Nüüd ametlik: “pilves” hoitavad andmed ongi samahästi kui avalikud

Vaatamata inimõiguslaste protestidele võttis Ameerika Ühendriikide Kongress 22. märtsil koos riigieelarvet kinnitava seadusega vastu nn CLOUD Act’i, mis võimaldab Ameerika valitsusel nõuda pilvepõhiste teenuste pakkujatelt nende klientide poolt “pilves” hoitavaid andmeid sõltumata andmete säilitamise geograafilisest asukohast ning jagada neidsamu andmeid teiste valitsustega. Väidetavalt pole andmete väljanõudmiseks enam vaja isegi kohtu luba.

Näiteks Microsoft saatis juba 23. märtsil välja teavituse, et muudab oma teenuselepet – kasutajatel on võimalik sellega mitte nõustuda 1. maini 2018 – kui te selle ajani pole loobunud Microsofti teenuste (Hotmail.com/Outlook.com, Skype, OneDrive ja teised) kasutamisest, olete muuhulgas nõus, et

“Kasutame võimalust teie isikuandmetele ning sisule (nagu teie meilisisu saidil Outlook.com või privaatsete kaustade sisu OneDrive’is) juurde pääseda, neid edastada, avaldada ja säilitada, kui usume, et see on vajalik järgmiseks:

  1. et järgida asjakohaseid seadusi või vastata juriidilisele protsessile (sh õiguskaitseorganite ja valitsusasutuste taotlusele);”

Rõhutan – ei maksa arvata, nagu oleks Microsoft kuidagi eriti kuri või ainus omataoline – pigem on nii, et kohtuprotsess, milles Microsoft kaitses valitsuse eest oma klientide andmeid, tõigi kaasa ülalviidatud seaduse läbisurumise.

Arvutikaitse ei hakka ennustama, kuidas see kõik varsti kehtima hakkava andmekaitse üldmääruse valguses mõjutab pilveteenuste edaspidist kasutust Euroopas (võimalik, et väga paljud asutused ja ettevõtted peavad vahepeal pilve kolitud andmed sealt nüüd kiirkorras tagasi kolima), kuid tavakasutaja seisukohast on oluline teada, et Ameerika firmade nagu Google, Facebook, Dropbox, Apple jne jne poolt ligipääsetavatele andmetele saavad nüüd täiesti ametlikult juurde ka Ameerika Ühendriikide valitsusasutused ning lisaks neile ka mõned teised, seni veel täpselt määratlemata riikide valitsusasutused.

Ja ega selle vastu suurt muud teha olegi kui järgida sellesama Microsofti soovitust – kui asjade niisugune korraldus teile ei sobi, hoiduge oma andmete “pilve” üleslaadimisest.

 

Lapsed, sotsiaalmeedia ja vihakõne

Krister Paris kurdab Eesti Päevalehes, et tema poliitiliste seisukohtade ründamise käigus kasutatakse ka tema laste pilte, mis on kopeeritud tema sotsiaalmeediakontodelt, ning kutsub üles sellist tegevust seadusandlikult ohjeldama.
Poliitilist poolt valimata tuletab Arvutikaitse Kristerile ja teistele meie lugejatele meelde, et teie vaated pole ainus põhjus, mille pärast internetis liikuvad tegelased teie laste vastu huvi võivad tunda. Samuti on internet globaalne nähtus ning suuremale osale internetikasutajatetele Eesti Vabariigi jurisdiktsioon ei laiene. Võimalus perekonnapilte vabalt eksponeerida võib ju olla üks demokraatliku ühiskonnakorraldusega kaasas käivaid väärtusi, kuid elementaarne küberhügieen annab pigem nõu neid väärtusi mitte väga tõsiselt proovile panna – tagantjärele määratav karistus (isegi kui süüdlased leitakse ja nende üle saab kohut mõista) ei tee ju väärkasutust olematuks.
Laste piltide jagamine sotsiaal- ja muus meedias on asi, millele õnnelikud lapsevanemad tavaliselt vastu ei suuda panna, kuid palun vaadake siiski piltide ja albumite privaatsusseaded üle, kui te seda juba teete.

Kuidas toimida, kui avastate, et sotsiaalmeedias avaldatakse ilma teie loata ja/või halvustavas kontekstis pilte ja tekste teist ja teie lähedastest?

Kõigepealt tuleks soovimatust sisust teavitada lehekülje haldajat. Facebookis saab seda teha paari hiireklikiga, väiksemates foorumites või lehekülgedel tuleks kirjutada moderaatorile või muule kontaktisikule. Kui sealt abi või vastust ei saa, tuleks muret kurta mõnele veebikonstaablitest, kel nii sarnaste juhtumite kui ka suurte sotsiaalmeediakeskkondadega asjaajamisel suuremad kogemused. Oma õiguste kaitseks võib pöörduda ka kohtusse, kuid, nagu öeldud, Eesti Vabariigi kohtu võim kehtib ainult Eesti Vabariigi territooriumil.
Ja päris kindlasti saab igaüks meist laste kaitsmiseks ja vihakõne vältimiseks teha vähemalt seda, et me ise lapsi mistahes ebameeldivas kontekstis ära ei kasuta ning ise vihkamist väljendavaid seisukohti avalikult ei tiražeeri.

E-valimiste turvalisusest

Anto Veldre kommenteerib väiteid kohe-kohe toimuvate Europarlamendi valimiste e-hääletuse turvalisuse osas ning avab veidi ka e-valimised ära jätta soovitanud ekspertide tausta.

Kokkuvõtvalt ütleb Anto järgmist:

1. Kriitika Eesti e-valimiste aadressil on pigem PR-projekt kui tõsine tuvaanalüüs.

2. Kriitikud on esitanud üldsõnalisi kirjeldusi ründe võimalikkusest, kuid pole suutnud anda Vabariigi Valimiskomisjonile selle tehnilist kirjeldust.

3. Kriitikute väide, et hääletaja arvuti võib olla nakatunud pahavaraga, on hääletuse korraldajate jaoks aktsepteeritav risk, mis Eesti küberhügieeni oludes on nagunii küllalt madal. Pealegi aitab riski vähendada PIN-padiga ID-kaardi lugeja ning iga arvutikasutaja mõistlik arvutikäitumine.

4. Kõigil neil, kes oma arvuti turvalisuses kindlad pole, on alati õigus ja võimalus minna valimisjaoskonda ja hääletada seal.

5. E-hääletus eestis ja USA-s on kaks täiesti erinevat nähtust. Esiteks hääletatakse Ameerikas valimisjaoskonnas ja eraldi hääletusmasinatega, mis tõepoolest pole kuigi turvalised. Teiseks puudub Ameerikas meie ID-kaardi sarnane süsteem kodanike elektrooniliseks identifitseerimiseks, nii et neil seal pole meie internetihääletuse sarnane süsteem võimalikki. Ameerika kogemuse Eestisse ülekandmine pole seega asjakohane.

6. Meie, eestlaste, ajalooline kogemus on, et hoopis pabervalimisi on hõlpsam võltsida.

7. Vaatamata OS ja riistvara riskidele on võimalik selle peale siiski ehitada tarkvara ja protseduurid, mille omanik on Eesti riik ning sidekanal Internet. Igast riiklikult olulisest liigutusest jäävad logid, e-hääletust tagavad kümned IT-inimesed. 

Kas krüpto on nüüd surnud?

Snowdeni viimased paljastused väidavad, et Ameerika Ühendriikide ja Suurbritannia valitsusasutused suudavad kuulata pealt krüpteeritud võrguliiklust, mis toimub näiteks teie arvuti ja Hotmaili, Yahoo, Google’i või Facebooki vahel. Et see võimalik oleks, kuulatakse pealt rahvusvahelisi sidekaableid ja võrgusõlmi, sunnitakse tarkvaratootjaid kirjutama oma krüptotoodetesse tagauksi ning püütakse kirjutada krüptostandardeid ümber selliselt, et need oleksid vähem muukimiskindlad.

Kas see tähendab, et kogu krüptograafiline usaldusahel, mis laseb meil suhteliselt muretult internetis raha kulutada, petta saamist kartmata valitsuse, ettevõtete ja üksteisega suhelda ning olla kindlad, et meie info ei jõua valedesse kätesse, on nüüd mõttetuks muutunud ning me peaksime paberi ja pastaka juurde tagasi pöörduma?

Jah ja ei.

On tõsi, et kui näiteks HTTPS, SSL ja VOIP sisaldavad tagauksi ja turvaauke NSA jaoks, võivad neidsamu auke kasutada ka kõik teised peale NSA. Ja isegi kui tagaustes on (ehkki tõenäoliselt pigem pole) korralikud kontrollmehhanismid, mis välistavad nende kuritarvitamist, on NSA motiivid igal juhul kaheldavad. Tasub meeles pidada, et Eesti ei ole veel Ameerika Ühendriikide osariik ning meie riigi ja selle kodanike huvid ei pruugi nende omadega kaugeltki kattuda. Pealegi, nagu Bruce Schneier väga õigesti märgib, on Hiinal, Venemaal ja teistel sarnastel režiimidel nüüd hea ettekääne internetti samal viisil kuritarvitada.

Samas, kui väidetavasse pealtkuulamismehhanismi veidi süveneda, siis selgub, et krüptoalgoritme, see tähendab matemaatilisi põhimõtteid, mille alusel krüpteeritud sõnumeid kokku pannakse, NSA-l siiski murda pole õnnestunud. Aga ega neil seda vaja ei olegi, sest palju aega ja ressurssi nõudvast koodimurdmisest lihtsam on murda inimesi, kes koodi töötlevat tarkvara kirjutavad või krüpteeritud sõnumeid edastavat infrastruktuuri käigus hoiavad. Sellest, kuidas Ameerika valitsusasutused terrorismi tõkestamise või mõnel muul ettekäändel Facebooki, Google’i või mõne teise suure sotsiaalvõrgustiku haldaja käest täiesti otse ja seaduslikult nende kasutajate andmeid küsivad, on viimasel ajal juba väga palju räägitud, samuti ka seda, et ookeanitaguste sotsiaalvõrgustike või tasuta meili- ja sõnumiteenuste kasutajaist on väga naiivne oma andmete privaatsust eeldada.

Turvaekspertide hinnangul on juhul, kui Snowdeni väited tõele vastavad, pealtkuulatavad enamik suurte Ameerika tarkvaratootjate krüptotoodetest. Rahulikumad võivad olla selliste toodete kasutajad, mille lähtekood on avalik või mis ühilduvad rohkem kui ühe tarkvarafirma toodetega. Seda põhjusel, et tagaustel on väga raske jääda märkamatuks, kui sama koodi uurib mitu sõltumatut tarkvaraarendajat. Samuti ei ole mõtet murda sisse suvalise kasutaja arvutisse – asjatu vahelejäämise risk on liialt suur.

Kas see kõik puudutab ka meid siin Eestis?

Kas me võime julgelt oma e-panku kasutada ja e-Eestiga edasi suhelda? Kas Keskerakonnal ongi õigus ning ID-kaart kõlbab nüüd ainult autoklaasilt jää kaapimiseks?

Mis e-valimistesse puutub, siis nii palju kui mina tean ja ajaloost õppinud olen, on pabersedelitega valimistel oluliselt lihtsam ja odavam susserdada kui e-häälte puhul.

ID-kaardi turvalisus peaks olema oluliselt kõrgem kui lõppkasutaja arvuti oma. Selle krüptot pole minu teada veel murda õnnestunud, samuti pole kuulda olnud, et keegi ID-kaardi tarkvara arendajatele täiendavate tagauste sisseprogrammeerimise eest maksnud oleks (ja niipalju kui mina tarkvaraarendusest tean, tasuta seda tööd vaevalt et keegi ette võtaks). Mõistagi poleks sugugi liigne valitsuse esindajate kinnitus, et meie riik ei tee tagauste teemal NSA-ga koostööd.

obama-ATM

Eestis tegutsevad pangad on oma e-kanalite turvalisuse pärast muretsenud juba pikka aega. See on väljendunud näiteks koodikaardi ülekandelimiitide koomaletõmbamises ning ID-kaardi ja Mobiil-ID propageerimises. Teoreetiliselt peakski ID-kaardiga krüpteeritud pangasessioon olema turvalisem kui USA teenusepakkujalt ostetud veebiserveri sertifikaadiga krüpteeritud turvakanal, mida kasutatakse juhul, kui logite panka sisse koodikaardiga.

Mida saame meie, tavakasutajad teha selleks, et meid pealt ei kuulataks?

1. Seda, et meie poliitikud lombitagusele Suurele Vennale iitsatada julgeksid, et Eesti Vabariigi kodanikel on ka mingid inimõigused ning ootused oma privaatsuse austamiseks, on vist natuke palju tahetud. Aga valimised ei olegi nii väga kaugel ja praktika näitab, et sel ajal vähemalt tehakse nägu, et valijaid kuulatakse. Nii et, hea kodanik – suhtle oma saadikuga, päri aru ja küsi tulevikuplaanide kohta!

2. Pidage meeles, et kui kasutate Facebooki, Gmaili ja muid sarnaseid teenuseid, siis kõik, mis liigub läbi Ameerika serverite, jääb sealse jurisdiktsiooni alla ja Ameerika valitsusel pole meie kui välismaalaste suhtes isegi neid kohustusi, mida ta omaenda kodanike suhtes Snowdeni väitel ignoreerib.

3. Eesti on väike, kõik tunnevad üksteist ja iga vähegi suurem sigadus tuleb ükskord välja. Seega tasub kohalikke teenusepakkujaid ning võrke usaldada rohkem kui ookeanitaguseid, olgu need siis meili- või hostinguteenuse pakkujad, digitaalsete sertifikaatide või muude kohalike turvatoodete müüjad.

4. Avatud lähtekoodiga tarkvara on üldiselt nuhkimiskindlam. See ei tähenda, et peaksite loobuma näiteks Microsofti toodetest, eriti kui need on muutunud teie igapäevase töö ja meelelahutuse lahutamatuks osaks. Ehkki Ameerika firmad on muidugi kohustatud tegema seda, mida nende valitsus käsib, on nende peamiseks eesmärgiks siiski kasum, ja nad on täiesti valmis astuma vägagi otsustavaid samme, veenmaks oma miljoneid kliente, et nende privaatsusega on lood hulga paremad kui viimaste uudiste valguses paistab. Aga kui teil on pidevalt tegemist ärisaladustega või tahate lihtsalt elada teadmisega, et teie eraleu pole kellegi teise asi, võiksite eelistada Linuxi-põhiseid lahendusi.

Veel samal teemal.

Failide turvaline kustutamine

1recycle-binKui kustutate arvutist privaatseid faile prügikasti ja selle ka tühjendate, siis arvate, et need failid on igaveseks kadunud ning kellelgi pole neile enam ligipääsu. Nii see tegelikult ei ole. Niikaua kui kustutatud salajasi andmed pole üle kirjutatud, saab neid spetsiaalsete taastamisprogrammidega näiteks Glari Undelete,  AnyFound Photo Recovery, SoftPerfect File Recovery jt taastada. Kui aga müüte arvuti või välise kõvaketta võõrale edasi, kingite kasutatud USB-pulga sõbrale, siis ka nemad saavad soovi korral taastada ja seejärel uurida kõiki teie isilikke faile, mis teil olid selleks tarbeks tavapäraselt kustutatud.

 1Secure erase files with Secure Eraser

Loe edasi: Failide turvaline kustutamine

Failide krüpteerimine Drag’n’Crypt abil

1Kõigile tasuta Drag’n’Crypt ULTRA on äärmiselt lihtne ja mugav failide krüpteerimise programm, mille abil saab kaitsta tundlikke ning salajasi andmeid võõraste silmade eest. Näiteks, kui ühte arvutit kasutab mitu inimest, saab igaüks oma privaatsed failid selle krüpteerimisprogrammi abil salasõnaga kaitsta.

Drag’n’Crypt ULTRA kasutab turvalist Twofish krüpteerimisalgoritmi. Krüpteerimiseks tuleb teha vajalikul failil (või failidel) paremklikk, leida rippmenüüst Drag’n’Crypt Ultra (sätetest märkida linnukesega Use Context Menu), avada programmi aken ning sisestada kaks korda parool. Korraga võib krüpteerida ka kogu kausta seal olevate failidega. Samuti võib krüpteerimist vajava faili või kausta koos failidega lohistada Drag`n`Crypt ikoonile.

2

Vahend sobib krüpteeritult salasõnaga kaitsma igasuguseid faile – erinevaid dokumente, arhiivifaile, videosid, fotosid, audiofaile jne. Ei pea kasutama ühte ja ainust salasõna, nii nagu paljud teised krüpteerimisrakendused nõuavad, vaid erinevatele failidele saab määrata erinevaid paroole – just seetõttu sobib see ideaalselt arvutisse, kus mitmed inimesed saavad selle abil just omale tähtsaid faile isikliku salasõnaga kaitsta.

3

Mida pikem salasõna, seda turvalisem. Kõige turvalisema parooli saamiseks kasutage salasõnas ka suuri tähti, numbreid, punkte, komasid, kooloneid jne. Ärge kasutage salasõnade määramisel kõike seda, mis puutub teie lemmikutesse, sest teid hästi tundev sama arvuti kasutaja võib seda teilt eeldada. Samuti võib faili nimesid muuta, et pealkiri ei tekitaks teistes arvuti ühiskasutajates ebaharilikku huvi – näiteks dokumendi „Minu isiklik päevik“ võib ümber nimetada „MIP“ või kuidas keegi iganes soovib. Faili nime peab teiseks muutma enne krüpteerimist! Kindlasti tuleks krüpteerimisel lähtefail kustutada, märkides programmi sätetes linnukesega „Secure erase of the source file“.

4

Krüpteeritud failide avamiseks tuleb teha failil topeltklikk ja avanevasse aknasse kirjutada õige parool. Kui soovitakse terve kaustatäis krüpteeritud faile avada, siis kaustal paremklikk ja valige Drag’n’Crypt Ultra. NB! Failidele määratud salasõna või erinevaid salasõnu loomulikult ei tohi unustada, sest siis peate palvetama, et parool meelde tuleks (parafraseerides rakenduse kodulehel olevaid sõnu), muidu  ei suuda te ise ka neid enam avada ning mõni väga oluline fail võibki jääda kadunuks.

Tegemist on portatiivse ehk kaasaskantava rakendusega, mida saab kasutada USB-pulkadel, välistel kõvaketastel, mälukaartidel jne. Kõik vähegi salajane, tundlik ja isiklik informatsioon on soovitatav välistel andmekandjatel krüpteerida, kuna sageli unustatakse neid tuttavate poole või kaotatakse ära.

Kuna erinevatesse süsteemidesse paigaldades võib igal programmil erineda vigasid, siis kõigepealt katsetage, et kõik laimatult töötaks – looge mittevajalikud failid ja kontrollige töökindlust!

Sobib operatsioonisüsteemidele Windows 2000, Windows XP, Windows Vista, Windows 7 (32-bit).

Tutvustav video:

 

Free file encryption software for windows Drag ‘n Crypt ULTRA from arvutiturve on Vimeo.