Vakava tietoturvauhka | Valtaosa nettisivuista käyttää ohjelmointi­kieltä, josta löytyi haavoittuvuuksia

Valtionhallinnon verkkopalveluja on ajettu keskiviikkona laajasti alas vakavan tietoturvauhan vuoksi.

Valtion tieto- ja viestintätekniikkakeskus Valtori aloitti palvelujen sulkemisen kello 12.45. Valtori on katkaissut kaiken ulkoa tulevan liikenteen valtionhallinnon julkiseen verkkoympäristöön.

Käytännössä tämä tarkoittaa, etteivät verkon kautta käytettävät palvelut toimi normaalisti. Kaikkien viranomaisten verkkosivut eivät kuitenkaan välttämättä ole kokonaan poissa näkyvistä.

Valtorin ylijohtaja Hannu Naumanen mainitsee Helsingin Sanomille esimerkkeinä vaikutusten piiriin kuuluvista palveluista Verohallinnon verkkopalvelut ja poliisin sähköisen asioinnin.

Uutistoimisto STT:n mukaan esimerkiksi Maanmittauslaitoksen verkkosivusto oli keskiviikkona iltapäivällä poissa käytöstä.

Myös Ylen verkkopalveluissa on käyttökatkoja esimerkiksi sen vinkkilomakkeissa, Yle kertoo.

Valtori päätti sulkea verkkoliikenteen laajasti sen sijaan, että se sulkisi vain yksittäiset haavoittuvat palvelut.

Naumasen mukaan Valtorilla on ”hyvä, mutta ei täydellinen” tieto siitä, missä kaikissa valtionhallinnon järjestelmissä haavoittuvaa ohjelmistoa käytetään.

Jos sulkeminen rajattaisiin vain tunnistettuihin järjestelmiin, jokin haavoittuva palvelu voisi jäädä toimintaan.

Laaja sulkeminen tarkoittaa kuitenkin sitä, että käyttökatko koskee myös sellaisia palveluja, joissa tietoturva-aukkoja ei välttämättä ole.

”Vaikutukset voivat olla myöskin sivuosumia”, Naumanen sanoo.

Sulkeminen saattaa haitata myös muuta viranomaistoimintaa ja siirtää joidenkin tehtävien hoitamista myöhemmäksi.

SULKEMISEN taustalla on kaksi kriittistä tietoturva-aukkoa, jotka on löydetty laajalti käytetystä PHP-ohjelmointikielestä.

PHP:tä käytetään esimerkiksi verkkosivustojen, verkkokauppojen ja muiden internetpalvelujen toiminnassa.

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus on luokitellut molemmat haavoittuvuudet kriittisiksi. Niiden vakavuudeksi on arvioitu 9,2 asteikolla nollasta kymmeneen.

Naumasen mukaan haavoittuvuuksien avulla hyökkääjä voisi pahimmassa tapauksessa suorittaa haitallista koodia palvelimella ja saada sen haltuunsa.

Tämän jälkeen hyökkääjä voisi mahdollisesti päästä etenemään myös muihin järjestelmiin. Naumanen kuitenkin korostaa, ettei haavoittuvuuksien tarkoista hyväksikäyttötavoista ole vielä tietoa.

Valtori painottaa, ettei verkkopalvelujen sulkeminen johdu tietomurrosta. Tällä hetkellä ei myöskään ole tiedossa, että haavoittuvuuksia käytettäisiin aktiivisesti hyväksi.

HAAVOITTUVUUDET korjaava ohjelmistopäivitys on määrä julkaista keskiviikkona kello 17 Suomen aikaa.

Työ ei kuitenkaan valmistu heti korjauspäivityksen julkaisemisen jälkeen, sillä päivitettäviä järjestelmiä on paljon. Osa korjauksista on myös valtionhallinnon muiden palveluntoimittajien vastuulla.

Vielä ei ole tarkkaa tietoa siitä, kuinka kauan käyttökatkot kestävät.

Naumanen arvioi, että sulkeminen saattaa haitata myös muuta viranomaistoimintaa ja siirtää joidenkin tehtävien hoitamista myöhemmäksi.

Viranomaisten sisäverkon liikennettä ei ole suljettu.

SAMANLAISIA varotoimia tehdään myös muualla maailmassa.

Alankomaiden kansallinen kyberturvallisuuskeskus on ilmoittanut sulkevansa verkkosivustonsa PHP-haavoittuvuuksien vuoksi, kertoo uutistoimisto Reuters.

Japanin kansallinen kyberturvallisuusvirasto puolestaan arvioi, että verkkosivustojen sulkeminen voi olla tarpeellinen varotoimi, jos PHP:n tietoturvapäivitystä ei pystytä asentamaan nopeasti.