JavaScript is currently disabled.Please enable it for a better experience of Jumi.

Aalto-yliopiston ja Helsingin yliopiston tutkijat ovat löytäneet salasanojen hallintaohjelmista sekä useista muista tietoturvan kannalta kriittisistä ohjelmistoista haavoittuvuuksia, jotka mahdollistavat esimerkiksi työtovereiden, perheenjäsenten tai vieraiden hyökkäykset. Samankaltaisia aukkoja löytyi yli kymmenestä eri ohjelmistosta, joilla on miljoonia käyttäjiä maailmanlaajuisesti. Ongelmat koskevat Windows-, Linux- ja macOS-ohjelmistoja.

Tietokoneohjelmistot koostuvat prosesseista, joilla on eri tehtäviä. Esimerkiksi monissa salasanojen hallintaohjelmistoissa on kaksi erillistä osaa: salasanaholvi ja laajennus verkkoselaimeen. Tiedon välitystä osien välillä kutsutaan prosessien väliseksi kommunikaatioksi (inter-process communication, IPC). Se tapahtuu käyttäjän oman tietokoneen sisällä, ja sitä on pidetty turvallisena.

Ohjelmiston pitäisi kuitenkin suojata IPC-kanava muilta samalla tietokoneella olevilta ohjelmilta ja prosesseilta. Muuten tahallaan tai vahingossa käynnistetyt haittaohjelmat saattavat päästä IPC-kanavassa kulkeviin salasanatietoihin käsiksi.

- Löytämiemme haavoittuvien ohjelmistojen suuri määrä osoittaa, että ohjelmistokehittäjät eivät huomioi tietoturvallisuutta prosessien välisessä kommunikaatiossa. Ohjelmistokehittäjät eivät välttämättä tunne kommunikaatioon liittyviä tietoturvaratkaisuja tai he olettavat tietokoneen olevan täysin suojattu ympäristö. Joka tapauksessa molemmat selitykset ovat huolestuttavia. Vastaavia ongelmia löytyy luultavasti lisää, sanoo Aalto-yliopiston professori Tuomas Aura.

IPC-kommunikaatiota käyttäviä ohjelmistoja vastaan voi hyökätä kuka tahansa, jolla on pääsy samalle tietokoneelle. Esimerkiksi yrityksissä keskitetty käyttäjähallinta mahdollistaa kaikkien työntekijöiden kirjautumisen mille tahansa tietokoneelle. Tällaisessa ympäristössä jokaisella yrityksen työntekijällä on periaatteessa mahdollisuus väärinkäytöksiin. Hyökkääjä voi myös kirjautua koneen vierailijatilille tai käyttää konetta verkon yli, jos etäyhteyden ottaminen koneeseen on mahdollista.

Suomalaisten kannalta merkittävin haavoittuvuus löytyi DigiSign-kortinlukijaohjelmistosta, jota Väestörekisterikeskus tarjoaa esimerkiksi sähköisen henkilökortin ja terveydenhuollon ammattikortin käyttäjille. Lääkärin tietokoneelle pääsevä henkilö voisi hyödyntää tutkimuksessa löydettyjä haavoittuvuuksia. Esimerkiksi lääkemääräyksiä voisi väärentää muuttamalla IPC-kanavassa yhdestä ohjelmiston osasta toiseen allekirjoitettavaksi lähetettyä reseptiä.

- Tietääksemme DigiSign-ohjelmiston haavoittuvuuksia ei ole hyödynnetty ja käytetty väärin. Olemme raportoineet ongelman Väestörekisterikeskukselle, ja se on huomioitu ohjelmiston uusimmissa versioissa, Antikainen kertoo.

Kaikki tutkimuksessa löydetyt tietoturvaongelmat on raportoitu ohjelmistojen tekijöille. Tutkimus on tehty osin yhteistyössä tietoturvayritys F-Securen kanssa. Sen tulokset esiteltiin DEFCON-tietoturvakonferenssissa 12.8.2018 sekä uudestaan Usenix Security -konferenssissa 17.8.2018.

 

 
 

Pelottaako kuvien varmuuskopiointi verkkoon? Harkitse omaa pilveä

Viime vuonna otettiin huikeat 1,2 biljoonaa eli 1200 miljardia digitaalista valokuvaa1, joista noin 85 prosenttia älypuhelimilla. Kuvat säilyttävät muistojamme, jotta voimme palata myöhemmin niihin hetkiin, jotka muovaavat elämäämme ja kertovat tarinoitamme perheellemme ja ystävillemme. Puhelimen kadottaminen saattaa kuitenkin tarkoittaa myös näiden arvokkaiden muistojen hukkaamista. Niinpä on ehdottoman tärkeää varmistaa, että niistä on varmuuskopio.

Lue lisää...

Ledivalon himmennys käy kätevästi mikro-ohjaimella

Mikro-ohjaimeen perustuvan himmentimen avulla voi rakentaa energiatehokkaan hakkurimuotoisen LED-ajurin. Hyvällä hyötysuhteella toimiva ajuri kykenee ohjaamaan useita lediketjuja samanaikaisesti. Näin voidaan parantaa valaistusjärjestelmän suorituskykyä, pidentää ledivalojen elinikää ja lisätä järjestelmän älykkyyttä.

Lue lisää...
 
ETN_fi First truly black solar modules roll off industrial production line @AaltoUniversity https://t.co/ym11lOA2lL
ETN_fi Telian toimitusjohtaja: 5G-datassa kokeillaan uusia hintamalleja https://t.co/we8ryxGl4D @teliafinland
ETN_fi Nova 3 myyntiin Suomessa: Huawei tuo nyt tekoälyn massoille @HuaweiMobileFI https://t.co/uwv9v16tIF
ETN_fi Suomalainen kiihtyvyysanturi elää ja voi hyvin. Murata Electronics laajentaa Vantaalla: jopa 200 uutta työpaikkaa.… https://t.co/K9xs1ZcMQG
 
 

ny template