Tietoturva-aukko: mikä se on, miten se syntyy ja miksi päivitykset ovat olemassa

Aukko on virhe, jonka avulla joku pystyy tekemään koneella sitä, mitä hänen ei pitäisi. Tässä on aukon koko elinkaari löytymisestä korjaukseen — ja se, mitä pienen yrityksen kannattaa oikeasti tehdä.

Lyhyt vastaus: Tietoturva-aukko on ohjelmistossa oleva virhe, jonka avulla joku pystyy tekemään koneella sellaista, mitä hänen ei pitäisi pystyä tekemään: lukemaan toisen tiedot, kirjautumaan ilman salasanaa tai ajamaan omaa ohjelmaansa. Aukot syntyvät koodivirheistä, vanhentuneista komponenteista ja vääristä asetuksista. Kun valmistaja julkaisee korjauksen, aukosta tulee julkista tietoa — ja siitä hetkestä alkaen päivittämätön kone on helpompi murtaa kuin se oli edellisenä päivänä. Siksi päivitykset ovat olemassa.

Sana tietoturva-aukko kuulostaa siltä, kuin seinässä olisi reikä. Vertaus on lähempänä totuutta kuin luulisi, mutta se johtaa harhaan yhdessä kohdassa: reikää ei ole tehnyt hyökkääjä. Sen on tehnyt vahingossa se, joka rakensi seinän. Hyökkääjä vain löysi sen ennen sinua.

Tämä sivu selittää, mitä aukko oikeasti on, miten sellainen syntyy, mitä sille tapahtuu löytymisen jälkeen ja miksi juuri korjauksen julkaisu on se hetki, jolloin päivittämätön kone muuttuu vaaralliseksi. Lopussa on lista siitä, mitä pienen yrityksen kannattaa tehdä. Se on lyhyempi kuin luulet.

Mikä tietoturva-aukko on?

Ohjelma on joukko sääntöjä siitä, mitä käyttäjä saa tehdä. Kirjaudu sisään, näytä omat laskusi, älä näytä naapurin laskuja. Tietoturva-aukko on virhe, jonka takia jokin näistä säännöistä ei päde kaikissa tilanteissa. Ohjelma toimii oikein sata kertaa ja sadannellaensimmäisellä kerralla ei toimi, koska joku syötti kenttään jotain, mitä tekijä ei osannut kuvitella.

Yksinkertaisin esimerkki on osoiterivi. Verkkopalvelu näyttää laskun osoitteessa, jonka lopussa on numero 4021. Käyttäjä vaihtaa numeron muotoon 4022 ja näkee toisen yrityksen laskun. Mitään ei ole murrettu, mitään salasanaa ei ole arvattu. Ohjelmasta vain puuttuu tarkistus, kuuluuko pyydetty lasku sille, joka on kirjautuneena. Tämä on yksi yleisimmistä oikeista aukoista, ja se syntyy kiireestä, ei tietämättömyydestä.

Aukko on siis aina kaksi asiaa yhtä aikaa: virhe koodissa tai asetuksissa, ja seuraus, jolla on merkitystä. Kirjoitusvirhe napin tekstissä on virhe muttei aukko. Puuttuva tarkistus on aukko, koska sen kautta pääsee johonkin.

Mistä tietoturva-aukot syntyvät?

Melkein kaikki tietoturva-aukot palautuvat viiteen syyhyn, eikä yksikään niistä vaadi, että joku olisi tehnyt työnsä huonosti — ne ovat ohjelmistotyön normaaleja sivutuotteita. Koodivirhe tarkoittaa, että tarkistus puuttuu tai on väärässä paikassa. Vanhentunut riippuvuus tarkoittaa, että ohjelma käyttää valmista komponenttia, jossa on tunnettu aukko. Väärä asetus jättää tietokannan, pilvilevyn tai kansion auki kaikille, koska oletusasetus on usein helppo eikä turvallinen. Liian laajat oikeudet syntyvät siitä, että oikeuksia lisätään tarpeen mukaan muttei koskaan oteta pois. Ja tuen ulkopuolinen ohjelmisto on aukko, jota ei enää korjaa kukaan. Viimeinen on pienyrityksissä yleisin ja vaarallisin.

Viimeinen rivi on pienyrityksissä yleisin ja vaarallisin. Windows 10:n tuki päättyi lokakuussa 2025. Kone, joka pyörii sillä edelleen ilman erikseen ostettua jatkotukea, ei ole huono kone. Se on kone, jonka aukkoja ei enää korjaa kukaan, ja jokainen uusi löydös jää siihen pysyvästi.

Aukon elinkaari: löytymisestä hyväksikäyttöön

Tietoturva-aukolla on melkein aina sama elinkaari, ja se kannattaa ymmärtää, koska juuri siitä selviää miksi päivittäminen on ajan kanssa kilpailemista eikä ylläpitorutiinia. Aukko löytyy ensin, yleensä tietoturvatutkijan, valmistajan oman testauksen tai automaattisen työkalun toimesta. Siitä ilmoitetaan valmistajalle hiljaa, ja vakiintunut määräaika julkistukselle on noin kolme kuukautta. Korjaus rakennetaan ja julkaistaan päivityksenä, ja aukko saa oman tunnisteensa. Sen jälkeen tieto muuttuu julkiseksi, mikä on välttämätöntä ylläpitäjille mutta kertoo samalla hyökkääjille tarkalleen mistä etsiä. Lopuksi päivittämättömiä koneita aletaan etsiä koneellisesti. Kohteita ei valita, ne löydetään.

1. Aukko löytyy Löytäjä on yleensä tietoturvatutkija, valmistajan oma testaus tai automaattinen työkalu. Joskus löytäjä on rikollinen, jolloin vaiheet kaksi ja kolme jäävät väliin.
2. Siitä ilmoitetaan valmistajalle Vakiintunut tapa on kertoa ensin valmistajalle ja vasta sitten julkisuuteen. Määräajaksi on yleisesti vakiintunut noin kolme kuukautta, jotta korjaus ehtii valmistua ennen kuin tieto leviää.
3. Korjaus rakennetaan ja julkaistaan Tästä syntyy se päivitys, jonka näet ruudulla. Aukko saa yleensä myös oman tunnisteen, esimerkiksi CVE-2021-44228, jotta kaikki puhuvat samasta asiasta.
4. Tieto muuttuu julkiseksi Kuvaus siitä, mikä oli rikki ja missä, julkaistaan. Tämä on välttämätöntä, jotta ylläpitäjät osaavat arvioida oman tilanteensa. Samalla se kertoo hyökkääjille tarkalleen, mistä etsiä.
5. Päivittämättömiä koneita aletaan etsiä koneellisesti Julkaisua seuraavina päivinä verkkoa käydään läpi automaatilla ja etsitään koneita, joita ei ole päivitetty. Kohteita ei valita, ne löydetään.

Miksi päivitykset ovat olemassa?

Päivitys ei ole valmistajan tapa myydä uusia ominaisuuksia. Tietoturvapäivitys on se korjaus, jolla julkaistu aukko suljetaan, eikä muuta tapaa sulkea sitä ole. Tämä kuulostaa itsestään selvältä, mutta siitä seuraa yksi asia, joka ei ole: kone on vaarallisimmillaan juuri korjauksen julkaisun jälkeen. Ennen julkaisua aukon tunsi kourallinen ihmisiä, julkaisun jälkeen sen tuntee jokainen, joka osaa lukea. Päivittämättömän koneen riski ei siis pysy samana vaan kasvaa sinä päivänä, kun korjaus tulee saataville. Käytännön johtopäätös on tylsä ja tehokas: automaattiset päivitykset päälle kaikkialle, missä se on mahdollista.

Tunnetuin esimerkki tästä on WannaCry, joka levisi maailmalla keväällä 2017. Sen käyttämään Windows-aukkoon oli julkaistu korjaus jo saman kevään aikana, viikkoja ennen leviämistä. Vahinkoa ei siis aiheuttanut tuntematon hyökkäys vaan asentamaton päivitys. Sama kuvio toistuu edelleen, vain nimet vaihtuvat.

Käytännön johtopäätös on tylsä ja tehokas: automaattiset päivitykset päälle kaikkialle, missä se on mahdollista. Päivityksen viivästyttäminen on perusteltua vain silloin, kun jokin liiketoiminnan kannalta kriittinen ohjelma tunnetusti hajoaa päivityksestä — ja silloinkin viive mitataan päivissä, ei vuosissa.

Nollapäivä eli zero-day, selkokielellä

Nollapäivähaavoittuvuus tarkoittaa aukkoa, jota hyväksikäytetään ennen kuin valmistajalla on korjausta. Nimi tulee siitä, että valmistajalla on ollut nolla päivää aikaa korjata. Se ei tarkoita erityisen ovelaa hyökkäystä, vaan ainoastaan sitä, että puolustaja on myöhässä lähtökohtaisesti.

Nollapäivät ovat harvinaisia ja kalliita. Niitä käytetään yleensä tarkoin valittuihin kohteisiin, koska aukko palaa käsiin heti, kun se huomataan ja korjataan. Pienen suomalaisen yrityksen kannalta tämä tarkoittaa kahta asiaa. Ensinnäkin nollapäivä ei todennäköisesti ole se, mikä teidät kaataa. Toiseksi juuri siksi nollapäivistä ei kannata huolestua ennen kuin tavalliset asiat ovat kunnossa: lähes kaikki tosielämän vahingot syntyvät aukoista, joihin korjaus oli olemassa mutta asentamatta, tai varastetuista salasanoista.

Aukkojen päätyypit, ja mikä ei ole aukko

Uutisissa toistuvat samat nimet, ja ne kannattaa tuntea suomeksi ilman pelottelua. SQL-injektiossa hakukenttään syötetty teksti tulkitaan tietokantakomennoksi, jolloin koko rekisteri voi vuotaa. Etäajossa hyökkääjä saa palvelimen ajamaan omaa koodiaan, ja se on vakavin luokka. Pääsyn ohituksessa toisen käyttäjän tiedot näkyvät pelkkää osoitetta muuttamalla. Avoin asetus tarkoittaa pilvilevyä tai tietokantaa, joka on näkyvissä ilman salasanaa. Nämä neljä ovat aukkoja. Kaksi tavallista uutisaihetta sen sijaan ei ole: salasanavuoto toisesta palvelusta on salasanan uudelleenkäyttöä, ja tietojenkalastelussa järjestelmä toimii oikein ja ihmistä huijataan.

Kaksi viimeistä riviä kannattaa lukea kahdesti. Tietojenkalastelu ei ole tietoturva-aukko, eikä sitä korjata päivittämällä. Se on syy siihen, miksi kaksivaiheinen tunnistautuminen on pienessä yrityksessä arvokkaampi kuin mikään tietoturvatuote: se pysäyttää hyökkäyksen, jossa hyökkääjällä on jo oikea salasana.

Aukkojen vakavuutta kuvataan yleisesti asteikolla 0–10 (CVSS). Luku on karkea suunta-arvio eikä kerro, koskeeko aukko juuri teitä. Käytännön kysymys on aina sama: onko meillä tätä ohjelmistoa, ja onko se päivitetty.

Kun aukko koskee juuri teidän järjestelmäänne

Aukko yrityksen omassa verkkopalvelussa on eri tilanne kuin aukko jonkun muun tuotteessa: korjausta ei tule tekemään kukaan muu, ja kello käy siitä hetkestä kun asia tulee tietoon. Järjestys on kolmiosainen. Selvitä ensin, mihin aukon kautta pääsee ja onko sitä käytetty — lokitiedot kertovat sen, jos niitä on tallessa, ja tässä kohtaa moni pieni yritys huomaa ettei niitä ollut. Tuki sen jälkeen aukko, vaikka väliaikaisesti sulkemalla toiminto kunnes korjaus on tehty kunnolla. Mieti vasta lopuksi, oliko kyse yksittäisestä virheestä vai tavasta, jolla koko ohjelma on tehty. Jos henkilötietoja vuoti, mukaan tulee ilmoitusvelvollisuus.

Ensin selvitetään, mihin aukon kautta pääsee ja onko sitä käytetty. Lokitiedot kertovat sen, jos niitä on tallessa — ja tämä on se kohta, jossa moni pieni yritys huomaa, ettei niitä ollut. Sen jälkeen aukko tukitaan, vaikka väliaikaisesti: toiminto suljetaan, kunnes korjaus on tehty kunnolla. Vasta sitten mietitään, oliko kyse yksittäisestä virheestä vai tavasta, jolla koko ohjelma on tehty.

Jos henkilötietoja on päässyt vuotamaan, mukaan tulee tietosuoja-asetuksen ilmoitusvelvollisuus: tietomurrosta on lähtökohtaisesti ilmoitettava tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun asia tuli tietoon. Se on lyhyt aika, jos kukaan ei tiedä etukäteen kuka soittaa ja kenelle. Yksi sivu paperia, jossa lukee vastuuhenkilön nimi ja puhelinnumero, riittää tähän valmistautumiseksi.

Jos taas löydät aukon jonkun toisen palvelusta, ilmoita siitä palvelun ylläpitäjälle äläkä testaa löydöstä pidemmälle kuin sen toteamiseen. Rajanveto on Suomessa selkeä: toisen järjestelmään tunkeutuminen on rikos silloinkin, kun motiivi on hyvä.

Mitä pienen yrityksen kannattaa oikeasti tehdä?

Tietoturva-aukot ovat teknisiä, mutta niiltä suojautuminen ei ole. Pienessä yrityksessä kannattaa tehdä kuusi asiaa, ja ne ovat yhden illan töitä eivätkä vaadi mitään ostamista. Laita automaattiset päivitykset päälle joka koneeseen ja puhelimeen, koska se yksi asia poistaa suurimman osan todellisesta riskistä. Kytke kaksivaiheinen tunnistautuminen sähköpostiin ja pankkiin, sähköposti ensin, koska sen kautta nollataan kaikkien muiden palveluiden salasanat. Käytä eri salasanaa eri palveluissa. Pidä varmuuskopio, joka ei ole kiinni samassa koneessa, ja testaa palautus kerran. Poista tunnukset, joita kukaan ei käytä. Kirjoita lopuksi ylös, mitä ohjelmistoja teillä on.

1. Laita automaattiset päivitykset päälle joka koneeseen ja puhelimeen Käyttöjärjestelmä, selain ja työohjelmat. Tämä yksi asia poistaa suurimman osan todellisesta riskistä, koska se sulkee aukot ennen kuin joku ehtii etsiä teitä.
2. Kaksivaiheinen tunnistautuminen sähköpostiin ja pankkiin Sähköposti ensin, koska sen kautta nollataan kaikkien muiden palveluiden salasanat. Jos ehdit tehdä vain yhden asian, tee tämä.
3. Salasanat eri palveluihin eri salasanoiksi Salasanavuodot toisissa palveluissa muuttuvat vaarallisiksi vasta, kun samaa salasanaa on käytetty monessa paikassa. Salasanojen hallintaohjelma hoitaa tämän, eikä kenenkään tarvitse muistaa mitään.
4. Varmuuskopio, joka ei ole kiinni samassa koneessa Kiristysohjelma salaa kaiken, mihin se yltää, myös verkkolevyn. Toimiva varmuuskopio on ainoa asia, joka muuttaa kiristystilanteen katastrofista harmiksi. Testaa palautus kerran, muuten et tiedä onko sitä.
5. Poista tunnukset, joita kukaan ei käytä Lähteneiden työntekijöiden tunnukset ja vanhat jaetut kirjautumiset ovat aukkoja, joita ei korjaa mikään päivitys.
6. Kirjoita ylös, mitä ohjelmistoja teillä on Yhden sivun lista riittää. Kun uutisissa kerrotaan aukosta, kysymykseen "koskeeko tämä meitä" vastataan silloin minuutissa eikä viikossa.

Jos haluat saman listan laajempana ja siihen, mikä siitä kannattaa tehdä ensin, kirjoitimme siitä oman sivunsa: tietoturva pienyritykselle.

Usein kysyttyä

Lue seuraavaksi

• Android-puhelimen tietoturva
• Pienyrityksen tietoturvan perusteet: mitä suojaat, miltä suojaat ja missä järjestyksessä
• Puhelimen tietoturva yrityskäytössä: seitsemän asetusta ja etäpoiston testi
• Tietosuoja ja tietoturva: mikä niiden ero on pienyrityksessä
• Tietoturva-auditointi pienyritykselle: tee ensin 12 kohdan itsearvio

Lue myös: kassajärjestelmä ravintolaan · kanta-asiakasohjelma pienyritykselle · digitaalinen leimakortti · ajanvarausjärjestelmien hinnat · verkkosivut yritykselle · sovelluskehitys iOS ja Android · ohjelmistokehitys · CRM-järjestelmä