Tehy:n saaman korotuksen kritisointia

Mediassa on hehkutettu pitkin iltaa nyt syntynyttä sopua sairaanhoitajien palkkakiistassa. Mielestäni kuitenkin Tehy on nyt onnistunut tekemään historiallisen, epäoikeudenmukaisen, syrjivän ja jäsenilleenkin huonon ratkaisun. Puhumattakaan nyt syntyneen sopimuksen vaikutuksista veronmaksajiin ja ei-Tehyläisiin sairaanhoitajiin. Puretaanpa Tehy:n jäsenilleen neuvottelema sopimus ja sen vaikutukset osiin, niin näytän missä ongelmat ovat:

Sopimus koskee vain Tehyn jäseniä, ei muita sairaanhoitajia

Tehy toisin sanoen rikkoi törkeästi periaatetta "sama palkka samasta työstä". Periaatetta, jota naisasialiikkeet ja tasa-arvoa ajavat tahot (ne ovat kaksi eri asiaa muuten) ovat iät ja ajat vaatineet. Tehy, naisvaltaisena ammattiyhdistyksenä siis murskasi kerralla naisten ruikuttaman "samasta työstä pitää maksaa samaa palkkaa" -teesin. Jatkossa palkkaa ei tule siis sen mukaan, että teet samaa työtä samassa paikassa samaan aikaan kuin kollegasi. Palkkaa voidaan maksaa ihan jonkun muun kriteerin mukaan, esimerkiksi sen, mihin ammattiliittoon kuulut.

Seuraavan kerran, kun joku alkaa puhua (valetta siitä), että miehet ja naiset eivät saa samaa palkkaa samasta työstä, muistakaa sanoa, että kiitos naisvaltaisen Tehyn, Suomessa ei enää makseta samasta työstä samaa palkkaa eri henkilöille. Muistakaa tämä ja alkakaa itsekin vaatia eri palkkaa työstänne, kuin mitä kolleganne saavat - Tehyhän on jo näyttänyt, että samasta työstä ei tarvitse maksaa samaa palkkaa eri henkilöille! Jos ammattiliitto (etenkin jos Tehy) alkaa valittamaan, että ette te voi saada korkeampaa palkkaa kuin mitä ammattiliittoihin kuuluvat saavat, voitte hienosti todeta, että miten sitten on mahdollista, että ammattiliittoon kuuluvat voivat saada korkeampaa palkkaa kuin ammattiliittoon kuulumattomat...

Tosiasiassa on siis täysin valheellista väittää, että sairaanhoitajat saivat palkankorotuksen. Sairaanhoitajat eivät saaneet euroakaan lisää palkkaa. Tehyläiset sairaanhoitajat ja vain ja ainoastaan Tehyläiset sairaanhoitajat saivat korotuksen palkkaansa. Kaikkiin muihin ammattiliittoihin kuuluvat tai kuulumattomat sairaanhoitajat eivät hyötyneet nyt mitään.

Ammattiliittoihin kuulumattomat ovat nyt epätasa-arvoisessa asemassa ammattiliittoihin kuuluvien kanssa

Suomessa ei ole mahdollista neuvotella itse omasta työehtosopimuksestaan esimerkiksi kunnallisella alalla. Työehtosopimusten yleissitovuus estää tämän. Esimerkiksi minä olisin halukas itse neuvottelemaan työehtoni (palkka mukaanlukien) suoraan esimiesteni kanssa. Tämä ei ole mahdollista. Tehyyn kuulumaton ei voi saada lisää palkkaa, koska ei kuulu Tehyyn eikä hän voi mitenkään neuvotella palkastaan, koska työehtosopimusten yleissitovuus estää sen. Tilanne on täysin mielipuolinen ja vapaata sopimusoikeutta loukkaava.

Muistakaa, että kyse ei ole vapaaehtoisesta sopimisesta eri sopimuspuolten välillä. Jos olisi, tilanne olisikin erittäin hieno. Kyse on siitä, että Tehy voi sopia työehdoista, mutta sinä et itse voi vaikka et kuuluisikaan Tehyyn. Työnantaja taas ei voi olla valitsematta Tehyn jäsentä työntekijäkseen hänen Tehy-jäsenyytensä perusteella, koska se olisi syrjintää. Tehyn jäsenelle työnantaja ei voi olla maksamatta samaa palkkaa kuin mitä Tehy on jäsenilleen vaatinut. Yksilöllä, joka ei kuulu ammattiliittoon, ei ole mitään tämänlaista suojaa.

Ei ole vapaamatkustamista olla kuulumatta ammattiliittoon

Aikaisemmin ammattiyhdistykset ovat neuvotelleet koko alaa koskevat työehtosopimukset. Jonkun mielestä tämä on merkinnyt vapaamatkustusmahdollisuutta niille, jotka työskentelevät alalla, mutta eivät kuulu liittoon. Tällöin unohdetaan, että liittoon kuulumattomatkin ovat joutuneet työehtosopimusten yleissitovuuden vuoksi hyväksymään liiton neuvottelemat paskatyöehdot.

Tilanne olisikin toinen, jos sen enempää liittoon kuulumattoman työntekijän - kuin liittoon kuulumattoman työnantajankaan ei tarvitsisi noudattaa liittojen neuvottelemia työehtosopimuksia ja niiden yleissitovuutta. Mutta kun täytyy noudattaa. Ammattiyhdistyksellä on semmoinen "oikeus".

Tehyn saama korotus on todellisuudessa pieni

Ensimmäisiä asioita, joita eräs kaverini (ekonomi koulutukseltaan) sanoi minulle tänään soittaessaan oli:"Ne tyhmät Tehyn ämmät eivät näköjään osaa laskea". Uutisissa jaksetaan jauhaa siitä, että korotus on historiallisen suuri. 22-28% kun lasketaan mukaan indeksi- ja Tupokorotukset. Mutta, helposti unohtuu, että Tehyn neuvottelema sopimus on nelivuotinen, eikä mikään tänä vuonna voimassa oleva "kuoppakorotus", joka korjaisi pitkään olleen palkkakuopan. Lasketaampa hieman...

Keskimäärin vaikkapa 24% korotus jaettuna neljälle vuodelle tekee keskimäärin 6% per vuosi. Itse asiassa vähemmän kun korotukset laskevat korotusta korotuksille, mutta ei mennä niin pikkutarkaksi nyt. Kun tästä 6% vähennetään inflaatio, eli about 3% vuodessa, jää korotukseksi noin 3% vuodessa. Tämä tarkoittaa, että Tehyyn kuuluvan sairaanhoitajan peruspalkan (1800 euroa kuussa) ostovoima nousee noin 1800 X 0,03 = 54 euroa kuussa. Mutta ei siinä vielä koko laskutoimitus ole, ei suinkaan...

Jotta kunnat voivat kustantaa nämä palkankorotukset, ne voivat joutua tuntuvasti nostamaan veroäyriään. Kun mukaan lasketaan vielä se, että "työtaistelun" (ei irtisanoutuminen ole työtaistelua vaan irtisanoutumista) seurauksena tehdyt järjestelyt ja jonojen purku maksaa hunajaa, voidaan arvella että verotus nousee ehkä 0,5%. Noin 2000 eurosta, eli hoitsun peruspalkasta korotuksen jälkeen, lasketaan 0,5% niin se on 10 euroa kuussa. Eli se 54 euron ostovoiman nousu per kuukausi tippuukin 44 euroon kuussa kun huomioidaan, että kuntien verotus nousee. Ei siinäkään vielä kaikki.

Mikäli tulot nousevat, niin progressiivuus valtion verotuksessa nousee myöskin. Ja muutenkin joutuu tietty maksamaan enemmän veroa. Jos oletetaan, että korotuksen vuoksi veroprosentti nousisi taas vaivaiset 0,5% tulojen kasvamisen ja progressiivisuuden vuoksi, niin tuo 44 euroa kuussa ostovoiman lisäys tippuukin sitten jo 34 euroon kuussa. Ja Tehy se jaksoi pitää hallituksen tarjoamaa 30 euroa/kuussa kuoppakorotusta lapsellisena!

Mutta juttu jatkuu vielä tästäkin. On nimittäin väläytelty, että henkilökuntaa lomautettaisiin, jotta hoitajille saadaan maksettua korotukset. Itse asiassa, on mahdollista, että hoitohenkilökuntaa lomautetaan huomattavasti, pitkällä aikavälillä ei ainakaan lisätä. Lomautusajaltahan ei makseta palkkaa, joten jokainen voi miettiä nouseeko hoitajien tulotaso todellisuudessa lainkaan.

Naiset maksavat ja kärsivät hoitajien nousevasta palkasta

Tehy pyrkii esittämään itsensä naisvaltaisena ja naisia tukevan järjestönä. Jo edellä mainitsemani 4 kohtaa osoittavat, että totuus on toinen. Palkankorotuksen suuruus, kohdentuminen ja erityisolosuhteet aiheuttavat kosolti ongelmia.

Mikäli terveydenhoitopäiviin ei ole entiseen lailla varaa, naiset kärsivät, koska käyttävät enemmän terveyspalveluita kuin miehet (50% enemmän rahaa kuluu naisten hoitoon kuin miesten). Mikäli kunta lomauttaa henkilöstöä, se tarkoittaa käytännössä naisia (hoitohenkilöstöä, lastenhoitajia, siivoajia, toimistotyöntekijöitä, jne.). Kun "samasta työstä ei tarvitse maksaa samaa palkkaa" -trendi tulee käyttöön, niin työnantajat alkavat hilata naisten palkkatasoa mieskollegoitaan matalammaksi mm. siksi, että äitiysraha jne. nostavat naisten kustannuksia työnantajalle.

Tehy ei ole onnistunut ajamaan sairaanhoitajien etuja

Sairaanhoitoalalla työsuhteiden ketjuttaminen, pätkiminen ja määräaikaisuus on ollut ongelma jo 15 vuotta. Tälle Tehy ei ole tosiasiallisesti tehnyt yhtään mitään. Palkkaus on ollut huono eikä sitä ole korotettu selvästi vielä pidempäänkään aikaan. Tälle Tehy on vasta nyt saanut tehtyä hieman jotakin, kun parikymmentä vuotta palkkaus on laahannut valtavasti perässä. Työolosuhteet ylitäysillä osastoilla alimitoitetulla henkilökunnalla ovat olleet ongelmana jo lamasta lähtien. Tälle Tehy ei ole tehnyt vieläkään yhtään mitään. Terveysalan ammattilaisten sekaantuminen uskomuslääkintään rehottaa Suomessa, mustaten todellisten sairaanhoitajien mainetta ja huijaten sairaita ihmisiä. Tälle Tehy ei ole tehnyt vieläkään yhtään mitään.

Ennen tätä työsopimusjupakkaa Tehy laittoi voimaan "ylityö- ja vuoronvaihtokiellon", tarkoituksenaan "painostaa" työantajaa hyvään neuvottelutulokseen. Mikä oli sen vaikutus? Työnantajapuolelle ei mikään, koska ei kuntatyönantajaa oikeasti kiinnosta pätkääkään jos sairaalan osastolla puuttuu jostain iltavuorosta työntekijä ja joku potilas saa huonompaa hoitoa sen vuoksi. Miksi kiinnostaisikaan, ei kuntatyönantaja menetä euroakaan ja kaikesta voidaan syyttää sitä, että "ei ole verovaroja järjestää hoitoa paremmin"... Ylityökielto sen sijaan on aiheuttanut tuntuvia ansiotulomenetyksiä Tehyläisille, koska ylitöistähän maksetaan lisää tuntipalkkaa ja vieläpä korotettua tuntipalkkaa ja kun niitä ei saanut tehdä niin...



Tehy epäonnistui tuhannen taalan paikassaan!

Tehyllä olisi nyt ollut loistava tilaisuus korjata terveysalan työntekijöiden ongelmat kerralla kuntoon. Joukkoirtisanoutuminen ja lupaukset hoitajien tilanteen parantamisesta ennen vaaleja käänsivät edun Tehyn puolelle. Sitä etua ei neljän vuoden kuluttua enää ole, kun Tehy seuraavan kerran neuvottelee työehtosopimuksista. Seuraavat 20 vuotta muistetaan, että "tehän juuri saitte valtavan korotuksen", eikä mitään lisäbonuksia enää tipu sairaanhoitoon.

Tehyltä puuttui ns. munaa. Tehyltä puuttui sisua ja päättäisyyttä pistää asiat kuntoon. Tehyltä puuttui sisua vaatia tarpeeksi ja katsoa viimeinen kääntö tai bluffi tässä pelissä. Nyt ainoa mitä Tehy sai, oli painostuksesta katkeroituneita hoitajia, joiden palkankorotus tosiasiassa hupenee inflaatioon ja kasvaviin veroihin tai lomautuksiin...sekä kunnat, jotka tämän pelleilyn varjolla voivat lomauttaa työntekijöitä ja nostaa verojaan tuntuvasti.

Vielä juhlitaan Tehyssä, mutta kunhan nousuhumalan jälkeinen krapula huomenna iskee, voivat esittämäni ikävät tosiasiat alkaa valjeta myös rivijäsenille. Silloin en haluaisi olla Tehyn johtoportaan kengissä.

Prosessorien tietoturva-aukot vaarantavat "kaiken"

Ei taaskaan kuulu mitään hyvää tietoturvarintamalta.

(Tai no miten sen nyt ottaa, Apple paikkasi useita tietoturva-aukkoja Mac-käyttöjärjestelmässä, mukaanlukien ongelman Leopardin palomuurissa.)

Adi Shamir kirjoittaa New York Times-lehdessä (artikkeli Cryptomessa) prosessorien tietoturva-aukoista. Aihe ja Shamirin kirjoitus on ehkä hieman vaikeaselkoinen, mutta koetan summata yhteen olennaisimmat Shamirin faktat ja esittää ne sopivassa valossa kokonaiskuvan kannalta.

Mikroprosessoreissa, kuten kaikissa ihmisen tekemissä jutuissa kuten ohjelmistoissakin, on sattumalta ja tarkoituksella tehtyjä virheitä. Bugeja ja takaportteja siis. Näitä voidaan hyväksikäyttää useilla tavoin, esimerkiksi lähettämällä koneelle netin tai muun kautta tietoa, jota se prosessoi ja samalla "virheen" vuoksi tekee tai paljastaa jotain mitä sen ei pitäisi tehdä. Tai vaihtoehtoisesti avaa koko tietokoneen sisällön sille joka osaa kolkuttaa oikealla tavalla sen "ovea".

Prosessoriin voidaan myös suunnata elektromagneettista, lämpö- tai mikroaaltosäteilyä, joka aiheuttaa muutoksia sen toimintatavassa tai heijastuu siitä eri tavalla ympäristöönsä. Prosessorin virrankulutusta ja sen lähettämiä elektromagneettisia kenttiä voidaan niin ikään mitata kosketusetäisyydeltä tai etäältä. Prosessorin tekemien laskutulosten (esim. lähettämän nettiliikenteen tai viestin) ja näiden mittausten perusteella voidaan samalla paljastaa prosessorin sisäistä tilaa ja laskutoimituksia.

Hyökkäyksiä on tehty onnistuneesti mm. älykortteja vastaan, eli mittaamalla niiden virrankulutusta kortin tehdessä laskutoimitusta. Näin on pystytty lukemaan niiden sisältämiä salausavaimia ja muuta tietoa. Tämän kaltaisia hyökkäyksiä käyttämällä on lapsellisen helppoa esimerkiksi urkkia puhelimen SIM-kortilta sen sisältämät salausavaimet talteen, jos siis pääsee fyysisesti itse korttiin käsiksi. Näin kaikki kyseisellä liittymällä/SIM-kortilla soitetut puhelut on helppo salakuunnella.

Myös tietokoneohjelmistoon ("softaan") tai tietokoneen komponentteihin ("rautaan") voidaan tehdä haittaohjelmilla tai jo suunnitteluvaiheessa muutoksia, joiden ansiosta nämä esimerkiksi lähettävät tietynlaista elektromagneettista säteilyä ympäristöönsä, joka on helppo havaita Tempest-hyökkäyksellä. Tai muulla tavoin vaarantavat tietokoneen, kuten netissä leviävät madot ja yleiset takaporttiohjelmatkin tekevät.

Se, mitä Shamir tuo esille kirjoituksessaan on, että erilaisia aukkoja prosessoreissa voi olla valtava määrä, eikä ole mitenkään mahdollista löytää niitä kaikkia...jos ei tiedä mitä etsiä. Tiedustelupalvelu, joka on takaportin prosessoriin tai muutenkin rautaan laittanut, tietää mitä ja mistä etsiä ja pystyy siten hyväksikäyttämään tätä tietoturvaongelmaa mielinmäärin. Tässä Shamirin esimerkkitapauksessa (epäsymmetrinen salaus) vaarantaen käyttäjän yksityisen salausavaimen. Ilman että käyttäjä voi havaita yhtään mitään ihmeellistä.

Mikä sitten avuksi?

Ottaen huomioon, että eri tiedustelupalvelut, etenkin USA:ssa, ovat olleet tiiviissä suhteessa telekommunikaatio- ja tietotekniikkafirmoihin ja standardeihin vuosikymmeniä, suojautuminen on vaikeaa. Kuten jo aikaisemmissa kirjoituksissani olen todennut, miltei kaikki ympärillämme oleva elektroniikka- tietokoneet ja ohjelmistot voivat olla takaportitettu tavalla tai toisella. Miten suojautua sellaiselta, joka on laitteen tai ohjelmiston "ominaisuus"...se lieneekin mahdotonta.

Tavallisen käyttäjän kannalta ongelmaksi nämä muodostuvat siinä vaiheessa, kun hakkerit löytävät ja alkavat hyväksikäyttää näitä menetelmiä. Yritysten tietoturvan kannalta ongelma on akuutti, koska tiedustelupalvelut suorittavat myös laaja-alaista teollisuusvakoilua, luultavasti myös näitä takaportteja hyväksikäyttäen.

Kaikki tämä kuulostaa asiaan perehtymättömältä ihmiseltä varmasti lähinnä voodoolta. Mystiseltä selittelyltä johon liittyy näkymättömiä kenttiä, käsittämättömän tarkkoja laskutoimituksia, taitavaa suunnittelua ja kalliita laitteita. Tavallaan kyse onkin miltei salatieteestä, mutta valitettava tosiasia on, että tämän salatieteen hallitseminen onnistuu useilta hakkereilta ja tiedustelupalveluilta leikiten.

Koko tässä jutussa ja aihepiirissä on yleisesti ottaen kyse tempest-hyökkäykseen liittyvistä ominaisuuksista, joista kirjoitin aikaisemmin jo blogissani. Tietokoneen "raudassa" on aikaisemminkin havaittu rakenteellisia takaportteja, joten ongelma ei sinällään ole uusi. Niin ikään takaporttiohjelmat ovat alkaneet pesiytymään tietokoneen "rautaan" myös, kuten kirjoitin aikaisemmin jo blogissani. Kirjoitin blogissani myös aikaisemmin NSA:n istuttamasta takaportista satunnaislukugeneraattorissa. Lukaiskaapa nekin läpi...

Kaiken tämä jälkeen toivotan oikein hyviä yöunia tai vahvempia lääkityksiä kaikille lukijoilleni. ;-)

Ei pakkotyö ole ennenkään ollut väärin - miksi nyt olisi?

On hieman huvittavaa kuunnella tätä lakiesitystä, jonka pohjalta sairaanhoitajia voitaisiin määrätä töihin. Siis vaikka he eivät olisi työsuhteessa tai olisivat vaikkapa eläkkeellä. Tämä on saanut valtavan tunnekuohun aikaiseksi, eihän ketään saa pakottaa työhön? Sehän on orjuutta suorastaan? Vähintäänkin naisiin kohdistuvaa syrjintää ja työntekijöiden oikeuksien polkemista?

Paljon viitattu ja esiin kaivettu Euroopan Neuvoston ihmisoikeussopimus sanoo seuraavaa ja samoilla linjoilla tietysti ovat myös kaikenmaailman YK:n ihmisoikeuksien julistukset sun muut...

Orjuuden ja pakkotyön kielto
1. Ketään ei saa pitää orjuudessa tai orjuuden kaltaisessa pakkotyössä.
2. Ketään ei saa vaatia tekemään pakkotyötä tai muuta pakollista työtä.
3.''Pakkotyöllä tai muulla pakollisella työllä'' ei tässä artiklassa tarkoiteta:
a) tämän yleissopimuksen 5 artiklan määräysten mukaisesti määrätyn vapaudenriiston aikana tai ehdonalaisessa vapaudessa tavanomaisesti määrättyä työtä;
b) aseellisen palveluksen luonteista palvelusta tai sellaista palvelusta, joka vaaditaan sen sijasta maissa, jotka hyväksyvät aseellisesta palveluksesta kieltäytymisen omantunnonsyistä;
c) sellaista palvelusta, jota vaaditaan silloin, kun vaara tai onnettomuus uhkaa yhteiskunnan olemassaoloa tai hyvinvointia;
d) sellaista työtä tai palvelusta, joka kuuluu yleisiin kansalaisvelvollisuuksiin.

Huomatkaa nyt, että ketään ei saa siis vaatia tekemään pakolla työtä. Paitsi asevelvollisuutta. Paitsi mitä tahansa työtä jos vaara uhkaa. Paitsi mitä tahansa työtä, joka kuuluu "yleisiin kansalaisvelvollisuuksiin".

Tämä on vähän samaa kuin sanoisi, että kuolemantuomio on kielletty ja väärin, paitsi siinä ja siinä tilanteessa. Tai, että kidutus on kidutus on kielletty ja väärin, paitsi siinä ja siinä tilanteessa. Tai, että raiskaus on kielletty ja väärin, paitsi siinä ja siinä tilanteessa. Kyse on vain siitä, mitä määritellään kuuluvaksi "siihen ja siihen" tilanteeseen ja poikkeukseen, eli tilanteesta riippuen mitä vain. Naurettavaa.

Samaan tapaan muuten Suomen laissa sanotaan, että sukupuolinen syrjintä on kielletty, mutta sukupuolista syrjintää ei (muka) ole se, että asevelvollisuus koskee vain miehiä. En tiedä pitäisikö itkeä vaiko nauraa tätä epäloogisuutta. Eli ensiksi määritellään tarkasti mikä on väärin ja sitten sanotaankin seuraavassa virkkeessä, että eipäs muuten itse asiassa olekaan niin. Just.

Tehyläisten pakkotyöhön määrääminen on sikälikin huvittavaa, että Tehyläisiä, pääosin naisina siis, ei kiinnosta pätkääkään se fakta, että kaikki Suomen miehet ovat pakkotyössä kun he ovat asevelvollisia. Tehyläisten ämmien mielestä siis se, että miehet ovat pakkotyössä on oikein, mutta se, että heidän pitäisi olla pakkotyössä, on väärin. Siitäkin huolimatta, että miesten pakkotyö perustuu vain heidän sukupuoleensa, kun taas sairaanhoitajien pakkotyö perustuu heidän vapaaehtoiseen ammatinvalintaansa.

Miehiä siis syrjitään heidän omista valinnoistaan riippumatta (sukupuolinen syrjintä) asevelvollisuudella, kun taas naisia syrjitään omista valinnoistaan johtuen (ovat kouluttautuneet sairaanhoitajiksi) pakkotyölailla!

Yhtä kaikki, pakkotyö on tietysti aina väärin. Niin miesten asevelvollisuuden kuin sairaanhoitajienkin osalta. Asiat olisi kuitenkin syytä laittaa oikeaan perspektiiviinsä ja tuoda esille myös miesten pakkotyön eettinen ongelma tai myöntää, että pakkotyössä ei eettistä ongelmaa ole. Miten on Tehyläiset? Vai onko vaan niin, että naisten pakkotyö on väärin, mutta miesten pakkotyö on oikein?

NSA:n takaportti NIST:n satunnaislukugeneraattorissa

Juuri kun pääsin vaahtoamasta Windows 2000 satunnaislukugeneraattorin takaportituksesta, tarkoitan siis ohjelmointivirheestä, niin eikös vaan uusi vastaavanlainen asia putkahda esille.

Tällä kertaa kyse on itse NIST julkaisemasta oppaasta turvallisiin satunnaislukugeneraattoreihin. Oppaassa kerrotaan ja suositellaan Dual_EC_DRBG -nimistä satunnaislukugeneraattoria, joka on NSA:n sinne ajama. Generaattorissa on selvästikin takaportti, eikä tarvitse laskea kuin 1+1 voidakseen päätellä, että NSA on sen sinne laittanut.

Vaaleanpunaisten lasien läpi maailmaa katsovat voivat tietysti uskoa lapsellisesti, että kyseessä on vain NSA:n vahinko, joka osoittaa, että NSA ei ole mikään ihmeitä tekevät signaalitiedustelua ja kryptoanalyysia harrastava taho. NSA vain vahingossa meni suosittelemaan ja edistämään, että kyseinen satunnaislukugeneraattori otettaisiin NIST suosittamaksi standardiksi. Hupsista.

Voitte lukea asiasta lisää esim. Schneierin kirjoittamana.

Ei tarvitse olla erityisen paranoidi ajatellakseen, missä kaikkialla muualla on NSA:n taitavasti kätkemiä takaportteja, haavoittuvuuksia ja hyväksikäyttömahdollisuuksia... Mitä enemmän ympärilleen tarkkaavaisena katsoo, sitä enemmän näkee ohjelmistoja, laitteistoja ja standardeja, joiden suunnitelussa tai hyväksynnässä NSA:lla on tavalla tai toisella ollut sormensa pelissä. Jonkun mielestä se on vain sattumaa. Minusta ei.

Windows 2000 satunnaislukugeneraattori vuotaa - takaporttiko?

Cryptography ePrint julkaisi asiaa käsittelevän tutkimuksen vastikään. Siinä tuli ilmi, että Windows 2000 (näennäis) satunnaislukugeneraattorissa on perustavaa laatua olevia virheitä. Seurauksena on, että kyseisen generaattorin luomat lukusarjat ovat selvitettävissä jälki- ja etukäteen.

Tästä on seurauksena se, että esimerkiksi Internet Explorerin SSL/TLS yhteyksissä sen avulla luodut salausavaimet vaarantuvat, mikäli hyökkääjä pääsee jotenkin lukemaan, esimerkiksi etu- tai jälkikäteen, satunnaislukugeneraattorin tilaa. Niin ikään menneet ja tulevat SSL/TLS suojatut sessiot vaarantuvat, kuten myös EFS:llä salatut tiedostot (vaikka ne eivät Windows 2000:ssa muutenkaan turvassa ole, koska EFS on Windows 2000:ssa täysin susi). Mutta ongelma on paljon, paljon, paljon pahempi.

Windowsin satunnaislukugeneraattoria, CryptGenRandomia, käytetään hyvin yleisesti kaikenlaisissa salaukseen liittyvissä toiminnoissa, joissa kaivataan satunnaisia lukuja, esimerkiksi siis salausavainten luonnissa. Useat ulkopuoliset tietoturvaohjelmat käyttävät myöskin hyväkseen Windowsin satunnaislukugeneraattoria omiin satunnaislukutarpeisiinsa. Myös kaikki nämä ohjelmat ja niiden salaukset ovat nyt siis erittäin suuressa vaarassa, koska salauksessa käytetyt luvut eivät olekaan siis satunnaisia ja ennalta-arvaamattomia!

Onneksi sentään esim. PGP käyttää omaa satunnaislukugeneraattoriaan, eikä ole haavoittuvainen siis tälle ongelmalle.

Asia mutkistuu kuitenkin yhä tästäkin. Herää väistämättä kysymys, mistä tämä "bugi" on tuonne satunnaislukugeneraattoriin tullut ja miksi? Ajatellaanpa ihan sellaista hypoteettistä ;-) vaihtoehtoa, että vaikkapa NSA olisi kiinnostunut takaportittamaan Windows käyttöjärjestelmän jollakin tapaa. Siis varmistaakseen, että NSA kykenee tarvittaessa urkkimaan tietoja siitä tai sen käyttäjältä, sekä ohittamaan sen suojaukset. Mikäpä olisi parempi paikka takaportille kuin satunnaislukugeneraattori?

Satunnaislukugeneraattori näyttää tuottavan aina satunnaista ja ennalta arvaamatonta dataa, eli takaporttia ei oikein voi huomata, vaikka generaattorin antaisi pyöriä vuosikausia. Vain, jos tiedät tarkalleen millä tapaa data ei olekaan satunnaista, voit päästä siitä jyvälle ja huomata takaportin. Hyvä esimerkki on, että jos minä salaan vaikka pelkästä "A" kirjaimesta koostuvaa loputonta tietojonoa AES-salaimella, käyttäen avaimena salasanaa X, et sinä voi lopputuloksesta päätellä mitään ihmeellistä....lopputulos on näennäisesti satunnaista tietojonoa. Mutta, jos tiedätkin mitä on salausavaimena käytetty, voit helposti selvittää kaikki aikaisemmat ja tulevat "näennäisesti satunnaiset" lukujonot jotka tuon salaimen käytöstä seuraa! Vähän sama juttu tässäkin siis.

Tällä hetkellä herää 4 kysymystä tähän liittyen:

1. Onko Windows XP ja Vista myöskin haavoittuvaisia? Luulisin, että ovat, koska CryptGenRandomia ei tietääkseni ole mitenkään merkittävästi uudistettu niissä.
   
   
2. Koska Microsoft julkaisee päivityksen korjaamaan asian?
   
   
3. Mitkä kaikki ohjelmat käyttävät Windowsin omaa satunnaislukugeneraattoria ja mitkä käyttävät jotain muuta, turvallista näennäissatunnaislukugeneraattoria (kuten Yarrow, Mersenne Twister, Fortuna tai Blum-Blum-Shub)?
   
   
4. Miten kauan NSA/CIA/Mossad on ollut tietoinen tästä tietoturva-aukosta ja sen hyväksikäyttömenetelmästä?

Jäämme odottamaan kauhulla lisätietoja - joita luultavasti ei koskaan tule. Ja päivitystä, jota ei luultavasti koskaan tule. Että silleen.

Muuttokiireitä pukkaa... :)

Hieman jäänyt kirjoittelu vähemmälle viime aikoina. Kyse ei ole suinkaan ole siitä, etteikö sanottavaa ja huomautettavaa olisi, vaan yksinkertaisesti ajan puutteesta. Olen muuttamassa juuri Turusta toiselle paikkakunnalle (pysyvästi) ja asiaan liittyvät sekamelskat yhdistettynä iki-ihanaan 3-vuorotyöhön vaativat veronsa. Mutta äkkiäkös tästä selvitään.

Kehoitan sillä välin tutustumaan blogissani linkitettyihin teksteihin ja videoihin. Niissä riittää katsomista ja ihmettelemistä pitkäksi aikaa!

NSA vakoilee Suomessa, osa 5

Ja taas Cryptome on julkaissut uuden listan NSA:n käyttämistä IP-osoitteista. Uusia tulokkaita ei tällä kertaa ole mukana, vaan vanhat NSA:n kätyrit Suomessa. Kannattaa lukea huolella jutun alussa ollut huomautus koskien NSA:n toimintaa ja näitä IP-osoitteita.

Mac OS X Leopardin palomuuri vuotaa kuin seula!

Hyvin huolestuttava artikkeli koskien Applen uutta OS X Leopard käyttöjärjestelmää, joka on juuri tullut myyntiin.

Ilmeisesti palomuuri ei oletuksena edes ole päällä, eli kone on auki tunkeutujille ja mahdollisille tietoturva-aukoillekin! Jos olet päivittänyt OS X Tigeristä ja laittanut siinä palomuurin päälle aikoinaan, päivitys Leopardiin kytkee palomuurin pois päältä ilman mitään ilmoitusta.

Mutta ongelma on paljon pahempi: Vaikka palomuurin hoksaisi ja osaisi laittaa päälle estämään kaikki sisäänpäin tulevat yhteydet, siltikään se ei estä yhteydenottoja tiettyihin palveluihin ja portteihin joita Leopardissa on päällä. Ei, vaikka palomuuri muuta väittääkin!

Jos tämä uutinen pitää todellakin paikkaansa (en ole vielä ehtinyt itse sitä varmistamaan), se kyllä tekee ison kolauksen Macin tietoturvalle. Minun silmissäni ainakin. Näin perustavanlaatuista mokaa ei saisi missään tapauksessa sattua ikinä. Puhumattakaan, että se sattuu Macille, jolla on varsin hyvä tietoturvahistoria ja ennakointi!

Yksikin tietoturva-aukko Leopardissa voi siis vaarantaa etäältä - netin, lähiverkon tai langattoman verkon kautta - koko käyttöjärjestelmän ilman, että käyttäjän tarvitsee tehdä mitään tai ilman että hän edes huomaa mitään! Madot voivat levitä kulovalkean tavoin Leopardista Leopardiin pitkin nettiä. Uhka, joka jo Windows maailmassa vuosikausia sitten torpattiin tehokkaasti Windows XP:n palomuurilla ja vielä entisestään torpattiin XP:n Service Pack 2 päivityksen yhteydessä.

Ainoa helppo keino suojautua tältä ongelmalta on käyttää ulkoista palomuuria tai NAT-kykenevää reititintä/modeemia ja estää sisään tulevat yhteydet kaikista "ei-luotettavista" osoitteista. Tämä on tietysti muutenkin aina järkevää ihan vain "varmistukseksi", mutta tässä tapauksessa ensiarvoisen tärkeää suojautumiseksi.

Toinen vaihtoehto suojautumiseen on kikkailla Mac:ssä olevan BSD:n ipfw:n kanssa ottamalla se käyttöön ja säätämällä kohdalleen, eli estämään kaikki ei-toivotut yhteydenotot kaikista verkoista. Tämä vaatii tietysti hieman teknistä osaamista, jota kaikilla Mac käyttäjillä ei välttämättä ole.

Kolmas vaihtoehto on yksinkertaisesti fyysisesti irroittautua netistä (langattoman verkon suhteen pitää kytkeä koko adapteri pois päältä) ja odottaa, että Apple julkaisisi päivityksen korjaaman ongelman ja sitten hakea se päivitys pikapikaa.

On totta, että kyseessä on toistaiseksi vain "uhka", koska konkreettista hyväksikäyttömetodia tai matoa ei ole julkaistu. Mikäli palomuurin osaa laittaa päälle niin se tarjoaa jo kohtuullisen suojan, sen jälkeen on vain syytä toivoa, että päivitys tulee pikapikaa ja että siihen mennessä mitään pahaa ei ehdi tapahtua.

Kirjoitin aikaisemmin blogissani Mac:stä ja sen käyttöönotosta ja tietoturvasta.


Päivitys 1.11.2007 kello 23:18
lmeisesti, mikäli koko muuri asetetaan erikseen "täysin stealth tilaan" ja "UDP-suodatus" otetaan päälle, ongelma on rajoittuneempi, mutta ei siltikään varsinaisesti katoa mihinkään. Kyseessä on selvä tietoturvakömmähdys ja ongelma, jota aikaisemmassa OS X käyttöjärjestelmäversiossa ei ole ollut. Toivottavasti Apple paikkaa tämän aukon pikapikaa. Oletuksena palomuurin tulisi ehdottomasti olla päällä ja siten, että mihinkään ulkopuolisiin yhteydenottoihin ei vastata mitään. Juuri näin esimerkiksi Windows XP SP2 palomuuri tekeekin.

Seksuaalirikollisten rekisterit hyvä juttu - vai onko?

Aina välillä on näitä hetkiä, että luulee jo nähneensä ja kuulleensa kaiken. Mutta sitten aina todellisuus painaa päälle kuin menkoista kärsivä femakko ja yllättää.

Skotlannissa mies on päätynyt seksuaalirikollisten rekisteriin, koska harrasti seksiä polkupyörän kanssa hotellihuoneessaan, Iltalehti uutisoi. Mies siis päätyy samaan rekisteriin raiskaajien, pedofiilien, itsensäpaljastelijoiden ja muiden pervojen kanssa, koska omasi polkupyöräfetissin jota harrasti omassa rauhassaan. Mies leimataan siis lopuksi ikäänsä samaan kastiin näiden ihmisten kanssa ja luultavasti tämä vaikeuttaa suunnattomasti hänen työnsaantiaan, asumistaan ja ylipäätään sosiaalisia suhteitaan.

Kertokaapa minulle, mitä traumoja polkupyörälle jäi? Vai oliko kyseessä pyörähomoilu, jos pyörä oli miesten polkupyörä eikä naisten? Vaiko pyöräpedofiili, jos kyseessä olikin lastenpyörä? Vai pyöränekrofilia jos pyörä olikin lopullisesti rikki? Oliko kyse pyöräraiskauksesta vaiko pyörän seksuaalisesta hyväksikäytöstä muuten? Häh? Mitä? Jos tavaroiden kanssa harrastettu seksuaalinen kanssakäyminen on moraalisesti- tai lain mukaan tuomittavaa, miksi tämmöisiä ja tämmöisiä myydään vapaasti esimerkiksi Suomessa? Onko kyse parituksesta, vaiko peräti esineiden seksuaalisen hyväksikäytön tukemisesta?

NSA vakoilee Suomessa, osa 4

Cryptome on jälleen julkaissut uuden listan NSA:n käyttämistä IP-osoitteista. IP-osoitteet ovat hieman muuttuneet entisistä. Uutena tulokkaana NSA:n kätyreiksi on tullut Finnet (ilman välikäsiä tällä kertaa).