Havaintoja iltauutisista

Mediat valittavat säästöpaineita. Nyt olisi hyvä hetki säästää ja olla lähettämättä omaa toimittajaa Filippiinien tuhoalueelle. Miksi jokaisen lehden/tv-kanavan pitäisi lähettää oma miehensä/naisensa paikan päälle pelastushenkilökunnan jalkoihin kertomaan samat sanat hävityksen kauhistuksesta? Pari kansainvälistä tv-kanavaa riittäisi, eivät ne ihmisten tragediat siitä muutu. Jokaisen kohtalo on omanlaisensa, mutta kuitenkin niin samanlainen.

Maikkarin uutisia katsoessa tuli mieleen, että 55 tuuman televisiolla ehkä vähän pienempikin fontti riittäisi. Nyt tiedän, mitä tarkoittavat "kissankokoiset kirjaimet" -- vaikka elikolla olisi häntäkin pystyssä.

"Kissankokoiset kirjaimet" Kymppiuutisten alussa.

Teksti-ikkunan korkeus on yli 25 senttiä. No, näkyypä ainakin sohvalle, vaikka silmälasit olisivat hukassa.

Illan uutisissa oli muutenkin dramaattisia aiheita:

HAGLUND, HUOLTOVARMUUS, PUOLUSTUS, VAKOILU

Hmm... puolustusministeri, huoltovarmuus, puolustus ja vakoilu samassa uutislähetyksessä. Otsikoista päätellen elämme mielenkiintoisia aikoja.

Olisiko Lex Nokia pelastanut UM:n vakoilulta?

Kuka vielä muistaa neljä vuotta sitten käydyn kiistan Lex Nokiasta? Hesarin juttu siitä, miten Nokia ajoi kulisseissa Suomeen nettiliikenteen valvontaoikeuksia lisäävää lakia aiheutti kansanliikkeen valvontaoikeuksia vastaan.

Mitään todisteita Nokian painostuksesta ei koskaan löytynyt. Laista tuli niin raskas ja vaikeaselkoinen, ettei mikään yritys ole uskaltanut ottaa sitä käyttöön.

Lain keskeinen ajatus oli siinä, että yhteisötilaaja (yritys tai organisaatio) voisi automatisoida verkkoliikenteensä seurannan ja saada ilmoituksia poikkeavuuksista. Näin kerätty todistusaineisto olisi sitten luovutettu poliisille varsinaisen esitutkinnan pohjaksi.

Ironista kyllä, ulkoministeriön vakoilu on alkanut juuri samoihin aikoihin kuin laista riideltiin.

Suomen tiukka sähköisen viestinnän tietosuojalaki tekee vakoilun havaitsemisen vaikeaksi, sillä yhteisötilaaja ei saa laillisesti seurata verkkonsa liikennettä proaktiivisesti. Vain akuutit virhetilanteet saa selvittää, ja silloinkin se on tehtävä viestinnän luottamuksellisuutta loukkaamatta.

Jos olisin töissä NSA:n TAO-yksikössä, lähettäisin ministeriöön (tai Nokialle) kohdistetun haittaohjelman, joka keräisi kiinnostavaa dataa ja lähettäisi sen vaikka kerran päivässä sähköpostilla osoitteeseen spy@nsa.gov. Tällaista urkintaa ei Suomessa voisi havaita lakeja rikkomatta.

Onko Suomi ollut liian hyväuskoinen ja sinisilmäinen? Onko meistä tullut "moraalin suurvalta", kuten Marko Hamilo sattuvasti luonnehti Facebookissaan?

Jatkossa Ruotsin FRA-lain ja Lex Nokian pilkkaamiseen ei enää ole syytä. Suomen on pelattava samoilla säännöillä kuin muutkin valtiot.

Verotilin insinööriturva turhaa käyttäjän kiusaamista

Verottaja avasi muutama vuosi sitten palvelun, jossa yritykset voivat hallita veroluonteisia maksujaan. Rekisteröidyin käyttäjäksi ja valitsin 8-merkkisen salasanan, aivan kuten pyydettiin.

Tänä vuonna tuli ilmoitus, että tietoturvan parantamiseksi salasanojen vaatimuksia kiristetään. Niissä pitää jatkossa olla isoja ja pieniä kirjaimia sekä numeroita. Kun en tehnyt muutosta ajoissa, en tänään enää päässyt hallinnoimaan yritykseni maksuja. Jouduin käyttämään aikaani päästäkseni salasanojen hallintaan ja luomaan uuden, vaatimukset täyttävän salasanan.

Episodi on hyvä esimerkki siitä, miten insinöörien käsitys tietoturvasta on kaukana arjen todellisuudesta. Ja IT-osastot ovat täynnä insinöörejä (kuten minäkin). Ei ihme, että meillä riittää turvaongelmia. Tietoturvassa teoria ja käytäntö ovat usein kaksi eri asiaa.

Se, onko kahdeksan merkin salasanassa pelkkiä pieniä kirjaimia vai myös isoja ja numeroita, ei faktisesti vaikuta turvallisuuteen mitenkään. Voi käydä jopa niin, että kiristetyt vaatimukset pakottavat kirjoittamaan salasanan paperille tai helpottavat sen unohtamista, jolloin kokonaisvaikutus tietoturvaan on negatiivinen.

Salasanaohje on jo itsessään hieman koominen:

Salasanaohje viraston malliin.

"Vältä salasanojen kirjoittamista ylös. Jos kuitenkin teet niin..." Heh.

Jos salasanan minimipituus on kahdeksan merkkiä, sen arvaamisen kannalta on täysin yhdentekevää onko isoja kirjaimia ja numeroita vai ei. Vähintään kahdeksan merkin salasanan arvaaminen on täysin mahdotonta. Kahdeksalla pienaakkosella on 377 801 998 336 vaihtoehtoa (siis ilman numeroita, erikoismerkkejä ja isoja kirjaimia). Mahdollisia lottorivejä on vain 15 380 937 kappaletta. On siis noin 24 532 kertaa todennäköisempää voittaa lotossa kuin arvata pelkistä pienistä kirjaimista koostuva kahdeksanmerkkinen salasana (ok, salasana ei ole satunnainen, vaan yleensä jokin oikea sana, mutta silti veikkaisin mieluummin lottoa kuin salasanaa).

Ainoa tilanne, missä numeroiden ja isojen kirjainten vaatimisella on merkitystä liittyy brute-force-hyökkäykseen. En kokeillut asiaa mutta oletan, että tili menee lukkoon jo alle kymmenen väärän arvauksen jälkeen. Jos yrityksiä vielä jatketaan, ennen pitkää poliisi kolkuttaa ovelle. Brute-force ei toimi online-palveluissa.

Brute-force voi tulla kyseeseen vain, mikäli hyökkääjä murtautuu itse palveluun ja varastaa sen suojatun käyttäjätietokannan. Tietokone pystyy kokeilemaan miljoonia vaihtoehtoja sekunnissa ja silloin kahdeksan merkin mittaiset helpot salasanat voidaan murtaa.

Mutta jos niin käy, vika ei ole käyttäjässä eikä huonossa salasanassa, vaan ylläpidossa. Miksi käyttäjien pitää ottaa vastuuta, joka kuuluu järjestelmän rakentajille?

Ja kaiken huipuksi salasanan murtamisella ei verotilin kannalta ole edes merkitystä, koska todentamisen jälkeen sinne pääsy vaatii vielä kertakäyttösalasanan.

Salasanavaatimusten kiristäminen on ainakin tässä tapauksessa pelkkää insinööritiedettä -- käyttäjien kiusaamista, joka ei paranna turvallisuutta.

UM-urkinta herättää kysymyksiä

Ulkoministeriön paljastunut urkintatapaus herättää paljon kysymyksiä. Vastauksia on vähemmän. Ymmärrettävästi kaikkea ei haluta kertoa, mutta joistakin vastauksista paistaa joko tahallinen tai tahaton väärinymmärtäminen.

Hesarin mukaan ulkoministeriön verkko oli vuosia ulkopuolisen tahon hallussa. Tämä on äärimmäisen noloa maalle, joka on halunnut tehdä tietoturvasta uuden vientituotteen ja profiloitumiskeinon. Tähän asti pisin tiedossa ollut APT-hyökkäys on kestänyt 28 kuukautta. Jos tieto pitää paikkansa, Suomi on tehnyt uuden maailmanennätyksen.

IT-osaston vähättely siitä, miten suojaukset ovat kyllä kunnossa, mutta tällaista voi silti sattua, ja että se olisi paljastunut ilman ulkopuolisen (NSA?) antamaa vinkkiä ennen pitkää, ei kuulosta lainkaan vakuuttavalta. Vuosia jatkunut vakoilu UM:n verkossa EU-asioiden urkkimiseksi on megaluokan moka. Eikö UM tarkkaile verkkonsa liikennettä? Missä oli suomalainen tietoturvaosaaminen kun maahan hyökättiin?

UM:n mukaan samanlainen vakoiluhyökkäys on tehty muissakin maissa. Ilmeisesti kukaan niistä ei ole kuitenkaan kertonut asiasta. Odotamme kiinnostuneena uutisia muista maista, josko ne kertoisivat enemmän kuin omat viranomaiset. Supon salainen esitutkinta kestää tiedottajan mukaan vielä pitkään (ja on kestänyt jo puoli vuotta).

Katainen ei halunnut nimetä urkkijoita, koska heidän tunnistamisensa on epävarmaa. Silti hän kertoi Suomen ryhtyneen "vastatoimiin". Mitähän ne mahtavat olla, jos hyökkääjää ei tunneta? Väärän tiedon syöttämistä, kenties? Diplomaatin kutsumista puhutteluun? Jotain muuta?

Ulkoministeri Tuomiojan mukaan hyökkääjät eivät saaneet käsiinsä arkaluonteista aineistoa, koska "sitä ei edes ollut murretussa verkossa". Selitys kuulostaa epäuskottavalta. Montako verkkoa UM:ssä oikein on? Kuinka ne on eristetty toisistaan? Onnistuneessa APT-hyökkäyksessä pystytään siirtymään sisäverkossa tietokoneelta toiselle. Mitään turvallista verkkoa ei ole. Vain kirjoituskoneella paperille tulostettu aineisto on turvallista. Ehkä Tuomioja viittasi juuri siihen. Jos paperi tehdään tietokoneella ja tulostetaan, vakoilu voi napata tekstin.

Olisi kiinnostavaa tietää, miten Suomen ylintä johtoa ja kansanedustajia on evästetty tietoturvaan liittyvistä asioista. Ilmeisesti ei kovin hyvin. Mikähän urkinta paljastuu seuraavaksi?

Lisäys 17.9.2015: Ministeriön edustajan mukaan UM:ssä oli tuolloin kuusi verkkoa. Hyökkääjät olivat päässeet vain yhteen, joka ei sisältänyt arkaluonteisia tietoja.

Suomi verkkovakoilun kohteena

Maikkari totisesti yllätti kertomalla Suomen ulkoministeriön joutuneen pitkäaikaisen verkkovakoilun kohteeksi. Asialla ei ollutkaan NSA, vaan tiettävästi Venäjä ja Kiina.

Noloksi vakoilun tekee se, ettei Suomi itse huomannut mahdollisesti jopa neljä vuotta jatkunutta urkintaa. Ajatus Suomesta tietoturvan Sveitsinä sai pahan kolauksen. Mahtoiko asiasta kertonut ulkopuolinen taho olla NSA?

Uutinen muistuttaa meitä siitä, ettei kaiken kiusallisen julkisuuden viime aikoina saanut NSA suinkaan ole ainoa urkkija. Lisäksi se osoittaa, että vaikka Suomi ei itsessään ole kovin kiinnostava kohde, asema EU:ssa tuottaa meille tietoa, josta muut ovat kiinnostuneita. Ketju on niin vahva kuin sen heikoin lenkki. Suomi ei varmaankaan halua olla EU:n vakoilun heikoin lenkki, eihän? Siksi myös meillä on varauduttava nettivakoiluun ja sen torjuntaan ihan kuten tärkeämmissäkin maissa.

Koska tietoa urkinnasta on kovin vähän, on turha spekuloida tekijöitä tai käytettyjä tapoja sen pidemmälle. Niiden aika on sitten, kun tiedämme lisää. Esitutkintaa suorittaa nyt suojelupoliisi, joka on luvannut tiedottaa asiasta aikanaan tarkemmin. Toivottavasti jotain kerrottavaa löytyy, ettei käy kuten Jemenin kaappauksessa. Kun kaapatut vapautettiin toukokuussa, KRP sanoi ryhtyvänsä tutkimaan asiaa. Sen jälkeen Jemenistä tai kaapatuista ei ole kuulunut sanaakaan. Koko tapaus unohtui saman tien.

Jotain voidaan päätellä epäseuorasti. Suomen kyky havaita nettivakoilua on riittämätön. Sen vuoksi on mahdollista, että muitakin tapauksia on ollut, mutta ne ovat joko jääneet havaitsematta tai ainakaan niistä ei ole kerrottu. Ei kerrottu tästäkään, mutta Maikkarin toimitus sai sen jotenkin selville. Tieto vuoti sisäpiiristä, jonka piti olla "erittäin pieni". Niinpä.

Tuomioja oli tiedotustilaisuudessa odotetun lyhytsanainen.

Lyhyessä tiedotustilaisuudessa ulkoministeri Tuomioja kertoi lähinnä sen, ettei voi kertoa mitään. Toimittajan kysymykselle Hotmail-käytöstä hän naurahti. Sen kautta hoidetaan vain henkilökohtaisia asioita, joita NSA saa vapaasti urkkia.

En ole samaa mieltä. Kun Tuomioja oli edellisen kerran ulkoministerinä, hänen Hotmail-osoitteensa esiintyi lehdistötiedotteiden lopussa. Vaikka ministeri ei itse olisi lähettänyt työasioita Hotmailista ulos, joku saattoi lähettää niitä hänelle sisään.

Lisäksi Hotmailin kautta on saatettu ujuttaa Red October tai vastaava haittaohjelma hänen koneelleen. Todennäköisesti Hotmailin haittaohjelmasuojaus on heikompi kuin ministeriön virallisen sähköpostin (toivottavasti ainakin). Ehkä pääsyn verkkoon avannut haitake on päässyt sisään jonkun tärkeän virkamiehen koneelta?

Se, että koneessa on eri sähköpostit työasioita ja henkilökohtaisia asioita varten, ei riitä. Koneiden pitäisi olla täysin erillisiä.

Odotamme kiinnostuneena, mitä Supo saa selville, ja mitä siitä kerrotaan julkisuuteen.

PS. Onneksi salaisimmat asiakirjat Suomen ja EU:n välillä on jo jonkin aikaa siirretty paperimuodossa. Niitä on paljon vaikeampi urkkia, ainakaan verkon kautta.

Suomen oudoin huutokauppa oli rumuuskilpailu

Miltä kuulostaa seuraavanlainen huutokauppa: myynnissä on ilmaa, josta tarjouksia tekevät tuntemattomat ostajat. Kahdeksan kuukauden jälkeen prosessi keskeytetään, koska huutokauppa on jäänyt ikuiseen silmukkaan. Pidetään kuukauden tauko, sääntöjä aiotaan muuttaa mutta ei muutetakaan -- ja viikon "huutokaupan" jälkeen julistetaan tulos: ilmeisesti kaikki osallistujat saivat sen, mitä halusivat, ja vieläpä lähes lähtöhinnalla. Kerrassaan erikoista!

Kyse on suomalaisesta taajuushuutokaupasta. Se alkoi 24.1.2013 ja keskeytettiin 19.9.2013 "pakottavista teknisistä syistä" johtuen. Huutokauppa alkoi uudestaan 24.10. ja tänään 30.10.2013 kerrottiin "huutokaupan" päättymisestä. Kaikki saivat kaksi taajuusparia. DNA maksoi omistaan 16,9 ja 16,67 miljoonaa, Elisa 16,7 ja 16,7 miljoonaa sekä TeliaSonera 22,2 ja 18,9 miljoonaa. Valtio odotti saavansa 800 megahertsin taajuuksista 130-230 miljoonaa, mutta joutui tyytymään 108,01 miljoonaan.

Huutokaupan lähtöhinta oli 16,7 miljoonaa, joten huudoista huolimatta kolme taajuusparia myytiin käytännössä lähtöhinnalla ja loput vain vähän sitä kalliimmalla.

En löytänyt mistään tietoa siitä, oliko huutajia tosiaan vain kolme. Ilmeisesti osallistujien määrä oli tarkoituksella salainen. Jos "huutajia" oli vain kolme, jokainen sai kaksi taajuusparia ja maksoi niistä lähes saman hinnan. Voiko tällaista kutsua edes huutokaupaksi?

Moni muistaa vielä elokuun 2000, jolloin Sonera osallistui Saksan 3G-huutokauppaan ja epäonnekseen voitti sen noin 4,5 miljardin euron tarjouksella. Lasku tästä hullutuksesta lankesi lopulta suomalaisille veronmaksajille.

Suomi jakoi omat 3G-taajuutensa keväällä 1998 ensimmäisenä maailmassa, jo ennen kuin edes tekninen 3G-standardi oli valmis. Menetelmänä oli tuolloin ns. kauneuskilpailu. Ministeriö päätti itse, kenelle luvat myönnetään ja millä hinnalla. Nyt lopputulos oli käytännössä sama, aikaa vain tuhlaantui lähes vuosi.

Pitäisikö tätä huutokauppaa nyt kutsua rumuuskilpailuksi? Kaikkien resursseja säästyisi, jos taajuudet ensi kerralla jaettaisiin sosiaalidemokraattisesti tasan ja myytäisiin kiinteällä hinnalla.

Kuningaskauppias - kuka suojaisi kauppiasta huijaavilta asiakkailta?

YLEn Kuningaskuluttaja puolustaa pientä kuluttajaa markkinatalouden pimeitä voimia vastaan. Asiakas saa olla alituiseen varovaisena, ettei tule kusetetuksi vaikkapa 8,5 gramman painoisten karkkipussien vuoksi.

Kuluttaja on puolustajansa ansainnut ja oikeita epäkohtia löytyy viljalti.

Mutta kuluttajan asema on muuttunut siitä, mitä se oli kun ohjelma vuosia sitten alkoi. Netin keskustelupalstojen, verkkokauppojen ja sosiaalisen median ansiosta kuluttajalla on yhä enemmän valtaa. Joskus tulee mieleen, että joku tv-kanava voisi tehdä Kuningaskauppias-ohjelman puolustamaan kauppiaiden etuja. Olisiko se paremmin Maikkarin tai Nelosen heiniä?

Lähtökohta, jonka mukaan paha kauppias sortaa aina pientä asiakasta, kääntyy helposti ympäri. Varsinkin netissä pienikin asiakas pystyy sortamaan suurta kauppiasta.

Moni asiakas käy tutustumassa digikameroihin myymälässä ja sovittamassa merkkivaatteita kaupassa, mutta tilaa sitten samat halvemmalla verkkokaupasta. Mikään laki ei kiellä tällaista toimintaa, mutta jos osat olisivat päinvastoin, Kuningaskuluttaja puuttuisi asiaan. Kauppiasta saa vedättää, asiakasta ei.

Yleensä kauppiaat joustavat lain pykälistä asiakkaan eduksi. Esimerkiksi palautus- ja vaihto-oikeus on kauppiaan hyväntahtoisuuden varassa. Lakisääteistä velvollisuutta siihen ei ole. Vaihto-oikeus ei ole yksiselitteinen edes silloin, kun tuotteessa on jotain vikaa. Myyjän on vain korjattava tuote tai alennettava hintaa virheen tuoman haitan verran. Se, että osti vahingossa väärän tuotteen tai sai jouluna kaksi samaa kirjaa, ei ole lain tuntema vaihtoperuste.

Joillakin kodinkoneliikkeillä on erittäin joustava tuotteiden palautusoikeus. Urheilun ystävät hakevat ennen kisoja parhaan taulutelevision ja palauttavat sen kisojen jälkeen. Erityisen joustavia ollaan Gigantissa. Eräs nettituttu kokeili erilaisia läppäreitä ja tableteja. Vasta kahdeksannen vaihdon jälkeen Gigantti sanoi, että "rajaton vaihto-oikeus" loppuu nyt tähän. iPad jäi hänelle.

Kauppa joutuu myymään asiakkaan "kokeilemat" laitteet alennuksella seuraavalle ostajalle, mikä tulee sille kalliiksi. Kahdeksan vaihdon myötä Gigantti hävisi luultavasti koko viimeisen laitteen 800 euron myyntihinnan, ei pelkkää katetta.

Gigantissa on (lähes) vapaa vaihto-oikeus.

Jenkkikaupoissa palautusoikeus on laaja ja vaatteissa se voi olla jopa kahden kuukauden mittainen. Salaisuus on siinä, että palautetut tuotteet paketoidaan ja myydään tyynesti uusina. Jos asiakas valittaa, hänen tuotteensa vaihdetaan kyselemättä uuteen. Koskaan ei voi tietää, saako kaupasta ensimmäisellä kerralla uuden vai jo jonkin aikaa käytetyn tuotteen. Siksi en itse osta mitään arvokasta USA:sta.

Vain verkkokaupassa on aina 14 vuorokauden palautusoikeus. Silloinkin palautettavan tuotteen pitäisi olla käyttämätön. Moni asiakas käyttää tätä härskisti hyväkseen ja palauttaa tuotteen kahden viikon jälkeen kyllästyttyään siihen. Yleensä kauppias joustaa, koska on helpompi kärsiä tappio kuin alkaa riidellä kuluttajan kanssa -- ja ottaa riski Kuningaskuluttajasta.

Mihin muihin vedätyksiin Kuningaskauppiaan pitäisi puuttua? Tai voisiko Kuningaskuluttaja joskus tarkastella asioita myös toisesta näkökulmasta?