Netiketti ja tietoturva

Tämän luennon aiheita ovat netiketti ja tietoturva.

Netiketti kertoo yleisesti hyväksyttyjä tapoja ja periaatteita joiden mukaan verkossa tulee toimia.

Suomalainen netiketti

Esiinny omalla nimelläsi
Noudata palveluntarjoajan ohjeita
Huolehdi tietoturvasta
Muista lähdekritiikki
Älä levitä toisista loukkaavaa tai valheellista tietoa
Muista tekijänoikeudet
Älä lue toisten sähköposteja tai vakoile verkkoliikennettä
Älä häiritse tietoverkon toimintaa
Älä hakkeroi
Älä lähetä roskapostia
Netillä on pitkä muisti...
- Nyyssit muistavat...
- WWW muistaa...
  - ÄKT: CD-levyn ei tarvitse toimia Linuxissa tai Macissa klo13:39
  - ÄKT linjaa cd-levyjen kopiosuojauksia klo14:45
  - Kumpikin edellisistä

Sähköposti

Käytä omaa nimeäsi
- Oikein: From: Tommi Lahtonen
- Väärin: From: kumihuuli@hotmail.example
- Väärin: From: Saku
Sähköpostiviesteihin pääsääntöisesti vain tekstiä

Lainaa ja vastaa oikein:

> Influenssarokotuspäivät rokotuksen varanneille Medivireen työterveysasemalla
> (Asemakatu 12, II krs) joko maanantaina 18.10 klo 13.00 - 15.30 tai
> keskiviikko 20.10. klo 9.00 - 10.00.

Kerkiäisitkö tuuraamaan minua keskiviikkoaamuna joskus tuossa
9.00 - 10.00 tai sitten vetämään aamun kaksituntisen 8.30-10.00
kokonaan, kun unohdin tänään tuon piikitysreissun. Ei sitä enää
voi peruakaan... Ei siinä varmaan kauaa mee, mutta ei sitä
tiiä minkälaanen ruuhka siellä sitten on.

Viestiin jätetään vain asian kannalta oleelliset kohdat ja kirjoitetaan omat kommentit lainatun kohdan alle.

Allekirjoitus eli signature

-- 
Tommi Lahtonen, tommi.j.lahtonen@jyu.fi, <URL: http://www.iki.fi/hazor/>

We are being educated when we know it least.  -- David Gardner

Esimerkki siististä viestistä

Roskaposti eli SPAM

SPAM on ei-toivottua roskapostia eli saman viestin lähettämistä usealle henkilölle tai useaan uutisryhmään ilman vastaanottajien ennakkosuostumusta tai hyväksyntää, viestin sisällöstä riippumatta.

Sähköisen viestinnän tietosuojalaki

Sähköpostilla tai tekstiviestillä saa suoramarkkinointia kohdistaa vain henkilöille, jotka ovat antaneet ennalta suostumuksensa.
Jos myyjä saa kaupanteon yhteydessä asiakkaan sähköpostiosoitteen niin myyjällä on oikeus suoramarkkinoida sähköpostitse samaan tuoteryhmään kuuluvia tuotteita. Jokaisen viestin yhteydessä pitää kertoa miten lisäviestit voi kieltää.
Suoramarkkinointia ei ole yksityishenkilöiden välinen kaupankäynti eikä asiakasviestintä joka ei sisällä markkinointia.
- Autokorjaamo saa tekstiviestillä ilmoittaa, että auto on nyt huollettu.
Suoramarkkinointiin ei saa pyytää lupaa sähköpostilla tai tekstiviestillä
Yrityksille saa kohdistaa suoramarkkinointia tekstiviesteillä ja sähköpostilla.
- johtaja@yritys.example-osoitteeseen saa lähettää suoramarkkinointia mutta osoitteeseen matti.meikalainen@yritys.example ei saa.
Asiakkaan yhteystietoja kerätessä on annettava mahdollisuus sallia/kieltää suoramarkkinointia.
- WWW-lomakkeella on oltava valittavissa kohta Ei mainoksia

Sähköpostilistat

Tarkista vastaatko koko listalle vai henkilökohtaisesti.
Varmista, että ohjelmasi lähettää pelkkää tekstiä.
Älä lähetä liitetiedostoja postituslistoille. Laita tiedosto WWW:hen ja ilmoita listalla sen osoite.
Älä lähetä listalle liittymiseen tai poistumiseen liittyviä viestejä listalle vaan listan ylläpitäjälle.
- Jos listan osoite on tietoverkot@lists.jyu.fi niin ylläpitäjän osoite on tietoverkot-request@lists.jyu.fi

ketjukirjeet ja HOAXit

Hoax on sähköpostitse leviävä harmillinen huhu tai huijausvaroitus.
Pyrkimys tukkia tietojärjestelmiä.
Ei voida suojautua, mutta voidaan estää edelleen leviäminen.
Älä koskaan lähetä kiertokirjeitä sähköpostitse!
Kun saat kiertokirjeen, niin toimi seuraavasti:
- Tutki löytyykö kirje esimerkiksi Suomen- ja englanninkielisten hoaxien joukosta.
- Jos löytyy, niin tuhoa viesti ja kerro asiasta viestin lähettäjälle.
- Jos ei, niin siltikään viestiä ei kannata lähettää eteenpäin.

Lisätietoja: Hoaxbusters

Sähköpostin suodatus

Suodattamisella voidaan lajitella posteja tarpeen mukaan.
Voit lajitella sähköpostiviestit lähettäjän tai viestin otsikon mukaan eri laatikoihin.

Nyysit (Usenet News)

Nyysit on maailmanlaajuinen keskustelufoorumi jota voi seurata lukuohjelmilla joita saa esim. www-selainten mukana.

Lukeminen onnistuu myös Google Groupsin kautta.

Selvitä asiaa itse ennen kuin kysyt nyysiryhmässä apua
- Käytä googlea
- Opettele lukemaan FAQ (Frequently Asked Questions) -palstoja
  - Tietokone ja tietoverkot työvälineenä -kurssin FAQ
  - Usenet FAQ Archive
Lähetä nyysseihin pelkästään tekstiä
- Ei kuvia - Laita kuva webbisivulle ja ilmoita nyysseissä kuvan osoite
Opettele lainaamaan oikein
Älä pyydä vastauksia sähköpostitse - nyyssit ei ole mikään ilmainen palvelutiski
Valitse ryhmä oikein
Käytä järkeviä otsikoita
- APUA! Paniikki! ei ole hyvä otsikko

Ennen nyyssiviestintää kannattaa lukea Seitsemän ohjetta nyysseihin kirjoittajalle eli miten vaikutat kokeneelta vaikka olisitkin aloittelija.

IRC ja chatit

IRC:ssä ja chateissa on myös syytä noudattaa tiettyjä tapoja...

ÄLÄ HUUDA!
Älä floodaa eli lähetä useita rivejä kerralla nopeaan tahtiin
Älä käytä värejä vaikka IRC-ohjelmasi antaisi moisen mahdollisuuden. Kaikkien ohjelmat eivät niitä ymmärrä
Älä kirjoita teinix-tyyliin: Hey onx täälä ketää!?"!?!!???
Älä kirjoita skriptkiddie-tyyliin: 7ää 0n vähän 3l1teä
Älä ota vastaan tiedostoja tuntemattomilta henkilöiltä
Älä kerjää kanavaoperaattorin statusta

Älä toimi näin...

Tietoturva

Ihminen on suurin ongelma, koska hän

keksii huonoja salasanoja.
- Käytä salasanan muistisääntönä jotakin mielessä pysyvää lausetta (esim. elokuva + pääosanesittäjä tms.).
- Saman aihealueen lauseista saa useamman salasanan.
- Rakenna lauseen osista oma salasana.
- Varmista ettei se ole mikään selkokielinensana (esim. 007JamesBond).
- Käytä salasanassa erikoismerkkejä ja numeroita.
- Älä kerro käyttämääsi muistisääntöä muille!
käsittelee salasanaa huolettomasti.
- Suojaamattomissa WWW-palveluissa voi käyttää leikkisalasanoja.
- Salasanan tarkkailu on yllättävän helppoa!
- Älä käytä samoja salasanoja kuin salatuissa järjestelmissä.
- Oletussalasana pitää muuttaa!
Ihminen on liian luottavainen.
- Tunnuksia ja salasanaa ei saa koskaan antaa kenellekään!
- Järjestelmän pääkäyttäjä tai ylläpitäjä ei tarvitse koskaan salasanaasi!

Ohjelmat

Ohjelmissa on aina tietoturvaaukkoja!
Uusia aukkoja löytyy koko ajan!
- Esim. Internet Explorer ja Outlook ovat pahoja virusimureita
- Päivitä ohjelmia säännöllisesti.
  - Windowsiin liittyvät päivitykset (http://windowsupdate.microsoft.com/)
- Virustietokantojen päivittäminen pitää automatisoida.
  - Virukset leviävät jo nopeammin kuin virustietokannat päivittyvät. Pelkkiin virustutkiin ei siis pidä enää luottaa.
WWW-selaimen kautta voidaan yrittää kotikoneessa suorittaa ei-toivottuja asioita.
Liitetiedostovirukset voivat "tartuttaa" koneesi ja mahdollistaa koneeseen tunkeutumisen.
Chat-ohjelmien avulla voidaan ottaa vastaan "haitallisia" tiedostoja.
Verkkoliikenteen haistelulla voidaan saada selville salasanoja yms. käyttäjäinformaatiota.

Sähköposti

Kuka tahansa voi lähettää nimelläsi sähköpostia.
Kotona postit voivat olla koneen kovalevyllä - muista varmuuskopiointi.
Postit ovat vain tekstitiedostoja - voidaan lukea millä ohjelmalla tahansa.
Ole huolellinen tiedostojen oikeuksien kanssa.

Internet

Tieto liikkuu verkossa täysin selväkielisenä!
Käytä aina salattuja yhteysohjelmia.
- Pääteyhteysohjelmana SSH (Ei Telnet!)
- Tiedostojen siirto vain suojatulla ohjelmalla ( SFTP, Ei FTP tai WS-FTP!)
- WWW-sivustoilla tärkeiden tietojen siirto vain suojatun (SSL) yhteyden kautta (esim. Korppi, internet-pankit)
- Sähköpostin lukeminen vain suojatun (SSL) yhteyden kautta

Kodin tietoturvasta kertoo lisää: http://www.tietoturvaopas.fi/ ja Home Network Security

ATK-keskuksen käyttösäännöt

Jokaisella käyttäjällä on osavastuu järjestelmän turvallisuudesta.
Käyttäjätunnus ja siihen liittyvä salasana ovat henkilökohtaisia eikä niitä saa luovuttaa muiden käyttöön.
Kukin käyttäjä vastaa kaikesta tunnuksellaan tapahtuvasta käytöstä.
Käyttäjätunnuksen sekä tietoliikenneyhteyksien luovuttaminen yliopiston ulkopuolisten käyttöön on kielletty.
Tietokoneissa ei ilman lupaa saa ajaa ohjelmia jotka tarjoavat palveluita yliopiston ulkopuolelle.
Käyttäjä vastaa itse tiedostojensa suojauksesta.
Toista käyttäjää koskevien tai hänelle kuuluvien tietojen etsiminen ja lukeminen on sallittu vain hänen luvallaan.
Tietotekniikkapalveluiden käyttö liike-, ansio- tai muuhun kaupalliseen tai poliittiseen toimintaan on kiellettyä.

Miksi joku haluaisi murtautua kotikoneelleni tai sähköpostiini?

Hyökkääjän motiiveja voivat olla esimerkiksi:

seikkailunhalu
maineen kasvattaminen
kiusanteko
levytilan, prosessoritehon tai tietoliikenneyhteyksien luvaton käyttö
jälkien peittäminen kolmatta tietojärjestelmää vastaan tehtävää hyökkäystä varten
teollisuusvakoilu
elektroninen sodankäynti

Hyökkäystapoja

Kuormitushyökkäys , jossa hyökkääjä kuormittaa kohdetta lähettämällä esimerkiksi suuren määrän palvelupyyntöjä lyhyessä ajassa.
Kohteen skannaus , jonka avulla hyökkääjä tutkii kohteensa avoimia portteja ja kohteessa käytössä olevia palveluita. Seuraavassa muutamia palveluja, joiden avulla voit testata ylimääräisiä aukkoja.
- Security Scan
- Shields UP!
Social Engineering, jossa käytetään hyväksi ihmisten hyväntahtoisuutta.
Salasanojen murtaminen, jossa hyökkääjä murtaa järjestelmän käyttäjätunnus-salasanapareja erityisiä salasanojen murto-ohjelmistoja hyväksikäyttäen.

Suojautumiskeinoja kotikäyttäjälle

Käytä virustorjuntaohjelmaa koko ajan taustalla
- Käytä automaattista virustietokannan päivittämistä
- Jyväskylän yliopiston opiskelijat voivat hankkia virustorjuntaohjelman ATK-keskuksesta.
- AntiVir Personal Edition ilmainen yksityiskäyttöön
Asenna koneeseesi palomuuri!
- Windows XP:ssä on mukana yksinkertainen palomuuri. Varmista, että se on käytössä
- Kerio Personal Firewall
- Sygate Personal Firewall
- Zonealarm
Kiellä palomuurin avulla yhteys verkkoon niiltä ohjelmilta jotka eivät sitä tarvitse.
Älä avaa liitetiedostoja, joita et ole odottanut. Virukset tulevat tutuiltasi, joten et voi luottaa tiedoston alkuperään!
Älä suorita ohjelmia, joiden alkuperästä et ole varma!
Varmista, että ohjelmasi, virustutkasi ja käyttöjärjestelmäsi ovat ajantasalla!
Irroita tietokoneesi verkosta, kun et käytä sitä!
Poista selaimesta käytöstä Java, Javascript ja ActiveX!
Kiellä sähköpostiohjelmalta skriptien suorittaminen! (Ks. edellinen kohta)
Ota varmuuskopio tiedostoistasi säännöllisin väliajoin!
Vältä käyttämästä ohjelmia joiden tietoturva-aukkoja väärinkäytetään eniten
- Käytä www-selaimena Mozillaa, Firefoxia tai Operaa ennemmin kuin Internet Exploreria
- Käytä sähköpostiohjelmana jotain muuta kuin Outlook, Outlook Express tai Eudora. Esim. atk-keskuksen Webmail

Madot

Madot ovat nykyisin levinnein ja pahin virustietoturvauhka!

Pyrkii leviämään itsekseen suojaamattomiin koneisiin.
Käyttää hyväkseen järjestelmien tietoturva-aukkoja.
Käyttää hyväkseen käyttäjän huolimattomuutta/tietämättömyyttä.
Leviämismekanisemeja voi olla monia:
- Lähettää itseään eteenpäin sähköpostitse.
- Leviää HTML-tiedostoja luettaessa (esim. Nimda)
- Voi siis levitä nykyisin monenlaisten dokumenttien mukana!
  - EXE-tiedostot
  - HTML-tiedostot
  - PDF-dokumentit
- IRC-ohjelmien kautta.
- Muiden virusten takaporttien kautta.
- Windowsin levyjakojen kautta.
Tuhot
- Suljetaan viruksentorjunta- ja palomuuriohjelmat!
- Tietojen tuhoutuminen!
- Koneen täydellinen saastuminen!
Suojautuminen
- Kaikki edellä esitellyt kotikäyttäjän suojautumiskeinot!
- Hanki taustalla pyörivä virustorjuntaohjelmisto!
- Äärimmäinen varovaisuus liitetiedostojen kanssa!
- Madot tulevat juuri tutuiltasi!
- Päivitä selaimesi ja muut ohjelmat säännöllisesti!
- Hanki palomuuriohjelmisto!
- Poista liitetiedostojen automaattinen aukaisu sähköpostiohjelmastasi!

Mydoom

Leviää Kazaa-verkkojen ja liitetiedostojen välityksellä.
Etsii koneelta sähköpostiosoitteita ja lähettää itseään eteenpäin
Tekee keskitetyn palvelunestohyökkäyksen Microsoftin, SCO:n tai virustorjuntayhtiöiden verkkopalveluihin
Asentaa takaportin lisäviruksia varten (esim. Doomjuice)

Yksityisyys

Yksityisyys on perus- ja ihmisoikeus. Oikeus yksityisyyteen merkitsee sitä, että henkilö saa päättää, mihin hänen henkilötietojaan käytetään.

Et ole verkossa koskaan yksin. Isoveli valvoo aina!

Adware / Spyware

Adware - ohjelma, joka näytää mainoksia.
Spyware - ohjelma, joka lähettää tietoa käyttäjästä kertomatta siitä käyttäjälle.
Ohjelma voi olla yhtä aikaa molempia eli näyttää mainoksia ja lähettää tietoja käyttäjästä ilman lupaa.
Monet evästeet luokitellaan spywareksi.
Adwarea tai Spywarea voi asentua koneelle selaimen vikojen takia tai asentamalla ohjelmistoja joissa näitä tulee mukana.
Kotikone on helppo puhdistaa Ad-awarella. tai SpyBotilla
Tietojen lähettämisen estää tarvittaessa tehokkaasti palomuuri!

Kännykkävirukset

Uusimmat virukset

Tilastoja

Lisätietoa

Netiquette Guidelines
Quoting Style in Newsgroup Postings
How do I quote correctly in Usenet
Nyysiopas
Meiliopas
Jakelulistat
Ei-toivottu viestintä Internetissä
Jyväskylän yliopiston tietokonejärjestelmien ja tietoliikenneverkon käytön säännöt
- Sääntöjen soveltamisohjeet, esimerkkejä sääntöjen soveltamisesta
Lost in Usenet
Tekijänoikeudet
Listaetiketti
Seitsemän ohjetta nyysseihin kirjoittajalle eli miten vaikutat kokeneelta vaikka olisitkin aloittelija
New Regulatory Framework for electronic communications infrastructure and associated services
EU:n direktiivi henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla
Netiketti
Viestintäviraston CERT-FI -sivustolta.
F-Secure, "F-Secure Computer Virus Info Center", saatavilla HTML-muodossa osoitteessa <URL: http://www.f-secure.com/v-descs/>.
F-Secure, "Hoax Warnings", saatavilla HTML-muodossa osoitteessa <URL: http://www.f-secure.com/virus-info/hoax/>.
Rhode Island Soft Systems, Inc,"Truth about Computer Virus Myths and Hoax", saatavilla HTML-muodossa osoitteessa <URL: http://vmyths.com/>.
Scott Hazen Mueller, "Fight Spam on the Internet!", saatavilla HTML-muodossa osoitteessa <URL: http://spam.abuse.net/>.
Jason R. Heimbaugh, "The AFU & Urban Legend Archive", saatavilla HTML-muodossa osoitteessa <URL: http://www.urbanlegends.com/>.
Yksityisyys - Effi
Privacy Analysis of our Internet Connection
Security Audits
Shields Up
Georgi Guninski Security Research

Käyttäjien kommentit