õpib ise ja õpetab edasi, vahel ka tagasi

Esinen 3ndal ÄP seminaril Muudatused domeenide registreerimise korras, ametlik teemapüstitus pidanuks algselt hõlmama .ee registreerimise teenust & pakkujaid, aga kuna praeguse seisuga on protsess jälle veidi limbos … noh ametlikult küll “Domeeninimede reeglite eelnõule laekunud ettepanekute läbitöötamine jätkub” või zone blogi sõnastuses “EE tippdomeeni uue reeglistiku kehtestamine lükkub edasi” (ma igaks juhuks ei ütle “ime kah, et teenusepakkujad valmis pole, kui isegi lepingu draft veel avalik pole”) … siis pole mul väga midagi katsetada/demoda.

Miska tuleb ette võtta plan B – või tegelikult küll plan A – ja kõneleda asjadest mida ma ise kasutan ja kuidas ma tahaks, et teenused välja näeksid. Vähemasti on mul selleks nüüd igati hea vabandus :-) Ja vaadates regimisnimekirja on meil tulemas selline tore workshopi suurusjärku üritus, kus osalejateks hulk ITjuhte, sekka mõni firmajuht ja jurist (ametlik sihtgrupp oli muideks huvitav: “ITjuhid, firmajuhid ja FIEd kes neile kodulehekülgi teevad”) ja Hõbe (terv!).

Et siis… alustama peaks vist sellest miks on kellelgi vaja rohkem kui ühte domeeni (vt By the Numbers: How I built a Web 2.0, User-Generated Content, Citizen Journalism, Long-Tail, Social Media Site for $12,107.09) ning mis hakkab saama siis, kui domeene on palju ja neid tuleb kuidagi ka hallata (ma kardan, et ma ei suuda hoiduda ettekande alguses ka kiirest hinnangust uue domeenireeglistiku ümber toimuvale ja kuidas see mõjutab tõenäosust, et ma hakkan saama rohkem sellist teenust nagu ma sooviksin).

• Hetkel olen sattunud uusi mitte-.ee domeene regama peamiselt majutusteenusepakkujate juures, miska mul on domeenid mööda maailma laiali. See on mõnel puhul mugav, st majutaja konfib DNSi ja mul on lihtne mitu domeeni ühe veebi peale suunata, a la reklaam-turundus.net ja reklaamturundus.com. Olen pikka aega plaaninud domeenid ühe registripidaja juurde kolida, mõeldes selle peale et aga kui minuga midagi juhtub kuidas siis keegi asjad üle saab võtta… Kui kellelegi on head soovitust universaalse registripidaja suunal siis ma heameelega testiks neid ja arvustaks / soovitaks edasi.
• Keerulisemateks olukordadeks ja .ee domeenide tarbeks kasutan juba aastaid dnsmadeeasy.com tasulist teenust – seal saab mh teha template’i mis haldab sama firma .ee ja .eu domeene ning puuduvad igast majutaja-kiiksud (et kui ma MX kirje ära kustutan siis pannakse midagi vaikmisi asemele vms). Kolisin sinna üle, kuna enne olid .ee domeenid püsika tõttu Microlinkis, aga nendega suhtlemine eeldas miski idiootliku veebivormi täitmist ja ma leidsin, et mingu nad kõige täiega…
• DNS tahab muidugi mõnevõrra õppimist (igast pisiasjad, nagu domeeninime lõppu käib punkt). Veendumaks tehtu korrasolekus kasutan dnsstuff.com raportit.
• Ja siis on hulk lisanippe mida viisakad teenused pakuvad – nagu tagavara-MX-teenus, veebisaidi alternatiiv-IP juhuks kui põhisait pikali kukub, erinevat sorti redirectid (mis vahel võiksid olla tehtud veebiserveris, aga vahel on hea võtta teenust juba DNSpakkujalt).
• Tegelt tuleb selle kõige juurde rääkida ka veebimajutusest, sest “keskmise firma” jaoks on siiski mõistlik võimalikult palju teenuseid ühes kohas hoida. Ning miskipärast on nii, et mul on kodumaiste majutajatega alati mingeid pisijamasid – selliseid, mida mul kusagil suurfarmides nagu pole. (a la mingid WordPressi pluginad ei toimi, server ei jookse kasutaja õigustes jne).
• Kui on majutus, siis tuleks vaadata et see püsti püsib ja survele vastu peab. pingdom.com (hea nõuda teenusepakkujalt oma virtuaalhosti kolimist kuhugi vähem maas käivasse kohta) ja loadstorm.com (simuleerimaks olukorda, kui sinu blogi kajastab lives iPad’i lanseerimist).

Mida veel, mida mitte? Ahjah, kõik see eelnev tuleks ette kanda kujul, mis annaks IT-juhtidele infot selle kohta kuidas teha ja ülejäänud kuulajatele motivatsiooni seda tegemist nõuda.

Sattusin reedel autoga sõites kuulama KUKUst intervjuud, kus Pert Lomp Microsoft Eestist teavitas nn “hiina häkkerite guuglirünnakus” kasutatud turvaaugu lappimisest. Mis on mõistagi tore, aga öeldu tekitas minus akuutse soovi kommenteerida… ning mõned viimastel päevadel loetud artiklid sobivad sinna juurde kenasti.

Pert Lomp: Uudis on positiivne, meie spetsialistid on ööpäevaringselt tegelenud alatest 15ndast jaanuarist kui ilmsiks tuli turvaauk mis oli suunatud MS IE veebibrauseri 6nda versiooni pihta ja turvaauku kasutasid ära ilmselt Hiina häkkerid ründamaks Google’i ja Yahoo süsteeme. Hea meel on tõdeda, et nüüdseks on Microsoft turvaaugu sulgenud ja uuema versiooni kasutajatel ei ole senini muretsemiseks põhjust.

14ndal ilmus Microsoft Security Advisory 979352 mis kirjeldas probleemi olemust ning ajutisi meetmeid, turvaauk ise oli MSile teada juba mullu augustist ja võib arvata, et sellega ka tegeleti kuivõrd paik oli plaanis avaldada järgmise “korralise paikamisteisipäeva” käigus. Mõistagi on tore, et paigad enne avaldamist korralikult läbi testitakse ning teadaoleval hetkel avaldatakse – sest teadupoolest tutvuvad paikadega ka kurikaelad ja kes kohe ei uuenda on neile paari päeva pärast kerge saak. Aga et miks nagu pool aastat? Lugu sellest kuidas sündis Vista shut-down menüü võib olla huvitav lugemine ;-)

Mis puutub aga varasematesse versioonidesse… siis jah, kuna “hiinlased” ründasid konkreetselt IE6 turvaauku ja kuigi oli olemas (aga mitte avalik) näidiskood uuemate versioonide ründamiseks selle kasutamist veel ei täheldatud. Mis ei tähenda aga kohe kindlasti seda, et muretsemiseks põhjust ei ole – lubatagu korrata, et kõneksolev turvaauk oli jõudnud IE6 peal kasutuses olla juba mõnda aega, enne kui Google reaalse rünnaku pärast lärmi tõstis ja seejärel ka viirusetõrjed asjaga tegelema hakkasid. See, et me rünnakutest ei tea, ei anna kohe kindlasit põhjust mittemuretsemiseks. Eriti kuivõrd Microsoft Security Bulletin MS10-002 toob meieni lisaks kära tekitanud augule veel 7 paika, mis kah enamuses “kriitilised”, sh mitmel platvormil IE8… (ja olgu öeldud, et paljud meist ei ole veel Vista / 7 peale üle läinud…)

This security update is rated Critical for all supported releases of Internet Explorer: Internet Explorer 5.01, Internet Explorer 6, Internet Explorer 6 Service Pack 1, Internet Explorer 7, and Internet Explorer 8 (except Internet Explorer 6 for supported editions of Windows Server 2003).

Aga üks huvitav asi veel – nimelt hea uudis on see, et turvaaugule on olemas paik, halb uudis aga see, et kõik need augud (samuti varasemad) saadavad meid veel pikka aega. Brian Krebs kirjutab loos A Peek Inside the ‘Eleonore’ Browser Exploit Kit ühest laialt kasutatavast tööriistakomplektist mis mõeldud erinevate brauseri-turvaaukude ärakasutamiseks ning toob ära ekraanilasud statistikast nii aukude kui brauserite lõikes. Tähelepanuväärne on see, et pihta saavad augud mis teada juba aastatest 2007-2009 – ja nende hulgas on nii Microsofti, Adobe (PDF) kui Sun’i (Java) probleeme.

Sattusin eelmisel kevadel vaatama üht tuntud IT-hooldusfirma hooldatud võrku ja hakkas silma, et:

• töökohtadel ei olnud peal viimast servicepack’i, kasutusel IE6 (pärast pikka vaidlust tegin julma lükke ja installisin ise igale poole; mistahes jama puhul tehti demonstrativselt downgrade kuna see lahendavat kõik maailma probleemid)
• ei olnud ka Win ja Office kriitilisi paiku muidugi, sest kusagilt oli Group Policy’sse sattunud rida mis kõigil domeeni arvutitel uuendused lihtsalt ära keelas
• viirusetõrje ei olnud eriti adekvaatne (kui raamatupidaja arvuti on aeglane sest miski troojalane möllab siis ma ei saa seda eriti heaks lahenduseks pidada)
• serverit (sh veebiserver) polnud paigatud üle aasta sest C kettal polevat piisavalt vaba ruumi
• ma üldse ei räägi Javast ja Acrobat Readerist siinkohal…

Suhtlesin muideks ka Pertiga kes ütles, et ei tahtnud ilmaasjata paanikat külvata.

Loomulikult ei aita ka paanika midagi (sest mh Acrobati augud on rünnatavad ka juhul, kui järgida mõnede riikide soovitusi kasutada IE asemel mõnda teist brauserit) – aga ettevõttel kus IT-turva pole niisama range kui meie suuremates pankades tasuks oma võrk väga kriitilise pilguga üle vaadata.

Ning mitte unustada, et võrk ei ole kaugeltki ainult arvutid vaid näiteks ka telefonid – nagu näha Postimehe loost mis lõppeb müstilise soovitusega Arvutivõrgu turvalisust tuleks analüüsida kord nelja aasta jooksul (ajee? võttes arvesse seda kuidas mõni VoIP-operaator on hakand jaamadel tulemüüre kinni kruttima “sest ei jõua kõiki kohe uuendada” on vist jällegi tegu laiatarbe-auguga…).

Javeel. Inteka lõpust selline lõik:

KUKU: Kui need Hiina häkkerid oleksid turvaaugu mõne eestlase arvutist üles leidnud, mis pahandust see oleks teinud?

Pert Lomp: Tegelikult, ega seal midagi hullemat ei olnud, reaalselt inimene oma arvutis ei olekski aru saanud, et mingisugune tegevus toimub. Hiina häkkerite mõte oli see, et istutada arvutisse mingisugune pisike programmijupp mida nad vajadusel saavad kasutada mingi korporatsiooni veebisaidi ründamiseks. […]

Halllloooo? Kirjeldatud mittehull tegevus on küberrünne, aastal 2007 räägiti sellega seoses NATO artikkel 5st ja kollektiivkaitsest. Aga see selleks, kes vähegi on teemaga kursis on kindlasti märganud, et “hiina häkkerid” kasutasid auku ennekõike selleks, et pääseda ligi kasutajate arvutis olevale infole – nii “intellektuaalsele omandile” ehk siis kõigile dokumentidele mille lugemiseks kasutajal õigus kui ka tema kasutajatunnustele-paroolidele. Kuuldavasti avastas Google rünnaku, kuna märkas pöördumisi süsteemi poole mis peaks andma õiguskaitseorganitele võimaluse saada piiratud ligipääsu GMaili kasutajakontodele (näha kirjade päiseid, mitte sisu)…

Computerworld kirjutab asjast nii:

Drummond said that the hackers never got into Gmail accounts via the Google hack, but they did manage to get some “account information (such as the date the account was created) and subject line.”

That’s because they apparently were able to access a system used to help Google comply with search warrants by providing data on Google users, said a source familiar with the situation, who spoke on condition of anonymity because he was not authorized to speak with the press. “Right before Christmas, it was, ‘Holy s***, this malware is accessing the internal intercept [systems],'” he said.

(muid lugemisviiteid leiab nt http://en.wikipedia.org/wiki/Operation_Aurora)

Ja see, et Sinu firmas ei ole õiguskaitseks mõeldud tagaust ei tähenda mõistagi seda, et midagi rünnata pole. Brian Krebsi blogist leiab lingid tema Washington Posti aegadel kirjutatud lugudele ja kuna see hakkab pihta alajaotusega Series: Cyber Gangs Fleece Small Businesses siis ei ole vist mõtet pealkirju-sisukokkuvõtteid ümber kopeerima hakata…

Jah, need Krebsi näited käivad kõik USA firmade kohta – nõrgem pangaturva (sest erinevalt eraisikute vastu suunatud rünnetest ei pea pangad ennast firmade puhul vastutavaks), rohkem pappi kontol jne. Aga rünnakud on kõik sihtmärgi-spetsiifilised (sh “rätsepatööna” valminud troojalane mida viirusetõrjed ei võta) ning kui eesmärk peaks olema midagi muud kui pangakonto seisu muutmine ei pruugi sihtmärk teadagi saada, et kogu ta sisevõrk on kuhugi teisele poole maakera kopeeritud.

Ega’s muud, kui jõudu kõigile mitte-paanika-tekitajatele – ilmselgelt haigutab meil suur tühimik igast assapauk-kampaaniate ja reaalset effekti omava teavitustöö vahel. Aga ma katsun nüüd jälle rahuneda ja turvateemal mõnda aega mitte sõna võtta, sest ilmselgelt on tegu täiesti mõttetu ajaraiskamisega…

Mario Sõrm saatis eile laiali lingi Elektroonilise side seaduse ja Infoühiskonna teenuse seaduse muutmise seaduse eelnõuga, mis paraku viitab eÕigusesse kus vajalikud tekstid on ddoc-konteineris mis nõuab vähemalt minusuguselt OSX 10.6.x kasutajalt lugemiseks suurt pingutust (tundub et ddoc klient ei toimi, ainus lahendus logida mobiilID’ga eesti.ee-sse, laadida ddoc üles ja sisu alla) otsustasin korra juba nähtud vaeva muuta ühiskonnale kasulikuks hüveks ning avaldan nii seletuskirja kui eelnõu teksti html-kujul nii ilusti-koledasti kui WP Wordi-teksti pasteerimisega hakkama sai.

Elektroonilise side seaduse ja Infoühiskonna teenuse seaduse muutmise seaduse seletuskiri ja eelnõu

Paar kommentaari kah. Nagu seletuskirjast – aga kahjuks mitte seaduse tekstist – ilmneb jagatakse otseturunduse (mitte enam “kommertsteadaannete”) saajad füüsiliste ja juriidiliste isikute aadressideks põhimõttel mis lubab [email protected] käsitlemist nii ja naa ehk autojuhile võib saata opt-out tingimustel rehvireklaami ja sekretärile pastakareklaami, aga vastupidisel ehk töösse mittepuutuva sisuga otseturunduse puhul on nõutav opt-in (ütleme nii, et ilmselgelt oli vaja mingit kompromisslahendust ja see võiks ju olla seeditav). Samas info@ ja firmanimi@ tuleb vist üldse ära kustutada sest tundub, sest neid soovitatakse lugeda juriidilise isiku aadressideks.

Sellisel puhul lähevad hinda hästisegmenteeritud ent nõusolekuta aadressilistid ja see teeb mind tiba murelikuks, sest mul puudub sisuliselt võimalus nõuda oma aadressi eemaldamist algallikast. Esimene idee oleks selline:

• otseturunduslike teadaannete puhul olgu alati välja toodud aadressi allikas (see on niikuinii hea tava)
• füüsilisel ja juriidilisel isikul on õigus nõuda kontaktandmete eemaldamist mistahes allikast

Ma kolmanda poole listide kasutamise täieliku välistamise võimalusse eriti ei usu, aga võib ju proovida enne eelnõu menetlemist saata kõigile riigikogulastele “heas usus” ohtralt majoneesi-pakkumisi ja vaatame mis välja tuleb :-)

Või mis?