IRC-Galleria

Tämä on nyt ollut jotenkin trendikästä, että halutaan verkkopankin kirjautuminen joka hiton paikkaan. Kyllähän se toimii oikein hyvin, kyllähän se on vahva tapa varmistaa henkilöllisyys. Sivuston kannalta ratkaisu on hyvä, käyttäjän ja kokonaisuuden kannalta vaarallinen.

http://www.tietoviikko.fi/doc.te?f_id=1321232&s=r

Eikö kukaan ole ajatellut sitä millainen kosketuspinta tällä on phishing ja man-in-the-middle hyökkäyksiin? Jos kansa tottuu siihen että lähes minkä tahansa sivuston tunnistautumisen yhteydessä voidaan kysyä pankkitunnuksia, eikö jossainvaiheessa ylitetä raja jossa pahantahtoinen sivusto voikin ottaa tunnukset itse talteen eikä ohjaakaan käyttäjää pankin sivuille tunnistautumaan?

Näen jo mielessäni scenaarion, jossa Pertti Peruskäyttäjä surffaa netistä sivuille X ja haluaa kirjautua sisään. Pertti on kuitenkin kirjoittanut sivuston nimen väärin, ja huijari Y on pystyttänyt omat X:n näköiset sivut väärinkirjoitettuun osoitteeseen. Pertti kirjoittaa pankin tunnustietonsa tunnistautumissivulle, ja antaa avainkoodin. Tällävälin sivusto Y käyttää tietoja kirjautuakseen pankkiin ja tekee tilisiirron ja saa pankin vahvistussivun jossa pyydetään uutta avainta. Pertille sensijaan annetaan eteen virheilmoitus, jossa pyydetään yrittämään uudestaan toisella avainluvulla, ja arvaatte varmaan miten kuvio tästä etenee. Pertti Peruskäyttäjän tili tyhjätään, ja Pertille itselleen annetaan esimerkiksi ilmoitus että "Tietokantaan ei saada yhteyttä, yritä myöhemmin uudestaan" tai muuta geneeristä puppaa.

Typosquattausta tehdään jo pankkien sivuille, mutta entäs sitten kun pankkitunnuksia voi syöttää kymmenille muillekin sivustoille? Aijai. Mihin se HST-kortti ja sillä tunnistautuminen unohtui? Miksei Viestintäministeriö tue toimia jolla uusiin konepaketteihin kuuluisi mukana erillisellä numeronäppäimistöllä varustettu älykortin lukija HST-kortin mahdollisimman turvallista käyttöä varten? Mikä tahansa web-sivusto voi helposti hyödyntää HST-kortilla tunnistautumista, eikä tietoturvariski ole ihan samanlainen kuin pankkitunnusten kanssa...

Kirjoitin tänään aamummalla avoimen kirjeen sivustoni lukijoille, jossa perustelin muunmuassa sensuurilistan julkaisua. Kävi kuitenkin niin että kirjettä kirjoittaessani ja listaa selatessa sieltä
osui silmilleni jännä osoite.

Tunnistin osoitteen heti, ja ihmettelinkin miten olin voinut olla huomaamatta. Olin itse ilmiantanut kyseisen sivuston lähes vuosi sitten erinäisille tahoille. Klikkasin kokeilun vuoksi, ja odotin että
sivua ei löytyisi. Olihan siitä sentään lähes vuosi, ja osoite oli ollut kansainvälisillä poliisivoimilla tiedossa tuon koko ajan. Kuinkas ollakaan, minua tervehti selaimessa kaupallinen lapsipornosivusto joka yhä myi laitonta materiaaliaan. Miten tämä saattoi olla mahdollista?

Sivusto oli "hienosti" sensuroitu, ja tarkistin että se löytyi muunmuasssa Internet Watch Foundationin listaltakin. Tarkistin nopeasti myös domainin yhteystiedot, ja kyseessä oli yksityisyyssuojattu rekisteröinti jonka rekisteröintitaho ilmoittaa ehdoissaan varaavansa oikeuden sulkea domain mikäli sitä käytetään laittomuuksiin. Eikö sivun tällöin pitäisi mennä nopeastikin nurin, mahdollisesti jopa yhdellä puhelinsoitolla poliisilta? Miksi ihmeessä sivusto oli sitten yhä toiminnassa?

Keksin vain kaksi vaihtoehtoa: Joko anonyymiä rekisteröintipalvelua tarjoava domain-nimien myyjä ei ole suostunut selvää laitonta lapsipornosivun domain-nimeä sulkemaan, tai sitten heille ei koskaan asiasta ilmoitettu. Kummassakin tapauksessa jotain on mennyt pahasti vikaan, sillä poliisin olisi täytynyt olla yhteydessä nimirekisteröijään selvittäessään domainin oikean omistajan tietoja. Mikäli tiedot ovat väärät, jo se on ymmärtääkseni riittävä peruste domainin sulkemiselle, joten joko poliisi ei ole tehnyt mitään tutkintaa tai sitten tämä suuri ja (toistaiseksi) hyvämaineinen domain-nimien rekisteröintitaho on hangoitellut vastaan lähes vuoden ajan.

Pelkään kuitenkin keksineeni selityksen tapahtuneelle, ja sen nimi on sensuuri.

Mikäli domain-nimi on lisätty vain sensuurilistaan, on saatettu ajatella että homma on sillä hoidettu. Mahdollisesti silloinen sivustoa ylläpitävä palvelin on suljettu myös, mutta domain-nimeä ei ole tajuttu lakkauttaa.

Tämänlainen ei ole millään tapaa hyväksyttävää, ja saattaakin olla että sensuuriin tuuduttautuneena on annettu sensuroidun sivuston jatkaa laitonta toimintaansa. Jossain on menty pahasti metsään, tälläistä ei saisi tapahtua. Ei missään tapauksessa riitä että laiton sivusto vain "sensuroidaan", se pitää saada kokonaan suljettua!

Heräsin tässä, ja ajattelin mennä lukemaan sähköpostit ja vilkaisemaan irkkiä. Vaan kuinkas siinä kävikään, kohdepalvelin katkaisee yhteyden.

Sama palvelin jolla lapsiporno.info pyörii, on ikäväkseni vastuussa myös kommunikaatiostani ulkomaailman suuntaan. Ja juuri nyt sinne ei pääse, vaikka palvelin onkin pystyssä...

Onkohan joku keksinyt ddosata sivustoa vai mistä on kyse. Vai olenko minä mahdollisesti koodannut suodatuslista-sivun niin huonosti että sen räjähdysmäinen kysyntä on pistänyt palvelimen polvilleen? Saattaa olla yhdistelmä molempia, tuo sivu kun tekee yhden SQL-pyynnön per sivunlataus niin sitä pommittamalla saisi hyvin kuormaa aikaan palvelimelle.

No, jokatapauksessa, en pysty nyt lukemaan sähköpostejani toistaiseksi enkä pääse irkkiin shellistäni.
Taidan käyttää tilanteen hyödykseni pitämällä hieman taukoa ja lepäämällä pari tuntia odotellessa josko tilanne palvelimen osalta muuttuu, viime päivät kun ovat olleet aika stressaavia.

Poliisin mielestä kritiikkini Internet-sensuurista ilmeisesti täyttää lapsipornosivun määritelmän, jotenka sivustoni lapsiporno.info on päätynyt suodatuslistalle.

Sivustolle pääsee yhä mm. osoitteella:
http://muzzy.fi/~muzzy/lapsiporno/

Suomen Internet-sensuuria ei siis käytetä pelkästään ulkomaisten sivujen sensurointiin, eikä pelkästään lapsipornoa sisältävien sivujen sensurointiin. Odotan innolla pääsenkö myös muiden maiden sensuurilistoille :)

Nettivihje vuotaa tietoja ulkopuolisille vahingossa, ei osaa peittää identiteettiään edes epäillyiltä lapsipornosivuilta, ja käyttää kaiken kukkuraksi ikivanhaa selainta jossa vakavia tietoturva-aukkoja!

Kirjoitin aiheesta englanniksi pienen dokumentin:
http://lapsiporno.info/techproblems-with-hotlines.html

Vaikken arvostakaan heidän tekemää työtään, saavat nyt tässä ilmaisen tietoturva-auditoinnin minulta. Ammattilainen laskuttaisi monta sataa euroa tästäkin, mutta Pelastakaa Lapset ry kokee kai saavansa parempaa vastinetta rahoilleen haastelemalla minua oikeuteen jne. :)

Lapsiporno saa kavereita suodatuslistalle. Turun sanomat kertoo Sosiaali- ja terveysministeriön johtajan Kari Paason kertoneen että rahanpesuun liittyviä sivuja suodatettaisiin jo. Onko tämä virhe, vai tapahtuuko tätä tosiaan, sitä en osaa sanoa. Samassa artikkelissa puhutaan nettipokerin suodatusmahdollisuudesta.

http://www.turunsanomat.fi/kotimaa/?ts=1,3:1002:0:0,4:2:0:1:2008-01-17,104:2:511727,1:0:0:0:0:0

Samaan aikaan Briteissä on suunnitteilla terrorismiin kehottavien sivujen sensurointi, ja Suomikin on esittänyt että terrorismia netissä pitäisi karsia jotenkin. Mutta mitä toimia suomi voi tehdä ulkomailla olevan materiaalin saatavuuden vähentämiseksi? Sensuroida, tietenkin. Digitodayn artikkeli ei mene kuitenkaan noin pitkälle, puhutaan vain terrorismiin yllyttämisen rangaistavaksi säätämisestä. Olisi kuitenkin kummallista jos tätä ei joku poliitikko olisi jo miettinyt.

http://www.digitoday.fi/yhteiskunta/2008/01/17/rss/20081582/66

Elämme mielenkiintoisia aikoja. Mitähän seuraavaksi? Kuka on seuraava joka tahtoo sensuroida jotain?

Lueskelin tässä iltasanomia netissä ja eteen paukahti mitä kummallisin uutinen, jossa 33-vuotias nainen oli esittänyt olevansa 13-vuotias poika neljän kuukauden ajan. Kukaan ei ollut kyseenalaistanut annettua ikää!

http://www.iltasanomat.fi/uutiset/ulkomaat/uutinen.asp?id=1474695

Kun 33-vuotias nainen voi olla 13-vuotiaan pojan näköinen, onkin aiheellista kyseenalaistaa internetin suodatuksen kriteerejä jotka näyttäisivät pitkälti olevan nuoren näköisissä kuvissa. Vaikka sivut sanovat mallien olevan 18-vuotiaita tai yli, ei suodatuslistaa ylläpitävä tähän aina halua uskoa. Kuvassa olevat ihmiset kun on helppo kuvitella alaikäisiksi kun lähtee siitä oletuksesta että näin todellakin voisi olla.

Monilla operaattoreilla on Suomessa käytössä suodatuslista jossa monia satoja täysin laillisia sivuja on sensuroitu, ilmeisesti sentakia että joku on kuvitellut näkevänsä mahdollista lapsipornoa. Vielä en uskalla sanoa kyseessä olevan poliisin laatima lista, vaikka suodatuksen yhteydessä näytetäänkin poliisin tiedote. Joku on kyseisen listan kuitenkin koonnut, ja arvioinut rajusti väärin kuvissa olevien mallien iät. Kuka se on ollut, sitä en osaa sanoa, mutta lähtökohtaisesti pitäisin todennäköisenä että tavallisia pornosivuja on käyty läpi olettaen että niillä olisi lapsipornoa näkyvillä. Tämänlainen oletus voisi johtaa ylläoleviin seuraksiin, jossa täysi-ikäistä luullaan alaikäiseksi väärin perustein.

Skandaalinomaisia tapauksia nämä molemmat, niin tuo 33-vuotiaan naisen tapaus kuin internet-sensuuri Suomessakin.

Internetin suodatukseen käytetään eri operaattoreilla ilmeisesti eri listoja. DNA:lla on ilmeisesti huomattavasti pienempi ja eri tekniikalla toteutettu suodatus kuin mitä Welho, KYMP.net ja Netikka käyttävät. Listan alkuperästä minulla ei ole mitään käsitystä, mutta molempien listojen tapauksessa tulee varoitussivu jossa käsketään ottaa poliisiin yhteyttä jos on kysymyksiä. Tämä antaisi ymmärtää että molemmat listat ovat peräisin poliisilta, joka ei kuitenkaan ilmeisesti ole totta.

Mistä siis on kyse? Ehkä vastauksia tulee lähipäivinä...

http://www.digitoday.fi/page.php?page_id=66&news_id=2008579

Tämä siis liittyen siihen kun julkaisin 785 suomessa internetistä sensuroidun osoitteen listan. Joku on sanonut ettei se olisi ihan 1:1 poliisin listan kanssa, mutta miksi sitten näytettäisiin poliisin tiedotetta kun suodatus tapahtuu? Ihan absurdia. Sen myönnän ettei lista ole täydellinen, en minä kaikkia sensuroituja sivuja tunne.

Vaanjoo, nukuin sitten koko päivän ja missasin olleeni valokeilassa. Sellaista sattuu, vaan onpas lapsiporno.info:n logeissakin jo lähes 5000 hittiä tälle päivälle, lähestulkoon ennätys. Enemmän oli vain lähes tasan vuosi sitten, kun tein "sinullakin voi olla lapsipornoa" kampanjan.
Siis tämän näin: http://lapsiporno.info/sinullakin-voi-olla-lapsipornoa.jpg

Että sellaista... Sitten odotellaan innolla miten asiaan reagoidaan :)

Tiesittekö, että jos joku vieras valtio päättää että tietokoneesi pitää takavarikoida rikoksen johdosta, suomi tottelee? Sanotaan vaikka että julkaiset jotain joka on laitonta kiinassa, voi kiina pyytää koneesi takavarikkoon. Ei välttämättä tapahdu, mutta en tiedä kuka päättää kenen pyyntöjä totellaan ja millä perustein. Laki kuitenkin sanoo että muiden valtioiden pyynnöstä voidaan takavarikoida koneita.

http://www.finlex.fi/fi/laki/alkup/2007/20070541

15 a § -- Takavarikosta päättäminen vieraan valtion oikeusapupyynnön johdosta

Esine, asiakirja tai data voidaan vieraan valtion viranomaisen pyynnöstä takavarikoida, jos se voi olla todisteena pyynnön esittäneen vieraan valtion viranomaisen käsiteltävänä olevassa rikosasiassa taikka se on rikoksella joltakulta viety. Esine voidaan takavarikoida, jos se on vieraan valtion tuomioistuimen antamalla päätöksellä julistettu rikoksen johdosta menetetyksi taikka jos voidaan aiheellisesti olettaa, että esine tullaan julistamaan rikoksen johdosta menetetyksi vieraan valtion viranomaisen käsiteltävänä olevassa asiassa.

...

Sitten mietitään millaisia vaikutuksia tällä on sananvapauteen, jos blogaat jotain josta toinen valtio ei pidä. Sanotaan vaikka etten uskoisi juutalaisten joukkotuhon tapahtuneen, taikka jos kertoisin miten kiinan nettisensuurista pääsee ohi.

Mitenhän tätä tullaan soveltamaan?

EDIT: Nyt kun rauhoituin ja mietin uudestaan, tällä pykälällä on todennäköisesti ihan järkevät perusteet. Jos esimerkiksi varastettua tavaraa tuodaan tänne piiloon, voi poliisi palauttaa ne tämän perusteella ilman sekasotkua.

Pelottavaa on kuitenkin se, että tuota mahdollisuutta voidaan käyttää lain rajoissa vähän miten tahansa. Laki ei kerro kuka päättää, millä perustein, saako näkemyksensä kuulluksi ennen viemistä, saako edes tietää etukäteen, jne. En tykkää tämmöisestä lainkaan.

EDIT2: Tuolla mistä luin olikin vain ensimmäinen momentti pykälästä. Seuraavat selventävät mitä muita pykäliä on voimassa tähän liittyen jne, mutta näyttää silti penseältä. Voisin kuvitella että esim The Pirate Bayn tyylisessä tapauksessa koneet olisi luovutettu ulos maasta jo, ilman velvoitetta palauttaa. Ilmeisesti laki tämmöisen sallisi, mutta oletuksena mennään rauhallisemmin.

Että laki onkin vaikea asia. Mitä enemmän sitä ihmettelee, sitä sekavammaksi kaikki muuttuu. Käytännössä lakiteksti ei kai merkitse juurikaan, vaan tuomioistuinten käytännöt ja se miten lakeja sovelletaan. Pelkäänkin lähinnä tämän lain potentiaalia vapaaseen soveltamiseen...