ja muut uroteot

TUTKIMUS, MATKAT
LISTAAMATON

Digitaalisuoja

Sisällysluettelo

Lyhyesti

Kirjoitus sisältää kokoelman ajatuksia, miten suojautua digitaalisesti.

Artikkelihistoria

  • 2021-11-17 Lisätty luottokorttiharhautus.
  • 2021-08-13 Tarkistettu teksti.
  • 2020-12-17 Päivitetty viestintäsovellukset sekä lisätty varmuuskopiointiin Tulostin.
  • 2020-11-12 Lisätty huomio Vastaamosta.
  • 2017-08-12 Teksti julkaistu.
  • 2017-07-27 Teksti aloitettu.

1. Motivaatio

Digitaalisen suojauksen eli tietoturvan merkitys on kasvussa. Ihmisten resurssit ja identiteetit, siis elämä ylipäänsä, on siirtymässä digitaaliseen maailmaan – ainakin osittain. Enää ei ole kyse ainoastaan omien reissukuvien menettämisestä vaan myös kasvavassa määrin omien digitaalisten identiteettien suojelusta. Lisäksi kun jokaisen henkilökohtaisia laitteita voidaan käyttää hyväksi palvelunestohyökkäyksissä kolmansia osapuolia vastaan, niin hyvä tietoturva on oikeastaan jo kansalaisvelvollisuus.

Tunnettuja tietoturvaloukkauksia viime vuosilta ovat esimerkiksi Suomen Ulkoministeriön vakoilutapaukset (viite) sekä toimitusjohtajahuijaukset (viite), jollaisella vast'ikään huijattiin 17,2 miljoonaa euroa pörssiyhtiö Konecanesin tytäryhtiöltä (lähde). Lisäksi muun muassa Yhdysvaltojen Kansallinen turvallisuusvirasto (NSA) onnistui vakoilla vuosikymmenen ajan lukuisia valtioita ja henkilöitä, kuten esimerkiksi Saksan liittokansleri Angela Merkeliä (lähde). Merkittäviä tietokantavuotoja tapahtuu kuukausittain (lähde).

LISÄYS 2020-11-12: Vastaamo (viite).

2. Ongelma

Digitaalisten identiteettien ja resurssien suojaaminen eroaa merkittävästi perinteisestä fyysisestä maailmasta. Vaikka kadullakin varas voi viedä puhelimen, on globaali internet kasvottomana ja alati muuttuvana ympäristönä selvästi monimutkaisempi. Tietoturvaloukkauksien tekijöitä on usein vaikea saada kiinni.

Koska toimintaympäristö on monitahoinen ja jatkuvasti muuttuva, niin yhtä kaiken kattavaa ratkaisua ei ole olemassa, paitsi internet-yhteyksien sulkeminen ja kirjoituskoneiden käyttäminen (viite).

Kun täydellistä tietoturvaa ei voida käytännössä saavuttaa, on keskityttävä vaikuttavimpiin toimiin eli riskien hallintaan.

Autentikointi, siis miten tietokone tunnistaa ihmisen, on tietoturvan kenties keskeisin haaste. Tähän asti ratkaisu on ollut salasana, joka voidaan tallentaa mieleen ilman tarvetta säilyttää siitä kopiota missään muualla. Salasanan voi myös aina vaihtaa. Salasanan suurin heikkous on laiskat käyttäjät. Kun tarkastellaan ihmisten käyttämiä salasanoja julkisuuteen vuodetuista listoista, niin vain pienellä osalla käyttäjistä on hyvä salasana.

Varmuuskopiointi ja hajauttaminen ovat myös tehokkaita toimia digitaalisessa suojauksessa.

3. Käytännön ratkaisut

3.1. Yleistä

Aluksi on hyvä arvioida, mitkä palvelut ja järjestelmät ovat itselle kriittisimpiä, ja suojata ne ensimmäisenä. Useimmille se on puhelin, jolla ollaan kirjautuneena useisiin eri palveluihin sosiaalisesta mediasta sähköpostiin. Jos hyökkääjällä on pääsy kohteen sähköpostitiliin, niin hänellä on pääsy kaikkialle, missä kyseinen sähköpostiosoite on käytössä. Hyvä PIN-koodi on vähimmäistaso puhelimen suojauksessa.

Valistunut käyttäjä seuraa Viestintäviraston tiedonantoja (viite) sekä ilmoittaa käyttämänsä sähköpostiosoitteet ja käyttäjätunnukset have i been pwned? -palvelulle, joka kertoo, jos tiedot vuotavat jonkin tietojärjestelmämurron yhteydessä (viite).

3.2. Salasanat

Salasanojen tulisi olla pitkiä, vaikeita ja uniikkeja, jotta niiden murtaminen olisi tietokoneille riittävän vaikeaa. Koska ihmisillä on käytössään nykypäivänä jopa satoja eri tunnuksia, on ymmärrettävää, että moni käyttäjä valitsee aina saman helposti muistettavan salasanan. On onneksemme olemassa kaksi eri keinoa vaikeiden eli hyvien salasanojen hallintaan.

Ensinnäkin salasanat voi tallentaa erilliseen ohjelmaan ja antaa ohjelman luoda vahvoja salasanoja. Tunnettuja hallintaohjelmia ovat esimerkiksi ilmainen KeePass (viite), pass (viite) sekä maksulliset 1Password (viite) ja LastPass (viite). Maksulliset salasanapalvelut integroituvat tyypillisesti selaimeen ja muihin laitteisiin.

Koska maksullisten palveluiden osalta joutuu luovuttamaan salasanakokoelman kolmannelle osapuolelle, jolloin konkurssin tai tietoturvavuodon yhteydessä saattaa menettää datan, niin on suositeltavaa muistaa ulkoa ainakin sähköpostipalvelun salasana, jonka avulla voi asettaa aina uuden salasanan palveluihin, joissa sähköpostiosoite on käytössä ja näin varmistaa, ettei joudu suuriin ongelmiin kolmannen osapuolen pettäessä.

Toisekseen on olemassa ovela tapa luoda pitkiä, turvallisia ja helposti muistettavia salasanoja, joita muiden ihmisten on vaikea arvata. Idea on luoda pitkiä lauseita itselle läheisestä asiasta, kuten yhdistämällä kaksi harrastusta ja lisätä lauseisiin vielä muutaman persoonallisellen muunnoksen. Esimerkiksi jos harrastaa kultaharkkoja ja lentoliskoja, niin hyviä salasanoja voisivat olla vaikkapa: UBS999!Ptero ja GoldHoldOrnitho69.

Vähintään kannattaa varmistaa, että käytössäsi on vahvat salasanat ainakin kriittisimmissä palveluissa.

Monet palvelut tukevat myös kaksivaiheista tunnistamista (2FA) (viite), jolloin salasanalla kirjautumisen lisäksi pitää syöttää tekstiviestinä saatu kertakoodi. Kaksivaiheisesta tunnistautumisesta ei tosin ole hyötyä, jos hyökkääjä saa puhelimen, missä on kirjautuneena sähköpostipalveluun.

Kaksivaiheinen tunnistautuminen on ongelmallinen myös ulkomailla, sillä jos puhelin varastetaan, niin et pääse kirjautumaan enää mihinkään palveluihin. Toisaalta osa palveluista tukee kertakäyttökoodeja, joilla voi ohittaa kaksivaiheisen tunnistautumisen.

3.3. Varmuuskopiointi

Varmuuskopioinnin merkityksen ymmärtää jokainen viimeistään ensimmäisen kovalevyn hajoamisen jälkeen.

Nykyään data on usein pilvessä, jolloin kaupalliset yritykset hoitavat varmuuskopioinnin käyttäjän puolesta. Tämä ei ole kuitenkaan täysin ongelmatonta, sillä kaupalliset yritykset menevät joskus konkurssiin, jolloin yrityksen omistajia ei välttämättä enää kiinnosta asiakkaiden data - ainakaan niin kauan kuin asiasta ei ole olemassa regulaatiota. Tästä syystä kriittisin data on tärkeä varmuuskopioida kolmannen osapuolen palveluun.

Amazon Glacier (viite) ja Google Storage (viite) ovat palveluita, joissa voi säilyttää suuria määriä dataa halvalla. Esimerkiksi Storagen hinta kirjoitushetkellä (2017-08-08) on 0,01 senttiä per gigatavu per kuukausi.

Varmuuskopioinnissa olennaista on säännöllisesti tarkistaa, että varmuuskopiointi toimii. Tästä kannattaa tehdä itselle vuosittain toistuva kalenterimerkintä, koska varmuuskopioita ei muuten tule tarkastaneeksi ennen kuin on myöhäistä.

Tulostimella voi varmuuskopioida digitaalista sisältöä fyysiseen maailmaan.

3.4. Ohjelmistopäivitykset

Pääsääntöisesti ohjelmistot on hyvä pitää ajantasalla. Automaattiset päivitykset ovat useimmille kätevin tapa.

3.5. Virustutka

Virustutkien merkitys on yleistä käsitystä pienempi, sillä tyypillisesti uudet virukset leviävät nopeammin kuin virustutka on päivitetty.

Selaimessa on hyvä käyttää mainonnanestosuodatinta, kuten uBlock Originia (viite).

3.6. Viestintä

Viestinnän salauksesta ei tarvitse peruskäytössä murehtia, mutta jos haluaa viestiä niin, ettei kolmas osapuoli pääse siihen käsiksi, niin hyviä sovelluksia ovat kirjoitushetkellä kryptatut sähköpostit, Signal (viite) ja Tor-verkko (viite) (2020-12-17).

3.7. Kodin verkkolaitteet

Tietokoneiden ja puhelimien lisäksi kodin lähiverkon reitittimien ja kytkimien sekä tietenkin televisioiden, jääkaappien, web-kameroiden, itkuhälyttimien ja kaikkien muiden verkossa olevien laitteiden oletussalasanat tulee vaihtaa. Lisäksi IP-rangen vaihtaminen epätavalliseksi parantaa tilannetta merkittävästi. Omaa IP:tä vasten saa ajaa porttiskannauksen, jolla voi selvittää omia haavoittuvuuksia.

Kaikkien laitteiden järjestelmäpäivitykset on hyvä pitää ajantasalla. Kirjoitushetkellä regulaation puutteesta johtuen laitevalmistajat eivät aina tarjoa ajantasaisia järjestelmäpäivityksiä (2017-08-21).

3.8. Fyysinen maailma

Kirjoituksessa on tähän asti käsitelty digitaalisen maailman tietoturvaa, mutta mainittakoon tässä kohtaa sananen myös fyysisen maailman tietoturvasta.

Vakuutuksilla voidaan turvata omaisuutta, jonka voi rahalla korvata, mutta on huomattava, etteivät vakuutukset ole yleensä voimassa kaikissa tilanteissa (viite).

Tärkeitä asiakirjoja, kuten testamenttiä, voi säilyttää kassakaapissa tai pankin tallelokerossa. Kassakaappi voidaan varastaa ja lisäksi sen palokestävyys on tyypillisesti vain tunnin luokkaa. Pankkien tallelokerot sen sijaan ovat paremmin suojattuja, mutta niihin liittyy pakkokollektivoinnin riski, joka tosin on historiallisesti katsottuna harvinainen.

Testamentin tekeminen kannattaa, jos varallisuutta on paljon ja sen haluaa jakaa poikkeuksellisella tavalla. Testamentin laadintaan tarvitaan kaksi todistajaa ja jotta sen muotovaatimukset täyttyvät, on hyvä käyttää asianajotoimistoa tai lukea kirja (viite). On myös hyvä miettiä, haluaako lisätä digitaalisten palveluiden tunnukset testamenttiin ja esittää toive, mitä niillä tulisi tehdä.

Varsinkin matkoilla, mutta miksei muulloinkin, on hyvä kantaa mukana yhteystietoja luottokortin sulkupalveluun, matkavakuutuksen tarjoajaan sekä lähiomaisiin. Näitä tietoja ei tule säilyttää lompakossa tai puhelimessa, koska ne varastetaan ensimmäisenä. Luottokortin taakse voi kirjoittaa harhautukseksi väärän turvakoodin (PIN-koodin).

4. Yhteenveto

Tietoturvan merkitys kasvaa samalla kun elämämme siirtyvät kiihtyvällä vauhdilla digitaaliseen maailmaan. Aiheeseen kannattaa syventyä aiemmin kuin myöhemmin.

Tietoturvaan ei ole olemassa yhtä kaiken kattavaa ratkaisua, vaan on olemassa ainoastaan joukko hyviä käytäntöjä. Vaikuttavimmat toimet ovat vahvat salasanat, hajauttaminen sekä säännölliset ohjelmistopäivitykset.