Eesti ametnik: oleme tehnoloogiaettevõtete pantvangid

Apple. Foto: Karen Bleier / AFP

Tehnoloogiline keskkond paremaks ei muutu ja peame harjuma sellega toime tulema. Maailm on väheste suurfirmade käes pantvangis, hoiatab Riigi Infosüsteemi Ameti küberturvalisuse teenistuse uurimis- ja arendusosakonna juht Kaur Virunurm.

 Igas IT valdkonnas – kiibid, operatsioonisüsteemid, telefonid, teenused – domineerib paar-kolm suuremat tootjat, kel on oma tehnoloogilises kihis pea täielik ülemvõim ning see monopol on globaalne, st sama elektroonikat ja tarkvara kasutavad nii USA, Venemaa kui Eesti.

Ka kodanike ja kasutajate andmed on suurte ühisteenuste (Google, Facebook) käes koos. Sisuliselt on tekkinud monokultuur. Apple ja Microsoft, AMD ja Intel, Google ja Amazon on monopolid, kellest sõltub kogu maailma töö.

Ka turvavead mõjuvad korraga kõikidele süsteemidele ja teenustele üle kogu maailma. Suurem mõju tõstab turvavigade olulisust ja hinda. Kuna aukude leidmiseks luuakse aina efektiivsemaid lahendusi, kasutatakse automatiseerimist ja masinõpet, siis leitakse vigu ka vanades süsteemides.

Mustal turul maksavad mõjusamad turvaaugud miljoneid dollareid. Turvanõrkuste leidmine ja vahendamine on seetõttu muutunud pea omaette majandusharuks. Meie ID-kaardi murdnud turvanõrkus (ROCA) on üle kümne aasta vana.

2017. aasta suvel murti lahti seni turvaliseks peetud WiFi. Seegi viga oli tehtud ammu, aga leiti alles nüüd. 2018. alguses avaldatud Inteli ja AMD protsessorite turvavead (Spectre/ Meltdown) on üle 20 aasta vanad.

Vanu vigu on aga keeruline ja kallis paigata. Spectre/Meltdowni parandused lihtsalt ei töötanud, tegid arvutid aeglaseks või rikkusid need sootumaks. ROCA parandus nõudis arvutite sisemise tarkvara (firmware) uuendust ja jäi enamasti juurutamata. Enamik vanemaid Androidi telefone ei saa mingeid turvauuendusi.

Vigu võimendavad veelgi nende «kogujad». Shadow Brokersi nimeline grupp avaldas 2016–2017 suure paki (ilmselt USA julgeolekuametkondade kogutud) ründevahendeid ja exploit’e . WannaCry ja NotPetya intsidendid algasid just sellest lekkest.

Selliseid kogujaid on veel, ja kuna nad kasutavad ise sama tehnoloogiat, mida ründavad, on nad ise samuti haavatavad.  Seega ühed grupid koguvad turvavigu; teised ründavad esimesi, varastavad ja müüvad nende «tööd»; kolmandad kasutavad neid ära, rünnates või häirides kõiki teisi.

Kokkuvõttes peame – vastumeelselt – leppima maailmaga, kus kõik süsteemid on haavatavad või kus täna turvaline lahendus on homme kogu maailmale valla. Saame loota vaid sellele, et kui meid kaitsvaid turvakihte on palju, siis mõni neist peab ja tõkestab ründe või laseb meil sellest taastuda. Praegu teadaolevate eelduste säilimisel ei too tulevik leevendust.

Tehnika ja selle nõrkused jõuavad kõikjale, ka sinna, kus neid praegu pole: nutiautod ja targad teed, andmekaevandamine ja totaalne jälgimine, robootika ja tehisintellekti areng ning kvantarvutus toovad meile ühiskonna, mida suudame praegu vaid aimata. Karta on, et uue maailma küberriskid saavad olema hullemad kui 2017. aasta omad.

Allikas: RIA küberturvalisuse aastaraamat