Juhime tähelepanu, et artikkel on rohkem kui viis aastat vana ning kuulub meie arhiivi. Ajakirjandusväljaanne ei uuenda arhiivide sisu, seega võib olla vajalik tutvuda ka uuemate allikatega.
/nginx/o/2013/09/05/2276231t1he2b4.jpg)
Kui sportlasele heidetakse ette dopingut ja ajakirjanikule faktidena esitatu kontrollimata jätmist, siis arvutiturvalisuses on üks hea malakas, millega vastast mõõta, security through obscurity ehk turvalisus varjamise kaudu näiteks on meediast läbi jooksnud nn võluvitsa kasutamine VIP-visiitide turvamisel, aga päästeamet eridemineerimise tehnikast ei räägi ning palub rahulduda teadmisega, et seade on patenditud.
Selle vastandiks on security by design ehk millegi disainist tulenev turvalisus näiteks uks, millest läbi murdmine võtab portatiivsete tööriistadega aega 60 minutit ning tekitab palju lärmi. Loomulikult võib ka varjamine olla mõnel puhul disaini osa... näiteks Eesti e-hääletuse tarkvara lähtekoodiga saab igaüks n-ö allkirja vastu tutvuda aga päris vabalt netti seda ei riputata.
Igasugune infovähesus tekitab aga huvi, huvist kasvavad oletused ja oletuste tuletised. Mõni nädal tagasi jooksis maailma meedias ja seejärel ka meie meedias lugu tudeng Dmitrist, keda trahviti kevadiste küberrünnete korraldamise eest. Peavoolumeedia võttis AFPist uudise ja kohandas vastavalt vajadusele pealkirja, erialasemad kanalid aga tegid kiired järeldused, lähtudes kohandatud pealkirjadest ja taustainfo puudumisest.
Pisut süvenemisest
Tuletised võtab kenasti kokku Guardiani ajakirjaniku suhtlus blogi-kommenteerijatega, kes tema sõnavõtu ajakirjanduslikus kvaliteedis kahtlevad. Charles Arthur: «Kui jätta kõrvale võimalus helistada prokuratuuri ja pidada maha vestlus tegelastega, kellega meil puudub ühine keel, või lugeda ajalehti keeles, mida ma ei mõista, siis ma ei näe ühtki võimalust uurimist jätkata.»
Tõepoolest. Kui jätta kõrvale võimalus süveneda, siis polegi nagu muud teha, kui niisama lahmida. Või äkki mõtles ta ühise keele puudumise all hoopis seda, et meist pole pool aastat kippu ega kõppu kostnud ning ta ei usu, et nii pika vaikimise peale temal midagi välja uurida õnnestub?
Minul keeleprobleemi pole, vaba aega kah paljuvõitu. Helistasin kevadel küberkaitsega tegelenud sõbrale ja küsisin Dmitri kohta. «Dmitri? Aaa, russkojazõtsnõi itel Dimon s Tallinna üks aktivist vene häkkerifoorumites, oli teine kõiki ära tüüdanud.»
Helistasin kohtusse, sealt soovitati rääkida proksiga, nood omakorda kripoga... ja kripo pakkus, et kui otsus on jõustunud, peaksin kohtus saama tutvuda toimikuga. Tõepoolest, sõnavõtud foorumites on kenasti samade kaante vahel reform.ee serveri logide ja ülestunnistusega, et proovis jah veebiserverit ummistada.
Ühe teemat käsitleva uudisloo kommentaarides annab muide keegi lingi isegi samadele foorumitele interneti-arhiivi kaudu tõsi, arhiivis on versioon päev pärast Dmitri arreteerimist ja selles on üks teine kasutaja oma postitused ükshaaval üle käinud ja tühjaks toimetanud.
Ehk oli tegu kodanikuga, kes jagas õpetusi, milliseid saite ja kuidas rünnata ning oli ilmselgelt Eestist. Dmitri kinnivõtmine pani mõned teised oma tegevuse üle järele mõtlema ehk asjal oli ka teatav pedagoogiline efekt. Venemaale läinud õigusabipalved teiste sarnaste tegelaste tuvastamiseks on saanud vastuseks äraütlemise formaalsetel põhjustel...
Aga kas Dmitri tegevus oli üleüldse oluline? Avalikult välja käidud lõigud rünnete koondanalüüsist kinnitavad, et esimeses faasis ehk aprilli lõpupäevadel jah.
Seejärel liitusid aga madinaga juba oluliselt efektiivsemalt toimivad tegelased, kellele aktivistide lärm vaid soodsalt sogase keskkonna lõi. Ja sõbrad, kes Dmitri nime peale «aaa, Dimon» ütlevad, jäävad edasiste rünnete osas kuidagi kidakeelseks.
Kui ma viitan, et tehnoloogia-ajakirjanduses ju räägitakse küberkrimi telgitagustest ning näidatakse ekraanisalvestusi selle kohta guugeldage prooviks fraase «76service.com» ja «russian business network» siis poetatakse moka otsast «jah-noh, aga sa vaata ka seda järgmist artiklit, kus kurdetakse, et kurinahad on millegipärast ennast varasest paremini peitma hakanud».
Pedagoogilisest poolest veel. Mina lugesin õige mitu korda karistusseadustikku ning olen sunnitud tunnistama, et selle muutmine on mitmes kohas hädavajalik nende «efektiivsemalt toimivate tegelaste» ja küberkrimi 2007. aasta töömeetodite mahutamine olemasolevate paragrahvide alla nõuab väga elavat fantaasiat ning vähemalt magistrikraadi teelehtede lugemise alal.
Lugesin läbi ka riigikogus kolmandat lugemist ootava eelnõu number 166 ja selle seletuskirja ning see hakkas mulle täitsa meeldima.
Mõned jamad on seal sees, aga ma nimme jätan need siinkohal välja toomata ja kutsun tehnoloogiahuvilisi lugejaid asja läbi lugema ja arutama. Me oleme sellega juba enam-vähem hiljaks jäänud, aga see ei tohiks ometi edaspidist mõtlemahakkamist takistada.
Eridemineerijate võluvits
Tuleks nüüd tagasi loo alguse juurde ehk security through obscurity. Me ei saa kõike, mida teame, lauale laduda, aga ega see va oletuse teine tuletis, mis liiga kiiva info enda käes hoidmisega sageli kaasas käib, ei vii meid kah ühelegi eesmärgile lähemale.
Mingi osa informatsioonist tuleb ohverdada ning seda on mõtet teha neil, kes on informatsioonile piisavalt lähedal, langetamaks kaalutletud otsuseid.
Osa teadmisest on CERTil (Computer Emergency Response Team), osa pankadel, osa telekommidel, osa aga kaitse-, justiits- ja siseministeeriumi alla kuuluvates majades.
Kuniks infoomanikud ohvrianni osas kokku ei lepi, oleme tanki pannud meie ühise tõsiseltvõetavuse.
Ahjah, ja mis puutub eridemineerijate patenditud võluvitsa... Siis vaadake, patent on avalik dokument ning kes seda ei viitsi lugeda, võivad lihtsalt guugeldada kaubamärki SniffEx. See guugeldamine, mitte SniffEx võib päästa mõne VIPi ja hulga demineerijate elu, mis hetkel hämamise tõttu selgelt ohus.