Kun aloin tosissani opetella tietotekniikkaa
Verkot, tietoturva ja se toinen puoli vuosina 2000–2004
Kun aloin 2000-luvun alussa tosissani ja käytännössä täysipäiväisesti opetella tietotekniikan saloja, minua kiinnostivat erityisesti tietoverkot. Ei pelkästään se, miten kone liitetään verkkoon ja miten liikenne kulkee paikasta toiseen, vaan mitä siellä oikeasti tapahtuu. Miten palvelin löytyy verkosta, mitä palveluita se tarjoaa, mistä toinen kone tietää minne paketti kuuluu ja ennen kaikkea. Kuinka turvallista kaikki tämä oikeastaan on? Hyvin nopeasti huomasin, ettei aina kovinkaan turvallista.
Siinä maailmassa Hakkerin käsikirja osui juuri oikeaan aikaan. Oma kirjani on IT Pressin vuonna 2002 julkaisema ensimmäinen suomalainen painos, painettu Edita Prima Oy:ssä Helsingissä. Alkuperäinen teos on Maximum Security, Third Edition. Ostin kirjan aikana, jolloin verkkojen turvallisuus ja samalla niiden haavoittuvuus kiinnostivat minua ehkä enemmän kuin mikään muu tietotekniikassa.
Kirjan kannessa lukee Maksimoi verkkotietoturva ja takakannessa kerrotaan sen olevan opas järjestelmien ylläpitäjille ja vastuuhenkilöille, joiden tehtävänä on suojata tietokoneita ja verkkoja luvattomilta tunkeilijoilta. Minua siinä kiinnosti kuitenkin myös asian toinen puoli. Jos haluaa ymmärtää, miten järjestelmää puolustetaan, täytyy ymmärtää, miten sitä vastaan hyökätään. Minulle tämä ajatus tuntui jo silloin itsestään selvältä.
2000-luvun alun internet oli tässä suhteessa aivan erilainen ympäristö kuin nykyinen. Windows 98 oli edelleen yleisessä käytössä, Windows 2000 oli tullut yritysmaailmaan ja Windows XP julkaistiin vuonna 2001. Linux ja erilaiset Unix-järjestelmät pyörivät palvelimissa, ja verkossa oli valtavasti FTP-, Telnet-, sähköposti-, web- ja muita palveluita, joista osa oli pystytetty vuosia aikaisemmin ja jätetty sen jälkeen melkein oman onnensa nojaan. Päivityskulttuuri ei ollut nykyisellä tasolla, automaattisia päivityksiä ei voinut pitää samanlaisena itsestäänselvyytenä kuin nyt ja monessa paikassa. Palvelin saattoi olla verkossa pitkään ilman, että kukaan oikeastaan tarkasti, mitä kaikkea siitä näkyi ulospäin.
Palomuuri saattoi olla olemassa, mutta se ei vielä tarkoittanut, että se olisi ollut oikein säädetty. Palvelu saattoi kuunnella internetiin täysin tarpeettomasti. Käyttäjätunnukset olivat usein yksinkertaisia, salasanat vielä yksinkertaisempia ja joskus järjestelmään jäi oletustunnuksia tai vanhoja käyttäjätilejä vuosiksi. Salaamatonta liikennettä oli valtavasti. Telnet ja tavallinen FTP olivat normaaleja työkaluja. Nykyisestä näkökulmasta ajatellen verkossa liikkui aivan uskomaton määrä tietoa selväkielisenä.
Kun nykyään puhutaan hyökkäyspinnasta, Zero Trustista, monivaiheisesta tunnistautumisesta, EDR-järjestelmistä ja jatkuvasta haavoittuvuuksien seurannasta, 2000-luvun alun maailma tuntuu melkein toiselta aikakaudelta. Silloin hyvin monessa paikassa turvallisuusajatus oli suunnilleen se, että sisäverkko on turvallinen ja paha maailma on jossakin palomuurin toisella puolella. Kunhan ulkoraja oli jotenkin suojattu, sisällä luotettiin paljon enemmän kaikkeen.
Minä aloin tutkia tätä maailmaa käytännössä.
En halua jälkeenpäin kaunistella sitä, mitä silloin tein. Liikuin alueella, jolla tämän päivän mittapuulla olisin hyvin nopeasti vaikeuksissa. Osa asioista oli jo silloinkin vähintään harmaata aluetta, eikä se muutu hyväksyttäväksi sillä, että tarkoitukseni ei ollut vahingoittaa ketään. Minua kiinnosti järjestelmiin pääseminen, haavoittuvuuksien löytäminen ja se, pystynkö ymmärtämään, miten jokin suojaus voidaan kiertää. Minua ei kiinnostanut palvelimilla oleva tietosisältö, henkilötiedot tai minkään tiedon varastaminen. Kun olin saanut selville, että jostakin pääsi sisään tai että jokin asia oli mahdollista tehdä, minun kiinnostukseni oli yleensä siinä.
Siihen aikaan etsin verkosta avoimia järjestelmiä ja tutkin palvelimia. Ja niitä löytyi. Vastaan tuli myös kuntien ja kaupunkien järjestelmiä, joiden suojaustaso hämmästytti jo silloin. En tietenkään voinut tietää, millainen organisaatio tai ylläpito niiden takana todellisuudessa oli, mutta ulospäin näkyvä jälki kertoi joskus aika karua kieltä. Tarpeettomia palveluita oli auki, ohjelmistot olivat vanhoja ja järjestelmistä pystyi päättelemään asioita, joita ei olisi pitänyt pystyä päättelemään. Nykyään puhutaan järjestelmällisestä koventamisesta ja hyökkäyspinnan pienentämisestä. Silloin näitä ajatuksia kyllä tunnettiin tietoturvapiireissä, mutta ne eivät olleet läheskään kaikkialla osa jokapäiväistä ylläpitoa.
Samaan aikaan tietoturvamaailmassa tapahtui paljon. Code Red ja Nimda levisivät vuonna 2001 ja osoittivat konkreettisesti, miten nopeasti haavoittuva palvelin saattoi muuttua osaksi maailmanlaajuista ongelmaa. Vuonna 2003 SQL Slammer levisi hämmästyttävällä nopeudella. Nämä olivat juuri niitä vuosia, jolloin alkoi käydä yhä selvemmäksi, ettei verkkoon voinut enää laittaa konetta ajatuksella, että katsotaan sitten myöhemmin suojausta.
Minä kokeilin tuolloin myös asioita, joita nykyään en lähtisi tekemään muuta kuin omassa laboratorioympäristössä. Tutkin palvelunestohyökkäysten toimintaperiaatteita, koneiden etähallintaa ja kaappaamista, backdoor- ja RAT-ohjelmia sekä näppäimistön tapahtumien seuraamista. Tarkoitukseni oli ymmärtää, mitä niillä pystyi tekemään ja ennen kaikkea sitä, miltä maailma näytti hyökkääjän puolelta. Juuri tämä vastapuolen ajattelutapa kiehtoi minua ehkä kaikkein eniten.
Jos ylläpitäjä ajattelee ainoastaan sitä, miten järjestelmän pitäisi toimia, hyökkääjä ajattelee sitä, mitä muuta sen saa tekemään. Jos käyttäjälle tarkoitettu toiminto ottaa vastaan tietoa tietyssä muodossa, hyökkääjä miettii, mitä tapahtuu, jos sille annetaankin jotain aivan muuta. Jos palvelimen pitäisi olla käytettävissä vain tietyllä tavalla, ensimmäinen kysymys on, löytyykö toinen reitti. Jos oveen on rakennettu hyvä lukko, katse siirtyy ikkunaan.
Sama koski ihmisiä. Sosiaalinen hakkerointi oli asia, jonka merkityksen ymmärsin hyvin aikaisin. Teknisesti hieno suojaus ei auta paljon, jos ihminen voidaan saada avaamaan ovi. Tuohon aikaan tietotekniikkaan liittyvä auktoriteetti syntyi joskus hämmästyttävän vähällä. Oikean näköinen lappu rinnassa, kannettava tietokone mukana ja riittävän määrätietoinen olemus saattoivat riittää siihen, ettei kukaan kysynyt, kuka olet ja mitä olet tekemässä.
Ajatus kuulostaa nykyään melkein koomiselta, mutta ilmiö ei ole kadonnut. Menetelmät ovat vain muuttuneet. Nykyään mukana voivat olla sähköposti, tekstiviestit, Teams, Microsoft 365, pilvipalvelujen kirjautumissivut tai puhelimessa esiintyvä ”IT-tuki”. Ihmisen taipumus luottaa uskottavasti esiintyvään henkilöön ei ole muuttunut kahdessakymmenessä vuodessa mihinkään.
Siksi sanoisin tänään, ettei minun kiinnostukseni tuolloin ollut niinkään hakkerointi sanan rikollisessa merkityksessä. Halusin ymmärtää tietotekniikkaa laajasti. Halusin osata rakentaa koneen, asentaa käyttöjärjestelmän, ymmärtää verkon, ratkaista ongelman ja nähdä samalla järjestelmän myös sellaisen ihmisen silmin, joka yrittää löytää siitä heikon kohdan.
Raja ei silti aina ollut niin selvä kuin sen olisi pitänyt olla. Sen pystyn myöntämään aivan hyvin. Jos tekisin tänään samoja asioita oikeita ulkopuolisia järjestelmiä vastaan, voisin olla melko nopeasti niin sanotusti kusessa. Hyvä tarkoitus ei anna lupaa kokeilla toisen järjestelmää. Nykyisin eettisessä hakkeroinnissa ja penetraatiotestauksessa yksi kaikkein tärkeimmistä asioista on juuri lupa ja tarkka rajaus. Mitä saa testata, milloin sitä saa testata ja kuinka pitkälle saa mennä.
Silloin minä opettelin suurelta osin itse. Internet, kirjat, kokeileminen ja loputon uteliaisuus olivat opettajia. Hakkerin käsikirja sopi siihen maailmaan täydellisesti. Sen mukana tulleella CD-ROMilla oli esimerkiksi Nmap, OpenSSH, OpenSSL, Bastille, Titan ja YASSP. Osa nimistä on nykyään historiaa, osa elää edelleen. Nmap on hyvä esimerkki työkalusta, jonka perusidea ei ole kahdessakymmenessä vuodessa vanhentunut.
Eikä verkkotekniikkakaan lopulta ole kokenut sellaista vallankumousta kuin helposti kuvittelee. Meillä on nykyään pilvipalvelut, virtualisointi, kontit, mobiiliverkot, API:t, IoT-laitteet ja valtava määrä uusia kerroksia, mutta pohjalla kulkee edelleen tuttu maailma. IP-osoitteita, TCP- ja UDP-liikennettä, portteja, DNS-kyselyitä, reititystä, palveluita ja koneita keskustelemassa keskenään.
Kun tämän ymmärsi 2000-luvun alussa, ymmärtää hämmästyttävän suuren osan myös tämän päivän verkosta. Siksi vanhaa Hakkerin käsikirjaa on hauska selailla vielä nytkin. Osa tekstistä kuuluu väistämättä historiaan ja osa työkaluista on kadonnut kokonaan, mutta kirjan perusajatus ei ole vanhentunut. Järjestelmää ei voi kunnolla suojata, ellei ymmärrä, millä tavalla sitä vastaan voidaan yrittää hyökätä.
Minulle kirja edustaa samalla yhtä vaihetta omassa historiassani. Niitä vuosia, jolloin tietotekniikka muuttui kiinnostuksesta asiaksi, jonka halusin todella oppia. Saatoin välillä mennä oppimisessani paljon pidemmälle kuin nykyään pitäisin järkevänä, mutta juuri silloin rakensin suuren osan siitä pohjasta, jonka varaan myöhempi osaamiseni syntyi.
Internet oli silloin monessa mielessä reikäjuustoa.
Ja minä halusin tietää, mistä ne reiät löytyivät ja miksi ne olivat siellä.
Kun aloin 2000-luvun alussa tosissani ja käytännössä täysipäiväisesti opetella tietotekniikan saloja, minua kiinnostivat erityisesti tietoverkot. Ei pelkästään se, miten kone liitetään verkkoon ja miten liikenne kulkee paikasta toiseen, vaan mitä siellä oikeasti tapahtuu. Miten palvelin löytyy verkosta, mitä palveluita se tarjoaa, mistä toinen kone tietää minne paketti kuuluu ja ennen kaikkea. Kuinka turvallista kaikki tämä oikeastaan on? Hyvin nopeasti huomasin, ettei aina kovinkaan turvallista.
Siinä maailmassa Hakkerin käsikirja osui juuri oikeaan aikaan. Oma kirjani on IT Pressin vuonna 2002 julkaisema ensimmäinen suomalainen painos, painettu Edita Prima Oy:ssä Helsingissä. Alkuperäinen teos on Maximum Security, Third Edition. Ostin kirjan aikana, jolloin verkkojen turvallisuus ja samalla niiden haavoittuvuus kiinnostivat minua ehkä enemmän kuin mikään muu tietotekniikassa.
Kirjan kannessa lukee Maksimoi verkkotietoturva ja takakannessa kerrotaan sen olevan opas järjestelmien ylläpitäjille ja vastuuhenkilöille, joiden tehtävänä on suojata tietokoneita ja verkkoja luvattomilta tunkeilijoilta. Minua siinä kiinnosti kuitenkin myös asian toinen puoli. Jos haluaa ymmärtää, miten järjestelmää puolustetaan, täytyy ymmärtää, miten sitä vastaan hyökätään. Minulle tämä ajatus tuntui jo silloin itsestään selvältä.
2000-luvun alun internet oli tässä suhteessa aivan erilainen ympäristö kuin nykyinen. Windows 98 oli edelleen yleisessä käytössä, Windows 2000 oli tullut yritysmaailmaan ja Windows XP julkaistiin vuonna 2001. Linux ja erilaiset Unix-järjestelmät pyörivät palvelimissa, ja verkossa oli valtavasti FTP-, Telnet-, sähköposti-, web- ja muita palveluita, joista osa oli pystytetty vuosia aikaisemmin ja jätetty sen jälkeen melkein oman onnensa nojaan. Päivityskulttuuri ei ollut nykyisellä tasolla, automaattisia päivityksiä ei voinut pitää samanlaisena itsestäänselvyytenä kuin nyt ja monessa paikassa. Palvelin saattoi olla verkossa pitkään ilman, että kukaan oikeastaan tarkasti, mitä kaikkea siitä näkyi ulospäin.
Palomuuri saattoi olla olemassa, mutta se ei vielä tarkoittanut, että se olisi ollut oikein säädetty. Palvelu saattoi kuunnella internetiin täysin tarpeettomasti. Käyttäjätunnukset olivat usein yksinkertaisia, salasanat vielä yksinkertaisempia ja joskus järjestelmään jäi oletustunnuksia tai vanhoja käyttäjätilejä vuosiksi. Salaamatonta liikennettä oli valtavasti. Telnet ja tavallinen FTP olivat normaaleja työkaluja. Nykyisestä näkökulmasta ajatellen verkossa liikkui aivan uskomaton määrä tietoa selväkielisenä.
Kun nykyään puhutaan hyökkäyspinnasta, Zero Trustista, monivaiheisesta tunnistautumisesta, EDR-järjestelmistä ja jatkuvasta haavoittuvuuksien seurannasta, 2000-luvun alun maailma tuntuu melkein toiselta aikakaudelta. Silloin hyvin monessa paikassa turvallisuusajatus oli suunnilleen se, että sisäverkko on turvallinen ja paha maailma on jossakin palomuurin toisella puolella. Kunhan ulkoraja oli jotenkin suojattu, sisällä luotettiin paljon enemmän kaikkeen.
Minä aloin tutkia tätä maailmaa käytännössä.
En halua jälkeenpäin kaunistella sitä, mitä silloin tein. Liikuin alueella, jolla tämän päivän mittapuulla olisin hyvin nopeasti vaikeuksissa. Osa asioista oli jo silloinkin vähintään harmaata aluetta, eikä se muutu hyväksyttäväksi sillä, että tarkoitukseni ei ollut vahingoittaa ketään. Minua kiinnosti järjestelmiin pääseminen, haavoittuvuuksien löytäminen ja se, pystynkö ymmärtämään, miten jokin suojaus voidaan kiertää. Minua ei kiinnostanut palvelimilla oleva tietosisältö, henkilötiedot tai minkään tiedon varastaminen. Kun olin saanut selville, että jostakin pääsi sisään tai että jokin asia oli mahdollista tehdä, minun kiinnostukseni oli yleensä siinä.
Siihen aikaan etsin verkosta avoimia järjestelmiä ja tutkin palvelimia. Ja niitä löytyi. Vastaan tuli myös kuntien ja kaupunkien järjestelmiä, joiden suojaustaso hämmästytti jo silloin. En tietenkään voinut tietää, millainen organisaatio tai ylläpito niiden takana todellisuudessa oli, mutta ulospäin näkyvä jälki kertoi joskus aika karua kieltä. Tarpeettomia palveluita oli auki, ohjelmistot olivat vanhoja ja järjestelmistä pystyi päättelemään asioita, joita ei olisi pitänyt pystyä päättelemään. Nykyään puhutaan järjestelmällisestä koventamisesta ja hyökkäyspinnan pienentämisestä. Silloin näitä ajatuksia kyllä tunnettiin tietoturvapiireissä, mutta ne eivät olleet läheskään kaikkialla osa jokapäiväistä ylläpitoa.
Samaan aikaan tietoturvamaailmassa tapahtui paljon. Code Red ja Nimda levisivät vuonna 2001 ja osoittivat konkreettisesti, miten nopeasti haavoittuva palvelin saattoi muuttua osaksi maailmanlaajuista ongelmaa. Vuonna 2003 SQL Slammer levisi hämmästyttävällä nopeudella. Nämä olivat juuri niitä vuosia, jolloin alkoi käydä yhä selvemmäksi, ettei verkkoon voinut enää laittaa konetta ajatuksella, että katsotaan sitten myöhemmin suojausta.
Minä kokeilin tuolloin myös asioita, joita nykyään en lähtisi tekemään muuta kuin omassa laboratorioympäristössä. Tutkin palvelunestohyökkäysten toimintaperiaatteita, koneiden etähallintaa ja kaappaamista, backdoor- ja RAT-ohjelmia sekä näppäimistön tapahtumien seuraamista. Tarkoitukseni oli ymmärtää, mitä niillä pystyi tekemään ja ennen kaikkea sitä, miltä maailma näytti hyökkääjän puolelta. Juuri tämä vastapuolen ajattelutapa kiehtoi minua ehkä kaikkein eniten.
Jos ylläpitäjä ajattelee ainoastaan sitä, miten järjestelmän pitäisi toimia, hyökkääjä ajattelee sitä, mitä muuta sen saa tekemään. Jos käyttäjälle tarkoitettu toiminto ottaa vastaan tietoa tietyssä muodossa, hyökkääjä miettii, mitä tapahtuu, jos sille annetaankin jotain aivan muuta. Jos palvelimen pitäisi olla käytettävissä vain tietyllä tavalla, ensimmäinen kysymys on, löytyykö toinen reitti. Jos oveen on rakennettu hyvä lukko, katse siirtyy ikkunaan.
Sama koski ihmisiä. Sosiaalinen hakkerointi oli asia, jonka merkityksen ymmärsin hyvin aikaisin. Teknisesti hieno suojaus ei auta paljon, jos ihminen voidaan saada avaamaan ovi. Tuohon aikaan tietotekniikkaan liittyvä auktoriteetti syntyi joskus hämmästyttävän vähällä. Oikean näköinen lappu rinnassa, kannettava tietokone mukana ja riittävän määrätietoinen olemus saattoivat riittää siihen, ettei kukaan kysynyt, kuka olet ja mitä olet tekemässä.
Ajatus kuulostaa nykyään melkein koomiselta, mutta ilmiö ei ole kadonnut. Menetelmät ovat vain muuttuneet. Nykyään mukana voivat olla sähköposti, tekstiviestit, Teams, Microsoft 365, pilvipalvelujen kirjautumissivut tai puhelimessa esiintyvä ”IT-tuki”. Ihmisen taipumus luottaa uskottavasti esiintyvään henkilöön ei ole muuttunut kahdessakymmenessä vuodessa mihinkään.
Siksi sanoisin tänään, ettei minun kiinnostukseni tuolloin ollut niinkään hakkerointi sanan rikollisessa merkityksessä. Halusin ymmärtää tietotekniikkaa laajasti. Halusin osata rakentaa koneen, asentaa käyttöjärjestelmän, ymmärtää verkon, ratkaista ongelman ja nähdä samalla järjestelmän myös sellaisen ihmisen silmin, joka yrittää löytää siitä heikon kohdan.
Raja ei silti aina ollut niin selvä kuin sen olisi pitänyt olla. Sen pystyn myöntämään aivan hyvin. Jos tekisin tänään samoja asioita oikeita ulkopuolisia järjestelmiä vastaan, voisin olla melko nopeasti niin sanotusti kusessa. Hyvä tarkoitus ei anna lupaa kokeilla toisen järjestelmää. Nykyisin eettisessä hakkeroinnissa ja penetraatiotestauksessa yksi kaikkein tärkeimmistä asioista on juuri lupa ja tarkka rajaus. Mitä saa testata, milloin sitä saa testata ja kuinka pitkälle saa mennä.
Silloin minä opettelin suurelta osin itse. Internet, kirjat, kokeileminen ja loputon uteliaisuus olivat opettajia. Hakkerin käsikirja sopi siihen maailmaan täydellisesti. Sen mukana tulleella CD-ROMilla oli esimerkiksi Nmap, OpenSSH, OpenSSL, Bastille, Titan ja YASSP. Osa nimistä on nykyään historiaa, osa elää edelleen. Nmap on hyvä esimerkki työkalusta, jonka perusidea ei ole kahdessakymmenessä vuodessa vanhentunut.
Eikä verkkotekniikkakaan lopulta ole kokenut sellaista vallankumousta kuin helposti kuvittelee. Meillä on nykyään pilvipalvelut, virtualisointi, kontit, mobiiliverkot, API:t, IoT-laitteet ja valtava määrä uusia kerroksia, mutta pohjalla kulkee edelleen tuttu maailma. IP-osoitteita, TCP- ja UDP-liikennettä, portteja, DNS-kyselyitä, reititystä, palveluita ja koneita keskustelemassa keskenään.
Kun tämän ymmärsi 2000-luvun alussa, ymmärtää hämmästyttävän suuren osan myös tämän päivän verkosta. Siksi vanhaa Hakkerin käsikirjaa on hauska selailla vielä nytkin. Osa tekstistä kuuluu väistämättä historiaan ja osa työkaluista on kadonnut kokonaan, mutta kirjan perusajatus ei ole vanhentunut. Järjestelmää ei voi kunnolla suojata, ellei ymmärrä, millä tavalla sitä vastaan voidaan yrittää hyökätä.
Minulle kirja edustaa samalla yhtä vaihetta omassa historiassani. Niitä vuosia, jolloin tietotekniikka muuttui kiinnostuksesta asiaksi, jonka halusin todella oppia. Saatoin välillä mennä oppimisessani paljon pidemmälle kuin nykyään pitäisin järkevänä, mutta juuri silloin rakensin suuren osan siitä pohjasta, jonka varaan myöhempi osaamiseni syntyi.
Internet oli silloin monessa mielessä reikäjuustoa.
Ja minä halusin tietää, mistä ne reiät löytyivät ja miksi ne olivat siellä.