Yle uutisoi eilen kouluissa laajasti käytössä olevan Wilma-järjestelmän tietoturvariskistä. Haavoittuvuudet liittyvät hyvin heikkoihin salasana- ja käyttäjätunnus-yhdistelmiin.
Wilma-järjestelmässä paljastuneet tietoturvaongelmat eivät ole Withsecuren Jyri Karppiselle uusi ilmiö.
Tietoturva-asiantuntijana työskentelevän Karppisen mukaan heikkoihin käyttäjätunnus-salasana-yhdistelmiin liittyviä ongelmia tulee vastaan tietomurtoihin ja muihin verkkohyökkäyksiin liittyvissä tutkinnoissa jatkuvasti.
Wilman tapausta Karppinen pitää erittäin vakavana, koska järjestelmässä on myös arkaluonteisia tietoja. Ylen tietojen mukaan jopa tuhansien koululaisten ja opiskelijoiden tiedot ovat voineet vaarantua todennäköisesti testikäyttöä varten tehtyjen tunnusten heikon suojauksen vuoksi.
Päätyessään vääriin käsiin tiedoilla voitaisiin esimerkiksi yrittää kiristää oppilaitoksia ja yksittäisiä henkilöitä.
Karppisen mukaan ongelmaa pitäisi ratkoa niin oppilaitosten kuin järjestelmänkin tasolla.
Palvelussa pitäisi edellyttää vahvempien salasanojen käyttöä tai kaksivaiheista tunnistusta. Wilma-järjestelmän takana olevan ohjelmistoyhtiö Visman mukaan kaksivaiheisen tunnistuksen käyttöönottoon ei voi pakottaa, koska Wilmaa käyttävät myös alaikäiset lapset.
– Mikäli sopimukset antavat myöten, järjestelmän toimittaja pystyy tekemään erilaisia toimenpiteitä, kuten tiukempia vaatimuksia salasanojen muotoihin, monimutkaisuuteen ja pituuteen. Kyllä ongelman ratkomiseen on järjestelmätasonkin ratkaisuja, Karppinen painottaa.
Riittävän vaikeat salasanat hidastavat hyökkääjää
Ylen tietojen mukaan Wilman heikkoja tunnus-salasana-yhdistelmiä olisi saatu selville niin sanotulla brute force -tekniikalla, jossa tietokone valjastetaan kokeilemaan lukemattomia yhdistelmiä päästäkseen sisälle järjestelmään.
Alun perin Visman liiketoimintajohtaja Teemu Lehtonen sanoi Ylelle, etteivät tämäntyyppiset tunkeutumisyritykset ole järjestelmässä mahdollisia. Jutun julkaisun jälkeen yhtiö kuitenkin korjasi kantaansa ja totesi, ettei se kiistä tämäntyyppisen tunkeutumisen mahdollisuutta.
Karppisen mukaan brute force -hyökkäyksiltä suojautumisessa keskeistä on kirjautumisyritysten määrän rajoittaminen. Karppinen toteaa, että varsinkin suurempien yritysten järjestelmissä kirjautumisyritysten määrä on rajoitettu esimerkiksi viiteen kokeilukertaan.
– Hyökkäys yleensä kohdistuu palveluihin, joissa kirjautumisyritysten määrä on ääretön eli niissä voi kokeilla erilaisia yhdistelmiä todella lyhyessä ajassa ja tunnus ei missään vaiheessa lukkiudu.
Jos kirjautumisyrityksiä ei haluta rajoittaa eikä kaksivaiheista tunnistautumista pystytä ottamaan käyttöön, niin järjestelmän hyväksymien sanasanojen tulisi olla pidempiä ja riittävän monimutkaisia.
– Se vaikeuttaa näitä brute force -hyökkäyksiä, koska hyökkäyksen ja arvuuttelun aika kasvaa tunneista vuosiin, jopa satoihin vuosiin, kunnes oikea salasana löytyy. Tämä usein liittyy siihen, miten pitkä salasana on, Karppinen painottaa.
