- Sinulta meni taas suurin osa tärkeistä pointeista sivu suun, mutta turha minun lienee itseni toistamaan ruveta jos lukemisen ymmärtäminen on noin huonolla tasolla. =/
- Olen kylläkin Windows-käyttäjä, kiitos vaan.
Nämä asiat mistä puhun koskevat siis selaimia, eikä käyttöjärjestelmällä ole hirveästi väliä (ellei se natiivisti esim. hikkalaatikoita sovelluksia, jolloin selaimessa ajettava Flash ei murruttuaan pääse karkaamaan, mutta kumpikaan Windows eikä myöskään Linux tätä tee, vai tekeekö?)
Ja tähdennän edelleen: se ettei kourallinen perustallaajia löydä seulomalla netistä aktiivisessa käytössä olevia haavoittuvuuksia ja niihin tarjoa linkkiä tarkoita, etteikö näitä kuitenkin olisi olemassa. Ensinnäkin näitä tulee ja menee aivan liian nopeasti jotta niitä kerkeäisi metsästämään. Toisekseen hän on saattanut jo kyseiset haavoittuvuudet selaimestaan päivittää. Tietoturvauutisissa ei myöskään koskaan linkkejä esimerkiksi anneta, sillä silloinhan ihmiset altistettaisiin (suojellahan niitä on tarkoitus)!
Jos tätä ei oikeasti tapahtuisi, niin miksi Adobe sanoisi OMISTA tuotteistaan että niissä olevia haavoittuvuuksia aktiivisesti käytetään (http://www.adobe.com/support/security/ poimikaa jokin advisory sieltä listasta ja kiinnittäkää eritoten huomiota sanoihin "actively exploited")? Järki hoi!
Antaa herra Dzerzhinskin vaan uskoa mitä haluaa, mutta älkää vaan te, hyvät ihmiset, menkö tahalliseen tietotekniseen itsemurhaan. =)
Uskokaa mieluummin oikeita asiantuntijoita kuten esim. Steve Gibson (www.grc.com tai www.twit.tv/sn) tai Bruce Schneier (www.schneier.com) tai tahoja kuten CERT kuin minun ja hänen kaltaisiaan satunnaisia S24 viikonloppusotureita. - Niin, no, ei se ettei mulla ole sellasta linkkiä tarjota tarkoita etteikö haavoittuvuuksia ole. Todennäköisyyksistä tms. ei ole minulla mitään tietoa, mutta mahdollisuus on kuitenkin olemassa.
Etkö usko? Mene vaikka Adoben sivuille tai Javan (tai siis Oracle vai Sun vai mikä nyt onkaan) sivuille tai ihan mille tahansa tietoturvan uutislähteen sivuille ja katso kuinka ne paikkaavat niitä haavoittuvuuksia. Jos taas selailet ihan ilman mitään laajennuksia niin silloinhan tuo tartuntavaara on toki hyvin pieni.
Muistaakseni ainakin sellainen juttu oli pari vuotta taaksepäin että New York Timesin sivuilla oli mainoksiin päässyt jotain Flashin haavoittuvuutta hyväksikäyttävä mainos, tai jotain sinne päin. - Onhan joku jo maininnut että niitä hyökkäysvektoreita on muitakin kuin huolimattomasti ladatut ja asennetut suoritettavat (.exe) tiedostot?
Eli esim. selainten lisäosat (Flash, Java yms.) aivan täynnä bugeja joita kokoajan hyväksikäytetään... Lisäksi vaikka datatiedosto voi viallisen lukuohjelmiston takia aiheuttaa tartunnan (esimerkiksi kuvatiedosto ja puskurointivirhe ohjelmassa).
Eli ei se ihan noin alkuperäisen viestin mukaan kyllä mene.
Täydelliseen tietoturvaan tarvitsee valitettavasti NoScriptin tapaisia selainlaajennuksia, sandboxaamista ja jatkuvaa sovellusten päivitystä janiin pois päin.. Ja jos huonosti ajoitettu zero day ja murrettu tai muuten paha sivusto osuu kohdalle, tartunta tulee kaikesta huolimatta.
Valitettavasti tietoturvan taso on tätä tällä hetkellä, eikä varmassa turvassa ole vainoharhaisimmatkaan, mikäli aktiivisesti nettiä selaavat.
Suosittelen mahdollisimman monen ehkäisevän tekniikan ja yleisen asiaan perehtymisen lisäksi ajoittaista järjestelmän puhdistamista virustutkalla (vaikkeivät nekään kaikkeen pysty) ja järjestelmän uudelleenasennusta aina silloin tällöin. Toinen mahdollisuus on myös omistaa nettiselailulle ym. hupikäytölle oma tietokone ja tehdä arkaluontoiset työt toisella koneella (esim. pankkiasiointi).