Simon the Sorcerer Amstrad-kaksikko Vectrexiä Suomesta TIETOKONEKULTTUURIN ERIKOISLEHTI 13. F I 1 1 , 9 € LIITTEENÄ PELILEHTI Koti, QR-koodit ja tiedostot TURVALLISEMMIKSI Gazan sota SOMESSA 20 vuotta THE SIMSIÄ A600GS – pieni peli-Amiga 2 2 5 .4 TEKOÄLY Skrollissa MESHTASTIC – pienen piirin radioverkko Suomalainen AVARUUSTEKNOLOGIA. VUOSIKERTA 2025.4 S K R O L L I
Lähtökohtamme on edelleen, että julkaisemme kaikki avustukset, joista saadaan aikaan ehjiä artikkeleita joko avustajan omana työnä tai vastuutoimittajan avustuksella. Alkuvuodesta laitamme toki vielä sähköpostilla muistutuksia, mutta ne tahtovat joskus kadota filttereihin. Tämä ei ole omissa kirjoissani epäonnistuminen tai merkki laiskuudesta vaan perin erinomainen tilanne. Näin ollen olen todella tyytyväinen näistä huippuluokan avustuksista, joita olemme tähän numeroon saaneet (ja osan siirtäneet seuraavaankin vielä), ja ylpeä jälleen kerran toimituksesta, jossa on tehty pyyteetöntä työtä lehden toimittamiseksi tunteja laskematta. Kun toimituksella on käytettävissään paljon tekstejä, voimme valikoida niistä temaattisia kokonaisuuksia ja tuottaa kaikille uudenlaisia lukuelämyksiä – ja kun tiettyyn aiheeseen paneutunut harrastaja kirjoittaa lähellä sydäntään olevasta asiasta, ovat lähtökohdat timanttiselle tarinalle parhaimmillaan. Ensinnäkin meillä oli tähän numeroon niin monta hyvää juttua, että siirsimme niistä monia ensi vuoden ykkösnumeroon, ja saimme tämän myötä sekä tähän että seuraavaan Skrolliin selkeät teemat. Kauppinen, Tea Kauppinen, Ronja Koistinen, Valhe Kouneli, Miia Oinonen, Mikko Rasa, Tommi Uschanov, Susanna Viljanmaa Miika Auvinen, Onnimanni Hannonen, Heruraha, Jari Jalonen, Emilia Kokko, Jarno Kotavuopio, Marko Latvanen, JJ Nääs, Jenna Peltonen, Leena Pokela, Harri Pölönen, Violet Procyon, psenough, Ville Ranki, Miha Rinne, Kimmo Rinta-Pollari, Tuomo Ryynänen, Petri Saarikoski, Tilde "vurpo" Sandholm, Jalmari Seppälä, Jari Sihvola, Matilda Smeds, Antti Virtanen, Solja Vuoriranta, Kukka-Maaria Wessman Manu Pärssinen Mikko Heinonen päätoimittaja T ässä Skrolllin numerossa allekirjoittaneen nimi löytyy tämän pääkirjoituksen lisäksi vain yhdestä artikkelista – Ei näin! -kolumnini on ilmestynyt jokaisessa Skrollin numerossa (sitä maineikasta Assy-spessua lukuun ottamatta), eikä sarja katkea nytkään. SKROLLI – Tietokonekulttuurin erikoislehti PÄÄKIRJOITUS Lähes optimaalinen suoritus Tilaukset Yhteydenotot Lukijakanavat Mediamyynti Kotisivut Päätoimittaja Toimituspäällikkö, taitto Digipäällikkö Kuvatoimittaja Talous Julkaisija Painopaikka tilaaskrolli.fi toimitus@skrolli.fi skrolli.fi/lukijakanavat myynti@skrolli.fi skrolli.fi Mikko Heinonen Manu Pärssinen Toni Kuokkanen Mitol Meerna Anssi Kolehmainen Skrolli ry Grano Oy, Vaasa ISSN 2323-8992 (painettu) ISSN 2323-900X (verkkojulkaisu) Toimittajat Tämän numeron avustajat Kansikuva ja sisuskuvitus Jarno N. Ensi vuoden lehdet ovat nyt tilattavissa osoitteessa tilaaskrolli.fi. Tällaista tilannetta on lehden historiassa ollut aniharvoin, ja paljon useammin numerot on koostettu siitä, mitä on ollut saatavissa. Pyrin avaamaan teille Skrollin ystäville sitä, että lehdestä tulee teidän näköisenne; jos haluatte juttua jostain aiheesta, tarjotkaa sitä rohkeasti toimitukseen. Muilta osin tekstit ovat tällä kertaa muiden kynästä, Retro Rewindin puolelle sentään kirjoittelin vähän tarinaa. 4041 0955 PEFC/02-31-201 PEFC-sertifioitu Tähän tuotteeseen käytetty puu on kestävästi hoidetuista metsistä www.pefc.fi 2025.4 2. Alanko, Jari Jaanto, Tapani Joelsson, Heikki Jungman, Jukka O. Lyön vetoa, ettette arvaa ensi vuoden tarinan käsikirjoittajan nimeä. Skrollissa vuodesta 2016 alkaen julkaistu Turrikaanien yö tulee päätökseensä tässä numerossa – tämän sarjiksen tarinat on nyt kerrottu ja on uusien tuulien aika. Rauhallista joulunaikaa koko Skrolli-yhteisölle, ensi vuonna vedetään taas! P.S. Omat juttuprojektini väistävät ilomielin tällaisen positiivisen aallon tieltä. Tilaukset eivät meillä jatku automaattisesti, joten käy klikkailemassa itsellesi vuosikerta 2026 jo nyt. Oman tekstin näkeminen paperilla on edelleen palkinto sinällään, aivan kuten se on ollut itselleni vuodesta 2013, mutta vielä suurempi palkinto on, kun onnistuu innostamaan muita osallistumaan ja tekemään yhteistä projektia. P.P.S. Toisekseen, kun otin Skrollista pääasiallisen vetovastuun vuoden 2024 alussa, ensisijainen tavoitteeni oli lisätä osallisuuden tunnetta lukijoiden keskuudessa. Ei silti huolta, sillä maestro JJ Nääs jatkaa sarjisten tekoa, aihe vain vaihtuu. Tämä tilanne ei kuitenkaan tarkoita sitä, että juttujen tarjoaminen pitäisi lopettaa, vaan päinvastoin sitä tulee jatkaa vähintään yhtä innokkaasti
8 Salaisuuksien säiliö VeraCryptillä askel kohti tietoturvallisempaa arkea. 82 JOKin pelipalsta Tuplatikkupelien taivaassa. 52 Kone vanhoille PC-peleille Parin euron Fujitsu Lifebook B110 pelikuntoon. 92 Skrolli Party + Kuopio pelaa Raporttikaksikko syksyn tapahtumista. 88 Vuosi hakkerin matkassa Nörttitapahtumasta toiseen. 86 Demoskeneraportti syksy 2025 Syksyn demosatoa. 16 Gazan sota somessa TikTok aktivismin alustana. 98 Postipalsta Oikaisuja ja palautetta. 12 Kuinka turvata QR-koodi Vilkuiletko olan yli lippuja availlessa. 72 Sharp MZ-821 Japanimikron kaksoiselämä Itä-Euroopassa. 80 Not enough space on disk JOK muistelee levyjen tuplausta. 74 PlayStation Nintendo Ellei rahat riitä, tehdään oma. 36 Pienen piirin verkko Meshtastic-verkossa tieto liikkuu vapaasti ilmojen halki. 46 C64-pelikenttä tamppaajalle Pelintekoa tuoreilla työkaluilla ja vanhoilla taidoilla. 66 1800-luvulta kasarille Minne mennä peliostoksille vuoden 1879 Helsingissä. 20 Tekoäly ja Skrolli Tutkija syventyi lehtemme tekoälykirjoituksiin. 2 Pääkirjoitus 4 Kodin suojaaminen Onko valvontakamera turvallinen hankinta. 28 Eräänlainen moderni Amiga Edullinen ja kätevän kokoinen A600GS. VeraCryptillä tiedostojen turvaamisesta on asiaa sivulta 8 alkaen ja QR-koodien turvallisuudesta kertova artikkeli löytyy sivulta 12. 32 Yhden piirilevyn tietokoneet Miten pikkukoneiden kernel toimii. 97 Skrolli-kalenteri Tekemistä ja kokemista vuoden vaihteeseen. 31 Kirja-arvio Aura Siltalan Kyborgikesässä teknorunollista omakuvaa. 101 – 131 Retro Rewind Videopelilehti Skrollin liitteenä.. 94 Retroaskartelua Sakset ja liima esiin, nyt kootaan pikseleitä. 62 Muistokirjoitus Petsku, pelialan varjoihin jäänyt veteraani. 54 Atari-aikakirjat osa 6 Nuo mystiset nollakolmekymppiset. 42 Avaruuden torille! Suomessa tehdään avaruusteknologiaa. 70 Ei näin! Mites vaikeaa se tämäkään voi olla. 40 Johdatus sivukanavaiskuihin Hyvä hakkeri seuraa aikaansa. 2025.4 Kodin suojaamisesta kerrotaan heti alkaen seuraavalta aukeamalta. 76 Hartaasti rakennettu naapurusto 20 vuotta samaa Simsiä. 39 Hyvät hakkerit Linus Nymanin hakkeritarinat Suomesta ja maailmalta. 84 Sarjakuva Turrikaanien yö päättyy uran muisteluun
Alan toimijat puolestaan mainostavat jatkuvasti keskukseen kytkettyä hälytysjärjestelmää ja kameravalvontaa, joka lähettää vartijan paikalle kumit savuten, jos kameroissa näkyy hämärämiehiä. Tosin joistakin uutisista päätellen luottamus ei ole aina ollut ansaittua, koska valvontakamerakuvia on katseltu vartijakeskuksessa ihan omasta mielenkiinnosta, vaikka mitään hälytystilannetta ei ollutkaan. Älylaitteiden hyödyt Älylaitteet mahdollistavat toteutuksesta riippuen monenlaisia toimintoja, eivätkä nämä kaikki liity pelkästään turvallisuuteen. Hinnatkin ovat tulleet alaspäin siten, että kotikäyttöön riittävän laitteiston hankintabudjetti on joitakin satoja euroja. Järjestelmät voivat olla myös integroituna siten, että kamera asetetaan hälytysmoodiin, ja erillistä rikosilmoitinjärjestelmää ei ole. Näin, vaikka kodissani ei säilytetä esimerkiksi aseita, jotka voisivat kiinnostaa varkaita. Kotinsa suojaamista pohtivalle onkin tarjolla useita vaihtoehtoja. Hälytyslaitteet ja turvakamerat antavat tietoa asiattomasta tunkeutujasta sekä ennen fyysisen suojan murtumista että sen jo petettyä. Näitä ovat esimerkiksi Teksti ja kuvat: Antti Virtanen kameroiden valinta, päätökset siitä minne kuvat tallennetaan, onko kameraan tarve päästä käsiksi etänä, mahdollisesti tarvittavat palvelimen asennus sekä päivitykset, ja viime vaiheessa myös hälytyksiin vastaamisesta joutuu huolehtimaan itse. Tällainen palvelu on helppo hankkia, koska kuukausimaksun säntillinen maksaminen ja luotto palvelun toimittajaan riittävät. Toki jo pelkät tarrat ja kamerapömpelin punainen LED ovat voineet ajaa vähemmän päättäväiset tunkeutujat tiehensä. Classic on edelleen aivan toimiva lukko, jota satunnainen murtovaras ei helposti tiirikoi. Älylukko ja avaintagit tai puhelimella toimiva ovenavaus ovat kotikäytössä lähinnä käyttömukavuutta lisääviä asioita. Mikä on uhkamallisi, ja mitä vaihtoehtoja löytyy. Järjestelmät voi asentaa ja hankkia myös itse, eikä se vaadi suurta teknistä osaamista, mutta tällöin luonnollisesti joutuu itse huolehtimaan järjestelmän eri osa-alueista. Riittääkö se. Satunnainen kulkija pysyy yleensä loitolla jo sillä, että pihalla ei ole arvokasta polkupyörää, ovet ovat lukossa ja portin pielessä on kameravalvonnasta kertova tarra. Samoin kuin oven avaaminen etänä avaimensa unohtaneelle jälkikasvulle on kätevää, ja hiukan turvallistakin, kun vara-avainta ei ole tarvinnut kätkeä kuistilla olevan kukkapurkin alle. Oman mielenrauhani ja mielenkiintoni vuoksi olen hankkinut myös hälytysjärjestelmän ja asentanut kameravalvonnan. TIETOTURVA 2025.4 4. Kodin suojausta rakennettaessa on ensin syytä pohtia uhkamalli, eli mitä ja miltä suojataan sekä millaisiin uhkiin varaudutaan. Samalla lisäten myös yhden laitteen kriittisyyttä järjestelmän kokonaistoimivuuden kannalta. Palvelun hankinnassa kannattaa siis katsoa muitakin tekijöitä kuin kuukausihintaa. Palaamme näihin riskeihin myöhemmin. Varsinaista turvallisuushyötyä kotikäytössä ei kuitenkaan välttämättä synny verrattuna kunnolliseen mekaaniseen lukitukseen, kuten hetken päästä voimme todeta. Tämä lisää hankinnan ja käytön vaivattomuutta. Kameroilla voi myös helposti tarkastaa mitä lemmikki tekee, kun olet poissa kotoa tai sujuvatko lasten kotibileet sovituissa merkeissä, ilman että käyt paikan päällä tarkastamassa. Artikkelin katsaus keskittyy valvontakameroihin esitellen näihin liittyviä riskejä ja niiden arviointia myös teknisestä näkökulmasta. Satunnaisempien yrittäjien mielenkiintoon vaikuttavat monet tekijät, kuten se, onko vaarana silminnäkijä matalan aidan toisella puolella, tai näkyykö suurista ikkunoista jo kadulta saakka että arvokasta irtainta on tarjolla. Mutta kuluttajille myydään nykyään sen tilalle tai jatkeeksi monenlaisia älylukkoja, valvontakameroita ja hälytysjärjestelmiä. Kodin suojaaminen moderneilla digijärjestelmillä Perinteisesti suomalaisissa kodeissa on ollut ovessa Abloy Classic -lukko, eikä juuri muuta suojausta. Selkeä jaottelu menee ostetun palvelun ja itse toteutetun ratkaisun välissä. Joka tapauksessa satunnainen murtovaras ei tiirikoi tai hakkeroi mitään vaan tulee sisään rikkomalla lasin ovesta tai ikkunasta
Teknisen tietoturvan varmistaminen Itse rakennettu järjestelmä ei ole ongelmaton, ja vastuukysymys on selkeämpi kuin palveluna hankitussa järjestelmässä. Pilvipalveluiden riskit sisältävät digipalvelun elinkaaren riskit, sekä riskit tietoturvahaavoittuvuuksista ja tietomurroista. Kaikki järjestelmät voivat toimia väärin eri syistä, joten erityisesti etäohjattavien lämmitysten, kameroiden, lukkojen ynnä muiden kriittisten järjestelmien kohdalla pitää arvioida mitä seurauksia niiden fyysisellä rikkoutumisella tai tietomurrolla voi olla. Älylaitteiden riskit Älylaitteet eivät ole vailla riskejä. Mutta tyypillisesti vähemmän nimekkäiden valmistajien tietoturvaa kannattaa aivan aiheellisesti epäillä. Varsinkin tällöin on syytä hoitaa tietoturvan teknisen varmistamisen eri osa-alueet kuntoon, mutta myös palveluna hankitun järjestelmän osalta voidaan soveltaa samoja keinoja. Kamerakuvaan ei välttämättä pääse käsiksi, jos kodin verkkoyhteys pettää. Äly itsessään vaatii laitteilta monimutkaisempaa rakennetta kuin perinteisissä ratkaisuissa on, joten elinkaaririski on erilainen. Aivan köykäisimmät reitittimet eivät tätä järkevästi mahdollista, mutta noin sadalla eurolla saa esimerkiksi Ubiquitin reitittimen, joka tekee virtuaalilähiverkoiksi jakamisen (VLAN-segmentoinnin) helpoksi. Monet laitevalmistajat mahdollistavat laitteidensa etähallinnan, jota varten laite tulee rekisteröidä oikealle omistajalle. Kuten muihinkin tietoteknisiin laitteisiin, tulee myös turvalaitteisiin ajaa tuoreimmat valmistajan tietoturvapäivitykset laitetta asennettaessa, ja sen jälkeen säännöllisesti. Omasta kotiverkosta ulospäin näkyvien palveluiden tarkastamiseen käteviä työkaluja ovat esimerkiksi Shodan ja Censys, joista voi nähdä mitä oman IP-osoitteen takaa paljastuu ulkopuolisille. Ilman päivityksiä tunnetut, ja hyökkääjien vasta löytämät haavoittuvuudet mahdollistavat laitteidesi haltuunoton. Jos kodin kameran tietoturva esimerkiksi pettää, joku voi katsella ja kuunnella salaa kodin tapahtumia. Ovatko nämä merkittäviä ongelmia. Edistyneempää harrastamista laitteiden tietoturvan tutkimisessa on tutkia teknisesti erilaisia lait5. Pahimmillaan rekisteröintiin riittää laitteen pohjasta löytyvä sarjanumero, jolloin pelkkä kuva laitteesta voi riittää sen kaappaamiseen rekisteröimällä se hyökkääjälle, joka tekeytyy omistajaksi. Tämä ei sinänsä ole este hankinnalle, mutta ostajan on hyvä tiedostaa, että kustannuksia ja järjestelmän uusimisia on luvassa enemmän kuin mekaanisten ja perinteisten järjestelmien kanssa. Kamera voidaan myös kytkeä pois päältä, jos sen on tarkoitus toimia hälytysjärjestelmänä. Tähän pohdintaan ei ole yhtä oikeaa vastausta, mutta otettavat riskit on syytä tunnistaa etukäteen. Vakuutusyhtiön kanta korvaustilanteessa voi olla nihkeä, ellei pysty aukottomasti osoittamaan, että tapahtumat johtuivat tietomurrosta ja käyttäjä on toiminut ehdottoman huolellisesti. Tietoturvariskit ovat merkittävä osa pohdintaa, joka kannattaa suorittaa ennen järjestelmän ostamista ja kodin kriittisten asioiden luottamista sen varaan. Laitteiden tutkiminen teknisesti Älylaitteita on saatavilta hyvin erilaisilta valmistajilta. Myös oman kodin sisällä kannattaa verkko rajata siten, että satunnaiselta kodin vierailijaverkkoon kytketyltä laitteelta ei pääse turvalaitteisiin käsiksi. Tosin kuten seuraavassa osiossa pääsemme näkemään, tämäkään ei aina auta. Älylaite sen sijaan vaatii sähköä, elektroniikan komponentteja, ohjelmistoa ja verkkoyhteyksiä. Joten, älä ainakaan jaa kuvia laitteistasi, äläkä myöskään jätä vakiosalasanoja käyttöön. Niiden resurssit ovat eri tasoa kuin suurempien, eikä vaikkapa päivityksiä ole välttämättä tarjolla sen jälkeen, kun laite on linjalta pakettiin saatu. Valmistajan koko ei välttämättä tarjoaa suojaa, tunnettujen valmistajien tietoturvastakin on löytynyt puutteita. Vastuussa olet sinä itse, kuten nimi jo kertookin. Päivityksien lisäksi kannattaa sulkea myös pääsy yrittämään haavoittuvuuksien hyötykäyttöä. Riippuu kameran sijoittelusta ja siitä, mitä kodissa tapahtuu ja missä määrin kodin turvallisuus perustuu kameraan. Palomuuraus ja verkon segmentointi ovat tärkeä osa tietoturvaa, kun kotiin hankitaan tekniikkaa. Fyysinen lukko kestää mekaanisesti kymmeniä vuosia ilman ongelmia, kunhan sen huoltaa silloin tällöin öljyämällä. Laitteen rekisteröinti pilvipalveluun on vähemmän ilmeinen uhka. Mitä vanhemmista haavoittuvuuksista on kyse, sitä enemmän vaadittu taitotaso laskee koska tällaiset ongelmat ovat kaikkien tiedossa. Omat kamerat ja laitteet tulee ehdottomasti eristää ulkoverkosta saapuvalta liikenteeltä, jotta laitteet ovat etäältä tapahtuvien vaikuttamiskeinojen kannalta mahdollisimman tavoittamattomissa. Mikäli hyökkääjä pääsee käsiksi hälytyslaitteita tai lukkoja ohjaavaan pilvipalveluun, hän voi sammuttaa hälytyslaitteet ja pahimmillaan myös etäohjata lukot auki. Digitaaliseen pilvipalveluun tai mobiilisovellukseen pohjautuvassa järjestelmässä valmistaja saattaa mennä konkurssiin tai muuten vain lopettaa tuotteen tukemisen, kun se ei enää tuota riittävästi rahaa. Kannattaa siis miettiä tarkkaan mitä on tekemässä, mihin oma osaaminen ja vaivannäkö riittävät. On pieniä yrityksiä, joista ei ole kuultu verkon kauppapaikan hakutulosten ulkopuolella, ja on suuria tunnettuja valmistajia, jotka valmistavat laitteita niin kotiin kuin valtiollisille toimijoille. Palveluna hankittu ratkaisu tuo mukanaan omat potentiaaliset ongelmansa. Joitakin vuosia sitten Hikvisionin kameroista esimerkiksi paljastui kovakoodattu admin-salasana. Luottaisitko siihen, että mobiilisovellusta ja pilvirajapintaa on tarjolla ostamallesi tuotteelle myös kahdenkymmenen – tai edes viiden – vuoden päästä, jos sen myynti lopetetaan tänä vuonna
Mikäli kameraa ei käyttökohteessa ole palomuurilla asianmukaisesti eristetty, tämä on ammottava tietoturvareikä, josta vähemmän tekninen käyttäjä ei edes tiedä mitään. Seuraavan sivun kuvissa esitetään erään kameran firmwaren kaivamista fyysisellä hyökkäyksellä. Tarkemmat yksityiskohdat eivät mahdu tähän artikkeliin, mutta käytettyjä menetelmiä ovat esimerkiksi seuraavat: • Laitteeseen jätetyn UARTportin käyttäminen, kun laite käynnistyy. Erityisesti kameroista kannattaa lisäksi tutkia myös UDPportit, näitä käytetään muun muassa videokuvan siirtoon ja verkon laitteiden löytämiseen. Mitä palveluita laitteen porteissa tarkalleen pyörii. Veikkaan, että sama avain toimii kaikkiin saman valmistajan kameroihin, ja siten edes selainkäyttöliittymän käyttäjän salasanan vaihtaminen ei suojaisi laitetta lähiverkossa olevalta tunkeutujalta! Laitteen valmistaja on varmasti tietoinen tästä takaovesta, mutta kohteliaasti ei halua suotta huolestuttaa käyttäjiä. Wireshark mahdollistaa verkkoliikenteen tarkkailun ja tallentamisen. nmap -v -sC -sV -p 1-65535 192.168.1.3 antaa tarkempaa käsitystä laitteen palveluista skannaamalla kaikki avoimena olevat portit TCP-protokollan kautta ja testaamalla niistä löytyvien palveluiden versiot. Kerrotaanko ohjekirjassa kaikki olennainen laitteesta. Kamera toteuttaa selainkäyttöliittymän toiminnot cgi-bin-skriptillä, jolle liikenne menee HTTPprotokollan yli salaamattomana, ja auktorisointi kaikille toiminnoille käyttää kovakoodattua avainta. Kenen valmistama tämä tilaajalahjana saatu kamera siis oikeastaan onkaan. Näin pystyin hallitsemaan sitä, mitä verkossa liikkuu ja missä siellä, sekä tarkkailemaan tätä liikennettä ilman ylimääräisiä häiriöitä. Esimerkiksi laitteen käynnistyessä monet IoT-laitteet soittavat kotiin valmistajan pilvipalveluun. Tässä tapauksessa lähiverkon reititin on antanut sille osoitteen 192.168.1.3. Tässä yhteydessä ne saattavat välittää hyvinkin yllättäviä tietoja ja mahdollistaa laitteiden haltuunoton, jos lähiverkossa on vihamielinen tunkeutuja. Firmwaren kautta voidaan etsiä helpommin sellaisia tietoturvahaavoittuvuuksia ja piilotettuja takaovia, joita ei löydetä verkkoliikennettä eikä tarjolla olevia palveluita ulkoa kaivamalla. Menee kuin elokuvissa! Ylläpitokäyttöliittymästä voisi lisätä uusia käyttäjätunnuksia ja ohjata kameran kaikkia toimintoja. Tästä on esimerkkinä seuraavaksi kameran tutkiminen, mutta samanlaisia menetelmiä ja työkaluja voidaan soveltaa hälytysjärjestelmään, älylukkoihin ja muihin IoTlaitteisiin. Purkuavaimen kuitenkin on oltava laitteen sisällä, jotta firmwarea voitaisiin käyttää. Tuya itsessään on vakiintunut toimija, joka tarjoaa pilvipalvelualustaa erilaisten IoT-laitteiden hallintaan. Mobiilisovelluksen lisäksi laitteessa onkin yllättäen ylläpitoa varten selainpohjainen käyttöliittymä. Mukana saapunut ohjekirja kertoi hyvin lyhyesti, kuinka sitä konfiguroidaan ja hallitaan kiinalaisen Tuya-mobiilisovelluksen kautta. Se valmistaa laitteita itsekin, mutta sen alustan kautta voidaan hallita myös muita yhteensopivia laitteita. • Väyläliikenteen tutkiminen ja purkaminen Kuvassa nähtävä valvontakamera tuli minulle erään lehden tilaajalahjana. Mutta pienen arvailun ja Googlehaun jälkeen kirjautuminen ylläpitäjänä onnistui tunnuksella admin ja salasanalla 123456. • IC-piirien ja muistipiirien dumppaus suoraan piiriltä ohittamalla laitteen normaali käynnistys. Fyysinen tutkimus IoT-laitteiden tutkimuksessa halutaan yleensä päästä käsiksi laitteessa pyörivään koodiin, firmwareen. Burpin kautta HTML-liikenne avautuu yksityiskohtaisesti, ja on mahdollista kokeilla miten järjestelmä toimii jos liikennettä muokataan. • Firmware-päivityksen ajaminen väkisin alaspäin aiempaan versioon, jossa on tunnettu tietoturvahaavoittuvuus, jonka kautta pystytään tunkeutumaan ja tutkimaan uudempia päivitysversioita. Parhaimmillaan UART-konsolista saa suoraan root-oikeudet laitteeseen. Toinen erittäin mielenkiintoinen havainto näkyy Burp Suitessa. Komennolla nmap -v 192.168.1.255/24 selvittää nopeasti, missä ip-osoitteessa kamera sijaitsee samassa verkossa. Tutkimista varten pystytin paikallisen internetistä eristetyn lähiverkon, jossa oli pelkästään kamera ja Kali Linuxia ajava kannettava tietokone. Ohjekirja ei mainitse tätä, eikä tunnuksia siitä löydy. Verkkoliikenteen analysointiin on monia työkaluja, mutta eräs työkalupakin perustyökaluis2025.4 6. Tämän peruskomennon lisäksi voi käyttää myös muita tietoturvatyökaluja. Näin voidaan selvittää niiden ongelmia ja heikkouksia, ja samalla oppia paljon uutta niin ohjelmistoista kuin elektroniikastakin. Mahdollisia selainkäyttöliittymiä kannattaa tutkia Burp Suite -ohjelman kautta. Joten, sitä voidaan koettaa täältä kaivaa esiin. ta on nmap. teita. Suurin osa valmistajista on salannut firmware-paketit siten, että päivityspaketin voi ladata verkosta, mutta sitä ei saa purettua analyysia ja takaisinmallinnusta varten
Esimerkiksi salasanatarkistuksen tai muiden vastaavien suojauskeinojen ohittaminen häiritsemällä CPU:n syöttöjännitettä. Lyhyt muistilista tähän on siis: Tiedosta, miltä haluat suojautua. Mieti etukäteen mitä voi tapahtua, jos tietoturva pettää. Suosi tunnettujen valmistajien koeteltuja tuotteita, tai varaudu siihen, että reikiä on. Palomuuraa tärkeät järjestelmät irti internetistä ja lisäksi lähiverkon sisällä. Fyysinen tutkimus on vaativaa mutta opettavaista. Laitteiden tekninen tutkiminen on opettavaista ja hauskaa. Linkkejä IoT-laitteiden hakukoneita shodan.io | platform.censys.io Kali Linux, tekniseen tietoturvatutkimukseen suunniteltu Linux-jakelu kali.org Verkkoliikenteen analysaattoreita nmap.org | wireshark.org Web-sovellusten testaustyökalu portswigger.net/burp 7. Vastaavaa tutkimusta voidaan soveltaa muihinkin elektronisiin laitteisiin, joiden toimintaan haluaa syystä tai toisesta tutustua syvällisemmin. • Glitching-hyökkäykset, joissa pyritään häiritsemään koodin normaalia suorittamista. Yhteenvetona Mikä kotisi suojaamisratkaisu sitten onkaan, muista pohtia sen toteutusta laajemmin kuin ”ostanpa turvaa” -ajatuksen verran
AES-256 on laajasti hyväksytty standardi ja NIST:n (Yhdysvaltain standardointivirasto) suosittama algoritmi, jota pidetään erittäin turvallisena. Ohjelma tukee AES:ää (256-bittinen), Serpentiä ja Twofishia, joita voidaan hyödyntää joko erikseen tai ketjutettuina (esim. Tässä käytetään salasanan lisäksi esimerkiksi tiedostoa salauksen avaamiseksi.Tämän jälkeen valitaan tiedostojärjestelmä (filesystem). Tässä voidaan myös käyttää etukäteen luotua tiedostoa. Voidaankin sanoa, että se on yhtä aikaa sekä aikoinaan hyvin suositun TrueCryptin seuraaja että selkeä kehitysaskel eteenpäin. Piilotetun taltion luominen Käytännössä rakenne on seuraava: sinulla on yksi salattu säiliö (encrypted file container), jossa on niin sanottu ulompi taltio (outer volume), joka näyttää ihan normaalilta – ja sen sisällä on piilotettu taltio, jota kukaan ei voi todistaa olevan olemassa. Ohjelma pähkinänkuoressa VeraCryptin käyttöön liittyy kaksi käsitettä jotka on syytä selventää, ”säiliö” (container) ja ”taltio” (volume). Location-kohtaan laitetaan sijainti, johon säiliö halutaan aluksi laittaa, ja valitaan säiliölle nimi. Modernit prosessorit voivat kiihdyttää salausoperaatioita laitteistotasolla, ja VeraCrypt hyödyntää rinnakkaisja liukuhihnakäsittelyä taustalla pitääkseen lukuja kirjoitusnopeudet lähellä salaamattoman median suorituskykyä. Käytännössä AES-256 yksinään on riittävän turvallinen, koska se tarjoaa käytännössä murtamattoman suojan laajasti testatun, standardoidun rakenteensa ansiosta. Hiiren liikuttelu tuottaa käyttöjärjestelmän näkökulmasta hyvin vaikeasti 2025.4 8. Se on erittäin harvinaista mutta mahdollista. Voit myös valita salauksen kolmella eri algoritmilla peräkkäin eli niin sanotusti ketjuttaa salauksen, jos et luota yksittäiseen algoritmiin. VeraCrypt Windowsissa, Linuxissa, macOS:ssä sekä FreeBSD:ssä toimiva VeraCrypt on TrueCryptista haaroitettu salausohjelma. Ohjelma kykenee suojaamaan myös Windowsin järjestelmälevyä, ja salaus tapahtuu automaattisesti lennossa niin, että käyttö sujuu käyttäjältä vaivattomasti. Sattumanvarainen liikuttelu lisää satunnaisuutta eli entropiaa avaimen luomisessa. Jos taltioon on tarkoitus tallentaa yli neljän gigan kokoisia yksittäisiä tiedostoja, valitse NTFS, koska se on laajasti tuettu. Valitaan siis Create an encrypted file container ja sen jälkeen Hidden Veracrypt volume. Käyttöajatus on tämä: jos joudut tilanteeseen, jossa joku pakottaa sinut paljastamaan salasanan (esimerkiksi rajatarkastus tai muu painostus), voit antaa ulomman taltion salasanan (outer volume password) ja näyttää sen sisältämän harmittoman datan. VeraCrypt ei kuitenkaan ole vain TrueCryptin korvike, vaan sen selkeästi paranneltu jatkoversio. Tämä tarjoaa niin sanotun uskottavan kiistettävyyden, jos käyttäjää esimerkiksi painostetaan luovuttamaan salasanansa. Ohjelmassa on paikattu aiempia haavoittuvuuksia, vahvistettu suojaustasoja ja tuotu mukaan uusia ominaisuuksia. Lisäksi VeraCrypt käyttää tehokkaita avainten johtamismenetelmiä (key derivation), kuten PBKDF2:ta sekä SHA-512ja Whirlpool-funktioita. Entropia tarkoittaa käytännössä satunnaisuuden määrää: mitä enemmän satunnaista dataa avainta luodessa on, sitä vaikeammin ennustettavissa avain on. Kun taltion koko on valittu, päästään syöttämään salasana uloimmalle taltiolle. Näistä säiliö tarkoittaa tiedostoa, joka sisältää yhden tai useamman salatun taltion. Tämän jälkeen päästään valitsemaan halutut algoritmit. AES–Serpent–Twofish) entistä vahvemman suojan saavuttamiseksi. Salasanan lisäksi voit ottaa käyttöön myös avaintiedoston (keyfile) lisäsuojaksi. Teksti ja kuvat: Heruraha Salauksen tekniikka VeraCryptin keskeinen vahvuus on sen käyttämissä salausalgoritmeissa. Kun algoritmit on valittu, päästään valitsemaan taltion koko. Ne hidastavat olennaisesti brute force -hyökkäyksiä ja sanakirjahyökkäyksiä – olettaen tietenkin, että käyttäjä valitsee riittävän vahvan salasanan.VeraCryptin ominaisuuksiin kuuluu myös piilotettu taltio (hidden volume), joka mahdollistaa kahden salasanan käytön: näkyvälle, vähemmän tärkeälle sisällölle ja erikseen todelliselle salaiselle sisällölle. Tämä lisää suojaa, mutta haittapuolena on suorituskyvyn laskeminen ja virheiden mahdollisuus, jos tulee yhteensopivuusrajoja muiden työkalujen kanssa. VeraCrypt muuttaa tietokoneesi osiot ja tiedostot eräänlaisiksi turvahuoneiksi: se osaa luoda salatun virtuaalilevyn, jonka liität käyttöön kuin tavallisen levyaseman, tai vaihtoehtoisesti salata koko osion tai tallennuslaitteen, kuten USB-tikun tai kovalevyn. Et voi myöhemmin muuttaa kokoa, joten kannattaa miettiä oma tilan tarve ja ottaa mieluummin reilusti tilaa kuin liian vähän. Piilotettua taltiota ei voida teknisesti todistaa olevan olemassa, joten voit uskottavasti kiistää sen olemassaolon. Tämä on se salasana, joka mahdollisesti luovutetaan, jos sellainen tilanne tulee. Tästä huolimatta kannattaa tähän ja sisäiselle taltiolle antaa hyvät salasanat. Luodaan ensin normaali salattu säiliö – tämä muodostaa niin sanotun ulomman osion.Valitaan Volumes . Jos yksityisyys ja turvallinen tiedonhallinta ovat sinulle tärkeitä, VeraCryptia kannattaa ehdottomasti kokeilla. SOFTA V eraCryptin kehityksestä vastaa AM Crypto (amcrypto.jp) ja se perustuu TrueCrypt 7.1a -versioon. Alle neljän gigatavun kokoisille taltioille oletuksena on FAT, joka on erittäin yhteensopiva eri käyttöjärjestelmien kanssa. Oletuksena on AES ja SHA-512, jotka olen itse aina pitänyt. Create New Volume. Tässä kannattaa ottaa huomioon, että tilaa riittää piilotetulle taltiolle, joka luodaan uloimman taltion sisälle. Seuraavassa kohdassa aloitetaan ulkoisen taltion salaaminen. Skrollin lukijakanavalla on vuosia sitten heitetty vitsi: strummer — 12/28/21, 3:38 PM ”mä aina ilmiannan poliisille jos nään että kavereilla on tor ja veracrypt, tietää että jotain salattavaa!” Tästä ei kannata kavereiden olla huolissaan! Hyvällä salasanalla toteutettu Vera Crypt-salaus pitää taatusti intiimit lomakuvat tai muut salaisuudet tallessa, vaikka tietokone päätyisikin virkavallan käsiin. Tässä voit valita, haluatko luoda virtuaalisen levyn tiedoston sisään vai salata esimerkiksi USB-muistikun. VeraCrypt itse suosittelee vähintään 20-merkkistä salasanaa. Taltio puolestaan tarkoittaa varsinaista salattua levyaluetta, joka liitetään käyttöön virtuaalisena levyasemana. Tässä liikutellaan hiirtä alueen sisällä sattumanvaraisesti sen aikaa, että palkki tulee täyteen
Näin voit muokata uloimman taltion sisältöä ilman riskiä, että piilotettu taltio vahingoittuu. Taas heilutellaan hiirtä ja lopulta meillä on piilotettu taltio valmiina.Tuloksena sinulla on kaksi eri salasanaa: • Ulomman taltion salasana . Valitse taltiota avatessa Protect hidden volume against damage ja anna piilotetun taltion salasana. Nyt säiliö näkyy käyttöjärjestelmässä virtuaalisena levyasemana, johon voi tallentaa haluamansa tiedostot. Sitten liikutellaan hiirtä, jotta palkki tulee täyteen. Siirrytään eteenpäin ja päästään tekemään samat asiat kuin äskenkin. Kun annat ulomman taltion salasanan, järjestelmä käyttäytyy kuin mitään muuta ei olisi. Tässä kohtaa muistutus: uloimman taltion sisälle kannattaa tietenkin laittaa kaikenlaista näköisdataa, joka näyttää siltä, että tässä on kaikki, mitä sinulla on. Esimerkiksi niitä kiltimpiä lomakuvia. Ulkoiselle taltiolle valitaan sijainti ja nimi. Tiedostona olevaa säiliötä voi varmuuskopioida haluamiinsa paikkoihin. Erilaisia salausalgoritmeja löytyy useampi. Näin meillä on ulkoinen taltio salattu! Jos olisimme valinneet Hidden Volumes -valinnan sijaan Standard VeraCrypt volumes, olisi homma valmiina. Mutta, kun annat samalle säiliölle piilotetun taltion salasanan, avautuvat synkimmät salaisuutesi. Säiliön saa avattua valitsemalla Select File, hakemalla juuri luodun säilön oikeasta paikasta ja valitsemalla Mount. 9. Syötä salasana sekä mahdollinen avaintiedosto. • Piilotetun taltion salasana . ennustettavaa tietoa (liikeradat, nopeudet ja ajoitukset), jota VeraCrypt käyttää lisäaineksena avaimen generoinnissa. Salattu tiedostosäiliö vai ulkoinen asema. Esimerkiksi laittaa muistitikulle, siirtää toiselle koneelle tai tallentaa pilveen. Avaa oikeasti tärkeän sisällön. Vinkki: Aina kun aiot tallentaa tai muokata tietoja uloimmasta taltiosta, ota käyttöön piilotetun taltion suojaus. Kun hiirtä on tarpeeksi liikuteltu, klikataan lopuksi Format. Sisempään taltioon sitten ne kuvat, jotka kertovat mitä lomalla oikeasti tehtiin. Avaa vähemmän salaisen sisällön. Ulkoinen taltio salattu! Piilotetun taltion koon valinta. Pidetään algoritmit samana kuin uloimmassa taltiossa, ja valitaan sopiva koko ja salasana piilotetulle taltiolle
Ennen kuin itse levyn salaamista aloitetaan, annetaan mahdollisuus luoda edellä mainittu Recovery USB Disk. VeraCrypt tarjoaa yksityisyydestä huolehtiville käyttäjille tehokkaan ja avoimesti tarkastettavan tavan suojata dataansa niin paikallisesti kuin siirrettävillä laitteilla. Ennen kuin testataan, toimiiko salaus, valitaan Wipe Mode -asetuksesta, montako kertaa levy ylikirjoitetaan satunnaisella datalla, kun se salataan ensimmäistä kertaa. Le Roux’ta on myös epäilty Bitcoinin luojaksi, nimimerkki Satoshi Nakamotoksi. TRUECRYPT – TIETOISKU TrueCryptin vaiheet ovat melko värikkäitä. Käyttäjä syöttää antamansa salasanan, ja jos käyttöjärjestelmä latautuu normaalisti, voidaan olla varmoja siitä, että salauksen aikainen käynnistysprosessi toimii. UEFI-laitteiden kanssa saattaa ilmetä ongelmia UEFIn Secure Boot -asetuksen kanssa. Tämän jälkeen VeraCrypt suorittaa esitestin, jonka tarkoitus on varmistaa, että järjestelmä käynnistyy oikein salauksen jälkeen. Tästä varmasti löytyy mielipiteitä suuntaan ja toiseen. Siitä huolimatta esimerkiksi autoritaaristen hallintojen alaisuudessa elävät ihmisoikeusaktivistit pelaavat varman päälle ja käyttävät avoimen lähdekoodin salausohjelmia. Erääksi kehittäjäksi epäiltiin tunnettua rikolliskartellin johtajaa ja ohjelmoijaa Paul Le Roux’ta, mutta hän on kiistänyt osallistumisensa TrueCryptin kehitykseen. Windowsin koko levyn voi toki salata Microsoftin tarjoamalla Bitlockerilla. VeraCryptin kehittäjien on ollut järkevämpää keskittyä Windowsiin järjestelmätason salauksen osalta. Sen jälkeen kaikki tapahtuu melko pitkälle samalla tavalla, kuin salattua taltiota luodessa. Sen kehityksestä vastasi anonyymiksi jäänyt TrueCrypt Foundation. Linuxissa on vakiintunut salausratkaisu LUKS (Linux Unified Key Setup), macOS:llä taas FileVault-järjestelmä. TrueCryptillä pystyi luomaan salattuja säiliöitä tiedostona, salaamaan taltioita ja koko käyttöjärjestelmälevyn. Kun järjestelmälevyn salaustestia suoritetaan, voi tulla ”Secure Boot Violation” -ilmoitus, joka tarkoittaa, että salaus on epäonnistunut. Tämän voi tehdä, jos levyllä on ollut aikaisemmin dataa. SecurStar-yritys, jossa Le Roux toimi työntekijänä aikaisemmin, syytti Le Roux’n käyttäneen E4M-ohjelmassaan heiltä varastettua lähdekoodia. Mennään eteenpäin ja valitaan Encrypt the Windows system partition. Kun ongelmia ei ilmene, painetaan lopuksi Encrypt. Ennen salauksen aloittamista on tärkeätä luoda VeraCryptin Recovery USB Disk, jonka avulla epäonnistunut salaus voidaan purkaa menettämättä sisältöä. Ohjelman lähdekoodi oli saatavilla, mutta lisenssi (TrueCrypt License 3.1) ei täyttänyt avoimen lähdekoodin virallisia kriteerejä. Itse salaus aloitetaan valitsemalla System . Projekti lopetettiin yllättäen toukokuussa 2014, jolloin julkaistiin versio 7.2, joka mahdollisti enää vain salauksen purkamisen. Tässä meillä piilotettu ja vahvasti salattu osio valmiina! 2025.4 10. Riippumaton auditointi vuonna 2015 ei löytänyt merkittäviä tietoturvavirheitä. Silti se saavutti vahvan maineen luotettavana työkaluna – niin vahvan, että sen käytöstä syntyi jopa kulttuurinen ilmiö aktivistien ja tietoturvapiirien keskuudessa. Hyvin suunniteltu salaus on askel kohti tietoturvallisempaa arkea. Secure Boot -asetuksen pois ottaminen helpottaa haittaohjelmien asentumista. Valitaan salausalgoritmit (oletuksena AES ja SHA512). Edward Snowdenin paljastusten aikana epäiltiin, että Bitlocker tarjoaisi takaportteja viranomaisille, joskin tätä ei ole vahvistettu virallisesti. Windows-käyttöjärjestelmälevyn salaaminen Tämän lisäksi VeraCryptillä voi salata ulkoisia kovalevyjä ja muistitikkuja. Sen kehittäjänä Le Roux sitä vastoin toimi. Asian voi korjata ottamalla Secure Bootin pois päältä. Riippumatta siitä, käytätkö salattua säiliötä, piilotettua taltiota tai koko Windows-levyn salausta, tärkeintä on valita vahva ja uniikki salasana. TrueCrypt oli vuonna 2004 julkaistu, nopeasti suosioon noussut ilmainen levynsalausohjelma. Encrypt System Partition/Drive. Käsitellään tässä vielä mielestäni erästä VeraCryptin hienointa ominaisuutta eli Windows-käyttöjärjestelmälevyn salaamista. Jos koneella on useampi käyttöjärjestelmä, voi valita multi-boot, muussa tapauksessa single-boot. VeraCryptillä ei voi salata Linuxin tai macOS:n koko järjestelmälevyä, sillä ohjelma ei tue tätä. Levyn salaus vaatii yhteensopivuutta levyaseman, käynnistysmekanismin, käynnistyslataajan ja salausohjelman välillä. Oma mielipiteeni on kuitenkin, että salaamaton järjestelmälevy on huomattavasti suurempi tietoturvariski. TrueCryptistä syntyi kaksi merkittävää seuraajaa: VeraCrypt (aktiivinen) ja CipherShed (sittemmin kuopattu). Kun tieto kulkee ja säilyy turvallisesti, voit käyttää järjestelmääsi luottavaisin mielin myös tilanteissa, joissa laitteesi voisi päätyä vääriin käsiin. Ohjelma oli kehitetty muun muassa Windowsille, Linuxille ja macOS:lle. TrueCrypt perustuu E4M (Encryption for the Masses) -nimisen ohjelman koodiin. Turvallisempi vaihtoehto on kuitenkin käyttää VeraCryptia. Testissä kone uudelleenkäynnistetään
Yksi vai useampi käyttöjärjestelmä. Valitaan kovalevyn kryptaus. Uudelleenkäynnistyksen jälkeen kryptaus voi alkaa! Normal vai hidden. Wipe Moden vaihtoehdot. Rescue Diskistä on iloa, mikäli jotain menee pieleen. Satunnaisuutta saadaan taas hiirtä heiluttelemalla. Avaimet ovat valmiina. Algoritmeista on varaa valita. 11
Olet jonottamassa suosikkibändisi loppuunmyydylle keikalle, jonne olet ostanut liput itsellesi ja kaverillesi kuukausia sitten. Etenkin Aasiassa QR-koodeja käytetään paljon ostosten maksamiseen, sisäänkirjautumiseen tai pankkitransaktioiden vahvistamiseen. QR-koodin data ei ole salattua, ja se sisältää kaikki käyttäjän profiilin tiedot, mukaan lukien nimen ja sähköpostiosoitteen. Mikä meni pieleen. Huijari on huomannut sähköisessä kirjastokortissa haavoittuvuuden, jonka avulla tämä voi vakoilla kirjaston käyttäjien henkilötietoja. Etsit haluamasi kirjat ja suuntaat lainausautomaatille. Erityisesti minua kiinnosti niiden käytön tietoturva, tai siis oikeastaan tietoturvattomuus. Lippusi on muka jo käytetty. Ennen lipun tarkastusta, olet toistuvasti avannut lipun julkisella paikalla ja hyökkääjä on ottanut siitä olkasi yli kuvan. Loman lopulla sähköpostiisi kilahtaa lasku myöhästyneistä kirjaston kirjojen palautuksista. TIETOTURVA QR -koodien toimin tamalli on ISO-stan dardoitu ja hyvinkin laajalti adaptoitu lukuisiin sovelluksiin, mutta standardi itsessään ei sisällä mitään tietoturvaa vahvistavia elementtejä. Mitä ihmettä. Esimerkkiskenaariossa tilanne ei välttämättä ole kovin katastrofaalinen, saatat jopa saada itsesi neuvoteltua sisään keikalle jo käytetystä lipusta huolimatta. On siis sovelluskehittäjien itsensä vastuulla ymmärtää ja minimoida QR-koodeihin liittyvät tietoturvariskit. Kohti turvallisempia QRkoodeja Kyseessä on niin sanottu STLS-hyökkäys (Synchronized Token Lifting and Spending). Kirjastonhoitaja on ymmällään, olethan nimittäin juuri palauttanut kaikki kirjat ajallaan. Sähköinen kirjastokortti nimittäin sisältää QR-koodin, jonka laina-automaatit lukevat. Jonon lyhentyessä kaivat jälleen liput esille, siinä toivossa että pääset mahdollisimman vikkelästi ohi lipuntarkastajasta. Kohdennettu kalastelu Olet suuntaamassa kesälomareissulle ja päätät lainata kirjastosta muutaman kirjan matkalukemiseksi. Hyökkääjä on kiirehtinyt tarkastuspisteelle ennen sinua ja käyttänyt lippusi, päästen itse sisään ja jättäen sinut kuuntelemaan keikkaa porttien ulkopuolelta. Palautustiskillä vielä päivittelet kirjastonhoitajalle, miten oman huolimattomuuden vuoksi kirjalainasta tuli taas odotettua kalliimpi. Kun vuorosi viimein koittaa, piippaa tarkastajan laite virheen merkiksi. Näissä käyttökohteissa mahdollisen STLS-hyökkäyksen aiheuttamat taloudelliset ja henkiset tappiot voivat olla merkittävästi suurempia. Vakoilu Vuoden odotetuin päivä on viimein koittamassa. Näytät mobiilikirjastokorttisi automaatin skannerille, skannaat kirjat ja lähdet iloisena loman viettoon. Voivottelet hetken kuinka nopeasti lainakuukausi ja koko loma taas on vierähtänyt, maksat viivästysmaksut ja kiirehdit palauttamaan kirjat. STLS-hyökkäykset ovat kuitenkin mahdollisia myös paljon kriittisemmissä käyttökohteissa. Standardoinnin ansiosta QR-koodien käyttöönotto sovelluksessa on hyvin helppoa, mutta juuri tässä helppoudessa piileekin niiden vaarat. Jo matkalla keikkapaikalle olet ensimmäisen kerran hermostuneena tarkistanut mobiililippujen varmasti löytyvän sähköpostista. Tässä artikkelissa tarkastellaan muutamia uhkaskenaarioita ja pohditaan miten niiden riskit voidaan minimoida. Teksti: Onnimanni Hannonen Kuvat: Kimmo Rinta-Pollari, Onnimanni Hannonen 2025.4 12. Tasan kuukauden päästä lainatapahtumasta huijari lähettää valheelliset laskut kirjan lainanneiden uhrien sähköposteihin. Lipussa on huonosti suojattu uniikki QR-koodi, jonka avulla tarkastaja merkitsee kyseisen lipun käytetyksi. Huijari on asentanut piilokameran laina-automaatin läheisyyteen ja kerää jatkuvaa listaa kirjoja lainanneiden henkilöiden sähköposteista. Uhrin on helppo langeta huijaukseen, sillä viestissä olevat Tietoturvan ja käyttäjäkokemuksen yhteensovittaminen Viime vuonna syvennyin tutkimaan QR-koodien sielunelämää kandidaatintutkielmaani varten
Paljaalla silmällä nämä näyttävät identtisiltä keskenään, joten kassatyöntekijä ei voinut mitenkään erottaa niitä toisistaan. Ruuhkaisen avajaispäivän päätteeksi pohdit työkaverille ääneen, että pitäisikö itsekin ostaa uusi televisio, kun sen saisi nyt 80 prosentin alennuksella. Hyökkääjä on laittanut sen tilalle QR-koodin, jonka sisältämällä SQL-komennolla voi tyhjentää kriittisiä taulukoita junajärjestelmän tietokannasta. Työkaveri hämmästelee mistä moinen, kun sovelluksesta selvästi näkee televisioiden alennuksen olevan vain 20 prosenttia. Moderneissa tietojärjestelmissä ORM tai muu vastaava tietokantakyselyitä hoitava ratkaisu osaa automaattisesti myös parametrisoida kyselyn syötteet. Sovelluskehittäjät ovat nykyään melko valveutuneita injektiohyökkäysten suhteen ja tietävät, että kaikki käyttäjän syöte tulee aina sanitoida, mutta harva välttämättä tulee ajatelleeksi, että myös suoraan QR-koodista luettu data voi olla käyttäjän peukaloimaa. Tarkastat matkustajien lippuja tavalliseen tapaan, eli matkustaja näyttää mobiililippua puhelimelta ja luet lipussa olevan QR-koodin omalla konduktöörin päätelaitteellasi. Jotta edellä mainitun kokoluokan injektiohyökkäys voisi edes onnistua, pitäisi koko tietojärjestelmässä olla paljon muitakin kriittisiä tietoturva-aukkoja. Vakoilun ei välttämättä edes tarvitse olla systemaattista piilokameran välityksellä suoritettua monitorointia, vaan yksinkertaisimmillaan kuka tahansa voi älypuhelimen QR-koodinlukijalla käydä lukemassa muiden kirjastokortteja olan yli. Tässä kauhuskenaariossa hyökkääjä on luonut mobiililipun näköisen kuvan, jossa QR-koodin paikalla ei olekaan ihan normaalin junalipun koodi. Samaan aikaan muut matkustajat alkavat valittaa, etteivät he saa lippujaan auki, ja junan infonäytöt tyhjenevät. Vastaanottavassa päässä kamera ottaa kuvan QRkoodista, dekooderi lukee datan ja muuttaa sen takaisin alkuperäiseen muotoonsa. 13. Tämä QR-koodi voidaan renderöidä näytölle tai vaikkapa tulostaa paperille. Peukalointi Työskentelet uuden juuri avatun kodintarvikeliikkeen kassalla. Miten tämä on mahdollista. Juuri kun olet lukenut erään asiakkaan lipun QR-koodin, koko päätelaite kaatuu. Taustajärjestelmä ei validoi tunnistetta vaan syöttää sen suoraan osaksi SQL-kyselyä, jonka tarkoitus on tarkistaa lipun voimassaolo. päivämäärät ja lainattujen kirjojen nimet täsmäävät. Ja jos peukalointiyrityksestä jää kiinni, voi hyökkääjä aina vedota siihen, että kyseessä on bugi itse sovelluksessa. Tietokantaan lähetetään kyllä SQL-komento, mutta se ei tarkistakaan lipun voimassaoloa vaan poistaa kriittisiä taulukoita ja aiheuttaa suuren kaaoksen. Alennuskupongit saa aktivoitua luomalla kanta-asiakastilin tavaratalon omaan sovellukseen ja näyttämällä sovelluksesta löytyvän kupongin QR-koodia kassalla maksun yhteydessä. Vakoiluhyökkäykset voivat myös olla hyvin tarkkaan kohdennettuja, jolloin esimerkiksi julkisuuden henkilöillä tai poliittisesti vaikutusvaltaisilla ihmisillä voi olla suurempi riski saada hyökkäyksen seurauksena kiristysja kalasteluviestejä. QR-koodien käyttö SQLtai komentoinjektion toteuttamiseen on erityisen nokkela ja mahdollisesti tuhoisa peukalointihyökkäys. Kanta-asiakaskortit, alennuskupongit, aikarajoitteiset pääsyliput ja julkisille paikoille liimatut julisteet ovat erityisen alttiita peukalointihyökkäyksille. Näinkö se maailmanloppu alkaa. Eli tilaisuus voi myös tehdä varkaan. Matkustajien keskuudessa alkaa levitä pakokauhunomainen pelko. Injektiot Työskentelet junan konduktöörinä. Kassalla asiakas ei ollut näyttänyt kaupan omaa sovellusta vaan muokattua kuvakaappausta sovelluksesta. Hyökkääjä voi muokata näissä olevia QR-koodeja saadakseen parempia etuuksia tai alennuksia itselleen tai lähettääkseen lukijan väärälle nettisivulle. Junan keskusradiosta alkaa kuulua epämääräisiä hälytysääniä ja juna pysähtyy. Asiakas oli ottanut kupongista kuvakaappauksen, luonut uuden QR-koodin suuremmalla alennusprosentilla ja vaihtanut tämän koodin alkuperäisen tilalle kuvankäsittelyohjelmalla. Muistelet myyneesi eräälle asiakkaalle television 80 prosentin alennuksella. Peukalointihyökkäykset ovat hyökkääjän näkökulmasta erityisen kiinnostavia, sillä suhteellisen helpolla huijauksella voi saavuttaa merkittävää taloudellista etua, monesti jopa jäämättä kiinni. Lukija luottaa sokeasti QR-koodin olevan vain ja ainoastaan lipun uniikki tunniste, jonka se lähettää lippuja tarkastavalle taustajärjestelmälle. Kuulet radiopuhelimesta kuinka veturinkuljettaja kertoo valtakunnallisen ratajärjestelmän kaatuneen ja kaikkien maan junien pysähtyneen. Ymmärtääkseen, miten QRkoodien tietoturvariskit voi minimoida, tulee aluksi ymmärtää miten ne toimivat. Lähettävässä päässä siirrettävä data enkoodataan eli muutetaan alkuperäisestä muodosta QR-koodiksi. Avajaisten kunniaksi tavaratalolla on suuret alennusmyynnit. Erityisesti vanhemmat tietojärjestelmät saattavat poimia arvoja SQL-kyselyyn suoraan rajapintakutsun parametreistä, jolloin kutsun mukana voi lähettää osia SQL-komennoista ja siten muokata tietokannan sisältöä haluamallaan tavalla. Miten QR-koodit toimivat. Asiakas oli huomannut alennuskuponkien QR-koodien olevan huonosti suojattuja. Jokaisessa salaamattomassa QR-koodissa oli suoraan määritelty alennusprosentti, jonka kassakone antaa. Tarkistatte yhdessä kirjanpidosta, ja eräs asiakas on toden totta saanut television lähes ilmaiseksi
Nämä standardin mukaiset QR-koodin osat siis tekevät QR-koodin lukemisesta nopeampaa ja helpompaa, mikä on tietoturvan kannalta ongelmallista. Miten QR-koodeista voi tehdä turvallisempia. Usein QR-koodeihin enkoodattu data onkin uniikkeja tunnisteita, linkkejä, base64-enkoodattuja tiedostoja tai merkkijonoksi muutettuja strukturoituja objekteja, esimerkiksi JSON-objekteja. Tämän ansiosta QR-koodiin mahtuu paljon perinteistä viivakoodia enemmän dataa, eli koodiin voidaan piilottaa mm. Vaihtoehtoisesti salasana voi olla järjestelmän itsensä määrittämä, jolloin voidaan varmistua ettei kukaan pysty lukemaan tai muokkaamaan QR-koodeja millään ulkopuolisilla sovelluksilla. QR-koodin lukeakseen hyökkääjän kameran tarvitsee nähdä vain nopea vilahdus melkein koko QRkoodista, eikä kameran tarvitse edes olla kovin lähellä uhria. QR-koodit koostuvat sekä toiminnallisista että sisällöllisistä osista. Tämän artikkelin osalta erityisen keskeisiä osia QR-koodissa ovat etsintäja kohdistuskuviot sekä virheenkorjauksen koodisanat. Mitä vaikeampi QR-koodi on lukea, sitä vaikeampi sitä on varastaa. Siirrettävälle datalle voidaan laskea digitaalinen sormenjälki, jonka enkooderi sisällyttää QR-koodiin. Tällöin käyttäjän tulee QR-koodin skannauksen jälkeen syöttää oma salasanansa, jonka avulla salaus puretaan. Vaihtoehtoisesti sormenjäljen voi lisätä QR-koodiin päälle vasta enkoodauksen jälkeen. Peukaloinnin estäminen on myös mahdollista steganografisin menetelmin. virheenkorjauksen mahdollistavia koodisanoja. Tyypillisesti kuitenkin QR-koodien avulla siirretään ASCII-merkeistä koostuvia tekstinpätkiä, kuten linkkejä tai uniikkeja tunnisteita. Lukemisen vaikeuttaminen onkin siis tasapainottelua käyttäjäkokemuksen ja turvallisuuden välillä. QR-koodi eroaa perinteisestä viivakoodista ulottuvuuksien lukumäärässä. Näiden avulla dekooderi pystyy lukemaan pikselöityneitä, vääristyneitä tai osin peitettyjä QRkoodeja. Symmetrisellä salausalgoritmillä (esimerkiksi AES) voidaan luoda suljettu järjestelmä jossa QR-koodin sisältö enkoodataan ja dekoodataan samalla salasanalla. Dekooderi puolestaan lukee enkooderin lähettämän sormenjäljen, laskee QR-koodin datasta oman sormenjäljen ja näitä kahta vertailemalla varmistaa ettei dataa ole peukaloitu matkan varrella. Sisällölliset osat puolestaan ovat Reed– Solomon-koodisanoja, jotka muodostavat itse enkoodatun datan ja enkoodauksen metadatan. Perinteinen viivakoodi on yksiulotteinen, eli dataa enkoodataan vain vaaka-akselille, kun taas QR-koodi on kaksiulotteinen, eli dataa enkoodataan sekä vaakaettä pystyakselille. Itse siirretystä datasta taas on hyvä tietää, että se voi olla mitä tahansa alfanumeerisia merkkejä tai binääridataa. Tällöin QR-koodin data pysyy muuttumattomana, mutta standardin mukaisella QR-koodinlukijalla ei itsessään pysty lukemaan sormenjälkeä, eli sovelluskehittäjän täytyy itse piilottaa ja kaivaa sormenjälki kuvasta. Monet piilottamistekniikat menevät hyvinkin 2025.4 14. Sormenjäljen voi lähettää QR-koodin mukana monellakin eri tavalla. Ehkäpä loogisin ja helpoin keino parantaa QR-koodien tietoturvaa on salata siirrettävä data. QR-standardin mukaisesti dataa ei oletusarvoisesti salata, eli kuka tahansa voi lukea sen siinä muodossa kun se on enkoodattu. Mitä helpompi QR-koodi on lukea, sitä helpompi se on myös varastaa. Turvallisuutta voidaan myös parantaa vaikeuttamalla QR-koodien lukemista, eli QR-koodi voidaan niin sanotusti piilottaa. Toiminnallisten osien avulla dekooderi voi muuntaa kameran ottaman raakakuvan sellaiseen muotoon, että QRkoodin sisällölliset osat voi lukea. Tämä salasana voi olla käyttäjän itse määrittelemä, mikäli QR-koodilla pitää siirtää tietoa saman käyttäjän kahden eri laitteen välillä. Siirrettävän datan voi kapseloida, ja sisällyttää sormenjäljen itse datan sekaan. Tämä on käyttäjän näkökulmasta helpompi, sillä järjestelmä itse hoitaa salauksen ja sen purun ilman erillistä salasanasyötettä käyttäjältä
Piilottamiseen on esitetty myös kokeellisempia keinoja, kuten menetelmiä, jotka hyödyntävät spatiaalisten taajuuksien epälineaarisuutta. Tietyissä käyttökohteissa tämä vain on hinta, joka pitää maksaa, jotta sovellus on tietoturvallinen. Niiden avulla lukija voi varmistua että QR-koodi on oikeasti juuri renderöity eikä esimerkiksi olan yli otettu kuva tai vanha kuvakaappaus vastaavasta QR-koodista. Hyökkääjän ei tarvitse koskaan päästä itse dataan käsiksi, riittää jos koko QR-koodin saa varastettua ja näytettyä lukijalle ennen uhria. Kun kaksi eri taajuista kuviota laitetaan päällekkäin, syntyy niin sanottu moiré-kuvio, jonka ansiosta QR-koodi on luettavissa vain tietystä katselukulmasta. Vastaanottaja lukee koodeja niin kauan, että on saanut kaikki palaset luettua. Mikä näistä vaihtoehdoista on paras. Oikeiden tietoturvaa parantavien keinojen valitseminen riippuu aina käyttökohteesta. Riskejä voi myös minimoida verifioimalla luettu data. Hyökkääjä voi lukea datan, muokata TTL:n olemaan edelleen voimassa ja luoda uuden QR-koodin muokatusta datasta. SQLja komentoinjektioita voi ehkäistä varmistamalla että datan skeema on sitä mitä sen tulisikin olla. Jokainen piilotusmenetelmä tai standardin mukaisen QR-koodin päälle lisätty abstraktiotaso vaikeuttaa ja rajoittaa QR-koodien käyttöä. teknisiksi ja vaikeiksi, eli niiden implementointi on kehittäjille vaikeaa ja lopputulokset voivat olla epäluotettavia. Linkkejä voidaan verrata olemassa oleviin ”mustiin listoihin” eli suuriin tietokantoihin, joissa on tiedossa olevia phishing-nettisivuja. Nämä palaset yhdistämällä saadaan muodostettua taas alkuperäinen data. Vain sovellus, joka osaa purkaa kyseiset suojaukset, voi lukea koodin, jolloin QR-koodien universaalius ja helppokäyttöisyys kärsivät. Näin QR-koodi on vaikeampi lukea ohimennen olan yli, koska koodin pitää olla yhtäjaksoisesti näkyvillä pidemmän aikaa. QR-koodien suojaaminen on jatkuvaa tasapainottelua käyttäjäkokemuksen ja tietoturvan välillä. Vastaavasti dataan kapseloitu TTL on täysin turha, jos data lähetetään salaamattomana ja kuka tahansa voi muokata sitä matkan varrella. Ehkäpä maallikolle ymmärrettävin ja sovelluskehittäjille helpoimman piilotuskeinon muodostavat kuitenkin vaihtuvat QR-koodit. Jos siirrettävä data kapseloidaan, paloitellaan, salataan tai QR-koodiin piilotetaan sormenjälkiä, standardin mukaiset QR-koodinlukijat eivät enää ymmärrä datan sisältöä. QR-koodin data voidaan kapseloida, sen mukana voidaan lähettää aikaleimat ja koodeille voidaan määrittää TTL (Time To Live) eli se, kuinka pitkään QR-koodi on voimassa. Tyypillisesti salausta pidetään näistä menetelmistä kaikkein turvallisimpana, mutta sekään ei yksinään estä esimerkiksi STLS-hyökkäyksiä. Vastaavasti jos salaamaton QR-koodi pilkotaan osiin ja siitä tehdään vaihtuva QR-koodi, voi hyökkääjä pahimmassa tapauksessa arvata puuttuvia palasia. Sen sijaan että koko lähetettävä data renderöitäisiin yhdeksi QR-koodiksi, data voidaan pilkkoa osiin ja renderöidä useammaksi QRkoodiksi, joita näytetään toinen toisensa jälkeen. Eri käyttökohteet vaativat eritasoista suojausta, eli edellä mainituista keinoista ei voi valita yhtä parasta, joka toimisi kaikissa tilanteissa. Piilottamisessa voidaan hyödyntää näytön PWM-taajuuksia, joiden avulla voidaan riittävällä tarkkuudella yksilöidä näytöt toisistaan ja lukea QR-koodeja vain tietyiltä sallituilta näytöiltä. Jos kuitenkin halutaan tehdä mahdollisimman turvallinen QR-koodi, tulisi yhdistää useita näistä edellä mainituista menetelmistä. 15
Sittemmin sosiaalinen media on useiden tätä seuranneiden mediapimentojen aikana tarjonnut merkittävän kanavan palestiinalaisten tiedonvälitykseen ja palestiinalaisten äänten esille tuomiseen. Israelin ja Palestiinan välinen konflikti sai alkunsa toisen maailmansodan jälkeen Israelin valtion perustamisen aikaan. Artikkeli käsittelee Gazan sodan kuvauksia sosiaalisessa mediassa. Tämä ei ole johtunut ainoastaan mediassa toistuvista kuvaustavoista vaan myös käytännön rajoitteista. 2000-luvun ensimmäisen vuosikymmenen lopulta lähtien sota on siirtynyt myös sosiaaliseen mediaan ja sen osapuolet ovat aktiivisesti ottaneet uusia palveluita haltuunsa. Erityisesti IRC-kanavilla pystyttiin välittämään reaaliaikaista tietoa median ja propagandakoneistojen ohitse. Tähän liittyen käytetään myös Ukrainan sodan vakiinnuttamaa nimitystä ”social media war”. Internetin, älypuhelinten ja sosiaalisen median yleistyminen ovat mullistaneet tiedonvälityksen dynamiikkaa ja 2000-luvulla viestinnässä on korostunut erityisesti kansalaisten osallistuminen viestintään ja reaaliaikaisen tiedon välittämiseen. Palestiinalaiset ovat haastaneet tätä kuvaustapaa ja hyödyntäneet sosiaalista mediaa konfliktista viestimiseen ja aktivismiin jo lähes kahdenkymmenen vuoden ajan. Konflikteista on välitetty tietoa erityisesti television ja sanomalehtien välityksellä, jolloin perinteiset uutismediat myös ovat hallinneet konfliktien narratiiveja. Se keskittyy palestiinalaisten sisällöntuottajien ja ihmisoikeusjärjestöjen TikTok-videopalveluun jakamiin sotakuvauksiin. Länsimainen uutisointi Gazan sodasta on perinteisesti rakentunut Israelin näkökulmasta käsin. Esimerkiksi toimittajien pääsy sotaalueelle on ollut tiukasti valvottua, ja tieto on välittynyt usein viranomaisten tai ulkopuolisten lähteiden kautta. 2025.4 16. Tämän seurauksena konfliktin keskellä elävät ihmiset ovat jääneet näkymättömäksi, kasvottomaksi massaksi. Tietoverkkojen – ja myöhemmin sosiaalisen median – yleistyminen ovat muokanneet tapaa, jolla konflikteista viestitään. Tällöin palestiinalaiset alkoivat hyödyntää sosiaalista mediaa jakaakseen ulkomaailmaan tietoa tapahtumista. Erityisesti 2020-luvulla sosiaalisesta mediasta on tullut yksi sodan näyttämöistä, joilla osapuolet käyvät kiivasta kamppailua näkyvyydestä, sodan mielikuvista ja yleisön tuesta. Yksi merkittävä välivaihe saavutettiin Persianlahden sodan aikana vuonna 1991, jolloin sen aikaista internetiä hyödynnettiin konfliktin vaiheiden seuraamiseen. Tutkimusartikkeli on luettavissa WiderScreen-lehden numerossa 1–2/2025 osoitteessa widerscreen.fi KULTTUURI Teksti: Jenna Peltonen Kuva: Mitol Meerna Sota siirtyi sosiaaliseen mediaan Viestintävälineillä on ollut merkittävä rooli sen määrittämisessä, miten sodat ovat välittyneet ulkomaailmaan. Twitterin (nykyinen X), YouTuben ja Facebookin rinnalle on noussut myös Gazan sodan kuvaukset lyhytvideoiden aikakaudella Sosiaalinen media on vakiinnuttanut asemansa tiedonvälityskanavana. Nopeatempoinen, viihteellinen ja tunnevetoinen mediaympäristö vaatii sopeutumista alustojen vaihteleviin, usein kirjoittamattomiin sääntöihin. Toiminta tuli näkyväksi viimeistään vuoden 2008 konfliktin aikaan, jolloin Israel esti journalistien pääsyn Gazan sota-alueelle. Konflikti on jatkunut nykypäivään asti välillä eskaloituen väkivaltaisiksi yhteenotoiksi ja välillä rauhoittuen hetkellisesti
Palestiinalaisten ääniä on nostettu esiin hyödyntämällä TikTokissa suosittuja videoformaatteja, kuten tanssi-, ”my day”tai ”story time” -videoita. TikTok aktivismin alustana Kansainvälisille yleisöille vuonna 2018 lanseerattu lyhytvideopalvelu TikTok on nuorten suosima, viihteellisiin sisältöihin pohjaava somealusta, jonka suosio kasvoi eksponentiaalisesti koronapandemian ensimmäisen vuoden aikana. Tarkastelun kohteeksi nousi viisi ihmisoikeusja humanitaarista järjestöä, jotka ovat tuottaneet aktiivisesti sisältöjä TikTokiin: Amnesty International, Human Rights Watch, Doctors Without Borders, International Committee of the Red Cross sekä UNICEF. Artikkeli perustuu WiderScreen-verkkolehdessä julkaistuun tutkimukseen, jossa tarkastelin yksityiskohtaisemmin ihmisoikeusjärjestöjen sekä palestiinalaisten sisällöntuottajien jakamia sotakuvastoja. Sivustojen toimintamahdollisuuksien kehittymisen ja sosiaaliseen mediaan siirtymisen myötä järjestöt ovat sopeuttaneet viestintäänsä kehittyvän teknologian ja algoritmien vaatimuksiin. Julkaisuissa kuvattiin inhimillistä hätää, avuntarvetta ja kärsimystä sekä konkretisoitiin sodan vaikutuksia siviiliväestöön. Järjestöt jakoivat infografiikoita, viikkokatsauksia ja tietoiskuja. Palestiinan lipun värejä edustava vesimeloni on eräs Palestiinan symboleista, ja se on säilynyt sellaisena sosiaalisen median aikakauteen asti. Julkaisut kuvasivat esimerkiksi saarrosta johtuvaa veden, ruoan ja lääkintätarvikkeiden puutetta sekä pommitusten ja sähkökatkojen vaikutuksia sairaaloiden toimintaan. Varhaiset verkkosivut muistuttivat lähinnä yksisuuntaista tiedotusta ja järjestöt ovat hyödyntäneet viestinnässään pitkään perinteisen median viestintäkonventioita. Vaikuttajan ja yleisön suhdetta tarkasteltaessa on paljon puhuttu myös parasosiaalisen suhteen käsitteestä. Järjestöt sovittivat erityisesti yleisviestintäänsä TikTokin leikillisiin konventioihin ja julkaisuissa hyödynnettiin huumoria ja suosituimpia TikToktrendejä. uusia alustoja, kuten vuonna 2010 aloittanut Instagram ja 2020-luvun koronavuosina suosiotaan kasvattanut TikTok. Vahvan asiapitoisten julkaisujen rinnalla jaettiin myös sota-alueella toimivien avustustyöntekijöiden ja siviilien tunnepitoisia kertomuksia sodan todellisuudesta. Palvelun sensuuria ja vastareaktioita on pyritty kiertämään esimerkiksi tiettyjen sanojen tahallisella väärinkirjoituksella, kiertoilmaisuilla ja emojien käytöllä. TikTokin on havaittu sensuroivan Gazan sotaan liittyviä sisältöjä, ja palvelu voi rajoittaa liian polarisoivien sisältöjen näkyvyyttä tai niitä jakavien tilien toimintaa. Ihmisoikeusjärjestöt TikTokissa Ihmisoikeusjärjestöjen viestintä on muuttunut merkittävästi vuosien varrella. Samalla konfliktin tiedonvälitys ja palestiinalaisaktivismi ovat kehittyneet ja sopeutuneet uusiin mediaympäristöihin ja viestintätapoihin. Parasosiaalisten suhteiden muodostuminen lisää vaikuttajien jakamien sisältöjen sitouttavuutta sekä niiden algoritmista näkyvyyttä. Tämä on tarkoittanut myös sopeutumista TikTokin vuorovaikutteiseen, nopeatempoiseen, tunnevetoiseen ja viihteelliseen viestintäympäristöön. Henkilökohtaista ja tunteisiin vetoavaa ulottuvuutta alleviivattiin Gazassa toimivien avustustyöntekijöiden kuvaamilla videoilla ja heidän lähettämillään ääniviesteillä. Kuolemasta voidaan puhua esimerkiksi sanoilla ”unalive” ja ”delete” ja kansanmurhaan viitatessa kirjoitetaan ”genoc!de”. Sillä tarkoitetaan mediaesiintyjän ja yleisön välille muodostuvaa, emotionaalisesti merkityksellistä suhdetta, jossa yleisö kokee tuntevansa mediassa esiintyvän henkilön. Vesimeloniemoji onkin myös TikTokissa hyvin tyypillinen palestiinalaisuutta ja tukea palestiinalaisille ilmaiseva symboli. Somevaikuttajien ja yleisön välille rakentuu usein vastavuoroinen suhde, jossa vaikuttaja osallistuu keskusteluun ja reagoi yleisön kommentteihin. Nämä järjestöt jakoivat vuonna 2023 kärjistyneen konfliktin ensimmäisen vuoden aikana yhteensä 155 Gazaan liittyvää videota TikTokiin. Facebook, X, Instagram ja YouTube ovat vakiinnuttaneet asemaansa järjestöjen käytössä, mutta TikTokia on lähestytty vielä varoen. Gazaa käsittelevät julkaisut keskittyivät vahvasti tietopakettien kokoamiseen ja sodan sekä sen vaikutusten raportointiin ja näkyväksi tekemiseen. Ihmisoikeusja humanitaariset järjestöt ovat käyttäneet hyvin aktiivisesti eri some-palveluja. Palestiinalaisille sensuuri ja kiertoilmaisut eivät ole uusia ilmiöitä. Yleisölle opetettiin leikkisästi ihmisoikeusjulistuksen pääkohtia tai testattiin yleisön tietämystä ihmisoikeuskysymyksiin liittyen. Konflikteja käsittelevä viestintä sen sijaan oli sävyltään huomattavasti vakavampaa, ja siinä korostuivat perinteiset mediakonventiot sekä journalistinen ja dokumentaarinen lähestymistapa. TikTokin algoritmi suosii sisältöjä, jotka ovat helposti avautuvia ja jaettavia, minkä vuoksi kevyet, meemimäiset sisällöt menestyvät hyvin alustalla. Siinä missä parasosiaalisuuden käsitteellä on aiemmin viitattu yksipuoliseen suhteeseen ilman todellista vuorovaikutusta, sosiaalinen media on haastanut tätä käsitystä. Niissä kerrottiin epätoi17. Sosiaalisessa mediassa viestin välittäjän eli some-vaikuttajan rooli on hyvin merkittävä. Artikkelissa käsittelen sitä, miten Gazan sodan raakojakin kuvastoja on käsitelty ensisijaisesti viihteellisenä alustana tunnetussa lyhytvideopalvelu TikTokissa. Tähän ovat voineet vaikuttaa paitsi se, että TikTok on mainittuja alustoja tuoreempi tuttavuus, myös alustaan liitetyt tietoturvahuolet, joiden vuoksi monet organisaatiot ovat pidättäytyneet sen käytöstä. Näiden kuvastojen laadullisella analyysillä havainnoin, millaisia julkaisuja sodasta jaettiin, millaisista näkökulmista aihetta lähestyttiin ja miten julkaisuihin rakennettiin yleisöön vetoavia sisältöjä. Palvelun dynamiikalle myös tunteiden herättäminen on keskeistä, ja tunnereaktioiden aikaansaaminen vaikuttaa sisältöjen saamaan näkyvyyteen, vuorovaikutukseen ja yleisön sitoutuneisuuteen. Kun Palestiinan lipun käyttö kiellettiin 1960-luvulla Israelin miehitettyä Gazan ja länsirannan, palestiinalaiset kiersivät kieltoa hyödyntämällä muita symboleja. Tämän vuoksi TikTok-aktivismi on usein luonteeltaan viihteellistä ja trendeihin perustuvaa toimintaa, jossa vakaviakin viestejä voidaan välittää leikillisellä ja algoritmin suosimalla tavalla. TikTok tunnetaan vahvasta algoritmistaan, joka ohjaa millaiset sisällöt saavat näkyvyyttä ja mitä sisältöjä käyttäjille suositellaan. Ihmisoikeusjärjestöjen perinteinen rooli dokumentoidun tiedon tuottajana ja välittäjänä on edelleen merkittävä osa järjestöjen toimintaa, mutta uusien somepalvelujen käyttöönotto on vaatinut myös tasapainottelua palvelujen toimintakulttuurien sekä uskottavan, informatiivisen viestinnän välillä
Palestiinalaiset sisällöntuottajat sodan kuvaajina Sosiaalinen media on toiminut palestiinalaisille jo pitkään tärkeänä väylänä tiedonvälitykseen, vaikuttamiseen ja yhteisöllisyyden rakentamiseen. Järjestöt korostivat julkaisuissaan hätää ja avuntarvetta, ja julkaisut ottivat harvoin kantaa kriisin taustoihin. Myös järjestöiltä odotettiin vahvempia toimia ja selkeämpiä kannanottoja. Graafistenkin sisältöjen kautta kuvattiin synkkiä tilanteita, joissa ihmisiä yritettiin auttaa silloin, kun lääkintätarvikkeita tai sähköä ei ollut, avuntarvitsijoita oli liikaa ja vammat olivat vakavia. Tunteisiin vetoavien sisältöjen avulla voitiin pyrkiä herättämään yleisössä tunnereaktioita, empatiaa ja auttamishalua sekä kannustaa esimerkiksi vetoomusten allekirjoittamiseen tai lahjoitusten tekemiseen. Julkaisuissa hyödynnettiin dokumentaarista kuvaustapaa, jossa hän sanoitti ja kuvasi Gazan tapahtumia sekä haastatteli muita alueella eläviä keräten silminnäkijöiden kertomuksia tapahtumista. 2025.4 18. voisista olosuhteista, joissa avustustyöntekijät ja lääkärit toimivat ja joissa konfliktialueella asuvat ihmiset joutuivat elämään. Samalla hän hyödynsi myös tilastotietoa asettaessaan mittakaavaan sodan vaikutusten laajuutta Gazan kaistalla asuvaan palestiinalaisväestöön. Tämä herätti Israelin kannattajissa negatiivisia reaktioita, ja he vaativat israelilaisten näkökulmien esille tuomista. Aiheen tulenarkuus nousi pintaan järjestöjen nostaessa esiin ihmisoikeusrikkomuksia ja avuntarvitsijoita kansalaisuudesta riippumatta. Hän kuvasi julkaisuissaan vahvan elämäniloisella otteella esimerkiksi ystäviensä kanssa vietettyä aikaa, musiikin kuuntelua, kuntoilua tai ruoanlaittoa. Bisan Owdan tavoin myös palestiinalaissisällöntuottaja Medo Halimy jakoi TikTokiin päivittäistä elämäänsä sotaalueelta. Sosiaalisen median alustoilla palestiinalaiset ovat voineet itse määritellä, miten heidät nähdään ja millaisina heidän kokemuksensa tallentuvat. Gazan vakavasta humanitaarisesta kriisistä johtuen järjestöjen julkaisut käsittelivät paljon palestiinalaisten hätää. Se on ollut erityisen merkittävä kanava kansalle, joka on hajautunut maantieteellisesti ja kohdannut sortoa, hiljentämistä sekä historiansa uudelleenkirjoittamista. Kun järjestöt puolestaan käsittelivät israelilaisten panttivankien vapauttamisen tarvetta, kommentoijat kyseenalaistivat valintaa, joka koettiin takinkääntämisenä aiemmasta tuesta palestiinalaisille. Tunnepitoiset kuvaukset esimerkiksi avustustyöntekijöiden työstä herättivät huomiota ja empatiaa. Bisan kuvasi videoillaan esimerkiksi sairaaloiden ahdinkoa sekä ruoan, veden ja turvan puutetta sekä jatkuvaa pelkoa seuraavista iskuista. Esimerkiksi palkitun palestiinalaisvaikuttaja Bisan Owdan TikTokjulkaisut keskittyivät lähes reaaliaikaiseen sodan kuvaamiseen ja tapahtumien raportointiin. Samalla järjestöjen viestintä kuitenkin herätti ristiriitaisia reaktioita. Toimijoilta odotetaan sosiaalisen median alustoilla puolen valitsemista ja vahvoja kannanottoja. Asiasisällöiltään palestiinalaisten sisällöntuottajien julkaisut saattoivat muistuttaa ihmisoikeusjärjestöjen viestintää sota-alueelta. Palestiinalaiset sisällöntuottajat ovat hyödyntäneet TikTokia lähes reaaliaikaiseen sodan tapahtumien raportointiin, päivittäisen arjen kuvaamiseen ja kulttuurin, historian ja identiteetin vahvistamiseen sekä näkyväksi tekemiseen. Henkilökohtaiset kertomukset sodan keskeltä voivat toimia voimakkaana keinona inhimillistää sodan tapahtumia ja tuoda niitä lähemmäs yleisöä. Konfliktiin liittyy valtavasti ristiriitaisia tulkintoja. Yleisön kommenteissa osoitettiin tukea ja kiitollisuutta järjestöjen tekemää työtä kohtaan. Bisanin ja ihmisoikeusjärjestöjen julkaisuista poiketen Medon sisällöt keskittyivät pääosin kevyempään ja helpommin sulateltavaan sisältöön. Näin hän toi esille esimerkiksi kuolleiden tai kotinsa menettäneiden määrää. Hän jakoi arkeaan sodan keskellä sosiaaliselle medialle tyypillisten ”my day” -videoiden avulla, joissa hän kuvasi päivittäistä elämäänsä sota-alueella. Bisanin julkaisuista välittyi hänen kokemuksensa journalistina. Tämä lähtökohta on asettanut hankalaan asemaan järjestöt, joiden toiminta perustuu puolueettomuudelle. Amnesty ja Doctors Without Borders jakoivat TikTokissa asiapitoisia infopaketteja sekä tunnepitoisia avustustyöntekijöiden kuvauksia sodan todellisuudesta. Gazaa käsittelevien julkaisujen kommenttikentät sisälsivät kiivaita väittelyitä sodan syyllisistä ja uhreista Israelin ja Palestiinan tukijoiden jakautuessa omiin leireihinsä. Israelin ja Palestiinan välinen konflikti on äärimmäisen polarisoitunut aihe, joka kietoutuu syviin historiallisiin, poliittisiin, ideologisiin ja uskonnollisiin jännitteisiin
Tämän jälkeen Medon julkaisujen kommenttikentät täyttyivät kollektiivisesta surusta ja muistamisesta. Sisältöjen vaikuttavuutta ei mitata sen perusteella, kenellä on eniten faktuaalista tietoa tai kenen sydän on höyhentä kevyempi. Parasosiaaliset suhteet lisäävät julkaisujen sitouttavuutta, mutta myös seuraajien kokemusta sisällöntuottajien uskottavuudesta ja luotettavuudesta. Turruttavan ja etäännyttävän uutisvirran esittelemät pommitukset, nälänhätä ja sairaudet konkretisoituivat sisällöntuottajien kokemusten kautta todellisiksi. Positiivisesta vireestään huolimatta julkaisut sisälsivät myös kuvauksia haastavista olosuhteista, joita esimerkiksi asuminen teltassa, sähkön puuttuminen ja haasteet ruoan tai veden saamisessa aiheuttivat. Yleisön tunnepitoiset kommentit viestivät vahvasta tunneyhteydestä ja kiintymyksestä sisällöntuottajia kohtaan, ja kommenteissa osoitettiin myötätuntoa ja huolta heidän hyvinvoinnistaan. Tällaista yleisön tuntemaa yhteyttä, läheisyyttä ja sitoutuneisuutta voidaan kuvata parasosiaalisen suhteen käsitteen avulla. Sisältöjen jakaminen itsessään ei takaa niiden vaikuttavuutta, vaan sisällöntuottajien tulee ymmärtää sosiaalisen median palveluiden toimintaperiaatteita ja pelata niiden säännöillä. Sisällöntuottajat jakoivat päivittäistä elämäänsä ja ajatuksiaan videoilla ja puhuttelivat yleisöään. misessä ja vastakkainasettelujen syventymisessä. Sosiaalinen media ei kuitenkaan ole optimistisimmissa näkemyksissä kaavailtu demokratian riemuvoitto, joka nostaa kaikki äänet näkyviin ja tasavertaisiksi. Sillä on kiistaton rooli informaatiosodankäynnissä, propagandan levittäBisan Owda jakoi TikTokissa tunnepitoisia sisältöjä, jotka herättivät yleisössä tunnereaktioita ja saivat osakseen runsaasti välittämistä ja empatiaa. Hän vastaili julkaisuissaan yleisön kommentteihin ja avasi yleisöä askarruttaneita kysymyksiä esimerkiksi juomaveden hankkimisesta, suihkussa käymisestä, internet-yhteyksien löytämisestä sekä puhelimien latauksesta sähköverkon puuttuessa. Henkilökohtaiset ja samaistuttavat sisällöt loivat yhteyttä sodan keskellä eläviin ihmisiin, ja tekivät heidän kokemuksistaan yleisölle helpommin lähestyttäviä. Näin ollen eri alustat paitsi tarjoavat uusia kanavia sisältöjen jakamiseen, ne myös aktiivisesti muovaavat sitä, miten sodista kerrotaan. 19. Huoli sisällöntuottajien hyvinvoinnista ja tapahtumien seuraaminen heidän kokemustensa kautta myös rakensi yleisön emotionaalista kytköstä tapahtumiin. He asettuvat aktiivisiksi toimijoiksi passiivisten uhrien sijaan. Vaikka julkaisutyyleissä oli myös yhtäläisyyksiä, merkittävänä erona sisällöntuottajien ja järjestöjen jakamien, sodan todellisuutta kuvaavien videoiden välillä oli sisällöntuottajien julkaisujen vahva henkilöityminen juuri heihin. Medo oli aktiivinen yleisönsä kanssa. Vaikka kuka tahansa voi jakaa sosiaaliseen mediaan sisältöjä, alustojen algoritmit määrittävät pitkälti sen, kenen sisällöt lopulta saavat näkyvyyttä. Heidän jakamansa henkilökohtaiset ja tunnepitoiset sisällöt myös resonoivat yleisössä ja tekivät sodan inhimillisen ulottuvuuden näkyväksi. Medo kuoli Israelin iskussa elokuussa 2024, mikä teki sodasta ja sen inhimillisistä seurauksista hyvin konkreettista monille Medon elämää seuranneille ihmisille. Lopuksi: Sotakuvastot sosiaalisessa mediassa Sosiaalinen media on muuttanut perusteellisesti käsityksiä siitä, miten sotia lähestytään ja miten niitä kuvataan. Sisällöntuottajien julkaisujen avulla sodan todellisuutta voidaan tehdä näkyväksi tavoilla, jotka korostavat sen keskellä elävien ihmisten moniulotteisuutta, kokemusta ja ääntä. Palvelut myös sensuroivat esimerkiksi poliittisesti polarisoituneita sisältöjä. He voivat itse osallistua sodasta käytävään julkiseen keskusteluun ja myös päättää, miten he haluavat tulla nähdyksi. Tämä on tarjonnut mahdollisuuden aiemmin kuulumattomiin jääneiden äänien esille nostamiseen, moniääniseen tiedonvälitykseen, aktivismiin sekä yhteisöllisyyden ja vertaistuen rakentamiseen. Tämä näkökulma tuo kiinnostavan vertailukohdan aiempiin sodan kuvauksiin, joissa sodan keskellä elävät ihmiset näyttäytyivät kasvottomina kärsijöinä ja lukuina raporteissa. Tunnepitoiset ja samaistumispintaa tarjoavat sisällöt rakensivat yleisön kokemusta yhteydestä ja läheisyydestä ja sitouttivat näitä sisällöntuottajiin ja heidän jakamiinsa sisältöihin. Toisaalta sosiaalinen media on myös ohittanut tiedonvälitystä hallinneita portinvartijoita ja hajauttanut valtaa määritellä, mitä ja miten maailman tapahtumista kerrotaan. Sisällöntuottajat kuvasivat sotaa omilla kasvoillaan toimien sen kokijoina ja todistajina. Samalla voidaan kuitenkin pohtia, että jos sisällöntuottaja toimii linkkinä kahden eri todellisuuden välillä ja on sitouttanut yleisönsä sodan tapahtumiin, rajoittuuko yleisön kiinnostus tapahtumista ja ihmisten kohtaloista lähinnä heidän tuntemaansa sisällöntuottajaan. Tämän vuoksi heidän jakamallaan sisällöllä on painoarvoa ihmisten näkemyksiin vaikuttamisessa
Kesti kuitenkin vielä kauan ennen kuin harrastajille ja kuluttajille tuli saataville varhaisia, toimivia tekoälysovelluksia. Mediahistoria korostaa tutkimuksen osalta vahvaa suhdetta valittuun tietolähteeTEKOÄLY JA SKROLLI VÄLÄHDYKSIÄ ILMIÖN MEDIAHISTORIASTA 2025.4 20. Tämän varhaisen ja rajoittuneen kielimallin puitteissa toiminut keskustelubotti kuitenkin osoitti, kuinka tekoäly kiehtoi jo 1980-luvun teknologiaoptimistista yleisöä. Olen itse ollut julkaisemassa aiheeseen pureutunutta tutkimusartikkelia, joka esiteltiin Skrollin numerossa 2020.1. Välillä alan keskustelu nousi uudelleen muotiin ja lakastui – varsinkin soveltavalla puolella. Kasvi. Samalla ne paljastavat yllättäviä samankaltaisuuksia ja jatkumoja nykyaikaan. Sen tunnetuin variantti on MikroBitin ensimmäisessä numerossa keväällä 1984 ilmestynyt Commodore 64 -versio, jota oli kääntämässä Jyrki J. Tietotekniikan harrastajat ja asiantuntijat toki tietävät, ettei tekoäly ole mikään uusi keksintö. Lähteiden perusteella Suomessa alan yliopistotutkijat seurasivat kuitenkin jo 1960-luvulla alan kehitystä tarkasti. Kenties paras esitys aihepiiristä löytyy Jaakko Suomisen väitöskirjasta Koneen kokemus (2003). Tietokoneharrastamisen näkökulmasta on kuitenkin järkevää nostaa esille punaisia lankoja ja esimerkkejä tietoteknisestä menneisyydestä. J. Nykyisen tekoälyä koskevan julkisuuskeskustelun pohja voidaan lähteiden perusteella ajoittaa noin 2010-luvun alkuun. Kalle kotipsykiatri tunnetaan myös lukuisista bugeista, joiden korjaaminen lehdessä vei aikaa. Tietokoneharrastajille julkinen tekoälykeskustelu seurasi melko tarkasti sen yleisempiä pääpiirteitä seuraavien vuosikymmenien aikana. Esimerkiksi Kalle kotipsykiatri -ohjelma tuo esille kiinnostavia välähdyksiä siitä, miten ja millä tavalla ilmiötä on Suomessa eri vuosikymmeninä tarkasteltu. On aika pysähtyä hetkeksi paikalleen ja suunnata katse menneisyyteen. Tekoälyn kotimainen mediahistoria ulottuu käytännössä 1940–50-luvulle, jolloin Suomessa ei ollut toiminnassa vielä ainuttakaan tietokonetta. TEKOÄLY Tutkimusartikkeli on luettavissa WiderScreen-lehden numerossa 1–2/2025 osoitteessa widerscreen.fi T ekoälyn mediahistoriaa Suomessa ei ole yksittäisiä tapaustutkimuksia lukuun ottamatta tarkasteltu systemaattisesti. Teksti: Petri Saarikoski yleisesti sähköaivoista tai älylaskimista. Sen aikaisessa mediassa seurattiin kuitenkin ahkerasti tietokoneistumisen ensimmäistä aaltoa. Tärkeimmäksi ominaisuudeksi nostettiin tietenkin tietokoneiden kasvava laskentakapasiteetti, jonka ennustettiin nousevan räjähdysmäisesti. Tietokoneharrastajien kannalta kiinnostavin välietappi saavutettiin 1980-luvun alkupuoliskolla, kun saataville tuli Pekka Tolosen laatima Kalle kotipsykiatri -tekoälyohjelma, joka julkaistiin aluksi Apple II -mikrotietokoneelle Prosessori-lehdessä syyskuussa 1982. Varsinkin Yhdysvaltojen tietoteknistyminen aiheutti runsaasti julkista pohdintaa siitä, miten tulevaisuudessa tietotekniikka voisi simuloida ihmisen älykkyyttä. Tietokone-termi ei ollut vielä edes vakiintunut, vaan puhuttiin Tekoälyn nykyiselle julkisuuskuvalle on tyypillistä historiattomuus. Niistä kertovat tarinat, joita tutkimukset kriittisesti avaavat, ovat aikakapseleita, välähdyksiä tietyn vuosikymmenen teknologiakulttuurista. Kansalliskirjaston tietokantatulosten perusteella julkisuudessa laajempi tekoälykiinnostus alkaa vuonna 2017, vaikka mediamainintojen määrä oli kasvanut tasaisesti 2010-luvulla. Skrollin tekoälykirjoittelu tarjoaa mielenkiintoisen aikamatkan ilmiön lähihistoriaan