mayday ja inimhingede insenerid

Ei anna mulle need paanika ja rahamasina lood rahu. Koristasin tesktoppi ja avastasin sealt faili RFS0803.mp3 mis osutus Watchguard’i Radio Free Security podcastiks märtsi algusest. Küllap see jäi näppu kuna üks teema oli MayDay botnet, aga enne kui jutt selline jõudis käidi üle andmete kogumine sotsiaalse tarkvara profiilidest ja meetodid kuidas mitteavalike veebisaitide abil lasteporri levitatakse. Soovitan soojalt. Paar nuppu olgu aga esile toodud:

  • esimeses osas on juttu sotsiaalsest insenerlusest ning sellest mida selle vastu teha – “You can put this very sharp perimeter, but if you haven’t informed and trained the users of your systems and employees to understand the social engineering pieces your perimeter of safety can tip over in a heartbeat.” See on tegelt sama asi miks ma eile Hansa bankomaatide-teema kallal norisin. Lasti käest ära juhus harimiseks: publikul ja meedial oli ilmselge huvi teema vastu olemas, kui oma nime all ei taha arvamust avaldada siis on ju pankade finantseerimisel Arvutikaitse 2009 jne… Harida klienti. Punkt.
  • umbes 16:48 läheb teema edasi botnettide sh MayDay’ga. Kirjeldatakse toimimist, sihitust Fortune500 firmade vastu ja levistrateegiat läbi regulaatoritelt tulevate nakatatud PDFide. Ehk see jätab mulje botnetist mille eesmärk on oluliselt spetsiifilisem kui aljosha osas arvamuse avaldamine… (täiendet: ilmneb, et PDFidega seoses lisatud link pole botneti moodustamine vaid Rumeenlaste meetod ühe päevaga rikkaks saada)
Postitatud rubriiki sahteldamata asjad | Kommenteerimine suletud

rahaäravõtmismasina masinist

Postimees kirjutab rahamasina-pettustest, kus ATMile pannakse külge kaarte kopeeriv / PINe salvestav seadeldis. Ma just paar päeva tagasi mõtsin miks kirevase pärast me politsei (ja pangad) selliste lugude juurde pilte ei armasta jagada. Kommenteerijad igastahes tahaksid teada ning netist leiab selliseid ohtralt, näiteks Flickrist ja Google’i pildiotsinguga.

Nagu Flickrist näha on DBS’il ka oma veebis klientide harimiseks vastav artikkel ning mulle meenub, et Peterburis automaadist raha võttes soovitas too veenduda, et automaadi välimus kahtlane poleks (tõsi, puudus vist konkreetne referents-pilt). Lugemist kah. Põmt peaks andma teha nii, et automaat kuvaks oma mudelile vastava õige välimuse ekraanil? Ilmneb, et seda on mujal vähemalt tehtud.

Probleem pole muidugi üldse mitte uus (krati telesaate-ajal ehk ca 2002 sai käidud ühes bentsujaamas PINe filmimas, ei häirinud me tegevus ei kliente ega turvat) ning juhtumid Eestis üsna harvad – seega vahest miskiks suuremaks kampaaniaks pole õige hetk, aga suhtekorraldus võiks vähemasti tagada meedia varustamise asjakohaste piltidega, muidu peavad hakkama ise papist ja platiliinist näidist tegema.

TÄIENDET: pakkusin PM toimetajale mõtte pangalt pilte küsida ja kui sealt ei saa siis netis olevaid kasutada. Sellest siis Pildid välismaistest pangaautomaatide petumasinates (sest “Hansapank ei saa pressiesindaja sõnul pilte Eestis kasutatud petumasinatest välja anda ilma politsei loata. Politsei ei taha pilte välja anda, sest need on seotud kriminaaluurimisega.” – erinevalt neiu Karu röövimise üksikasjadest, mis kaheldamatult avaldamist vajasid, eks?) ja Panga turvajuht: kahte ühesugust petumasinat pole. Tegelt on parim illustratsioon jällegi kommentaarides: Mata Hari lingitud BBC The Real Hustle video klipp. Ahjah, Kirjatsura arvab kah.

TÄIENDET: Nüüd ka pikem lugu Pangakaartide varastatud andmeid kasutati Rumeenias. On ekslik arvata, et ajakirjanikud lõpuks miskit inffi välja ei kaevaks ja selle illustreerimiseks domineerivalt panga logoga pilti ei kasutaks.

Postitatud rubriiki sahteldamata asjad | Kommenteerimine suletud

kuidas meie MEPid hääletasid

Köhh vihjab suhtleks oma eurosaadikuga kommentaarides, et nimetet punkt 22a (mille eesmärk välistada “inimõiguste ja kodanikuvabadustega, samuti proportsionaalsuse, tõhususe ja hoiatamise põhimõtetega” vastuollu minevad meetmed interneti reguleerimisel) läks resolutsiooni sisse häältega 314/297 ehk suht napilt, seega on nüüd paras aeg vaadata kes kuidas hääletas. Miskit mugavat lahendust oma maa saadikute hääle jälgimiseks ei tundu olevat, ainult suured PDF-failid.

  • 314 poolt-hääle hulgas on Oviir, Saks ja Tarand
  • 297 vastu-hääle hugas on Kelam ja Savi

Eks see hääletus suht fraktsiooni peajoont mööda läks, aga meil oleks tarvis sellistes küsimustes miskit juhet Kelami ja Savi juurde edastamaks neid valinud elanikkonna arvamust.

Veebisaidi How MEPs Work kohaselt on meie omade pikema-ajalised tulemused sellised (lojaalsus näitab kas hääl vastas enamuse sama fraktsiooni või maa saadikute häältele):

  • Tunne Kelam – kohal 95%, fraktsoonile lojaalne 96%, kodumaale lojaalne 74%
  • Marianne Mikko – kohal 68%, fraktsioonile 98%, kodumaale 94%
  • Siiri Oviir – kohal 90%, fraktsioonile 99%, kodumaale 87%
  • Katrin Saks – kohal 83%, fraktsioonile 98%, kodumaale 92%
  • Toomas Savi – kohal 98%, fraktsioonile 99%, kodumaale 86%
  • Andres Tarand – kohal 90%, fraktsioonile 98%, kodumaale 92%

Tegelikult annab kodumaa % pigem sarnasuse sotside platvormiga keda meil teadupoolest 50% Europarlamendis, aga huvitav näha et sellest on kõige kaugemal Kelam – kes samas on ka kõige väiksema fraktsioonisisese lojaalsusega. Huvitav kas ta oleks äraräägitav, et saaks tema fraktsiooni vastu hääletamise protsendi sisse ka tehnopoliitilised teemad?

Savi peale pole mõtet auru raisata, aga Mikko tuleks lihtsalt otsustavaks päevaks plenaarile kohale orgunnida.

Arvamusi?

Postitatud rubriiki sahteldamata asjad | Kommenteerimine suletud

ärev mõttelaad paanika osakonnas

Viimastel päevadel on hakanud meediasse sattuma arvamusi küberrünnete kordumise tõenäosusest aprilli lõpus – näiteks eilses EPLonline nupus jõuab Dmitri Kuznetsov riskihinnanguni 50:50, aga seda tuleks vist lugeda kui “arvamused lähevad lahku”. Kogu ülejäänud info keerleb selle ümber, et olevat mingi kuulujutt justnagu pandaks kokku botnetti jne. Vaatame siis kus see kuulujutt levib:

Kõik need keerlevad Dmitri Kuznetsovi ümber – cybersecurity.ee juures pole autorit mainitud, aga see tundub olema tema projekt, samuti sealt edasi viidatud saidid nagu hermitage.ee (ja mõistagu PIT Consulting kah). Infosecurity.ee peal kajastab teemat Dmitri, Arvutikaitse.ee viitab Dmitrile jne.

Ehk meil on üks tubli infoturbe müügitegelane, kes aktiivselt levitab “kuulujuttu” mis on tõusnud juba 50:50 riskianalüüsiks. Rääkisin Dimaga kes oli ka nii lahke ja viis mind kokku oma hinnangu allikaga – ja ma ei saanud isegi ühtegi vihjet mis viitaks sellele, et kellelgi on kusagil kunagi olnud mingisugunegi seos Mayday ja potentsiaalse rünnaku vahel.

Mul hakkas kohe kergem. Kartsin nimelt, et vahest tegin Dimale liiga kui EPLile tsitaati andes “ärevat mõttelaadi” mainisin – aga ilmneb, et mul oli õigus. Ja peavoolumeediale soovitus, et kui kolmest küsitletust kaks annavad mõistu-vastuseid jõulukuuskedest ja küünaldest, siis võiks teha loo pigem sellest miks see kolmas ekspert oma uudisega nii järsku välja ujus. Uudis saab vingem ja sellest on lugejatele ka reaalset kasu.

Postitatud rubriiki cybercrime, turvalisus | Kommenteerimine suletud

kaubastaja koormamise jätkuks

Indrek Ibrus oli nii lahke ja jättis pika kommentaari mu varasemale postitusele. Kuna minu soov tõesti pole ärapanemine vaid arutelu ja kahjuks Indreku poolt algselt valitud meedium on suht ühesuunaline (minu vastu-arvamus pole veel faasis mis vääriks kultuurilehele esitamist) siis olgu Indreku postisioon esitatud siinkohal postitusena ja minu arvamused kommentaarides.

Tere. Mulle juhatati see värk siin kätte juba hea natuke aega tagasi, kuid kiire põhitegevuse tõttu ei leidnud mahti kohe vastata. Samuti ei ole põhiteksti ja kommentaaride kooskõlas päriselt aru saadav, kas tegu on siira dialoogikatse või niisama ärapanemisega. Eeldades parimas usus esimest ning sulgedes hetkeks silmad viimase võimaluse ees alljärgnevalt mõni vastusekatse.

Küsimus A

Minu jutt käis ju eneseregulatsioonist. Sellisel juhul piire ei tõmmata kuskilt väljaspoolt – Marvet ja Ibrus ühisel nõul ja jõul. Need tõmbavad nood enesereguleerijad ise parasjagu sinna, kuhu võim ulatub ja vajadust nähakse. Ja vajadust nähaksegi väga erinevalt. Postimees, olgem ausad, on üsna klassikaline walled garden. Nende huvi on, et kasutaja jääks iga hinna eest nende keskkonda. Toimetatakse antud URLi raames. Teemad antakse ette ning kommenteerimist oodatakse nende raames, väljapoole suunatud linke ei lubata. Reklaamide osas ei tehta täna veel toimetatud sisu ja toimetamata sisu vahel vahet. Antud kommenteerimisvõimaluse ülesandeks on aga tõsta kogu antud konkreetse keskkonna külastatavust ja sellega ka reklaamimüüki. See keskkond on kaubana seega üks tervik. Ning järelikult peab selle keskkonna omanik vältimatult ka oma kauba selle eest vastutuse võtma.

Google’i ärimudel on aga küllalt erinev. Neid huvitab ennekõike, et Internet kasvaks ja kasvaks teiste meediumite – televisiooni jne – arvel. Mida rohkem Internetis talitatakse, seda parem Google’ile. Sellest on küllalt palju räägitud Androidi kontekstis (võin linke saata kui huvi on) – miks Google Androidi teeb? – selleks et avatud Internet, mitte mitmesugused erineval moel suletud keskkonnad hakkaksid ka mobiilidel domineerima. Ja nii potentsiaalselt ka nende äri kasvaks. Sestap pakubki Google vabalt blogiruumi ja ei eelda, et sa sinna tingimata miskit reklaami peaksid üles riputama. Oma valik, omad teemad, mis sa seal käsitled jne. Kui ma omas Bloggeri keskkonnas reklaami üles ei riputa, siis polegi piletimüüjat kuskil. Kui riputan, siis saan ma küllap valida erinevate teenuse-pakkujate vahel (Või seab Google fakti ette, et tuleb kasutada AdSense’i teenuseid? Ma pole sellega kursis – ise ma ju ei blogi). Ja isegi kui ma seejärel kasutan AdSense’i, siis vaid seda ta lõpuks funktsionaalselt ongi – reklaamivahendaja minu keskkonda, mille kõiki piletimüüdi otsuseid teen ma ise. Ma olen selle keskkonna lihtsalt tasuta saanud.

Kokkuvõttes, minul ja Postimehel on seejärel mõtet oma tegevust erinevatel põhjustel ise reguleerida – vastavalt oma profiilile, auditooriumile jne (kui ma tahan ahvatleda lugejateks ajanappuses äri-inimesi, siis ka kirjutan tõenäoliselt lühikesi ja konkreetseid lugusid ning kusutan kõik eba-asjalikud kommentaarid. Kui ma pean aga teismeealiste suhtlus-portaali, siis kirjutan julgelt emotikone täis põhitekste ning kustutan kommentaare vastavalt sellele kuidas mu riigis on välja kujunenud laste internetikasutuse regulatsioonid (Eestis väga ei ole, Inglismaal arenevad aga nagu mühiseb – seejuures väga tähelepanuväärselt just mobiilioperaatorite eestvõttel – miks? Omaette teema.) Väga lihtne. Kui ma aga kirjutan oma Bloggeri blogi asemel aga Postimehe uudisele kommentaare, siis talitab nendega Postimees samuti oma profiili ja välja töötatud normibaasi alusel. Taas väga lihtne. Meedia eneseregulatsioon.

Küsimus B

See mu Sirbi lugu ei olnud idee poolest küll normatiivne õpetus vaid pigem selline kultuuridünaamika kirjeldus. Ja kui lugeja hästi tähele pani, siis loo point oligi, et ühtegi universaalset lahendust pole olemas, mis kõik probleemid kõigile ja alatiseks lahendaks. Kui me räägime meediaväljaannetest, siis nii nagu ka ‘vana meedia’ puhul jaguneb ka interaktiivne meedia ikka lõputuks hulgaks igasugu meediumiteks, zhanriteks, erineva profiiliga välja-anneteks jne. Ning küllap siis, nagu eelmises vastuses viitatud sai, vastavalt oma profiilile, auditooriumile, funktsioonile või staatusele meediamaastikul kujundatakse ka oma vastav normistik. Samalaadsed väljaanded võtavad üksteiselt õppust, kujundatakse mõningaid valdkonnaüleseid normibaase jne – nagu see ikka on olnud.

Mis mulle aga antud küsimuse puhul natuke nalja teeb on see Teie poolt ette seatud balanss – sõnavabadus ja riskihaldus. Sõnavabadus on muidugi sõna mis vastavates diskussioonides ikka klibile tõuseb. Tõstjad käituvad küll mo meelest täiesti arutult. Sõnavabadust saavad küll vähendada või suurendada vaid riigid territooriumil, mis nende hallata. Niikaua kui inimene saab tänavale meelt avaldama tulla, pidada avalikke koosolekuid vabal valitud teemal, oma ajalehte kirjastada, tsenseerimata romaane kirjutada ning kasvõi oma blogi pidada, on sõnavabadusega kõik üldjoontes ok. See kas mõni ajaleht oma veebiväljaande elustamiseks ka nö interaktiivset kirjade rubriiki peab või ei pea või kuidas ta peab, kas toimetab või ei toimeta, ei puuduta sõnavabadust küll kuigivõrd. See puudutab ehk küll veidi ühiskondliku mõttevahetuse iseloomu, kuid nagu elu on näidanud – mitte tingimata selle kvaliteeti.

Mis ent siiski puudutab näpunäiteid riskihalduse teemadel: jah, isiklikult ma arvan, et eelmodereerimine oleks paljude peavooluliste kvaliteedile apelleerivate välja-annete osas mõttekas. Mulle lugejana meeldiks. Kaasamõtlejana loodan, et tugevalt eelmodereeritud kommentaarium tooks kaasa ka mõttevahetuse kvaliteedi sellise kasvu, mis kutsuks selle formaadi raames tasapisi kaasa lööma neid paljusid, kes sellest seni enese äramäärimise hirmus eemale hoidnud.

Lõpetuseks. Teie küsimuste peale mõeldes tekkis aga hoopis selline mõte. Kui klassikalise ajakirjanduse ja tänase Interneti regulatiivsed kultuurid lõimuvad, siis kas ei või ehk sellelt baasilt sündida miski hoopis uutmoodi regulatiivne kultuur. Toon näiteks Facebooki Beaconi katse. Sellele pandi pidurit kasutajate laia protesti tõttu. Niisiis keskkonna haldaja pidi tingimusi muutma, sest kasutajad organiseerusid. Facebook on muidugi keskkond, kus kõik esinevad oma nimedega ning seetõttu on neil moraalne õigus privaatsust jm tingimusi nõuda oluliselt suurem kui näiteks Postimehe kommentaatoritel. Aga pangem nüüd tähele, et ka Teie ise kasutate oma leheküljel kommenteerimiseks OpenID vahendust. Ent, mis siis kui veeb 2.0 jätkab kasvamist, OpenID muutub universaalseks standardiks ning ka Postimees leiab, et oleks põhjus see oma kasutajate identifitseerimiseks kasutusele võtta? Siis on meil ühest küljest piisavalt selgete ideniteetidega kasutajaskond, kes võiks, potentsiaalselt omakorda sekkuda Postimehe tegemistesse nii nagu Facebooki kasutajad sekkusid Facebooki tegemistesse? Et kui meil ei ole enam seejärel mitte lihtsalt kasutajad vaid nn kasutajad-loojad, siis kas ei võiks ehk olla, et üks tulevikustsenaariumeid võiks olla teatud selline eneseregulatiivne rezhiim, kus ka keskkonna kasutajatel on oma tugev sõna kaasa rääkida. Elame näeme.

Päris lõpetuseks. Te oma käsitlustega näite olevat selline õigusteadusliku suuna austaja. Berkmani keskus jne. Olgu. Siinkirjutaja on Zittraini paar korda elavas esituses näinud (viimane elab ju siin saareriigis nüüd ning on kirjas sõbralikus Oxfordi Interneti Instituudis), riiulis on nii Lessigut kui Murray’t jne. Ent just viimased korrad Zittraini kuulates (ta ju promob oma uut raamatut nüüd) jõudsin taas kord arusaamale, et midagi on seal väga puudu. Põhimõtteliselt midagi sellist, mida päris kompakselt esindab Alexander Galloway looming: http://cultureandcommunication.org/galloway/. Endal Protocol riiulis ja vihjena võib öelda, et ise teen midagi sarnast. Asjade laiema ja suurema avaldamiseni jõuan ehk paari aasta pärast.

PS. Vihjest Eesti Teadusinfosüsteemile (“semiootilise soki” jätan tähele panemata) ei saa aru. Ma käin Eestis keskmiselt kaks korda aastas.

PPS. Vastus tuli väga pikk, aga no mis teha.

Postitatud rubriiki sahteldamata asjad | Kommenteerimine suletud