Lopeta Windowsin käyttäminen

Lainatakseni Terry A. Davisin kuolemattomia sanoja, ”Tietokoneet menivät piloille, kun niitä alettiin tekemään neekereille […] Siinä missä valkoiset ihmiset totevat vain ’se on komentorivi, mitä sitten?’, neekerit sanovat ’ei, me emme pidä komentorivistä’. Siinä valkoisen miehen ja neekerin ero.” Ja tämän takia Steve Jobs keksi graafisen käyttöliittymän, tai niin ainakin Apple-fanit väittävät.

Fakta on, että Microsoft ja Apple käyttöjärjestelmineen ottivat haltuun kotikäyttäjät, tai Applen tapauksessa, enemmänkin kalleilla laitteillaan, joita myydään hulppeana muotisälänä. Ja kaikille teille Unix-faneille, Applen macOS on edelleen Unix-sertifioitu tänäkin päivänä. Ongelmana tässä on yksityisomisteiset ohjelmistot. Yhtenä esimerkkinä Windows NT:stä vuonna 1999 löydetty _NSAKEY ‑koodi, jonka epäillään avaavan takaoven käyttäjien Windows-asennuksiin. Microsoft selitti löydetyn muuttujanimen johtuvan siitä, että NSA toimi silloin teknisenä tarkastusviranomaisena. Lopulta käyttöjärjestelmästä löytyi vain lisää epäilyttäviä avaimia.

Ei ole sattumaa, että PGP pääsi hetkeksi kaupalliseen toimintaan vaikuttavaan sotatarvikelistalle (The United States Munitions List, USML). Ainoa syy, miksi PGP on nykyään laajasti käytössä ei-valtiollisten tahojen keskuudessa on, että sen vientikieltoa kierrettiin julkaisemalla lähdekoodi kirjana. Kryptografia ja ajatus henkilökohtaisesta tietoturvasta synnyttivät cypherpunk-liikkeen. Se oli enemmänkin vain postituslista, johon kuului esimerkiksi al-Qaeda, kuin mikään oikea liike, mutta sen kannattajat onnistuivat aikaansaamaan lukuisia yhteiskunnallisia muutoksia. Hallitus on yrittänyt tuhota salausmenetelmiä jo varmaan ennen kuin osa lukijoista on edes syntynyt. Esimerkiksi, kun verkkosivujen salaukseen käytettävä SSL luotiin ja se vaikutti oikein käytettynä murtumattomalta, Yhdysvallat asetti vientitavaraksi salausmenetelmän paljon heikommalla 40-bittisellä RC2- ja RC4-salauksella. Aikomuksena oli myös käyttää Skipjack-nimistä salausmenetelmää, joka asennettiin laitteeseen NSA:a varten, mukamas turvaamaan ääni- ja tekstiviestejä. Matt Blazen cypherpunk-listan ansiosta havaittiin, että menetelmässä oli iso puute, ja se pilasi hetkeksi aikaa Yhdysvaltain hallituksen suunnitelmat takaovihaavoittuvuuden kehittämisestä. Ei pitäisi tulla yllätyksenä, että hän on nykyään Tor Project ‑hankkeen hallituksessa tietoturvan eteen tekemänsä työn ja omistautuneisuuden ansiosta.

Tiedustelupalvelut ovat yrittäneet kehittää takaovia salausohjelmistoihin jo vuosia. Mennen joskus niinkin pitkälle, että he etsivät haavoittuvuuksia ohjelmistoista ja pitävät löydökset omana tietonaan omiin tarkoitusperiinsä. Siitä johtuvat seuraukset voidaan nähdä Shadow Brokers ‑ryhmän NSA-hakkerointityökalujen vuotamisesta. Tunnetuin vuotanut haavoittuvuus on EternalBlue, koska sitä käytettiin WannaCry-kiristyshaittaohjelmassa, joka lukeutuu viiden taloudellisesti tuhoisimman tietokoneviruksen joukkoon. On melko vaikuttavaa, että sen edeltäjät luotiin jo 2000-luvun alussa ja WannaCry vasta 2017. Kaikki tiedustelupalvelut tekevät tätä ja tämän päivän nollapäivähaavoittuvuus on huomispäivän hakkerin työkalu ja ensi viikolla harrastajahakkerin lelu. EternalBlue-haavoittuvuus itsessään perustui Microsoftin SMB-protokollan haavoittuvuuteen, joka viallisesti pystyi sallimaan koodin suorittamisen etänä.

Tästä pääsemmekin pääpointtiini. Jos välität henkilökohtaisesta tietoturvastasi, sinun tulee käyttää Linux-pohjaisia järjestelmiä. Se on syystäkin yleisin käyttöjärjestelmä supertietokoneiden ja palvelimien maailmassa. Jos henkilökohtaisella koneellasi lymyää mainoshaittaohjelma, voit menettää tehoja ja hermosi, mutta haittaohjelma tärkeillä palvelimilla tai tietokoneilla olisi äärimmäisen haitallista. Linux on avointa koodia ja lisensoitu GPLv2:n alle, joka tarkoittaa, että se on oikeasti ilmainen ja avointa koodia. Lisenssi on käytännössä copyleft-lisenssi, joka toimii kuin virus, mikä tarkoittaa, että minkä tahansa GPL-lisensoidun ja vapaasti käytettävän lähdekoodin johdannaisteoksen on oltava myös GPL-lisensoitu. Tämä on päinvastoin kuin sallivissa lisensseissä, kuten esimerkiksi BSD-lisenssit. Sen takia Apple voi vapaasti lisätä heidän koodinsa päälle vakoiluohjelmistojaan niin paljon kuin haluavat. Linuxin erilaiset jakelut (”käyttöjärjestelmät”) ja niiden luontaisesti parempi turvallisuus takaavat melko varmasti yksityisyydensuojasi. Esimerkiksi ohjelmistot haetaan varmistetuista arkistoista, eikä mistään hämäristä ilmaissovellussivuilta tai vastaavilta palveluilta. Tietysti on olemassa Linux-haittaohjelmia, mutta useimmat niistä tähtäävät palvelimille, joilta saa oikeasti rahaa. Ketään ei kiinnosta se muutaman prosentin kotikäyttäjien osuus.

FOSS-malli (Ilmainen ja avoimen lähdekoodin ohjelmisto) hankaloittaa myös haittaohjelmien tekemistä Linux-pohjaisiin järjestelmiin. Niitä on yritetty tehdä tutkijoiden ja epävirallisesti Yhdysvaltain hallitustenkin toimesta. Kyseinen hallitus on jopa pyytänyt suoraan suomenruotsalaisen Linuxin perustajan Linus Torvaldsin tekemään heille haavoittuvuuden Linuxiin. Senkin pitäisi kertoa jotain, että NSA itse kehitti turvallisuuspainoitteisen Linux-version itselleen.

Ja muut maat seuraavat perässä. Venäläiset loivat Astra Linuxin omille asevoimilleen ja tiedustelupalveluilleen, koska länsimaiset käyttöjärjestelmät olisivat yksinkertaisesti haitallisia kansalliselle turvallisuudelle. Jopa pohjoiskorealaisilla on oma Linux-distro, Red Star OS, vaikka sitä ei suunniteltukaan varsinaisesti kansalaisten tietoturvan vuoksi. Ubuntu kehitti Kiinan kanssa Ubuntu Kylinin löyhänä jatkona Kylin OS:lle. Kylin itse perustui alun perin freebsd:hen, mutta myöhemmin Linuxiin (siis se on nimetty uudelleen NeoKyliniksi). Julkisen sektorin markkinaosuudesta 90 prosenttia on joko Kylinillä tai NeoKylinillä, kun taas Ubuntu Kylinia markkinoidaan kotimaisille tietokoneen käyttäjille.

Miksi sitten vaihtaisin Linuxiin? Terry A. Davisin erittäin vakuuttavan puheenvuoron takia? Ilmeisien vihjauksien, joiden mukaan ulkomailla näyttää olevan syytä epäillä amerikkalaisia yrityksiä, joiden on osoitettu olevan sängyssä hallituksen kanssa Edward Snowdenin vuotojen jälkeen ja niitä ennen, sen takia? No siksi, että se on ilmaista ja avointa koodia ja sillä on laaja hajautettu tuki. Tutkijoiden ja hallituksen yritykset Linuxin takaovien kehittämiseen ovat kaatuneet FOSS-avustajien tarkasteluun, koska he havaitsivat virheet ja estivät niiden lisäämisen Linux-ytimeen. Lisäksi useimmat Linux-jakelut käyttävät useita GPL-lisensoituja työkaluja, kuten erilaisia GNU-apuohjelmia, vaikka on olemassa jakeluja, kuten Alpine Linux, jotka tarkoituksella välttävät GNU-apuohjelmia syistä, jotka ovat liian autistisia käsiteltäväksi tässä artikkelissa. Pointtina on, että Linux-distroja on yhtä paljon kuin on käyttötarkoituksia. Jos olet täysin skitso, harkitse Qubesia ja vietä unettomia öitä miettien laitteistotason haavoittuvuuksia. Esimerkiksi monet laitteistoajurit, varsinkin langattomat, vaativat patentoituja ”blobeja” (ei-tarkistettavia ohjelmistoja), ja on todennäköistä, että prosessorissasi itsessään on riisuttu Minix-järjestelmä, joka toimii mustana laatikkona, mutta tekee opetuksellisesta Unix-tyyppisestä käyttöjärjestelmästä laajimmin käytetyn käyttöjärjestelmän kautta maailman, ilman että sen luoja edes ymmärtää teoksensa vaikutuksen. On olemassa työkaluja, kuten Coreboot ja Libreboot, mutta ne todella valitessa lamauttaa vain Intel Management Engine ‑autonomijärjestelmän toiminnan, vaikka saatat silti pystyä siihen täysin NSA:n itsensä jättämien takaovien ansiosta. Laiteohjelmistoa käyttäviä hyökkäyksiä on osoitettu myös muissa laitteissa, mikä on erityisen helppoa puuttuvan tai väärin toteutetun IOMMU-muistinhallintaominaisuuden kanssa.

Massavalvonnan pelottava puoli on, että kun tulet tietoiseksi aiheesta ja yrität ottaa etäisyyttä siihen, liikenteesi alkaa heti näyttää epäilyttävältä. Kerran Linux-foorumilla käyminen on ollut riittävä syy joutua NSA:n tarkkailulistalle, kuten oli TAILS-sivustollakin käyminen. Oletko ikinä huomannut, miten jopa VPN:n kanssa nimipalvelut (DNS) ovat ”salattu Cloudflaren kautta”?

Miten sitten voi suojautua valtiollista toimijaa vastaan? No, varmin keino on yrittää olla joutumatta sen kohteeksi. Muuten, käytä avoimia ja hyvin dokumentoituja protokollia äläkä luota kaupallisiin tai amerikkalaisiin palveluihin. OpenVPN on protokolla, NordVPN on voittoa tavoitteleva yhtiö, siinä on iso ero. Sen takia myös Tor-verkon solmut (eng. ”node”) ovat vapaaehtoisten ylläpitämiä ja hallitukset yrittävät pilata sen turvallisuutta harhaanjohtavalla tiedolla ja he pyrkivät hallitsemaan sen exit-nodeja. Mitä yritän kertoa on, että kannattaa opetella käyttämään ohjelmia oikein ja tiedostaa niiden rajoitukset. Ja välttää yksityisomisteisia ohjelmistoja aina kun mahdollista. Kannattaa olla mieluummin vainoharhainen kuin joutua vankilaan, tai vielä pahempaa.

Hyviä Linux-distroja aloittelijoille:

Linux Mint

Manjaro

Debian

Julkaistu alun perin American futurist ‑sivustolla