Digitoday

Valikko

Näin suomalaistutkijat löysivät vakavan vuodon internetin sydämestä

Oululaisen tietoturvayhtiö Codenomiconin tutkijat löysivät vakavan haavoittuvuuden nettipalvelimien salauksesta. Niin sanottu Heartbleed-haavoittuvuus tuli julki maanantaina, mutta itse tietoturva-aukko löytyi viikko lähes sivutyönä.


Oulaisen Codenomicon-tietoturvayhtiön tutkijat  Matti Kamunen, Antti Karjalainen ja Riku Hietamäki eivät viikko sitten ryhtyneet tarkoituksella etsimään tietoturva-aukkoja OpenSSL-protokollan kaksi vuotta sitten julkaistusta versiosta. 

Vakavan haavoittuvuuden löytyminen oli oikeastaan varsinaisen työn sivutuote.

– Olimme päivittämässä meidän yrityksemme omaa työkalu TSL-protokollan testaukseen, ja tekemässä siihen uutta ominaisuutta, joka tunnistaa tämän kaltaisia tietoturva-aukkoja, kertoo Karjalainen.

– Kehitystyössä tarvitsemme kohteita, joten siinä tulee samalla testattua myös se vastapää tavallaan sivutuotteena. Aikaisemmin ei kuitenkaan ole löytynyt mitään näin vakavaa.

Muun muassa verkkosivustojen https-suojauksessa käytetty OpenSSL-protokolla sai pari vuotta sitten heartbeat-nimisen ominaisuuden, jonka avulla ssl-suojatussa yhteydessä olevat koneet varmistavat lyhyillä viesteillä, että toinen kone on vielä verkossa. Vakava tietoturva-aukko löytyi tuosta viestinvaihdosta.

–  Olimme tekemässä työkaluun heartbeat-tukea. Vaikka meillä on ollut työkalu aikasemmin, niin päivityksen jälkeen meillä oli keinot havaita näitä ongelmia. Teimme torstaiaamuna uusia testejä, kun huomasimme, että toteutus vuotaa tietoa, Karjalainen sanoo.

Torstai-iltapäivällä tutkijat tulivat siihen tulokseen, että vuoto oli vakava. OpenSSL:llä suojatusta verkkopalvelimen muistista pystyi huijaamaan tietoja erityisesti muotoillun heartbeat-viestin avulla. Hyökkääjä saattoi saada haltuunsa muun muassa palvelimen salausavaimet, joiden palvelimen tietoliikenteen salauksen pystyi avaamaan. Hyökkäys oli melko helppo tehdä, ja lisäksi siitä ei jäänyt palvelimelle mitään jälkeä, joten sen huomaaminen oli lähes mahdotonta.

Esimerkiksi tietoturvayhtiö Netcraftin mukaan haavoittuvuuden sisältävä OpenSSL-versio on käytössä on noin puolessa miljoonassa SSL-suojatussa verkkopalvelimessa.

Tässä vaiheessa Codenomiconin tutkijat raportoivat asiasta Viestintäviraston alaiselle Kyberturvallisuuskeskukselle, jossa aloitettiin jo samana iltana riskianalyysit.

–  Codenomicon toimi parhaiden vastuullisten tutkimuskäytäntöjen mukaan, sanoo johtava asiantuntija Kauto Huopio Kyberturvallisuuskeskuksesta.

– He ottivat yhteyttä meidän henkilöihimme, ja käynnistimme normaalin verifiointiprosessin, jossa todettiin muun muassa että haavoittuvuus oli olemassa.

Riskianalyysi oli valmiina perjantaiaamuna, kun Karjalainen tuli töihin. Karjalainen haluaa kehua riskianalyysin teosta erityisesti Kyberturvallisuuskeskuksen Ilkka Mattilaa ja Jussi Erosta, sekä Clarified Networks -tietoturvayhtiön asiantuntijaa Sauli Pahlmania.

– Riskianalyysista tiesimme, että tämä oli äärimmäisen vakava haavoittuvuus, Karjalainen sanoo.

Kyberturvallisuuskeskuksen tehtäväksi jäi muun muassa tiedottaminen haavoittuvuudesta eteenpäin. Erittäin vakavasta haavoittuvuuden julkistamisessa haluttiin olla erittäin varovainen, ettei tieto vuoda verkkorikollisille ennen kuin haavoittuvat palvelimet oli saatu suojattua.

Codenomiconissa taas keskityttiin omien verkkopalvelimien suojaukseen. Tutkijat alkoivat myös miettiä kriisiviestintää, eli miten löydöstä kerrotaan mahdollisimman tasapuolisesti eteenpäin sitten kun se julkistettaisiin.

– Firmassa meni monella työntekijällä viikonloppuvapaat, Karjalainen sanoo.

– Sunnuntai-iltapäivä ja maanantai meni aika paljon Heartbleed.com -verkkosivuston laatimisessa.

Heartbleed eli "sydänverenvuoto" oli Codenomiconissa keksitty nimi heartbeat-toiminnosta löytyneelle tietovuodolle. Tutkijat kokosivat Heartbleed.com -osoitteeseen perustamalle sivustolle mahdollisimman valmiin tietopaketin löydöstään.

Nopea julkistus yllätti


Kyberturvallisuuskeskus raportoi Codenomiconin löydöstä maanantaina OpenSSL:n kehitysyhteisölle. OpenSSL-ryhmä ei vastannut viestiin, mutta sen sijaan julkisti haavoittuvuuden jo samana iltana.

Nopea julkistus yllätti sekä Codenomiconin että Kyberturvallisuuskeskuksen.

–  Tässä olisi ollut tärkeää, että haavoittuvuuden korjaus olisi saatu levitettyä ensin käyttöjärjestelmäpakettien kehittäjille, sanoo Huopio.

–  Jos olisi ollut muutamakin viikko aikaa, niin tietoa olisi pystytty jakamaan ja julkaisemaan tietoa eteenpäin koordinoidummin.

Myös Codenomicon joutui julkaisemaan Heartbleed.com -sivusto odotettua aiemmin. Sivustoa päivitettiin maanantaina muilta tietoturvatutkijoilta Twitterissä tulleiden lisäkysymysten avulla.

Tajuttiinko aukon laajuutta?


Huopio ja Karjalainen voivat vain arvailla syytä OpenSSL-ryhmän nopeaan julkistukseen. Googlen turvallisuustutkija Neel Mehta oli ehtinyt raportoida haavoittuvuudesta OpenSSL-ryhmälle jo ennen Codenomiconia.

– Ehkä he arvelivat Kyberturvallisuuskeskuksen raportin jälkeen, että tieto aukosta alkaa levitä laajemmalle, ja päättivät toimia siksi nopeasti, pohtii Karjalainen.

OpenSSL-ryhmän tiedotteen ja Googlen tutkijoiden Twitter-viestien perusteella Karjalainen arvelee, etteivät nämä ymmärtäneet ongelman koko laajuutta.

– Se vaikutti jotenkin maton alle lakaisemiselta. Mutta Codenomiconilla tiedettiin muun muassa se, että myös salausavaimetkin vuotavat, ja asiasta täytyy tiedottaa nopeasti.

Karjalaisen mukaan Codenomicon ei aio enää ryhtyä jatkotoimiin OpenSSL-haavoittuvuuden torjunnassa.

– Nyt tämä on kansainvälisen internet-yhteisön käsissä. Mitään ei kuitenkaan olisi tapahtunut, jos emme olisi tiedottaneet asiasta tarpeeksi näkyvästi. Nyt on vain tavoitteena, että verkkopalvelut päivittäisivät palvelimensa.

Kommentit

    Näytä lisää

    Näitä luetaan!
    1. 1

      Tuomas Enbuske ihmetteli tv:ssä Lauri Ylösen ja ex-vaimo Paula Vesalan lämpimiä välejä – Ylöseltä tyhjentävä vastaus

    2. 2

      Tapparan mestaruusjuhlat saivat yllättävän käänteen – ”Hätkähdin kun kuulin tutun äänen”

    3. 3

      68-vuotias mies ampui kotiinsa tunkeutunutta murtovarasta, epäillään tapon yrityksestä

    4. 4

      United Airlines ja lentoyhtiön väkivaltaisesti koneesta poistama mies pääsivät sopimukseen korvauksista

    5. 5

      Tampereella uidaan jo suihkulähteessä – meno kuvissa kuin etelämaalaisessa karnevaalissa

    6. 6

      Turvapaikanhakijat häiriköivät kauppakeskuksessa – kolme vietiin putkaan

    7. 7

      Suosikkijuontaja Niina Backman, 33, rantalomalla huikeissa maisemissa – poseeraa viehkeänä bikineissä

    8. 8

      Viiden tähden hotelli rapistui paikoilleen – vip-vieraiden unelma on nyt karu näky

    9. 9

      Suomalainen fitnessdokumentti järkyttää netissä – päähenkilöltä raju purkaus: ”Tuleeko se hetki, kun hakkaan kuvausryhmän jäsenen?”

    10. 10

      Tomi kuvasi videon Tampereen parkkisakkorysästä – mistä tässä on kyse? ”Ainakin 16 auton tuulilasissa oli lappu”

    11. Näytä lisää
    1. 1

      Tilasto paljastaa: Yleisin naisen nimi Suomessa on jättiyllätys!

    2. 2

      Tuttava Hirvensalmen tragedian taustoista: Perheenisä puhui avoimesti vaikeuksistaan

    3. 3

      Poliisi kertoo nyt harvinaisen järkyttävästä työtehtävästä: eri puolilta taloa löytyi kolmen lapsen ruumiit

    4. 4

      Patrik Laineen leppoisa lomakuva herätti MM-kisaraivon

    5. 5

      Eevi Teittinen paljastaa Ylellä ällöttävän yksityiskohdan bikini fitnessistä – hätä yllätti kriittisellä hetkellä: ”Tää on tosi noloa”

    6. 6

      Suomalainen fitnessdokumentti järkyttää netissä – päähenkilöltä raju purkaus: ”Tuleeko se hetki, kun hakkaan kuvausryhmän jäsenen?”

    7. 7

      Hirvensalmen uhrien äiti jakoi helmikuussa koskettavan runon – ”Sydämeni tulee kantamaan sinua aina”

    8. 8

      Playboy-kuviin kosiskeltu Kaisa Mäkäräisen kilpasisko on tyrmäävä mallikaunotar – Dorothea Wierer, 27 poseeraa upeissa bikinikuvissa

    9. 9

      68-vuotias mies ampui kotiinsa tunkeutunutta murtovarasta, epäillään tapon yrityksestä

    10. 10

      Opiskelijoiden K18-bileet seikkailupuistossa ihmetyttävät Kuopiossa: ”En välttämättä menisi heti aamulla muksun kanssa sinne”

    11. Näytä lisää
    1. 1

      Suihkuun aamulla vai illalla? Asiantuntijoilla on selkeä vastaus

    2. 2

      Tilasto paljastaa: Yleisin naisen nimi Suomessa on jättiyllätys!

    3. 3

      Poliisi avautuu harvinaisen järkyttävästä tehtävästä: nainen oli jo pilkullinen

    4. 4

      Tuttava Hirvensalmen tragedian taustoista: Perheenisä puhui avoimesti vaikeuksistaan

    5. 5

      Samu Haber esitti kuohuttaneen Joutsenlaulu-version tv:ssä – katsojilta yksimielinen tuomio vedolle

    6. 6

      Kolarissa kuolleiden kaksospoikien äiti joutui käymään tragedian uudelleen läpi: ”Emme tule tästä selviämään koskaan”

    7. 7

      Minea Blomqvist purskahtaa itkuun tv:ssä – ehkäisy petti yllättäen matkalla

    8. 8

      Poikaystävä jäi kiinni pettämisestä nololla tavalla kesken romanttisen illallisen – ravintolan Facebook-vastaus leviää vauhdilla

    9. 9

      Kuvat: Temptation Islandiin uusi pariskunta – Pauliina, 21, rikkoo heti rajat poikaystävän selän takana

    10. 10

      Poliisi vahvistaa: Herttoniemenrannasta löytynyt ruumis on kateissa ollut Valtteri Ihalainen

    11. Näytä lisää
    Näitä luetaan!
    1. 1

      Tuomas Enbuske ihmetteli tv:ssä Lauri Ylösen ja ex-vaimo Paula Vesalan lämpimiä välejä – Ylöseltä tyhjentävä vastaus

    2. 2

      Tapparan mestaruusjuhlat saivat yllättävän käänteen – ”Hätkähdin kun kuulin tutun äänen”

    3. 3

      68-vuotias mies ampui kotiinsa tunkeutunutta murtovarasta, epäillään tapon yrityksestä

    4. 4

      United Airlines ja lentoyhtiön väkivaltaisesti koneesta poistama mies pääsivät sopimukseen korvauksista

    5. 5

      Tampereella uidaan jo suihkulähteessä – meno kuvissa kuin etelämaalaisessa karnevaalissa

    6. Näytä lisää
    1. 1

      Tilasto paljastaa: Yleisin naisen nimi Suomessa on jättiyllätys!

    2. 2

      Tuttava Hirvensalmen tragedian taustoista: Perheenisä puhui avoimesti vaikeuksistaan

    3. 3

      Poliisi kertoo nyt harvinaisen järkyttävästä työtehtävästä: eri puolilta taloa löytyi kolmen lapsen ruumiit

    4. 4

      Patrik Laineen leppoisa lomakuva herätti MM-kisaraivon

    5. 5

      Eevi Teittinen paljastaa Ylellä ällöttävän yksityiskohdan bikini fitnessistä – hätä yllätti kriittisellä hetkellä: ”Tää on tosi noloa”

    6. Näytä lisää
    1. 1

      Suihkuun aamulla vai illalla? Asiantuntijoilla on selkeä vastaus

    2. 2

      Tilasto paljastaa: Yleisin naisen nimi Suomessa on jättiyllätys!

    3. 3

      Poliisi avautuu harvinaisen järkyttävästä tehtävästä: nainen oli jo pilkullinen

    4. 4

      Tuttava Hirvensalmen tragedian taustoista: Perheenisä puhui avoimesti vaikeuksistaan

    5. 5

      Samu Haber esitti kuohuttaneen Joutsenlaulu-version tv:ssä – katsojilta yksimielinen tuomio vedolle

    6. Näytä lisää