"Saada sõbrale"

“The only truly secure system is one that is powered off, cast in a block of concrete and sealed in a lead-lined room with armed guards.”

– Gene Spafford

"Soovita sõbrale"

Tänapäeval on väga lihtne teha tavainimesel endale koduleht. Selleks on olemas erinevad sisuhaldustarkvarad (Wordpress), vastavad online-tööriistad (wix.com) jne. Kõikide lahenduste puhul räägitakse, kui lihtne on neid paigaldada ja alustada aga kogu turvalisuse pool jäetakse tahaplaanile.

Näiteks selline väike asi, et Wordpressi kasutades tuleks kustutada või üldse mitte luua kasutajat kasutajanimega "admin". Kes kasutavad enda sisuhaldustarkvara kaitsmiseks mõnda security pluginat  näevad kindlasti, et kõige rohkem üritatakse sisse logida just kasutajanimega "admin".

Kuid veidi põhjalikumalt sooviksin peatuda ühel teisel asjal, millega võib endale teadmatusest päris palju probleeme tekitada. Väga (liigagi?) paljudel kodulehtedel on tänapäeval olemas veel vorm "saada sõbrale", kuhu kodulehe külastaja saab sisestada enda e-maili aadressi, saaja e-maili aadressi ning ka mingi teksti. Ideaalis peaks olema seal saatja ja tema sõbra aadressid ning tekstiks "Hei. Leidsin sellise toreda kodulehe, vaata ka.". Pahatihti kasutatakse neid samu vorme aga hoopis muul eesmärgil.

Oletame, et ma olen pahalane ja teenin raha spämmi saatmisega. Mul on 100 000 000 e-maili aadressi, kuhu võiks spämmi saata ja ma ei taha seda kindlasti enda nime alt teha. Lisaks on minu domeen juba ammu igas spämmilistis. Aga nüüd leian ma kodulehe, kus on e-mailide saatmise võimalus olemas - sisestan sinna saaja aadressi, saatjaks märgin näiteks sealt samast kodulehelt leitud mõne kontakti e-maili aadressi ning sisuks on "Osta Viagrat". Kui selle kodulehe omanik või haldaja ei ole ühtegi tõsisemat vastumeedet ette seadnud saangi saata enda 100 000 000 spämmkirja välja. Ja spämmijaks on see sama kodulehe omanik. Lõpp hea, kõik hea - spämmid on saadetud ja musta nimekirja ei satu mitte mina, vaid see keegi teine, kes lubab enda kodulehe kaudu seda teha.

Mida siis ette võtta, et minu kodulehel sellist asja ei saaks juhtuda? Tehnilise poole pealt on võimalik kindlasti keelata sama IP-aadressi pealt näiteks teatud aja jooksul üle 5 e-maili saatmine. Samas ei ole IP-aadresside muutmine häkkeritele suureks probleemiks. Teiseks tuleks kindlasti kasutada CAPTCHA lahendusi ehk lasta saatjal lugeda pildilt tähti ja need eraldi sisestada.

Samas ei ole pahalasel lihtsa masinõppe programmijupi kasutamisel ka selle murdmisega suuri probleeme.

Veidi vähem tehnilise poole pealt võiks mõelda läbi kas lubada üldse kasutajal sellisele vormile e-maili sisu lisada. Võib-olla saab kasutada tüüpteksti, mis saadetakse kõigile ühtmoodi? Kui ma olen spämmija ja ma ei saa saata enda spämmkirja sisu siis ei ole mul soovi ka seda vormi kasutada.

Viimasena võiks ka mõelda, kas sellist vormi on üldse enda kodulehele vaja? Tunduvalt mugavam on kopeerida aadressirealt selle kodulehe aadress ja lisada otse sõbra suhtlusaknasse. Mina ei ole isiklikult mitte kunagi üheltki sõbralt saanud ühtegi "kutset" e-mailile vaatamaks mõnda kodulehte. Küll aga saadetakse põnevaid linke igapäevaselt näiteks Facebook Messengeri vestluste kaudu.

Aga miks see mind üldse puudutab?

See hakkab väga kiirelt mõjutama juhul, kui sinu e-maili aadressi kasutades on saadetud välja need 100 000 000 spämmkirja ja oled igas mõeldavas spämmilistis. See tähendab, et ka sinu enda kirjad ei jõua enam ühelegi saajale kohale.

Lisaks ei või kunagi teada, millist sisu selle vormiga saadetakse. See ei pruugi olla ainult süütu reklaam, vaid ka midagi tõsisemat ning sel juhul tuleb juba ka enda kodulehe majutuse teenusepakkujale või mõnele õiguskaitseorganile aru anda.

Lahendused

Kuidas siis taolist olukorda ära hoida? Eelnev oli vaid üks konkreetne näide, kuidas tahtmatult ja reeglina teadmatusest sattuda väga täbarasse olukorda.

Kindlasti tuleks internetiturvalisusest rohkem rääkida ja tuua välja näiteid, kuidas on võimalik küberrünnaku alla sattuda. Nagu näha siis lahendused ei pruugi alati väga keerulised olla aga neid peaks teadma. Käesolevas postituses välja toodud näite puhul oleks kindlasti aidanud juba see, kui kodulehe omanik oleks osanud enne läbi mõelda kas sellist e-maili vormi on üldse tema lehele tingimata vaja.

Kogu muu info seas ei ole interneti-turvalisuse teemaga tavainimesel reeglina aega tutvuda, seetõttu tulekski seda vaikselt "peale suruda". Alustades näiteks selle sama serveriteenuse pakkujaga, kes võiks näiteks pidada blogi ja saata enda klientidele igakuiselt kasulikku infot, mis kliente ka reaalselt puudutab ja aitab.