Kiinalaisten datakeskusten ongelma...

 Periaatteessa yksi läppäri riittää tietojenkalastelu- ja hakkerointioperaatioiden välineeksi. Tuo läppäri voidaan tuoda maahan Kiinasta, ja sitten kiinalaiset, viranomaisten kanssa yhteistyössä toimivat hakkerit voivat käyttää tuota tietokonetta etäkäytön avulla kiinalaisesta sotilastukikohdasta käsin.  

Kiinalaisten operoima datakeskus Suomessa herättää keskusteluja. Kun puhutaan noista muodollisesti yksityisten toimijoiden omistamista datakeskuksista, niin meidän pitää huomioida se, että nuo operaattorit toimivat Kiinan kansantasavallasta käsin, ja he ovat velvollisia noudattamaan kansantasavallan lakeja aivan samalla tavalla kuin kaikki muutkin kiinalaiset. Sen takia voidaan hyvin oikeutetusti olettaa, että kansantasavallan viranomaiset haluavat kaikessa hiljaisuudessa hyödyntää tuota datakeskusta vakoiluun sekä mahdollisesti omien kansalaistensa valvontaan. 

Tuo valvonta voidaan kohdentaa esimerkiksi Suomessa opiskeleviin vaihto-opiskelijoihin, joista pitäisi tulla Kiinan eliittiä. Eikä Kiinassa katsota hyvällä, jos sen eliittiin kuuluvat suoraan haukkuvat tuon maan hallintoa. 

 Eli tuolloin datakeskusta hyödynnetään esimerkiksi puolustusteollisuuteen kohdistuvassa tiedustelussa. Datakeskus ei ole mikään akkutehdas, jonka tietokoneita voidaan samalla tavalla hyödyntää tiedustelutoiminnassa. Datakeskus on paljon laajempi laite kuin joku akkutehtaan tietokone, eli se kykenee ajamaan paljon monimutkaisempia algoritmikoodeja kuin joku toimistotietokone tai kaappiin sijoitettu serveri. Ja juuri tuon takia datakeskukset ovat suuri uhka erityisesti länsimaisten teollisuuslaitosten tietoturvalle. 

Datakeskus on väline jonka avulla voidaan toteuttaa suuren luokan hakkerointioperaatioita. Jos hakkerointi tapahtuu pitkälti automatisoidun tekoälyn avulla, niin silloin tietenkään ei hakkerien eli operaattorien tarvitse niin paljon altistua länsimaisille vaikutteille, kuin jos he operoisivat perinteisten menetelmien avulla. Ja juuri kyky suorittaa suuren luokan operointia tekee dataksekuksista tehokkaita välineitä. Siis kun puhutaan tällaisesta toiminnasta, niin silloin meidän pitää muistaa se, että se mitä asioista ei kerrota saattaa olla tärkeämpää kuin mitä asioista kerrotaan. Ja kun joku tarjoilee ilmaisia tuotteita, niin pitää muistaa kultainen sääntö, eli ilmaisia lounaita ei ole. 

Kun Kiinalaiset verkkokaupat tyrkyttävät tuotteitaan kuten tabletteja ilmaiseksi, niin silloin tietenkin pitää kysyä, että miksi moinen hyväntekeväisyys on nostanut päätään? Jos yksikin noista mahdollisesti haittaohjelman saastuttamista laitteista päätyy väärään verkkoon, niin ne saattavat suoraan välittää tietoja Kiinan viranomaisille. 

Tai sitten jos tabletti vaikka hajoaa viikon kuluttua käyttöönotosta, niin siihen saattaa jäädä esimerkiksi verkkojen kirjautumistietoja, joita hakkerit voivat myöhemmin hyödyntää. Tuolloin tabletin verkkokortissa pitää olla pieni siru, joka ehkä tallentaa vain nuo kirjautumistiedot, ja niitä hakkerit voivat hyödyntää omissa toimissaan. 

https://yle.fi/a/74-20160638

Miksi poliisi sai nuhteet siitä, että paljasti joidenkin yhtiöiden kytkökset MC-kerhoihin?

https://yhteiskuntajahistoria.blogspot.com/

Kimmo Huosionmaa

Metro-lehdessä oli tänään sellainen mielenkiintoinen juttu, että poliisi oli saanut nuhteet siitä, että se paljasti tiettyjen yhtiöiden kytköksiä erääseen MC-kerhoon. Tuo yhtiö oli aikonut vuokrata toimitilaa Helsingin kaupungilta. Tässä tapauksessa pitää aina muistaa se, että vaikka jollain yhtiöllä olisi töissä henkilö, joka kuuluu MC-kerhoon, niin se ei tarkoita, että koko yhtiö olisi olemassa  rikollisten peitetoimintaa varten. Ja jos epäilys tästä on väärä, niin silloin saattaa yhtiön omistaja joutua kärsimään kohtuuttomasti. Tämä on yksi syy siihen, miksi poliisi ei saa tällaisia tietoja jaella ympäriinsä. Mutta nuhtelun syynä on myös se, että tällaisen tiedon paljastaminen saattaa vaarantaa ryhmässä toimivan ilmiantajan turvallisuuden, joten siksi tällaisen tiedon levittämisessä pitää olla tarkkana, jotta nämä asiat eivät päädy vääriin käsiin.

Se miksi poliisia nuhdeltiin liittyy siihen, että tuon kytköksen paljastaminen saattaa vaarantaa sen tiedustelutoiminnan, joka kohdistuu joihinkin rikollista toimintaa harjoittaviin tai sellaisesta toiminnasta epäilyksen alaisiin järjestöihin.Nimittäin jos tuollaisesta yhteydestä ovat vain muutamat jäsenet tienneet, niin silloin saattaa tuossa järjestössä toimiva tiedottaja eli "vasikka" joutua vaaraan, ja jos kyseessä on niin sanottu organisoitu rikollisuus, jonka yhteydessä on tehty esimerkiksi murhia tai törkeitä pahoinpitelyitä, sekä harjoitettu huumeita sekä aseita koskevaa kauppaa, niin silloin tuollaisen liiketoiminnan harjoittajat eivät varmasti kaihda mitään keinoja, jotta saavat "vasikan" hiljennettyä.

Jos puhutaan siitä, että jollain yhtiöllä on kytköksiä johonkin rikolliseen ryhmään, niin silloin kuitenkin voidaan sanoa, että tuollainen yhteys saattaa olla esimerkiksi työntekijä, joka on myös esimerkiksi moottoripyöräkerhon jäsen. Se kuitenkin voi tarkoittaa sitä, että tuo työntekijä on vain välimies yhtiön johdon ja tuon kerhon välisessä liiketoiminnassa sekä ajatusten vaihdossa. Se miksi tällaiset yhteydet ovat kiusallisia on se, että täysin laillisen yhtiön nimissä voidaan hankkia esimerkiksi varastoja, ja sitten ne vain edelleen vuokrataan noille moottoripyörä-miehille. MC-kerhoille ei yleensä kovin helposti vuokrata toimitilaa, koska ne eivät ole ehkä virallisia yhdistyksiä tai yhtiöitä. Tuon takia esimerkiksi korvausten saaminen rikotuista tiloista tai maahan valuneesta öljystä on vaikeaa saada, koska vastaavaa tahoa on vaikea tavoittaa tai jos tuo tila on yksittäisen jäsenen nimissä, niin hänellä ei ehkä ole rahaa maksaa tuollaista vahinkoa, joka koskee esimerkiksi maahan valunutta öljyä.

Mutta kun ajatellaan laillisesti toimivaa yhtiötä, jolla on esimerkiksi alkanut alamäki, niin silloin saattaa houkutus lähteä hankkimaan esimerkiksi toimitiloja joillekin MC-miehille olla hyvin suuri, koska he kuulemma maksavat hyvin tällaisista palveluista. Moottoripyörä on hyvä peite esimerkiksi laittomalle asekaupalle, koska aseen osia on helppo hankkia amerikasta, ja ne voidaan laittaa juuri moottoripyörien osien sekaan, joita tuollaiset moottoripyöräkerhot tilaavat USA:sta. Samoin jos puhutaan siitä, että jonkun yrityksen toiminta olisi laitonta, niin kuitenkin se voi pestä rahaa tuollaisten kiinteistöjen kautta.

Eli esimerkiksi MC-kerho tai sen sisällä toimivat rikolliset saattavat hoidella paikallisten huumekauppiaiden edunvalvontaa, mikä tarkoittaa, että he perivät noilta henkilöiltä suojelurahaa, ja sitten kun he luovuttavat tuon rahan eteenpäin rahan pesijöille, joista käytetään nimeä "valkokaulusrikollisuus" tai "Mafia", niin tuon rahan alkuperän selittäminen poliisille sekä verottajalle on helppoa, koska se voidaan naamioida toimitilasta perityksi vuokraksi, sekä korvaukseksi aiheutetusta vahingosta. Tuollaisesta suhteesta tietenkin MC-kerho hyötyy muutenkin, koska laillisen vienti- ja tuonti-liikkeen nimissä voidaan myös aseen osia tuoda USA:sta Suomeen, ja vaikka siitä kerran jäisi joku kiinni, niin se voidaan aina laittaa alaisten niskaan.


Tuolloin riittää, että väitetään alaisen toimineen yksin, ja se sitten tietenkin suojelee yhtiö johtoa. Kuitenkin voidaan sanoa, että jos poliisi kertoo esimerkiksi kaupungille jonkun yhtiön, joka vuokraa tiloja olevan yhteyksissä MC-kerhoihin oikeudenmukaista? Eli olisiko poliisi sitten kertonut tuon asian yksityiselle vuokraajalle samalla tavoin kuin se toimi kaupungin kohdalla? Tässä pitää mainita se, että yksityisen henkilön asema sellaisessa tilanteessa, että johonkin hänen omistamaansa varastoon majoittuu jotain aivan muuta kuin mitä alussa sovittiin on paljon huonompi kuin kaupungin, ja jos siellä sitten tehdään vahinkoa tai vuokra jää saamatta, niin silloin saattaa rahojen saaminen olla hankalaa, mutta toisaalta esimerkiksi mitään yhtiötä ei saisi leimata rikolliseksi, jos yksi sen työntekijä kuuluu liivijengiin, eikä laillisen yhtiön toimintaa saisi vaarantaa vahingoittamalla sen mainetta ehkä perättömällä ilmiannolla.

Tietoturva ei ole kiinni siitä, että onko sovellus maksullinen

Kimmo Huosionmaa

Tietoturva ei ole kiinni siitä, että maksaako joku ohjelmisto vai ei. Se että ohjelmisto on maksullinen sekä tietenkin kallis voi auttaa rikollisia valikoimaan kohteiksi varakkaita toimijoita, joilla on varaa maksaa jostain palvelusta. Kun puhutaan siitä, kuinka jotkut ennen maksuttomat ohjelmat ovat muuttuneet yrityksille maksullisiksi, niin silloin tietenkin voidaan sanoa, että maksullisuuden avulla  saatetaan profiloida kohteita, joiden tietoturva halutaan murtaa. Ja jos sovellus pääsee valvomaan esimerkiksi älypuhelimen kautta tapahtuvaa viestintää, niin silloin edessä on tilanne, missä erittäin paljon luottamuksellista tietoa saattaa päätyä vääriin käsiin.



Teollisuuden salaisuuksien varastamiseen erikoistuneet vakoojat varmasti haluavat valvoa sitä viestintää, mitä yrityksen sisällä tapahtuu. Eli he eivät ole varmaan kovin kiinnostuneita mistään yksityishenkilön viestinnästä, mikä koskee pannukakkujen paistamista. Toisaalta ilmaisia lounaita ei ole, eli koskaan ei pidä mitään ohjelmaa tai ohjelmisto luulla turvalliseksi. Ohjelmointityö on yleensä maksullista,  joten tietenkin noiden ohjelmistojen kehittäjät ovat pakotettuja hankkimaan rahoitusta jostain, eli ei kukaan jakele ohjelmistoja Internetissä ilmaiseksi.


Kun puhutaan esimerkiksi pikaviesti-ohjelmista niin ne voivat kaapata paljon dataa, ja pahimmassa tapauksessa ne saattavat muuttaa puhelimen täysipainoiseksi vakoilun välineeksi. Eli noissa sovelluksissa saattaa olla esimerkiksi stealth-kuuntelu-ominaisuus, jonka avulla sitten tarkkailija voi kuunnella puheluita sekä kaikkea mitä puhelimen lähellä puhutaan salaa, ja tietenkin tuo sovellus voi olla sellainen, että se lataa päivityksiksi naamioituja laajennuspajetteja Internetistä, ja silloin tuo aluksi hyvin yksinkertainen ohjelma saattaa ryhtyä valvomaan kaikkea puhelimen kautta tapahtuvaa dataliikennettä, jolloin sähköpostit ja kaikki muukin viestintä sitten päätyy kolmansien osapuolten käsiin.


Ja tuollainen saastunut kännykkä saattaa myös asentaa huomaamatta valvontaohjelman esimerkiksi verkkojen reitittimille, jota välittävät koko verkon liikenteen jonnekin kauas. Tuollainen puhelin voi auttaa myös esimerkiksi rikollisia paikantamaan tuon henkilön GPS:n avulla. Tuollaisilla ohjelmistoilla varustettuja puhelimia on tarinan mukaan pudotettu tai muuten ujutettu terroristien pariin. Ja niiden avulla ovat rynnäkkökoneet löytäneet nuo henkilöt muutamassa minuutissa, minkä jälkeen ovat täsmäpommit tehneet heistä selvää, mikä sitten varmaan muuttaa ajattelun tietomurtojen ja haittaohjelmien vaaroista ihmisten hengelle täysin.


Troijan hevonen on haittaohjelma, joka on naamioitu hyödylliseksi sovellukseksi. Eli tuo ohjelma on näennäisesti hyvin luotettavan tuntuinen. Mutta siinä on piilotettu ominaisuus, joka tekee siitä vaarallisen. Tuo ohjelma saattaa välittää dataa kolmansille osapuolille, tai sitten se jakaa muuta vaarallista tietoa, kuten tiedon puhelimen sijainnista väärille henkilöille, ja tietenkin jos nuo vakoojat pääsevät sitten käyttämään puhelimen kameraa tai mikrofonia, niin silloin saattaa kuviin tarttua esimerkiksi aseiden tai univormujen kuvia. Ja tällainen tieto varmasti kiinnostaa rikollisia. Eli gangsterit varmasti haluavat ampuma-aseita oman bisneksensä tueksi, ja niitä tietenkin on kätevä hankkia murtojen avulla.


Esimerkiksi vartiointiliikkeen työntekijän lähipiiriin päässyt rikollinen saattaa hankkia ostoskeskusten avaimia haltuunsa tällaiselta henkilöltä. Mutta jos tuo sama tapahtuu viranomaisten edustajan lähipiirissä on tilanne paljon pahempi. Ihmiset luottavat poliisiin, ja jos joku varastaa virkamerkin tai ottavat poliisin sähköpostin käyttöönsä, voivat he urkkia tietoja, jotka vaarantavat hyvin monien ihmisten turvallisuuden.


Tai sitten tuo gangsteri saattaa houkutella ihmisiä ansaan esiintymällä poliisina, ja esimerkiksi pahimmillaan murhata uhrinsa.  Eli jos rikollinen soluttautuu poliisin lähipiiriin, niin hän saattaa urkkia hyvinkin tärkeitä sekä vaarallisia tietoja tuolta henkilöltä. Tuolloin pahimmillaan virkamerkki, ase tai poliisin sähköposti saattavat päästyä rosvojen haltuun, ja tuo sitten voi vaarantaa hyvin monien ihmisten turvallisuuden. Joten tietoturvan kanssa pitää olla aina huolellinen, ja miettiä hyvin tarkasti, mitä ohjelmia omiin laitteisiin ladataan, jotta omat tiedot eivät päädy vääriin käsiin.

Lahjoista sekä niiden tarkoituksen miettimisestä (Ilmaisia lounaita ei ole)

Kimmo Huosionmaa

Kun ihmiset saavat lahjoja, niin he sitten aina välillä unohtavat sen, että "ilmaisia lounaita ei ole". Katsottaessa esimerkiksi Windowsin mukana tulevia ohjemia, niin silloin tietenkin eteen putkahtaa  Office-365-ohjelmiston ilmais-kokeilu, missä sitten tietenkin on mukana aivan kaikki tähän ohjelmistoon asennetut tuotteet. Kun tuota verkkoon asennettua ohjelmistoa ajatellaan esimerkiksi tietoturvan kannalta, niin silloin mieleen tulee se, että jos joku muu pääsee katsomaan noita ohjelmia, sekä sitä mitä niillä tehdään esimerkiksi Serverin kautta, niin silloin hän näkee kaiken, mitä noilla ohjelmilla tehdään.


Tietenkin on erittäin hyvä, jos ihmiset ajattelevat, että esimerkiksi Officen kautta voidaan heidän työtään tarkastella erittäin tarkasti, mutta jos he valitsevat esimerkiksi Linuxin omaksi käyttöjärjestelmäksi, niin nämä ihmiset eivät aivan varmasti ole ajatelleet, että esimerkiksi noiden lataussivujen sijainti määrää sen, mitä niiden kautta ladataan. Silloin tietenkin saattaa käydä niin, että tuollaiset ihmiset sitten lataavat vahingossa verkosta kokonaisen valvonta-ohjelmiston sisältävän  paketin. Samoin tietenkin nykyään toisten ihmisten tietoturvan tuhoaminen on monialaisten toimijoiden työtä.


Kun ajatellaan esimerkiksi tilannetta, että joku tietoturva-ohjelma varoittaa siitä, että tietokoneella on vaikkapa seuranta-sovellus, niin silloin tietenkin unohdetaan se, että tuo ohjelmisto saattaa oikeasti jopa poistaa tuollaisen valvontaohjelman. Mutta sitten se korvaa tämän poistetun ohjelman omalla versiollaan, joka saattaa lähettää tietoja suoraan NSA:han tai johonkin yksityiseen turva-alan yhtiöön, mikä on oikeasti yleinen peitenimi yksityiselle tiedustelupalvelulle. Kun ennen oli olemassa sota-alan yhtiöitä, jotka välittivät palkkasotureita Afrikkaan, niin nykyään on olemassa yksityisiä tiedustelu-alan yhtiöitä, jotka vakoilevat muita rahaa vastaan.


Samoin osa sota-alan yhtiöistä toimii myös kyber-rintamalla suorittaen myös verkon häirintää, informaatio-operaatioita  eli levittävät propagandaa sekä yrittävät saastuttaa vihollisten tietokoneita viruksilla, sekä sotkea vastustajien kotisivuja. Jos yksityinen toimija jää kiinni vakoilusta, niin sitä ei voida suoraan yhdistää mihinkään valtiolliseen toimijaan kuten NSA:han. Se tietenkin keventää poliittista painetta tuon toiminnan lopettamisen suhteen.


Eli ensin tietenkin pitää löytää sellainen kohde, joka kiinnostaa noita hakkereita, joten tuolloin etsitään ihmisiä, jotka neuroottisesti varjelevat esimerkiksi juuri yksityisyyttään. Tuollaiset ihmiset, jotka eivät koskaan tee mitään sosiaalisessa mediassa varmaan ovat sellaisia, joiden hallussa on jotain kiinnostavaa, jota myös hakkerit voivat haluta tarkastella. Eli mikään julkinen asiakirja ei noita ihmisiä kiinnosta, vaan heille maksetaan nimenomaan salaisen tiedon hankkimisesta, ja silloin tietenkin olisi hyvä, jos nuo tiedot olisivat sellaisia, että niissä paljastuisi vaikka virkamiesten harjoittamaa kähmintää, sekä sellaista toimintaa, missä esimerkiksi julkisia investointeja koskevia tarjouksia on näytetty jollekin rakennusyhtiölle ikään kuin tiskin alta, jotta tämä yhtiö olisi saanut sitten etua tuosta toiminnasta.


Kun ajatellaan sosiaalisen median nykytilaa, niin tietenkin esimerkiksi What's App sekä SnapChat ovat syrjäyttämässä paljon parjatun Facebookin, ja sitten tietenkin niiden maksullisuudesta on alettu keskustella, jolloin tietenkin esimerkiksi What's Appin maksullisuutta yrityskäytössä on mainostettu kaikkialla, koska kyseinen ohjelmisto mahdollistaa ilmaiset puhelut, tai oikeastaan puhelu sinänsä on ilmainen riippuen kuinka paljon henkilöllä on ilmaisia megabittejä puhelinliittymässä. Kuitenkin tuo maksullisuus yrityksille tarkoittaa sitä, että käyttäjien profiloiminen on tuolloin helpompaa, koska silloin myös yritysten kannattaa ryhtyä vaatimaan henkilökohtaisten What's Appsien käyttöä työpaikoilla.

Tuo sitten lisää mahdollisuutta personoida henkilöitä, jotka tuota sovellusta käyttävät. Eli tuossa tapauksessa puhelimen käyttäjä voidaan jäljittää SIM-kortin sekä puhelimen tunnisteiden ja IP-osoitteen perusteella. Ja koska kaikki What's Appsit ovat sitten jonkun henkilön henkilökohtaiseen käyttötiliin liitettyjä, niin silloin niitä ei enää unohdella pöydille tai anneta kaverille lainaksi. Ja se mikä tietenkin on kaikkien teleliikennettä valvovien tarkkailijoiden kannalta kaikkein paras vaihtoehto, on se, että data mitä saadaan on jotenkin käyttökelpoista. Se miten tietoja välitetään niille tahoille, joiden ei sitä ehkä pitäisi saada riippuu tietenkin puhelin- tai verkkopalveluyhtöstä sekä internet-palveluntarjoajasta.

Mikäli nuo toimijat haluavat ryhtyä vakoilemaan ihmisiä, niin ne saavat tietää hyvin paljon jokaisesta asiakkaistaan. Tuota tietoa on sitten helppo luovuttaa jollekin kolmannelle osapuolelle. Ja tuolloin  olisi hyvä kysyä, että tietääkö kukaan kuka oman puhelinyhtiön oikeasti omistaa? Nimittäin jos puhelinyhtiön omistaja haluaa, niin hän voi välittää kaiken sen kautta kulkevan tiedon vaikka toiselle puolen maailmaa. Jos hän käyttää niin sanottua RAID-5 tekniikkaa, niin silloin hän voi samalla tavalla kuin varmuuskopioita otetaan välittää kaikki mahdolliset puhelut sekä datan suoraan NSA:n päämajaan.

Tuolloin tietenkin voidaan sanoa, että missään nimessä ei tuolla yhtiöllä ole mitään tekemistä paikallisen puhelinpalveluiden tarjoajan kanssa. Kuitenkin voidaan sanoa, että nuo tiedustelun miehet varmaan omistavat noita puhelinyhtiöitä melko paljon erilaisten ketjutetun omistuksen kautta, jotta heitä ei aivan heti sieltä sitten löydä. Tai ainakaan NSA ei itse ole ilmoittautunut minkään puhelinyhtiön omistajaksi. Nuo yhtiöt tietenkin omistetaan vale-yhtiöiden kautta, jotta kukaan ei epäilisi niiden välittävän tietoja kansallisen turvallisuuden viranomaisille. Ja tiedustelua koskevassa työssä tärkeintä on sitten uskottavuus sekä se, että ihmiset uskaltavat käyttää laitteitaan vapaasti. Näin saadaan aikaan sellainen todenmukainen profiili, jota voidaan käyttää henkilön hallitsemiseen.

Kuitenkin tiedetään, että esimerkiksi entisiä CIA:n agentteja on työssä vartiointiliikkeissä, joilla on yhteyksiä puhelin yhtiöihin, jotka usein toimivat myös Internet-palveluntarjoaja. Se että joku väittää olevansa entinen CIA:n mies tai nainen ei tarkoita, että hän olisi oikeasti eronnut tuon laitoksen palveluksesta. Entisen sekä nykyisen CIA-miehen välillä on erittäin pieni ero, ja jos esimerkiksi NSA:ta pyydetään asettamaan valvonta laitteita tai ohjelmistoja noiden yhtiöiden palvelimiin, niin silloin heille voidaan selittää, että kyseessä on turvallisuusharjoitus, missä testataan kykyä havaita tunkeilija sekä puhdistaa palvelimia noista ohjelmista. Eli tämä asia sitten pitää aina pitää mielessä, jos haluaa yksityisyyden säilyvän.