Lue uutinen mobiilisivustolla

Suomalainen antaa salasanansa ja tunnuksensa vaikka puhelimessa

20.11.2003 08:42 Tietoturva suomalaisissa yrityksissä ja kunnissa on vaarallisen huonolla tasolla. Digitoday testasi asiaa tekemällä "kevinmitcnikit" eli ottamalla yhteyttä 30 yritykseen ja kuntaan ja pyytämällä salasanoja ja tunnuksia - kaikki kontaktoidut henkilöt luovuttivat omat tai työnantajansa salaiset tunnukset puhelimessa tai sähköpostissa.

Otimme yhteyttä 30 yritykseen ja kuntaan pyytäen heitä osallistumaan testiin, jossa yritimme selvittää kuinka helposti työntekijät luovuttavat salasanoja ja tunnuksia tuntemattomille henkilöille.

Seitsemältä saimme kirjallisen luvan, minkä jälkeen otimme yhteyttä 23 työntekijään, joista tavoitimme puhelimitse 18.

Vastanneiden joukossa oli muun muassa suuri eteläsuomalainen ja pohjoissuomalainen kaupunki, yli 500 työaseman helsinkiläisyritys ja lisäksi yrityksiä ja kuntia Etelä-Suomesta ja Pirkanmaalta.

Miten kysyttiin

Tarkoituksemme oli lähettää työntekijöille sähköpostia jonkun yrityksen tai kunnan atk-vastaavan nimellä, ja saada tällä tavoin hankkeelle uskottavuutta. Sähköposti oli muotoiltu seuraavasti:

"Hei,

Uusimme ja muutamme osan kaupungin työasemien tunnuksista tietoturvasyistä. Jarmo Mäkelä ottaa sinuun pian yhteyttä puhelimitse kysyäkseen ja uusiakseen käyttämäsi tietokoneen tunnukset ja salasanat.

Uuden salasanasi ja tunnuksesi voit muuttaa itsellesi sopiviksi puhelimessa annettujen ohjeiden mukaisesti. Salasanoja ja tunnuksia emme tietoturvasyistä käsittele ja/tai lähetä sähköpostitse.

Ystävällisin terveisin

Xxxxxx Xxxxxx

ATK-xxxxxxxxxxxx"

Miten etsittiin

Luonnollisesti halusimme testata kriittisiä pisteitä eli rahatoimistoja, palkanlaskentaa ja jopa atk-tukea.

Sähköpostin lähettämiseen on olemassa kaksikin eri tapaa. Olisimme itse voineet tehdä ohjelman, joka lähettää vastaanottajalle väärin lähettäjätiedoin varustetun sähköpostin.

Jos vastaanottaja olisi vastannut viestiin, olisi viesti saapunut haluamaamme sähköpostiosoitteeseen eli lähettäjälle, vaikka vastaanottajana olisi näkynyt joku toinen nimi.

Käytimme kuitenkin ilmaiseksi saatavaa ja vapaasti imuroitavaa Fake Mailer-ohjelmaa.

Lähetimme oheisen viestin henkilöille, joiden sähköpostiosoitteet löysimme yritysten ja kuntien kotisivuilta. Saamamme luvan perusteella saimme itse valita henkilöt, joille viesti lähetettiin.

Lisäksi olimme sopineet kertovamme työntekijöille tiedot saatuamme, että kyseessä on tietoturvatestaus, ja samalla meidän tuli pyytää työntekijää muuttamaan salasanansa uudeksi ja olemaan kertomatta salasanaa meille. Toimitimme myös työntekijän henkilötiedot luvan antajalle.

Miten vastattiin

Soitimme viestin lähettämisen jälkeen 23 työntekijälle, joista saimme yhteyden kahdeksaantoista. Soittaja kertoi nimensä ja viittasi työntekijän saamaan viestiin ?atk-päälliköltä?.

Kaikki työntekijät kertoivat salasanansa ja/tai tunnuksensa puhelimessa. Kuudelta työntekijältä emme sopimuksen mukaan saaneet kysyä tunnusta; he kertoivat kuitenkin salasanansa. Salasanat olivat tasoa: ?päivä?, ?kaupunki?, ?entinen? ja jopa ?SALA?.

Testin tulkinnassa on huomioitava, ettemme kysyneet ja saaneet pelkkiä henkilökohtaisia salasanoja ja tunnuksia, vaan myös esimerkiksi verkon salasanat ja tunnukset.

Työntekijät olisivat helposti saaneet tietoonsa kyseisen sähköpostin valheellisuuden napsauttamalla hiiren kakkospainikkeella viestiä ja valitsemalla Asetukset. Saatavista tiedoista olisi voinut havaita, ettei lähetetty viesti ole aito, eikä se ole tullut lähettäjätiedoissa näkyvältä lähettäjältä. Osaava krakkeri osaisi muuttaa nämäkin tiedot haluamikseen.

Erikoista asiassa on, että monet organisaatiot eivät salli hyviä salasanoja, vaan salasanan pituus on rajattu esimerkiksi kahdeksaan merkkiin. Esimerkiksi Sampo-pankissa kirjautumissalasana on vain neljä merkkiä - hyvää esimerkkiä käyttäjille!

Innostusta ja hämminkiä

Kaksi yritystä innostui asiasta niin, että kokeili itse ?kevinmitnickejä?. Toinen yritys otti yhteyttä palkkalaskentaan ja pyysi lähettämään edellisen kuukauden palkkalaskennan tietoja - ja sai tiedot.

Eräs kunta oli noin vuosi sitten uudistanut laitekantansa ja ohjelmistonsa. Työntekijöille oli myös jaettu tietoturvaohjeistus. Tästä huolimatta saimme tiedot ja tietohallinto on nyt ihmeissään luetaanko ohjeistuksia ja kuunnellaanko varoituksia. ?Meillä ei pitänyt näin käydä?, oli ensimmäinen kommentti.

Kaikkien osallistuneiden palaute testiin oli kiitollinen. Osa kunnista ja yrityksistä oli käynyt asian yksityiskohdat läpi lakimiestensä avulla. Osa yrityksistä kieltäytyi lakimiesten ohjeistamana osallistumasta testiin.

- Jotain tuon tapaista olisin odottanutkin, mutta silti hämmästyttää kuinka moni on antanut tietonsa, Valtionvarainministeriön projektipäällikkö Olli-Pekka Rissanen sanoo.

- Ei tällaiseen tietoturvan pettämiseen varmasti löydy muuta selitystä kuin kulttuuri ja oppiminen. Asioiden täytyy iskostua niin tiukasti mieleen, että osaa toimia poikkeuksellisissakin tilanteissa, hän pohtii.

- Kun kotiovi lukitaan, tiedetään tarkalleen miksi se tehdään. Poikkeustilanteissakin osataan toimia ja arvioida riskit. Samoin lukitaan firman ovi, mutta sen kohdalla jo helpommin päästetään hyvä selittäjä livahtamaan sisään työpakki kädessä, Rissanen arvelee.

Miksi tietoja jaellaan?

Monissa organisaatioissa tietoja jaellaan jopa pelkän puhelinsoiton perusteella. Tuskin kukaan haluaa krakkeria kannettavan tietokoneensa kanssa seisomaan terveyskeskuksen nurkan taakse ja tarkastelemaan vuotavan ja huonosti suojatun wlan-yhteyden kautta naapurin potilastietoja. Tosin nämä huonosti suojatut wlan-yhteydet voi kaapata haltuunsa ilman puhelinsoittojakin.

Kansalaisilla on oikeus vaatia tietoturvan olevan edes siedettävässä kunnossa. Meillä on oikeus vaatia kuntien, yritysten ja valtion päättäjiä puuttumaan tietoturvattomuuteen konkreettisella tavalla.

- Mielenkiintoinen tutkimus, joka osoittaa tietoturvakulttuurin todellista puuttumista, kommentoi Viestintäviraston tietoturvaosaston päällikkö Timo Lehtimäki. Ihmiset (etenkin täällä Suomessa) ovat hyväuskoisia, sinisilmäisiä ja kovin auttavaisia. Tietoturva-asioissa tämä ominaisuus voi olla kovin huono.

- Uskoisin että kyllä valistuksella saadaan tilannetta paremmaksi, mutta aikaahan siihen kuluu. Tekniset haavoittuvuudet yms. ovat vakava uhka, mutta käytännössä ihminen on kuitenkin aina suurin riskitekijä, Lehtimäki pohtii.

- Tietotekniikan ja tietoturvan perusteet tulisivat olla kansalaistaitoja. Kestää kuitenkin kauan ennen kuin tämä uusi sukupolvi on valmis, hän arvelee.

- Toinen seikka on tietysti organisaatioissa tapahtuva jatkuva koulutus. Tällä tasollahan asiat eivät ole mitään rakettitiedettä vaan puhtaan maalaisjärjen käyttöä.

- Miksi opit eivät ole menneet perille? Vaikea sanoa. Ehkä väärinkäytöstapauksia on kuitenkin suhteellisen vähän - tällöin ei ole tapahtunut laajamittaisesti myöskään sitä kuuluisaa kantapään kautta oppimista, Lehtimäki arvelee.

Social engineering

Ihmisten hyväuskoisuuden ja auttamishalun hyväksikäyttäminen on helpompaa, riskittömämpää ja halvempaa kuin tietoverkkojen kautta hyökkääminen. Hyökkääjä voi puhumalla houkutella tai huijata henkilöstöön kuuluvilta tietoja, joiden avulla hän pääsee sisälle yrityksen järjestelmään, tietoturvatoimittaja Antti Kirves kirjoittaa digitodayssa lokakuun lopulla julkaistussa artikkelissa.

- Ihmisillä on toisten auttamiseen luontainen taipumus. Heidät on myös koulutettu auttamaan ja tottelemaan muita, mutta ei välttämättä varomaan huijareita. Siksi älykäs hyökkääjä ei valitse kohteekseen yrityksen johtajaa, vaan tämän apulaisen, jolla on pääsy esimiehensä tietoihin, mutta joka ei osaa varoa, parannuksen tehnyt entinen krakkeri Kevin Mitnick sanoo samassa jutussa.

Mitnickin mukaan kaikkein olennaisinta on, että yrityksen henkilöstö koulutetaan selviämään myös sellaisista tunkeutujista, jotka eivät vaani tietoverkoissa. Kerran opittu asia ei pysy kauan muistissa, joten työntekijät on myös uudelleenkoulutettava säännöllisesti.

Jarmo Mäkelä toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Hyvinkään epäilty ampuja poistui kesken illanvieton hakemaan aseita

• Hyvinkään ampumisista epäiltyä luonnehditaan ujoksi ja hiljaiseksi
• Epäilty ampuja yöllä Facebookissa: "Oli kivaa toverit"
• Ruotsin Loreen Euroviisujen ylivoimaiseen voittoon
• Hyvinkään epäillyn ampujan motiivi yhä hämärän peitossa