Vuoden päästä poliisi voi asentaa vakoiluohjelmia salaa vakavasta rikoksesta epäiltyjen tietokoneisiin ja puhelimiin.
Tietoturvayhtiö F-Secure pyrkii suojaamaan asiakkaidensa tietokoneita poliisin mahdollisilta urkintayrityksiltä, kun esitutkinta- ja pakkokeinolakien uudistus astuu voimaan vuonna 2014.
Asiasta kirjoittaa Helsingin Sanomat.
Muistakaa.... koskee windowskäyttäjiä!!
Tietoturvayhtiö F-Secure pyrkii suojaamaan asiakkaidensa tietokoneita poliisin mahdollisilta urkintayrityksiltä, kun esitutkinta- ja pakkokeinolakien uudistus astuu voimaan vuonna 2014.
Asiasta kirjoittaa Helsingin Sanomat.
Muistakaa.... koskee windowskäyttäjiä!!
Vastaukset 45
Vanhimmat
"Muistakaa.... koskee windowskäyttäjiä!! "
Näe toinen päiväuni. Linux koodaajia löytyy pilvin pimein ja tilanne on linuksilla vielä ankeampi kun ei ole edes sitä F-Securea vähän turvaa tuomassa.
"Linux koodaajia löytyy pilvin pimein"
niitähän piti olla vain promille?
mitäs tekemistä näillä muuten edes on windows haittaohjelmien kanssa?
"..niitähän piti olla vain promille?"
Eiköhän niitä ole kuitenkin riittävästi tekemään yksi vakoiluohjelma poliisille.
"..mitäs tekemistä näillä muuten edes on windows haittaohjelmien kanssa? "
Miten Windows haittaohjelmat liittyvät tähän uutiseen mitenkään?
ai niin .. sori.. nykyisinhän nuo haittaohjelmat ovat hyötyohjelmia...
seraava skanneri windowsille on sitten vissiin hyötyohjelmaskanneri...
Mitenkäs asennat salaa ohjelman Ubuntuun?
löytyy varmaan pilvin pimein, mutta nekään ei pysty linuxiin vakoiluohjelmia etänä ujuttamaan. eikä edes paikallisesti, kunhan bios on lukittu salasanalla ja tiedostojärjestelmä salattu.
dernitskyn mukaan promillekerhossa on koodaajia, jotka kuulemma asentelevat mitä tahansa hyötyohjelmia etänä vaikka kohdejärjestelmässä ei olisi mitään palvelujakaan..
Samalla tavalla kuin mihin tahansa muuhunkin käyttöjärjestelmään.
"Asentaminen
Vakoiluohjelman asentaminen ja poistaminen on helpointa, jos poliisi saa hetkeksi tietokoneen tai älypuhelimen käsiinsä henkilön tietämättä. Asentaminen onnistuu esimerkiksi USB-muistitikun avulla.
Ohjelma on teknisesti mahdollista asentaa myös niin, ettei poliisi tai muu viranomainen ole fyysisesti kosketuksissa laitteeseen. Kun laitteen haltija lataa netistä koneelleen jonkin ohjelman tai muuta sisältöä, koneelle on mahdollista asentaa samalla NETTIOPERAATTORIN AVUSTAMANA myös vakoiluohjelma."
Lähde hs.fi
Etänä onnistuu ainakin teoriassa koska "Kun laitteen haltija lataa netistä koneelleen jonkin ohjelman tai muuta sisältöä, koneelle on mahdollista asentaa samalla NETTIOPERAATTORIN AVUSTAMANA myös vakoiluohjelma."
"kunhan bios on lukittu salasanalla ja tiedostojärjestelmä salattu. "
Pätee samalla tavalla Windowsiin ja kaikkiin muihinkin käyttiksiin.
Jos operaattori on mukana, niinkuin Helsingin sanomat kertoo, niin esim. normaalien päivitysten yhteydessä on koneelle mahdollista syöttää mitä tahansa.
tuo mainitsemasi keino onnistuu vain windowsissa, koska siinä ladataan softaa pitkin nettiä. linuxilla on pakettienhallinta ja kaikilla paketeilla on md5-summa.
saa olla aikas taitava hakkeri että pystyy pakettiin haittaohjelman ujuttamaan niin että lopputuloksena on sama md5-summa :D
>>Pätee samalla tavalla Windowsiin ja kaikkiin muihinkin käyttiksiin.>>
ei päde. windowsiin saa ujutettua haittaohjelmat etänä, joten ei ole tarvetta tulla paikan päälle.
AAAAHHHAHAHAHAHAHAHAHAAHAHAHAHAAHAHAHAHA!
sä vedät ihan huippu heittoja.. tää on vielä parempi kuin "hyötyohjelma" heitto.
:D
mun on ihan pakko ottaa screenshotteja näistä... pistä ihmeessä lisää samaa settiä...
Jos operaattori on mukana juonessa niin sinne koneeseen saadaan ujutettua ihan mikä tahansa vakoiluohjelma esim. normaalien päivitysten yhteydessä ja tottakai sen vakoiluohjelman MD5 summakin on oikea kun se on laskettu siitä vakoiluohjelmasta.
Se operaattori voi tarjota siihen linuksiin ihan ehjän ja "oikean" päivityksen tarkistus summineen.
"..windowsiin saa ujutettua haittaohjelmat etänä, joten ei ole tarvetta tulla paikan päälle. "
Ei sen helpommin kuin linuksiinkaan
md5 ei ole turvallinen tarkistaa yhtään mitään.
"However, it has since been shown that MD5 is not collision resistant;[3] as such, MD5 is not suitable for applications like SSL certificates or digital signatures that rely on this property. In 1996, a flaw was found with the design of MD5, and while it was not a clearly fatal weakness, cryptographers began recommending the use of other algorithms, such as SHA-1—which has since been found to be vulnerable as well. In 2004, more serious flaws were discovered in MD5, making further use of the algorithm for security purposes questionable—specifically, a group of researchers described how to create a pair of files that share the same MD5 checksum.[4][5] Further advances were made in breaking MD5 in 2005, 2006, and 2007.[6] In December 2008, a group of researchers used this technique to fake SSL certificate validity,[7][8] and US-CERT now says that MD5 "should be considered cryptographically broken and unsuitable for further use",[9] and most U.S. government applications now require the SHA-2 family of hash functions.[10]"
Hesari onkin luotettava ja asiantunteva lähde tietotekniikan saralla :D
Hankala se operaattorinkaan on ujuttaa sitä haittakoodia väliin kun ohjelmapaketit ja päivitykset on digitaalisesti allekirjoitettu jolloin muokkaukset havaitaan ja asennus jätetään tekemättä, ruudulle tulee virheilmoitus. Operaattorille lähes toivoton homma yrittää väärentää myös nuo allekirjoitukset.
Windowsiin tuollainen ehkä onistuukin jos siinä on heikot suojaukset tuollaisen varalle ?
"Se operaattori voi tarjota siihen linuksiin ihan ehjän ja "oikean" päivityksen tarkistus summineen."
ei muuten onnistu.
Poliisi voi tehdä operaattorin avustuksella aivan helposti oman päivitys systeemin mihin tahansa käyttöjärjestelmään. Kun mikä tahansa käyttis hakee päivityksiä jostain ip osoitteesta operaattori ohjaa sen päivityksen omalle päivityspalvelimelleen ja jakaa sieltä ihan mitä ikinä tahtoo kun se asiakaskone luulee hakevansa päivityksiä luotettavasta paikasta. Ei se asiakaskone voi tietää kuka niitä päivityksiä tarjoaa kunhan allekirjoitukset ovat oikein.
Siinähän se vitsi onkin kun ne allekirjoitukset ovat oikein.
Totta helvetissä onnistuu kun niillä on ihan oma päivityspalvelin joka korvaa sen oikean.
Totta. Windowsiin tuli hiljakkoin päivitys joka estää MD5 tasoiset allekirjoitukset mutta se on nyt tässä jutussa pelkkä sivujuoni.
"kunhan allekirjoitukset ovat oikein."
niinpä niin.. pelkällä spooffauksella meinasit että tuossa onnistutaan..
jatka jatka.. melkein on jo maha kipiä, kun naurattaa niin..
edelleenkin, miten sen md5-summan saat täsmäämään?
ja kuka estää vpn-yhteyttä ulkomaille ja käyttää ulkomaista päivityspalvelinta.
koska vpn on salattu, ei siihen väliin pääse mitään feikkipalvelimia laittamaan.
mutta sen esimerkin haluan nyt.
sinulla on tiedosto.txt jonka sisältö on
ABCDEFGHIJKLMN1234567
tiedoston md5-summaksi tulee fd66df4593a2353f050053563d9f818b
tee nyt tiedostoon joku muutos, lisäys tai poisto niin että tuo md5-summa pysyy samana. etkö osannutkaan? :)
Oletko niin tyhmä ettet ymmärrä että operaattori voi ohjata liikenteen aivan minne tahansa täysin riippumatta siitä mitä se asiakaskone pyytää ja asiakaskone ei siitä väärää paikkaa erota oikeasta.
"..miten sen md5-summan saat täsmäämään?"
Sillä tavalla että tehdään se tarvittava vakoiluohjelma tavalliseen tapaan ja lasketaan sille tarkistus summa ja allekirjoitetaan se sillä. Poliisilla on oma päivityspalvelin!!!"
osaatko lukea?
" pelkällä spooffauksella meinasit että tuossa onnistutaan.."
haluan todella päästä näkemään sen supertietokoneen, jolla operaattori väärentää kaikki käytössä olevat sertifikaatit ym. avaimet.
ja poliisin oma päivityspalvelin estää sen miten, että tarkistan oikean md5-summan vaikka ruotsin päivityspalvelimelta ja vaikka saksasta?
sehän nuo peilit tekee mielenkiintoiseksi, että kaikissa niissä on sama tarkastussumma tiedostossa. jos ei ole, jotain on vialla.
eipä ole monen rivin skripti tehdä sellainen, joka parista kolmesta maasta summat vertaa ja hälyttää jos jotain poikkeavaa löytyy.
eli ainoa keino sinun on saada laskettua tuo oikea md5-summa. haluatko yrittää tuohon esimerkkiini sen tehdä? tulen 50 vuoden päästä tarkastamaan onnistuitko :)
"edelleenkin, miten sen md5-summan saat täsmäämään?"
md5 ei ole ollut turvallinen enää pitkään aikaan.
"koska vpn on salattu, ei siihen väliin pääse mitään feikkipalvelimia laittamaan."
kyllä operaattori pystyy väliin valepalvelimen laittamaan, mutta siitä ei ole mitään hyötyä. operaattorilla tai millään muullakaan taholla ei ole mitään mahdollisuuksia murtaa vahvaa salausta.
ai niin, tiedoston koonkin tulee olla tavulleen sama.
ja nykyään on parempiakin tiivisteitä käytössä.
tässä esimerkki:
http://packages.ubuntu.com/quantal/i386/motion/download
Huomasit jo oleellisen. Ei sitä vakoiluohjelmaa tarvitse varsinaisesti edes piilottaa. Kun se tulee poliisin "viralliselta" päivityspalvelimelta ja se on poliisin toimesta allekirjoitettu niin siitä vakoiluohjelmasta tulee ihan "virallinen" ja ehjä osa sitä käyttöjärjestelmää. Ei tarvitse välittää mistään jo olevista oikeista oikeista allekirjoituksista ja MD5 summista.
Niin. se vakoiluohjelma on oman itsensä kokoinen ja sillä on tietysti joku oma nimikin, tosin joku harhaanjohtava,
Ei olemassaolevia paketteja muuteta. Tehdään kokonaan oma ja allekirjoitetaan se.
jos palvelimella fi.archive.ubuntu.com joka on operaattorin toimesta ohjattu osoitteeseen fobba.archive.ubuntu.com ja palvelimella
se.archive.ubuntu.com/ubuntu
on eri tiivisteet, niin kyllähän se huomataan.
ainoa on se, että jos uudelleenohjaus koskee kaikkia palvelimia:
*.archive.ubuntu.com --> fobba.archive.ubuntu com, niin siinä tilanteessa ilman vpn:n käyttöä eroa ei huomaa.
mutta itsellänihän kaikki liikenne kulkee norjan kautta. ei sen kummempi syy kuin että norjan television katselu vaatii norjalaisen ip:n.
niin ja se ei sitten matchaa aikaisempiin.. ainakin oikeissa käyttöjärjestelmissä tarkastetaan vähän muutakin, kuin pelkkä ladattavan paketin sisältö.
jos haluaa olla paranoidi, niin lisäturvaa tähän tuo käyttää proxyä. ei auta enää operaattoreiden spooffaukset mitään.
joskin tarjoamasi vaihtoehto jo sinällään ei toimi.
Se allekirjoitusten väärentäminen ei ole ihan niin helppoa kuin luulet. Se ei onnistu vain sitä yhtä pakettia muokkaamalla (paitsi ehkä Windowsissa?). Oikeissa järjestelmissä tuo pakettien oikeellisuus on varmennettu kunnolla juuri tuollaisten huijausyritysten varalta.
hmm.. otan sen verran takaisin, että teoriassa ehdottamasi olisi ehkä mahdollista siinä tapauksessa, että kohde koneeseen tehtäisiin täysin puhdas asennus ja se hakisi kaikki päivityksensä alusta alkaen suurella rahalla tehdyltä valepeililtä.
Näen jo postissa tulleen poliisin viesti mielessäni:
"Voisitteko ystävällisesti tehdä täydellisen puhtaan asennuksen tietokoneellenne, että voisimme jatkossa tarvittaessa asentaa koneellenne haittaohjelmia.
Teidän tulee tyhjentää koko tietokoneennne muisti täydellisesti, että puhdasasennus olisi yhteensopiva uuden järjestelmämme kanssa.
Tuetut järjestelmät: Windows Internet Explorer/Mac Osx Safari
Yhteistyö terveisin Poliisi"
Miten kuvittelet että poliisi saa ne allekirjoitukset täsmäämään ? Tutustu esim. PGP-salaukseen ja allekirjoitukseen, se paketin allekirjoitus ei onnistu ilman sen aidon julkaisijan salaista avainta ja julkinen avain tulee asennuksen yhteydessä eikä sitä vaihdella. Eli allekirjoituksen väärentäminen ei oikein onnistu (ehkä se Windowsissa onnistuu jos homma on väärin toteutettu?).
luuletko ihan tosissaan, että dernixzky ymmärtää mitä sanot?
se on amatööri, joka on tullut tänne nolaamaan itsensä, joten yritetään ymmärtää.
Miten poliisi saa allekirjoitettua sen oikealla avaimella ? Tutustu noissa käytettyihin avainpari salaus/allekirjoitusjärjestelmiin, eli salainen ja julkinen avain jotka toimivat parina. Julkinen avain tulee alkuperäisessä asennuksessa ja salainen avain on vain oikean alkuperäisen julkaisijan hallussa, systeemi kehitettiin alkuaan osin nimenomaan estämään tuollaiset huijauspalvelimet (se allekirjoitus systeemi).
http://en.wikipedia.org/wiki/Pretty_Good_Privacy
Tuossa on vähän infoa yhdestä avainpareilla toimivasta toteutuksesta, monia muitakin on saatavilla. Ja ennenkuin alat sepittämään, sen salaisen avaimen laskenta julkisen avaimen perusteella on käytännössä mahdotonta, edes NSA:lla ei riitä laskentateho eikä aika siihen (ja vielä vähemmän suomen poliisilla/operaattoreilla).
"Ei tarvitse välittää mistään jo olevista oikeista oikeista allekirjoituksista ja MD5 summista. "
Et siis ilmeisesti ymmärrä kuinka tuo allekirjoitus toimii ? Opiskelehan hetki tuota avainpari systeemiä. MD5 onkin vain tarkistussumma jolla varmistetaan ettei tiedonsiirrossa ole tullut virheitä, sillä ei ole allekirjoituksen kanssa mitään tekemistä.
ei dernizky ymmärrä.
"sen salaisen avaimen laskenta julkisen avaimen perusteella on käytännössä mahdotonta, edes NSA:lla ei riitä laskentateho eikä aika siihen (ja vielä vähemmän suomen poliisilla/operaattoreilla)."
dernizkyn mielestä ilmeisesti kaikilla operaattoreilla on kaikki maailman laskentatehot käytössä ja ne voivat generoida minkä tahansa avaimen ja spooffata miten huvittaa.
tuolla amatöörillä ei ole minkäänlaista käsitystä tietotekniikan toiminnasta, joten hänen kommenttinsa ovat arvottomia.
Ei taida olla toivoakaan että se ymmärtäisi. Odotellaan mielenkiinnolla millaista sepustusta siltä tulee (jos tulee mitään).
ei kyllä se taisi häipyä kuin pieru saharaan selostuksineen..
"tilanne on linuksilla vielä ankeampi kun ei ole edes sitä F-Securea vähän turvaa tuomassa. "
Lopettakaa ihmeessä "vakavien rikosten" suunnittelu ja varsinkin tekeminen.
Vaan ei oo helppoa tämä elämä jos ensin urkkii rosvot ja senjälkeen poliisit.
Eiköhän se ole aika selvää mihin käyttöjärjestelmään tuollaista suunnitellaan.
Näin Saksassa:
"Mutta siihen asti kunnes saksalaisten oma troijalainen on valmis, käytetään valvontaan väliaikaisratkaisuna kaupallista vakoiluohjelmaa."
http://www.mikropc.net/kaikki_uutiset/saksa etsii yha koodareita quotvaltiotroijalaisellequot/a863575
Ja kuten win-trollien suusta on usein kuultu, eihän Linuxeille ole mitään kaupallista hyötysoftaa.
nneksi maailmassa on vielä käyttökelpoisiakin käyttöjärjestelmiä. windows on osoittautunut jo täysin käyttökelvottomaksi.