saattoi aktivoitua varovaisenkin käyttäjän sähköpostista, sillä se aktivoi itsensä jo viestin esikatselussa, tai levisi koneelle matona paikkaamattoman aukon kautta.

Nyt vaarana ovat lähinnä ovelat huijaukset (kuten muka laskut tilatuista tuotteista tai ilmoitus toimittamatta jääneestä tavaralähetyksestä) sekä selaimen aukot. Jälkimmäisiä vastaan auttaa päivittäminen, mitä käyttöjärjestelmä ja selain tekevätkin kiitettävän automaattisesti ja säännöllisesti. Kannattaa myös varoa, millä sivuilla surffaa. Hyvämaineisilla sivuilla vaara on pienempi.

Mikään ei korvaa omaa varovaisuutta. Ei kannata ladata netistä mitään hupiohjelmia eikä "tietoturvan parantamiseksi" tarkoitettuja valeohjelmia. Nämä scareware-ohjelmat ovat suuri hämäräbisnes. Niissä hyödynnetään taitavasti sitä mielikuvaa, että tietoturva saavutetaan asentamalla turvaohjelma.

Keskeinen ase haittaohjelmien torjunnassa ovat rajoitetut käyttäjäoikeudet. Linux ja Mac OS X ovat turvallisempia juuri siksi, että niissä pääkäyttäjän tunnus on Windowsia selvemmin erotettu peruskäyttäjän tunnuksesta. Windowsissa pitää noudattaa samaa periaatetta: arkipäiväinen käyttö perusoikeuksilla ja admin-tunnus vain tarvittaessa.

Windows XP:ssä kahden tunnuksen käyttö vaati pientä näpertelyä, mutta Vistasta alkaen se on erittäin helppoa. Lopputulos on erittäin turvallinen: kun käyttäjä ei pysty asentamaan haittaohjelmaa vaikka yrittäisi, kone pysyy puhtaana ilman torjuntaohjelmia.

Testasin asiaa Tietokone-lehden artikkelia varten (numero 1/2010). Yritin saada koneen saastumaan peruskäyttäjän oikeuksilla käynnistämällä tahallani erilaisia haittaohjelmia. Useimmat haittaohjelmat eivät toimineet lainkaan, koska ne halusivat kirjoittaa itsensä suojattuihin hakemistoihin ja Windows esti sen. Jokunen ohjelma toimi ja sai käynnistettyä itsensä aina, kun käyttäjä kirjautui sisään. Tällöinkään haittaohjelma ei pystynyt aiheuttamaan varsinaista vahinkoa ja koneen puhdistaminen olisi ollut erittäin helppoa: kirjaudutaan sisään pääkäyttäjän tunnuksella, poistetaan haittaohjelman tiedosto tai ääritapauksessa käyttäjän kotihakemisto, jonka jälkeen se luodaan uudelleen. Voila!

Perusoikeuksilla on vaikea saada Windowsia saastumaan. Kun tähän vielä lisää oman varovaisuuden, säännölliset päivitykset ja laajakaistapurkissa olevan palomuurin, nettikäyttöä voi harjoittaa turvallisesti ja ilman erillistä torjuntaohjelmaakin.

Kaikkien aikojen viruskuukausi

Kesäkuun viimeisenä päivänä on aika laskea kuukauden aikana kertyneet roska- ja virusviestit. Tässä kuussa lopputulos on ällistyttävä: postilaatikkooni on tullut peräti 508 virusviestiä! Kasvu on hämmästyttävä, sillä toukokuussa viestejä tuli kokonaista yhdeksän kappaletta, huhtikuussa 42, maaliskuussa 43, helmikuussa kahdeksan ja tammikuussa viisi.

Tämän päivän virukset ovat aivan erilaisia kuin viisi vuotta sitten, jolloin Blaster, Sobig ja Welchi kuormittivat sähköposteja tukkoon ja pakottivat mm. suomalaisen pankin sulkemaan pankkikonttoreita ylimääräisenä varotoimena.

Virukset eivät enää leviä sähköpostin tiedostoliitteinä, sillä postipalvelinten virustarkistukset tunnistaisivat virukset helposti. Nyt viestissä tulee vain houkuttavalla tekstillä varustettu linkki ("You look really stupid petteri", "Downloadable porno DVD's for free"), joka osoittaa www-palvelimelle. Näin uhri saadaan huijattua lataamaan itse haittaohjelma koneeseensa.

Kaikesta päätellen kikka toimii. Uteliaisuus ja ilmainen porno houkuttavat. Mutta on asiassa muutakin - valtaosa viesteistä näyttää olevan peräisin Brasiliasta, Venäjältä, Kiinasta ja Itä-Euroopan maista. Näistä maista nettiin on tullut hiljattain miljoonia uusia, täysin kokemattomia käyttäjiä, jotka eivät osaa varoa. Tekemieni pistokokeiden perusteella yksikään virusviesti ei ole tullut suomalaiselta käyttäjältä. Tässä suhteessa tilanne on tuntuvasti kehittynyt muutaman vuoden takaisesta.

Tämänkertaisen virusvyöryn hyvä puoli on siinä, ettei viesteissä ole mitään uutta tai innovatiivista. Kaikki varioivat samaa, yksinkertaista kaavaa. Vain viestien otsikot vaihtelevat. Vaaralliset viestit on niin helppo tunnistaa, ettei apuun tarvita välttämättä edes torjuntaohjelmaa.

Lisäys 30.6.2008 klo 23:57: virusviestien määrä kesäkuussa nousi lopulta 514:ään, sillä kuukauden viimeisen tunnin aikana tuli vielä kuusi viestiä.