Siis miten nyt huomattu haavoittuvuus php:ssa? Mistä on kyse, onko ammattilaisia selittämässä maallikolle?

https://www.kyberturvallisuuskeskus.fi/fi/haavoittuvuudet/haavoittuvuus…

Varmaan sekä että. Joku on huomannut että kohta on kansalaisten omakanta-tiedot kaikkien nähtävillä kun joku (ei niin fiksukaan) keksii miten homma toteuttaa. Tämähän voi olla yksittäisen henkilön tai vieraan vallan sabotaasia. Turvallisuusaukkoon on havahduttu ja nyt sille yritetään jotain tehdä. 

Vierailija kirjoitti:

Varmaan sekä että. Joku on huomannut että kohta on kansalaisten omakanta-tiedot kaikkien nähtävillä kun joku (ei niin fiksukaan) keksii miten homma toteuttaa. Tämähän voi olla yksittäisen henkilön tai vieraan vallan sabotaasia. Turvallisuusaukkoon on havahduttu ja nyt sille yritetään jotain tehdä. 

KELAn tietojärjestelmät siirrettiin Orpon paskasakin päätöksellä Amazonin palvelimille. Kuten tehtiin myös vaalijärjestelmälle. Kiittäkää Petteriä, Riikkaa, Willeä, Lulua, Sakaria, Saria jne.

Oli yleinen turvallisuustilanne mikä hyvänsä, haavoittuvuuksia eli tietoturvapoikkeamia / tietoturvariskejä / "aukkoja" löytyy järjestelmistä koko ajan. Niitä on ollut järjestelmissä niin pitkään kuin järjestelmiä on ollut olemassa, ja niitä paikkaillaan sitten tietoturvapäivityksillä.

Jotkut löytyy yrityksen (tässä tapauksessa PHP) sisäisten työntekijöiden toimesta, osa löytyy ns. valkokaulushakkereiden (tietoturva-aukkoja etsivät ja niitä valmistajille raportoivat tyypit) toimesta, osa löytyy, kun oikeat hakkerit hyödyntävät aukkoja päästäkseen murtautumaan järjestelmään, jossa kyseinen haavoittuvuus on. Ja siis PHP:n tapauksessa on kyse nettisivuista, eli eri yrityksillä ja yhteisöillä jos on PHP-pohjaisia nettisivuja, niille olisi mahdolista murtautua tuota haavoittuvuutta käyttäen.

Toki turvallisuustilanne vaikuttaa siten, että tällä hetkellä hakkereita käytetään myös ihan järjestelmällisesti siihen, että yritetään rapauttaa muiden maiden järjestelmiä. Mutta suoranaisesti siis haavoittuvuuksien olemassaolo ei liity turvallisuustilanteeseen, se liittyy, miten aktiivisesti haavoittuvuuksia mahdollisesti halutaan joissain paikoin hyödyntää.

Se on vähän kuin vitsit jotka perustuvat sanojen monitulkintoihin eli koodia voi suorittaa myös tavalla joka ei ole alkuperäinen tarkoitus. Mitä enemmän numeroita sitä vittumaisempaa on arvata kaikki rivit oikein.

Pitäkää tädit kukasta ja hatustanne kiinni. Kohta lähtee vaufa.fi alta. Tää on pycccien ykköskohde.

Haavoittuvuus tarkoittaa että ohjelmassa on virhe, ja se virhe sallii käyttäjän tehdä asioita joihin hänelle ei ollut tarkoitus antaa oikeutta.

PHP on tosi yleisessä käytössä nettipalvelmissa, ja tämän haavoittuvuuden vakavuudeksi on luokiteltu 9.2 (asteikolla 0 - 10). Todennäköisesti se tarkoittaa käytännössä virhettä jonka avulla nettisivuja selaava henkilö voi tietyssä tilanteessa ottaa niitä pyörittävän palvelimen PHP-ohjelmiston omaan hallintaansa.

Tälläisellä haavoittuvuudella ei ole mitään tekemistä nykyisen yleisen turvallisuustilanteen kanssa, vaan ihmisten tekemissä ohjelmissa on virheitä ihan riippumatta siitä mikä turvallisuustilanne on. Haavoittuvuutta ei ole ainakaan tietojen mukaan käytetty väärin, vaan PHP julkaisee nyt tiedotteen että haavoittuvuus on olemassa ja että korjaus on tulossa, jotta sitten vähän myöhemmin kun tuleva korjaus julkaistaan niin turvallisuuden kannalta tärkeimmät palvelimet osataan päivittää nopeammin kun rikolliset ehtivät korjausta tutkimalla selvittää mikä se haavoittuvuus oli ja alkaa käyttää sitä hyväkseen.

Pankkien ja pörssien sivustot murretaan heti

Vierailija kirjoitti:

Vierailija kirjoitti:

Varmaan sekä että. Joku on huomannut että kohta on kansalaisten omakanta-tiedot kaikkien nähtävillä kun joku (ei niin fiksukaan) keksii miten homma toteuttaa. Tämähän voi olla yksittäisen henkilön tai vieraan vallan sabotaasia. Turvallisuusaukkoon on havahduttu ja nyt sille yritetään jotain tehdä. 

KELAn tietojärjestelmät siirrettiin Orpon paskasakin päätöksellä Amazonin palvelimille. Kuten tehtiin myös vaalijärjestelmälle. Kiittäkää Petteriä, Riikkaa, Willeä, Lulua, Sakaria, Saria jne.

päätös oli edellisen hallituksen

Tällaisen pitäisi olla normihomma mutta tieto oli vuodettu. Nyt sitten kuulemma normihomma kestääkin jopa viikkotolkulla testauksineen. Onko niin että korjattavia haavoittuvuuksia on enemmän kuin kaksi vai paljastuiko tässä tiedustelupalveluiden käyttämä miljoonien arvoinen kybertyökalu? FBI:n Kash Patel vieraili Moskovassa ja sitten ei kuulemma vieraillutkaan. Tiedustelupalvelut tietävät näiden aukkojen olemassaolosta, tietävät vihollisen niitä käytävän ja käyttävät itsekin. Nyt niiden intressi on turvata vielä paljastumatta olevia aukkoja, jolloin jokaisen tiedustelupalvelun intresseissä on tutkia tarkasti korjauspäivitysten rakenne ja löytää mahdolliset uudet aukot omissa testauksissaan.

Vierailija kirjoitti:

Vierailija kirjoitti:

Varmaan sekä että. Joku on huomannut että kohta on kansalaisten omakanta-tiedot kaikkien nähtävillä kun joku (ei niin fiksukaan) keksii miten homma toteuttaa. Tämähän voi olla yksittäisen henkilön tai vieraan vallan sabotaasia. Turvallisuusaukkoon on havahduttu ja nyt sille yritetään jotain tehdä. 

KELAn tietojärjestelmät siirrettiin Orpon paskasakin päätöksellä Amazonin palvelimille. Kuten tehtiin myös vaalijärjestelmälle. Kiittäkää Petteriä, Riikkaa, Willeä, Lulua, Sakaria, Saria jne.

Miksi punikki valehtelee?

Vierailija kirjoitti:

Pitäkää tädit kukasta ja hatustanne kiinni. Kohta lähtee vaufa.fi alta. Tää on pycccien ykköskohde.

Eiku Ursulalla on pieni musta kirja kaikista täällä röyhkeästi väärinajattelevista.

Tekoälyn (openAI:n Patch the World tietoturvaohjelma) avustuksella tutkittiin yleisesti käytettyjä ohjelmistoja ja tutkittiin onko niissä jotain aiemmin havaitsemattomia heikkouksia joiden avulla pahantahtoinen taho voisi tehdä tietomurron. 

Php nimisestä ohjelmistosta, jota käytetään hyvin yleisesti mm verkkosivustoilla, löydettiin tälläinen heikkous, joka mahdollistaisi palvelimelle murtautumisen tai tietojen varastamisen. 

Kyseessä oli kuitenkin entuudestaan tuntematon haavoittuvuus, mikä oli samaan aikaan erittäin hyvä asia mutta myös aiheutti ongelman. Hyvä asia oli se, että koska ”hyvikset” löysivät haavoittuvuuden ensin niin niin kauan kuin siitä ei kerrota julkisesti niin ”pahikset” eivät todennäköisesti osaa sitä hyödyntää. 

Ongelma tuli siitä, että haavoittuvuuteen pitää tehdä ja julkaista sen korjaavaa tietoturvapäivitys. Kun haavoittuvuuteen tehdään päivitys, niin sitä päivitystä analysoimalla ”pahikset” saavat selville miten haavoittuvuutta voi käyttää hyväkseen, ja he voivat hyökätä maailman kaikille php:tä käyttäville palvelimille ja verkkosivustoille mihin korjauspäivitystä ei vielä ole asennettu. 

Ainoa ratkaisu oli siis valmistella päivitys hyvin salassa, ja sitten julkaista se niin kovan metelin ja mainostuksen saattelemana että maailman kaikki verkkosivustojen ylläpitäjät saataisiin päivittämään sivustonsa nopeammin kuin pahikset saavat päivityskoodin analysoinnin kautta selvitettyä miten haavoittuvuus toimii. 

Tästä syystä asia on nyt niin paljon esillä. 

Normaali-ihmisen ei kannata huolestua, varsinkaan jos on noudattanut yleisiä hyviä tietoturvatapoja kuten että ei koskaan käytä samaa salasanaa monessa eri palvelussa, tai ylipäätään tallenna mitään henkilökohtaisia tietoja sellaisin palveluihin joista ei tietä onko niiden ylläpito asiantuntevaa.