Tietoturva-blogi

Tietoturva

Tämän viikon aikana sai lukea sekä Elisan sähkökatkoista, että Pirate Bay:n ratsian yhteydessä takavarikoiduista kolmansien osapuolien palvelimista. Nämä laittoivat miettimään, onko sittenkään turvallista perustaa pienintäkään Internetissä tehtävää liiketoimintaa, siten että kaikki palvelut on ostettu samalta operaattorilta.

Opit riskien hajauttamisesta ovat tällaista vastaan, mutta moni pieni yritys ei tule tätä välttämättä ajatelleeksi, tai sillä ei ole varaa hajauttaa palveluitaan useamman operaattorin toteuttamiksi. Edes suuret yritykset eivät tee näin, vaan keskittävät kaikki palvelunsa yhdelle operaattorille, säästääkseen kokonaiskustannuksissa.

Jos operaattorin tiloissa tapahtuu kuitenkin jotain yllättävää, jota varajärjestelmät ja toimet eivät kata tai riitä paikkaamaan, kuten tulipalo tai suurempi sähkönjakeluongelma, niin yhden operaattorin varassa olevat palvelut kaatuvat. Vastaavasti, jos poliisi on saanut päähänsä hakea luvan kaikkien operaattorin tiloissa olevien palvelinten takavarikointiin ja jopa saanut sellaisen, voi toipuminen kestää pitkäänkin kun palvelimet lojuvat jossain poliisin kätköissä.

Korvaukset eivät koskaan kata edes kaikkia katkon aikana syntyneitä kustannuksia, eikä mikään tule korvaamaan toteutumatta jääneitä kauppoja katkon aikana tai etenkään tulevaisuudessa. Maine ja luotettavuus voi mennä lopullisesti ja pienyritysten talous voi jopa kaatua tällaiseen.

Eikö (Ruotsin) poliisilla ole mitään vastuuta?

En toki tiedä yksityiskohtia ja kokonaisuudesta muutenkin ehkä varsin yksipuolisesti. Tulee kuitenkin sellainen olo, että eikö poliisilla ole mitään vastuuta tekemisissään ja järjen käyttö on ilmeisesti kielletty. En yhtään ihmettele sitä, että Pirate Bay:n palvelimet takavarikoitiin, mutta sitä en voi ymmärtää miksi myös saman operaattorin muiden asiakkaiden koneet takavarikoitiin.

Mikäli netissä julkaistuihin poliisin takavarikkolistoihin on uskomista, niin ainakin merkittävä osa koneista sisältää sellaiset tunnistetiedot, että niiden on helppo tunnistaa olevan muita kuin Pirate Bay:n koneita. Toki ainahan voi olla vainoharhainen ja kuvitella tunnistetietojen olevan tarkoituksellisesti harhaanjohtavia. Luulisi kuitenkin operaattorilla olevan tiedot siitä kenen koneista on kyse ja kenen palveluita operaattorin omissa koneissa pyörii.

Koneidensa kyselijöille poliisi on vastannut ettei se tiedä, koska koneet voidaan antaa heille takaisin ja koska heillä on lupa niiden takavarikointiin, he myös haluavat tunnukset ja salasanat, joilla he pääsevät tarkistamaan ettei koneissa ole mitään ratsiassa etsittyä laitonta aineistoa tai siihen liittyvää todistusaineistoa. Samalla voidaan tutustua asianosattomien liikesalaisuuksiin, yksityiseen aineistoon, taloustietoihin ja viestintään.

Tämähän antaa tulevaisuudessa poliisille hyvän tavan narauttaa laitonta materiaalia, kun hakee etsintäluvan kaikkiin operaattorin tiloissa oleviin koneisiin, sen sijaan että metsästää yhden nimetyn asiakkaan datoja ja teletunnistetietoja. Miten vaan mahtaa olla tällä tavalla hankitun todistusaineiston laillisuus, vai oliko se niin, että pohjoismaissa rikollisestikin hankittu todistusaineisto on käyttökelpoista. Tässä tapauksessahan sitä ei edes hankita rikollisesti. Vähän vaan tarpeellista laajemmin.

Toinen ISP hakuun

Tämän jälkeen tulee väkisin mieleen tarve hajauttaa omatkin palvelunsa useammalle ISP:lle. Ihan vaan siltä varalta, että joku yksinkertaisella ajattelulla varustettu poliisi saa päähänsä takavarikoida kaikki Nebulan koneet. Ei tämä saitti minua niin paljon haittaa, mutta ne muut saitit ja sähköpostit. Kyllä siinä liiketoiminta väkisin saa siipeensä.

Samantien kannattanee lähteä merta edemmäs, jotta sama poliisi ei takavarikoi koneita toiseltakin ISP:ltä ja kun nämä EU:n poliisijoukot niin näkyvästi tekevät yhteistyötä, niin samantien siirretään puolet palvelusta johonkin maapallon toiselle puolelle. Täytyypä alkaa katsastamaan mitä maailmalla olisi tarjolla ja mihin hintaan. Valitettavaa, että varautumisesta tulee aina lisää kustannuksia ja kun varautuminen on viranomaisen törkeää toimintaa vastaan suojautumista, niin kustannukset tuntuvat myös turhilta.

Kuulin, että vastaava tapaus on ollut Suomessakin, mutta operaattori sai puhuttua poliisin päähän järkeä. Ehkä meillä sittenkin olla järkevämpiä kuin svenssonit ovat.

Ruotsin poliisin suorittavan ratsian varsinaisella kohteella, The Pirate Bay -sivustolla, näyttää kuitenkin riittävän resursseja ja luottamusta tai vaihtoehtoisesti uhoa, sillä palvelu toimii jälleen täysillä. Tällä kertaa Hollannissa, johon ei Ruotsin poliisin koura yllä. Ei ainakaan niin helposti. Mikähän mahtaa olla sikäläisen lainsäädännön suhtautuminen tällaiseen palveluun.

Lisätietoja: