Tulostusversio

2/2011

Lyhyesti tietoturvasta 2/2011

GSM-puhelimen salakuuntelu mahdollista

Salaustutkijat ovat onnistuneet murtamaan GSM-puhelimissa yleisesti käytössä olevan salausmenetelmän.

Kyse on A5/1-salausmenetelmästä, jota käytetään matkapuhelimen ja GSM-verkon tukiaseman välisen viestinnän salaamiseen. Tutkijat saivat sen murrettua alle minuutissa uuden tietokoneohjelmiston ja etukäteen laskettujen salausavainten avulla.

Salakuuntelu A5/1-salausmenetelmän purkamisella on käytännössä hyvin vaikeaa. Runsaan esivalmistelun ja edistyneiden laitteiden lisäksi salakuuntelijalla on oltava syvällistä tietoa GSM-verkon teknisestä toteutuksesta. Lisäksi salakuuntelijan on tiedettävä kohteen sijainti ja seurattava kohdetta. Yksittäisen matkapuhelinkäyttäjän joutuminen tällaisen salakuuntelun kohteeksi on siten erittäin epätodennäköistä.

A5/1-salausmenetelmälle on olemassa uudempia vaihtoehtoja. Suurin osa viime vuosina myydyistä matkapuhelimista sisältää tuen uusille salausmenetelmille.

"A5/1 oli suljettu salausalgoritmialusta. Sen sijaan uudemmat salausmenetelmät ovat avoimia. Näin ollen johtavat salausanalyytikot ovat voineet tutkia niitä, mutta he eivät ole saaneet niitä murrettua", toteaa vanhempi tietoturva-asiantuntija Konstantin Shemyak Nokia Siemens Networksiltä. Hän esitteli A5/1-salauksen murtamista Viestintäviraston seminaarissa toukokuussa.

Viestintäviraston mukaan paras tapa suojautua salakuuntelulta on käyttää 3G- ja 4G -verkkoja, joissa A5/1-salausmenetelmä ei ole käytössä. Varman päälle pelaava voi määritellä 3G-puhelimensa pysymään aina 3G-verkossa. Markkinoilla on tarjolla myös puheen salaavia päätelaitteita tai ohjelmistoja.

---

Netin osoitejärjestelmä testiin

Internetin uuden osoitejärjestelmän (IPv6) käyttöönottoa yritetään vauhdittaa 8. kesäkuuta järjestettävällä testipäivällä. Yritysten motivoimiseksi muiden muassa hakukonejätit Google ja Yahoo! sekä yhteisöpalvelu Facebook siirtävät palvelunsa vuorokaudeksi uuteen osoitejärjestelmään.

Testipäivällä halutaan muistuttaa teleyrityksiä, laitevalmistajia, käyttöjärjestelmäsuunnittelijoita ja nettisovellusten kehittäjiä siitä, että niiden pitäisi valmistautua uuden osoitejärjestelmän käyttöönottoon.

Nykyisen järjestelmän (IPv4) puitteissa jaettavien IP-osoitteiden on toistuvasti ennustettu loppuvan. Loppumista on onnistuttu siirtämään erilaisilla teknisillä ratkaisuilla ja tehostamalla osoitteiden jakamista.

---

Verkkopankkihuijaus syyteharkinnassa

Nordean verkkopankkiasiakkaisiin kohdistunut huijaus on siirtynyt keskusrikospoliisilta syyteharkintaan Helsingin syyttäjänvirastoon. Poliisi tutki tapausta törkeänä petoksena ja rahanpesurikoksena.

Asiakkaiden pankkitileiltä siirrettiin rahaa haittaohjelmaa hyödyntämällä. Siirrot eivät näkyneet pankin asiakkaille avoinna olevan istunnon aikana vaan ne voitiin havaita vasta jälkikäteen. Tapauksessa tehtiin noin sata tilisiirtoa jolla siirrettiin tai yritettiin siirtää rahaa asiakkaiden tileiltä. Asianomistajina on yhteensä 89 henkilöä tai yritystä.

Tekijäjoukko oli kansainvälinen, joten keskusrikospoliisi tutki tapausta yhdessä Viron poliisin, Europolin ja useiden muiden maiden viranomaisten kanssa.

---

Harjoitus osoitti tiedonkulun puutteet

EU-maiden ensimmäinen yhteinen tietoturvaharjoitus osoitti, että eri EU-maissa tietoturvahyökkäyksiin reagoidaan eri tavoin. Tulevissa harjoituksissa pitäisi tunnistaa ja testata menettelytapoja, jotta voitaisiin kehittää toimivia yhteiseurooppalaisia toimenpiteitä vakavan tietoturvahyökkäyksen varalle. Tässä olisi avuksi EU-maiden yhteinen kriittisen infrastruktuurin toimijoiden verkosto.

Näin todetaan Euroopan verkko- ja tietoturvavirasto ENISAn julkaisemassa raportissa.

Harjoituksessa huomattiin, että jäsenmaat tuntevat huonosti toistensa menettelytavat. Tietoturvapoikkeamien hoitamisessa on kansallisia eroja, ja varautuminen on organisoitu eri tavoin. Laajamittaisessa hyökkäyksessä kansalliset erot hankaloittavat reagoimista, kun pitäisi tietää, keneen missäkin maassa kannattaa ottaa yhteyttä, raportissa todetaan.

Ensimmäinen yhteiseurooppalainen kriittisen tietoinfrastruktuurin valmiusharjoitus järjestettiin marraskuussa. 22 maata osallistui varsinaiseen harjoitukseen, ja 8 maata oli tarkkailijoina.

Lue myös

Lyhyesti tietoturvasta 2/2011 »
Anna palautetta

Kommentit (0 kpl)

Ei kommentteja.

 

Kommentoi








Kyllä


* = Pakollinen tieto
 

 

tietosuoja_logo_2013.gif

 

 

 

Vastaava toimittaja
Hanna Tamminen


 


 

 

 

 

Julkaisijat
Tietosuojalautakunta
Tietosuojavaltuutetun toimisto
Viestintävirasto
Patentti- ja rekisterihallitus



 

 

 

 

 

 

 

Rekisteriselosteet »

Tietoa evästeistä »

 

 

 

Tietosuoja-verkkojulkaisua julkaistaan Tietosuoja-lehden yhteydessä. Yhdessä lehti ja verkkojulkaisu tutustuttavat tietosuojan normeihin ja käytäntöön, tietoturvaan ja viestinnän luottamuksellisuuteen. Tarkoituksena on ohjata hyvään rekisterinpitoon sekä tietoturvallisuuden ja viestinnän luottamuksellisuuden varmistamiseen.