Monimutkaisemmat yhtälöt kuin y = f(x) on insinööriopintoihin kuuluvissa raporteissa kirjoitettu auki LaTeXin avulla tai Microsoft Wordin kaavaeditorilla. Itselläni on molempiin monimutkainen suhde, mutta se ei ole tämän tarinan varsinainen aihe. Haluan nyt puhua niin kutsutun hyökkäyspinta-alan minimoinnista. Kaavaeditori liittyy siihen erittäin omakohtaisella tavalla.
Pari sanaa hyökkäyspinta-alasta
Tietoturvan ammattilaiset pyrkivät välttämään ylimääräisiä liikkuvia osia, karsimaan ulospäin näkyviä komponentteja ja kyyristelemään suojavallien takana. Jokainen uusi toiminnallisuus, verkkoa kuunteleva palvelu tai internetiin avattu portti tuo potentiaalisesti mukanaan haavoittuvuuksia, jotka puolestaan altistavat koko järjestelmän tietomurroille, palvelunestohyökkäyksille tai virhetilanteille. Ne kasvattavat hyökkäyspinta-alaa ja alan koulutus on opettanut vaistonvaraisesti välttämään sen kasvattamista.
Kun tietoturvapäällikkö sanoo ”ei” uudelle hilavitkuttimelle, ei se tarkoita etteikö hän arvostaisi vitkuttimen hyötyjä; hilathan ovat olleet yrityksessämme vajaalla vitkutuksella jo hyvän aikaa! Kielteisen vastauksen syy on, että vitkutin lisäisi hyökkäyspinta-alaa tai heikentäisi olemassa olevien kontrollien tehoa. ”Jaa, että palomuuriin pitäisi porata taas uusi reikä?” tai ”Antaisimme siis kolme hengen startup-firmalle rajattoman pääsyn kaikkeen pilvessä käsittelemäämme tietoon?” Tietoturvapäällikkö punnitsee ensisijaisesti riskejä: lisää ominaisuuksia, lisää riskejä; lisää monimutkaisuutta, lisää riskejä.
Teoriasta käytäntöön
Kun 90-luvun lopulla siirryin työelämään, suorittelin vielä opintojani Otaniemessä. Olin mukana muutamassakin projektissa, jossa käyttäjien työasemia ja ohjelmistoja päivitettiin ja otettiin käyttöön tuoreimmat ohjelmistot. Toimisto-ohjelmistojen kokoonpanoa valitessani pidin aina huolen, että käyttäjille asennetaan suomenkielinen oikoluku, kuvaeditori, ja myös kaavaeditori. Jos minä tarvitsin kaavaeditoria, varmasti joku muukin tarvitsee! Linjausteni seurauksena noin kymmenentuhatta käyttäjää sai tietokoneelleen kaavaeditorin, halusivat sitä tai eivät. Se oli vain yksi ruksi asennuspakettiin, mikä muka voisi mennä pieleen? En vielä silloin ollut sisäistänyt, että kaikki vipua monimutkaisempi ihmisen tekemä sisältää haavoittuvuuksia.
Viime vuoden marraskuussa opimme, että kaavaeditorista löytyi vakava ohjelmointivirhe, jota hyväksikäyttämällä kaikki käyttäjän käsittelemät tiedot ovat vaarassa. Haavoittuvuus oli odottanut löytäjäänsä noin parinkymmenen vuoden ajan – koko sen ajan kaikki käyttäjäni olivat vaaralle alttiina tietämättään! Microsoftilla ei ilmeisesti enää ole tallessa kaavaeditorin lähdekoodia, joten korjaavaa päivitystä ei ole tulossa. Haavoittuvuus oli kuitenkin niin vakava ja uhka sen väärinkäyttämisestä niin todellinen, että Microsoft omalla ohjelmistopäivityksellään käytännössä esti kaavaeditorin toiminnan käyttäjien työasemilla. Ohjelmistovalmistaja siis amputoi oman tuotteensa suojellakseen käyttäjiensä tietoturvaa! Siinä he tekivät sen, mitä minun olisi pitänyt ylläpitäjänä tajuta itse tehdä kaksikymmentä vuotta sitten. Älä asenna, jos et todella tarvitse, muutoin kasvatat turhaan hyökkäyspinta-alaa!
Missä puolustus pettää?
F-Securen selvittämien todellisten tietoturvaloukkausten taustalta paljastuu yleisimmin tekninen virhe tai inhimilliset syyt. Julkaisimme tutkimistamme tapauksista tuoreen raportin. Kun mietin omaa urani alkuvaihetta, riskipäätöksenä kaavaeditorin asentaminen koko käyttäjäpopulaatioon oli selkeä virhe. Jälkikäteen ajatellen tämä vaikuttaa päivänselvältä. Ellei kaavaeditorini olisi nyt rikki, voisin laskea kuinka paljon päätökseni kasvatti hyökkäyspinta-alaa. Mutta jääköön nyt laskematta…
—
Erka Koivunen, CISO, F-Secure Oyj
Kategoriat