Silt: turvalisus

Pisike ja pehme sigadus (tavapäraselt)

Kui keegi kopeerib luba küsimata teise arvutist kogu sisu kuhugi mujale, nimetatakse seda andmevarguseks. Kui sama asja teeb operatsioonisüsteemi loonud suurfirma, nimetatakse seda varundamiseks.

Ehk siis Microsoft lülitas paljude kasutajate selja taga pilvevarunduse lihtsalt sisse. Ja nagu näiteks Slashdotis märgitakse, saab tasuta ruum peagi otsa ja siis hakatakse nuiama tasulise teenuse kasutamist. Lisaks otsesele privaatsusriivele (sh süsteemi seadistused, igat sorti dokumendid, mõnes masinas ehk ka eri sorti, khm, vaieldav sisu jne jne) on ilmselt kogu see kraam varsti ka Copilotisse vmm sedalaadi arusimulaatorisse sisse söödetud.

Naljakas on see, et see on üks neid (pigem väheseid) kohti, kus Euroopa Liidust kasu on – siin tuleb seadusandlus ette ja Euroopas jäetavat see sigadus (esialgu?) tegemata.

Huvitav üritus

Selleaastane TTÜ innovatsioonifestival oli tõsiselt põnev kuulamine (eriti Carl Milleri ja Pekka Kallioniemi ettekanded, aga ka kõik teised olid head). Mõningatest riikidest räägiti üsna lahtise tekstiga ning kogu Carli räägitud RAG injection/poisoning -teema ja Raini toonitatud tehisaru sisemised ohud (mitte üksnes AI vaenlase töövahendina, vaid AI ise kui vaenlane) peaksid olema kõigile naiivikutest tehisarufännidele kohustuslik õppematerjal.

Ülekanne on Tuubis üleval. Aitäh korraldajatele!

Tarkvara tähtsates asutustes

Sai siin arutatud teemal, kuidas hoida kõikvõimalikke kaake erinevate salastatud materjaliga tegelevate seltsingute arvutitest eemal. Mingi osa sealsest seltskonnast usub paraku ikka veel igasuguste sertifikaatide jõusse kinnise lähtekoodiga tarkvara juures.

Mõned siinkirjutaja mõtted:
* kogu mänguväli piirneb ainult avatud lähtekoodiga, kinnine on a priori ebausaldusväärne
* valitud tarkvara lähtekood paigaldatakse (kindlam on offlainis) samadesse arvutitesse, kus see tööle hakkaks, ning tehakse sellele kohapeal koodiaudit
* auditi läbinud lähtekoodile tehakse kohapeal ./configure, make  ja make install
* võimalusel peaks järgnema mõningane karantiini-/testimisperiood, kus reaalselt salastatud materjali kallale uut tarkvara veel ei lasta
* kui kõik eelnev on edukalt ühel pool, siis võiks reaalsete andmetega tööle hakata.

Selline lähenemine eeldab aga kolme asja:
* teenuste sisseostmise pea täielikku vältimist (kõiki tuleb pidada ebausaldusväärseks) ja toimetulekut majasiseste jõududega
* läbimõeldud uuendamisprotsessi üldise põhimõttega “nii palju kui vajalik, nii vähe  kui võimalik”
* väga põhjalikult testitud minimaalset tarkvaralist tuumikut (mille abil süsteem algkäivitada ja tarkvara lähtekoodist kokku kompileerida).

Loll, aga järjekindel

Keegi tont üritas Budokani veebi ukse taga paroole proovida. Suht igapäevane asi, aga seekord tuli ta 300+ masinaga robotvõrguga. Lollina näitas end aga seetõttu, et proovis vaid üht (olematut) kasutajat ja lasi kogu botnetile kahekuulise bänni panna. Aga ju ta otsib järgmised masinad.

Geograafia oli seekord päris huvitav – peamiselt India, aga oli ka jupp Aafrikat, mõned saidid Euroopast ning isegi paar jaapanlast.

APDEIT 04.04: jätkus ka järgmisel päeval. Lihtsalt tilgub ca pooletunniste vahedega.

Hambaharjad ründavad

Sürr lugemine Ars Technica portaalist (ja selle peegeldus Slashdotis) sellest, kuidas Šveitsis tehti DDoS’i… hambaharjadega. Kolm miljonit “nutikat” hambaharja said robotvõrguks ning sellega tehti parajat pahandust.

Eesti keeles on hea kahtpidine lause: “Nutt tuleb peale”. Seda “nutti” topitakse tänapäeval ikka täiesti absurdsetesse kohtadesse. Ehk on edastatavatest andmetest mingitel seltskondadest tõepoolest kasu (on ka konspiratiivsemat sorti arusaamu), aga andmereostusest, energiaraiskamisest ja loomulikult turvalisus- ja privaatsusriivetest tulenev kahju on ikka kõvasti suurem. Nutt tulebki peale.

Ja nii tundub Walt Dismali nimelise kodaniku kommentaar Slashdotis sellest, kuidas varsti nutikad prill-lauad Pentagoni ründavad, ainult natukene jabur.

APDEIT 11.02: Nüüd väidetakse, et seda lugu tegelikult ei juhtunud. Samas on nutistu ebaturvalisus endiselt reaalne ning sedalaadi asjad sisuliselt praeguses seisus vältimatud. Nutistu (ja ka tehisaru) puhul tuleks pigem lähtuda põhimõttest “nii palju kui vajalik, nii vähe kui võimalik” – sinna, kus saab ka ilma, ei peaks neid asju toppima.

 

Küberfüüsilised süsteemid: hoiatav näide

NB! Järgnev lugu tuli läbi kolmanda inimese, aga olevat juhtunud hiljaaegu ühe lähedase tegelasega. Seega 100% tõestust pole, aga kuna asi kõlab realistlikult, siis panen kirja – õppetunnina igatahes väga värvikas.

Üks inimene võttis koera. Sellise varjupaiga lontu, kes oli üsna õnnelik, et uue kodu sai. Istus kenasti kodus, kui pererahvas ära oli, pahandust ei teinud.

Mõne aja pärast võeti majja robotist põrandapühkija. Aitas kenasti ka lontu kasukast kukkunud karvad kokku korjata, elu oli lihtsam.

Ühel päeval aga läks pererahvas tööle ja lontul läks kõht korrast ära. Valvekaamerast olla näha olnud, et istus õnnetu moega ukse juures ja tahtis välja, aga mis sa hädaga teed… Igatahes oli korter korralikult ära märgistatud.

Robot aga võtnud nõuks enda sisseprogrammeeritud koristusringi tegema minna. Põrandale ilmunud ainesega toime ei tulnud, küll aga suutis selle korraliku sõnnikulaoturi kombel laiali loopida (SHTF!) ning ka ratastega laiali kanda.

Asjade lõplik seis ei ole  teada, aga õppetund näib olevat väga suurte (pruunide) tähtedega kirjutatud… Ja seda annab tegelikult üksjagu laiendada ka muude suure hurraaga kasutuselevõetud tehnoloogiliste lahenduste peale.

Olen pätt

… või midagi sellesarnast – igatahes tuleb peaaegu iga päev mõni e-kiri, kus “Eesti Abipolitsei”, “Riiklik Sandarmeeria” või mõne muu sellise toreda nimega asutus (ükskord kirjutas Elmar Vaher ka!) tahab, et “Laske end kohtus kinni pidada” (vmms andekat) .  Juhtumisi on mõned neist .ru domeeniga (laiskvorstid, bljää!), kõigil on muidugi sabas ka mingisugune ärakrutitud PDF-fail.

Peaks mõned neist Garfile saatma ja laskma Sotsiaalmanipulatsiooni kursuse praktilistest seminaridest osavõtjatel sinna vastu kirjutada (näiteks stiilis, et me oleme siin Tähtis Ameerika Kolmetäheline ja ei salli mingite eesti amatööride tembutamist enda haldusalas…). 😛

Konkurendid ründavad

WordPressiga tehtud veebilehti üritatakse endiselt lihtsa nimede- ja paroolideproovimisega maha võtta. Seal näeb igasugu nimesid, ehkki enamasti on need kas saidi enda nimi või siis eestikeelne “Haldur”, mille pätid on ära õppinud (proovitavad paroolid on tõenäoliselt sama lihtsad). Täna nägi aga üht lausa ausat ründajat, kes proovis nime “konkurendid” (tõsi, kodanik ise tuli hoopis Türgist)…

Firefox ja PDFid

Selgus, et Firefoxi uuendus versioonile 88 tõi kaasa ühe üsna küsitava väärtusega muutuse, nimelt lülitati vaikimisi sisse PDFides JavaScripti käivitamise lubamine. Seda on tarvis vaid väga väheste PDFide juures (peamiselt mõnede PDF-kujul blankettide täitmisel), küll aga annab seda kurjasti kasutada.

Väljalülitamiseks tuleb avada Firefoxi häälestusleht about:config, klõpsata kinnitusnuppu (“Jätkan ettevaatlikult”), kirjutada otsingusse pdfjs.enableScripting, klõpsata selle väärtusel (true) ja seada see false’iks.  Nii saab vähemalt tundmatutest allikatest pärit PDF-e avada natuke turvalisemalt.

Turvatestijad tegutsevad

Mingid sellid on viimase 24 tunni jooksul hoolsasti Jorale pentesti teinud. Küll Rootsist, küll Soomest, küll siitsamast Eestist. Näib, et skriptijuntsud on mingi uue töövahendi kätte saanud – ühes ründes on koos nii Unixi kui Windowsi proovimised. Kui muud ei saa, siis ajavad vähemalt külastuste statistika lakke. 🙂