Windows XP -tuen loppuminen aiheuttaa tietoturvariskejä yksityishenkilöille

Transkriptio

1 Windows XP -tuen loppuminen aiheuttaa tietoturvariskejä yksityishenkilöille ja organisaatioille Maaliskuu 2014

2 Sisällysluettelo Windows XP käyttöjärjestelmätuki päättyy... 3 Käyttöjärjestelmien haavoittuvuudet... 3 Haittaohjelmien tartuntakanavat... 4 Mitä käyttöjärjestelmätuen loppuminen merkitsee yksityishenkilöille?... 5 Mitä käyttöjärjestelmätuen loppuminen merkitsee yrityksille ja organisaatioille?... 6 Mitä käyttöjärjestelmätuen loppuminen merkitsee sulautetuille järjestelmille?... 7 Windows XP -tilastotietoja... 8 Windows XP:n suosio Suomessa ja Euroopassa... 8 Windows XP:llä käytetyt selaimet... 9 Yhteenveto... 10

3 Windows XP käyttöjärjestelmätuki päättyy Suomessa edelleen yleisesti käytössä olevan Microsoft Windows XP -käyttöjärjestelmän tuki päättyy , jonka jälkeen tietoturvaaukkoja korjaavia päivityksiä ei enää toimiteta. Käyttöjärjestelmätuen päättymisen jälkeen kyberrikollisilla on paremmat edellytykset hyödyntää käyttöjärjestelmässä mahdollisesti piileviä haavoittuvuuksia. Samalla Microsoft lopettaa haittaohjelmia torjuvan Microsoft Security Essentials -sovelluksen jakelun. Microsoft kuitenkin tuottaa haittaohjelmatunnisteita jo asennetuille sovelluksille saakka. Viestintäviraston Kyberturvallisuuskeskus suosittelee yksityishenkilöitä ja organisaatioita vaihtamaan Windows XP:n sellaiseen käyttöjärjestelmään, jonka tietoturvaa ylläpidetään vastaisuudessakin. Tuotteet, joiden tuki päättyy : Microsoft Windows XP Windows Internet Explorer 8, jos käyttöjärjestelmänä on Windows XP Microsoft Office 2003 Windows XP Professional for Embedded Systems Käyttöjärjestelmien haavoittuvuudet Kaikista käyttöjärjestelmistä löytyy vuosittain kymmeniä haavoittuvuuksia, eikä Windows XP tee tässä poikkeusta. Windows XP julkaistiin vuonna 2001, jonka jälkeen siitä on löytynyt vuosittain keskimäärin 55 haavoittuvuutta. Esimerkiksi vuonna 2013 Windows XP:stä löytyi erilaisia haavoittuvuuksia yhteensä 88 kappaletta, joista 23 tekee mahdolliseksi vieraan ohjelmakoodin suorituksen. Windows XP:n uusinta Service Pack 3 (SP3) -versiota koskevat haavoittuvuudet on piirretty ajan funktiona Kuvaan 1 alla. Tiedot on kerätty CVE Details -sivustolta. Koska käyttöjärjestelmästä on löytynyt kymmeniä haavoittuvuuksia vuosittain, on todennäköistä että uusia haavoittuvuuksia löytyy myös tietoturvapäivitysten loppumisen jälkeen. Toistaiseksi piilossa pysyneiden haavoittuvuuksien vakavuutta tai lukumäärää on kuitenkin vaikea arvioida. On luultavaa että kyberrikolliset odottavat Microsoftin käyttöjärjestelmätuen loppumista, ennen kuin he alkavat hyödyntämään toistaiseksi piilossa pysyneitä haavoittuvuuksia. Teoriassa yksikin vakava haavoittuvuus voi saada aikaan laajoja haittaohjelmatartuntoja, koska samaa haavoittuvuutta voi käyttää loputtomasti uudelleen. 3

4 Löytyneitä haavoittuvuuksia Kyberturvallisuuskeskus - Windows XP -tietoturvakatsaus 100 Windows XP SP3 haavoittuvuudet vuosittain Haavoittuvuuksia yhteensä Mielivaltaisen ohjelmakoodin suoritus Käyttöoikeuksien nosto Puskurin ylivuoto Muut haavoittuvuudet Kuva 1 Windows XP SP3 haavoittuvuudet. Lähde: Haittaohjelmien tartuntakanavat Haittaohjelma saattaa tarttua tietokoneeseen esimerkiksi sähköpostista avatun liitetiedoston tai tietokoneeseen liitetyn muistitikun tai muun median välityksellä. Myös internet-selain ja sen liitännäiset, kuten Adobe Reader, Adobe Flash ja Oracle Java ovat tyypillisiä haittaohjelmien tartuntakanavia. Nämä tartuntatavat kuitenkin edellyttävät, että käyttäjä avaa haitallisen sähköpostin, kiinnittää tietokoneeseen haittaohjelman sisältävän muistitikun tai vierailee sivustolla, jolla on haitallista sisältöä. Verkkosivustojen haitallista sisältöä on vaikea kokonaan välttää, koska kyberrikolliset saattavat ujuttaa sitä myös normaalisti turvallisille sivuille. Harvinaisemmissa tapauksissa haittaohjelma saattaa tarttua kokonaan ilman käyttäjän toimia, mutta tämä edellyttää että käyttöjärjestelmän ytimen toiminteista löytyy kriittinen haavoittuvuus. Esimerkiksi vuonna 2003 löytynyt Blaster-mato, vuonna 2004 löytynyt Sasser-mato ja vuonna 2008 löytynyt Conficker-mato levisivät tietokoneesta toiseen ilman käyttäjän toimia hyödyntäen käyttöjärjestelmästä löytyneitä haavoittuvuuksia. Nämä ns. remote code execution haavoittuvuudet ovat kuitenkin harvinaisia. Pahin uhkakuva Windows XP -tuen päättymisessä on, jos käyttöjärjestelmän ytimestä löytyy uusi toistaiseksi tuntematon remote code execution -haavoittuvuus. Löytyessään sellainen aiheuttaisi nopeasti leviävän ja hankalasti pysäytettävän verkkomatoepidemian. 4

5 Viestintäviraston Kyberturvallisuuskeskus suosittelee vaihtamaan käyttöjärjestelmään, jonka tietoturvaa ylläpidetään vastaisuudessakin. Mitä käyttöjärjestelmätuen loppuminen merkitsee yksityishenkilöille? Yksityishenkilöille tuen loppuminen merkitsee valmistajan toimittamien tietoturvapäivitysten loppumista, minkä jälkeen tietokoneeseen on helpompi tartuttaa haittaohjelmia. Tällaiset haittaohjelmat saattavat esimerkiksi kaapata käyttäjän pankkiyhteyden, kiristää käyttäjää lukitsemalla koneen kiintolevyn tai hyödyntää käyttäjän konetta osana palvelunestohyökkäyksiä. Käyttöjärjestelmän ikääntyessä myös siinä käytettävistä ohjelmistoista ei välttämättä ole saatavilla uusimpia ja siten turvallisimpia versioita. Vanhentuneet ohjelmistot heikentävät tietoturvaa, jolloin tietokoneeseen on helpompi tartuttaa haittaohjelmia. Esimerkiksi Internet Explorer -selaimen uusin Windows XP:lle saatavissa oleva versio on vuonna 2009 julkaistu Internet Explorer 8. Selain ja siihen liittyvät liitännäiset, kuten Oracle Java tai Adobe Reader, ovat tyypillinen kyberrikollisten hyödyntämä kanava haittaohjelmien levitykseen. Viestintäviraston Kyberturvallisuuskeskus suosittelee yksityishenkilöitä ensisijaisesti vaihtamaan käyttöjärjestelmään, jonka tietoturvaa ylläpidetään vastaisuudessakin. Tämä voidaan tehdä joko asentamalla uusi käyttöjärjestelmä nykyiseen tietokoneeseen, tai ostamalla uudempi tietokone jossa käyttöjärjestelmä on esiasennettuna. Uutta käyttöjärjestelmää vanhaan tietokoneeseen asennettaessa on hyvä huomioida, että vanhat tietokoneet eivät välttämättä ole yhteensopivia kaikkien uusien käyttöjärjestelmien kanssa puutteellisten resurssien tai laiteajurien vuoksi. Vanhoissa tietokoneissa voidaan kuitenkin usein käyttää esimerkiksi avoimeen lähdekoodiin perustuvia 5

6 käyttöjärjestelmiä, joilla on yleensä kevyemmät laitteistovaatimukset. Jos käyttöjärjestelmän vaihtaminen ei ole mahdollista, voidaan tietoturvariskeihin pyrkiä vaikuttamaan pienentämällä Windows XP -käyttöjärjestelmään kohdistuvaa kokonaishyökkäyspintaalaa. Kokonaishyökkäyspinta-alaan voidaan vaikuttaa esimerkiksi kiinnittämällä erityistä huomiota viruksentorjuntaohjelmiston ja palomuurin oikeisiin asetuksiin sekä käyttämällä uusinta versiota selaimesta, sen liitännäisistä sekä muusta ohjelmistosta. Erityisesti selain ja sen liitännäiset tulee aina päivittää uusimpiin versioihin. Koska Internet Explorer -selaimesta ei ole saatavilla uusinta versiota Windows XP:lle, selain on vaihdettava esimerkiksi Mozilla Firefox- tai Google Chrome -selaimeen. Käyttäjän tulisi myös harkita, mitä liitetiedostoja hän koneellaan avaa. Nämä kokonaishyökkäyspinta-alaa pienentävät toimenpiteet eivät kuitenkaan tee tuen ulkopuolella olevasta käyttöjärjestelmästä turvallista. Siksi Viestintäviraston Kyberturvallisuuskeskus suosittelee Windows XP -käyttöjärjestelmästä luopumista. Mitä käyttöjärjestelmätuen loppuminen merkitsee yrityksille ja organisaatioille? Yksityishenkilöitä koskevien uhkien, kuten mahdollisten piilossa pysyneiden haavoittuvuuksien ja vanhenevien ohjelmistojen, lisäksi Windows XP:n tarjoamat tietoturvaominaisuudet ovat jääneet puutteellisiksi. Tällä on merkitystä erityisesti yrityksen tai organisaation verkkotoimialueen tietoturvaa kovennettaessa. Kyberrikolliset voivat käyttää helpommin murrettavia Windows XP -koneita ponnahduslautana organisaation muuhun verkkoon suuntautuvissa hyökkäyksissä, vaikka itse Windows XP -koneella ei käsiteltäisi arkaluontoista materiaalia. Esimerkkejä Windows XP:n tietoturvaheikkouksista: Puskurin ylivuotohyökkäyksiltä suojaava Address Space Layout Randomization (ASLR) puuttuu. ASLR järjestelee ohjelman käyttämän työmuistin satunnaisesti, jotta haittaohjelman on vaikeampi hyötyä muistialueen ulkopuolelle kirjoittamisesta. Ylläpitäjän oikeuksilla sisäänkirjautuneilta käyttäjiltä ei pyydetä valtuutusta, vaikka jokin sovellus suorittaa ylläpitäjän oikeuksia vaativia toiminteita. Käyttöjärjestelmässä itsessään ei ole tuntemattomien sovellusten käynnistyksen estäviä- tai kiintolevyn salaavia toimintoja. Kehittyneempiä kryptografisia algorimeja, kuten SHA-2 tai elliptiset käyrät, ei tueta käyttöjärjestelmän tasolla. Monet asetukset, kuten esimerkiksi ohjelmaprosessien välinen kommunikaatio (IPC$ null session) eivät oletuksena ole kovennettuina. Viestintäviraston Kyberturvallisuuskeskus suosittelee yrityksiä ja muita organisaatioita vaihtamaan käyttöjärjestelmään, jonka tietoturvaa ylläpidetään vastaisuudessakin ja jonka tietoturvaominaisuudet ovat riittävät. Samalla kun yritykset ja organisaatiot siirtyvät pois Windows XP -käyttöjärjestelmästä, on syytä tarkastaa yritysverkon toimialueen tietoturvakäytännöt. Yrityksen toimialuepalvelin on täytynyt pitää taaksepäin yhteensopivana, jotta Windows XP -koneet voivat toimia yritysverkossa. Jos palvelimen asetuksia ei käyttöjärjestelmävaihdoksen yhteydessä päivitetä, saattavat kyberrikolliset hyödyntää taaksepäin yhteensopivuuden aiheuttamia heikkouksia hyökätessään toimialuepalvelinta vastaan. 6

7 Toisaalta vanhat palvelimet eivät välttämättä tue uusimpia tietoturvakäytäntöjä. Sen vuoksi vanhoja palvelinohjelmistoja käytettäessä saattaa uusien työpöytäkoneiden tietoturvaominaisuudet jäädä hyödyntämättä. Käyttöjärjestelmäpäivityksestä saadaan suurin kokonaishyöty, jos myös palvelin ja verkko tukevat uusia tietoturvaominaisuuksia. Jos palvelimien uudistus katsotaan tarpeelliseksi, on hyvä muistaa että vanhan palvelimen ohjelmisto kannattaa poistaa ennen uuden asennusta. Vanhan palvelimen käyttöjärjestelmää ei siis kannata päivittää edellisen asennuksen päälle vaan asentaa alusta saakka uudelleen. Tyhjältä pöydältä asennettaessa edellisen käyttöjärjestelmän mahdollisesti puutteelliset tietoturva-asetukset eivät kopioidu uuteen palvelimeen. Lisäksi, vanhan palvelimen Active Directory saattaa olla saastunut haittaohjelmalla, joka palvelinta päivitettäessä pääsee siirtymään myös uuteen palvelimeen. Myös tämä voidaan estää poistamalla vanha käyttöjärjestelmä ennen uuden asennusta. Mitä käyttöjärjestelmätuen loppuminen merkitsee sulautetuille järjestelmille? Työpöytäkoneiden lisäksi myös sulautetuissa järjestelmissä käytetyn Windows XP Professional for Embedded Systems -käyttöjärjestelmän tuki loppuu Sulautettuja järjestelmiä käyttävien yritysten on hyvä tarkistaa käyttämänsä Windows Embedded -versio. Jos sulautetut järjestelmät toimivat omassa erillisessä verkossaan, ja niihin pääsy on myös fyysisesti rajoitettu, on haittaohjelmien hyökkäyspintaala olennaisesti pienempi kuin työpöytäkäytössä olevilla käyttöjärjestelmillä. Näissä tapauksissa on erityisen tärkeää valvoa sulautettujen järjestelmien oman erillisverkon ja siinä mahdollisesti kiinni olevien muiden verkkojen välistä liikennettä järjestelmään murtautumista yrittävien havaitsemiseksi ja estämiseksi. Myös mahdollisia omien työntekityöntekijöiden tai alihankkijoiden etäyhteyksiä sulautettujen järjestelmien verkkoon on syytä valvoa. Lisäksi siirrettävien medioiden käyttöä esimerkiksi järjestelmää päivitettäessä on syytä kontrolloida erityisen tarkasti. Microsoftin ilmoittama lista Windows Embedded -versioiden elinkaaresta: Windows XP Professional for Embedded Systems tuki päättyy Windows XP Embedded Service Pack 3 (SP3) tuki päättyy Windows Embedded for Point of Service SP3 tuki päättyy Windows Embedded Standard 2009 tuki päättyy Windows Embedded POSReady 2009 tuki päättyy Lisätietoja: Microsoftin Windows Embeded -käyttöjärjestelmien elinkaarta käsittelevä sivusto (englanninkielinen): bedded/en-us/product-lifecycles.aspx 7

8 Windows XP -tilastotietoja Windows XP:n suosio Suomessa ja Euroopassa Windows XP -käyttöjärjestelmän suosio on Suomessa pienentynyt vuoden 2013 aikana 36 %, mutta se on edelleen toiseksi suosituin Windows-pohjainen käyttöjärjestelmä. Tiedot perustuvat TNS Metrix -palvelun www-sivujen käyttöä mittaaviin tilastoihin. Näiden tilastojen mukaan vuoden 2013 joulukuussa Windows XP -käyttöjärjestelmän osuus kaikista verkkosivuja selaavista Windows-käyttöjärjestelmistä oli 17,2 %, kun se edellisvuotena oli 26,8 % (Kuva 2). Myös F-Securen mukaan suomalaisista F-Securen käyttäjistä n. 20 prosenttia käytti Windows XP:tä tammikuussa Eurooppassa Windows XP:n osuus Windows-käyttöjärjestelmistä on vähentynyt lähes samaa vauhtia kuin Suomessa. Euroopassa StatCounterpalvelun ( tilastojen mukaan Windows XP:n osuus on vuoden 2013 aikana vähentynyt 26,2 prosentista 19,6 prosenttiin (Kuva 1: Windows XP Euroopassa). Koska Suomen- ja Euroopan tilastot on kerätty eri lähteistä, eivät luvut välttämättä ole keskenään vertailukelpoisia. Tilastojen muutosnopeudet ovat kuitenkin vertailukelpoisia. Tilastoihin ei ole sisällytetty muiden käyttöjärjestelmävalmistajien tuotteita, matkapuhelimia tai tabletteja, koska tuen loppuminen koskee vain Microsoftin käyttöjärjestelmää. 70,00% Suomessa käytössä olevat Windows-versiot 60,00% 50,00% 40,00% 30,00% 20,00% 10,00% 0,00% Windows 7 Windows XP Windows Vista Windows 8 Windows 8.1 Muut Windows-versiot Windows XP Euroopassa Kuva 2 Suomessa käytössä olevat Windows-versiot. Lähde: Suomen osalta TNS Metrix ja Euroopan osalta StatCounter ( 8

9 Windows XP:llä käytetyt selaimet Windows XP:n selainkantaa tarkasteltaessa on Microsoftin Internet Explorer 8 selvästi suosituin noin 31 % osuudella (Kuva 3). Firefox 25, Chrome 31 ja Firexfox 26 muodostavat noin 48 % osuuden Windows XP:llä käytetyistä selaimista. Lokakuussa 2006 julkaistua Internet Explorer 7 -selainta käyttää edelleen lähes 12 % Windows XP:n käyttäjistä. Yhteensä Internet Explorer 7- ja 8 -selaimia on siis noin 43 % selainkannasta. Näitä selaimia Windows XP:llä käyttävien on hyvä huomioida, että selaimien tuki loppuu käyttöjärjestelmän kanssa yhtä aikaa. Tuen ulkopuolella oleva käyttöjärjestelmä yhdistettynä tuen ulkopuolella olevaan selaimeen on erittäin haavoittuva ja riskialtis yhdistelmä internet-selailuun. 35,0 % 30,0 % 25,0 % 20,0 % 15,0 % 10,0 % 5,0 % 0,0 % Windows XP -käyttöjärjestelmällä käytetyt selaimet 30,8 % 20,7 % 14,5 % 12,5 % 11,8 % 1,1 % 0,9 % 0,9 % 6,6 % Kuva 3 Windows XP:llä käytetyt selaimet joulukuussa Lähde: TNS Metrix 9

10 Yhteenveto Microsoft Windows XP:n käyttöjärjestelmätuki päättyy Suomessa verkkoa selaavista Windows -tietokoneista yhä noin 17 % käyttää Windows XP:tä. Lisäksi Windows XP:n käyttäjistä noin 43 % selaa verkkoa Internet Explorer -selaimella, jonka tuki loppuu samanaikaisesti Windows XP:n kanssa. Käyttöjärjestelmätuen loputtua näihin koneisiin on helpompi murtautua, ja asentaa niihin esimerkiksi verkkopankkiyhteyden kaappaava haittaohjelma. Yrityskäytössä olevat Windows XP -tietokoneet tarjoavat kyberrikollisille moderneja käyttöjärjestelmiä helpomman ponnahduslaudan yrityksen muuhun verkkoon suuntautuvissa hyökkäyksissä. Myös Windows XP:n tarjoamat tietoturvaominaisuudet eivät vastaa nykyaikaisia vaatimuksia. Nähtävissä olevien riskien vuoksi Viestintäviraston Kyberturvallisuuskeskus suosittelee Windows XP -käyttöjärjestelmästä luopumista. Viestintäviraston Kyberturvallisuuskeskus seuraa Windows XP -tuen loppumista ja siihen liittyviä tietoturvauhkia neljännesvuosittaisten tietoturvakatsausten yhteydessä. Lisätietoja: Microsoftin tuotteiden elinkaarta käsittelevä sivusto: FI/windows/products/lifecycle 10

11 Yhteystiedot Viestintävirasto PL 313 Itämerenkatu 3 A Helsinki Puh: (vaihde) kyberturvallisuuskeskus.fi viestintävirasto.fi