Uutiset

Salasanojen tallennusohjelmat ovat haavoittuvia sisäpiirihyökkäyksille

Tietokoneen osien ja ohjelmistojen sisäinen kommunikaatio on altis tietoturvaongelmille. Hyökkäyksiä ja murtoja voi tehdä tai aiheuttaa kuka tahansa, jolla on pääsy samalle tietokoneelle.

Aalto-yliopiston ja Helsingin yliopiston tutkijat ovat löytäneet salasanojen hallintaohjelmista sekä useista muista tietoturvan kannalta kriittisistä ohjelmistoista haavoittuvuuksia, jotka mahdollistavat esimerkiksi työtovereiden, perheenjäsenten tai vieraiden hyökkäykset. Samankaltaisia aukkoja löytyi yli kymmenestä eri ohjelmistosta, joilla on miljoonia käyttäjiä maailmanlaajuisesti. Ongelmat koskevat Windows-, Linux- ja macOS-ohjelmistoja.

Tietokoneohjelmistot koostuvat prosesseista, joilla on eri tehtäviä. Esimerkiksi monissa salasanojen hallintaohjelmistoissa on kaksi erillistä osaa: salasanaholvi ja laajennus verkkoselaimeen. Tiedon välitystä osien välillä kutsutaan prosessien väliseksi kommunikaatioksi (inter-process communication, IPC). Se tapahtuu käyttäjän oman tietokoneen sisällä, ja sitä on pidetty turvallisena. Ohjelmiston pitäisi kuitenkin suojata IPC-kanava muilta samalla tietokoneella olevilta ohjelmilta ja prosesseilta. Muuten tahallaan tai vahingossa käynnistetyt haittaohjelmat saattavat päästä IPC-kanavassa kulkeviin salasanatietoihin käsiksi.

”Löytämiemme haavoittuvien ohjelmistojen suuri määrä osoittaa, että ohjelmistokehittäjät eivät huomioi tietoturvallisuutta prosessien välisessä kommunikaatiossa. Ohjelmistokehittäjät eivät välttämättä tunne kommunikaatioon liittyviä tietoturvaratkaisuja tai he olettavat tietokoneen olevan täysin suojattu ympäristö. Joka tapauksessa molemmat selitykset ovat huolestuttavia. Vastaavia ongelmia löytyy luultavasti lisää”, sanoo Aalto-yliopiston professori Tuomas Aura.

IPC-kommunikaatiota käyttäviä ohjelmistoja vastaan voi hyökätä kuka tahansa, jolla on pääsy samalle tietokoneelle. Esimerkiksi yrityksissä keskitetty käyttäjähallinta mahdollistaa kaikkien työntekijöiden kirjautumisen mille tahansa tietokoneelle. Tällaisessa ympäristössä jokaisella yrityksen työntekijällä on periaatteessa mahdollisuus väärinkäytöksiin. Hyökkääjä voi myös kirjautua koneen vierailijatilille tai käyttää konetta verkon yli, jos etäyhteyden ottaminen koneeseen on mahdollista.

”Monenlaiset turvallisuuskriittiset ohjelmistot, kuten salasanojen hallintaohjelmistot, eivät varmista IPC-kanavan turvallisuutta. Silloin mikä tahansa tietokoneella pyörivä ohjelma pääsee käsiksi kommunikaatiokanavaan. Salasanojen tallennusohjelmistoista voi esimerkiksi varastaa salasanoja ja käyttäjätunnuksia”, sanoo tutkijatohtori Markku Antikainen Helsingin yliopistosta.

Suomalaisten kannalta merkittävin haavoittuvuus löytyi DigiSign-kortinlukijaohjelmistosta, jota Väestörekisterikeskus tarjoaa esimerkiksi sähköisen henkilökortin ja terveydenhuollon ammattikortin käyttäjille. Lääkärin tietokoneelle pääsevä henkilö voisi hyödyntää tutkimuksessa löydettyjä haavoittuvuuksia. Esimerkiksi lääkemääräyksiä voisi väärentää muuttamalla IPC-kanavassa yhdestä ohjelmiston osasta toiseen allekirjoitettavaksi lähetettyä reseptiä.

”Tietääksemme DigiSign-ohjelmiston haavoittuvuuksia ei ole hyödynnetty ja käytetty väärin. Olemme raportoineet ongelman Väestörekisterikeskukselle, ja se on huomioitu ohjelmiston uusimmissa versioissa”, Antikainen kertoo.

Kaikki tutkimuksessa löydetyt tietoturvaongelmat on raportoitu ohjelmistojen tekijöille. Tutkimus on tehty osin yhteistyössä tietoturvayritys F-Securen kanssa.

Tulokset esitellään DEFCON-tietoturvakonferenssissa 12.8.2018 sekä Usenix Security -konferenssissa 17.8.2018.

Julkaisu on saatavissa kirjoittajilta sekä Usenix-konferenssin jälkeen osoitteesta https://www.usenix.org/conference/usenixsecurity18/presentation/bui.

Lisätietoja:

Tuomas Aura, professori
Aalto-yliopisto
puh. 050 308 1702
[email protected]

Markku Antikainen, tutkijatohtori
Helsingin yliopisto
[email protected]
puh. 050 339 6900

  • Julkaistu:
  • Päivitetty:
Jaa
URL kopioitu

Lue lisää uutisia

Seinäplansseja ja kirjapöytiä näyttelytilasta.
Tutkimus ja taide Julkaistu:

Aalto ARTS Booksissa juhlitaan 500:aa julkaistua teosta vuonna 2022

Aalto ARTS Books julkaisi 500. toimitetun teoksensa keväällä 2022. Juhla huipentuu toukokuussa Väreessä järjestettävään näyttelyyn, joka esittelee kustantamon toimintaa ja teoksia vuosien ajoilta.
Rulpa_Anna Aleksejeva in WantedDesign
Tutkimus ja taide Julkaistu:

Wood Studio -kurssille menestystä WantedDesign New Yorkissa

Aalto-yliopisto osallistuu newyorkilaisen muotoilufoorumi WantedDesignin verkkonäyttelyyn. WantedDesign 2022 on sarja digitaalisia tapahtumia, jotka esittelevät laadukkaita muotoilu- ja suunnittelukonsepteja ympäri maailman. Mukana ovat myös maailman huippukoulut.
A portrait of Maria Sammalkorpi.
Tutkimus ja taide Julkaistu:

Novo Nordisk -säätiöltä tutkimusrahoitus Maria Sammalkorvelle laskennalliseen biosynteettisten materiaalien tutkimukseen

Senior Scientist Maria Sammalkorpi on saanut Novo Nordisk -säätiöltä erittäin kilpaillun Ascending Investigator 2022 -tutkimusrahoituksen. Myönnetyn rahoituksen suuruus on noin 9 miljoonaa Tanskan kruunua (1,2 miljoonaa euroa).
Two models wearing grey solar cell clothing.
Tutkimus ja taide Julkaistu:

Tutkijat kehittivät vaatteisiin näkymätöntä aurinkokennoteknologiaa, joka kestää konepesua

Tutkijat kehittivät tekstiileihin pesunkestävää aurinkokennoteknologiaa, joka voidaan myös piilottaa kankaan alle. Kennojen näkymättömyys suojaa niitä - ja tekee vaatteista houkuttelevampia, sanovat fysiikan ja muotoilun tutkijat. Lupaavia sovelluskohteita löytyy esimerkiksi työ- ja retkeilyvaatteista sekä valoon reagoivista verhoista.