Elektrooniline hääletamine on peagi olnud kasutusel 20 aastat, kuid mis selle turvalisuse tagab?

Riigi valimisteenistus tegi detsembris 2021 kokkuvõtte sellest, millega on tagatud elektroonilise hääletamise turvalisus.

Elektroonilise hääletamise turvalisus algab valijarakendusest. Elektrooniline hääl allkirjastatakse valija arvutis ja saadetakse sealt edasi elektroonilisse valimiskasti, mille tulemusena ei ole kellelgi võimalik digiallkirjastatud dokumendi sisu enam muuta. Sellega välistame olukorra, kus näiteks kusagil mujal tekitatakse allkirjastatud dokument ja selle tekitamise käigus vahetatakse ära tema sisu ehk valija hääl.

Selleks, et tuvastada valija arvutis pahavara, mis muudab valiku sisu valija teadmata, oleme loonud nutiseadmele kontrollrakenduse. Täiesti eraldiseisva seadmega saab kontrollida, kas allkirjastatud e-hääle sisu vastab tõepoolest sellele, kelle poolt valija valijarakenduses valis.

Selleks, et kontrollimise rakendust ei oleks võimalik kuidagi QR-koodiga petta, laeme nutiseadmesse elektroonilisest valimiskastist alla valija reaalse hääle. Selle tagamiseks kontrollime, kas hääl on antud ID-kaardi või mobiil-ID-ga. See aitab tuvastada ega kliendi arvutis pole töötanud pahavara, mis kliendi eest häält allkirjastab.

Lisaks sellele avame alla laaditud ja allkirjastatud faili sees oleva valiku ning kuvame selle valijale. See on tarvilik selleks, et välistada olukorda, kus valija arvutis krüpteeritakse valik vale võtmega või et valiku sisu muudetakse valija teadmata. Siiani pole tulnud ühtegi pöördumist, et kontrollrakenduses kuvatav valik oleks olnud teine võrreldes valijarakenduses tehtud valikuga.

Kui elektroonilised hääled on jõudnud Riigi Infosüsteemi Ameti (RIA) elektroonilisse valimiskasti, peame olema kindlad valimiskasti tervikluses ning et keegi ei saaks sealt hääli omavoliliselt eemaldada. Selleks kasutame sõltumatut kolmandat osapoolt, milleks on sertifitseerimiskeskuse logi. Nemad peavad arvestust iga valimiskasti jõudnud hääle ajatempli kohta. Seni pole me tuvastanud ühtegi olukorda, kus sertifitseerimiskeskuses on andmed hääle kohta olemas kuid valimiskastist puudu.

Selleks, et RIA pakutav teenus oleks turvaline, teostatakse enne igat valimist kogu süsteemile ja sellega seotud komponentidele küberturbe teste. Seekord oli testijaks Clarified Security, mis mitme kuu vältel proovis murda valijarakenduse, kontrollrakenduse ja teenuste turvalisust. Ühtegi viga, mis seaks kahtluse alla elektroonilise hääletuse turvalisuse ei tuvastatud.

Lisaks viiakse enne valimisi läbi ka infosüsteemide turvameetmete süsteemide (ISKE) audit, et olla kindlad elektroonilise hääletamise süsteemi vastavusele Eesti riigis kehtestatud ISKE turbestandarditele.

Elektroonilise valimiskasti töötluseks valmistatakse ette riigi valimisteenistuses (RVT) vastav keskkond, mis ei ole internetiga ühenduses. Selleks, et olla kindlad häälte töötlemise turvalisuses, väljastatakse iga töötlemisetapi kohta allkirjastatud väljundi info. Seda kontrollivad audiitorid, et olla kindlad, et keegi ei ole pahataktlikult eemaldanud või lisanud hääli. Kuna iga protsessi kohta on olemas vastav tõestusmaterjal saab audiitor kinnitada, et hääletamistulemused on korrektsed. Auditeerimine viiakse läbi audiitori enda loodud auditeerimise programmiga ja audiitori enda riistvaras, et välistada RVT keskkonna kompromiteeritus.

Elektroonilise hääle turvalisuse tagab digiallkiri ja digiallkirjastatud dokumenti muuta ei ole võimalik. Valimiskasti terviklikkuse kontrolli tagab meile sertifitseerimiskeskus. Valijarakenduse õigsust saab kontrollida kontrollrakendusega. Kokku lugemise protsessi auditeerib audiitor oma vahenditega eraldisesisvas keskkonnas. Elektroonilise hääletuse süsteemile teostatakse küberturbe teste ja tellitakse ISKE audit.

Kõiki neid tegureid arvesse võttes võime väita täie kindlusega, et elektrooniline hääletamine on turvaline.

Riigi valimisteenistus detsembris 2021

Kuidas muuta ettevõte küberkurjategijate jaoks keeruliseks sihtmärgiks?

Me kõik sõltume oma tegemistes ja toimetamistes üha enam moodsatest IT-lahendustest, mis on muutnud meie elu ja tööprotsessid mugavamaks ja kiiremaks. Tihti jõuavad uued tehnoloogiad kiiresti turule ning tarbija ei pruugi teada, millised ohud võivad selles peituda. Näiteks nutikas ukselukk teeb koju sisenemise lihtsaks, aga kas koduomanik teab ja pöörab tähelepanu sellele, et nutilukk oleks uuendatud ja nõrkustest prii?

GERT AUVÄÄRT
riigi infosüsteemi ameti peadirektori asetäitja küberturvalisuse alal

Küberturvalisus ja infoturve võivad olla paljudele võõrad või siis liiga tehnoloogilised terminid. Samas me kõik puutume iga päev nendega kokku – tavaliselt nutitelefoni ja arvuti kaudu. Jah, inimene saab ära elada nii, et ta ei kasuta nimetatutest kumbagi, aga ükski ettevõte ei saa asju ajada ilma arvutite ja tarkvarata. Ettevõtlus ja tehnoloogiad moodustavad sisuliselt lahutamatu terviku.

Sajad miljonid rünnakud kuus

Oleme kokku puutunud ja usun, et jäämegi kokku puutuma ettevõtetega, kes arvavad, et nende pakutav teenus või toode on maailma mastaabis väga väike – kellelgi pole põhjust neid rünnakutega torkida. Näeme, et pahatahtlikud robotvõrgustikud proovivad riigisektoris (täpsemalt riigivõrgus) rohkem kui 500 miljonit korda kuus, kas mõni uks on jäetud või unustatud lahti ja kas selle kaudu saab end sisse pressida. Need on katsed, mis kohe tõkestatakse. Pole alust arvata, et erasektori olukord siin eristuks. Küberrünnakute katsed on pidevad ja automatiseeritud.

Küberruumis pole mõtet ettevõttel end ise väheoluliseks mängida. Kui aga sellist äriühingut tabab kübertorge, siis saab juhtkonna läbielamisi kirjeldada läbi leinaprotsessi etappide. Esmalt tabab neid šokk ja eitamine, siis viha, tingimine, depressioon ja lõpuks leppimine. Leppimine, et jah, ka meie võime olla sihtmärk.

Õnneks saavad ettevõtjad aina rohkem aru, miks on vaja mõista, kuidas konkreetne tehnoloogia või lahendus mõjutab kogu ettevõtte käekäiku. Esimene samm on tajuda, et see on miski, millesse on tarvis oma aega ja ressursse planeerida. Parim viis selleks on palgata infoturbejuht. Selleks, et infoturbejuht saaks pakkuda suurimat lisaväärtust, peaks ta alluma otse juhile ning kindlasti ei tohiks tema eelarve olla osa nn klassikalisest IT-eelarvest. Infoturbejuht on mõnes mõttes ka tõlk kahe kultuuri vahel. Ta selgitab juhtkonnale IT-d ja sellega seotud protsesside olulisust ning IT-inimestele omakorda juhtide äriliste otsuste tagamaid ja kaasnevaid turvanõudeid.

Ettevõte peaks kindlasti koostama põhjaliku riskianalüüsi, et end paremini kaitsta ja tegevusi planeerida. Riskianalüüs peab lähtuma ettevõtte tegevusriskidest, mitte pelgalt küberturbe vaatevinklist.

Kolmas oluline aspekt on testimine, sest turvalisus selgub testides. Hea praktika, mida soovitan kindlasti järgida, on see, et uus lahendus (näiteks e-pood või äpp) ei läheks käiku enne, kui selle kaitstus on proovile pandud. Parim lahendus on suunata kohe teatud protsent arenduseelarvest turvatestimisteks. See tundub kallis, kuid on odavam, kui hiljem rünnakujärgselt tagavaarakoopiaid otsida ja kliendiandmebaase taastada.

Nii nagu ettevõtted, mida KTK esindab, soovivad ka kurjategijad teenida tulu võimalikult väikeste kuludega. Tulemüüride või tehnoloogiate lõhkumine on kallis, kui neis ei peitu turvanõrkust, mida pole veel paigatud. Seega on väga vähe juhtumeid, kus kurjategijad proovivad toore jõuga läbi murda töötavatest kaitsekihtidest, näiteks tulemüürist või VPNist.

Küll aga proovitakse lihtsate vahenditega kätte saada töötajate kasutajatunnuseid ja paroole ning nende abil pahandust teha. See on sarnane inimese immuunsüsteemile – kui antikehad tunnevad viiruse ära, siis see hävitatakse silmapilkselt. Aga kui viirus paistab antikehade jaoks justkui tavaline rakk, siis saab see kehas rahulikult ringi uitada. Sellisel juhul ei saa tehnoloogia aidata, sest kurjategija käes on legitiimsed ja tegelikud andmed, millega peabki saama näiteks postkasti või siseveebi sisse logida.

Inimeste koolitamine võtmetähtsusega

Tehnoloogia ei saa aidata seal, kus inimene ise käitub hooletult. Sellepärast ongi RIA roll vaadata otsa nii tehnoloogiatele, inimestele kui ka ettevõtetele.

Seda, et 2021. aastal on endiselt nõrgimaks lüliks inimene arvuti või nutiseadme taga, nendib enamik infoturbe eksperte. Üks meetod selles vallas paremaid tulemusi saavutada ja turvalisust suurendada on parandada küberhügieeni. Politsei pole lõpetanud selgitamast, et turvavöö kinnitamine võib päästa sinu elu. Seda on räägitud 30 aastat ning kuigi suur osa inimestest saab sellest aru, leidub ikka neid, kellele peab seda kordama. Küberhügieenist rääkides oleme justkui veel 2000. aastates, mil taksojuhid panid turvavööpesasse jupi, mis peatas häiresignaali lakkamatu piiksumise. Nii sai ilma vööta sõit rahulikult jätkuda.


HOIA END KURSIS!


Seega peavad ettevõtted jätkama koolitusi, et töötajate digioskusi edendada. RIA ulatab siin samuti hea meelega abikäe. Lisaks erinevatele kampaaniatele ning infopäevadele, millest viimane leidis aset novembri teisel nädalal (järelevaadatav siit), on meil juba mõnda aega käigus selget kübernõu jagav portaal itvaatlik.ee.

Nüüd jõuan jutuga teemani, mis võib tunduda kuiv, aga mis aitab ettevõtteid kaitsta: infoturbe standardi rakendamine. Praegu kehtib veel ISKE standard, mida on oma olemuselt ja ka rakenduslikult üsnagi keeruline kasutada. Uuel aastal liigume üle täiesti uuele n-ö rätseplahendusele ehk Eesti infoturbestandardile (E-ITS), mille eesmärk on pakkuda organisatsioonile infoturbe riskidega toimetulekuks infoturbe halduse süsteemi. Küsimusele, kas standardi rakendamine hoiab ära küberründeid, on lihtne vastus – ei. Küll aga muudab see teie ründamise keerulisemaks ning aitab paika panna konkreetse plaani, kuidas pärast rünnakut taas kiiresti jalule tõusta ja ettevõtte tegevus taastada.

Soovitan võtta infoturvet tõsiselt, sest ühest seadistusveast või õngitsuskirjast võib piisata, et ettevõtte töö peatada.

RIA intsidentide käsitlemise osakond CERT-EE on möödunud aasta vältel käsitlenud üle 2000 küberintsidendi, millel oli reaalne mõju. Sellele arvule lisanduvad automaatseire tuvastatud ja tõrjutud sajad miljonid rünnakukatsed. Anname 2021. aasta septembrist välja ka igapäevast CERT-EE uudiskirja, mis räägib Eesti küberruumis toimunust ning olulistest rahvusvahelistest küberuudistest. Seda tellib umbes 1300 inimest. Soovitame kindlasti ka kõigil KTK liikmetel seda tellida ja sellest oma juhtidele rääkida. Uudiskirjaga liitumise juhendi leiab siit. Kui olete juba selle infokirja lugeja ja teil on mõtteid, kuidas RIA saaks seda teenust paremini osutada, siis ootame julgesti teie ettepanekuid.

Loodan, et eelnev jutt pani teid korraks mõtlema oma ettevõtte küberturvalisusele. Soovitan võtta infoturvet tõsiselt, sest ühest seadistusveast või õngitsuskirjast võib piisata, et ettevõtte töö peatada. Oleme alati valmis kaaluma erinevate sektorite küberturbekoolitusi ning võite meie poole pöörduda ka sooviga turvatestida teie teenuseid ja infosüsteeme.

Ja mis peamine – pole olemas 100% turvalisust, küll aga saate rakendada eri meetmeid, et muuta ettevõte kurjategijate jaoks keerulisemaks sihtmärgiks ja tagada võimalikult valutu töö taastamine, kui küberrünnak on aset leidnud.

Artikkel ilmus Eesti Kaubandus-Tööstuskoja väljaandes Teataja nr 6/2021

Log4j Java turvanõrkuse kokkuvõte

9. detsembril 2021 avalikustati Log4j Java logimisfunktsioonis kriitiline nullpäeva turvanõrkus CVE-2021-44228. Turvanõrkuse tõsidus hinnati rahvusvahelise standardi järgi võimalikust kõrgeimaks (10 punkti 10st), sest see võimaldab ründajal haavatavas seadmes jooksutada vabalt valitud koodi. Nõrkus mõjutab lugematut hulka ettevõtteid ja asutusi, sealhulgas avaliku sektori asutusi ja teenuseid.

17. detsembril tuli välja, et seni Java 8 või uuemale Java versioonile mõeldud Log4j versioon 2.15 ei ole enam turvaline ning soovitus oli uuendada Java 8 või uuema kasutamisel Log4j versiooninile 2.16. Kolm päeva hiljem selgus täiendavalt, et uuendada tuleks hoopis versioon 2.17 peale https://amp.thehackernews.com/thn/2021/12/new-local-attack-vector-expands-attack.html.

Turvanõrkuse olemus

CVE-2021-44228 turvanõrkust on ründajal võimalik ära kasutada nii, et ta saadab haavatavale serverile, seadmele või süsteemile kindla formaadiga käsu ja lisab viite pahavarale, mis võib asuda kuskil kolmandas serveris. Haavatav server loob käskluse, Log4j otsib viidatud pahavara üles, laeb alla ja käitab selle. Pahavara iseloomust sõltuvalt võib see anda kolmandale osapoolele ligipääsu seadmele.

Intsidendi mõju

Kui mõjutatud seadmete ja süsteemide uuendused jäävad venima või kui uuendusi nende valmides kiiresti ei paigaldata, võib potentsiaalne kahju olla globaalselt seninägematu.

Turvanõrkuse massilist ärakasutamist Eestis seni näha ei ole. 20.12 seisuga on RIA küberintsidentide käsitlemise osakonnale (CERT-EE) teada mõnest juhtumist, kus nõrkuse kaudu on süsteem kompromiteeritud või testitud turvanõrkuse olemasolu. See info täieneb pidevalt.

Kompromiteerimise tagajärjel toimunud tõsiste tagajärgedega rünnakutest, andmeleketest või lunavarajuhtumitest, mis oleks mõjutanud kriitiliste teenuste osutamist, seni teateid ei ole.

Täielikku ülevaadet mõjutatud seadmetest või süsteemidest on keeruline kokku panna, sest Java programmeerimiskeel on laialt levinud. Näiteks kui asutuses on kasutusel Java platvormil programmeeritud teenused, on neil võimalik uuendada Log4j logimisfunktsioon ise. Kuid samas võib asutuses olla kasutuses hulk nn karbitooteid (võrguseadmed, antiviiruse keskhaldus, veebiteenuste taristuteenused vms), milles on samuti kasutusel Log4j ja mille kaudu võib tekkida ründajal ligipääs asutuste võrkudele. Need tooted peaks saama uuenduse tootjate kaudu.

Kõik seadmed ja rakendused, mis kasutavad log4j logimisfunktsiooni teatud versioone (2.0-beta9 kuni 2.16.0, väljaarvatud 2.12.2), on potentsiaalselt haavatavad ning need tuleb uuendada versioonile 2.17.0. Kõikide versioonide jaoks ei ole veel turvapaiku välja töötatud. Lisaks ei ole kõik kasutajad veel jõudnud rakendada turvapaiku versioonidele, millele on see avaldatud.

Mõju lõppkasutajatele

Log4j turvanõrkusel on hetkel mõju pigem ettevõtetele ja asutustele, kelle süsteemidesse on võimalik potentsiaalselt sisse murda. Kui turvanõrkust hakkavad ära kasutama aga kurjategijad, kel õnnestub paigaldada pahavara laialt kasutatavatesse teenustesse, võib sellel olla mõju ka tavakasutajatele. Praegu ei ole võimalik öelda, milline on nõrkuse mõju lõppkasutaja seadmetele, st arvutitele ja nutiseadmetele. On väga tõenäoline, et on vaja ka uuendused välja töötada Java platvormi kasutavatele asjade interneti seadmetele ja masinatele.

Meetmed

Ettevõtted ja asutused peaksid üle vaatama oma IT-taristu ja tegema endale selgeks, millistes kasutatavates toodetes ja teenustes võib vastav haavatavus peituda. Kui tootja tuleb välja uuendusega, tuleks paigata need nii kiiresti kui võimalik. Samal ajal peaks ettevõtted ja asutused aktiivselt otsima võimalikke sissetungikatseid. Toodete puhul, kus uuendused puuduvad, on rahvusvaheline küberturvalisuse kogukond välja pakkunud hulga meetmeid, mis aitaks vähendada rünnakute edukust.

Versioon ja skoor: 2.0-beta9 kuni 2.14.1 – kriitiline
CVE: CVE-2021-44228
Nõrkus: Kaugkoodikäivitus
CVSS: 10

Versioon ja skoor: 2.0-beta9 kuni 2.15 (v.a 2.12.2) – kriitiline
CVE: CVE-2021-45046
Nõrkus: Kaugkoodikäivitus ja infoleke
CVSS: 9

Versioon ja skoor: 2.0-beta9 kuni 2.16 – kõrge
CVE: CVE-2021-45105
Nõrkus: Teenusetõkestus
CVSS: 7.5

Versioon ja skoor: 1.2 – kõrge
CVE: CVE-2021-4104
Nõrkus: Untrusted deserialization
CVSS: 8.1

Parim lahendus on uuendada haavatavates süsteemides Log4j versioonile 2.17.
Kui uuendamine ei ole võimalik, siis tuleb hinnata riski ning rakendada vastavalt riskihindamise tulemusele leevendusmeetmeid:

  • Java käivitamisel kasutada parameetrit -Dlog4j2.formatMsgNoLookups=true või seada keskkonnamuutuja LOG4J_FORMAT_MSG_NO_LOOKUPS=”true” (ei lahenda CVE-2021-44228 nõrkust)
  • Eemaldada JndiLookup class classpathist

Täiendavad leevendusmeetmed:

  • (Potentsiaalselt) haavatavate süsteemide eraldamine võrkude segmenteerimise või tulemüüride abil.
  • (Potentsiaalselt) haavatavate süsteemidel internetti pöördumise algatamise keelamine
  • IDS/IPS süsteemides vastava kaitse sisse lülitamine.
  • Süsteemide automaatne või sage manuaalne monitoorimine rünnete või muude kahtlaste tegevuste tuvastamiseks.

Täiendavaid leevendusmeetmeid on soovitav rakendada ka teadaolevalt mitte haavatavate süsteemide puhul võimaliku tulevase ohu vähendamiseks.

Küberrünnaku kahtluse korral tuleks esimesel võimalusel pöörduda CERT-EE poole aadressil cert[@]cert.ee.

RIA tegevused ja kronoloogia

  • 10.12 – RIA edastas esimese teavituse turvanõrkuse kohta koos tegutsemisjuhistega RIA tiimidele ja teistele riigiasutustele, sh turvajuhtide.
  • 10.12–17.12 – RIA kaardistab nii enda teenustes haavatavad komponendid (need kas uuendatud või leidnud võimaluse piirata ründevektorit) ning kogub infot partneritelt.
  • 13.12 – RIA edastas hoiatused ja soovitused avaliku sektori turvajuhtidele ja elutähtsate teenuste osutajatele.
  • 13.12 – RIA on tuvastanud rünnakukatseid riigivõrku kasutavate asutuste suunas ning andnud neist märku vastavatele asutustele koos suunistega, kuidas oma taristut kaitsta.
  • 17.12 ja 20.12 – RIA edastas täiendava teavituse turvanõrkuse kohta elutähtsate ja oluliste teenuste osutajatele (ETOd ja OTOd) ning turvajuhtidele.

RIA jätkab asutustega suhtlemist, olukorra kaardistamist ja annab jooksvalt soovitusi nii asutustele kui ka teenuse pakkujatele.