Olen tuotepäällikkö ja mun ongelmana on 912 kriittistä bugia, 128292 vakavaa toiminnallisuuden puutetta, 182110 käytettävyys ongelmaa. Ja sen lisäksi mahdollisia tietoturvareikiä ja muita ongelmia niin pitkä lista, etten viitsi sitä edes ylläpitää.
Kukaan asiakkaista ei ole vielä tähän mennessä vaatinut, että ohjelman tietoturvan pitää olla kunnossa. Kaikki ovat olleet paljon kiinnostuneempia siitä, että se tekee sen mitä heidän tarvitsee saada se tekemään.
Kyllä, sovelluksilla joista vastaan käsitellään myös rahaa ja suuriakin summia. Vaikka ne eivät suoranaisia pankkijärjestelmiä ole, mutta niillä on kuitenkin suorat ja epäsuorat kytkennät suoraan virtuaaliseen rahaan.
Kukaan ei kuitenkaan koskaan ole vaatinut tietoturvan auditontia tai että edes asiakkaan omat jampat olisivat tutkineet tuotetta.
Kun ketään ei se tietoturva kiinnosta, eikä siitä kukaan maksa, niin miksi siihen pitäisi panostaa?
Vertaus, saat ruman, tehottoman, epämukavan kalliin auton. Tai saat tehokkaan, kivan, tyylikkään näppärän auton puoleen hintaan, jota kaikki kaverisi ja tuleva tyttöystäväkin pitää sika hienona.
Kumman valitseti? 15000 egeä kivasta pikku-urheiluautosta, vai 30000 egeä pasia muistuttavasta laatikosta?
En usko että mietit kahdesti, vaikka pasi olisi kolari tilanteessa pirusti turvallisempi kuin se halpa kiinalainen urheiluauto.
Tilanne lienee kaikkialla muuallakin sama? Eipä siis ihme jos hakkerit pääsevät iskemään.
Kukaan asiakkaista ei ole vielä tähän mennessä vaatinut, että ohjelman tietoturvan pitää olla kunnossa. Kaikki ovat olleet paljon kiinnostuneempia siitä, että se tekee sen mitä heidän tarvitsee saada se tekemään.
Kyllä, sovelluksilla joista vastaan käsitellään myös rahaa ja suuriakin summia. Vaikka ne eivät suoranaisia pankkijärjestelmiä ole, mutta niillä on kuitenkin suorat ja epäsuorat kytkennät suoraan virtuaaliseen rahaan.
Kukaan ei kuitenkaan koskaan ole vaatinut tietoturvan auditontia tai että edes asiakkaan omat jampat olisivat tutkineet tuotetta.
Kun ketään ei se tietoturva kiinnosta, eikä siitä kukaan maksa, niin miksi siihen pitäisi panostaa?
Vertaus, saat ruman, tehottoman, epämukavan kalliin auton. Tai saat tehokkaan, kivan, tyylikkään näppärän auton puoleen hintaan, jota kaikki kaverisi ja tuleva tyttöystäväkin pitää sika hienona.
Kumman valitseti? 15000 egeä kivasta pikku-urheiluautosta, vai 30000 egeä pasia muistuttavasta laatikosta?
En usko että mietit kahdesti, vaikka pasi olisi kolari tilanteessa pirusti turvallisempi kuin se halpa kiinalainen urheiluauto.
Tilanne lienee kaikkialla muuallakin sama? Eipä siis ihme jos hakkerit pääsevät iskemään.
Vastaukset 23
Vanhimmat
että jos palkkaat Suomen pätevimmän tietoturvakonsultin, tuloksena saattaa olla niin raskas järjestelmä että siitä ei kukaan mitään ymmärrä saati osaa sellaista käyttää. On tehtävä kompromisseja.
Tietojen tuhoutuminen/varastaminen on pahin riski.
Epämääräinen toiminta on kyettävä havaitsemaan ja siihen tarvitaan aktiivista ylläpitoa.
> Epämääräinen toiminta on kyettävä havaitsemaan
> jasiihen tarvitaan aktiivista ylläpitoa.
Eli toisinsanottuna, resursseja. Kukaan ei valvo ja jos havaitseekin jotain outoa, jos se ei kaada järjestelmää, niin tuskin tehdään asialle mitään.
Noin se vaan tuppaa yleensä menemään.
Meinaan tuotepäällikkö?
Meinaan, miks noi pugit ja puutteet ois sun ongelmas jos kerran kukaan ei niistä valita?
Softat kantsii tehä sillä tasolla kun asiattaat niitä vaativat ja sillä selvä. Ylimääräsen tekeminen on yleensä suht tyhmää. Aikataulut paukkuu, ylläpito menee vaikeeks ja ihmiset ei osaa käyttää.
Ihan toinen asia on se mitä vaaditaan. Joo ja softatoimittaja ei vastaa puutteista joita asiakas ei oo halunnut. Sehän on soppareissa.
> pugit ja puutteet ois sun ongelmas jos kerran
> kukaan ei niistä valita?
Mulla on vielä ripaus jäljellä idealismia. Ihan kaikki ei ole vielä karissut pois.
Kerään bugit ja epämääräisyydet talteen kun niitä havaitsen, vaikka niistä ei kukaan valittaisikaan.
Tahtotila olisi kova, että tuote olisi turvallinen ja toimiva. Mutta ketään muuta asia ei kyllä kiinnosta kuin minua ja näin ollen asia ei voi olla omalla prioriteettilistallani kovin korkealla, koska muuten valitaan joku joka ei tee turhia hommia.
Turhat asiat on todellakin turhia ja lisää kustannuksia ja monimutkaisuutta.
Niin ne autokorjaamoissakin tekevät...
Ei se tietoturva ketään enää kiinnosta. Se on vain rikka kengässä joka syö kuluja. Miksi tietoturvasta pitäisi maksaa? Miksi sen pitäisi olla huipputasolla? Onko se huipputasolla siellä minne työt viedään - Mumbai, Bangalore, Beijing akselilla? Mitä varastettavaa hakkereilla enää olisi ja miten mittavat vahingot tietovarkauksista voisi syntyä? Käyttöjärjestelmät ovat avointa kaikille vapaata koodia ja rautapuoli on bulkkitavaraa jota pystyy ja osaa valmistaa jo jokainen Taiwanilainen pikkupaja.
Juu. Parhaitahan on esim web-camit, jotka laitetaan sisäverkkoon ja sitten avataan niille palomuuriin reikä, että voi ulkopuoleltakin katsella salasanalla.
Arvatkaa vaan montako reikää siinä web-camin softassa on. Autentikoinneissa, muita vakavia reikiä jne. Parhaassa tapauksessa siis tuollaisen web-camin käyttäminen avaa epäsuorasti koko verkon ulkopuolisille.
Mutta eipä tuo tunnu ketään kiinnostavan. Tärkeintä on tosissaan se, että kamera oli halpa ja se toimii. Mitä tuo toimivuuden määritelmä sitten ikinä tarkoittaakin. Onhan tuo tullut huomattua nykyjään kaikessa elektroniikassa johon liittyy ohjelmistot. Ohjelmistot ovat hirveää shittiä, juuri ja juuri toimivat. Silloin herääkin kysymys, että mikähän on se tietoturvan taso, kun aivan välttämättömimmätkin toiminnot toimivat huonosti.
Projektiluontoisuus myös tuo ongelmia. Tehkää X nopeasti ja halvalla. Koskaan toiveisiin ei liitetty mitään vaatimuksia esim tietoturvan tasosta.
Parhaita on tietysti caset joissa julkisessa verkossa olevan login formin kautta voi suoraan syöttää SQL injection komentoja. Parissa sovelluksessa olen vahingossa törmännyt noihin aukkoihin kun olen sattunut pistämään sopimattomia merkkejä kenttiin.
Aivan uskomatonta.
kuinka mahdetaan soveltaa henkilörekisterilakia seuraavassa tilanteessa. Valtioenemmistöisen firman johtoryhmä päättää säästää ulkoistamalla. Suomessa toimiva it-osasto myydään kansainväliselle yritykselle. Kuinka ollakaan, tietoturva ryssitään bangaloressa alihankkijan alihankkijan toimesta ja asiakasrekisterin sisältävä cd päätyy myyntiin pietarilaiselle torille. Cd sisältää siis suomalaisten asiakkaiden henkilö- ja pankkitilitietoja.
it-alan työpaikat ovat kiven alla. Tästä syystä keskijohto pyrkii tietenkin turvaamaan oman asemansa ja hävittämään kaikki tietoturvaongelmia koskevat raportit :D
kaikki osapuolet, erityisesti bisnesjohto vakuuttavat tietämättömyyttään.
Voidaanko ketään asettaa syytteeseen lain rikkomisesta?
"Arvatkaa vaan montako reikää siinä web-camin softassa on. " Ei tarvi arvata, ainakin yksi ja ISO. Mulla on tuossa Opticam IP CAM. Se on tehty itämailla ja toimii täysin ok ja näkee jopa pimeässäkin kuten mainostettiinkin. Mitäkö tietoturvasta tuohon liittyen? 5p. vinkki: miksi kamera (se on linux tietokone ja linuxia en tässä syytä mistään) haluaisi rekisteröityä automaattisesti jonnekin itämaiselle serverille? No, siksi että voisit sitten mistä tahansa katsella ko. kameran kuvia. Hmmmmmm, niin tuopas olisikin kätevää, vai?
myy nykyään haittaohjelmapaketteja 1000 dollarilla ja kaupanpäälle saat hallintasivuston, jonka kautta hallitset saastuneita koneita ja mitäne niille asennetaan mitä niistä kaivetaan ulos.
Kaupanpäälle saa 1v käyttäjätuen, jos ei riitä älykkyys nettirosvoksi.
Haavoittuvuuksia haetaan verkkosovelluksista jo ihan tilaustyönä ja hommassa liikkuu isot rahat.
Kannattaa tuotepäällikkönä ottaa asia aseille nyt , kun ei ole vielä viety niitä rahoja. Sun työpaikka siitä on kiinni, eikä isojen pomojen.
Tiedän tuossa yhden tapauksen jossa kaikki yrityksen vastaanottamat luottokortti tapahtumat on suoraan noudettavissa koneelta http:llä, jos tiedät vain urlin. Ei mitään autentikointia tai salausta.
Mun mielestä tietoturvanpuute tai lähinnä sen täydellinen olemattomuus, on nykyjään niin normaalia. Ettei sitä varmaan muuta kannata edes odottaa.
Todennäköisesti ne asiakkaat joita asia kiinnostaa, tilaa sitten riittävän auditoinnin. Joka ei kyllä iki maailmassa tule menemänä läpi, kun ongelmat ilmenee jo viiden minuutin keskustelussa.
Olen joskus miettinyt sitä, että pitäisikö tietoturvan laiminlyöminen olla rikosnimike? Koska usein toimiessani erilaisissa ympäristöissä konsultointitehtävissä tuotteen soveltamisesta, näen että kaikki muutkin asiat on asiakkaan puolella tehty väärin. Joskus jopa niin, että voisin kutsua sitä nimikkeellä törkeä tietoturvan vaarantaminen. Kuten tuo ensimmäinen esimerkkini. Organisaatiossa siis ollaan tietoisia riskeistä, joista olen varoittanut. Mutta silti toimenpiteisiin ei haluta ryhtyä.
Jos tätä taas ajatellaan yrityksen näkökulmasta. Olen ymmärtänyt, että yrityksissä ei haluta tietää riskeistä. Koska jos riskit on tiedossa, niille pitäisi tehdä jotain. Kun kaikki sanoo, etteivät tienneet mitään ja tuli puun takaa. Kaikki on ok, se oli onnettomuus. Ainakin ilmailussa on ollut tapana, että jos valmistaja on tiennyt valmistavansa vaarallisia koneita, ne on joutuneet maksamaan valtavia korvauksia. Jos eivät ole tienneet. Niin se korjataan sitten seuraavaan malliin, kun ehditään.
Näin ollen ainakin yrityksen juristi on varmasti sitä mieltä, että mahdollisista tietoturvapuutteista ei koskaan saa tehdä dokumentointia, koska sitä voitaisiin käyttää yritystä vastaan oikeudessa.
Olenko siis riski yritykselle, ilmeisesti olen, kun ajattelen tietoturvapuutteita ja myös dokumentoin ne.
"Olenko siis riski yritykselle, ilmeisesti olen, kun ajattelen tietoturvapuutteita ja myös dokumentoin ne. " Olet! Olen huomannut itsekin olevani tietorvariski omalle firmalleni samasta syystä, noin ainakin ns. IT-supportin mielestä. Jenkeissähän näitä on jo ollut montakin tapausta, esim. oppilas joka osasi käyttää tietokonetta paremmin kuin opettajansa: http://www.vnunet.com/vnunet/news/2232488/teacher-slams-linux Ketäs muuten kiinnostaa nytkään mokian puhelimet ja niiden tietoturva? Ei ketään. Nehän keräävät sähköpostitunnuksia ja salasanoja, Nokiagate. http://mobilitics.blogspot.com/2009/04/info-about-nokiagate.html
En nyt oikein tiedä miten viestisi liittyi itse asiaan. Kyse oli siis juridisesta puolesta ja siitä, että onko riskit tiedossa vai ei. Ja sen jälkeen kun ne toteutuu, niin siihen jälkipyykkiin että olisiko niille pitänyt tehdä jotain vai ei.
" En nyt oikein tiedä miten viestisi liittyi itse asiaan." Eikös se edellinen hemmo kertonut tilanteesta jossa työntekijä(nä) hän tietää liikaa ja siksi on ylläpitonsä mielestä tietoturvariski? Sinäkö et tiedä liikaa? Vai tiedätkö liikaa? Jos tyntekijä tietää (siis tavallaan liikaa) asioita joiden takia pitäisi tehdä jotain, mutta ei tehdä, niin jälkeenpäin kun asia selviää muillekin tuollainen työntekijä lienee ns. lirissä. Lirissä työpaikkansa säilymisen puolesta tai sitten juridisesti (myös työpaikka vaakalaudalla, kun ei tiedottanut asioista muita).
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=1500000000000068&posting=22000000038064894&view_mode=flat_threaded
Kuten tuosta näkyy. Suomikin on pullollaan SMTP servereitä ja web-sitejä, jotka eivät käytä TLS:ää.
Jos tietoturvan tasoa halutaan parantaa, pitäisi myös nuo perusjutut laittaa kutoon. Eikä noista mikään ole edes vaikeaa. Tarvitaan vain asetukset ja mahdollisesti lisää rautaa rajalle. Kas, siinä se tuli, kustannukset. No toimiihan se ilmankin.
Periaatteessa kaikkien web-sivustojen joille pitää kirjautua, tulisi käyttää tls:ää. Ja mieluiten vielä vaihtuvia tai donglattuja salasanoja. Jos turvaa halutaan. Kun liikenne on salaamatonta ja l/p pari staattinen, on murtautuminen triviaalia ainakin nille jotka pääsevät tietoliikenne väylään käsiksi.
Ajakaapa vaikka jossain vähemmän kuormitetussa segmentissä arp spoofingia ja l/p capturea, voitte yllättyä mikä on päivän saalis verkossa jossa on 10-20 käyttäjää.
Typerä esimerkki tuo smtp, operaattorilla on velvollisuus välittää ne viestit. Webbiin liittyy myöskin avoimuus ja et näe metsää puilta. Mitä helvettiä jokin foorumi tekee vahvalla autentikoinnilla. Lisäksi lanin arp-spoofauksen kohteeksi joutuminen on todella epätodennäköistä ja jos sitä pelkää niin kannattaa suojatua VPN:llä..
"Eivätköhän lainsäätäjät tiedä mitä ovat tekemässä, siinä on tavallisen rivipulliaisen turha mösytä. " Teknistä häränskeidaa? Haloo? Kyllä, tästähän meillä on jo montakin käytännön esimerkkiä. Etkö lue edes uutisia? Ethän vain kopioi laittomasti musiikkia MP3-soittimeesi laillisesti ostamaltasi CD-levyltä (jolla on DRM)? Lex Karpela
mähän kopioin niin paljon kuin lystään vaikka dvd:itäni. Vakuutusyhtiöt ei korvaa esim. laillisesti verkosta ostamiasi mp3 tiedostoja vaikka sulla olis esittää kuitit jne. CD ja DVD levyt ei ole ikuisia toisinaan jo viallisia suoraan kaupasta puhumattakaan että kaikki pelit ei toimi kannettavissa käsittämättömien kusipääsuojausten takia, jotka ohitan 5 minuutissa. Olen melko epävakaassa tilassa joten tervetuloa "super piraatin" kotiin pollarit. Poliisejakaan ei kiinnosta...
"Vakuutusyhtiöt ei korvaa esim. laillisesti verkosta ostamiasi mp3 tiedostoja vaikka sulla olis esittää kuitit jne. CD ja DVD levyt ei ole ikuisia toisinaan jo viallisia suoraan kaupasta puhumattakaan että kaikki pelit ei toimi kannettavissa käsittämättömien kusipääsuojausten takia," Aivan totta. Yksi käytännön esim. lisää. Mulla on 3 erillistä fyysistä laitetta joilla millään ei voi soittaa laillisesti ostamaani ja omistamaani CD-levyä, levy on HIMin Razorblade Romance. Musiikkimaku v.tuun, ostan 5 levyä viikossa ja tuo on ainut täysi osuma. Sony BMG ja lex karpela ja DRM. Ko. levy soi kun sen rippaa asianmukaisesti jne., mutta ollaanpa tarkkoja tässä. Näin tehden musiikin laatu ei ole CD-tasoinen, ei vaikka rippaisin waviksi.Ettekö usko? Kertokaa miten sen teette CD-tasoisena? Levyn kerroin jo. Nauttikaa Lex Karpelasta. Nauttikaa Lex mokiasta, mokia lisäksi kerää emailitunnuksenne jos käytätte mokian puhelimia niiden lukemiseen, jaa mitä? No tästä: http://www.taloussanomat.fi/talous/2009/04/17/nokian-kannykat-lahettavat-salasanoja-nokialle/20099857/133?offset=60 Ei muuten koskaan missään nykyään saisi kertoa olevansa epävakaa, sen tietävät muut ennen kuin itse sitä tajuaa... };-D~
sikavanha CD soitin ei mitään ongelmia pilipali kopiosuojausten kanssa...
on pullollaan ties mitä teini skripti "hakkereita".
Seuraamme noiden puuhia, vaikka ne tuskin mitään tuhoa saavat aikaiseksi. Eivät taida edes tietää minkä järjestelmien kanssa "juttelevat".
Osa asiakkaista jo siirtynyt erillisverkkojen käyttäjiksi. Niissä mahtava downtime ja mitään paskaa ei verkossa liiku.
http://www.itviikko.fi/tietoturva/2009/04/21/krakkerit-varastivat-tietoja-huippuhavittajasta/200910161/7?rss=8 Noin se vaan on, jälkeenpäin sitten valitetaan. Eikä etukäteen asialle haluttu tehdä mitään. ;) No ehkä tuota voidaan pitää aika arvokkaana menetyksenä.
Löysimme nopeasti useita haavoittuvuuksia, jotka pahimmillaan mahdollistavat hallintalaitteen täydellisen haltuunoton. Lisäksi koko ohjelmisto oli konfiguroitu päivityksiä varten siten, ettei tietoturva vaikuta olleen kovin korkealla prioriteettitasolla yleensäkään hallintaohjelmistoa suunniteltaessa, Lindberg arvioi. http://www.itviikko.fi/tietoturva/2009/04/28/konesalien-tukilaitteistot-tietoturvan-riskialue/200910746/7?rss=8