Digitoday

Valikko

Näin suomalaistutkijat löysivät vakavan vuodon internetin sydämestä

Julkaistu: , Päivitetty:

Oululaisen tietoturvayhtiö Codenomiconin tutkijat löysivät vakavan haavoittuvuuden nettipalvelimien salauksesta. Niin sanottu Heartbleed-haavoittuvuus tuli julki maanantaina, mutta itse tietoturva-aukko löytyi viikko lähes sivutyönä.


Oulaisen Codenomicon-tietoturvayhtiön tutkijat  Matti Kamunen, Antti Karjalainen ja Riku Hietamäki eivät viikko sitten ryhtyneet tarkoituksella etsimään tietoturva-aukkoja OpenSSL-protokollan kaksi vuotta sitten julkaistusta versiosta. 

Vakavan haavoittuvuuden löytyminen oli oikeastaan varsinaisen työn sivutuote.

– Olimme päivittämässä meidän yrityksemme omaa työkalu TSL-protokollan testaukseen, ja tekemässä siihen uutta ominaisuutta, joka tunnistaa tämän kaltaisia tietoturva-aukkoja, kertoo Karjalainen.

– Kehitystyössä tarvitsemme kohteita, joten siinä tulee samalla testattua myös se vastapää tavallaan sivutuotteena. Aikaisemmin ei kuitenkaan ole löytynyt mitään näin vakavaa.

Muun muassa verkkosivustojen https-suojauksessa käytetty OpenSSL-protokolla sai pari vuotta sitten heartbeat-nimisen ominaisuuden, jonka avulla ssl-suojatussa yhteydessä olevat koneet varmistavat lyhyillä viesteillä, että toinen kone on vielä verkossa. Vakava tietoturva-aukko löytyi tuosta viestinvaihdosta.

–  Olimme tekemässä työkaluun heartbeat-tukea. Vaikka meillä on ollut työkalu aikasemmin, niin päivityksen jälkeen meillä oli keinot havaita näitä ongelmia. Teimme torstaiaamuna uusia testejä, kun huomasimme, että toteutus vuotaa tietoa, Karjalainen sanoo.

Torstai-iltapäivällä tutkijat tulivat siihen tulokseen, että vuoto oli vakava. OpenSSL:llä suojatusta verkkopalvelimen muistista pystyi huijaamaan tietoja erityisesti muotoillun heartbeat-viestin avulla. Hyökkääjä saattoi saada haltuunsa muun muassa palvelimen salausavaimet, joiden palvelimen tietoliikenteen salauksen pystyi avaamaan. Hyökkäys oli melko helppo tehdä, ja lisäksi siitä ei jäänyt palvelimelle mitään jälkeä, joten sen huomaaminen oli lähes mahdotonta.

Esimerkiksi tietoturvayhtiö Netcraftin mukaan haavoittuvuuden sisältävä OpenSSL-versio on käytössä on noin puolessa miljoonassa SSL-suojatussa verkkopalvelimessa.

Tässä vaiheessa Codenomiconin tutkijat raportoivat asiasta Viestintäviraston alaiselle Kyberturvallisuuskeskukselle, jossa aloitettiin jo samana iltana riskianalyysit.

–  Codenomicon toimi parhaiden vastuullisten tutkimuskäytäntöjen mukaan, sanoo johtava asiantuntija Kauto Huopio Kyberturvallisuuskeskuksesta.

– He ottivat yhteyttä meidän henkilöihimme, ja käynnistimme normaalin verifiointiprosessin, jossa todettiin muun muassa että haavoittuvuus oli olemassa.

Riskianalyysi oli valmiina perjantaiaamuna, kun Karjalainen tuli töihin. Karjalainen haluaa kehua riskianalyysin teosta erityisesti Kyberturvallisuuskeskuksen Ilkka Mattilaa ja Jussi Erosta, sekä Clarified Networks -tietoturvayhtiön asiantuntijaa Sauli Pahlmania.

– Riskianalyysista tiesimme, että tämä oli äärimmäisen vakava haavoittuvuus, Karjalainen sanoo.

Kyberturvallisuuskeskuksen tehtäväksi jäi muun muassa tiedottaminen haavoittuvuudesta eteenpäin. Erittäin vakavasta haavoittuvuuden julkistamisessa haluttiin olla erittäin varovainen, ettei tieto vuoda verkkorikollisille ennen kuin haavoittuvat palvelimet oli saatu suojattua.

Codenomiconissa taas keskityttiin omien verkkopalvelimien suojaukseen. Tutkijat alkoivat myös miettiä kriisiviestintää, eli miten löydöstä kerrotaan mahdollisimman tasapuolisesti eteenpäin sitten kun se julkistettaisiin.

– Firmassa meni monella työntekijällä viikonloppuvapaat, Karjalainen sanoo.

– Sunnuntai-iltapäivä ja maanantai meni aika paljon Heartbleed.com -verkkosivuston laatimisessa.

Heartbleed eli "sydänverenvuoto" oli Codenomiconissa keksitty nimi heartbeat-toiminnosta löytyneelle tietovuodolle. Tutkijat kokosivat Heartbleed.com -osoitteeseen perustamalle sivustolle mahdollisimman valmiin tietopaketin löydöstään.

Nopea julkistus yllätti


Kyberturvallisuuskeskus raportoi Codenomiconin löydöstä maanantaina OpenSSL:n kehitysyhteisölle. OpenSSL-ryhmä ei vastannut viestiin, mutta sen sijaan julkisti haavoittuvuuden jo samana iltana.

Nopea julkistus yllätti sekä Codenomiconin että Kyberturvallisuuskeskuksen.

–  Tässä olisi ollut tärkeää, että haavoittuvuuden korjaus olisi saatu levitettyä ensin käyttöjärjestelmäpakettien kehittäjille, sanoo Huopio.

–  Jos olisi ollut muutamakin viikko aikaa, niin tietoa olisi pystytty jakamaan ja julkaisemaan tietoa eteenpäin koordinoidummin.

Myös Codenomicon joutui julkaisemaan Heartbleed.com -sivusto odotettua aiemmin. Sivustoa päivitettiin maanantaina muilta tietoturvatutkijoilta Twitterissä tulleiden lisäkysymysten avulla.

Tajuttiinko aukon laajuutta?


Huopio ja Karjalainen voivat vain arvailla syytä OpenSSL-ryhmän nopeaan julkistukseen. Googlen turvallisuustutkija Neel Mehta oli ehtinyt raportoida haavoittuvuudesta OpenSSL-ryhmälle jo ennen Codenomiconia.

– Ehkä he arvelivat Kyberturvallisuuskeskuksen raportin jälkeen, että tieto aukosta alkaa levitä laajemmalle, ja päättivät toimia siksi nopeasti, pohtii Karjalainen.

OpenSSL-ryhmän tiedotteen ja Googlen tutkijoiden Twitter-viestien perusteella Karjalainen arvelee, etteivät nämä ymmärtäneet ongelman koko laajuutta.

– Se vaikutti jotenkin maton alle lakaisemiselta. Mutta Codenomiconilla tiedettiin muun muassa se, että myös salausavaimetkin vuotavat, ja asiasta täytyy tiedottaa nopeasti.

Karjalaisen mukaan Codenomicon ei aio enää ryhtyä jatkotoimiin OpenSSL-haavoittuvuuden torjunnassa.

– Nyt tämä on kansainvälisen internet-yhteisön käsissä. Mitään ei kuitenkaan olisi tapahtunut, jos emme olisi tiedottaneet asiasta tarpeeksi näkyvästi. Nyt on vain tavoitteena, että verkkopalvelut päivittäisivät palvelimensa.

Kommentit

    Näytä lisää

    Näitä luetaan!
    1. 1

      Trumpilta käsittämätön väite Japanin pääministerin vaimosta

    2. 2

      Palkittu toimittaja raiskasi väkivalloin ravintolaillan päätteeksi

    3. 3

      Venäläisryhmä puhkesi uskaliaaseen lauluun Niiralan raja-asemalla – videosta tuli nettihitti itänaapurissa

    4. 4

      Tunnetun hevikitaristin purkaus Chester Benningtonin kuolemasta hätkähdytti somessa – ”Huono aika moiselle kommentille”

    5. 5

      Eläkkeelle ”armahdettu” Helena, 61, pettyi ostaessaan matkalippua: ”Olen täysin toisarvoisessa asemassa”

    6. 6

      Kylie Jenner poseerasi pikkuruisessa mekossa – rintaliivit jäivät kotiin: tunnissa yli miljoona tykkäystä

    7. 7

      Muistatko vielä? Ensimmäinen Selviytyjät-voittaja kuohutti nakuilullaan – voittopotti johti ongelmiin: vietti vuosia vankeudessa

    8. 8

      Tutkimus piirtää karua kuvaa Postista: ”Haluan omaehtoisesti irtisanoutua, että en joudu kohtaamaan sitä nöyryytystä”

    9. 9

      Kaikkia ei kirpaise: Suomeen tuotu kesällä useita superautoja – kalleimmasta pelkkiä veroja 137000 euroa!

    10. 10

      Katso, kuinka arvokas kesämökkisi voi olla – kuntalista kertoo hinnat eri puolilla Suomea

    11. Näytä lisää
    1. 1

      Teemu Selänteen pojat katsoivat ilmaiseksi keikkaa isänsä luksusjahdilta – lavalla esiintyneeltä Reino Nordinilta osuva kuitti aiheesta

    2. 2

      TMZ: Linkin Parkin solisti Chester Bennington, 41, on kuollut

    3. 3

      Varusmies tuupertui maahan Cooperin testin jälkeen Vekaranjärvellä – IL: Todettiin myöhemmin aivokuolleeksi

    4. 4

      Nainen ei pessyt itseään pesuaineilla kahteen viikkoon – vaikutukset yllättivät

    5. 5

      Instagram sensuroi Emilian, 25, rohkean bikinikuvan – kahden lapsen äiti pöyristyi: ”Kun muodokkaampi nainen laittaa kuvan, se poistetaan”

    6. 6

      Valtteri Bottas murjaisi vitsin Kimi Räikkösestä, kertoi myös ketä F1-kuskia ei haluaisi seurakseen autiolle saarelle

    7. 7

      Urheilutoimittaja yritti syytteen mukaan tilata naisystävänsä yliajon – maksoi vangille 6 500 euroa etumaksuna

    8. 8

      Uskomattoman tiimalasivartaloista venäläismallia kehutaan uudeksi Kim Kardashianiksi – väittää itse olevansa kauniimpi kuin kuuluisa tosi-tv-tähti

    9. 9

      Trumpilta käsittämätön väite Japanin pääministerin vaimosta

    10. 10

      Katso, kuinka arvokas kesämökkisi voi olla – kuntalista kertoo hinnat eri puolilla Suomea

    11. Näytä lisää
    1. 1

      Hanna menetti miehensä äkillisesti – Kimmosta jäi jälkeen vain hoitajan ojentama muovipussi

    2. 2

      Saara ja Esa panivat seksielämänsä kuntoon kahdessa viikossa: ”Miksi emme kokeilleet tätä aiemmin?”

    3. 3

      Harrastatko sinäkin ”Pirkka-seksiä”? 7 syytä, miksi se on tajuttoman upeaa

    4. 4

      Äiti ja isä löytyivät surmattuina – alkoi selvitä, että tytöille oli ehkä tapahtunut jotain vielä karmivampaa

    5. 5

      Venäläisturisteja virtaa Suomeen yllättävästä syystä – näitä hamstrataan nyt kaupoista

    6. 6

      Synkkä juhlailta Salossa – morsian joutui soittamaan poliisin omiin häihinsä

    7. 7

      Nuori nainen lähetti avoimen sairauslomaviestin – pomon reaktio sai itkemään

    8. 8

      Sabina Särkkä narahti uimapukukuvansa muokkaamisesta – kihlatun julkaisu paljasti totuuden: huomaatko eron?

    9. 9

      8 asiaa, joita pariskunnat tekevät, mutta eivät myönnä sitä – montako kohtaa myönnät?

    10. 10

      Räikkösellä musertava keskustelu tallin kanssa – ”En tiedä, mitä sanoa...”

    11. Näytä lisää
    Näitä luetaan!
    1. 1

      Trumpilta käsittämätön väite Japanin pääministerin vaimosta

    2. 2

      Palkittu toimittaja raiskasi väkivalloin ravintolaillan päätteeksi

    3. 3

      Venäläisryhmä puhkesi uskaliaaseen lauluun Niiralan raja-asemalla – videosta tuli nettihitti itänaapurissa

    4. 4

      Tunnetun hevikitaristin purkaus Chester Benningtonin kuolemasta hätkähdytti somessa – ”Huono aika moiselle kommentille”

    5. 5

      Eläkkeelle ”armahdettu” Helena, 61, pettyi ostaessaan matkalippua: ”Olen täysin toisarvoisessa asemassa”

    6. Näytä lisää
    1. 1

      Teemu Selänteen pojat katsoivat ilmaiseksi keikkaa isänsä luksusjahdilta – lavalla esiintyneeltä Reino Nordinilta osuva kuitti aiheesta

    2. 2

      TMZ: Linkin Parkin solisti Chester Bennington, 41, on kuollut

    3. 3

      Varusmies tuupertui maahan Cooperin testin jälkeen Vekaranjärvellä – IL: Todettiin myöhemmin aivokuolleeksi

    4. 4

      Nainen ei pessyt itseään pesuaineilla kahteen viikkoon – vaikutukset yllättivät

    5. 5

      Instagram sensuroi Emilian, 25, rohkean bikinikuvan – kahden lapsen äiti pöyristyi: ”Kun muodokkaampi nainen laittaa kuvan, se poistetaan”

    6. Näytä lisää
    1. 1

      Hanna menetti miehensä äkillisesti – Kimmosta jäi jälkeen vain hoitajan ojentama muovipussi

    2. 2

      Saara ja Esa panivat seksielämänsä kuntoon kahdessa viikossa: ”Miksi emme kokeilleet tätä aiemmin?”

    3. 3

      Harrastatko sinäkin ”Pirkka-seksiä”? 7 syytä, miksi se on tajuttoman upeaa

    4. 4

      Äiti ja isä löytyivät surmattuina – alkoi selvitä, että tytöille oli ehkä tapahtunut jotain vielä karmivampaa

    5. 5

      Venäläisturisteja virtaa Suomeen yllättävästä syystä – näitä hamstrataan nyt kaupoista

    6. Näytä lisää