Tutkimus: Älylaitteiden valmistajat eivät kerro ohjelmistojen tuen pituutta

 digihuuma

Ja tämä yllätti kenet? Laitteiden käyttöikä helppo romuttaa pieneksi sanonalla "sori tähän 3 vuotta vanhaan kännykkään ei saa enää päivitystä niin osta tästä 700e uus kännykkä'

On se kumma kun ihmiskunta pärjäsi vielä ennen 2000-lukua ilman näitä laitteita ja niiden kavalia korporaatio-omistajia.

Ohjelmistoammattilainen täällä hei. 

On aika vaikea valmistajalle luvata mitään tiettyä aikaa tuelle kun ei tiedetä paljonko tuotetta myydään ja valmistetaan.

Tuen järjestäminen maksaa ihan yhtä paljon myytiin tuotetta sitten 100 tai 100 miljoonaa kpl. 

Jos tuotteelle olisi pakko luvata jo etukäteen joku tietty tukiaika, niin uskon että todella moni tuote tai uusi idea ei ikinä näkisi päivänvaloa koska ei tiedettäisi miten tuote tulee menestymään. 

Toinen iso syy on se, että tuotteet ja ohjelmistot ovat isoja kokonaisuuksia (vaikka tuotteen fyysiset mitat olisikin pieniä), ja ohjelmiston kehittäjä ei pysty kontrolloimaan kaikkien osatekijöiden tulevaisuuden kehityssuuntia.

Ohjelmiston toiminta voi riippua (ja lähes aina riippuukin) jonkun toisen ohjelmiston tai laitteen rajapinnan toiminnasta.

Yritän antaa kansantajuisen esimerkin. Oletetaan että tuotteen oma ohjelmisto A on rakennettu ohjelmointikielellä B. A siis tarvitsee toimiakseen B:n, ja valmiissa tuotteessa sekä A että B ovat asennettuna fyysisen laitteiston C päälle. 

Ajan kanssa ohjelmointikieli/-alusta B kasvaa ja kehittyy, ja käy niin että fyysinen laitteisto C ei enää tuekaan sitä.  Voi olla että C:n fyysisiä komponentteja pitäisi vaihtaa jotta laitteelle voisi asentaa uusimman version B:stä jotta A voitaisiin päivittää.. 

Erilaisia tilanteita missä tuen pitkäaikainen järjestäminen voi tulla mahdottomaksi on lähes rajattomasti. Modernit ohjelmistot ovat kuin korttitaloja, ja kun alla oleva kortti vaihtuu tai muuttaa paikkaansa niin se vaikuttaa pakostikin myös niiden korttien päällä seisoviin kortteihin. 

 

Montako kymmentätuhatta olisit AP valmis maksamaan sellaisesta valvontakamerasta jolle luvataan kaikissa olosuhteissa täysi tuki esim seuraavan 10v ajaksi?

Vai ostatko mielummin sen satasen kameran jolla on tuki ainakin toistaiseksi?

Ainakin kriittisten laitteiden ohjelmistotuki olisi hyvä olla tiedossa. Esimerkiksi kodin reitittimien hankinta on pirun vaikea operaatio jos tärkeimpänä kriteerinä on tietoturvapäivitykset.

Tutkikaapa itse. Aika harvalta laitevalmistajalta löytyy selkeää infoa asiasta.

Vierailija kirjoitti:

Ohjelmistoammattilainen täällä hei. 

Toinen ohjelmistoammattilainen, sellainen vanhan liiton mies, täällä hei.

On aika vaikea valmistajalle luvata mitään tiettyä aikaa tuelle kun ei tiedetä paljonko tuotetta myydään ja valmistetaan.

On siis syytä pyrkiä kirjoittamaan laitteen ohjemisto niin, että se tarvitsee mahdollisimman vähän tukea. Etenkin Internet-yhteyttä laitteeseen ei missään nimessä kannata laittaa ellei ole ihan täysin pakko. Ja jos se tuotteeseen laitetaan, sitten pitää varautua siihen, että siitä tulee melkein varmasti ajan kanssa täydellisen vaarallinen susi.

Tuen järjestäminen maksaa ihan yhtä paljon myytiin tuotetta sitten 100 tai 100 miljoonaa kpl. 

Tämä ei tietenkään pidä alkuunkaan paikkaansa. Laitteelle, jota valmistetaan 100 kpl, ei tule ikinä tulemaan spesifistä exploittia, kun taas laitteelle jota valmistetaan 100 miljoonaa kappaletta, kannattaa hakkereiden etsiä aukkoja urakan kanssa.

Jos tuotteelle olisi pakko luvata jo etukäteen joku tietty tukiaika, niin uskon että todella moni tuote tai uusi idea ei ikinä näkisi päivänvaloa koska ei tiedettäisi miten tuote tulee menestymään. 

Ja tämä olisi huono asia, koska...? Kiinalaista turvatonta pikavalmistettua paskaa meillä tarvitaan vähemmän, ja huolella valmistettuja laadukkaita laitteita enemmän.

(Liian pitkä viesti, jatkuu ensi numerossa)

(jatkuu)

    Toinen iso syy on se, että tuotteet ja ohjelmistot ovat isoja kokonaisuuksia (vaikka tuotteen fyysiset mitat olisikin pieniä), ja ohjelmiston kehittäjä ei pysty kontrolloimaan kaikkien osatekijöiden tulevaisuuden kehityssuuntia.

    Ohjelmiston toiminta voi riippua (ja lähes aina riippuukin) jonkun toisen ohjelmiston tai laitteen rajapinnan toiminnasta.

Voi riippua. Ja tämmöisiä riippuvuuksia kannattaa pyrkiä välttämään mahdollisimman paljon eikä vain kiskaista mukaan joka fidun kirjastoa vain siksi, että siellä on hieman sopivampi versio strcmp():stä. Yksi viime vuosien suurimmista tietoturvaexploiteista tuli suuressa kirjastossa olleesta aivan mitättömästä ja sen kirjaston kannalta merkityksettömästä, rikkinäisestä funktiosta. Tämmöisiä ei saisi vain olla. Kyllä, vaatii energiaa kirjoittaa enemmän itse, mutta kirjastojen käytön vähentäminen parantaa sekä tietoturvaa että riippumattomuutta.

    Yritän antaa kansantajuisen esimerkin. Oletetaan että tuotteen oma ohjelmisto A on raken

    nettu ohjelmointikielellä B. A siis tarvitsee toimiakseen B:n, ja valmiissa tuotteessa sekä A että B ovat asennettuna fyysisen laitteiston C päälle. 

    Ajan kanssa ohjelmointikieli/-alusta B kasvaa ja kehittyy, ja käy niin että fyysinen laitteisto C ei enää tuekaan sitä.  Voi olla että C:n fyysisiä komponentteja pitäisi vaihtaa jotta laitteelle voisi asentaa uusimman version B:stä jotta A voitaisiin päivittää.. 

Ja juuri tämän takia kaikenlaisia typeriä riippuvuuksia pitäisi välttää viimeiseen asti. Ja liian moderneja ja liikkuvia rajapintoja. Linuxin propellihattupäät tykkäävät liikutella jatkuvasti rajapintoja parin vuoden välein, mikä on raivostuttavaa. Kun turvautuu vanhanaikaisempiin ja jo 40 vuotta sitten lukittuihin standardeihin, kuten C-89:ään ja standardikirjastoihin, saa ainakin merkittävään osaan softaa sellaisen alustan, joka ei koko ajan liiku alta kuin juoksuhiekka.

Ja kyllä, vaatii taas vaivannäköä.

    Erilaisia tilanteita missä tuen pitkäaikainen järjestäminen voi tulla mahdottomaksi on lähes rajattomasti. Modernit ohjelmistot ovat kuin korttitaloja, ja kun alla oleva kortti vaihtuu tai muuttaa paikkaansa niin se vaikuttaa pakostikin myös niiden korttien päällä seisoviin kortteihin. 

Siksi pitääkin välttää asioiden rakentamisen korttitalon seitsemänteen kerrokseen.

Vähentäkää riippuvuuksia. Ymmärtäkää ne riippuvuudet, jotka jäävät jäljelle. Valitkaa riippuvuutenne mahdollisimman vakaiksi. Älkää laittako laitetta Internetiin, ellei ole ihan pakko. Vendor lock-in ei muuten ole riittävä "pakko".

Vierailija kirjoitti:

(jatkuu)

 

    Toinen iso syy on se, että tuotteet ja ohjelmistot ovat isoja kokonaisuuksia (vaikka tuotteen fyysiset mitat olisikin pieniä), ja ohjelmiston kehittäjä ei pysty kontrolloimaan kaikkien osatekijöiden tulevaisuuden kehityssuuntia.

 

    Ohjelmiston toiminta voi riippua (ja lähes aina riippuukin) jonkun toisen ohjelmiston tai laitteen rajapinnan toiminnasta.

Voi riippua. Ja tämmöisiä riippuvuuksia kannattaa pyrkiä välttämään mahdollisimman paljon eikä vain kiskaista mukaan joka fidun kirjastoa vain siksi, että siellä on hieman sopivampi versio strcmp():stä. Yksi viime vuosien suurimmista tietoturvaexploiteista tuli suuressa kirjastossa olleesta aivan mitättömästä ja sen kirjaston kannalta merkityksettömästä, rikkinäisestä funktiosta. Tämmöisiä ei saisi vain olla. Kyllä, vaatii energiaa kirjoittaa enemmän itse, mutta kirjastojen käytön vähentäminen parantaa

Miten välttää riippuvuutta kun kaikista laitteista tehdään internet-riippuvaisia? Itsellä kännykkä, tietokone ja televisio ainostaaan netissä. Televisio netissä kiinni siksi että ergonomian takia ohjelmia helpompi katsoa tv:stä kuin tietokoneen ruudulta pidempiä aikoja. Kännykässäkin netti lähinnä siksi että tarvittaessa voi sään katsoa tai sijainnin kartalta kun jos on metsävaelluksella. Mutta näissäkin niin jos ennemmin loppuu tuki ohjelmistoille ja tietoturvalle kuin tekniikka hajoaisi mikä on raivostuttavaa kun laite muuten toimisi mutta ohjelmistot "muka vanhenee" eikä voida enää päivittää. Tahallaan tehdään ohjelmistoistakin pelkkää paskaa nykyään.

Vierailija kirjoitti:

Vierailija kirjoitti:

(jatkuu)

 

    Toinen iso syy on se, että tuotteet ja ohjelmistot ovat isoja kokonaisuuksia (vaikka tuotteen fyysiset mitat olisikin pieniä), ja ohjelmiston kehittäjä ei pysty kontrolloimaan kaikkien osatekijöiden tulevaisuuden kehityssuuntia.

 

    Ohjelmiston toiminta voi riippua (ja lähes aina riippuukin) jonkun toisen ohjelmiston tai laitteen rajapinnan toiminnasta.

Voi riippua. Ja tämmöisiä riippuvuuksia kannattaa pyrkiä välttämään mahdollisimman paljon eikä vain kiskaista mukaan joka fidun kirjastoa vain siksi, että siellä on hieman sopivampi versio strcmp():stä. Yksi viime vuosien suurimmista tietoturvaexploiteista tuli suuressa kirjastossa olleesta aivan mitättömästä ja sen kirjaston kannalta merkityksettömästä, rikkinäisestä funktiosta. Tämmöisiä ei saisi vain olla. Kyllä, vaatii energiaa kirjoitta enemmän itse, mutta kirjastojen käytön vähentäminen parantaa

Miten välttää riippuvuutta kun kaikista laitteista tehdään internet-riippuvaisia? Itsellä kännykkä, tietokone ja televisio ainostaaan netissä. Televisio netissä kiinni siksi että ergonomian takia ohjelmia helpompi katsoa tv:stä kuin tietokoneen ruudulta pidempiä aikoja. Kännykässäkin netti lähinnä siksi että tarvittaessa voi sään katsoa tai sijainnin kartalta kun jos on metsävaelluksella. Mutta näissäkin niin jos ennemmin loppuu tuki ohjelmistoille ja tietoturvalle kuin tekniikka hajoaisi mikä on raivostuttavaa kun laite muuten toimisi mutta ohjelmistot "muka vanhenee" eikä voida enää päivittää. Tahallaan tehdään ohjelmistoistakin pelkkää paskaa nykyään.

Vanhan liiton ohjelmoija taas täällä terve.

Kännykkä on sellainen laite, joka tarvitsee luonnostaan nettiyhteyden. Televisiosta voidaan jo keskustella. Itse en ole omalleni antanut tietoturvasyistä yhteyttä, vaan katson nettiohjelmia läppärin välityksellä. Tällä tavalla on yksi vaarallinen yhteys vähemmän.

Sitten on laitteita, kuten Ecoflow-akkupaketti. Se haluaa yhteyden kiinalaiseen serveriin ja ellei sitä sille anna, ei pääse appilla säätämään muutamia tärkeitä parametreja. Tämä on yksikäsitteisesti väärin. Tein sitten niin, että tein wifi-kotiverkkoon väliaikaisen yhteyden, annoin sen Ecoflowlle, ja heti kun olin säätänyt laitteeni halutun mukaiseksi, poistin wifiyhteyden. Tuolla laitteella ei ollut MITÄÄN oikeaa perustelua päästä kiinalaiselle palvelimelleen, mutta kun vakoilu on kivaa. Juuri tämmöisistä jutuista pitäisi päästä kokonaan eroon.

Bluetooth-yhteydellä toimivat laitteet ovat okei, mutta internetiin ja sen kautta kotiverkkoon yhteyden ottavat eivät ole. Eivätkä sellaiset, jotka välttämättä vaativat jonkin epävarman appin toimiakseen. Se appi lakkaa kuitenkin toimimasta viimeistään parin vuoden kuluttua.

Nykyään näitä sysipaskoja on jo vaikea välttää. EU voisi tehdä tässä uroteon ja kieltää moiset kotiinsoittosysteemit kokonaan.

Vierailija kirjoitti:

Ja tämä yllätti kenet? Laitteiden käyttöikä helppo romuttaa pieneksi sanonalla "sori tähän 3 vuotta vanhaan kännykkään ei saa enää päivitystä niin osta tästä 700e uus kännykkä'

Juu, ja se 3 vuotta alkoi sitten mallin julkaisupäivästä eikä puhelimen ostopäivästä. Eli jos puhelimesi on vaikka 2 vuotta vanha malli niin luvassa voikin olla tukea vain vuodeksi järjestelmäpäivitysten osalta. Eikä tätä tietenkään viitsitä kertoa ostajalle. 

"Tämä ei tietenkään pidä alkuunkaan paikkaansa. Laitteelle, jota valmistetaan 100 kpl, ei tule ikinä tulemaan spesifistä exploittia, kun taas laitteelle jota valmistetaan 100 miljoonaa kappaletta, kannattaa hakkereiden etsiä aukkoja urakan kanssa."

Ja hölön pölön taas vaihteeksi. Jos tietoturvasi perustuu siihen ettei sitä varmaan kukaan viitsi murtaa niin jo perusasenteesi varmistaa että systeemisi on turvaton. 

Toinen juttu on sitten se, että täysin uniikkia laitteistoa ei vaan ole koska kaikki valmistajat tai jopa käsin komponenteista itse laitteensa rakentavat ja suunnittelevat käyttää valmiita järjestelmäpiirejä eri toimintoihin ja noissa ja niiden ajureissa niitä reikiä just on.

Muuten eksploitin todennäköisyys riippuu siitä miten arvokasta tietoa tai muuten kiinnostavia asioita sen murtamisella voi saavuttaa. Eli jos mietitään valtiollisia toimijoita niin aika paljon vaivaa nähdään jonkun sopivan kohteen murtamiseen vaikka laitteisto olisi vain siihen tiettyyn tarkoitukseen rakennettu. Vaikka jonkun maan ydinaineksen prosessointilaitteet joita kuulemma rikottiin tarkoitukseen rakennetulla viruksella. 

Bluetooth-yhteydellä toimivat laitteet ovat okei, mutta internetiin ja sen kautta kotiverkkoon yhteyden ottavat eivät ole. Eivätkä sellaiset, jotka välttämättä vaativat jonkin epävarman appin toimiakseen. Se appi lakkaa kuitenkin toimimasta viimeistään parin vuoden kuluttua.

Yksi juttu unohtui vielä, jonka jokaisen kannattaisi muistaa: jos tietosi ovat pilvessä, ne eivät ole sinun tietojasi. Ne ovat sen firman tietoja, jonka palvelimilla ne ovat. Ne voivat kadota koska vaan, ne voidaan varastaa koska vaan. Yllättävän harva tätäkin jaksaa ajatella, kun Google Docsissa on niin helppo pitää salaisia laskelmiaan.

"Bluetooth-yhteydellä toimivat laitteet ovat okei" 

Joo ei ole. Riippuen protokollan versiosta, laitteen tasosta, siitä miten innolla valmistaja julkaisee turvapäivityksiä ja ties mistä noiden kanssa voi olla aikamoinen päänsärky. 

Vierailija kirjoitti:

Ja tämä yllätti kenet? Laitteiden käyttöikä helppo romuttaa pieneksi sanonalla "sori tähän 3 vuotta vanhaan kännykkään ei saa enää päivitystä niin osta tästä 700e uus kännykkä'

Jep. Kokeilin vanhaa samsung galaxy s7 (2016)  ja ihan nopeasti se toimi, nopeammin kuin nykyiset halpiskännykät. Parempi näyttö myös. Sama juttu oneplus 7 pro (2019) kanssa.

Ihan käyttökelpoisia olisivat jos saisivat päivityksiä.

Kiitos Sipilä ja digitaalisaatio!

Vierailija kirjoitti:

"Tämä ei tietenkään pidä alkuunkaan paikkaansa. Laitteelle, jota valmistetaan 100 kpl, ei tule ikinä tulemaan spesifistä exploittia, kun taas laitteelle jota valmistetaan 100 miljoonaa kappaletta, kannattaa hakkereiden etsiä aukkoja urakan kanssa."

Ja hölön pölön taas vaihteeksi. Jos tietoturvasi perustuu siihen ettei sitä varmaan kukaan viitsi murtaa niin jo perusasenteesi varmistaa että systeemisi on turvaton. 

Tulkitset tekstiäni (tahallaan?) väärin.

Ei tietoturva saa perustua siihen, että laite on vähän tunnettu (security by obscurity). Mutta on aika eri asia, kehitätkö uusinta Playstationia vai rakennatko naapurin Penalle Internet-lämpömittarin. Kriittiset järjestelmät, ja sellaiset järjestelmät joihin propellihatut haluaisivat kernaasti päästä käsiksi (esim. se Playstation), pitää luonnollisesti suojata paremmin ja isommalla rahalla.

Oman firmani laitteiden internet-yhteys perustuu firmassa itsessään kehitettyyn, talomme ulkopuolella huonosti tunnettuun wifi-rautaan. Meillä on ikioma ja salainen prosessoriarkkitehtuuri, ja siksi myös itse kirjoitetut ajurit. Voin taata, ettei meidän laitteissamme toimi mikään tunnetetu exploitti. Meidän ajurissamme on varmasti sitten ihan omat reikänsä, mutta laitteita valmistetaan niin vähän ja yrityksemme on niin huonosti tunnettu, että on vaikea kuvitella kenenkään ihan heti löytävän mahdolliset reikämme. Eli security by obscurity ei ole ainoa turvamme, mutta se on osa siitä, ja yksi myyntivalttimme hyvin pienelle ja eksklusiiviselle markkinalle.

Toinen juttu on sitten se, että täysin uniikkia laitteistoa ei vaan ole koska kaikki valmistajat tai jopa käsin komponenteista itse laitteensa rakentavat ja suunnittelevat käyttää valmiita järjestelmäpiirejä eri toimintoihin ja noissa ja niiden ajureissa niitä reikiä just on.

Onhan niitä. Siksi ohjelmistojen kannattaa luottaa niin pieneen määrään ulkoisia kirjastoja kuin mahdollista. Täydellistä tietoturvaa ei tietenkään ole olemassakaan, mutta todennäköisyyksiä voi parantaa. Parasta tietenkin, ellei laitteessa ole Internet-yhteyttä lainkaan. Esim. Bluetoothin kautta on helpompi tehdä turvallisehko yhteys kuin Internetin läpi.

Muuten eksploitin todennäköisyys riippuu siitä miten arvokasta tietoa tai muuten kiinnostavia asioita sen murtamisella voi saavuttaa. Eli jos mietitään valtiollisia toimijoita niin aika paljon vaivaa nähdään jonkun sopivan kohteen murtamiseen vaikka laitteisto olisi vain siihen tiettyyn tarkoitukseen rakennettu. Vaikka jonkun maan ydinaineksen prosessointilaitteet joita kuulemma rikottiin tarkoitukseen rakennetulla viruksella. 

Kyllä.

"Tulkitset tekstiäni (tahallaan?) väärin.

Ei tietoturva saa perustua siihen, että laite on vähän tunnettu (security by obscurity). Mutta on aika eri asia, kehitätkö uusinta Playstationia vai rakennatko naapurin Penalle Internet-lämpömittarin. Kriittiset järjestelmät, ja sellaiset järjestelmät joihin propellihatut haluaisivat kernaasti päästä käsiksi (esim. se Playstation), pitää luonnollisesti suojata paremmin ja isommalla rahalla.

Oman firmani laitteiden internet-yhteys perustuu firmassa itsessään kehitettyyn, talomme ulkopuolella huonosti tunnettuun wifi-rautaan. Meillä on ikioma ja salainen prosessoriarkkitehtuuri, ja siksi myös itse kirjoitetut ajurit. Voin taata, ettei meidän laitteissamme toimi mikään tunnetetu exploitti. Meidän ajurissamme on varmasti sitten ihan omat reikänsä, mutta laitteita valmistetaan niin vähän ja yrityksemme on niin huonosti tunnettu, että on vaikea kuvitella kenenkään ihan heti löytävän mahdolliset reikämme. Eli security by obscurity ei ole ainoa turvamme, mutta se on osa siitä, ja yksi myyntivalttimme hyvin pienelle ja eksklusiiviselle markkinalle."

Täytyy toivoa että muu koodariporukkanne on käynyt edes jonkun tietoturvan peruskurssin.

Ihan yhtä äkkiä sen playstationin murtaa kuin oman rautanne omine drivereineen. Kun siis kyse on ammattilaisista eikä jostain skriptiteineistä jotka ehkä on riippuvaisia muiden osaamisesta ja netistä löytyvistä eksploiteista. Ylipäänsä tietoturvan perusasioita on olla keksimättä kaikkea itse uudelleen kuten sinä just kerrot firmasi tehneen.

Voit muistaa että kovin vahva luotto vastaamonkin tietotekniikkajohtajalla oli omaan osaamiseensa. Kaikki tuntemani (osaavat) tietoturva-ammattilaiset on jossain määrin paranoideja.