Seuraa 
Viestejä9265
Liittynyt10.12.2006

Onko aiheesta jotain filosofiaa väännetty enempi? Mietin että kyllä täytyy olla olemassa jokin tapa toteuttaa tietotekniikka, -liikenne ja muu siihen liittyvä ilman pelkoa mm viruksista. Onko asia teoriassakin mahdoton? Onko se vain niin, että aina löytyy keino luoda haittaohjelma jonka saa leviämään? Ja että aina löytyy keino hakkeroitua järjestelmiin?

くそっ!

Sivut

Kommentit (19)

Kosh
Seuraa 
Viestejä21228
Liittynyt16.3.2005

Teoriassa varmaan olisi mahdollista toteuttaa virheetön ohjelma, joka on sekä täydellisesti suunniteltu että toteutettu virheettä. Käytännössä se lienee utopistinen ajatus. Suurin osa tietomurroista ja viruksista on kohdennettu ohjelmavirheisiin, jotka mahdollistavat jonkin ennalta-arvaamattoman toiminnan. Toisaalta jos tietokone on millään lailla murtautujan ulottuvilla, esim. kytketty tietoverkkoihin, niin aina vähintäänkin tuurilla tai brute forcella sen voi murtaa. Esimerkiksi kokeilemalla randomisalasanoja pääsyyn johonkin järjestelmään. Ainut täysin tietoturvallinen laite on sellainen, johon ei kukaan ulkopuolinen mitenkään pääse käsiksi, ei minkään verkon kautta eikä fyysisesti. Tässäkin sitten tulee vastaan perinteisen turvallisuuden toteuttaminen, eli onko murtamattomia lukkoja ja lahjomattomia vartijoita...

Se oli kivaa niin kauan kuin sitä kesti.

---
Seuraa 
Viestejä3439
Liittynyt6.9.2006

Sen jälkeen kun olemme todenneet, että se on käytännössä mahdotonta, niin asiaa voi ajatella niinkin, että pitämällä kohtuullista huolta omasta tietoturvasta, tyytyvät hyökkääjät käyttämään hyväkseen sitä suurempaa kansanosaa joka ei näin tee.

Eli jos parkkipaikalla on kaksi autoa, niin kyllähän se varas vie sen helpommin varastettavan, vaikka sen toisenkaan varastaminen ei aivan sula mahdottomuus olisi, mutta vaatisi selkeästi enemmän vaivaa ja perehtymistä.

Ronron
Seuraa 
Viestejä9265
Liittynyt10.12.2006
Jäärä

Sen jälkeen kun olemme todenneet, että se on käytännössä mahdotonta, niin asiaa voi ajatella niinkin, että pitämällä kohtuullista huolta omasta tietoturvasta, tyytyvät hyökkääjät käyttämään hyväkseen sitä suurempaa kansanosaa joka ei näin tee.

Eli jos parkkipaikalla on kaksi autoa, niin kyllähän se varas vie sen helpommin varastettavan, vaikka sen toisenkaan varastaminen ei aivan sula mahdottomuus olisi, mutta vaatisi selkeästi enemmän vaivaa ja perehtymistä.

Tuosta vain seuraa se että aina joku jää uhriksi.. tavallaan se ei silloin ole ratkaisu, ellei ajatella että ne huolimattomat ihmiset jotenkin ansaitsisivat tulla tietomurron uhreiksi. 

くそっ!

---
Seuraa 
Viestejä3439
Liittynyt6.9.2006

Nojuu, totta sekin. Mutta eihän kukaan joka jättää yöksi pyöränsä lukitsematta, ansaitse sitä, että se tulee pöllityksi, vaikka kaikki kyllä jälkikäteen toteavatkin, että oma vika, miksi et lukinnut. Ei ollut kun varkaan vika, mutta silti.

Tietotekniikassa vähän sama.

Puhutaan nyt ihan mistä aiheesta hyvänsä, niin kyllä ilkivallan ja varkauksien suojaamiseen menee vuositasolla tolkuttomat määrät fyrkkaa ja poweria. Olen joskus miettinyt että olis se kyllä metka maailma, missä kukaan ei varastaisi keneltäkään mitään. Lukko olisi ihan kokonaan vieras käsite. Sen kun aamulla marssisi avoimeen autoonsa, painais napista käyntiin ja sutis horisonttiin. Kaupan ovetkin olis öisin auki, lappu vaan olisi että sori, myyjä tulee vasta klo 8 lunastamaan maksuja, mutta voitte toki hypistellä tuotteita ennen sitä.

MrKAT
Seuraa 
Viestejä2278
Liittynyt16.3.2005

Minä näin jo ajat sitten matematiikan journaalissa todistuksen, että ei ole olemassa virustorjuntaohjelmaa joka estäisi kaikki virukset. Todistus oli kovasti samanmuotoinen (ja sama logiikka) kuin ettei voida todistaa ohjelmaa pysähtymättömäksi ja virheettömäksi (halting problem), joka sekin osoitettiin mahdottomaksi algoritmisoida.

Jos tietoliikenne on vain pelkästään tekstitiedostoja "juttu.txt" ts. pelkkää kirjoituskonetekstiä tai pelkkiä "maisema1.jpg" kuvia tai ääninauhaa "musa.wav" tai "musa.mp3", niin ei pitäisi olla vaikeata tehdä se liikenne viruksettoman varmaksi. 

 

 

Homeopatia-skandaali A-talkissa: https://www.youtube.com/watch?v=qXLTz5LhHMU

Ronron
Seuraa 
Viestejä9265
Liittynyt10.12.2006

Joku vielä keksii, se on joku uusi ajattelutapa koko systeemiin, joku avoimuusjuttu tai jäljitettävyysjuttu tai jotain mikä rakentaa uudella periaatteella koko tietotekniikan informaation tai jotain

くそっ!

SamBody
Seuraa 
Viestejä6074
Liittynyt3.5.2008

Tietsikkavirustahan voidaan pitää vain yhtenä huijauksen muotona. Ja jokuhan sitä hölmöä kuitenkin huijaa eli luonnollisin ratkaisu on olla sortumatta hölmöyksiin. Pitää tolkun mukana niin ei sorru huijauksiin. Itse käytin privaatti-tietsikoita (alk MS-DOS 2.0) neljännesvuosisadan ilman mitään taustalla lurkkivia virusvahteja ilman ainuttakaan tartuntaa.

 

t: "kerran-kadulla-huijattu"

http://www.vapaakielivalinta.fi/
http://www.sananvapaudenpuolesta.fi/
Tunnustan poikkeavuuteni: perustan näkemykseni enemmän omaan ajatteluun kuin auktoriteetteihin.

Kosh
Seuraa 
Viestejä21228
Liittynyt16.3.2005
MrKAT

Jos tietoliikenne on vain pelkästään tekstitiedostoja "juttu.txt" ts. pelkkää kirjoituskonetekstiä tai pelkkiä "maisema1.jpg" kuvia tai ääninauhaa "musa.wav" tai "musa.mp3", niin ei pitäisi olla vaikeata tehdä se liikenne viruksettoman varmaksi. 

En ole varma ymmärränkö mitä tarkoitat. Viruksen tai muun haittaohjelman voi enkoodata muun median sekaan tai muuten kätkeä tiedostoihin. Sen tunnistaminen voi olla mahdotonta, jos haittaohjelma on binäärimuodossa sopivan obfuskoitu niin että näyttää normaalilta medialta tai jos teksitiedostossa se on lähdekoodimuodossa tekstinä niinikään. Riittää, että tiedostoa käsittelevässä ohjelmassa on joku virhe, jota haittaohjelma aukkona hyödyntää. Tai vaikkapa siinä näitä tiedostoja analysoivassa tietoturvaohjelmassa.

Se oli kivaa niin kauan kuin sitä kesti.

MrKAT
Seuraa 
Viestejä2278
Liittynyt16.3.2005
Kosh

Riittää, että tiedostoa käsittelevässä ohjelmassa on joku virhe, jota haittaohjelma aukkona hyödyntää. Tai vaikkapa siinä näitä tiedostoja analysoivassa tietoturvaohjelmassa.

No perhonen sentään, ei sen pitäisi olla niin vaikeaa!

Simppeli vanhanaikainen modeemiaikakauden viestintä jossa ohjelma olettaa tekstiä tiedostosta ja tulostaa ruutuun:

Alku:
read #char,
 if #char=EOF then goto end of program

 if ASC(char) not in[32..127] 
   print "_" else
 print #char 
goto Alku unless not timeout

.

Sen saman se tekee joka ikiselle vaikka olisi .EXEä ja käsittelee sen kuin txt-tiedostona
jossa kaikki merkit 0..255 otetaan käsittelyn turvallisesti. (Ja muuten .jpg:t nykyäänkään ei voi sisältää viruksia jotka tarttuisi).

Homeopatia-skandaali A-talkissa: https://www.youtube.com/watch?v=qXLTz5LhHMU

---
Seuraa 
Viestejä3439
Liittynyt6.9.2006

käsittääkseni .jpg -tiedosto voi kyllä infektoitua, mutta se ei voi tartuttaa konetta ellei sitä jotenkin prosessoida ("ajeta") tai vastaavasti ellei jostain oletuskuvankatselusovelluksesta ole löydetty aukkoa jota infektoitunut jpg -voi hyödyntää.

---
Seuraa 
Viestejä3439
Liittynyt6.9.2006
MrKAT

No perhonen sentään, ei sen pitäisi olla niin vaikeaa!

Simppeli vanhanaikainen modeemiaikakauden viestintä jossa ohjelma olettaa tekstiä tiedostosta ja tulostaa ruutuun:

 

Alku:
read #char,
 if #char=EOF then goto end of program

 if ASC(char) not in[32..127] 
   print "_" else
 print #char 
goto Alku unless not timeout

.

Sen saman se tekee joka ikiselle vaikka olisi .EXEä ja käsittelee sen kuin txt-tiedostona
jossa kaikki merkit 0..255 otetaan käsittelyn turvallisesti. (Ja muuten .jpg:t nykyäänkään ei voi sisältää viruksia jotka tarttuisi).

Oliko tämän tarkoitus olla ratkaisu nykytilanteeseen jollain muotoa?

z
Seuraa 
Viestejä2918
Liittynyt8.9.2011
Kosh

Teoriassa varmaan olisi mahdollista toteuttaa virheetön ohjelma, joka on sekä täydellisesti suunniteltu että toteutettu virheettä.

Ohjelman virheettömyys ei sinänsä riittäne vaan sen pitäisi myös selvitä siitä, että kaikki muut ohjelmat ja laitteet voivat toimia ihan miten sattuu: Byzantine fault tolerance

Tulikin mieleeni tuosta wikipedian artikkelin mainostamista käytännön ratkaisuista, että muistelen selailleeni jokin aika sitten tuoreehkoa artikkelia, jossa osoitettiin, että kaikki esitetyt ratkaisut saadaan menemään polvilleen aika triviaalisti... paitsi tietysti kirjoittaijien oma, uusi menetelmä, joka ratkaisi kaikki ongelmat...

zz

Kosh
Seuraa 
Viestejä21228
Liittynyt16.3.2005
MrKAT
Kosh

Riittää, että tiedostoa käsittelevässä ohjelmassa on joku virhe, jota haittaohjelma aukkona hyödyntää. Tai vaikkapa siinä näitä tiedostoja analysoivassa tietoturvaohjelmassa.

No perhonen sentään, ei sen pitäisi olla niin vaikeaa!

Simppeli vanhanaikainen modeemiaikakauden viestintä jossa ohjelma olettaa tekstiä tiedostosta ja tulostaa ruutuun:

 

Alku:
read #char,
 if #char=EOF then goto end of program

 if ASC(char) not in[32..127] 
   print "_" else
 print #char 
goto Alku unless not timeout

.

Sen saman se tekee joka ikiselle vaikka olisi .EXEä ja käsittelee sen kuin txt-tiedostona
jossa kaikki merkit 0..255 otetaan käsittelyn turvallisesti. (Ja muuten .jpg:t nykyäänkään ei voi sisältää viruksia jotka tarttuisi).

Joo, ok. Tuollaisella leikkiesimerkillä nyt vaan ei ole mitään käytännön virkaa. Tekstitiedoston tulostaminen näytölle ei vielä riitä koko systeemiä turvalliseksi tekemään. Semminkin kun tuokin esimerkki vielä hävittää sisällöstä informaatiota. Tietoliikenteen ja -ohjelmien tulisi täyttää myös toiminnalliset vaatimuksensa, kuten säilyttää data vääristymättömänä.

Se oli kivaa niin kauan kuin sitä kesti.

Kosh
Seuraa 
Viestejä21228
Liittynyt16.3.2005
Jäärä

käsittääkseni .jpg -tiedosto voi kyllä infektoitua, mutta se ei voi tartuttaa konetta ellei sitä jotenkin prosessoida ("ajeta") tai vastaavasti ellei jostain oletuskuvankatselusovelluksesta ole löydetty aukkoa jota infektoitunut jpg -voi hyödyntää.

Juu kyllä minkä tahansa tiedoston voi infektoida em. ehdoilla. Käytännössä niitä kuvia prosessoidaan vaikka miten ja missä. Jos vaikka zoomaat kuvankatseluohjelmassa tai nettisivulla, niin jopa siellä joku koodinpätkä ottaa ja lukaiseen kuvadatan, syöttää sen johonkin ohjelmaan tai rutiiniin. Tai jopa, kuten sanoit, pelkkä kuvan katselu tosiaan voi sisältää aukon.

Yksinkertainen esimerkki oli joskus pari vuotta sitten hyvin yleisessä WordPress-julkaisujärjestelmässä ollut virhe, joka mahdollisti esim. palvelinkoneen suoraviivaisen rootkittaamisen. Tämä tehtiin niin, että WordPressin kuvanlatausrajapinta tallensi kuvan palvelimelle jonnekin ja antoi mahdollisuuden esikatsella sitä latauksen jälkeen. Jos kuvaan lisäsi heksaeditorilla PHP-koodia, niin esikatselusivun lataminen palvelimelta suoritti samalla sen koodin korkeilla oikeuksilla. Enempää ei hakkeri tarvitse kuin saada omaa koodiaan suoritetuksi kohdekoneella. Ihan sama, kuinka turvallinen itse .JPG formaattina on, kun sitä käsittelevä ohjelmisto vuotaa kuin seula.

Virheen simppeli korjaus oli tarkistaa kuvatiedoston koko sen metatietoihin nähden, mutta eihän se oikeasti mikään turvallinen ratkaisu ole, jos hyökkääjä haluaa nähdä vaivaa.

Vastaavia ihan naurettavia virheitä on IT-maailma pullollaan. Huvittava tuore esimerkki oli SSL-kirjaston heartbleed-haavoittuvuus, jossa mikä tahansa tietyllä SSL-salauksella suojattu palvelin päästi itse salausprotokollan kyydissä mielivaltaista koodia mistä tahansa omaan muistiinsa.

Sitten ovat bugit, joita ilman on vaikea mitään nykysoftaa kuvitella olevan. Joku muistivuoto on aina jossain, ja ennemmin tai myöhemmin joku keksii kuinka sitä voi hyödyntää pahoihin tarkoituksiin tunkemalla haittakoodia jonnekin ikävään paikkaan.

 

 

Se oli kivaa niin kauan kuin sitä kesti.

Sivut

Suosituimmat

Uusimmat

Uusimmat

Suosituimmat