Pitäisikö salata?

WLAN-tekniikka perustuu vapaasti eteneviin radioaaltoihin samaan tapaan kuin
radiopuhelimissa. Muut asemat voivat siis kuulla lähettävän aseman viestin,
vaikka viesti olisi tarkoitettu vain tietylle asemalle. Hyvissä oloissa
signaali on kuultavissa yli sadan metrin etäisyydellä ja erikoisvälineillä
viestintä onnistuu kilometrinkin päästä. Kuka tahansa voi lähettää oikeita
tai väärennettyjä viestejä verkkoon.

Tietoturvallisuuden takaamiseksi WLAN-käyttäjän pitäisi pystyä varmistumaan,
että hänen laitteensa viestii tunnetun tukiaseman kanssa, ja että muut
kuulolla olevat laitteet eivät pysty ymmärtämään hänen ja tukiaseman välistä
liikennettä tai ujuttamaan sekaan valheellisia viestejä. Viestinnän
luottamuksellisuuden vuoksi viestit on pystyttävä salakirjoittamaan ja
niiden eheys varmistamaan.

Viestiliikenteen salaaminen vaatii päätelaitteissa ja tukiasemissa
käytettäviä salaisia tietoja, kuten salakirjoitusavaimia. Salaisuuksien
jakaminen voi joissakin tapauksissa olla työlästä. WLAN:n radioliikenteen
jättäminen salaamatta voi olla järkevää, jos salauksesta saatavat hyödyt
ovat vähäiset haittoihin nähden. Salaaminen voi olla turhaa esimerkiksi
silloin, kun mahdollisten hyökkääjien pääsy WLAN:n kuuluvuusalueelle voidaan
estää fyysisesti.

WLAN:n salausmenetelmiä

WLAN:n radiorajapintaa varten on määritelty useita vaihtoehtoisia
salausmenetelmiä. Nämä menetelmät salakirjoittavat päätelaitteen ja
tukiaseman välillä kulkevat viestit niin, etteivät sivulliset pysty niitä
helposti ymmärtämään tai muokkaamaan huomaamattomasti. Salausmenetelmät myös
tunnistavat tukiaseman käyttäjille niin, etteivät muut voi helposti esiintyä
luotettuna tukiasemana. WLAN:n käyttäjiä ja päätelaitteita WLAN:n
salauksella ei kuitenkaan pysty luotettavasti tunnistamaan.

Vanhin menetelmä WEP (Wireless Equivalent Privacy) on osoitettu monella
tapaa haavoittuvaksi eikä sitä suositella käytettäväksi, jos uudempia
menetelmiä on käytettävissä. WPA2 (Wi-Fi Protected Access II) on ollut Wi-Fi
Alliancen hyväksymissä laitteissa tuettu vuodesta 2006 lähtien. Se täytyy
kuitenkin osata ottaa käyttöön. Myös WPA-salaus saattaa olla käytettävissä.
WPA-salaus oli välivaihe WLAN-standardien kehityksessä ennen kuin WPA2
saatiin valmiiksi.

Myös Wi-Fi Protected Setup- eli WPS-salaus on osoitettu haavoittuvaksi eikä
sitä suositella enää käytettäväksi. WPS-salaus oli tarkoitettu
helppokäyttöiseksi vaihtoehdoksi WPA2:lle, mutta WPS:n suunnitteluvirheiden
vuoksi hyökkääjä voi vähäisellä vaivalla arvata salausavaimen.

Suosituksia salaukseen

Käytännössä kuluttajille suositellaan Advanced Encryption Standard
-salakirjoitusalgoritmia käyttävää WPA2-salausmenetelmää ja siihen vahvaa
(pitkä, monimutkainen ja vaikeasti arvattava) esijaettua salasanaa.
Langattoman tukiaseman asetuksissa tämä valinta esiintyy yleensä merkintänä
“WPA2+PSK (AES)”. Vahvan 20-merkkisen salasanan laatiminen ei ole vaikeaa
eikä sitä tarvitse muistaa ulkoa, kun sen tallentaa päätelaitteen
käyttöjärjestelmän muistiin verkon ensimmäisellä käyttökerralla.

Lain mukaan yksinkertaisenkin salauksen murtaminen on Suomessa kiellettyä ja
rangaistavaa. Sellaisia ihmisiä, jotka aikovat rikollisessa mielessä hyötyä
WLAN:sta ja siellä liikkuvista tiedoista, rangaistavuus tuskin hetkauttaa
paljoakaan, joten kannattaa valita kerralla vahva salaus.

Jos motivoituneet salakuuntelijat arvioidaan varteenotettavaksi uhaksi,
tulee muistaa, että jokainen, joka saa WLAN:n esijaetun salasanan haltuunsa,
pystyy purkamaan salauksen kaikesta kuulemastaan kyseisen WLAN:n
liikenteestä. Tämä voi olla erityisen varteenotettava uhka yritysten
tarjoamissa vierailijaverkoissa: verkon tarjoava yritys voi olla luotettava,
mutta joku verkossa vierailijoista ei ehkä ole.

Mikä on langaton lähiverkko eli WLAN?

Langattomilla lähiverkoilla (englanniksi “wireless local area network”,
WLAN) tarkoitetaan yleensä IEEE 802.11 -ryhmässä määriteltyjä standardeja
käyttäviä tietokoneiden liityntäverkkoja. Kauppanimi Wi-Fi viittaa
nimenomaan kyseisiin standardeihin.

WLAN on maailmanlaajuinen standardi. WLAN-laitteet viestivät eri puolilla
maailmaa käytännöllisesti katsoen samoilla 2,4 GHz- ja 5,6 GHz
-radiotaajuusalueilla. Taajuusalueet on standardeissa jaettu useiksi
kanaviksi. Kanavat, joita saa käyttää, vaihtelevat maittain ja alueittain,
mutta kaikki WLAN-tekniikkaa käyttävät laitteet toimivat kuitenkin kaikissa
WLAN-verkoissa. Myös muunlaisia langattomia lähiverkkoja on olemassa, mutta
niiden käyttö on huomattavasti vähäisempää kuin IEEE 802.11 -standardeihin
perustuvien verkkojen, joten WLAN on käytännössä IEEE 802.11 -verkkojen
synonyymi.

Langattomista lähiverkoista on tullut hyvin suosittuja niiden halpuuden,
käyttöönoton helppouden ja joustavuuden vuoksi. Langattoman lähiverkon
kautta tarjotaan usein pääsyä internetiin. Helpoimmillaan se vaatii vain
sähkövirran kytkemistä WLAN-tukiasemaan sekä laitteen liittämistä
internetiin langallisen lähiverkon kautta. Tämän jälkeen WLAN:n käyttäjä
tarkastaa esiasetetun verkon nimen tukiaseman käyttöoppaasta ja liittää
tietokoneensa sen mukaiseen langattomaan verkkoon. Useimmissa uusissa
kannettavissa tietokoneissa ja älypuhelimissa WLAN-asema on
sisäänrakennettu.

Perustavanlaatuisia WLAN:n heikkouksia

WLAN-tekniikan luonteeseen kuuluu, että langattomia verkkoja voi luoda melko
vapaasti. Rajoitteena ovat radiotielle aiheutuvat häiriöt, joita syntyy
vierekkäisten asemien päällekkäisistä kanavista ja sallittujen
radiotaajuuksien rajallisesta määrästä.

Jotkin päätelaitteet kyselevät aktiivisesti ja käyttäjästä riippumatta, onko
niiden muistamien verkkojen nimisiä verkkoja saatavilla. Hyökkääjä voi
perustaa oman langattoman verkon, jonka nimi muistuttaa tai on sama kuin
halutun verkon nimi. Samanniminen verkko voidaan myös luoda automaattisesti
päätelaitteen tätä huhuillessa. Tämän vuoksi langaton yhteys kannattaa
kytkeä päätelaitteesta pois aina silloin, kun sitä ei tarvita.

Yleensä päätelaitteet pyrkivät automaattisesti käyttämään parasta
radiosignaalia tuottavaa tukiasemaa, ja laite voi itsenäisesti yhdistää tai
vaihtaa huomaamatta hyökkääjän verkkoon. Näin hyökkääjä voi kaapata pahaa
aavistamattomien käyttäjien liikennettä oman tukiasemansa kautta ja
hyödyntää tai tallentaa haluamiaan tietoja.

On hyvä muistaa, että langattomassa verkossa myös muut käyttäjät voivat
ottaa yhteyttä laitteeseesi, ellei sitä ole estetty tukiasemassa (ns.
langaton verkon erotus). Jos käyttäjien tunnistautuminen verkkoon on
toteutettu ja säädetty huonosti, myös pahantahtoisten tahojen on mahdollista
kytkeytyä siihen ja lähettää muille käyttäjille tai verkon laitteille
haitallista liikennettä. On siis hyvä huolehtia myös päätelaitteiden
turvallisuudesta.

Viestinnän salaus WLAN:ssa

WLAN-tekniikka perustuu vapaasti eteneviin radioaaltoihin samaan tapaan kuin
radiopuhelimissa. Muut asemat voivat siis kuulla lähettävän aseman viestin,
vaikka viesti olisi tarkoitettu vain jollekin tietylle asemalle. On siis
selvää, että viestit on pystyttävä salakirjoittamaan.

WLAN:n radiorajapintaa varten on määritelty useita vaihtoehtoisia
salausmenetelmiä. Niistä WEP-menetelmän (Wired Equivalent Privacy)
salakirjoitusalgoritmi on kuitenkin murrettu. Kaikkia menetelmiä pystyy
lisäksi käyttämään tavalla, joka antaa mahdollisuuden purkaa salaus
oikeudettomasti. WPA2+AES-salaus jaettua avainta (englanniksi “pre-shared
key”, PSK) käyttäen on kotikäyttäjälle hyvä ratkaisu, kunhan jaettu avain ei
ole hyökkääjän helposti arvattavissa tai saatavissa.

Liki kaikissa WLAN-tukiasemissa on mahdollisuus valita, näkyykö verkko
kaikille vai ei. Tällä ei ole mitään tekemistä salauksen kanssa. Verkon
näkyvyysasetus vaikuttaa ainoastaan siihen, mainostaako tukiasema verkon
olemassaoloa, vai pitääkö siihen liittyvien päätelaitteiden tietää verkon
nimi muuta kautta voidakseen lähettää viestejä verkkoon.

Tärkeää on myös muistaa, että WLAN-liikenteen salaus koskee vain
radioliikenteen salausta. WLAN-tukiasema ei vaikuta siihen, onko siitä
johtoa pitkin lähtevä liikenne salattu vai ei. Lisäksi pahantahtoinen taho
voi päästä muokkaamaan tukiaseman kautta kulkevaa liikennettä, jolloin
muutkin suojausmenetelmät voidaan murtaa. Sama pätee toki kaikkiin
verkkoihin, mutta WLAN-verkoissa viestien väärentäminen on teknisesti
helpompaa kuin muunlaisissa verkoissa.

Paras suojautumiskeino käytettäessä yleisiä WLAN-verkkoja on huolehtia, että
käytettävä internetpalvelu (esimerkiksi pankki tai sähköposti) käyttää
liikenteen päästä päähän ulottuvaa salausta tai jopa käyttää erillistä
kokonaisvaltaista liikenteen salausta tarjoavaa palvelua. Salauksessa voi
hyödyntää luotettavaa kaupallista tarjoajaa tai kodin tai työpaikan
salakirjoitettua VPN-yhteyttä.

Tarkkana oman WLAN:n ylläpidossa

WLAN-tukiasemien turvallinen hallinta vaatii tarkkaavaisuutta.
Hallintakäyttöliittymän oletussalasana, jota käyttäjä ei ole muuttanut, on
väärinkäyttäjälle helppo ja huomaamaton tapa muokata verkon säädöt itselleen
sopiviksi. Niin kuin aina, tehtaalla asetetut salasanat kannattaa muuttaa
heti.

Vuodesta 2011 lähtien jonkun toisen suojaamattoman WLAN-verkon käyttämistä
ei Suomen rikoslaissa ole enää katsottu luvattomaksi käytöksi eikä se
sinällään ole siis enää rangaistavaa (laki 190/2011 rikoslain
muuttamisesta). Suojaamaton langaton verkko tarkoittaa sellaista verkkoa,
jonka radioliikennettä ei ole salakirjoitettu. Toiset jakavat tarkoituksella
omaa internetyhteyttään ilmaiseksi WLAN:n yli kelle tahansa tarvitsevalle
naapuriavun hengessä, mutta toisaalta WLAN voi myös jäädä suojaamatta, jos
omistaja ei osaa suojata sitä tai ymmärrä, mitä suojaaminen tai suojaamatta
jättäminen tarkoittaa.

Jos joku WLAN:n käyttäjä törttöilee tai loukkaa tietoturvaa, tekijä itse on
luonnollisesti vastuussa tekemisistään. Avoimen WLAN:n omistajan ongelmana
on kuitenkin se, että verkon kautta tehtyjen tietoturvaloukkausten
paljastuessa poliisi tulee luultavasti ensimmäisenä kyselemään tapahtuneesta
verkon omistajalta. Poliisi voi tällöin esimerkiksi ottaa tekovälineiksi
epäillyt laitteet ja tietokoneet haltuun todistusaineiston suojelemiseksi.
Prosessiin joutuneelle verkon omistajalle voi aiheutua paljon vaivaa, vaikka
häntä ei epäiltäisikään rikoksesta.

Lisää aiheesta

* Ohje 2/2011 Langattomien verkkojen tietoturvasta

* IEEE 802.11 Wireless Local Area Networks. The Working Group for WLAN
Standards
http://grouper.ieee.org/groups/802/11/

Kohdistettuja haittaohjelmahyökkäyksiä on paljastunut viime vuosina
kasvavassa määrin. Kohteena ovat olleet pääasiassa valtiolliset
organisaatiot ja kriittisen infrastruktuurin yritykset, mutta hyökkäyksen
uhka voi tulla ajankohtaiseksi myös muille toimijoille esimerkiksi
alihankintaketjujen kautta. Kyberturvallisuuskeskus on julkaissut raportin
kohdistetuista haittaohjelmahyökkäyksistä. Sen tarkoituksena on lisätä
tietoisuutta, parantaa suojausta ja lisätä kansallista yhteistyötä
kohdistettujen haittaohjelmahyökkäysten uhkan torjunnassa.

Ilmiönä kohdistetut haittaohjelmahyökkäykset ovat yleistyneet viime vuosina.
Tämä näkyy myös tietoturvayhtiöiden kohdistettuja haittaohjelmahyökkäyksiä
käsittelevien raporttien julkaisumäärän kasvuna. Raporttien mukaan
kyberhyökkäyksiä järjestelmällisesti seuraavissa länsimaissa havaitaan
vuosittain kymmeniä kybervakoilutapauksia, joissa teknisenä apukeinona on
käytetty kohdistettua haittaohjelmaa.

Tietoverkkojen hyödyntäminen on tehnyt nykyaikaisesta työskentelystä
joustavaa, tehokasta ja paikkariippumatonta missä tahansa organisaatiossa.
On kuitenkin hyvä muistaa, että samat edut hyödyttävät myös
verkkorikollisia. Tilanne altistaa monet organisaatiot uudenlaisille
kyberuhille.

Julkaistussa raportissa kuvataan, mitkä tekijät altistavat ja tekevät
mahdolliseksi organisaatioon kohdistetun haittaohjelmahyökkäyksen (kuva 1).
Lisäksi raportissa kuvataan, kuinka tyypillisen kyberhyökkäys toteutetaan ja
kuinka haittaohjelma toimii kohdeverkossa.

Kohdistetuista haittaohjelmista kertovan raportin tarkoituksena on

* lisätä organisaatioiden tietoisuutta ilmiöstä
* auttaa organisaatioita tunnistamaan ilmiöön liittyvät riskit
* tukea päätöksenteossa, kun uhkalta suojaudutaan.

Lisäksi tavoitteena on parantaa Suomen kyberturvallisuutta niin
yksittäisissä organisaatioissa kuin kansallisestikin. Tämän toteutumiseksi
tarvitaan ymmärrystä kohdistettujen haittaohjelmien toiminnasta, lisää
yhteistyötä ja tiedonjakoa.