Ajatellaan tilannetta jossa iso huoneisto tai huvila vuokrattu yhdessä usemman henkilön kanssa ja jossa langaton nettiyhteys kaikkien käytettävissä.
Miten homma toimii käytännön tasolla. Ensin tietystikin tulee etsiä ko. verkko, mutta miten on kunkin netinkäytön yksityisyyden kanssa, näkyykö yhden toiminta toisille ja päinvastoin?
Tarvitseeko netinkäytön yksityisyyden turvaaminen erityisiä toimenpiteitä yhteisessä verkossa ( koneella tietty palmuuri ja virusohjelma )? Pankkiasiat ym.
Olemme siis aloittelijan palstalla ;-)
Miten homma toimii käytännön tasolla. Ensin tietystikin tulee etsiä ko. verkko, mutta miten on kunkin netinkäytön yksityisyyden kanssa, näkyykö yhden toiminta toisille ja päinvastoin?
Tarvitseeko netinkäytön yksityisyyden turvaaminen erityisiä toimenpiteitä yhteisessä verkossa ( koneella tietty palmuuri ja virusohjelma )? Pankkiasiat ym.
Olemme siis aloittelijan palstalla ;-)
Vastaukset 20
Vanhimmat
Kaverin nettiliikenteen vakoilu verkon toiselta koneelta edellyttää osaamista, josta aloittelijat on kaukana.
Viisasta on silti valita vuokrausporukkaan henkilöt jotka tuntee ja tietää luotettaviksi tyypeiksi. Tuntematon hiippari saattaa osata vaikka mitä ja myös käyttää osaamisellaan saamaansa tietoa ikäviin tarkoituksiin.
Ok. Onko ylipäätään jotakin mahdollisia lisävarmistuksia joita voisi soveltaa koneelleen paisti käytössä oleva G-Data IS?
Millaisia asetuksia oma kone tarvitsee yhteisen liittymän / langattoman verkon käyttöön. Onko jo alkusäädöissä jotakin mitä ei missään tapauksessa tule missata tai muutoin tehdä väärin? Itse matkalle otettava kannettava on vasta hankinnan alla, joten jos on jotakin mallikohtaista säätöjen suhteen niin toistaiseksi en voi antaa laitetietoja.
Riskiksi luokittelen varsinaisen koneelle tunkeutumisen, keyloggeri-tyyppisen kräkkeroinnin, salasanojen kalastelun, pankkiasioinnin tai identiteetin väärinkäytön jne.
Kyseessä eräs etelän lomakohde, huvila jossa useampi asunto ja toiset lomalaiset vieraita.
Yhteyden ollessa suojattu ja salattu on liikenne suojattu myös muilta samalla salasanallakin langattomassa verkossa asioivilta. Suojaa tukiasema WPA2:lla ja vahvalla salasanalla, jonka luovutat sitä tarvitseville ja vain heille. Eivät he näe verkossa toisiaan tai toistensa liikennettä.
Itse asiassa olen 100% noviisi mitä tulee langattomaan verkkoon, oman koneen siihen liittämiseen, osin termistöönkin, säätöihin jne.
Tukiasemalla tarkoittanet boxia johon kaikki tuon kotiverkkon koneet liittyvät? Mikäli näin, niin siihen ei minulla ilmeisestikään tule olemaan pääsyä fyysisesti, oletan sen sijaitsevan huvilan omistajan asunnossa.
Onko niin, että ensinnäkin tuolle tukiasemalle on luotu salasana ( ellei joku ole jättänyt sitä jopa suojaamatta / tuokin pitää vielä tarkistaa ), joka sitten annetaan niille joilla oikeus verkkoa käyttää. Entä tästä eteenpäin, miten verkkoon liittyjä voi parhaiten suojata oman koneensa?
Wlanissa salaus on avainasemassa, mutta wpa2-aes on idioottivarma, edes superhyperhakkeri ei saa sitä murrettua. Vahva salaus takaa ettei kukaan pääse tutkimaan langatonta liikennettä. Käyttöjärjestelmien ja ohjelmien haavoittuvuuksille ei tavallinen käyttäjä voi mitään.
Käytännössä homma etenee niin, että luot verkollesi riittävän pitkän salasanan, esim 16-20 merkkiä jotka ovat satunnaisia kirjaimia ja numeroita. Annat sen luotetuille henkilöille jotka verkkoasi käyttävät, ja pitävät sen omana tietonaan.
Tietokoneissa riitävät normaalit systeemit päivitetty käyttis, virustutka windowskoneissa ja palomuuri. Jos olet tukiaseman admin, ja pääset sen asetuksiin,niin silloin näet (ainakin joissain laitteissa) montaako yhteyttä tukiasema reitittää tarkkailuhetkellä. Tukiasema pitää myös sijoittaa sellaiseen paikkaan,ettei siihen pääse fyysisesti kukaan asiaton käsiksi.
Itse tukiasemasta sen verran, että jos käyttäjiä monta niin halpislaitteet eivät vältämättä pysty käsittelemään montaa käyttäjää yhtäaikaa, joka johtaa laitteen jumittamiseen ja sitä pitää olla jatkuvasti resetoimassa. Eli kun satsaat laitteeseen vähän enemmän rahaa, käyttö on paljon sujuvampaa.
>> Wlanissa salaus on avainasemassa, mutta wpa2-aes on idioottivarma, edes superhyperhakkeri ei saa sitä murrettua.
Tämä ilmeisesti koskee tukiasemaa. Tässä tapauksessa tuo tukiasema sijainnee hyvilan omistajan asunnossa ja johon fyysinen pääsy on vain hänellä. Oletetaan, että tuo tukiasema itsessään on suojattu asianmukaisesti. Mutta millaiset mahdollisuudet tuon tukiaseman admilla on halutessaan hakkeroida siihen liittyneitä koneita, vaatiiko se erityistä osaamista? Tämä siinä hypoteesissä, että kyseessä olisi epärehti henkilö ja riittävästi tieto-taitoa.
Tällä hetkellä on täysin avoin kysymys onko tuo verkko suojattu ja onko se sitä asianmukaisesti. Ainakin se on ollut paikallaan vuosikausia.
Ostan kannettavan W7Pro käyttiksellä ja siihen G-Data IS ( jo olemassa oleva triplalisenssi, yksi nyt pöytäkoneella ). Vaatiiko tuohon verkkoon liittyminen myös palomuuriin tehtäviä säätöjä? Tämä siksikin, että tuon G-Datan hieman pidemmälle menevä säätöpuoli ei ole ideaali peruskäyttäjän osaamiselle.
wpa2 salauksen aukaiseminen ei ole vaikeaa, jos käyttäjä on laittanut helpon salasanan. Esimerkiksi Liisa95, Kallekoistinen56
Tämä pitää paikkansa, salaus on vain yhtä vahva kuin käytetty salasana. Sen takia salasanat pitää luoda tyyliin kjugyt6u7ikK8yhmjlp. Näin niitä on käytännössä mahdoton arvata brute force:lla. Jos käytetty salaus on wep, niin sen saa auki parhaimmillaan minuuteissa. Tässä tapauksessa kaikki avattavat nettisivut pitää olla https suojattuja, jos haluaa pitää liikenteen omana tietonaan.
Jos admin ei ole luotettava, niin sitten on ongelma. Tietoliikenne on salattu vain langattomassa verkossa. Tukiasemasta liikenne siirtyy tavalliseen lankaverkkoon salaamattomana, ja tässä välissä admin voi tehdä mitä vain. Jos käyttää https salattuja nettisivuja( esim pankkipalvelut) niin silloin liikenne on salattu palvelimeen asti,muuten sitä voi kuunnella helposti. Palomuuriin ei tarvitse tehdä muutoksia, muuta kuin antaa lupa langattomalle verkkoyhteydelle mennä nettiin.
>> Jos admin ei ole luotettava, niin sitten on ongelma. Tietoliikenne on salattu vain langattomassa verkossa. Tukiasemasta liikenne siirtyy tavalliseen lankaverkkoon salaamattomana, ja tässä välissä admin voi tehdä mitä vain.
Onko tuollainen toiminta lähes perus-jussin ulottuvilla vai edellytääkö puoli-kräkkääjän tieto-taitoa?
>> Jos käyttää https salattuja nettisivuja( esim pankkipalvelut) niin silloin liikenne on salattu palvelimeen asti,muuten sitä voi kuunnella helposti.
Miten tämä tule ymmärtää tuossa esittämässäni tilanteessa?
>> Palomuuriin ei tarvitse tehdä muutoksia, muuta kuin antaa lupa langattomalle verkkoyhteydelle mennä nettiin.
Ok. Saas nähdä sitten aikanaan miten onnistun yleensäkin saamaan tulevalla läppärilläni yhteyden tukiasemaan ja verkkoon ... Olen tähän mennessä ollut aina piuhan päässä ... eli nimmarini tulisi olla tuon Wlan° sijaan pikemminkin Wlan? No, olemmehan aloittelijan palstallaa ;-)
Jos et kerran sitten olekaan sen tukiaseman admin, niin eipä siinä ole verkkoasiakkaalla paljoa sanomista turvallisuuden suhteen muuta kuin tarkistaa, että oma sähköpostipalvelu on SLL-suojattu eikä foorumeilla, naamakirjassa tai muuallakaan levittele henkilökohtaisia juttujaan. Mitään koneen resursseja ei tietenkään saa olla jaettuna eikä verkon ominaisuuksissa muutenkaan saa olla ainakaan mitään Microsoftin palveluja päällä, verkon asiakkuuksia, tiedostojen ja tulostimien jakoja ynnä muuta sontaa.
Pankkiasiointi on turvallista, koska se hoituu Suomessa käsittääkseni aina ja kaikilla pankeilla suojattuna, muuttuvin tunnusluvuin.
Verkkoasiakkaan ja operaattorin välillä pitää olla tietty luottamussuhde ja -taso. Huvilan langattomaan verkkoon liittyessäsi on isäntäsi operaattorisi. Onko luottoa?
Jos langattomalla verkolla ei ole salasanaa, eli se ei ole suojattu lainkaan, on kaiken sitä kautta kulkevan liikenteen salaus postikortin luokkaa. Kaikki henkilökohtainen liikenne pitää siinä tapauksessa erikseen salata. Ehkä ei kannattaisi käyttää salaamatonta yhteyttä mihinkään, ei edes selailuun...
>> Mitään koneen resursseja ei tietenkään saa olla jaettuna eikä verkon ominaisuuksissa muutenkaan saa olla ainakaan mitään Microsoftin palveluja päällä, verkon asiakkuuksia, tiedostojen ja tulostimien jakoja ynnä muuta sontaa.
Kaikkien noiden torppaaminen / säätäminen täytyy opetella ja selvittää kunhan saan tuon 64Bitt W7Pro käyttiksellä olevan koneen käsiini. XP Prossa ne olen torpannut aapisen avulla jossa oli hyvä lista kaikista noista mainitsemista haavoittuvuuksista ja niiden säätöohjeet.
>> Huvilan langattomaan verkkoon liittyessäsi on isäntäsi operaattorisi. Onko luottoa?
Niin paljon kuin tuntemattomaan aivan normaaliin ja asiallisen oloiseen pienimuotoisesti toimivaan hotelliyrittäjään voi luottaa.
>> Jos langattomalla verkolla ei ole salasanaa, eli se ei ole suojattu lainkaan, on kaiken sitä kautta kulkevan liikenteen salaus postikortin luokkaa.
Tämä on juuri se akilleen kantapää, mutta ko. henkilön kanssa on varmastikin mahdollista keskutella asiasta.
Sain tuolla aiemmin sen käsityksen eräästä vastauksesta että tuo WPA2-AES tai ylipäätään joki salaus WiFi AP:n ja laitteen välillä estäisi muiden samaa accesspointtia käyttävien hyökkäykset.
Näinhän asia ei todellakaan ole vaan jokainen jolla on käyttöoikeus samaan purkkiin pystyy myös liikennettä tarkkaileemaan sekä siirtämään tai kierrättämään muun laitteen liikenteen oman laitteensa kautta. Tämä kierrätys siis johtaa siihen että kaikki salaamaton sisältö näkyy myös saman verkon toisella koneella ja tähän sisältyy myös mahdollisuus muokata sisältöä matkalla.
Tietenkin tämä riippuu myös käytetystä AP:sta ja AP:n asetuksista. Monet purkit on suojattu aika heikosti sen jälkeen kun käyttöoikeus on olemassa, syynä tähän on että tuo tukiasema toimii tällöin samaan tapaan kuin kupariverkon kytkin.
Toki suojattu WPA-yhteys on suojattu myös muilta samassa verkossa olijoilta. Tukiaseman ja asiakkaan välinen tietoliikenne on kahdenkeskistä ja salattua, eikä siihen väliin pääse vaikka salasanan tietäisikin. Tottakai kaiken liikenteen saa näkymään, mutta väliäkö sillä jos kaikki on salattu?
Kuten sanoin jo kertaalleen, WPA ei ole synonyymi suojatulle:
"Hole1961, in the WPA2 protocol that makes all implementations of WPA- and WPA2-secured Wi-Fi networks (regardless of the authentication and encryption used) vulnerable to insider attacks."
Käytännössä tämä tekee WLAN tukiasemasta kupariverkon kytkimen.
No ainakin Wikipedian mukaan AES:llä salattu verkko ei aukea jos salasana on tarpeeksi pitkä ja luotu satunnaisista merkeistä. Jos asiaa ajattelee käytännön kannalta, niin voisi olettaa, ettei hotelliyrittäjällä ole takahuoneessa supertietokonepatteria arvailemassa asiakkaiden salasanoja.
Lainaus wikipediasta: "AES is the first publicly accessible and open cipher approved by the National Security Agency (NSA) for top secret information"
Siis jenkkien kansallisen tietoturvalafkan mielestä aes on tarpeeksi vahva, jotta sitä voidaan käyttää top secret datan siirtoon. Kelvannee taviksellekin laskujen maksamiseen.
Aes on varmasti tarpeeksi järeä salaus langattomaan tiedonsiirtoon, heikot kohdat ovat liian lyhyet salasanat ja tukiaseman asetukset, ja jos siihen pääsee käsiksi. Kun data siirtyy lankaverkkoon se ei ole enää salattu. Ethernet-kaapelilla, joka lähtee wlan-purkista nettiin, admin voi tehdä periaatteessa mitä vain jos hän sattuu olemaan epärehellistä lajia.
Jos aloittajalla ei ole luottoa hotelliyrittäjään, niin siinä tapausessa 3G verkko (jos sellainen on saatavilla) 3G modeemin tai matkapuhelimen kautta on ainoa keino käyttää nettiä jossa yksityisyys on taattu. Ulkomailla sen käyttö tuppaa olemaan kallista.
>> Kun data siirtyy lankaverkkoon se ei ole enää salattu. Ethernet-kaapelilla, joka lähtee wlan-purkista nettiin, admin voi tehdä periaatteessa mitä vain jos hän sattuu olemaan epärehellistä lajia.
Eli voi haaroitta ja laittaa oman koneen netin "seinän" ja oman tukiasemansa väliin. Käytännön tasolla : millaista tieto-taitoa tuon suojaamattoman verkkoliikenteen hyväksikäyttäminen edellyttää, onnistuuko informatiikasta kiinnostuneelta perus-jussilta?
>>Jos aloittajalla ei ole luottoa hotelliyrittäjään, niin siinä tapausessa 3G verkko...
Niin paljon kuin tuntemattomaan aivan normaalin ja asiallisen oloiseen pienimuotoisesti toimivaan hotelliyrittäjään voi luottaa.
Itse en ole langattomien verkkojen suuri fani niiden käytännöllisyydestä huolimatta ( joskin siihen koko kehitys tulee jatkossa keskeisesti suuntautumaan ) ja siksi en niitä ole käyttänyt, matkapuhelimella soittamista lukuunottamatta.
Jos olet ns. tavis, normaalitoimet riittää eli ajantasalla oleva käyttöjärjestelmä muut ohjelmat, virustorjunta ja palomuuri, ja maalaisjärki konetta käytettäessä.
Webmail ja pankkiyhteydet toimii https eli SSL-salauksella ja ne on erikseen suojattu (kryptattu) koko matkan koneen ja loppupalvelimen välillä, ei niistä saa muut mitään selville, oli käytössä oleva wlan sitten suojattu tai suojaamaton.
Toisin kuin webmail, sähköposti-clientit (windows mail, outlook..) ei oletuksena yleensä käytä SSL-suojausta, eli jos joku haluaa monitoroida niitä, ne näkyy (suojauksen saa ohjelman asetuksista päälle, mutta ketä tavisten postit kiinnostaa..).
WPA2-suojaus wlanissa estää ulkopuoliset näkemästä muutakin kuin https-liikennettä (mikä siis ei käytännössä näy koskaan), jos WPA2-PSK salasana on riittävän vaikea. Jos salasana on tiedossa (tai arvattavissa), wlan-verkon liikennettä on mahdollista seurata 'sisältä' jos on osaamista/oikea rauta/oikea ohjelmisto. Yhtä hyvin voi seurata liikennettä langasta wlan-tukiaseman jälkeen, jos siihen on pääsy. Siis WPA2 (tai WPA) käyttöön wlanissa.
Muita toimenpiteitä: pidä kone turvallisessa paikassa, ns bios-salasanan laitto (mitä kysytään kun kone bootataan, toki tämä on vain hidaste osaavalle) tai koneen levyn kryptaus (suojaa kaikki tiedot, tämä menee jo liioitteluksi taviksen kotikone-tapauksessa (oletuksena että hotelli ei ole KGBn hallussa), mutta yrityskoneet pitäisi nykyään olla levykryptattuja.
Avauksen ajatuksena oli hypoteesi, ei 'total paranoia', että etelässä huoneistoja huvilassaan vuokraava ja langattoman verkon asiakkailleen tarjoava henkilö ei joko olisi suojannut tukiasemaansa asianmukaisesti tai toimisi / yrittäisi toimia itse epärehdisti. Tämä joko 'vain' tunkeutuaksen asiakkadensa yksityiselämään tai jopa haluten hyödyntää saamiaan tietoja. Viimemainitussa tilanteessa tosin jossakin vaiheessa jäljet riskeeraisi johtaa sylttytehtaalle...
Eli ylläolevassa tilanteessa, tunkeutuminen tukiaseman ja netin väliin käytännön tasolla : millaista tieto-taitoa tuon suojaamattoman verkkoliikenteen hyväksikäyttäminen edellyttää, asiakkaan nettiliikenteen seuraaminen, salasanojen varastaminen jne. Onnistuuko informatiikasta kiinnostuneelta perus-jussilta vai pitääkö olla tekniikkaa pidemmälle hallitseva puoli-kräkkeri välineineen ja ohjelmineen?
>> Webmail ja pankkiyhteydet toimii https eli SSL-salauksella...
Oma webmailini salasanalla siäänkirjautumiseen on pelkkä http-sivu, ei https & lukko kuten pankkiin kirjautumiseen.
Tuleva kannettava tietysti ajantasalla ja suojattu ohjelmallisesti ( harkinnassa yhtenä vaihtoehtona uuden sijaan myös käytetty ThinkPad T60 / XP Pro 2-3G muistia tai vastaava ). Ilmeisesti sormenjälki-lukot koneen salasanana ovat päteviä ainakin ehkäisemän uteliaita, kuten joissakin yritysmalleissa. Toki koneen varastamistahan se ei ehkäise. Pitäisi löytää jostakin aapinen jossa listattu ja opastettu kaikkien turhien ja turvariskiä lisäävien plaveluiden ja toimintojen offaus W7Prossa.
Luin wikistä, että WPA ohjelmapäivityksensä jälkeen tulisi toimia kaikilla WiFi korteilla, joskin kuulema jotkin vanhemmat eivät ehkä toimi. Mintenhän vanhoista ja mistä versioita mahtanee olla kyse? Toimineeko jonkin vanhan ThinkPadin XiFi-kortti yhteen WPA2:n kanssa?
Eli voi haaroitta ja laittaa oman koneen netin "seinän" ja oman tukiasemansa väliin. Käytännön tasolla : millaista tieto-taitoa tuon suojaamattoman verkkoliikenteen hyväksikäyttäminen edellyttää, onnistuuko informatiikasta kiinnostuneelta perus-jussilta?
No esimerkiksi Wireshark -ohjelma tallentaa jokaisen tcp/udp paketin joka kulkee ohjelmalle määritetyn verkkolaitteen läpi, paketteja voi kerätä langattomasti ja langalla. Niitä voi sitten tutkia vaikka yksitellen jos haluaa. Jos paketit ovat vahvasti kryptattuja, niistä ei saa mitään irti. Jos taas eivät ole, siltikään ne eivät kerro perusjussille oikein mitään, eli kyllä vähän syvällisempää perehtyneisyyttä tarvitaan jotta hyötyä alkaa irrota. Lisäksi paketeista täytyy osata eritellä ne, joissa on varsinainen "hyötykuorma" , eli se varsinainen tieto, jota haetaan. Osaavalta tämä homma varmasti hoituu.
Thinpadin wlan-piiri ilmeisesti tukee wpa2:ta, mutta xp pitää päivittää, ja asentaa uusimmat wlan- ajurit. http://www-307.ibm.com/pc/support/site.wss/document.do?lndocid=MIGR-66449
>> ... Jos paketit ovat vahvasti kryptattuja, niistä ei saa mitään irti. Jos taas eivät ole, siltikään ne eivät kerro perusjussille oikein mitään, eli kyllä vähän syvällisempää perehtyneisyyttä tarvitaan jotta hyötyä alkaa irrota.
Eli jos oikein tuota tulkitsen, niin pelkältä uteliaalta perus-jussilta ei urkinta onnistu. Itselle tulee mieleen vaikkapa webmaili jonka kirjaantumissivu on pelkkä http, jolta utelias voisi urkkia salasanan.
>> Thinpadin wlan-piiri ilmeisesti tukee wpa2:ta, mutta xp pitää päivittää, ja asentaa uusimmat wlan- ajurit. http://www-307.ibm.com/pc/support/site.wss/document.do?lndocid=MIGR-66449
Kiitos vinkistä ja linkistä. Olen hieman kahden vaiheilla, uusi yritystyyppinen 15" läppäri tai vaikkapa käytettynä jokin tyyliin Thinkpad R61 tai vastaava. Tosin noilla TP:llä on edelleenkin aika hyvin hintaa ja tietty riskinä, että jokin prakaa vaikka kestäviä ovatkin. Vanhemmissa on tosin usein XP Pro ( Vistaa en kelpuuta ), meneehän sillä vielä vähän aikaa, kunhan on kunnon turvaohjelmat.