Tiedustelupalveluilla takaportteja salauksissa ja laitteissa

Tiedustelupalveluiden laitteisiin ja ohjelmistoihin asentamat takaportit ovat tuntuneet jääneen tietoturva-alalla ja mediassa kovin pienelle huomiolle kautta aikojen. Asiasta ei haluta tai suoraan sanottuna edes uskalleta puhua, koska pelätään astumasta "isoveljen" varpaille ikävin seurauksin. Usein ihmiset ovat lisäksi kuitanneet väitteet NSA:n ja muiden tiedustelupalveluiden takaporteista vain "paranoidisena salaliittoteoriana" kaikista viittauksista ja todisteista huolimatta.

Mutta asia on niin vakava uhka tietoturvalle, että siitä pitää puhua. Se pitää olla ihmisten ja yritysten tiedossa. Utopistista lienee toivoa, että joskus jopa virkamiehet ja poliitikot voisivat tajuta ongelman laajuuden ja ottaa sen huomioon tietoturvaan liittyviä päätöksiä tehdessään...

Lukekaapa nyt mitä tietoa esimerkiksi Crypto AG:n jutusta on ilmennyt viime aikoina... Sen omat työntekijät ovat myöntäneet haastatteluissa, että sveitsiläinen Crypto AG takaportitti salausjärjestelmiään NSA:n pyynnöstä, jotta NSA pystyisi salakuuntelemaan helpommin niillä salattua liikennettä, esimerkiksi vieraiden valtioiden viestintää. Myös Bruce Schneier kirjoittaa asiasta blogissaan. Kyse ei siis ole mistään spekulaatiosta, vaan faktatiedosta. Maailman yksi kuuluisimmista salauslaitteiden valmistajista on vuosikymmenet rakentanut takaportteja salausjärjestelmiinsä isoveljeä varten. Ymmärrättekö, miten isosta asiasta on kysymys? Pohtikaapa hetkinen.

NSA on myös ilmeisesti laittanut takaportin Windowsin satunnaislukugeneraattoriin ja tietokoneiden prosessoreissa on mahdollisesti vakavia takaportteja. On myöskin todennäköistä, että tietokoneiden ja toki muidenkin laitteiden komponentit on tietoisesti rakennettu sellaiseksi, että niistä on helppo kerätä etäältä tietoa tempest-hyökkäyksen avulla...ja juuri siksi mm. NSA itse on hyvin tarkkana USA:n viranomaisten ja sotilastahojen riittävästä tempest-suojauksesta.

On toki ihan hauska nähdä, että myös amerikkalaiset ja britit ovat joutuneet viime aikoina pelkäämään, että heidän käyttämänsä laitteistot ovat takaportitettuja mm. kiinalaisille. Mielenkiintoista on huomata, että media ja turvallisuuselimet eivät ole aikaisemmin osoittaneet mitään huolta siitä, että järjestelmät on takaportitettu NSA:ta ja GCHQ:ta varten, mutta kun onkin vaara, että Kiina vakoilee, niin johan nouseekin meteliä. Tekopyhyys kukoistaa ja voi hyvin.

Tietysti jotkut ihmiset ajattelevat lapsellisesti, että NSA on "hyvien" puolella ja Kiina on "paha", joten miksi murehtia NSA:n takaporteista? Fakta on, että on olemassa eri valtioita ja jokainen valtio pyrkii pääasiassa ajamaan omia etujaan. NSA ei ole olemassa ajaakseen Suomen, Ruotsin, Saksan, Iso-Britannian tai Venäjän etua. NSA on olemassa ajaakseen USA:n etua. Jos ja yleensä kun eri maiden edut menevät ristiin, tai toisesta maasta voidaan jotenkin hyötyä, peli menee likaiseksi ja tiedustelupalvelut tulevat nopeasti hyötykäyttöön, kuten vaikkapa Echelon verkon suoma tiedustelutieto.

Mikä ratkaisuksi?

• Avoin lähdekoodi ja siihen perustuvat (salaus- ja muut) järjestelmät tarjoavat ainakin jonkinlaista suojaa, mutta tällöin pitää olla hyvin huolellinen sen suhteen, että kaikki järjestelmän komponentit ovat turvallisia. Ketju on vain niin vahva kuin sen heikoin lenkki. Rautalangasta väännettynä: GnuPG:n tai PGP:n käyttäminen tietokoneessa, jonka satunnaislukugeneraattori on vaarantunut, ei hyödytä juuri mitään.
  
  
• Tärkeät tietojärjestelmät tulee eristää tehokkaasti ympäristöstään fyysisesti, jotta elektromagneettinen säteily vaimenee niin paljon, ettei sitä voida ympäristöstä juurikaan havaita ja tätä kautta vaarantaa järjestelmää. Tämä on vaikeaa, kallista ja tekee järjestelmien käyttämisestä yleensä hyvin epäkäytännöllistä.
  
  
• Laitteistohankinnoissa kannattaa välttää ainakin Kiinaa ja USA:ta, mutta kuten Crypto AG:n esimerkki kertoo, mitään maata tai yritystä ei voi pitää turvallisena valmistajana. Kotimainen valmistus ei auta, kun komponentit ja suunnittelu tulee ulkomailta ja yrityksessä on kasapäin ulkomaalaisia työntekijöitä.
  
  
• Päättäjien pitäisi saada aikaan lakimuutoksia, joilla vieraiden valtioiden tai ylipäätään minkä tahansa tahon kanssa takaportteja järjestelmiin rakentaneet tahot saataisiin henkilökohtaiseen rikosoikeudelliseen vastuuseen - sekä korvausvastuuseen teoistaan. Tämä nostaisi kummasti kynnystä suostua yhteistyöhön tiedustelupalveluiden kanssa rakentelemaan takaporttia järjestelmiinsä.

Kaikkein tärkeintä olisi kuitenkin ylipäätään tiedostaa takaporttien olemassaolo ja suunnitella oma ja yrityksen (sekä valtion tietysti) toiminta sen mukaisesti. Ongelman tiedostaminen on joka tapauksessa ensimmäinen askel ongelman korjaamiseen. Piilottelu ja vähättely vain pahentaa tilannetta.