GSM (ja muiden matka- ja älypuhelinsysteemien) tietoturvaongelmat voidaan jakaa karkeasti ottaen kahteen osaan: Bluetoothiin ja muihin. Bluetoothia käsittelin omassa kirjoituksessani aikaisemmin, joten paneudutaan siis nyt näihin "muihin" tietoturva- ja tietosuoja asioihin matkapuhelimiin liittyen.
Suurinta osaa näistäkään asioista ei matkapuhelimen myyjä "muista" tai yksinkertaisesti osaa asiakkaalleen kertoa. Matkapuhelinoperaattoreiden "auttaviin puhelimiin" soittaminenkaan ei yleensä auta näiden asioiden kanssa tippaakaan, koska operaattorit joko kategorisesti kiistävät kaikki ongelmat tai sitten yksinkertaisesti kieltäytyvät keskustelemasta asiasta.
Ensinnäkin, matkapuhelin on pieni ja helposti mukana kuljetettava ja myöskin helposti hukkuva- tai varastettava. Matkapuhelimen sisältö on salaamaton, joten kuka tahansa laitteen napannut voi tonkia sieltä esille aivan mitä haluaa, esimerkiksi puhelinnumeroita, tekstiviestejä, videoita, jne. Puhelimen SIM-kortti voidaan suojata PIN-koodilla (joka antaa melko hyvän suojan), mutta useimmat uudet matkapuhelimet tallentavat tietonsa nimenomaan puhelimen omaan muistiin, eikä siis suinkaan SIM-kortille. Ainoa vaihtoehto näiden suojaamiseksi on joko salata ne vahvalla salauksella (mikä onnistuu vain PDA laitteissa) tai koettaa suojata niitä matkapuhelimen suojakoodia tai muita kikkoja käyttäen.
Suojakoodi voidaan asettaa matkapuhelimeen siten, että mikäli puhelin koetetaan käynnistää ilman sen normaalia SIM-korttia, se pyytää suojakoodia ja mikäli se ei sitä saa, koko puhelin kieltäytyy toimimasta. Suojakoodia voidaan myöskin käyttää siten, että puhelin laitetaan pyytämään suojakoodi kun näppäinlukko avataan...tämä estää tehokkaasti "näpeistä varastetun" matkapuhelimen väärinkäytön, sillä varas ei tiedä suojakoodia ja ilman sitä hän ei voi avata näppäinlukkoa...ja jos hän sulkee puhelimen virrat, hän joutuu antamaan PIN-koodin!
Suojakoodi ei kuitenkaan suojaa puhelimessa kiinni olevan muistikortin (uudet älypuhelimet!) tietoja millään tapaa ja hyökkääjä voi yksinkertaisesti siirtää ko. muistikortin vaikka omaan puhelimeensa ja katsoa sen sisällön siinä. Jossain puhelinmalleissa, esimerkiksi itse aikoinaan käyttämissäni Nokian puhelimissa, oli mahdollisuus suojata muistikortti salasanalla (jonka puhelin tallentaa omaan muistiinsa, joten sitä ei tarvitse joka kerran näpytellä). Kaikki Secure Digital (SD, miniSD, microSD jne.) muistikortit sisältävät CPMR-suojauksen, johon kuuluu Cryptomeria -salaimella tehtävä salaus, mutta eri asia on, tukeeko matkapuhelimesi sen käyttöönottoa vaiko ei. CPMR-suojaus antaa hieman suojaa (avainkoko 56bit) hyvällä salasanalla käytettynä, eikä sitä tavanomainen varas pysty murtamaan - joskin päättäväinen hakkeri kylläkin pystyy.
Suojakoodin ja PIN-koodin käyttäminen on helppoa ja vaivatonta, mutta se vaatii perehtymistä laitteen ominaisuuksiin ja ohjeisiin. Kun olet laittanut hyvät suojakoodit ja PIN-koodit, testaa ihmeessä että ne myöskin toimivat! Testaaminen on helppo tehdä siten, että yksinkertaisesti sammutat puhelimen ja käynnistät sen uudelleen ja katsot, vaatiiko se PIN-koodin vaiko ei. Sitten, testaa suojakoodi sammuttamalla kännykkä ja vaihtamalla SIM-korttisi kaverin SIM-korttiin ja käynnistä puhelin...sen pitäisi nyt pyytää sinun suojakoodiasi toimiakseen! Näppäinlukon kanssa suojakoodin testaaminen on sekin helppoa, senkun laitat näppäinlukon päälle ja koeta ottaa se pois - kännykän pitäisi nyt pyytää suojakoodia! Muistikortin salasanasuojauksen testaaminen ei sekään liene vaikeaa - kortti irti puhelimesta ja lukulaitteeseen tietokoneeseen ja katso, pystytkö lukemaan sitä vaiko et.
PIN- ja suojakoodit voi taitava varas murtaa asiaan kuuluvalla laitteistolla ja ohjelmistolla, mutta tavallinen varas ei näihin pääse käsiksi ja siksi PIN- ja suojakoodi (sekä muistikortin salasanasuojaus) yhdessä käytettynä antavat hyvän suojan puhelimelle ainakin tavanomaisia varkaustapauksia jne. vastaan.
Matkapuhelinoperaattorit (vai pitäisikö sanoa tarkemmin - verkko-operaattorit) ovat ongelmallisia siinä suhteessa, että heistä riippuu, millaista salausta matkapuhelinliikenteesi käyttää. Matkapuhelinliikenteen salaus ei ole mitenkään vahva yleisesti ottaen. GSM-puheluiden salaukseen käytetään Suomessa A5/1 ja COMP-128-1 salausalgoritmejä, jotka molemmat ovat epäturvallisia ja murtuvat käytännössä reaaliaikaisesti asiansa osaavalle hyökkääjälle, joka puolestaan mahdollistaa matkapuhelinten kloonauksen ja salakuuntelun. Nyt on syytä muistuttaa, että vaikka omistaisit 3G puhelimen, se ei tarkoita että puhelusi kulkisi 3G verkossa, vaan yleensä puhelut kulkevat silti vanhassa GSM-verkossa tuolla vanhalla pilipalisalauksella suojattuna. 3G verkossa (ja HSDPA verkossa) kulkee lähinnä ainoastaan data, eli nettisurffailusi liikenne. 3G tarjoaa tietoturvan kannalta paremmat ominaisuudet (A5/3 ja COMP-128-3 algoritmit), vaikka nekin voidaan kyllä osaavan tahon toimesta murtaa. Tiettävästi ainakin Elisa käyttää myös GSM-verkossaan A5/3 ja COMP-128-3 algoritmejä, mutta esimerkiksi Sonera ja DNA eivät käytä (vaan noita vanhoja pilipalisalauksia).
Matkapuhelinliikennettä voidaan siis salakuunnella, mutta hieman vaihtelevalla menestyksellä. Mikäli uhri käyttää liittymää, jossa on käytössä pilipalisalaus (A5/1 ja COMP-128-1), eikä liiku paljoakaan puhuessaan, on liikenteen kuunteleminen ja salauksen purku vain tekninen haaste ja mahdollinen "asiansa osaaville" tahoille. Pilipalisalaus voidaan helposti murtaa ja matkapuhelimen pysyminen samalla tukiasemalla ja taajuuksilla tekee sen kuuntelun helpommaksi. Teoriassa kaikkia matkapuhelinpuheluita voidaan kuunnella muutamia kymppejä maksavilla laitteilla.
Mikäli uhri käyttää liittymää, jossa käytetään vahvaa salausta (A5/3 ja COMP-128-3), on kännykkäyhteyden suora kuuntelu vaikeampaa. Hyökkääjän kannattaa silloin joko kuunnella uhrin handsfree laitetta (lisää tästä Bluetooth osiossa), tilaa jossa uhri puhuu, tai päästä matkapuhelinkeskusten väliseen liikenteeseen käsiksi (tai muuten saada käsiinsä operaattorilta uhrin salausavaimet). Suurinosa tästä matkapuhelinkeskuksien välisestä liikenteestä kulkee salaamattomina mikroaaltolinkkeinä eri keskustelen välillä...siihen käsiksi pääseminen ei ole mahdotonta mutta varsin haastavaa kylläkin.
Matkapuhelimia voidaan myös salakuunnella käyttämällä ns. vihamielisen tukiaseman tekniikkaa. Siinä hyökkääjä laittaa pystyyn oman "tukiasemansa" salakuunneltavan puhelimen lähistölle. Tukiasema kertoo sitten kännykälle, että "salaus on poissa päältä" ja "minä olen kuuluvuudeltaan paras tukiasema, ota minuun yhteys" ja kännykkä tottelee kuuliaisesti. Joissakin kännykkämalleissa matkapuhelimeen ilmestyy tässä vaiheessa rikkinäisen tai auki olevan lukon kuva merkiksi siitä, että salaus on poissa päältä. Useimmat matkapuhelimet eivät reagoi mitenkään, etenkään jos hyökkääjä ei olekkaan laittanut salausta kokonaan pois päältä, vaan ainoastaan pudottanut sen tasoa täysin epäturvalliseksi (A5/2 + COMP-128-1), jonka murtaminen on vieläkin helpompaa kuin A5/1 murtaminen. 3G verkoissa tältä on suojauduttu siten, että sekä kännykkä että tukiasema tunnistavat toinen toisensa, mutta, muistutan jälleen, että vaikka käyttäisit 3G puhelinta, viestintä voidaan vaikkapa häirinnällä pakottaa käyttämään 2G verkkoa ja sen salauksia tai vihamielistä 2G tukiasemaa.
Tiettävästi Elisa on ainoana operaattorina suojannut asiakkaansa puhelimet (SIM-kortit tarkemmin sanottuna) siten, että ne kieltäytyvät käyttämästä mitään muuta kuin A5/3 + COMP-128-3 salausta (ainakin niin pitkään kun puhelimelle uskotellaan että ollaan Suomessa), jolloin vihamielisen tukiaseman tekniikka ei toimi niitä vastaan. Muiden operaattorien tilanteesta en osaa sanoa varmaksi mitään.
Poliisi tai teleoperaattori pystyy aina kuuntelemaan mitä tahansa liittymää, jonka numeron tai puhelimen se tietää ja tarvittaessa poliisi voi kuunnella vaikka koko alueen matkapuhelinliittymiä (ns. "tolppalupa") löytääkseen sieltä sen jota he hakevat.
Mikäli haluat siis pitää asiasi varmasti salassa, käytä päästä-päähän-salaavaa matkapuhelinta (esimerkiksi Cryptophone) tai anonyymejä käytettyjä kännyköitä anonyymien prepaid-liittymien kanssa sellaisille keskustelukumppaneille joilla itsellään on vastaavat matkapuhelimet tai anonyymit käytetyt kännykät + anonyymit prepaid liittymät niihin. Varmuuden vuoksi kannattaa olla soittamatta puheluita kotisi tms. läheltä, koska joku voi kuunnella sitä tukiasemaa, jota matkapuhelimesi normaalisti käyttää ja toisaalta paikantaa sinut puhelun perusteella. Alhaisemman riskin tapauksissa liikkuminen, esimerkiksi autosta tai junasta puhuminen, vaikeuttaa kuuntelua jo merkittävästi, koska tällöin kännykkä joutuu jatkuvasti vaihtamaan tukiasemaa ja taajuuksia, eikä kuuntelija välttämättä "pysy perillä" missä tukiasemassa ja millä taajuudella puhutaan.
Matkapuhelimet voivat myös saastua viruksista ja muista haittaohjelmista. Yleensä nämä saapuvat Bluetooth-yhteyden kautta (käsittelin näitä asioita Bluetooth osiossa tarkemmin), mutta mm. MMS eli multimediaviestit voivat sisältää haittaohjelmia. Yleisesti ottaen puhelimet kysyvät useaan kertaa vahvistuksia, mikäli käyttäjä koettaa ajaa epäturvallisen (tai turvallisenkin) ohjelman niissä (esimerkiksi MMS viestin kylkiäisenä tulleen SIS -tiedoston), mutta tämä ei ole mikään sääntö.
Käyttäjän tulisi olla hyvin tietoinen, että minkä tahansa ohjelman tai tiedoston suorittaminen matkapuhelimessa (tai PDA:ssa toki yhtähyvin) vastaa sitä, että ohjelman suorittaisi pöytätietokoneessaan. Tämän vuoksi mitään ohjelmaa tulisi ikinä suorittaa matkapuhelimella(kaan), mikäli et ole täysin varma sen suoritettavan ohjelman turvallisuudesta! Ja koska 99,99% varmuudella et voi olla siitä varma, älä siis suorita ohjelmia joita matkapuhelimeesi tulee, täysin riippumatta niiden tulotavasta (Bluetooth, MMS, kaverin puhelimesta, jne.)! Joitain matoja on olemassa, jotka pystyvät käyttämään hyväksi matkapuhelimen ohjelmistoissa olevia haavoittuvuuksia ja saastuttamaan matkapuhelimen ilman mitään käyttäjien toimia, mutta nämä ovat (ainakin toistaiseksi) harvinaisia ja (vanhan) matkapuhelimen ohjelmiston päivittäminen kotona tai jälleenmyyjän luona ratkaisee tämän ongelman yleensä erittäin tehokkaasti.
Muista myös noudattaa varovaisuutta surffatessasi internetissä puhelimesi selaimella - se ei ole juurikaan turvallisempi kuin pöytätietokoneessasi oleva nettiselain ja voi myös siis saastua ja saastuttaa matkapuhelimen haittaohjelmilla.
Matkapuhelinta voidaan käyttää myös salakuunteluvälineenä. Matkapuhelinta on mahdollista verkon kautta (operaattorin toimesta, miksei hakkerinkin) manipuloida siten, että se esimerkiksi käynnistyy itsestään (täysin "hiljaisesti", ilman että se edes näyttää olevan päällä) ja alkaa salakuuntelemaan ympäristöään kännykän mikrofonin kautta. USA:ssa FBI on useasti käyttänyt juuri tätä tekniikkaa vakoillessaan tiloja, joihin se ei ole saanut fyysistä pääsyä mikrofonien asettamiseksi. Tämän vakoilumuodon vaarallisuus on juuri siinä, että se on mahdollista toteuttaa, vaikka kännykkä olisi suljettuna eikä kännykän käyttäjä pysty mitenkään havaitsemaan, että hänen kännykkänsä tällä tavalla vakoilee ympäristöään.
Kännykkää voi kuka tahansa käyttää salakuunteluun yksinkertaisesti kiinnittämällä siihen hands-free laitteen ja asettamalla matkapuhelin automaattisesti vastaamaan tuleviin puheluihin (ja olemaan äänettömällä)...sitten vain kännykkä hands-free systeemeineen jätetään vakoiltavaan paikkaan ja halutulla hetkellä soitetaan siihen ja kuunnellaan mitä huoneessa puhutaan sen ympärillä.
Ainoa keino suojautua näiltä hyökkäykseltä on irroittaa matkapuhelimen akku kun matkapuhelinta ei käytä tai kun haluaa olla varma ettei matkapuhelinta käytetä ympäristönsä vakoiluun! Myös kaiuttimien kuunteleminen puhelimen läheisyydessä paljastaa helposti, onko matkapuhelimesta liikennettä matkapuhelinverkkoon silloinkin kun et itse ole käyttämässä sitä puhelinta mihinkään.
Matkapuhelimesta kannattaa muuten muistaa ottaa talteen sen IMEI-tunnus. Yleensä IMEI lukee puhelimen akun alla, mutta sen saa myös esille näpyttämällä puhelimeen *#06# ja odottamalla hetken. IMEI-tunnuksen avulla kyseinen matkapuhelin (ei siis SIM-kortti) voidaan jäljittää ja sulkea, mikäli se varastetaan. Jos matkapuhelimesi varastetaan, voit siis ilmoittaa heti operaattorille paitsi matkapuhelinnumerosi (= SIM-kortti) jolla liittymäsi voidaan sulkea, niin myös itse puhelimesi numeron (=IMEI) jolla itse fyysinen matkapuhelin voidaan sulkea ulos verkosta. Jotkut operaattorit haluavat kopion rikosilmoituksesta, jolla kännykkä on ilmoitettu varastetuksi, jotta suostuvat sulkemaan puhelimen IMEI-tunnuksen perusteella ulos verkosta. IMEI-tunnuksen pystyy taitava varas muuttamaan puhelimesta toiseksi, mutta se vaatii taitoja ja erikoistyökaluja, joita tavallisella varkaalla tuskin on hallussaan. Mikäpä sen mukavampaa kuin tehdä varkaan varastamasta tuotteesta periaatteessa täysin arvoton sulkemalla sekä siinä oleva liittymä että itse kyseinen puhelin pois verkosta! :)
Matkapuhelinoperaattorisi tallentaa SIM-korttisi PUK-koodit, joilla voidaan purkaa PIN-koodin lukitsema puhelin. Mikäli matkapuhelinoperaattorisi jakaa näitä PUK-koodeja liian hanakasti, voi matkapuhelimesi varastanut henkilö saada PIN-lukituksesi purettua yksinkertaisesti pirauttamalla operaattorillesi ja väittämällä, että olet hukannut PIN-koodisi ja tarvitset puhelimesi auki...jolloin operaattori saattaa antaa kyseisen PUK-koodin hänelle. Mikäli varas on vienyt puhelimesi lisäksi esimerkiksi lompakkosi ja tietää siten sosiaaliturvatunnuksesi, suurinosa operaattoreista antaa mukisematta PUK-koodisi hänelle puhelimitse. Toki, sen jälkeen kun olet soittanut operaattorillesi ja käskenyt heitä sulkemaan sekä liittymäsi että puhelimesi (se IMEI-tunnus, muistakos?), yksikään operaattori tuskin suostuu enää antamaan ko. SIM-kortin PUK-koodia kenellekkään puhelimitse (tai muutenkaan), vaan toimittaa sen sijaan uuden SIM-kortin liittymänhaltijan osoitteeseen.
Tekstiviestien lähettäjätiedot on mahdollista väärentää niin hyvin, että edes teleoperaattorit eivät osaa erottaa oikeata väärästä. Tämä mahdollistaa esimerkiksi joidenkin palveluiden tilaamisen toisen henkilön nimiin, kiusanteon, tai vaikka keinon urkkia tietoon vaikkapa salasanojasi ja muuta. Älä siis luota siihen, että näkemäsi lähettäjätiedot pitäisivät yhtään paikkaansa. Suomessa onneksi useimmat palvelut, joissa matkapuhelimen tai tekstiviestin numeroa käytetään laskutukseen, on varmistettu siten, että niissä tällainen "jippo" ei toimi.
Kännykkäpaikannus voi olla siunaus tai kirous, ihan miten asian haluaa nähdä. Kännykkäpaikannusta voi käyttää myöskin esimerkiksi auton (varastetun) jäljittämiseen piilottamalla autoon päällä olevan kännykän, jonka liittymään on laitettu paikannuspalvelu ja joka saa virtansa akkuunsa jostain auton virtalaitteista...jos auto varastetaan, voit helposti paikantaa missä se on. Hehehehhee... Myös hätäkeskukset voivat hätätilanteissa paikantaa sinut kännykkäsi perusteella jopa muutamassa minuutissa. Haittapuolena voidaan mainita, että myöskin muut viranomaiset (ja järjestelmää väärinkäyttävät tahot) voivat paikantaa sinut hyvinkin tarkasti aina kun matkapuhelimesi on päällä. Huomaa, että kännykkäpaikannuksella ei ole mitään tekemistä GPS-paikannuksen kanssa, vaan kännykkäpaikannus perustuu puhtaasti matkapuhelinverkon tukiasemiin ja niistä saataviin tietoihin.
Kännyköiden tietojen varmistaminen voi tuntua hieman hankalalta, mutta se olisi siitä huolimatta tehtävä silloin tällöin. Muuten vaarana on, että kännykän kadottua tai sen rikkoonnuttua esimerkiksi puhelinmuistiot katoavat bittien taivaaseen! Kaupoista voi ostaa edullisia SIM-korttien lukijoita, joilla voi kopioida esimerkiksi tekstiviestit ja puhelinmuistiot vaikkapa tietokoneen kiintolevylle turvaan. SIM-kortin sisällön voi toki myös (varmuus)kopioida jonkin jälleenmyyjän luona, mutta silloin sinulla pitää olla toinen SIM-kortti jolle kopioida ne! Helpoin ja epämiellyttävin tapa varmuuskopioida ainakin puhelinmuistio on yksinkertaisesti kirjoittaa se paperille jonnekin. Mikäli puhelimessa on muistikortti, sen tietojen kopioiminen kiintolevylle onnistuu yleensä melko helpolla valmistajan ohjeilla ja kaapeleilla. Jotkin puhelimet mahdollistavat toki myös sellaisenaan puhelinmuistioiden jne. kopioimisen suoraan kiintolevylle valmistajan kaapeleiden ja ohjelmien avulla.
Tiivistän vielä lyhyesti kännyköiden tietoturvan: Muista laittaa PIN- ja suojakoodit matkapuhelimeensi ja salasanasuojaus muistikorttiin, kirjoita puhelimesi IMEI-tunnus muistiin ja mikäli puhelimesi varastetaan tai katoaa, ilmoita operaattorille heti paitsi numerosi niin myös tuo IMEI-tunnus, jotta liittymäsi ja puhelimesi voidaan sulkea verkosta ulos. Äläkä ikinä suorita puhelimillakaan mitään tiedostoja, joiden turvallisuudesta et voi olla varma! Ja jos aiot puhua jotain luottamuksellista, älä käytä ainakaan normaalia kännykkääsi ja liittymääsi siihen, vaan hanki päästä-päähän-salaava matkapuhelin tai käytä anonyymejä käytettyjä kännyköitä yhdessä anonyymien prepaid-liittymien kanssa. Muista, että kännykkä voidaan aktivoida salakuuntelulaitteeksi etäältä, eli ota akku pois siitä jos tällaista hyökkäystä pidät todennäköisenä. Ja muista, että kännykät voidaan paikantaa kaupungissa muutamien metrien ja kaupungin ulkopuolella joidenkin satojen metrien tarkkuudella! Ja muista tehdä varmuuskopiot puhelimessa olevista tärkeistä tiedoista jottet ole ongelmissa puhelimen tai SIM-kortin hävittyä jonnekin.
Lisäinfoa asiaan liittyen löytyy mm. Ficoran sivuilta.
Suurinta osaa näistäkään asioista ei matkapuhelimen myyjä "muista" tai yksinkertaisesti osaa asiakkaalleen kertoa. Matkapuhelinoperaattoreiden "auttaviin puhelimiin" soittaminenkaan ei yleensä auta näiden asioiden kanssa tippaakaan, koska operaattorit joko kategorisesti kiistävät kaikki ongelmat tai sitten yksinkertaisesti kieltäytyvät keskustelemasta asiasta.
Ensinnäkin, matkapuhelin on pieni ja helposti mukana kuljetettava ja myöskin helposti hukkuva- tai varastettava. Matkapuhelimen sisältö on salaamaton, joten kuka tahansa laitteen napannut voi tonkia sieltä esille aivan mitä haluaa, esimerkiksi puhelinnumeroita, tekstiviestejä, videoita, jne. Puhelimen SIM-kortti voidaan suojata PIN-koodilla (joka antaa melko hyvän suojan), mutta useimmat uudet matkapuhelimet tallentavat tietonsa nimenomaan puhelimen omaan muistiin, eikä siis suinkaan SIM-kortille. Ainoa vaihtoehto näiden suojaamiseksi on joko salata ne vahvalla salauksella (mikä onnistuu vain PDA laitteissa) tai koettaa suojata niitä matkapuhelimen suojakoodia tai muita kikkoja käyttäen.
Suojakoodi voidaan asettaa matkapuhelimeen siten, että mikäli puhelin koetetaan käynnistää ilman sen normaalia SIM-korttia, se pyytää suojakoodia ja mikäli se ei sitä saa, koko puhelin kieltäytyy toimimasta. Suojakoodia voidaan myöskin käyttää siten, että puhelin laitetaan pyytämään suojakoodi kun näppäinlukko avataan...tämä estää tehokkaasti "näpeistä varastetun" matkapuhelimen väärinkäytön, sillä varas ei tiedä suojakoodia ja ilman sitä hän ei voi avata näppäinlukkoa...ja jos hän sulkee puhelimen virrat, hän joutuu antamaan PIN-koodin!
Suojakoodi ei kuitenkaan suojaa puhelimessa kiinni olevan muistikortin (uudet älypuhelimet!) tietoja millään tapaa ja hyökkääjä voi yksinkertaisesti siirtää ko. muistikortin vaikka omaan puhelimeensa ja katsoa sen sisällön siinä. Jossain puhelinmalleissa, esimerkiksi itse aikoinaan käyttämissäni Nokian puhelimissa, oli mahdollisuus suojata muistikortti salasanalla (jonka puhelin tallentaa omaan muistiinsa, joten sitä ei tarvitse joka kerran näpytellä). Kaikki Secure Digital (SD, miniSD, microSD jne.) muistikortit sisältävät CPMR-suojauksen, johon kuuluu Cryptomeria -salaimella tehtävä salaus, mutta eri asia on, tukeeko matkapuhelimesi sen käyttöönottoa vaiko ei. CPMR-suojaus antaa hieman suojaa (avainkoko 56bit) hyvällä salasanalla käytettynä, eikä sitä tavanomainen varas pysty murtamaan - joskin päättäväinen hakkeri kylläkin pystyy.
Suojakoodin ja PIN-koodin käyttäminen on helppoa ja vaivatonta, mutta se vaatii perehtymistä laitteen ominaisuuksiin ja ohjeisiin. Kun olet laittanut hyvät suojakoodit ja PIN-koodit, testaa ihmeessä että ne myöskin toimivat! Testaaminen on helppo tehdä siten, että yksinkertaisesti sammutat puhelimen ja käynnistät sen uudelleen ja katsot, vaatiiko se PIN-koodin vaiko ei. Sitten, testaa suojakoodi sammuttamalla kännykkä ja vaihtamalla SIM-korttisi kaverin SIM-korttiin ja käynnistä puhelin...sen pitäisi nyt pyytää sinun suojakoodiasi toimiakseen! Näppäinlukon kanssa suojakoodin testaaminen on sekin helppoa, senkun laitat näppäinlukon päälle ja koeta ottaa se pois - kännykän pitäisi nyt pyytää suojakoodia! Muistikortin salasanasuojauksen testaaminen ei sekään liene vaikeaa - kortti irti puhelimesta ja lukulaitteeseen tietokoneeseen ja katso, pystytkö lukemaan sitä vaiko et.
PIN- ja suojakoodit voi taitava varas murtaa asiaan kuuluvalla laitteistolla ja ohjelmistolla, mutta tavallinen varas ei näihin pääse käsiksi ja siksi PIN- ja suojakoodi (sekä muistikortin salasanasuojaus) yhdessä käytettynä antavat hyvän suojan puhelimelle ainakin tavanomaisia varkaustapauksia jne. vastaan.
Matkapuhelinoperaattorit (vai pitäisikö sanoa tarkemmin - verkko-operaattorit) ovat ongelmallisia siinä suhteessa, että heistä riippuu, millaista salausta matkapuhelinliikenteesi käyttää. Matkapuhelinliikenteen salaus ei ole mitenkään vahva yleisesti ottaen. GSM-puheluiden salaukseen käytetään Suomessa A5/1 ja COMP-128-1 salausalgoritmejä, jotka molemmat ovat epäturvallisia ja murtuvat käytännössä reaaliaikaisesti asiansa osaavalle hyökkääjälle, joka puolestaan mahdollistaa matkapuhelinten kloonauksen ja salakuuntelun. Nyt on syytä muistuttaa, että vaikka omistaisit 3G puhelimen, se ei tarkoita että puhelusi kulkisi 3G verkossa, vaan yleensä puhelut kulkevat silti vanhassa GSM-verkossa tuolla vanhalla pilipalisalauksella suojattuna. 3G verkossa (ja HSDPA verkossa) kulkee lähinnä ainoastaan data, eli nettisurffailusi liikenne. 3G tarjoaa tietoturvan kannalta paremmat ominaisuudet (A5/3 ja COMP-128-3 algoritmit), vaikka nekin voidaan kyllä osaavan tahon toimesta murtaa. Tiettävästi ainakin Elisa käyttää myös GSM-verkossaan A5/3 ja COMP-128-3 algoritmejä, mutta esimerkiksi Sonera ja DNA eivät käytä (vaan noita vanhoja pilipalisalauksia).
Matkapuhelinliikennettä voidaan siis salakuunnella, mutta hieman vaihtelevalla menestyksellä. Mikäli uhri käyttää liittymää, jossa on käytössä pilipalisalaus (A5/1 ja COMP-128-1), eikä liiku paljoakaan puhuessaan, on liikenteen kuunteleminen ja salauksen purku vain tekninen haaste ja mahdollinen "asiansa osaaville" tahoille. Pilipalisalaus voidaan helposti murtaa ja matkapuhelimen pysyminen samalla tukiasemalla ja taajuuksilla tekee sen kuuntelun helpommaksi. Teoriassa kaikkia matkapuhelinpuheluita voidaan kuunnella muutamia kymppejä maksavilla laitteilla.
Mikäli uhri käyttää liittymää, jossa käytetään vahvaa salausta (A5/3 ja COMP-128-3), on kännykkäyhteyden suora kuuntelu vaikeampaa. Hyökkääjän kannattaa silloin joko kuunnella uhrin handsfree laitetta (lisää tästä Bluetooth osiossa), tilaa jossa uhri puhuu, tai päästä matkapuhelinkeskusten väliseen liikenteeseen käsiksi (tai muuten saada käsiinsä operaattorilta uhrin salausavaimet). Suurinosa tästä matkapuhelinkeskuksien välisestä liikenteestä kulkee salaamattomina mikroaaltolinkkeinä eri keskustelen välillä...siihen käsiksi pääseminen ei ole mahdotonta mutta varsin haastavaa kylläkin.
Matkapuhelimia voidaan myös salakuunnella käyttämällä ns. vihamielisen tukiaseman tekniikkaa. Siinä hyökkääjä laittaa pystyyn oman "tukiasemansa" salakuunneltavan puhelimen lähistölle. Tukiasema kertoo sitten kännykälle, että "salaus on poissa päältä" ja "minä olen kuuluvuudeltaan paras tukiasema, ota minuun yhteys" ja kännykkä tottelee kuuliaisesti. Joissakin kännykkämalleissa matkapuhelimeen ilmestyy tässä vaiheessa rikkinäisen tai auki olevan lukon kuva merkiksi siitä, että salaus on poissa päältä. Useimmat matkapuhelimet eivät reagoi mitenkään, etenkään jos hyökkääjä ei olekkaan laittanut salausta kokonaan pois päältä, vaan ainoastaan pudottanut sen tasoa täysin epäturvalliseksi (A5/2 + COMP-128-1), jonka murtaminen on vieläkin helpompaa kuin A5/1 murtaminen. 3G verkoissa tältä on suojauduttu siten, että sekä kännykkä että tukiasema tunnistavat toinen toisensa, mutta, muistutan jälleen, että vaikka käyttäisit 3G puhelinta, viestintä voidaan vaikkapa häirinnällä pakottaa käyttämään 2G verkkoa ja sen salauksia tai vihamielistä 2G tukiasemaa.
Tiettävästi Elisa on ainoana operaattorina suojannut asiakkaansa puhelimet (SIM-kortit tarkemmin sanottuna) siten, että ne kieltäytyvät käyttämästä mitään muuta kuin A5/3 + COMP-128-3 salausta (ainakin niin pitkään kun puhelimelle uskotellaan että ollaan Suomessa), jolloin vihamielisen tukiaseman tekniikka ei toimi niitä vastaan. Muiden operaattorien tilanteesta en osaa sanoa varmaksi mitään.
Poliisi tai teleoperaattori pystyy aina kuuntelemaan mitä tahansa liittymää, jonka numeron tai puhelimen se tietää ja tarvittaessa poliisi voi kuunnella vaikka koko alueen matkapuhelinliittymiä (ns. "tolppalupa") löytääkseen sieltä sen jota he hakevat.
Mikäli haluat siis pitää asiasi varmasti salassa, käytä päästä-päähän-salaavaa matkapuhelinta (esimerkiksi Cryptophone) tai anonyymejä käytettyjä kännyköitä anonyymien prepaid-liittymien kanssa sellaisille keskustelukumppaneille joilla itsellään on vastaavat matkapuhelimet tai anonyymit käytetyt kännykät + anonyymit prepaid liittymät niihin. Varmuuden vuoksi kannattaa olla soittamatta puheluita kotisi tms. läheltä, koska joku voi kuunnella sitä tukiasemaa, jota matkapuhelimesi normaalisti käyttää ja toisaalta paikantaa sinut puhelun perusteella. Alhaisemman riskin tapauksissa liikkuminen, esimerkiksi autosta tai junasta puhuminen, vaikeuttaa kuuntelua jo merkittävästi, koska tällöin kännykkä joutuu jatkuvasti vaihtamaan tukiasemaa ja taajuuksia, eikä kuuntelija välttämättä "pysy perillä" missä tukiasemassa ja millä taajuudella puhutaan.
Matkapuhelimet voivat myös saastua viruksista ja muista haittaohjelmista. Yleensä nämä saapuvat Bluetooth-yhteyden kautta (käsittelin näitä asioita Bluetooth osiossa tarkemmin), mutta mm. MMS eli multimediaviestit voivat sisältää haittaohjelmia. Yleisesti ottaen puhelimet kysyvät useaan kertaa vahvistuksia, mikäli käyttäjä koettaa ajaa epäturvallisen (tai turvallisenkin) ohjelman niissä (esimerkiksi MMS viestin kylkiäisenä tulleen SIS -tiedoston), mutta tämä ei ole mikään sääntö.
Käyttäjän tulisi olla hyvin tietoinen, että minkä tahansa ohjelman tai tiedoston suorittaminen matkapuhelimessa (tai PDA:ssa toki yhtähyvin) vastaa sitä, että ohjelman suorittaisi pöytätietokoneessaan. Tämän vuoksi mitään ohjelmaa tulisi ikinä suorittaa matkapuhelimella(kaan), mikäli et ole täysin varma sen suoritettavan ohjelman turvallisuudesta! Ja koska 99,99% varmuudella et voi olla siitä varma, älä siis suorita ohjelmia joita matkapuhelimeesi tulee, täysin riippumatta niiden tulotavasta (Bluetooth, MMS, kaverin puhelimesta, jne.)! Joitain matoja on olemassa, jotka pystyvät käyttämään hyväksi matkapuhelimen ohjelmistoissa olevia haavoittuvuuksia ja saastuttamaan matkapuhelimen ilman mitään käyttäjien toimia, mutta nämä ovat (ainakin toistaiseksi) harvinaisia ja (vanhan) matkapuhelimen ohjelmiston päivittäminen kotona tai jälleenmyyjän luona ratkaisee tämän ongelman yleensä erittäin tehokkaasti.
Muista myös noudattaa varovaisuutta surffatessasi internetissä puhelimesi selaimella - se ei ole juurikaan turvallisempi kuin pöytätietokoneessasi oleva nettiselain ja voi myös siis saastua ja saastuttaa matkapuhelimen haittaohjelmilla.
Matkapuhelinta voidaan käyttää myös salakuunteluvälineenä. Matkapuhelinta on mahdollista verkon kautta (operaattorin toimesta, miksei hakkerinkin) manipuloida siten, että se esimerkiksi käynnistyy itsestään (täysin "hiljaisesti", ilman että se edes näyttää olevan päällä) ja alkaa salakuuntelemaan ympäristöään kännykän mikrofonin kautta. USA:ssa FBI on useasti käyttänyt juuri tätä tekniikkaa vakoillessaan tiloja, joihin se ei ole saanut fyysistä pääsyä mikrofonien asettamiseksi. Tämän vakoilumuodon vaarallisuus on juuri siinä, että se on mahdollista toteuttaa, vaikka kännykkä olisi suljettuna eikä kännykän käyttäjä pysty mitenkään havaitsemaan, että hänen kännykkänsä tällä tavalla vakoilee ympäristöään.
Kännykkää voi kuka tahansa käyttää salakuunteluun yksinkertaisesti kiinnittämällä siihen hands-free laitteen ja asettamalla matkapuhelin automaattisesti vastaamaan tuleviin puheluihin (ja olemaan äänettömällä)...sitten vain kännykkä hands-free systeemeineen jätetään vakoiltavaan paikkaan ja halutulla hetkellä soitetaan siihen ja kuunnellaan mitä huoneessa puhutaan sen ympärillä.
Ainoa keino suojautua näiltä hyökkäykseltä on irroittaa matkapuhelimen akku kun matkapuhelinta ei käytä tai kun haluaa olla varma ettei matkapuhelinta käytetä ympäristönsä vakoiluun! Myös kaiuttimien kuunteleminen puhelimen läheisyydessä paljastaa helposti, onko matkapuhelimesta liikennettä matkapuhelinverkkoon silloinkin kun et itse ole käyttämässä sitä puhelinta mihinkään.
Matkapuhelimesta kannattaa muuten muistaa ottaa talteen sen IMEI-tunnus. Yleensä IMEI lukee puhelimen akun alla, mutta sen saa myös esille näpyttämällä puhelimeen *#06# ja odottamalla hetken. IMEI-tunnuksen avulla kyseinen matkapuhelin (ei siis SIM-kortti) voidaan jäljittää ja sulkea, mikäli se varastetaan. Jos matkapuhelimesi varastetaan, voit siis ilmoittaa heti operaattorille paitsi matkapuhelinnumerosi (= SIM-kortti) jolla liittymäsi voidaan sulkea, niin myös itse puhelimesi numeron (=IMEI) jolla itse fyysinen matkapuhelin voidaan sulkea ulos verkosta. Jotkut operaattorit haluavat kopion rikosilmoituksesta, jolla kännykkä on ilmoitettu varastetuksi, jotta suostuvat sulkemaan puhelimen IMEI-tunnuksen perusteella ulos verkosta. IMEI-tunnuksen pystyy taitava varas muuttamaan puhelimesta toiseksi, mutta se vaatii taitoja ja erikoistyökaluja, joita tavallisella varkaalla tuskin on hallussaan. Mikäpä sen mukavampaa kuin tehdä varkaan varastamasta tuotteesta periaatteessa täysin arvoton sulkemalla sekä siinä oleva liittymä että itse kyseinen puhelin pois verkosta! :)
Matkapuhelinoperaattorisi tallentaa SIM-korttisi PUK-koodit, joilla voidaan purkaa PIN-koodin lukitsema puhelin. Mikäli matkapuhelinoperaattorisi jakaa näitä PUK-koodeja liian hanakasti, voi matkapuhelimesi varastanut henkilö saada PIN-lukituksesi purettua yksinkertaisesti pirauttamalla operaattorillesi ja väittämällä, että olet hukannut PIN-koodisi ja tarvitset puhelimesi auki...jolloin operaattori saattaa antaa kyseisen PUK-koodin hänelle. Mikäli varas on vienyt puhelimesi lisäksi esimerkiksi lompakkosi ja tietää siten sosiaaliturvatunnuksesi, suurinosa operaattoreista antaa mukisematta PUK-koodisi hänelle puhelimitse. Toki, sen jälkeen kun olet soittanut operaattorillesi ja käskenyt heitä sulkemaan sekä liittymäsi että puhelimesi (se IMEI-tunnus, muistakos?), yksikään operaattori tuskin suostuu enää antamaan ko. SIM-kortin PUK-koodia kenellekkään puhelimitse (tai muutenkaan), vaan toimittaa sen sijaan uuden SIM-kortin liittymänhaltijan osoitteeseen.
Tekstiviestien lähettäjätiedot on mahdollista väärentää niin hyvin, että edes teleoperaattorit eivät osaa erottaa oikeata väärästä. Tämä mahdollistaa esimerkiksi joidenkin palveluiden tilaamisen toisen henkilön nimiin, kiusanteon, tai vaikka keinon urkkia tietoon vaikkapa salasanojasi ja muuta. Älä siis luota siihen, että näkemäsi lähettäjätiedot pitäisivät yhtään paikkaansa. Suomessa onneksi useimmat palvelut, joissa matkapuhelimen tai tekstiviestin numeroa käytetään laskutukseen, on varmistettu siten, että niissä tällainen "jippo" ei toimi.
Kännykkäpaikannus voi olla siunaus tai kirous, ihan miten asian haluaa nähdä. Kännykkäpaikannusta voi käyttää myöskin esimerkiksi auton (varastetun) jäljittämiseen piilottamalla autoon päällä olevan kännykän, jonka liittymään on laitettu paikannuspalvelu ja joka saa virtansa akkuunsa jostain auton virtalaitteista...jos auto varastetaan, voit helposti paikantaa missä se on. Hehehehhee... Myös hätäkeskukset voivat hätätilanteissa paikantaa sinut kännykkäsi perusteella jopa muutamassa minuutissa. Haittapuolena voidaan mainita, että myöskin muut viranomaiset (ja järjestelmää väärinkäyttävät tahot) voivat paikantaa sinut hyvinkin tarkasti aina kun matkapuhelimesi on päällä. Huomaa, että kännykkäpaikannuksella ei ole mitään tekemistä GPS-paikannuksen kanssa, vaan kännykkäpaikannus perustuu puhtaasti matkapuhelinverkon tukiasemiin ja niistä saataviin tietoihin.
Kännyköiden tietojen varmistaminen voi tuntua hieman hankalalta, mutta se olisi siitä huolimatta tehtävä silloin tällöin. Muuten vaarana on, että kännykän kadottua tai sen rikkoonnuttua esimerkiksi puhelinmuistiot katoavat bittien taivaaseen! Kaupoista voi ostaa edullisia SIM-korttien lukijoita, joilla voi kopioida esimerkiksi tekstiviestit ja puhelinmuistiot vaikkapa tietokoneen kiintolevylle turvaan. SIM-kortin sisällön voi toki myös (varmuus)kopioida jonkin jälleenmyyjän luona, mutta silloin sinulla pitää olla toinen SIM-kortti jolle kopioida ne! Helpoin ja epämiellyttävin tapa varmuuskopioida ainakin puhelinmuistio on yksinkertaisesti kirjoittaa se paperille jonnekin. Mikäli puhelimessa on muistikortti, sen tietojen kopioiminen kiintolevylle onnistuu yleensä melko helpolla valmistajan ohjeilla ja kaapeleilla. Jotkin puhelimet mahdollistavat toki myös sellaisenaan puhelinmuistioiden jne. kopioimisen suoraan kiintolevylle valmistajan kaapeleiden ja ohjelmien avulla.
Tiivistän vielä lyhyesti kännyköiden tietoturvan: Muista laittaa PIN- ja suojakoodit matkapuhelimeensi ja salasanasuojaus muistikorttiin, kirjoita puhelimesi IMEI-tunnus muistiin ja mikäli puhelimesi varastetaan tai katoaa, ilmoita operaattorille heti paitsi numerosi niin myös tuo IMEI-tunnus, jotta liittymäsi ja puhelimesi voidaan sulkea verkosta ulos. Äläkä ikinä suorita puhelimillakaan mitään tiedostoja, joiden turvallisuudesta et voi olla varma! Ja jos aiot puhua jotain luottamuksellista, älä käytä ainakaan normaalia kännykkääsi ja liittymääsi siihen, vaan hanki päästä-päähän-salaava matkapuhelin tai käytä anonyymejä käytettyjä kännyköitä yhdessä anonyymien prepaid-liittymien kanssa. Muista, että kännykkä voidaan aktivoida salakuuntelulaitteeksi etäältä, eli ota akku pois siitä jos tällaista hyökkäystä pidät todennäköisenä. Ja muista, että kännykät voidaan paikantaa kaupungissa muutamien metrien ja kaupungin ulkopuolella joidenkin satojen metrien tarkkuudella! Ja muista tehdä varmuuskopiot puhelimessa olevista tärkeistä tiedoista jottet ole ongelmissa puhelimen tai SIM-kortin hävittyä jonnekin.
Lisäinfoa asiaan liittyen löytyy mm. Ficoran sivuilta.
En jaksanut lukea koko tekstiä, mutta pakko korjata asiavirhe jos joku näitä sattuu lukemaan: ns. tolppalupa ei tarkoita, että poliisi voi kuunnella koko alueen puhelimia vaan, että se voi paikantaa jonkun tietyn puhelimen jonkun tolpan alueelle.
VastaaPoistaToisekseen poliisilla ei ole ainakaan laissa suotua mahdollisuutta kuunnella "ketä tahansa", vaan perusteena pitää olla epäily (yleensä suht vakavasta) rikoksesta.
Mä saan Ylöjärveltä yhteyden Parkanon torniin ja matkaa tulee linnuntietä ehkä 50 kilsaa.
VastaaPoista