MURHA.INFO

Nyt on taas vuorostaan Pentagoni ryssinyt ja isolla ärrällä! Pitäisiköhän suurvaltojen ja ei niin suurvaltojen lopettaa helvetinkoneiden rakentaminen, sillä ne luovat isoja ongelmia nyt ja tulevaisuudessa? Ydinkärjet lienee tästä paras esimerkki, mutta nykyaika tuo myös nykyuhat, missä Usan puolustusministeriön sotanyrkki Pentagon, on kyllä ollut melkoisen hakoteillä.

Kyse on siis tietoturvallisuuden laiminlyönneistä ja koskee useiden alustojen asejärjestelmien käyttöä - joko niiden käytön häirinnästä tai pahimmillaan niiden täydellisestä hallinnasta. Pentagonin ja laiterakentajien eri turvallisuusluokitukset ovat sekoittaneet pakkaa entisestään ja esimerkiksi salasanoja on jäänyt valmistajan helpostiarvattaviksi oletuksiksi.

Usan hallituksen itsearviointivirasto GAO on varoittellut Pentagonia tietotuvallisuusriskeistä jo vuodesta 1997 (kuinka tarkasti, jäi itselle auki) ja nyt nuo uhat vaikuttavat realisoituneen, mutta onneksi vain valkohattujen taholta - he onnistuivat murtautumaan esim. F-35 lentolaitteen asejärjestelmiin vain minuuteissa ja täydellinen hallinta saatiin alle tunnissa. Asia nousi esiin, kun GAO:a pyydettiin arvioimaan Pentagonin tuotteiden kyberturvauhkia. Puolustusministeriö (DoD) joutui havahtumaan karmaiseviin realiteetteihin vaikkapa salasana-hallinnon puutteissa monella eri tasolla, minkä vuoksi hakkerit pääsivät vain minuuteissa käsiksi asejärjestelmiin ihan [hakkerin] perustyökaluja käyttäen.

Hakkerit saattoivat esimerkiksi seurata livenä, mitä hävittäjä-ässä näkee ja kommunikoimaankin tämän kanssa. Yksi ongelmapiste, joka nousi esiin on juuri kypärä, sillä se on aktiivinen osa sotakoneen tietojärjestelmää, eräänlaista tappavaa nettiä, minkä kautta kyetään uimaan järjestelmään sisälle, kun tietoturvallisuuden taso on matala.
Yhdessä tapauksessa hakkerit kykenivät luomaan ponnahdusikkunan aseenkäyttäjän näkymään, missä käskettiin "syöttämään kaksi markkaa jatkaaksesi".

Voi vaan kuvitella, mitä nämä aukot järjestelmissä tositilanteessa merkitsisivät, saattaisivat vaikka sodan ihan ohimennen laukaista; usean aluksen samanaikainen aseidentyhjennys tiettyihin kohteisiin voisi olla vaikea selitellä jälkeenpäin "hakkerihommiksi", uumoilen?


Pahoittelen puolivillaista matkapuhelinavausta, mutta aihe oli niin mielenkiintoinen (koskien myös Suomea johtuen F-35 hävittäjahaaveilusta), että toin tänne, jotta asia saisi edes hieman julkisuutta myös Suomeksi. Tulen kirjaamaan lisätietoa, jos aihe vaikuttaa kiinnostavan.

Lisätietoa:
- https://www.zdnet.com/article/pentagon- ... y-to-hack/ https://www.gao.gov/mobile/products/GAO-19-128
- https://www.gao.gov/assets/700/694913.pdf (täysi rapsa)

Tällaiset jutut kyllä kiinnostavat ehdottomasti, kun on tullut kuitenkin oltua tietokoneiden kanssa tekemisissä oikeastaan lapsesta saakka. Joskus aikonaanhan sitä kavereiden kanssa naureskeltiin, että kohta ne on tankit ja ydinohjuksetkin nettiyhteyksien päässä niin ei tarvitse kuin pari tyyppiä eliminoimaan koko Yhdysvaltojen tai Venäjän puolustuksen - eikä niiden tyyppien tarvitse edes poistua kotoaan. Nykyään se saattaa olla ainakin osin jopa oikeasti mahdollista toisin kuin joskus 15 vuotta sitten, jolloin asialla lähinnä vitsailtiin. Tuntuisi kyllä, että tuskin mitkään vitaalit jutut kuten vaikka ydinvoimalat ovat verkkoyhteydessä siten, että niihin pääsisi tunkeutumaan internetin kautta. Mutta toisaalta niitä kaikkia järjestelmiä käyttävät ihmiset, jotka ovat riittävän typeriä jättääkseen salasanoja oletuksiksi (tai sitten korvaavat ne sanoilla Password tai 12345678), joten kun tällainen tyyppi menee sähläämään johonkin väärään verkkoon omalla tietokoneellaan, joka on samanaikaisesti yhteydessä julkiseen verkkoon, ollaankin jo ongelmien äärellä. Ihmiset tuntuvat edelleen olevan erittäin leväperäisiä tietoturvajuttujen kanssa, vaikka työskentelisivät missä. Se on sama kuin rakentaisi arvotavaralle turvaholveja ja sitten palkkaisi työntekijöitä, jotka jättäisivät lukot auki ja ovet selälleen.

En nyt ehtinyt perehtyä noihin linkkeihin tarkemmin, mutta yritän kyllä myöhemmin. Mitä kautta järjestelmiin tarkalleen ottaen tunkeuduttiin? Pitääkö murtautujan olla fyysisesti jossain hyvin lähellä niitä armeijan verkkoja tai jopa päästä kiinnittelemään piuhoja johonkin? Se nimittäin rajoittaa aika lailla sitä oikeaa hyökkäysmahdollisuutta.

Ihan hauska tuo maininta valkohatuista. Jos nimittäin joku black hat on päässyt tekemään saman, Pentagon siitä tuskin huutelee. Tekeehän se puolustusjärjestelmän vähän epäuskottavaksi, jos joku 12-vuotias kräkkerinalku pääsee laukaisemaan hävittäjien ohjukset oman lentokonehallin seinään tai ohjailemaan sukellusveneet matalikoille. Me emme tiedä, mitä kaikkea rikolliset tahot ovat jo tehneet, koska niistä vaietaan.

Hyvä, että muitakin kiinnostaa! Mielestäni tällainen möhläily kuuluisi ihan oikeisiinkin uutisiin, kun iso osa kansasta ihailee moderneja sotakoneita kuin jumalaa ja kuvittelee, ettei sellaiselle kyetä aiheuttamaan merkittävääkin ysköstä tarvittaessa.

Väittävät, että tämä möhläily koskettaa vain uuden sukupolven aseita, mutta tulee väkisinkin mieleen "predatorit", "reaperit" ja "tomahawkit" yms, miten ovat muka ennen osanneet tietoturvan, mutta nyt olisi alettu laiminlyömään, kun parempaa järjestelmää tekevät. Selityksenä varmaankin osittain on uuden järjestelmän monimutkaisuus ja se, että useammat laitteet ovat ip-pohjaista teknologiaa, jotka taas ovat useilta eri valmistajilta "haalittua". Alemmat tasot eivät välttämättä tiedä mihin laitetta käytetään, eikä ylemmät tasot välttämättä ymmärrä, mitä alempana ollaan tehty.

Rorschach kirjoitti:Mutta toisaalta niitä kaikkia järjestelmiä käyttävät ihmiset, jotka ovat riittävän typeriä jättääkseen salasanoja oletuksiksi (tai sitten korvaavat ne sanoilla Password tai 12345678), joten kun tällainen tyyppi menee sähläämään johonkin väärään verkkoon omalla tietokoneellaan, joka on samanaikaisesti yhteydessä julkiseen verkkoon, ollaankin jo ongelmien äärellä. Ihmiset tuntuvat edelleen olevan erittäin leväperäisiä tietoturvajuttujen kanssa, vaikka työskentelisivät missä. Se on sama kuin rakentaisi arvotavaralle turvaholveja ja sitten palkkaisi työntekijöitä, jotka jättäisivät lukot auki ja ovet selälleen.

Ongelmana oli joissain tapauksissa, että löyhä salasanakäytäntö ei tullut esille, koska asiasta jotain ymmärtävillä ei ollut riittävää turvallisuusluokitusta (mutta hakkereilla sellainen nähtävästi sitten oli...), eikä koko uuden sukupolven aseita koskenut tietoturvakulttuurittomuus paljastunut. Vaarallisimmalle kuulosti ehkä tieto, ettei osa puolustusministeriön asiaankuuluvista edes tiennyt, että tietoturvallisuus koskettaisi sotakoneita!

Rorschach kirjoitti:Tuntuisi kyllä, että tuskin mitkään vitaalit jutut kuten vaikka ydinvoimalat ovat verkkoyhteydessä siten, että niihin pääsisi tunkeutumaan internetin kautta.
//
En nyt ehtinyt perehtyä noihin linkkeihin tarkemmin, mutta yritän kyllä myöhemmin. Mitä kautta järjestelmiin tarkalleen ottaen tunkeuduttiin? Pitääkö murtautujan olla fyysisesti jossain hyvin lähellä niitä armeijan verkkoja tai jopa päästä kiinnittelemään piuhoja johonkin? Se nimittäin rajoittaa aika lailla sitä oikeaa hyökkäysmahdollisuutta.

Näin juuri, turhaa työtä tehdään, kun toisaalla mokataan suojaukset. Ymmärsin, että heille tarjottiin liityntäpinta. Tämä jo siksikin, että järjestelmä on vasta rakenteilla, eikä siksi aiheita laajempaa vaaraa (tai näin tiedottavat). Seuraava kuva kertoo paljon: Järjestelmä eli tietoverkko on varmasti eristetty omaksi verkoksi, johon ei ole julkisen verkon kautta pääsyä, mutta ihmiset ovat huolimattomia ja auttavaisia luonteeltaan, puhumattakaan kieroudesta tai ahneudesta, soluttautumisen riski ja seuraukset ovat myös suurempia kuin koskaan. Toinen asia on se, että vieraan vallan kalustoa päätyy aina viholliselle, nyt sen avulla kyetään tekemään vaan isompia kepposia ja nopeammin kuin koskaan. Jo yksittäinen sotavanki saattaa kyetä tarjoamaan liityntäpinnan ohjuksien laukaisuun tai muiden iskujen tilailuun omien niskaan.

Tässä yhteydessä ottaisin esille valtiorakenteisen "Stuxnet" -viruksen, joka tuhosi iranilaisen ydinlaitoksen ja (tästä ei ole huudeltu, mutta enpä näe syytä salatakaan kämmäilyä) suomalaisen terästehtaan loppupään polvilleen. Tuossa virus levisi usb-porttiin kytketystä laitteesta - sen ei tarvinnut olla muistitikku, joiden käytöstä ollaan kyllä varoiteltu useilla työpaikoilla.

Joissain tapauksissa kukaan ei muuten edes huomannut, että järjestelmään ollaan hakkeroiduttu. Ei, vaikka yrittivät kuinka tulla näkyväksi ja "heippailla"!