Lue uutinen mobiilisivustolla

Pitääkö haavoittuvuuksista kertoa?

10.3.2003 09:15 Tietoturva-aukkoja hyödynnetään murtojen ohella haittaohjelmien levittämiseen, mistä on esimerkkejä jälleen viime viikoilta. Keskustelu haavoittuvuuksien julkistamisesta jakaa yhä leirit.

Viime viikon alussa otsikoihin nousi sendmail-ohjelmasta löydetty tietoturva-aukko, joka antaa tunkeutujalle pääsyn paikkaamattomalle palvelimelle. Aukon julkistamisesta ei ehtinyt kulua vuorokauttakaan kun sitä hyödyntävää haittakoodia jo alkoi ilmaantua julkisuuteen. Sendmail o­n sähköpostinvälitysohjelma, jonka tehtävänä o­n nimensä mukaisesti ohjata palvelimelle tulevat viestit eteenpäin oikeisiin osoitteisiin. Käytössä olevista Unix-pohjaisista smtp-välitysohjelmista sendmail o­n yleisin. Sendmail-aukon merkitys piilee juuri siinä, että ohjelma o­n niin suosittu. Tilannetta ei paranna se, että ohjelman eri versiot ovat haavoittuvia. Vaikka haavoittuvuus tuotiin julkisuuteen vasta nyt, se o­n ollut ohjelmistovalmistajien tiedossa ilmeisesti ainakin helmikuusta lähtien.  Vastuullista tiedottamista Haavoittuvuuksien julkistamisessa noudatetaan tätä nykyä usein periaatetta, jonka mukaan ohjelmien valmistajia varoitetaan löydetystä tietoturva-aukosta hyvissä ajoin ennen kuin tieto tuodaan yleisesti julki.  Näin pyritään antamaan ohjelmistotaloille kohtuullinen aika valmistaa tarvittavat korjauspäivitykset ilman että samalla annettaisiin hämärämiehille mahdollisuus käyttää haavoittuvuutta hyväksi. Haavoittuvuuksien hankaluus ei rajoitu perinteisiin tietomurtoihin. Nykyiset haittaohjelmat osaavat myös käyttää tehokkaasti hyväkseen ohjelmien aukkoja leviämisrutiineissaan. Esimerkiksi Code Red -madon kirjoittaja haki tarvitsemansa tiedot eräältä tietoturvasivustolta. Kyseinen mato levisi hyvin nopeasti ympäri maailmaa ja aiheutti suurta vahinkoa.   Kerrotaanko heti vai odotellaanko vielä? Aukkojen julkaisemisessa erottuu karkeasti kaksi äärinäkemystä, minkä vuoksi yleensä ajaudutaan valmistajan ja käyttäjän etujen väliseen kompromissiin. Jotkut ovat valmiita julkaisemaan haavoittuvuudet heti kun niitä löytyy, toiset pitäisivät tiedon salassa siksi kunnes korjaus o­n saatu valmiiksi. Ohjelmistoyhtiöiden kannalta olisi edullista, jos niille annettaisiin mahdollisimman paljon aikaa tutkia väitetyt haavoittuvuudet, tehdä korjaukset ja julkaista päivitykset. Korjauspäivityksen tekeminen ei käy käden käänteessä.  Ilmoituksia tietoturva-aukoista tulee paljon, eivätkä kaikki anna aihetta jatkotoimenpiteisiin. Silti ne o­n käytävä läpi. Jos päivitys pitääkin tehdä, se saattaa koskea kymmeniä eri ohjelmaversioita, mahdollisesti vielä usealla kielellä. Kaikkeen tähän kuluu aikaa. Ohjelmien käyttäjät taas haluaisivat mahdollisimman nopeasti tiedon aukosta, jotta he voisivat varautua sen mukanaan tuomaan uhkaan. Moni uskoo, että tietoturva-aukot löydetään joka tapauksessa, annettiin niistä sitten tietoa julkisuuteen tai ei. Loppukäyttäjän kannalta korjauspäivityksen ilmestyminen voi viedä kohtuuttoman kauan, ainakin siinä tapauksessa että joku ehtii käyttää haavoittuvuutta hyväkseen ennen paikkaustiedostojen julkaisua. Jossakin ääripäiden välissä o­n muiden muassa vastuullista ja rakentavaa tiedottamista vaativien joukko. Keneen osoittaa syyttävä sormi? Kuka sitten o­n vastuussa, jos joku käyttää ohjelmassa olevaa haavoittuvuutta hyväkseen? Riippuu varmaankin siitä, keneltä asiaa kysytään. Käyttäjälle syyllinen ohjelmien loputtomalta tuntuvaan päivitysrumbaan o­n reikäisen ohjelmiston valmistaja. Miksei ohjelmia osata tehdä paremmin, käyttäjä kummastelee. Ja jos reikiä kuitenkin o­n, miksei niitä paikkaamaan saada lisää väkeä? Ohjelmiston valmistaja taas syyttää murretun järjestelmän ylläpitäjää, joka ei ole huolehtinut uusimpien päivitysten ajamisesta.  Maailman ympäri minuuteissa levinnyt ja verkkoliikenteen pysäyttänyt Slammer-mato perustui verkossa julkaistuun koodiin. Toisaalta mato myös käytti hyväkseen vanhaa Microsoft SQL -ohjelmiston haavoittuvuutta, johon olisi ollut päivitys saatavilla jo kuukausia. Selvää o­n, että ohjelmista pitää saada nykyistä turvallisempia. Valitettavasti ohjelmien kehno turvataso pakottaa nykyisellään jatkuviin päivityksiin. Käyttäjän vastuulle jää päättää, alistuako reikäisen ohjelman ikeeseen vai vaihtaako kilpailevaan tuotteeseen.          

Antti Kirves toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Hyvinkään epäilty ampuja poistui kesken illanvieton hakemaan aseita

• Hyvinkään ampumisista epäiltyä luonnehditaan ujoksi ja hiljaiseksi
• Epäilty ampuja yöllä Facebookissa: "Oli kivaa toverit"
• Ruotsin Loreen Euroviisujen ylivoimaiseen voittoon
• Hyvinkään epäillyn ampujan motiivi yhä hämärän peitossa