Tietoturvatutkijan täytyy osata ennakoida hyökkääjän seuraava askel

Nykyteknologian avulla auton ovi tai älyportti aukenee ilman napin painallusta, ja kauppaostokset voi maksaa vilauttamalla lähimaksukorttia maksupäätteelle. Tällaiset vaivattoman tietoturvan järjestelmät ovat helppokäyttöisiä, mutta niiden kääntöpuolena voi olla heikentynyt turvallisuus. Yksi keino parantaa vaivatonta tietoturvaa on koneoppiminen, ja muun muassa tähän aiheeseen Aalto-yliopiston tohtorikoulutettava Mika Juuti keskittyi tohtoriopintojensa aikana.

Vaivattoman tietoturvan järjestelmät pyrkivät ennakoimaan käyttäjän aikomusta tunnistautua järjestelmään. Ne perustuvat kahteen, keskenään kommunikoivaan fyysiseen laitteeseen, kuten älyavaimeen ja autoon tai älyporttiin. Kun auto tai portti pystyy todentamaan käyttäjän olevan lähellä, ovi tai portti aukeaa. Esimerkiksi avaimettomissa autoissa tämä tapahtuu mittaamalla autonavaimen lähettämän radiosignaalin tasoa.

Vaivattoman tietoturvan järjestelmiin liittyvistä tietoturvaongelmista ovat kärsineet viime vuosina esimerkiksi monien kalliiden autojen valmistajat, sillä avaimen ja autossa olevan tunnistusjärjestelmän välistä radiosignaalin tasoa on helppo manipuloida. Tällaisessa niin sanotussa relehyökkäyksessä hyökkääjä asettaa auton ja avaimen väliseen signaaliin kaksi relettä, jotka vahvistavat yhteyttä. Seurauksena auton ovi aukeaa, vaikka avain ei todellisuudessa olisi lähelläkään sitä.

Juutin väitöskirjan kantavana teemana oli koneoppimisen hyödyntäminen tietoturvajärjestelmissä. Sen ensimmäisessä osassa Juuti tutki vaivattoman tietoturvan järjestelmiin kohdistuvia hyökkäysjärjestelmiä ja sitä, miten hyvin järjestelmät pystyvät puolustautumaan hyökkäyksiä vastaan.

Juuti kollegoineen kehitti muun muassa Android-käyttöjärjestelmässä toimivan STASH-älypuhelinsovelluksen, joka pyrkii estämään relehyökkäyksiä. Se sallii pääsyn laitteen tietoihin tai sen käytön vain, jos se voi varmistaa esimerkiksi avaimen olevan oikeasti lähellä älyporttia.

Sovellus arvioi laitteen läheisyyttä sen perusteella, miten käyttäjän tiedetään aiemmin liikkuneen esimerkiksi avaimen tai muun tunnistuksessa käytettävän laitteen kanssa. Turvallisuusjärjestelmä perustuu siihen, että hyökkääjä ei pysty manipuloimaan esimerkiksi avaimen kiihdytys- tai gyroskooppiantureita. Se voi ehkäistä tehokkaasti esimerkiksi älyportteihin tai älykoteihin tehtyjä hyökkäyksiä. Tutkijat testasivat sovellusta kontrolloidussa ympäristössä ja suunnittelivat sen niin, että sen voi helposti integroida vaivattoman tietoturvan järjestelmiin.

Tärkeintä on kokonaisuus

Maanantaina 19. elokuuta tekniikan tohtoriksi väittelevän Juutin mukaan on tärkeä ymmärtää hyökkääjien motiiveja ja nykyistä teknologiaa, jotta tutkijat ja kehittäjät pystyvät tekemään turvallisia järjestelmiä.

”Toisin kuin monella muulla alalla, tietoturvatutkimuksessa tutkitaan vastustajaa, joka ei kerro keksineensä uuden hyökkäystavan, koska siitä on taloudellista tai muuta hyötyä vastustajalle. Niinpä tutkijoiden on pystyttävä ennakoimaan ongelmia uuden teknologian käyttöönotossa”, Juuti sanoo.

Juutin mukaan tietoturvan kehittämisen kannalta oleellisinta on katsoa järjestelmää kokonaisuutena ja arvioida erikseen sen komponentteja: Mikä on järjestelmän heikoin lenkki? Mitä voi pahimmillaan tapahtua, jos hyökkääjä pääsee käyttämään sen heikkoutta hyväksi? ”Jos käydään nämä kaikki asiat läpi, voidaan löytää monia erilaisia keinoja, joilla voidaan heikentää tällaisen järjestelmän tietoturvaominaisuuksia”, Juuti sanoo.

Väitöskirjassaan Juuti esittelee tietoturva-alan tehokkaimpia kiertohyökkäyksiä ja louhintahyökkäyksiä kuvantunnistusalgoritmeja kohtaan. Lisäksi hän arvioi yksinkertaisten kiertohyökkäysten tehokkuutta vihapuhetta tunnistavia algoritmeja kohtaan ja esittelee menetelmän, joka voi tekoälyn avulla tuottaa uskottavan näköisiä valearvioita ravintoloille.

”Vihamielinen koneoppiminen”, jossa pahantahtoinen henkilö pyrkii kiertämään tai varastamaan esimerkiksi yrityksen kehittämän koneoppimismallin omiin haitallisiin tarkoituksiinsa, kehittyy koko ajan. Tieto siitä auttaa kehittämään turvallisempia järjestelmiä.

Juuti kuitenkin muistuttaa, että vastustajat sopeuttavat toimintaansa suojajärjestelmien kiertämiseksi. Sen vuoksi vedenpitävien tietoturvajärjestelmien ylläpito on monimutkaista ja vaatii jatkuvaa työtä. ”Usein kyseessä on kissa ja hiiri -leikki.”

Monimuotoinen tutkimusryhmä auttaa

Juuti on tehnyt paitsi tohtori- myös kandi- ja maisteriopintonsa Aallossa. Hän piti jo lapsena asioiden tutkimisesta ja kokeista, joten tutkiminen ja asioiden kriittinen tarkastelu tuntuvat tärkeältä osalta omaa identiteettiä. Maisteriopintojen aikana saatu tutkimuskokemus Aallon koneoppimisen tutkimusryhmässä ja vaihto-opiskelijana Japanissa antoivat itseluottamusta hakea tohtoriopiskelijaksi.

Juutin väitöskirjan ohjaajana toimi professori Asokan, ja tohtorikoulutettavana hän työskenteli Asokanin Secure Systems -tutkimusryhmässä. Siinä on vuosittain kahdesta kolmeen postdoc-tutkijaa, viidestä kymmeneen tohtorikoulutettavaa sekä vuodenajasta vaihdellen maisteri- ja kandiopiskelijoita.

Juuti kuvailee työskentelyä ryhmässä todella mukavaksi. Mukana on ihmisiä erilaisista taustoista, mikä saa aikaan hedelmällisiä keskusteluja. Se on Juutin mielestä erittäin hyödyllistä. ”Voi esittää jonkun mielipiteen ja muut pystyvät sitten sanomaan, onko tässä järkeä heidän oman taustansa perusteella.”

Juuti teki tohtoriopintojensa aikana yhteistyötä myös ulkomaisten yliopistojen kanssa. Toimivan yhteistyön kehittäminen oli haastavaa mutta onnistuessaan palkitsevaa. ”On hyvä varmistaa, että kaikki ymmärtävät asian samalla lailla, koska jokainen katsoo asioita omasta perspektiivistään. Sillä tavalla päästään hyviin lopputuloksiin.”

Juuti työskentelee tällä hetkellä Huaweissa Helsingissä, mutta muuttaa myöhemmin tänä vuonna Kanadaan. ”Työskentelen postdocina University of Waterloossa eli jatkan akateemisessa maailmassa ainakin jonkin aikaa.”

Diplomi-insinööri Mika Juuti väittelee maanantaina 19.8.2019 klo 12 Aalto-yliopiston perustieteiden korkeakoulussa salissa T2, Konemiehentie 2, Espoo. Väitöskirjan nimi on "Access Control and Machine Learning: Evasion and Defenses".