Karulaas

Autoriõigused ja õppetöö

hillarp — Sat, 28 Jan 2012 00:31:53 +0000

Suure ACTA-SOPA-PIPA madistamise käigus tundub kogu kurja juur olevat meelest läinud. Nimelt on kogu trall alguse saanud suurest autoriõiguste kaitsmisest. Ei - ma ei ole autoriõiguste vastu ja ma pean selle kaitsmist oluliseks aga kui autorite või mis veel hullem - kirjastajate - personaalne rahakott seatakse kõrgemale meie tulevase põlvkonna kooliharidusest või inimeste elust ja tervisest, siis teeb see mind kurjaks. Kaks näidet

Esimene eestist:
"Raamatute ostmata jätmise taga ei ole mitte raamatukogu kuri tahtmine kirjastusele maksmisest pääseda ega rahanappus – raamat „Kaksteist kuud” maksab vaid kolm eurot –, vaid lihtsalt see, et paljusid raamatuid pole saada. Kirjastuse Avita turundusjuhi Anneli Veskimäe sõnul takistavad uustrükke autoriõigused."

Teine (minu arvates palju jubedam) Ühendriikidest:
"The USA's main funding agency for health-related research is the National Institutes of Health (NIH), with a $30bn annual budget. The NIH has a public access policy that says taxpayer-funded research must be freely accessible online. [...] If passed, the Research Works Act (RWA) would prohibit the NIH's public access policy and anything similar enacted by other federal agencies, locking publicly funded research behind paywalls. The result would be an ethical disaster: preventable deaths in developing countries, and an incalculable loss for science in the USA and worldwide."

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/123

m-ID - ajalugu, tänapäev, tulevik

hillarp — Sat, 28 Jan 2012 00:06:29 +0000

Neljapäeval, 26.01.2012 õnnestus mul osaleda Riigi Infosüsteemi Ameti infoturbeintsidentide käsitlemise osakonna (CERT) korraldatud seminaril m-ID - ajalugu, tänapäev, tulevik, mis toimus Rahvusraamatukogu suures saalis. Seminari eesmärk oli tekitada m-id ohutude avalikku arutelu ja alljärgnevalt väike kokkuvõte.

Üritus algas lühikeste sõnavõttudega inimeste poolt, kes olid m-ID sünni juures. Anti ülevaade m-ID minevikust, olevikust ja tulevikust ning tema võimalustest ja põhilistest turvaprobleemidest. Esinejad ja teemad olid järgmised:
- Tarvi Martens (SK) “Mobiil-ID ajaloost”
- Kalev Pihl (SK) “Mobiil-ID teenuse kasutatavusest hetkel ja tänased arenguplaanid”
- Lauri Läheb (EMT) “Miks Mobiil-ID”
- Jürgen Niinre (EMT) “Mobiil-ID tehniline arengupotentsiaal”
- Peeter Laud (Cybernetica AS) “Krüptograafiliste protokollide analüüs ja Mobiil-ID”
- Anto Veldre (CERT-EE) Androidi turvademo
- Martin Paljak (Ideelabor) demo “Mis on karul kõhus”
- Rein Süld (Sampo Bank / Danske Bank) “Millist mobiilset identiteedi tuvastamislahendust vajame?”
- Priit Penjam (Finestmedia) - “mobiil-ID perspektiividest”
- Aivar Naaber (Codeborne) - “Paneme m-ID maksma!”

On ilmne, et arvutustehnika tulevik on mobiilsete platvormide päralt, samas ei ole nende turvalisus järgi jõudnud nende kasutamise aktiivsusega. Kiirest arengust tingituna on tekkinud ka m-ID turvalisuse kadu. Nimelt on nutifonides tekkinud võimalus üheaegselt kasutada e-teenust ja autentimisteenust, see aga kaotab m-ID ühe põhilise turvakomponendi - teise kanali - muutes m-ID kasutamise oluliselt ebaturvalisemaks.

Seminari lõpetas arutelu, kus käidi välja kaks väga head ideed - nutikaitse 2015 ja veidi väiksemas tippspetsialistide seltskonnas ümarlaua kohtumine, eesmärgiga saada m-ID protokollide ja protsesside turvatase veidi kõrgemaks.

Ehkki kohati läks arutelu väga kuumaks ja emotsioonid kippusid üle ääre ajama, pean üritust kordaläinuks. Vaatame, võib-olla saab ka minust kunagi tulevikus m-ID kasutaja

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/122

Seekord tehakse natuke liiga

hillarp — Fri, 20 Jan 2012 23:51:07 +0000

Tanases AK-s ACTA-t käsitlevas uudisnupus jooksis läbi väide, et "Euroopa samale leppele, mis muuseas võeti vastu Euroopa Nõukogu kalandusnõukogul, on oma heakskiidu andnud ka Eesti valitsus". Selle peale on HinnaVaatluse foorumis terve teema püsti tõstetud. Põhiteema on see, et kes andis (ja kellele anti) volitused selle leppe heakskiitmiseks.

Kiire uuring näitas, et Euroopa Liidu põllumajandus- ja kalandusnõukogu koosolek on tõesti toimunud 15-16.12.2011 ning seal arutatud teemade seisukohad on olnud EV valitsuses arutlusel 8.12.11 istungil. Nagu istungi protokollist loeme, ei ole valitsusele ACTA osas mingit seisukohta esitatud. Ning nagu me komisjoni istungi päevakorrast loeme, pole see seal ka arutlusel olnud. Seega polnud põhjust seda valitsuses arutada.

Kalanduskomisjon on aga ACTA tõepoolest heaks kiitnud ning teinud seda oma 09.12.2011 otsusega. Seda konkreetset otsust pole aga valitsuse istungi protokollide kohaselt kunagi arutatud. Järelikult ei saa selle olla ka Eesti Vabariigi valitsuse heakskiitu.

Eelnevast tulenevalt on HV foorumi küsimuse püstitus minu arvates natuke nihu ja sellest tulenevalt tehakse valitsusele veid liiga. Õige küsimus oleks - kas seda on üldse Vabariigi Valitsuse poolt arutatud ja heaks kiidetud?

EDIT TO ADD: Ehkki seda küsimust päevakorras polnud, on Euroopa Liidu põllumajandus- ja kalandusnõukogu koosoleku pressiteates punkti all "other items approved" ka Anti-counterfeiting trade agreement. Eestit esindas sellel koosolekul Gert Antsu.

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/121

Võidurelvastumine infosõjas

hillarp — Fri, 13 Jan 2012 12:56:58 +0000

Seda võidurelvastumist oleme me näinud ammu. Kui "valged jõud" hakkasid KE-d kottima, tehti TallinnaTV. Nüüd on DASA mis võimaldab seaduslikult maksumaksja raha eest maksumaksja ajusid pesta ja vastukaaluks tegeleb TallinaLV valitsuse vastaste meeleavalduste kutsete edasisaatmisega.

Kuskohast ma seda järeldan? Nimelt potsas mulle postkasti alljärgnev sõnum (e-kirja juures oli neli faili ja neid saab minu käest küsides) ja ehkki ma ise olen samuti hinnatõusu vastu, siis sellise meetodiga edastatud kutse pigem vähendab minu osalemissoovi.

Käesolevaga edastame KÜ Uus-Maleva 7 esimehe Irina Hollandi palvel kutse piketile.

Lugupidamisega

Aavo Vään
Põhja-Tallinna Valitsuse
Linnamajanduse osakonna
Peaspetsialist
5084908

________________________________
From: irina holland [mailto:irinaholland@mail.ru]
Sent: Monday, January 09, 2012 10:23 AM
To: Aavo Vään
Subject: Fwd: kutse

Hea eestimaalane.

Edastan Teile minu poolt korraldatava piketi kutse. Palun Teid teavitada ühistu esimehi,ja nende kaudu kõiki korteriomanike , et on toimumas meeleavaldus 17,01,2012 kell 12-13 (Lossi platsi 1) Toompeal.

Palun Teid koos kolleegidega võimalusel osaleda.

Lugupidamisega.
Piketi korraldaja.
Irina Holland
Tel 55541362

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/120

Kirjuta küberkonfliktide ajalugu käsitlev jutt ja võida $1000

hillarp — Wed, 11 Jan 2012 18:23:22 +0000

Kusjuures jutt on tõsine. Nimelt on Cyber Conflict Studies Association ja Armed Forces Communications and Electronics Association Välja pannud kuus 1000 USD suurust auhinda parimatele küberkonflikte käsitlevale teadustöödele. Eraldi kategooriates võstlevad sõjaväelased, üliõpilased ja professionaalid. Kogu jutt (inglise keeles) on siin.

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/119

Presidendi turvalisusest

hillarp — Sat, 07 Jan 2012 21:28:00 +0000

Tänasest Delfist loeme, et ajakirjanikud said suure töövõidu - Presidendi kantselei avalikustas Andmekaitse Inspektsiooni ettekirjutuse põhjal eraisikutest töövõtjate nimed, kellelt kantselei on tänavu erinevaid teenuseid ostnud. Vaidlustamata inimeste õigust olla informeeritud ning tunnustades ajakirjanduse rolli seal juures, arvan, et see info oleks küll võinud jääda avalikustamata. Miks? Võtan näitena ainult ühe inimese, kuid sama mudel kehtib nende kõigi kohta.

Hetkel saime me teada, et Presitendil on toateenija, saime teada tema nime samuti saime teada palju ta teenib. Milles on probleem? Potentsiaalne ründaja teab nüüd inimest, kellel on juurdepääs Presitendi magamistoale ja kes saab seal teha mida iganes - alates fotodest lõpetades pommiga padja sees. Samuti teab ründaja, palju see inimene teenib. Edasi on üsna lihtne välja arvutada, millistest summadest võiks olla jutt.

Kas risk on olemas? Kindlasti on - pommi oma natuke väiksem, piltide oma natuke suurem. Ma usun, et kõik mäletavad veel Kadriorgiat ja igaüks võib iseseisvalt välja arvutada, kui palju maksaks näiteks Daily Mail näiteks presitendipaari seksifotode eest.

Kas see konkreetne inimene võtaks sellise pakkumise vastu - ma ei tea. Samas olen ma läbi aegade pidanud natuke liiga palju klaarima juhtumeid, kus on tehtud "pakkumine, millest ei saa keelduda".

Ehkki AKI käitus antud juhul täpselt nii, nagu seadus ette näeb, siis inimlikust seisukohast lähtuvalt ma nende otsust heaks ei kiida. Presitendi kantselei aga käitus minu arvates lihtsalt ebaprofessionaalselt. Mina isiklikult oleks (konkreetselt toateenija puhul) viidanud avaliku teabe seaduse § 35 p 1 lg 9 ning selle rahulikult Asutusesiseseks Kasutamiseks kuulutanud.

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/118

Eesti on parim

hillarp — Wed, 04 Jan 2012 00:06:27 +0000

Mõni päev tagasi tuli ISACA peakontorist teade, et et EISAÜ on parim väikese suurusega ISACA allorganisatsioon. Kuna ma pean seda osaliselt ka enda teeneks, siis tegi see muidugi tuju heaks. Teade ise oli selline:

On behalf of the Chapter Support Committee, I am pleased to extend congratulations to the Estonia Chapter for an outstanding year in 2011. Your chapter has earned the 2011 K. Wayne Snipes award for the Best Small Chapter in Europe/Africa. You should be extremely proud of the hard work your chapter put forth to earn this distinction.

The award will be formally presented to your chapter at the 2012 Europe/Africa Leadership Conference, held just prior to the EuroCACS Conference scheduled to take place in Munich, Germany on 10-12 September 2012. Worldwide winners will be announced shortly.

Again, congratulations on a job very well done by your chapter board and your active members who have no doubt contributed significantly to this achievement.

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/117

Arvutikaitse trendid 2012-2013

hillarp — Tue, 03 Jan 2012 21:25:45 +0000

Ennustamine on üks tänamatu, samas aga hästi popp tegevus. Minu juures küll eriti mitte, sest viimati tegin ma uue aasta ennustuse 2009...2010 kohta arvutikaitse.ee-s. Kahetsusega tuleb nentida, et kõik need ennustused on ka täide läinud.

Teen siis siinkohal uue ette vaatava analüüsi ja loodan, et seekord need ennustused täide ei lähe. Lühitalt kokku võttes - minu arvates mööduvad järgmised paar aatsat viletsa juhtimise, pilveraalinduse ja SCADA-de ajastu tähe all.

Vead juhtimises
Viimase viieteist aasta jooksul on olnud trend, et juhtideks saavad inimesed, kes sisulistest protsessidest mitte midagi ei tea (ega ole ka suutelised neid juhtima). Et näidata oma "efektiivsust", hakkavad nad otsuseid tegema puhtalt rahanumbritele tuginedes. Tulemusena saadakse küll odav (ja lühikeses perspektiivis kasumit tootev), kuid täiesti töökõlbmatu asi. Teisiti öeldes raha ja väärtuse suhe on täiesti paigast ära, kuna juhid ei adu, mis tegelikkuses on väärtus.

Sellel teemal on tehtud ka üks teadusuuring, mille tulemus ühe lausega kokkuvõetult oleks: "Mida suurem on ettevõtte kasum, seda suurem on tõenäosus, et seal miski jama juhtub". Iseenesest loogiline - suur kasum peab millegi arvelt tulema ja kõige lihtsam on kokku hoida riskihalduse ning turvameetmete pealt.

Sellega seonduvalt tulenevad ka järgmised kaks probleemaatilist kohta.

Pilved
Arvestades, et pilveraalindus võimaldab esimese hooga kuni pool IT-eelarvest kokku hoida, on igat liiki juhtide ja juhikeste soov sinnapoole ka pressida. Seda enam, et pilved on "suur innovatsioon"

Kahjuks tehakse seda just nimelt riskihalduse arvelt ning tulemuseks on kõikvõimalikud jamad nagu on kirjeldatud näiteks siin või siin.

Kuna pilvedes on arvutusvõimsus suhteliselt odav, pressivad sinna ka kõikvõimalikud küberkurjamid. Eesmärgiks on paroolide ja CAPTCHA-de arvutamine.

SCADA
Alustuseks ütlen kohe, et mina isiklikult teen rangelt vahet (tõenäoliselt professionaalsest kretinismist - ma nimelt õppisin kunagi automaatikuks) ICS-il, SCADA-l ja PLC-l ja väiksemast suurema poole:
PLC (Programmable Logical Controller) - programmeeritav kontroller on täiturmehhanism, mis teeb midagi vastavalt etteantud parameetritele. Kõige lihtsam PLC on näiteks radiaatori küljes olev termoregulaator.
SCADA (Supervisory Control And Data Acquisition) - Andmete hankimise ja kuvamise süsteem (enamasti sisaldab ka mingit kontrollerit). Kõige lihtsam selline asi on näiteks automaatne kiirusehoidja.
ICS (Industrial Control Systems) - On juba üsna keerukad süsteemid, mis sisaldavad nii kontrollereid, kui ka andmete hankimise ja nende kuvamise elemente. Kõige tuttavam ja lihtsam näide oleks vast auto juhtimine.

Aga SCADA-dest ja nende probleemidest natuke lähemalt. Nimelt pärinevad esimesed neist 18 sajandi lõpust - 19 sajandi algusest ja tundub, et samast ajast pärineb ka nende inseneride mõtteviis - ma pole siiamaani näinud ühtegi tööstusautomaatika riistapuud, mis oleks spetsiaalselt disainitud võrgus töötamiseks. Kõik nad põhinevad sellel samal ülemöödunud sajandi tõdedel ja siis on neile hädapärast mingi võrguliides külge aretatud.

Selle võrguliidese külge ehitatakse esialgu mingi mugavusfunktsioon (näiteks temperatuuri kauglugemine). Kusjuures IT-juht ütlebki, et tegemist on mugavusfunktsiooniga. Kuid läheb aeg natuke edasi ja selgub, et juhil on nüüd vaja oma efektiivsust näidata. Tulemus: lahti lastakse kolm inseneri ja jubin, mis algselt oli planeeritud mugavusfunktsioonina võetakse päristöös päris asja tegemiseks kasutusse. Juhul, kui IT-juht sllele teemal protestima hakkab, lastakse ka tema lahti.

Kui nüüd toimub mingi jama, siis läheb selline "efektiivne" juht uude kohta ja hakkab seal neid samu lollusi tegema (sest juhid ei eksi kunagi)

Näiteid pole vaja kaugelt otsida - mõned head aastad tagasi avati Eestis üks uus ja automaatikat täis maja ning... välisvõrgus olid lahti tema tuletõrjesigna, videovalve ja konditsioneeride juhtsüsteemid (nüüd enam õnneks mitte).

Paljud juhid on automaatika nõrkustest aru saanud ning automaatika juhtimiseks on ehitatud eraldi võrk, mis on välisvõrgust täielikult eraldatud. Kuid... selles sisevõrgus käivad masinad, mis käivad ka välisvõrgus ning toovad sealt kaasa igasuguseid asju. Kõige kuulsam selles osas on vast STUXNET, kuid läbi aegade on niivisi sisse tassitud igasugust saasta.

Mis edasi
Ok, pilvi ja SCADA-sid rünnatakse ja juhid ei saa aru, et viga on neis ning vahetavad IT-personali, kes ei suuda olematute ressurssidega äripoole jaoks vajalikku taset hoida... Mis edasi?

Edasi on kaks võimalikku teed - ettevõte kaob või tekib juht, kes saab tehtud vigadest aru ning üritab neid tagasi pöörata. Samas võib juba ette öelda, et see tee ei saa olema kerge ning tõenäoliselt läheb õige mitu aastat, enne kui asjad jälle normaalseks muutuvad.

Kõige lihtsam oleks muidugi sellistest jamadest hoiduda. Seetõttu oleks kasulik, kui äripool paneb paika oma vajadused ning tehnikapool ütleb, mis nende vajaduste realiseerimiseks teha on vaja. Vajadusel on olemas välised (sõltumatud) konsultandid, kes aitavad asju õigesse järjekorda ajada.

Välismäluks:
http://elektritelegraaf.wordpress.com/2011/07/20/30-kusimust-pilvandmeto... annab põhja alla, ehkki ma mõnede küsimustega päris nõus ei ole
Guide to Supervisory Control and Data Acquisition (SCADA) and Industrial Control Systems Security

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/116

Akademy 2012

hillarp — Thu, 24 Nov 2011 11:09:37 +0000

KDE iga aastane tippkohtumine Akademy toimub see kord Eestis ning tehakse seda koos IT-kolledžiga. Ürituse veebileht asub http://akademy2012.kde.org/ ja seal on hetkel kirjas nii:

Akademy is the annual world summit of KDE, one of the largest Free Software communities in the world. Akademy features a 2-day conference with presentations on the latest KDE developments, followed by 5 days of coding sessions and workshops. Attendees include key desktop and platform technical contributors, free and open source industry leaders, government officials, and educators.

Akademy 2012 will take place in Tallinn in cooperation with the Estonian IT College.

EDIT TO ADD: Asjakohane intervjuu Laur Mõtusega

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/115

Kuidas ISKE auditis loosida kontrollitavaid mooduleid

hillarp — Wed, 16 Nov 2011 13:22:20 +0000

Vastavalt ISKE auditi juhendile tuleb ISKE auditi puhul kontrollida:

"6.1.1. Kõigi B1.0 moodulisse kuuluvate turvameetmete rakendamist;
6.1.2. Täiendavalt eelnevale audiitori poolt mooduligruppidest B1, B2, B3, B4, B5 valitud rakendamisele kuuluvate moodulite ja neis sisalduvate rakendamisele kuuluvate turvameetmete rakendamist. Igast nimetatud mooduligrupist valitakse kaks moodulit. Moodulid valitakse juhusliku valimi meetodit kasutades. Juhusliku valimi koostamise juures peaks viibima tellija esindaja. Kui valiku tegemise juures Tellija esindajat ei olnud, tuleb vastav märge teha auditi lõppraportisse. Kokku valitakse sel meetodil täiendavalt kümme moodulit;

Tegin punktis 6.1.2 nõutud loosimise jaoks kahe funktsiooniga Open Document tabeli (vaata allpool). Esimene funktsioon loosib igast grupist välja mooduli ja teine kirjutab selle mooduli numbri ja nime.

Hetkel on seal üks häda: puudub kontroll, kas sama moodul on korra juba välja loositud. See on küll juhendis workaroundiga lahendatud, kuid kui kellelgi on aega ja tahtmist nikerdada, siis oleksin elegantse lahenduse eest tänulik.

Trackback URL for this post:

http://karulaas.homelinux.org/trackback/114

Attachment	Size
MooduliteLoosimine_algne.ods	15.69 KB