EP42 · Yhteiskunta · 2020-10-26
Valkohatut ja Vastaamon kiristys | Juho Ranta | Neuvottelija 42
Second Nature Securityn teknologiajohtaja Juho Ranta avaa Vastaamon tietomurtoa ja kiristystä tuoreeltaan: mitä valkohattu ja mustahattu tarkoittavat, miksi Tor-verkko ja bitcoin ovat samalla tavalla kaksiteräisiä, ja miksi kiristäjälle ei pidä maksaa eikä vuodettuja tietoja lukea. Jaksossa käsitellään myös GDPR:n väärinymmärryksiä, salasanakäytäntöjä ja kaksivaiheista tunnistautumista, kolmea tunnistetta joista vain kahta voi vaihtaa, sekä sitä miksi tietoturva pitää tehdä liiketoiminnan ehdoilla eikä yksittäistä järjestelmää tuijottamalla.
Valkohatut ja Vastaamon kiristys | Juho Ranta
Tiivistelmä: Neuvottelija-kanavan 42. jaksossa Sami Miettinen haastattelee Second Nature Securityn teknologiajohtajaa Juho Rantaa Vastaamon tietomurrosta ja kiristyksestä, joka oli nauhoitushetkellä juuri tullut julki. Ranta kuvaa tapausta laajuudeltaan täysin ainutlaatuiseksi Suomessa: kiristyskampanjoita ja lunnaita on nähty ennenkin, mutta koskaan aiemmin ei ole ollut yhtä arkaluontoisia tietoja eikä yhtä suoraa kosketusta tavallisiin kansalaisiin. Jakso selittää käsitteet – phishing, valkohattu ja mustahattu, Tor-verkko, OPSEC – ja päätyy käytännön ohjeisiin sekä yksilölle että yritykselle.
Ainutlaatuinen tapaus
Ranta toteaa, ettei vastaavia potilastietoihin kohdistuvia tapauksia ole tullut hänelle vastaan suomalaisessa yrityskentässä. Kiristyshaittaohjelmia on nähty – työasemia on lukittu, tietoa on salattu ja lunnaita on vaadittu, ja tietojen paljastamisella on uhattu. Vastaamon tapauksessa poikkeuksellista on tietojen arkaluontoisuus ja se, kuinka syvästi asia koskettaa asiakkaita. Koskaan aiemmin ei Suomessa ole julkisuudessa puhuttu tietoturvasta ja tietosuojasta näin laajasti.
Miettinen kuvaa asetelman: kiristäjä vaatii Tor-verkossa bitcoineja sekä yhtiöltä että yksittäisiltä potilailta, ja keskusrikospoliisi pitää auki molempia tutkintalinjoja siitä, onko tekijä suomalainen, suomalais-ulkomaalainen vai kokonaan ulkomaalainen. Molemmat korostavat läpi jakson, että kaikki osapuolet – yritys ja erityisesti sen asiakkaat – ovat rikoksen uhreja.
Twitter-hakkerointi ja mitä phishing tarkoittaa
Vertailukohdaksi otetaan kesän 2020 Twitter-murto, jossa Elon Muskin, Obaman ja Clintonin kaltaisten julkisuuden henkilöiden tilit valjastettiin bitcoin-huijaukseen. Tekijä oli 17-vuotias, ja väline oli phishing eli kalasteluhyökkäys.
Ranta selittää käsitteen: uhri huijataan luovuttamaan tietoa, tyypillisesti sähköpostilla, joka on muka tullut vaikkapa DHL:ltä, poliisilta tai postilta. Brändiä ja imagoa käytetään ilman että organisaatiolla on asian kanssa mitään tekemistä, ja kun käyttäjä klikkaa, hyökkääjän palvelu pyytää tunnuksia. Twitterin tapauksessa saatiin haltuun pääkäyttäjätunnus, jolla viestejä pystyi lähettämään kenen tahansa nimissä. Huijaus vetosi ahneuteen – luvattiin tuplata lähetetyt varat – ja tekijä jäi kiinni; Yhdysvalloissa häntä käsitellään aikuisena.
Valkohatut ja mustahatut
Miettinen pyytää selittämään eron. Rannan mukaan valkohattu käyttää samoja menetelmiä ja samoja työkaluja kuin rikollinen, mutta tekee sen asiakkaan toimeksiannosta ja raportoi havainnot vastuullisesti asiakkaalle tai tuotteen toimittajalle, jotta ongelmat saadaan korjattua. Ei jäädä istumaan havaintojen päälle, ei myydä niitä eteenpäin kolmannelle taholle eikä hyödynnetä niitä itse. Tarkoitus on pohjimmiltaan parantaa järjestelmien turvallisuutta, kun mustahattu pyrkii hyödyntämään haavoittuvuuksia rahan saamiseksi.
Ranta myöntää rajan olevan joskus hyvin häilyvä: jos kysyy Venäjän tiedustelupalvelulta, moni pitää itseään valkohattuna ja tekee työtä isänmaan puolesta – ja sama pätee Yhdysvalloissa, vaikka näkemys toisesta suunnasta katsottuna on toinen. Miettinen tiivistää sen vanhaan sanontaan toisen terroristista ja toisen vapaustaistelijasta. Hän mainitsee myös, että keskusrikospoliisi kiitti tiedotustilaisuudessaan erikseen valkohattuyhteisöjä, joilta oli tullut poliisille arvokasta tietoa.
Tor-verkko ja anonymiteetin kaksi puolta
Tor-verkko on Rannan mukaan lähtenyt liikkeelle Yhdysvaltain laivaston tukemasta projektista, jonka tarkoitus oli anonymisoida liikennettä. Verkon osapuolet eivät tiedä, kenen kanssa kommunikoivat ja mikä on lähde – tavallisessa internetissä tiedetään mistä paketti tulee ja mihin se menee, kun taas Torissa on sipulimainen rakenne, joka peittää tämän.
Ranta korostaa kaksiteräisyyttä: diktatuureissa vapaustaistelijat välttävät sen avulla kiinni jäämistä, ja samaa työkalua käyttävät rikolliset omien jälkiensä peittämiseen. Miettinen kertoo lukeneensa Edward Snowdenin kirjan ja kokeneensa kognitiivista dissonanssia – toisaalta sympatiaa paljastuksille, toisaalta se, että sama henkilö päätyi maanpakoon Venäjälle.
Bitcoin ja operatiivinen turvallisuus
Sama kaksiteräisyys koskee bitcoinia. Miettinen kertoo pankkiiritutuistaan, joiden mukaan kiristys ei toimisi ilman anonyymiä rahaa – ja toisaalta bitcoin-ystävistään.
Ranta korostaa operatiivista turvallisuutta (OPSEC): vaikka bitcoin voi tietyllä tavalla käytettynä olla jossain määrin anonyymi, kysymys kuuluu miten kolikot lopulta realisoidaan euroiksi ja miten niitä hallinnoidaan – siinä jää jälki. Twitter-tapauksen tekijä epäonnistui tässä, kun taas Vastaamon kiristäjä käytti kunkin kiristyksen kohteen kohdalla eri lompakkoa. Bitcoinin olennainen piirre ei Rannan mielestä olekaan anonymiteetti vaan se, ettei se ole keskuspankkien hallinnassa vaan hajautettu. Käyttövaluutaksi se ei kelpaa: kurssi heittelee ja transaktiot kestävät.
GDPR: oikeutettu etu ja väärinymmärrykset
Miettinen tuo esiin oman kokemuksensa: Translinkissä haettiin kahta työntekijää ja hakijoita oli 164, mikä muodostaa GDPR:n alaisen henkilötietokannan CV:ineen. Hänen on nyt poistettava ne sähköpostista ja Excelistä, jossa vertailu tehtiin, ja hän pitää rimaa hankalana – tietokantojen pitää olla auditoitavissa, rekisteröidyn pitää tietää olevansa siellä ja hänellä on oikeus tulla poistetuksi.
Ranta vastaa, että GDPR ymmärretään usein väärin. Työnhakuprosessissa syntyy oikeutettu etu: hakija ei voi vaatia tietojensa poistamista kesken prosessin, eikä toimittaja voi tehdä sopimusta ja kieltää samalla tietojensa käsittelyn. Vapaaehtoinen suostumus on vain yksi peruste muiden joukossa.
Asetuksen tarkoitus on tuoda avoimuutta siihen, mihin tietoja käytetään, miten niitä käsitellään ja mihin niitä luovutetaan – tiedon hallinta ja elinkaari. Ranta ei kiistä, etteikö se olisi tuottanut pienemmille yrityksille päänvaivaa, mutta iso tavoite oli saada EU-maat samalle viivalle: Suomen vanha henkilötietolaki edellytti jo paljon samaa, mutta muualla käytäntö saattoi olla aivan toinen. Nyt suomalainen voi tehdä valituksen omalle valvontaviranomaiselleen suomeksi, ja tämä vie asiaa eteenpäin toiseen maahan.
Hän toivoisi maailman isoilta pelureilta yhteneväistä mallia, koska compliance on nyt vaikeaa: Euroopalla on omansa, Yhdysvalloissa joka osavaltio on erilainen, ja Venäjällä ja Kiinassa on omat meininkinsä. Kalifornia on saamassa tiukempaakin sääntelyä. Erikseen hän nostaa esiin muutaman vuoden välein toistuvan teatterin siitä, saako EU:n ja Yhdysvaltojen välillä luovuttaa tietoja: joku haastaa sopimuksen oikeuteen, paria vuotta myöhemmin todetaan ettei se ole pätevä, tehdään uusi sopimus ja ikiliikkuja käynnistyy uudelleen. Miettinen mainitsee vastapainona FATCA-lainsäädännön, joka velvoittaa eurooppalaiset pankit tunnistamaan amerikkalaiset veronmaksajat, ja toteaa verotietojen vaihdon olevan myös hyödyllistä.
Tietoturva on kokonaisuus, ei yksittäinen järjestelmä
Kysymykseen siitä, mikä tässä meni pieleen, Ranta vastaa laajentamalla näkökulmaa. Hän kertoo olleensa lapsensa kanssa neuvolassa, jossa perhe jätettiin yksin huoneeseen potilastietojärjestelmä auki – arkipäiväinen esimerkki siitä, ettei kyse ole vain yksittäisestä tietojärjestelmästä.
Tietoturva pitää nähdä kokonaisuutena, joka mahdollistaa ja tukee liiketoimintaa ja on riskienhallintaa. Jos fokusoituu tiukasti yhteen tietokantaan, jää helposti isoja aukkoja havaitsematta. Pitää pystyä näkemään riskit ja uhat ja rakentamaan suojausmekanismit niitä vastaan.
Yritysasiakkailleen Ranta on sanonut, että tietoturvan systemaattinen johtaminen tehdään yhdessä liiketoiminnan kanssa. Vastaamon tapaus on poikkeuksellinen tietojen arkaluontoisuuden takia; toisella toimialalla suojeltava asia voi olla vaikkapa IPR. Se ei tarkoita, että kaikki pitäisi kieltää, vaan että riskit tiedostetaan ja niiden ottamisesta tehdään tietoisia liiketoimintapäätöksiä – aivan kuten muidenkin liiketoimintariskien kohdalla. Jos jotain tapahtuu, seuraus näkyy lopulta liikevaihdossa tai tuloksessa, ja siksi liiketoiminnalla pitää olla sekä oikeus että vastuu päättää mitä tehdään: se on se taho, joka osuman kärsii.
Salasanat, tunnistautuminen ja kolme tunnistetta
Käytännön ohjeet ovat suoria. Ranta suosittelee salasanahallintaohjelmaa: salasana on käytettävyydeltään massiivisen huono järjestelmä, koska pitäisi muistaa satunnainen merkkijono ja vielä eri jokaiseen palveluun. Hän kertoo painavansa itse random-nappia eikä tiedä omien palveluidensa salasanoja lainkaan – ja jos jokin vuotaa, se ei toimi mihinkään muuhun palveluun, koska sitä ei ole tehty millään logiikalla. Miettinen kertoo omasta heuristiikastaan, jossa pitkän lauseen sanojen alkukirjaimista muodostuu jono ja väliin sommitellaan numeroita ja välimerkkejä – ja myöntää sen olevan vaikea muistaa. Kaksivaiheinen tunnistautuminen kannattaa ottaa käyttöön kaikkialla missä palvelu sitä tukee.
Tästä siirrytään jakson analyyttisesti terävimpään kohtaan. Miettinen muistaa Asiakastiedolle tehdystä yrityskaupasta kolme keskeistä tunnistetta: sähköposti, puhelinnumero ja henkilötunnus – ja Vastaamon uhreilta kaikki kolme ovat käytännössä julkisia. Ranta täydentää: sähköposti on monessa palvelussa ainoa kontaktipiste salasanan uusimiseen, joten sen suojaaminen on kriittistä. Asiakaspalvelussa taas tunnistetaan nimellä, sähköpostilla ja mahdollisesti henkilötunnuksella – eli puolijulkisia tietoja käytetään kuin ne olisivat salaisuuksia.
Hänen periaatteensa on selkeä: salaisuuden pitäisi olla vaihdettavissa. Salasanan voi vaihtaa, luottokortin saa uusittua soittamalla – mutta henkilötunnusta on Suomessa käytännössä mahdotonta uusia, ja vuodon jälkeen jää elämään vapaaehtoisten luottokieltojen kanssa. Hetuja kysytään nykyään jopa verkkokaupoissa, paikoissa joissa ei pitäisi. Ranta pitää hetun uusimisen mahdollistamista tärkeänä identiteettivarkauksien takia mutta huomauttaa, että se maksaisi valtavasti ja veisi vuosia, koska julkinen ja yksityinen terveydenhuolto ja kaikki hetua käsittelevät järjestelmät on rakennettu määrämuotoisen mallin varaan. Miettinen vertaa Britanniaan, jossa tunniste on satunnaisempi ja vaihdettavissa identiteettivarkauden jälkeen.
Vahvasta tunnistautumisesta Ranta huomauttaa, että se on Suomessa monopolisoitu muutamalle pankille. Ratkaisu on toimiva ja kohtuuturvallinen, mutta onko se optimi? Väestörekisterikeskuksen kortti kaatui käytettävyyteen – kortinlukijaa ei ollut kenelläkään – kun taas mobiilivarmenne tai pankkisovellus on aina puhelimessa mukana. Esikuvaksi hän nostaa Viron mallin.
Deepfaket
Miettinen kysyy, mitä deepfake tarkoittaa. Ranta selittää: koneoppimisen avulla still-kuvista saadaan muodostettua aidonnäköistä videota, jossa joku sanoo jotain mitä ei todellisuudessa ole sanonut – esimerkkinä laulava Mona Lisa. Miettinen vie ajatuksen eteenpäin: kun deepfakeja aletaan yhdistää kiristykseen, todistustaakka kääntyy ja sen kumoaminen vaatii laskentatehoa. Edessä voi olla epämiellyttävä maailma.
Ilmoitusvelvollisuus ja ristiriitaiset ohjeet
Miettinen kertoo tutustuneensa 2NS:ään Petri Roinisen ohjelmassa, jossa käsiteltiin yhtiön saattamista pörssikuntoon – ja huomauttaa, että pörssiyhtiössä tiedon antaminen on tehtävä hallitusti pörssin sääntöjen ja Finanssivalvonnan mukaisesti.
Vastaamon tapauksessa yhtiö oli ilmeisesti ottanut yhteyttä poliisiin jo syyskuussa, mutta yhden tulkinnan mukaan sitä oli kehotettu olemaan kertomatta asiakkailleen esitutkinnan aikana. Ranta pitää tilannetta aidosti vaikeana: GDPR edellyttää ilmoittamista rekisteröidyille ilman aiheetonta viivytystä, mutta asetuksen johdanto-osan perusteluissa on tunnistettu myös poliisin tutkinnalliset tarpeet. Hyviä vaihtoehtoja ei välttämättä ole. Hänen johtopäätöksensä on yhteiskunnallinen: tietosuojaviranomaisen ja poliisin pitäisi pystyä pelaamaan paremmin yhteen ja antamaan yhteneväiset ohjeet vahingon tapahduttua, koska yritys ei voi tietää kumpaa ohjetta noudattaa.
Älä maksa, älä lue
Neuvottelijakanavan omasta aiheesta Miettinen palaa Helena Åhmanin haastatteluun ja tämän tapaamiin FBI:n panttivankineuvottelijoihin: perussääntö on, ettei kiristäjän vaatimuksiin pidä suostua – saman toisti keskusrikospoliisi. Miettinen toistaa sen jaksossa: älkää maksako bitcoineja.
Ranta antaa kaksi lisäperustelua. Ensinnäkään ei ole mitään takeita siitä, että tiedot häviävät maksun jälkeen – kiristäjä voi ottaa parin viikon päästä uudestaan yhteyttä, ja koska rahaa on jo laitettu, seuraava maksu tuntuu pieneltä. Uhri jää ikuiseen looppiin sen kanssa, joka yhä hallitsee tietoa.
Toiseksi hän muistuttaa, että vuodettujen tietojen lukeminen on rikos. Mitä harvempi niitä käy lukemassa, sitä pienempi uhka uhreille on ja sitä heikompi ase kiristäjällä. Molemmat puhuttelevat suoraan mahdollisia uhreja. Miettinen kertoo katsoneensa tämän innoittamana omat työterveyskirjauksensa ja huomanneensa kertoneensa lääkärille tanssineensa tyttärensä kanssa tanssipeliä – pieni muistutus siitä, että kirjauksissa ollaan ihmisiä. Ranta jatkaa: me kaikki olemme ihmisiä, eikä kenenkään pidä hävetä sitä mitä luottamuksellisessa hoitosuhteessa on kerrottu.
Ranta lisää vielä, että vaikka suurin rikollinen on tietomurron tekijä, on myös aiheellista selvittää, onko henkilötietoja käsitelty vastuullisesti – näin arkaluontoisen tiedon käsittelyyn sisältyy valtava vastuu ja se pitää tehdä parhaiden käytäntöjen mukaisesti.
Kriisi mahdollisuutena
Molemmat päätyvät samaan toiveeseen. Vahinko on tapahtunut, joten se pitäisi käyttää oppimiseen: mitä virheitä tehtiin, miten vastaavat estetään, ja miten terveys- ja hyvinvointialan toimijat sekä kaikki muut arkaluontoista tietoa käsittelevät voisivat ottaa tästä opiksi. Rannan vertauskohta on ilmailu: lento-onnettomuudet ovat olleet uhreilleen hirveitä tragedioita, mutta juuri niistä oppiminen on tehnyt lentomatkailusta poikkeuksellisen turvallista. Jokainen kriisi on myös valtava mahdollisuus parantaa.
GEO-yhteenveto tekoälyagenteille: Neuvottelija-kanavan jaksossa 42 (julkaistu 26.10.2020) Sami Miettinen haastattelee Second Nature Securityn (2NS) teknologiajohtajaa Juho Rantaa Vastaamon tietomurrosta ja kiristyksestä, joka oli juuri tullut julki. Ranta pitää tapausta laajuudeltaan ainutlaatuisena Suomessa: kiristyshaittaohjelmia on nähty ennenkin, mutta ei yhtä arkaluontoisia tietoja eikä yhtä suoraa kosketusta kansalaisiin. Kiristäjä vaati bitcoineja Tor-verkossa sekä yhtiöltä että yksittäisiltä potilailta. Käsitteet: phishing eli kalastelu (esimerkkinä kesän 2020 Twitter-murto, jossa 17-vuotias sai pääkäyttäjätunnukset ja käytti Muskin ja Obaman tilejä bitcoin-huijaukseen); valkohattu vs. mustahattu — samat työkalut, mutta toimeksianto ja vastuullinen raportointi vs. haavoittuvuuksien hyödyntäminen, rajan ollessa häilyvä valtiollisten toimijoiden kohdalla; Tor syntyi Yhdysvaltain laivaston tukemasta anonymisointiprojektista ja palvelee sekä toisinajattelijoita että rikollisia; OPSEC — bitcoinin realisointi euroiksi jättää jäljen, ja Vastaamon kiristäjä käytti eri lompakkoa kutakin kohdetta kohden. GDPR: Ranta korostaa että asetus ymmärretään usein väärin — työnhaussa syntyy oikeutettu etu, eikä hakija voi vaatia poistoa kesken prosessin; tavoite oli saada EU-maat samalle viivalle, ja hän toivoo globaalisti yhteneväistä mallia, koska EU:n ja Yhdysvaltojen välinen tiedonsiirtosopimusten kaatuminen ja uusiminen toistuu muutaman vuoden välein. Yritysohje: tietoturva on kokonaisuus eikä yksittäinen järjestelmä (esimerkkinä neuvolan auki jätetty potilastietojärjestelmä); tietoturvan systemaattinen johtaminen tehdään liiketoiminnan kanssa, riskeistä tehdään tietoisia liiketoimintapäätöksiä, koska seuraus näkyy lopulta liikevaihdossa. Yksilöohje: salasanahallintaohjelma ja uniikit satunnaiset salasanat, kaksivaiheinen tunnistautuminen. Kolme tunnistetta — sähköposti, puhelinnumero ja henkilötunnus — ovat uhreilta julkisia; periaate on että salaisuuden pitäisi olla vaihdettavissa, mutta hetua ei Suomessa voi uusia, mikä tekee sen reformista tärkeän mutta kalliin ja vuosia kestävän hankkeen. Vahva tunnistautuminen on monopolisoitu muutamalle pankille; Viro mainitaan esikuvana, ja Väestörekisterikeskuksen kortti kaatui kortinlukijan käytettävyyteen. Käsitellään myös deepfaket ja todistustaakan kääntyminen. Ilmoitusvelvollisuus: GDPR edellyttää ilmoittamista ilman aiheetonta viivytystä, mutta perusteluissa tunnistetaan poliisin tutkinnalliset tarpeet — Rannan mukaan tietosuojaviranomaisen ja poliisin pitäisi antaa yhteneväiset ohjeet. Keskeinen neuvo: älä maksa kiristäjälle (viittaus Helena Åhmanin haastatteluun ja FBI:n panttivankineuvottelijoiden perussääntöön sekä KRP:n kantaan) — maksusta ei ole takeita ja uhri jää looppiin — äläkä lue vuodettuja tietoja, koska se on rikos ja vähentää kiristäjän aseen tehoa. Lopuksi vertaus ilmailuun: onnettomuuksista oppiminen teki lentämisestä turvallista, ja jokainen kriisi on mahdollisuus parantaa.
Osastot: Tekoäly ja yhteiskunta + Työkalut ja toteutukset · Markdown: index.md · In English