Lue keskustelun säännöt.
Aika uskomaton tuo Nokian kiristysjuttu
04.04.2018 |
Nokiaa kiristettiin 10 vuotta sitten jollain aplikaatioavaimella. Kiristäjä vaati 2 miljoonaa, josta 400 000 hyväntekeväisyyteen ja 1,6 miljoonaa käteisenä. Nokia suostui ja rahat maksettiin. Tekijää ei koskaan saatu kiinni ja nyt juttu on vanhentunut.
Kommentit (25)
Vierailija kirjoitti:
Vierailija kirjoitti:
Vierailija kirjoitti:
Ja noi avaimethkan oli todella tärkeitä. Valmistajalla (kaikilla) on jokin avainkoodi jolla asennettava sovellus ohittaa kaikki turvatarkastukset ja antaa pääsyn kaikkeen tietoon puhelimella. Muutoin tulisi ongelmia laitteiden kanssa, mutta tuota avainta saa käyttää vain hyvin harkittuihin ohjelmiin.
...mutta kellään itseään kunnioittavalla valmistajalla se avainkoodi ei ole sovelluksessa vaan se on epäsymmetriseen kryptologiaan perustuvaa digitaalista allekirjoitusta. On kaksi avainta, salainen ja julkinen. Julkaisija "allekirjoittaa" julkaisunsa molempia avaimia käyttäen ja pitää julkista avainta vapaasti nähtävillä. Jokainen voi helposti julkisella avaimella todeta että julkaisija on julkaisun takana ja ettei julkaisua ole kolmannen osapuolen toimesta muuteltu.
Juttujen perusteella nokialainen appi kuin appi kertoi jollain taika-avaimella käyttikselle että saan tehdä kaikkea. Ehkä toimittaja ei ole osannut kertoa asiaa oikein, eli Nokialla oli tosiaan tällainen epäsymmetrinen systeemi ja sitten joku varasti Nokian käyttämän salaisen avaimen. Tai sitten Nokian suojausmekanismi oli todella typerä.
Sinänsä jos joku varastaisi tuon salaisen avaimen niin vastalääke olisi generoida välittömästi uusi salainen-julkinen avainpari, allekirjoittaa tällä kaikki appsit uudestaan mitä tarjoaa ja julkaista uusi julkinen avain.
Kyllä se Nokialla oli tehty ihan oikein. Mutta jos joku oli kirjoittanut ohjelman joka pyydettäessä luki dataa mistä tahansa apista tai hakemistosta ja toimitti datan esim. socketin kautta. Eli tämä sovellus avasi vain reiän ja oli oikeaoppisesti allekirjoitettu. Ns. backdoor. Kaikki pahikset olisivat sitten voineet tehdä lisäksi oman ohjelmansa joka olisi käyttänyt tätä backdoor ohjelmaa tehdäkseen pahojaan.
Juuri tästä syystä me kävimme allekirjoittamassa sisäisiä sovelluksia siellä salaisessa huoneessa jonka salaisessa kassakaapissa oli levykkeellä tuo private-key. Ennen poistumista muuten tarkistettiin kaikki siirrettävät mediat, ettei allekirjoitussession aikana ollut kopioinut tuota avainta itselleen. (ps. lue aiempi kirjoitukseni).
Sisältö jatkuu mainoksen alla
Sisältö jatkuu mainoksen alla
Vierailija kirjoitti:
Vierailija kirjoitti:
Vierailija kirjoitti:
Vierailija kirjoitti:
Ja noi avaimethkan oli todella tärkeitä. Valmistajalla (kaikilla) on jokin avainkoodi jolla asennettava sovellus ohittaa kaikki turvatarkastukset ja antaa pääsyn kaikkeen tietoon puhelimella. Muutoin tulisi ongelmia laitteiden kanssa, mutta tuota avainta saa käyttää vain hyvin harkittuihin ohjelmiin.
...mutta kellään itseään kunnioittavalla valmistajalla se avainkoodi ei ole sovelluksessa vaan se on epäsymmetriseen kryptologiaan perustuvaa digitaalista allekirjoitusta. On kaksi avainta, salainen ja julkinen. Julkaisija "allekirjoittaa" julkaisunsa molempia avaimia käyttäen ja pitää julkista avainta vapaasti nähtävillä. Jokainen voi helposti julkisella avaimella todeta että julkaisija on julkaisun takana ja ettei julkaisua ole kolmannen osapuolen toimesta muuteltu.
Juttujen perusteella nokialainen appi kuin appi kertoi jollain taika-avaimella käyttikselle että saan tehdä kaikkea. Ehkä toimittaja ei ole osannut kertoa asiaa oikein, eli Nokialla oli tosiaan tällainen epäsymmetrinen systeemi ja sitten joku varasti Nokian käyttämän salaisen avaimen. Tai sitten Nokian suojausmekanismi oli todella typerä.
Sinänsä jos joku varastaisi tuon salaisen avaimen niin vastalääke olisi generoida välittömästi uusi salainen-julkinen avainpari, allekirjoittaa tällä kaikki appsit uudestaan mitä tarjoaa ja julkaista uusi julkinen avain.
Kyllä se Nokialla oli tehty ihan oikein. Mutta jos joku oli kirjoittanut ohjelman joka pyydettäessä luki dataa mistä tahansa apista tai hakemistosta ja toimitti datan esim. socketin kautta. Eli tämä sovellus avasi vain reiän ja oli oikeaoppisesti allekirjoitettu. Ns. backdoor. Kaikki pahikset olisivat sitten voineet tehdä lisäksi oman ohjelmansa joka olisi käyttänyt tätä backdoor ohjelmaa tehdäkseen pahojaan.
Juuri tästä syystä me kävimme allekirjoittamassa sisäisiä sovelluksia siellä salaisessa huoneessa jonka salaisessa kassakaapissa oli levykkeellä tuo private-key. Ennen poistumista muuten tarkistettiin kaikki siirrettävät mediat, ettei allekirjoitussession aikana ollut kopioinut tuota avainta itselleen. (ps. lue aiempi kirjoitukseni).
Tästä monimutkaisuudesta johtuen epäiltiin sisäpiirin keikkaa. Itse asiassa olisi ollut helppo laittaa omatekemä ohjelma sille allekirjoitusskriptille muiden ohjelmien seassa. Jos vaan olisi saanut pääsyoikeuden siihen tilaan jotenkin.
Vierailija kirjoitti:
Vierailija kirjoitti:
Tuo hyväntekeväisyysjuttukin tuntuu kummalliselta. Miksi he halusivat osan potista hyväntekeväisyyteen, kun eivät edes käsittääkseni määritelleet kohdetta?
Näin jälkikäteen tuo Nokian hyväntekeväisyyslahjoitus, tai sillä jeesustelu tuntuu suorastaan surkuhupaisalta, kun nyt tietää, mitkä ne Nokian todelliset motiivit lahjoituksessa oli.
9. marraskuuta 2007 Nokian tiedote kertoi, että ”Nokia lahjoittaa yhteensä 400 000 euroa Arvo ja Lea Ylppö Säätiölle sekä Lastentautien tutkimussäätiölle. Lahjoituksella Nokia tukee säätiöiden lasten terveyteen ja hyvinvointiin liittyvää tutkimusta ja toimintaa.”
"Lasten ja nuorten hyvinvointiin ja oppimiseen liittyvät hankkeet eri puolilla maailmaa ovat tärkeä osa Nokian arvoja ja työtämme yrityskansalaisena”, Nokian yhteiskuntasuhteista vastaava johtaja Veli Sundbäck sanaili tiedotteessa.
Mitenkähän ylpeä Veli Sundbäck on tuosta laatimastaan tiedotteesta nyt, kun lahjoituksen todelliset motiivit on vuotaneet julkisuuten?
Mä ajattelen että kiristäjä lahjoituksella pelasi mahdollisen kiinnijäämisen varalle. Tuollainen temppu voisi vaikuttaa lieventävästi tuomioon.
Vierailija kirjoitti:
Tuo hyväntekeväisyysjuttukin tuntuu kummalliselta. Miksi he halusivat osan potista hyväntekeväisyyteen, kun eivät edes käsittääkseni määritelleet kohdetta?
Mutta tuollahan sanottiin kohde.
Kyllä se Nokialla oli tehty ihan oikein. Mutta jos joku oli kirjoittanut ohjelman joka pyydettäessä luki dataa mistä tahansa apista tai hakemistosta ja toimitti datan esim. socketin kautta. Eli tämä sovellus avasi vain reiän ja oli oikeaoppisesti allekirjoitettu. Ns. backdoor. Kaikki pahikset olisivat sitten voineet tehdä lisäksi oman ohjelmansa joka olisi käyttänyt tätä backdoor ohjelmaa tehdäkseen pahojaan.