Tietoturva & kyberhyökkäykset

  • Viestiketjun aloittaja Viestiketjun aloittaja fraatti
  • Aloituspäivämäärä Aloituspäivämäärä
F

fraatti

Hyperaktiivi
Mites, gmail, microsoft365 ja muut pilvipalvelut eikös niissä data voi myöskin olla ihan missä vaan?


Suomen Tietosuojavaltuutettu on antanut monen yrityksen kannalta erittäin merkittävän päätöksen. Tietosuojavaltuutettu otti kantaa siihen missä kanavissa yritysten asiakkaiden tiedoista voidaan keskustella.
Tietosuojavaltuutetun kanta on yksiselitteisen selkeä:

Yrityksen työntekijät eivät saa keskustella asiakkaiden henkilötiedoista WhatsAppissa.

Käytännössä sama päätös koskee myös Messengeriä ja lähes kaikkia muitakin yksityiskäyttöön tarkoitettuja viestikanavia, joissa ei voida taata sitä, etteikö tietoja siirtyisi EU:n ulkopuolelle.

Kesällä 2020 EU-tuomioistuin antoi ns. Schrems II -ratkaisun, jonka perusteella EU:sta ei saa siirtää henkilötietoja Yhdysvaltoihin. Syynä on se, että Yhdysvaltain lainsäädäntö antaa maan tiedusteluviranomaisille pääsyn kaikkeen Yhdysvalloissa sijaitsevaan dataan.

Jutun keskiössä on suomalainen siivousalan yritys, jonka työntekijät ovat käyttäneet WhatsAppia välittääkseen asiakkaiden osoitteita, nimiä ja ovikoodeja. Sinänsä toiminta kuulostaa loogiselta: siivoojien pitää tietää asiakkaiden osoitteet, nimet ja ovikoodit. Mutta niitä ei saa kertoa WhatsAppin kautta.
fin.afterdawn.com

Suomalaisfirma mokasi: Asiakkaista puhuminen WhatsAppissa on laitonta, tiedot välittyvät Yhdysvaltoihin

Asiakkaiden tietoja ei saa välittää WhatsAppin kautta, sillä ne voivat lipsahtaa Yhdysvaltoihin.
fin.afterdawn.com fin.afterdawn.com
 
WhatsAppissahan on e2e-salaus, eli ratkaisu on taas yksi naurettavimpia asioita mitä on hetkeen kuultu. Ei yllätä, kyllä me ollaan hyvissä käsissä.
 
"Tietosuojavaltuutettu tarttui ratkaisussaan etenkin siihen, että sopimus WhatsAppin käytöstä solmitaan puhelinta käyttävän yksityishenkilön ja WhatsAppin omistavan Facebookin välillä. Tällöin rekisterinpitäjällä - eli siivousyrityksellä - ei ole keinoja valvoa, miten henkilötietoja käytetään WhatsAppissa."

Jostakin on jäänyt korvaan, että esim. MS on vääntänyt omista pilvipalveluistaan Suomessa jotakin kannanottoa, jossa se täyttäisi Schrems II:n. Pilvipalvelut isoilla toimijoilla tuntuu olevan globaaleja ainakin varmistusten ja käyttöhenkilöstön osalta, mikä tekee asiasta hankalan.

Hätsupissa viestit ovat salattuja, mutta käyttäjätiedot, lokit, yms. ei taida olla. Liian paljon tietoa annettavaksi louhimiseen. Niinpä pääministerimme näytti piilomainostaneen jossakin jutussa Signalia. Hätsupin koodi ei taida olla auditoitavissa.
 
pelzi_ sanoi:
WhatsAppissahan on e2e-salaus, eli ratkaisu on taas yksi naurettavimpia asioita mitä on hetkeen kuultu. Ei yllätä, kyllä me ollaan hyvissä käsissä
Klikkaa laajentaaksesi...

No miten sen nyt ottaa - whatsapp käyttää signal-protokollaa jonka pitäisi olla aika hyvä, mutta tämä firma on tehnyt siihen itselleen reiän: ne pääsevät kiinni sovelluksen salausavaimiin ja jopa asettamaan ne. Eli tavara on turvassa useimmilta muilta, mutta..
 
signal.org

There is no WhatsApp 'backdoor'

Today, The Guardian published a story falsely claiming that WhatsApp’s end-to-end encryption contains a “backdoor.”
signal.org signal.org

Jos nyt pysytään faktoissa, niin ikävä kyllä PKI:tä ei voi paremmin tehdä jos halutaan säilyttää järkevä käytettävyys. Avaimen vaihtumisesta tulee ilmoitus ja krypto tehdään puhelimessa, missä ajettavaa koodia auditoi moni taho vaikka sorsia ei olisi. Joten MITM:llä saa vain myöhäisimmät pari viestiä, se on tietysti harmi ettei ole menuun jemmattua optiota vaatia offline-verifiointi mutta oletuksena se on utopiaa.

Jos haluaa tehdä mitm:n, ensin täytyy murtaa palvelimet tai saada kohteen 2FA-PIN ja mobiililiittymä haltuunsa.

Samaan aikaan näissä MS Teamseissa yms. ei ole yritystäkään tehdä e2e-salausta ja vakoiluominaisuudet löytyy valmiina.
 
pelzi_ sanoi:
Samaan aikaan näissä MS Teamseissa yms. ei ole yritystäkään tehdä e2e-salausta ja vakoiluominaisuudet löytyy valmiina.
Klikkaa laajentaaksesi...
Msoft analysoi ja laittaa graphiin kaiken aika julkisesti ja yhdistää siihen myös LinkedIn-datan käyttäjän 'luvalla' - kielto privatiedon yhdistämisestä korporatedataan on jemmattu paikkaan josta sitä ei löydä kuin vahingossa ja sittenkin kohta on niin kryptinen että pitää käydä msoftin dokumentaatiosta katsomassa mitä ihmettä tämä on - huomiotani herätti se, että tekstissä korostettiin sitä ettei tähän tarvita työnantajan lisenssiä, sensijaan että olisi vaan sanottu että tässä, käytä.

Ainakin aiemmin Microsoft myös kehui kuinka sieltä hirmuisen käyttäjämassan graphista sitten voi hakea kaikenlaista vaikka bisnestä parantaakseen, mutta se mihin sitä kaikkea dataa oikeasti jaetaan on aika epäselvää - ja millä hinnalla hakuja saa tehdä.
 
pelzi_ sanoi:
Jos nyt pysytään faktoissa, niin ikävä kyllä PKI:tä ei voi paremmin tehdä jos halutaan säilyttää järkevä käytettävyys
Klikkaa laajentaaksesi...
No jos sovellus, privakey ja koko PKI on yhden ihmisten datasta elävän firman hallussa kyllä siinä aika monta kohtaa voisi olla paremmin, on siinä se privakeykin heti tyrkyllä. Signal toki puolusti protokollaansa, mutta moisilla firmoilla on melko aukoton historia siitä että ennemmin tai myöhemmin löytyy '0-päivän bugi' jos toinenkin, Microsoftikin on hidastellut muutaman korjaamisen kanssa parhaimmillaan vuosia. Sellainen 'vika' rakennettiin puhelinten salaukseenkin Ranskan vaatimuksesta jo vuonna kivi ja keppi.

Se että Signalin jutuissa olisi teknisesti mahdollisuus tehdä kaikki hyvin ei tarkoita että Whatsappi olisi haluttu niin tehdä..
 
Sovelluskaupan kautta kulkeva mobiilisovellus jonka versiohistoriaa ei voi hävittää ja jota syynätään aktiivisesti ei ole kyllä eka paikka missä aletaan mitm:llä urkkia viestien sisältöä, jos taas kyse on NSA:sta niin sitten peli on kuitenkin menetetty.
 
Mutta jos whatsappissa pistää backupin päälle niin viestihistoria valuu salaamattomana googlen tai applen pilveen. Salausmahdollisuus on ollut vasta pari kuukautta muttei taida olla mikään defaultti.
 
Ei e2e tietenkään suojaa enää sitten kun viesti on perillä, eikä piilota mitenkään sitä kenelle lähetät viestejä ja milloin.
 
fraatti sanoi:
Mitäs yleisiä sovelluksia tämä koskee?
www.hs.fi

Tietoturva | Internetistä löytyi haavoittuvuus, joka koskee käytännössä jokaista käyttäjää, hyväksikäyttöyritysten määrä räjähti viikonloppuna

Kyberturvallisuuskeskus vaatii sovellusten ylläpitäjiltä nopeaa reagointia.
www.hs.fi www.hs.fi
Klikkaa laajentaaksesi...
Voi koskea mitä vaan - käyttäjä ei palvelun sisällöstä tai rakennuspalikoista tiedä.

Tämä log4j-haava on mielenkiintoinen. Tulevat 2 vkoa jänniä. Pahoilla toimijoilla aika paljon mahdollisuuksia ja haavoittuvuuden käyttäminen helppoa.

Oman harrastuspalvelimen logeista katsoin niin yritystä riittää. Työtä tehdään paljon yrityksien toimesta uhkan minimoimiseksi. Toivottavasti jää uhkaksi...
 
Kyllä tuon logeista meidänkin julkishallinnon asiakkailla huomasi kuinka oli yritetty pommittaa, mutta sitä hyödynnettävää aukkoa ei sitten onneksi kuitenkaan ollut löytynyt, sen verran monitahoinen tietoturvasipuli tuo järjestelmä on ettei yhden kerroksen läpäisy vielä paljasta urkkijalle liikaa dataa, joka kerroksella kun joutuu melkoisella yritä-erehdy -tekniikalla kokeilemaan ja nyt on tuo pienikin mahis sitten jo tukittu, tämän sipulin kuori jälleen ehjätty :)
 
Tulipa mieleen kotiverkon suhteen, että josko pitäisi tehdä DMZ (tai useampi) johon laitettaisiin esim. TV, digiboksi, kotiautomaatiot jne.

Nyt kotiverkko näyttää tältä:

5G verkko <-> ZTE MC7010 5G modeemi <-> TP-Link Deco M.5 mesh-reititin <-> langallinen ja langaton kotiverkko

Mietin että josko tuon ZTE:n ja TP-Linkin väliin laittaisi jonkin hallittavan verkkokytkimen, esim. https://www.verkkokauppa.com/fi/product/33779/gnxsg/TP-LINK-TL-SG108E-8-porttinen-kytkin, niin sillä kaiketi saisi eristettyä max. 6 laitetta omiin VLANeihinsa, 2 porttia menisi ZTE:lle ja TP-Linkille.
 
fraatti sanoi:
Uhka vai mahdollisuus? Astianpesukone ei käynnisty ennen päivitystä netistä. :hmm:
Klikkaa laajentaaksesi...

Niin paljon kun tälläkin foorumilla on kiroiltu kelvottomia päivitysmahdollisuuksia esimerkiksi lämpöpumpuissa, niin sanoisin että mahdollisuus.

Pesukoneissakin on ties logiikkaa annosteluihin ym. liityen, niin hyvähän se on jos niihin tulee korjauksia/parannuksia.

Se on kyllä vähän kumma jos päivitystä ei voi siirtää myöhemmäksi vaan se pakotetaan…
 
pamppu sanoi:
Niin paljon kun tälläkin foorumilla on kiroiltu kelvottomia päivitysmahdollisuuksia esimerkiksi lämpöpumpuissa, niin sanoisin että mahdollisuus.

Pesukoneissakin on ties logiikkaa annosteluihin ym. liityen, niin hyvähän se on jos niihin tulee korjauksia/parannuksia.

Se on kyllä vähän kumma jos päivitystä ei voi siirtää myöhemmäksi vaan se pakotetaan…
Klikkaa laajentaaksesi...
Tuossa suhteessa varmaan hyvä, olettaen että valmistajaa kiinnostaa tehdä softaan korjauksia. Tosin jossain on epäonnistuttu jo mobiilisofta on esim Mielellä saanut 1,5 tähteä.
play.google.com

Miele app – Smart Home – Google Play ‑sovellukset

Smart Home -sovellus laitteillesi – mobiiliohjaus, tilapyynnöt ja paljon muuta
play.google.com play.google.com

Toinen juttu on jos operaatorilta sattuisi tulemaan viesti että katkaisemme internet yhteydenne sieltä tulevan epämääräisen liikenteen johdosta. :D
 
fraatti sanoi:
Uhka vai mahdollisuus? Astianpesukone ei käynnisty ennen päivitystä netistä. :hmm:

https://twitter.com/x/status/1487947074901463040
Klikkaa laajentaaksesi...
Uhka kaikilla mittareilla. Mahdollistaa puolivalmiiden tuotteiden puskemisen markkinoille entistä suuremmassa mittakaavassa. Tiskikoneen käyttölogiikka on niin yksinkertainen että se pitää osata koodata kerralla kuntoon. Tuollaisen saa etänä rikottua takuuajan ja kaiken mahdollisen laitetuen päätyttyä. Miksi tiskikonetta pitäisi etähallita kun vakuutusyhtiö ei kuitenkaan tykkää ilman valvontaa käyntiin jätetyistä koneista?
 
No jos se yhteys on firmiksen latausta varten. Tosin ei tuo etähallintakaan aivan kelvoton ajatus ole. Paljon mukavampi on appiksen kautta konffia käytetyn pesuaineen vahvuus annostelulogiikalle ym asetuksia, vaikkei niitä usein tehdäkään. Lisäksi onhan se ihan kiva että esim. kello kilahtaa sen merkiksi että pyykit on aika siirtää kuivumaan, kun itse olet jossain muissa hommissa vaikka ulkona.

Ei ne välttämättömiä ole, mutta ihan jees.

Kaikkein huonoin puoli on aina se valmistajan oma pilvi ja rekisteröinti. Tuossa just taannoin yritin siivoilla omia tietojani pois erilaisista palveluista, joille ei ole enää käyttöä. Vaikeaksi on monesti tehty. Ja tietysti se, että jos laitteet on riippuvaisia valmistajan pilvestä. Tästäkin on jo huonoja esimerkkejä laitteiden kuolemista…
 
Olen tämän varmaan jo maininnut, mutta ostin tädille ( 97v ) LG:n telkkarin. Tädillä on läppäri jolla se maksaa laskuja jne, mutta telkkarissa ei nettiä ole tarvittu. Se on siihen kuitenkin liitetty - koska vehje menee jumiin näyttämään epämääräistä ilmoitusta eikä suostu näyttämään mitään mistään jos se ei pääse riittävän usein nettiin. Myös sen 'konsentit' on laadittu niin että eteenpäin pääsee vain hyväksymällä tiedosiirron EU:n ulkopuolelle.
 
VesA sanoi:
koska vehje menee jumiin näyttämään epämääräistä ilmoitusta eikä suostu näyttämään mitään mistään jos se ei pääse riittävän usein nettiin. Myös sen 'konsentit' on laadittu niin että eteenpäin pääsee vain hyväksymällä tiedosiirron EU:n ulkopuolelle.
Klikkaa laajentaaksesi...
Ton tyyppisestä systeemistä olisin vienyt takaisin kauppaan ja rahat takas.

Itekin kun käytän telkkua vain näyttölaitteena ja sille pitäisi piisata se mitä hdmi-tökkeleistä sisään tulee
 
Mikähän noihin satelliittiyhteyksiin on oikein iskenyt?
www.talouselama.fi

Ukrainaan kohdistui täysin ennennäkemätön kyberisku – Tämän vuoksi se on merkittävä uhka myös Yhdysvalloille ja liittolaisille

Satelliitteihin kohdistunut sabotointi voi asiantuntijan mukaan rampauttaa Ukrainan taistelukyvyn.
www.talouselama.fi www.talouselama.fi

Modeemissa ollut reikä josta se on päästy flashaamaan uudestaan?

Reuters reports that a Viasat official "said most of the affected devices would need to be reprogrammed either by a technician on site or at a repair depot and that some would have to be swapped out." Russia's ongoing attacks on Ukraine will likely complicate that process.
www.pcmag.com

Report: NSA Investigates Viasat Hack That Coincided With Ukraine Invasion

The agency is said to be collaborating with Ukrainian intelligence and ANSSI on the investigation.
www.pcmag.com www.pcmag.com

Liekö noissa ollut sitten jotain automaattisia OTA päivityksiä millä laite on saatu juntturaan?
https://twitter.com/x/status/1499373524980580358

Mikä tuo NOC on?

Attack on the central NOC​

The intelligence in the KA-Sat network is concentrated in a central NOC, explains Thomas Lohrey, former co-developer of satellite Internet access via KA-Sat at Eutelsat. The terminals, which consist of a satellite dish and modem, are managed via the gateways distributed throughout Europe. Software updates are regularly imported from there. The terminals only get the updates to the extent that the modem reboots after the automatically triggered download.

An attack via a software update, as Santamarta suspects, would mean that the attackers would have spread their malicious code via the NOC. An inquiry from heise online to the responsible technical manager at Eutelsat in Turin has not yet been answered. Like Viasat, the subsidiary responsible for the NOC, Eutelsat, is keeping a low profile.

With the litter box​

Ultimately, only the NOC operator could clarify why only part of the KA-Sat network was affected and which exactly. Little is known about which services in Ukraine were affected.

A targeted attack on terminals in just one country is hardly possible due to the structure of the KA-Sat network. Each gateway is responsible for ten spot beams covering locations in different countries. The assignment of the beams to the gateways is practically done with the scattering can, according to an expert presentation.

The terminals can in any case use two gateways. If one is not available, a second is provided as a backup. If the attackers had selected a specific gateway for the delivery of the malicious software update, terminals in different countries would be affected, which was also shown in the attack. At the same time, modems in the “target area” of the attack could have just happened to be using their backup gateway.

Knopp explains, “although the beams are relatively independent of each other, disruptions do not affect each other immediately, but if a gateway fails due to a cyber attack, all beams connected to it are affected”. So it could be that the Russians actually wanted to cut the internet connections in the Ukraine, but they also disconnected the wind turbines in Central Europe from the internet, Knopp speculates.

Damaged modems​

An attack via the central NOC would be a massive incident, says Lohrey, and “then many types of damage to the terminals are conceivable.” The software update could write the wrong frequency selection to the terminals. After that, the terminals can no longer find the satellite and are practically paralyzed.

It is also possible that the new software intervenes in the modem’s internal voltage management and disrupts the sensitive high-frequency processes by switching it on and off, for example, or accelerates the “aging process” so that the hardware quickly gives up the ghost. Such damage would fit observations made by IPcopter, where expert Neumeyer speaks of a modem whose LEDs only twitch.

What can be read from one of the damaged modems from Germany is currently being investigated in the Heise laboratory. Viasat must account for the loophole through which the attackers could have gotten into the NOC. Security politicians and the military can rack their brains about the motive and the political significance.
www.kiratas.com

Attack on the KA-Sat satellite network: Experts are looking for the origin

According to experts, the disruption of thousands of KA-Sat-9a terminals in several European countries can only be explained by an attack on the central Network Operation Center (NOC). The fact that terminals in different countries are affected is due to the organization of network operations...
www.kiratas.com www.kiratas.com
 
Uhka vai mahdollisuus teemalla kodinkoneista: Ei tarvittu edes mitään tietomurtoa tai hyökkäystä kun laitevalmistaja hajotti laitteet softapäivityksellä ihan itse, perusteellisesti ja vahingossa. AEG:n mikro sai softapäivityksen OTA eikä käyttäjät saa sitä peruttua.

 
“There is no evidence to date of any impairment to the KA-SAT satellite, core network infrastructure, or gateways due to this incident,” Phillips says in a statement. Instead Viasat says the cyberattack was the result of a misconfiguration in a “management section” of its network, as first reported by Reuters. The company declined to provide any more details on the technical nature of the incident, citing ongoing investigations. Viasat says it is now focusing on recovering from the partial outage.

Ettei tuollakin olisi vikana ollut että softassa on ollut "etäohjaus" portti auki? Käsittääkseni noissa asuksissa ollut haavoittuvuus on liittynyt samaan asiaan. Parituhatta tuulimyllyä on vielä ilman yhteyttä.
www.wired.co.uk

A Mysterious Satellite Hack Has Victims Far Beyond Ukraine

The biggest hack since Russia’s war began knocked thousands of people offline. The spillover extends deep into Europe.
www.wired.co.uk www.wired.co.uk
 
Iltalehti kirjoittaa miten autosi vakoilee sinua tietenkin kaikki jotka ovat autossa mukana:
www.iltalehti.fi

Autosi valmistaja tietää, missä liikut ja kenen kanssa puhut

Autoilijoita edustavat järjestöt ovat huolissaan tiedoista, joita autonvalmistajat keräävät autojen omistajista ja kuljettajista.
www.iltalehti.fi www.iltalehti.fi
Mihin tämä jatkuva oikeastaan johtaa piakkoin?
Jos aikoo ostaa uuden auton pitääkö tosissaan tehdä GDPR-sopimus autotehtaan kanssa ennen auton ostoa?
 
Mekaniker sanoi:
Iltalehti kirjoittaa miten autosi vakoilee sinua tietenkin kaikki jotka ovat autossa mukana:
www.iltalehti.fi

Autosi valmistaja tietää, missä liikut ja kenen kanssa puhut

Autoilijoita edustavat järjestöt ovat huolissaan tiedoista, joita autonvalmistajat keräävät autojen omistajista ja kuljettajista.
www.iltalehti.fi www.iltalehti.fi
Mihin tämä jatkuva oikeastaan johtaa piakkoin?
Jos aikoo ostaa uuden auton pitääkö tosissaan tehdä GDPR-sopimus autotehtaan kanssa ennen auton ostoa?
Klikkaa laajentaaksesi...
Ja saako hinnanalennusta jos sopimusehdot esitetään vasta kaupanteon jälkeen ja kieltäytyy niistä?

Jännä olisi myös tietää onko autonvalmistajilla IoT soppareita operaattorien kanssa, eli soittaako auto "kotiin" vaikka käyttäjä ei olisi siihen nettiyhteyttä hankkinut, vai puretaanko tiedot vain merkkihuollossa? 2018 tuli pakolliseksi "ilmainen" public service jossa auto hälyttää apua kolaritilanteessa automaattisesti, eli tekniset valmiudet jatkuvaan kommunikointiin löytyy 2018 lähtien jokaisesta autosta vaikka tuo pakollinen toiminto aktivoituu vasta kolarissa.

Muoks: Ja samanaikaisesti on erikoista että katsastuksessa ei päästä kiinni tietoon onko autossa softaviri tai adblue jne disabloitu.
 
Mekaniker sanoi:
Iltalehti kirjoittaa miten autosi vakoilee sinua tietenkin kaikki jotka ovat autossa mukana:
www.iltalehti.fi

Autosi valmistaja tietää, missä liikut ja kenen kanssa puhut

Autoilijoita edustavat järjestöt ovat huolissaan tiedoista, joita autonvalmistajat keräävät autojen omistajista ja kuljettajista.
www.iltalehti.fi www.iltalehti.fi
Mihin tämä jatkuva oikeastaan johtaa piakkoin?
Jos aikoo ostaa uuden auton pitääkö tosissaan tehdä GDPR-sopimus autotehtaan kanssa ennen auton ostoa?
Klikkaa laajentaaksesi...

No nyt piti tehdä tunnukset/tili
1) Autovalmistajan kanssa
2) Googlen kanssa
3) Deutche Telecomin kanssa

Hyvin peffastahan tuo alkaa olemaan. Kieltelin kyllä osan asioista, mm. Googlen pilveen yhteistietojani en jaa ym, mutta kyllä aika köyhäksi jää kokemus jos ei luvita sitä, tätä ja tuota. Mm. tuo googlenavi ei suostu juttelemaan, ellet tee diiliä tuon telekommin kanssa. Näkisin että oikea tapa olisi sim-korttipaikka autossa, eikä tuollainen yhteistyökumppanien pakkosyöttö. Ja aion ilmaista sen aika haisevasti valmistajalle myös…

Sitten jos vaihtaa autoa, eikä uudessa olekaan samat palveluntarjoajat, niin moniko muistaa noita tilejä purkaa/hävittää…

Jossain vaiheessa tämä touhu lävähtää päin näköä.
 
pamppu sanoi:
Näkisin että oikea tapa olisi sim-korttipaikka autossa
Klikkaa laajentaaksesi...
Onhan se siellä, tuossa minun autossani pelkääjän penkin alla jossain lootassa. Siellä vaan sattuu olemaan jo tehtaalta jonkun sakemannioperaattorin simmi jota ei ole tarkoitus vaihtaa. En ole aktivoinut mitään, mutta saattaa auto silti soitella kotiin lupia kyselemäti.
 
Sinun täytyy kirjautua sisään tai rekisteröityä voidaksesi vastata viestiin.
Takaisin
Ylös Bottom