Windows-koneiden tiedostot on helppo varastaa
12
Kimmo Rousku demosi, miten XP-koneen tiedostot saa koneesta ilman käyttäjätunnusta usb-muistitikulle.
Suomalainen tietokirjailija on paljastanut Windowsin tietoturvaan liittyvän ominaisuuden, jonka avulla koneen tiedostot voi helposti päästä kopioimaan tai tuhoamaan. Ominaisuus on Microsoftin tiedossa, mutta yhtiö ei ole aikeissa muuttaa sitä.
Tietokirjailija ja vapaa toimittaja Kimmo Rousku piti havainnoistaan tänään tiedotustilaisuuden, jossa hän esitteli, miten Windows XP -koneen tiedostoihin pääsi helposti käsiksi Windows Vistan asennusmedialla ilman käyttäjätunnusta ja salasanaa.
Kone buutattiin Vistan asennuslevyltä, sieltä valittiin Windowsin korjaustyökalu ja komentorivi. Muita ohjelmia tai työkaluja ei ntfs-osion tiedostovarkauteen tarvita.
Helppo tapa varastaa tiedostot
Tämän jälkeen koneen tiedostot sai kopioitua helposti komentorivilltä usb-muistille. Niihin on täydet oikeudet, joten tiedostot voidaan myös tuhota. Windowsin tapahtumalokista näkee, että kone on käynnistetty, mutta omistaja ei voi nähdä, että tiedostoja on varastettu.
"Windowsin tiedostojen salaukseen on ollut purkuohjelmia aiemminkin, mutta ei näin helppoa tapaa", Rousku sanoi Vistan asennusmediaan viitaten. Ominaisuus on niin Vistan englanninkielissä kuiin suomenkielisissä koti- ja yrityskäyttöön tarkoitetuissa versioissa.
Cd-, dvd- ja usb-buuttaukset ovat riski
Rousku neuvoo kuluttajia ja yrityksiä suojautumaan uhkalta siten, ettei koneen sallita normaalisti käynnistyä cd- ja dvd-levyn tai usb-muistin kautta. Sen lisäksi biosiin pitää kytkeä salasana siten, ettei käynnistysjärjestystä pääse muuttamaan ilman lupaa. Myöskään efs-salauksella suojattujen (encrypted file system) tiedostoja ei pääse avaamaan Windows PE -komentorivin kautta.
Kone ei myöskään ole altis tietovarkaudelle, jos tiedostot on salattu 64-bittisen Vistan bitlocker-toiminnolla tai aiemmissa Windows-ympäristöissä kolmansien osapuolten salausohjelmilla, joita esimerkiksi Pointsec ja Utimaco tarjoavat.
Rousku arvioi, että yrityskäytössä useimmissa kannettavissa olisi jo tiedostojen kryptaus käytössä, tai sen ainakin pitäisi olla, mutta pöytäkoneissa salaus ei vielä ole itsestäänselvyys.
"Uskon, että Vistan seuraajassa on bitlockerin kaltainen salaus jo kaikissa versioissa", Rousku spekuloi. Hän ihmetteli myös, miksi asiasta ei ole tiedotettu tavallisille käyttäjille, vaan todennäköisemmin siitä tietävät tällä hetkellä rikolliset.
Microsoft puolustaa ominaisuutta
Rouskun tiedotustilaisuudessa sai puheenvuoron Microsoftin tietoturvajohtaja Kimmo Bergius, jonka mukaan ominaisuus on harkittu.
"Tietoturvassa on tasapainoiltava käytettävyyden kanssa. Tämä ominaisuus perustuu käyttäjätuesta saatuihin kokemuksiin", Bergius sanoi.
Bergiuksen mukaan käyttäjien autentikointia konsolitilassa ei voida vaatia, koska ei voida luottaa siihen, että Windowsin rekisteri toimii vikatilanteissa. Konsolitila on tarkoitettu juuri vianselvitykseen.
Suojautumiseen ohjeet netissä
Kimmo Rousku on julkaissut ominaisuuteen liittyvät tarkat kuvaukset ja suojautumisohjeet nettisivuillaan. Hän oli asiasta yhteydessä Microsoftin helmikuun 8. päivä. Microsoft selvitti asiaa ja totesi sen harkituksi ominaisuudeksi.
"Jos tästä ei kerrottaisi laajasti, riski olisi että tavalliset käyttäjät eivät osaisi suojautua siltä. Rikolliset tietävät asiasta kuitenkin", Rousku perusteli asian julkituomista tiedotustilaisuudessa.
Kimmo Bergius sanoi, ettei kyseessä ole uusi asia, eikä Microsoft ole salaillut ominaisuutta, vaan on keskittynyt sen esittelemisen sijasta neuvomaan tietoturvassa. Bergius myös muistutti, että jos Windows aina oletusarvoisesti kryptaisi tiedostot, se voisi aiheuttaa kuluttajille ongelmia, kun nämä hävittäisivät salasanansa.
Seuraavaan, ensi vuonna tulevaan palvelin-Windowsiin tiedostojen kryptaus tulee kaikkiin versioihin. Bergius ei osannut vielä sanoa, onko ominaisuus tulossa Vistan seuraajaan.
Kimmo Bergius sanoi, ettei kyseessä ole haavoittuvuus, vaan vikatilanteiden korjaamisen mahdollistamiseksi tehty harkittu ominaisuus.
Kimmo Bergius sanoi, ettei kyseessä ole haavoittuvuus, vaan vikatilanteiden korjaamisen mahdollistamiseksi tehty harkittu ominaisuus.
