Praktikum 6 - Turvaline suhtlus

Tehnoloogia ja tehnika turvalisuse arengu tulemusena on üha levinumad ründed inimese kui süsteemi nõrgima lüli vastu. Tänase praktikumi esimeses osas tutvume e-kirjade turvalisusega ning näitame, kuidas saata krüpteeritud e-kirju ning miks meili teel saabunud infot ei tohiks kontrollimatult usaldada (ajakirjandusest leiab pidevalt kurbi näiteid, mis juhtub kui e-kirjas olevat infot ei kontrollita – libaarvete probleem või kellegi teise nimel e-kirja saatmine). Lisaks vaatame turvalise suhtluse võimalusi rakenduse Signal näitel ning uurime kuidas võimalikult anonüümselt internetti külastada torbrowser abil. Praktikumi viimase osana palume teil läbida küberhügieeni kursuse, kus käsitletakse erinevaid turvalise käitumise põhimõtteid ning kuidas iseseisvalt levinud petuskeeme tuvastada ning vältida.

Emailide turvalisus

Email on üks levinumaid digitaalselt info vahetamise kanaleid. Kahjuks oli (on siiani) email seejuures suhteliselt ebaturvaline moodus infot edastada, sest on väga raske kontrollida saabunud info terviklikkust (integrity) ja tegelikku saatjat (origin). E-kirjade ebaturvalisusega seotud probleemide illustreerimiseks saadame tänases praktikumis erinevatel viisidel e-kirju.

Outlook ja Gmail Turvaline e-kirja saatmine

Mitmed suuremad e-mailide teenusepakkujad on tänaseks krüpteeritud e-kirjade saatmise funktsionaalsuse lisanud oma teenusele. Näiteks kui sisenete enda TÜ kasutaja ja parooliga aadressile http://kiri.ut.ee ja seal valite New mail (uue kirja koostamise aken). Lisage Outlookis kirjale saaja (mõni muu enda meiliaadress), pealkiri ja sisuks paar sõna. Nüüd otsige Options/Suvandid vahelehte ja sealt valige Encrypt/Krüpteeri/luku märk. Erinevatest krüpteerimise valikutest valige Encrypt/Krüpteeri. Seejärel peaks tekkima infoteade kirja algusesse Encrypt: This message is encrypted. Recepients can't remove encryption. Saatke kiri ise-enda teisele e-maili aadressile. Proovige nüüd krüpteeritud kirja avada saaja (enda) e-maili postkastis.

Teise edumeelse näitena võib välja tuua Gmail e-maili teenuse. Kus tuleb e-kirja koostamise aknas vajutada tabaluku ja kellaga ikoonile Turn confidential mode on/off. Eriti mugav on, et krüpteeritud kiri on ka esmase jagamise kaitsega (ei saa kopeerida, printida ega edasi saata kogemata). Lisaks on võimalik krüpteeritud kirja saata ka mitte Gmaili meiliaadressile, misjuhul saadetakse teist kanalit pidi (SMS) avamise kood eraldi adressaadini.

Osad arvamused soovitavad kasutada ka Proton nimelist e-maili teenust, mille suurim reklaamlause on et sarnaselt PGP või krüpteeritud e-kirjadega ei saa nö meiliserver või meili vahendajad sinu e-mailidele ligi (End-to-End-Encryted). https://proton.me/

• 6-1: Saatke endale krüpteeritud kiri ühelt meiliteenuselt teisele (nt Ülikooli meiliaadressilt isiklikule Gmaili aadressile või vastupidi). Esitage ekraanivaade, kust on näha meili sisu ning kirje, et tegemist on krüpteeritud meiliga.

E-kirja saatmine TÜ sisevõrgust SMTP (Simple Mail Transfer Protocol)

NB! Alates aprillist 2025 ei ole käesolev harjutus enam töötav seoses Tartu Ülikooli IT-osakonna otsusega eemaldada adalbergi serverist telnet turvakaalutlustel.

E-kirjad liiguvad internetis ajalooliselt vägagi sarnaselt sellele, kuidas liiguvad füüsilises maailmas paberkirjad. Meil on olemas igas riigis (piirkonnas) postiteenuse osutaja kelle ülesandeks on e-kirjad kokku koguda ja õigete aadress-saatideni kohale toimetada. Digitaalsel maailmas teevad seda nn e-maili serverid (keda tihti nimetatakse ka e-mail relay, MTA). TÜ-s on üks selline server mail.ut.ee mis hoolitseb selle eest, et kõik TÜ-st alguse saanud e-kirjad jõuaksid õigesse postkasti TÜ-s ja maailmas. Ajaloolistel põhjustel ei ole e-maili standardisse ja tehnilistesse lahendusse sisse kirjutatud ühtset standardit kuidas kontrollida, et saatja oleks see kes ta väidab end olevat ning kuidas kontrollida, et e-kirju vahepeal ei modifitseerita. Selle kõige tulemusena on mail.ut.ee nõus ilma autentimiseta vahendama TÜ sisevõrgust alguse saanud e-kirju soovitud sihtkohta. Seda ebaturvalisust üritab TÜ IT osakond järjest rohkem sulgeda, mis ei ole kahjuks üldse lihtne, sest muidu kaoks ühilduvus vanemate tarkvarade ning e-maili saatjatega (automatiseeritud info-süsteemidega). Siiski on aine õppejõududele vihjatud, et lähiajal selline kirja saatmise meetod sulgetakse ka Tartu Ülikoolis.

SMTP on protokoll meili saatmiseks. SMTP protokolli vaikimisi port on 25. Ühendus tuleks luua selle arvutiga, mis on märgitud DNS-is e-maili saaja domeeni meiliserveriks. Tavaliselt jõuab e-mail kohale ka siis, kui võtta ühendust suvalise koduvõrgu SMTP serveriga, nt mail.ut.ee - sel juhul need serverid vahendavad (relay) e-maili õigele serverile (kui neil vahendamine lubatud on). Varasemalt oli paljudel e-maili serveritel vastav tegevus lubatud, kuid seoses suureneva võltsarvete ja muude e-mailiga saadetavate pettustega on hetkel raske leida avalikku e-maili serverit, mis autentimata kasutajale e-maile edastaks.

Boonuspunkt: Kui leiate "avalikult" kasutatava e-maili serveri, mis lubaks internetist ühenduda sinna telnet vahendusel porti 25 ja sealt kirju saata, siis andke sellest teada aine õppejõududele Alo Peets ja küsige boonuspunkte. Lahendused võib saata Alo e-mailile või esitada moodles Praktikum 0 - praktikumide boonuspunktid. Näiteks ühe varasema aasta boonuse väärilise esitusena teatati õppejõule leheküljest https://emkei.cz/ , mis küll 2025 aastal enam õppejõudude testimise tulemusena kirju kohale ei saatnud, sest on arvatavasti "musta nimekirja" pandud suuremate e-maili klientide poolt.

NB! Järgmist harjutust on vaja edukaks sooritamiseks lahendada TÜ sisevõrgust (kusjuures 2003 arvutiklass on hetkel isoleeritud TÜ sisevõrgust, seega ei sobi ka see). Kusjuures isegi VPN-ühendus ei aita, sest nagu eelnevalt mainitud on TÜ tehnilisest nõrkusest teadlik ja selle kasutamise võimalikult ebameeldivaks ning logitavaks teinud. Piirangust mööda pääsemiseks soovitame kõigil luua kõigepealt VPN ühendus TÜ sisevõrguga, kust saate ssh ühenduse luua adalberg.ut.ee serveriga käsuga ssh TÜkasutajatunnus@adalberg.ut.ee (võite kasutada ka Windows Powershelli eelneva käsu sisestamiseks või Putty nimelist tarkvara Windows keskkonnas) ja siis adalberg.ut.ee serveri käsureal järgnevad tegevused sooritada. TÜ sisevõrgust saaks järgnevat tegevust teha ka autentimata ehk saata nö võltsitud saatja reaga e-kiri heausksele saajale.

NB! Võltsitud (muudetud) saatja reaga e-maili saatmine on keelatud tegevus ja seadusega karistatav (ilma ohvri nõusolekuta, identiteedivargus). Seega järgnev tegevus muudetud saatja reaga e-maili saatmine on väljaspool LTAT.06.002 Andmeturve aine 6. praktikumi ülesande lahendamiseks vajalikku lahendamist keelatud.

adalberg:> telnet mail.ut.ee 25
Trying 2001:bb8:2002:500::47...
Connected to mail.ut.ee.
Escape character is '^]'.
220 smtp2.it.da.ut.ee ESMTP Postfix
HELO ut.ee
250 smtp2.it.da.ut.ee
MAIL FROM:<oppejou.nimi@ut.ee>
250 2.1.0 Ok
RCPT TO:<eesnimi.perenimi@gmail.com>
250 2.1.5 Ok
DATA
354 End data with <CR><LF>.<CR><LF>
From:Õppe Jõud<oppe.joud@ut.ee>
To:Eesnimi Perenimi<eesnimi.perenimi@gmail.com>
X-Mailer: telnet
Subject: e-maili test Turve2025
Content-Type: text/plain; charset=UTF-8
Käesolev kiri on saadetud telneti vahendusel ja illustreerib kuidas saata võõra nime ja aadressi alt e-maili. 
.
250 2.0.0 Ok: queued as C12B39006F
QUIT
221 2.0.0 Bye
Connection closed by foreign host.

Käskude selgitused:

HELO

sessiooni algust tähistav käsk, parameetriks klientarvuti nimi, varasemalt sageli ignoreeriti, kuid järjest enam nõutakse et see peab korrektne DNS mõttes lahenduv nimi olema.

MAIL FROM

parameetriks saatja meiliaadress.

RCPT TO

parameetriks saaja meiliaadress.

DATA

järgneb meili sisu - kõigepealt päised, siis tühi rida ja meili tekst. Lõpetamiseks punkt eraldi real.

QUIT

lõpetab sessiooni.

Päised:

• To: saaja aadress,
• From: saatja aadress,
• Subject: määrab e-maili teema,
• Content-Type: ütleb, et tegemist tavalise tekstilise e-mailiga (vastandina HTML e-mailile) ja sisu on kodeeritud UTF-8 kodeeringus.

Silma torkab, et nii saatja kui saaja aadressi on topelt - nii MAIL FROM/RCPT TO käsus, kui ka From/To päistes. MAIL FROM/RCPT TO moodustavad kirja "ümbriku" (envelope). RCPT TO on e-maili tegelik saaja, To: päises on esialgne saaja, nt listi puhul listi e-maili aadress. Praktikas meiliserver päiseid ei vaata vaid juhindub ainult ümbrikuaadressidest. Ja vastupidi - meilide lugemise programm ei tea midagi ümbrikuaadressidest. Nii on võimalik pimekoopia saatmine - pimekoopia saaja on ümbrikus saajana kirjas, aga päistes teda pole.

Nagu näha, ei nõua SMTP oma algsel kujul mitte mingit tõestust, et sul on õigus saatja nimel e-maili saata. See teebki lihtsaks e-maili ärakasutamise spämmerite ning viiruste poolt. Selle vastu võitlemiseks rakendatakse mitmesuguseid piiranguid:

• IP-aadresside piiramine, kust on SMTP-ühendused lubatud (näiteks mail.ut.ee ei luba väljaspoolt TÜ piiratud sisevõrgust e-maile saata).
• kasutajanime ja parooli ning krüpteeritud ühenduse (SSL/TLS) nõudmine (mitmed veebimajutusteenuse pakkujad).
• SPF reeglid DNS-s, mis loetlevad, millistelt IP-aadressidelt on lubatud antud saatja aadressiga e-maile saata.
• DKIM - e-mailide allkirjastamine serverile teadaoleva privaatse võtmega, mille avalik võti on DNS-s.
• DMARC - Täiendab SPF ja DKIM

E-maili detailse info uurimine

IT-maailmas on esimesel korral infot vaadates raske öelda milline on õige / vale seadistus, kui teil varasem kogemus puudub. Seega lisaks äsjasaadetud SMTP e-kirjale saadame endale ka autentse kirja võrdluseks.

Saatke endale sama sisuga autente e-kiri samale meiliaadressile, kuhu te ka libakirja saatsite telnet vahendusel.

Järgnevalt võrdleme adalberg.ut.ee vahendusel saadetud liba e-kirja ja päris kirja kiri.ut.ee kasutades.

Mõlema e-kirja puhul ava oma e-postirakenduses e-kirja lähtetekst (Gmailis kirjaga tegevuste menüüst View Orginal/Näita algset jne, Microsoft Outlook puhul kirja juures paremal ... menüü -> View -> View Message Details) ja proovi sealt üles leida tehnilise info rida (read), mis kõige paremini illustreerivad, mis keskkonna vahendusel kiri saadeti ja kes selle saatis. NB! Nutitelefonides enamasti detailset vaadet avada ei saa, seega soovitame teha seda ülesannet suure ekraaniga arvutis.

Esmapilgul ei viita miski sellele, et e-maili saatja poleks aine õppejõud.

Kuid kui uurida veidi sügavamale, siis on vihjeid küll, et saatjaks on arvatavasti keegi teine. Käesolev pilt on näide varasemast aastast kus TÜ e-maili poliitika oli veidi vabam ning kohale jõudsid ka vigase SPF kirjega e-mailid.

• 6-2: Saatke iseendale telnetiga e-mail praktikumijuhendaja nimel adalberg.ut.ee serveri vahendusel (või TÜ sisevõrgust). Lisage saatjaks Alo Peets<alo.peets@ut.ee> ja lisa päisesse X-Mailer: rida väärtusega telnet. E-mail peab sisaldama korrektset teemarida (pealkiri) ja täpitähti. Lisa aruandesse pilt enda postkasti saabunud praktikumijuhendaja kirjast koos vaikimisi peidetud X-Mailer: reaga. X-Mailer info ja muu detailse saatja info nägemiseks on vaja meilikliendis avada detailne vaade.

Sõnumivahetusrakenduse "Signal" kasutamine.

Signal¹ on avatud lähtekoodiga, krüptograafide poolt arendatud rakendus, mis pakub otspunktkrüpteeritud ühendusi. See toimib Android (alates 4.0) ja iOS (alates 9.0) seadmetel. Juhul kui rakendus on telefonis aktiveeritud, siis saab kasutada ka arvuti klienti (Desktop client -- toetatud on Windows, MacOS, Debian/Arch baasil Linux distributsioonid).

NB! Järgneva harjutuse sooritamiseks on vajalik omada kaasaegset IT seadet ehk nutitelefoni ja on võimelised Signal ülesannet lahendama. Kui te ei taha kasutada isiklikku telefoni numbrit siis soovitame osta kõnekaardi numbri käesoleva ülesande lahendamiseks (privaatsus ongi enamasti maailmas täiendava kuluga tegevus). Kui teil siiski tekib probleeme Signali kasutamisega isiklikus nutiseadmes või nutiseade üldse puudub võtke ühendust aine õppejõuga Alo Peets, kes pakub teile alternatiivse ülesande.

Teie ülesandeks on:

• Paigaldada Signal nutirakendus
• Lisa kontaktide hulka andmeturbe praktikumi jaoks kasutatav number: +372 53492957 NB! Signali kontaktid võetakse enamasti telefoniraamatust juhul kui mõni telefoniraamatus olev kontakt kasutab Signalit, kuid praktikumi arvestuseks võib keelata ligipääsu kontaktidele ja sisestada numbri käsitsi.
• Ava kontaktiga +372 53492957 (või muudetava kasutajanimega andmeturve.25) uus suhtluskanal

• 6-3: Kirjutage Signal rakenduses numbrile +372 53492957 sõnum, mille sisu on teie ees- ja perekonnanimi.
• Eelpool avatud Signal vestluses valige Chat settings ja leidke seadistus, mille tulemusena sõnumid kustuvad automaatselt 30 sekundi pärast.
• Kirjuta numbrile +372 53492957 konfidentsiaalse sisuga vabalt valitud sõnum, mis automaatselt kustub 30 sekundi pärast kui adressaat on sõnumit näinud. Esitage sõnumist ekraanivaade harjutuse eduka lahendandamise tõestuseks.
  • Ekraanivaate tegemine nutitelefonis on tootjast ja täpse tarkva versioonist sõltuv tegevus. Kui siiski hätta jääte võite teha nö old school lahenduse ehk paluda sõbral enda telefoni ekraanist pilt teha jms.

Tulemus peaks sarnanema pildil kujutatule. Kindlasti kirjutage enda täisnimi ning kasutage teise sõnumi korral automaatse kustumise funktsionaalsust.

Tumeveeb (tor) ja anonüümne suhtlus

Aegajalt võib olla teil soov suhelda anonüümselt teise kasutajaga ilma, et oleks võimalik kergesti tuvastada, kes on teisel pool kanalit suhtlemas ning kust ta suhtleb. Selliseid tarkvarasid kutsutakse anonüümseteks suhtluskanaliteks (anonymous messaging). Näitena võib tuua tarkvara nimega TorChat või BRIAR. Mõlemad põhinevad TOR anonüümsel interneti võrgustikul mille idee on, et ei ole võimalik eri osapooltel kergesti tuvastada kes kellega millal suhtleb. Paraku on aga TorChat viimaste aastate jooksul oma toe suurel määral kaotanud ning on muutunud keeruliseks töötavat versiooni leida.

Levinud on ka nn TOR veebilehitseja https://www.torproject.org/ ja Darkweb foorumite kasutamine anonüümseks suhtluseks ja info levitamiseks. TOR kasutades on väidetavalt võimalik enda interneti teenusepakkuja ja riiklike uurimisasutuste eest ära peita, mis lehti sa külastad (veebist leiab mitmeid arutelusid kui edukalt TOR kasutajaid kaitseb, kuid keskmise kodukasutaja jaoks lisab see kindlasti anonüümsust ja kaitset võrgu jälgimise vastu.). PS! Alates oktoobrist 2021 on .onion V2 lehekülgede tugi eemaldatud TOR browseri versioonist 11 ja edasi, seega olge TOR linke otsides teadlikud, et peaksite otsima pikemaid TOR V3 linke. Lisainfo: https://support.torproject.org/onionservices/v2-deprecation/

Paigaldage Linux Mint virtuaalmasinasse tor veebilehitseja torbrowser ja külastage mõnda küberturvalisusega seotud tumeveebi (.onion) aadressi. Tor veebilehitseja on soovitatav paigaldada TOR kodulehelt, sest paketihalduri pakutav versioon on liialt vana ja annab käivitamisel veateate. https://www.torproject.org/download/ (Vihje: Laadige alla Linuxi versioon, pakkige lahti ja kaustas avage esimesel korral fail Tor Browser Setup, järgnevatel kordadel kannab nime Tor Browser.

• 6-4: Külasta torbrowser veebilehitsejaga enda valitud küberturvalisusega seotud .onion tumeveebi lehte. Lisa lehe külastusest ekraanivaade ning kirjuta kirjeldusena juurde, mis on selle tumeveebilehe eesmärk ning miks on see küberturvalisusega seotud.

Küberhügieeni koolitus

Tänapäeva digitaalses maailmas on süsteemide turvalisus pidevalt paranenud, vähendades paljusid levinud turvariske. Kuid hoolimata tehnoloogilistest edusammudest sõltub küberturvalisus üha enam inimeste endi teadlikkusest, ohutunnetusest ja oskusest pettuseid ära tunda ning käituda turvaliselt. Seetõttu käesoleva praktikumi viimase ülesandena palume teil lahendada Tartu Ülikoolis töötajate harimiseks ja teadmiste testimiseks kasutusel olev küberhügieeni koolitus KÜBERHÜGIEEN 5, viimaks teid kurssi levinud petuskeemidega ning kuidas tänapäeva digitaalses maailmas turvaliselt käituda.

Testi sooritamisel on teil võimalus mooduli tulemuste profiil eksportida, mille palume teil praktikumi sooritamise tõendina esitada. NB! Maksimaalse hinde paneme ainult nendele esitustele, kelle riskitase kordamisküsimuste tulemustes ei ületa 40% üheski alamkategoorias. Seega võtke Küberhügieeni mini-kursuse/testi läbimiseks aega ning vastake mõttega, kuna harjutust saab hindele lahendada ainult üks kord.

• 6-5: Lahendage järgneval veebilehel ära KÜBERHÜGIEEN 5 koolitus: https://cyberhygiene.ut.ee/. Hindamisel arvestame ainult kordamisküsimuste tulemusi ning täispunktideväärseks lahenduseks loeme tulemusi, mille riskitase jääb alla 40% kõigis alamkategooriates. Eksportige oma kursuse tulemus PDF kujul ning esitage see lahendamise tõestuseks moodle keskkonda.

Praktikumi ülesanded

Praktikumi ülesannete lahendamine annab neli punkti ja esitamiseks on kaks nädalat alates praktikumi toimumisajast (Personaalne tähtaeg vahemikus 31. märts - 03. aprill).

• 6-1: Saatke endale krüpteeritud kiri ühelt meiliteenuselt teisele (nt Ülikooli meiliaadressilt isiklikule Gmaili aadressile või vastupidi). Esitage ekraanivaade, kust on näha meili sisu ning kirje, et tegemist on krüpteeritud meiliga. - 0.5p
• 6-2: Saatke iseendale telnetiga e-mail praktikumijuhendaja nimel adalberg.ut.ee serveri vahendusel (või TÜ sisevõrgust). Lisage saatjaks Alo Peets<alo.peets@ut.ee> ja lisa päisesse X-Mailer: rida väärtusega telnet. E-mail peab sisaldama korrektset teemarida (pealkiri) ja täpitähti. Lisa aruandesse pilt enda postkasti saabunud praktikumijuhendaja kirjast koos vaikimisi peidetud X-Mailer: reaga. X-Mailer info ja muu detailse saatja info nägemiseks on vaja meilikliendis avada detailne vaade. - 0.5p
• 6-3: Kirjuta numbrile +372 53492957 oma täisnimi ning sõnum, mis automaatselt kustub 30 sekundi pärast kui adressaat on sõnumit näinud. Esitage sõnumitest ekraanivaade. - 0.5p
• 6-4: Külasta torbrowser veebilehitsejaga enda valitud küberturvalisusega seotud .onion tumeveebi lehte. Lisa lehe külastusest ekraanivaade ning kirjuta kirjeldusena juurde, mis on selle tumeveebilehe eesmärk ning miks on see küberturvalisusega seotud. - 0.5p
• 6-5: Lahendage järgneval veebilehel ära KÜBERHÜGIEEN 5 koolitus: https://cyberhygiene.ut.ee/. Hindamisel arvestame ainult kordamisküsimuste tulemusi ning täispunktideväärseks lahenduseks loeme tulemusi, mille riskitase jääb alla 40% kõigis alamkategooriates. Eksportige oma kursuse tulemus PDF kujul ning esitage see lahendamise tõestuseks.- 2p

Esitada aine moodle keskkonda. Otselink: https://moodle.ut.ee/mod/assign/view.php?id=1260466

Lisamaterjalid

• Neither Snow Nor Rain Nor MITM ... An Empirical Analysis of Email Delivery Security (2015).
• Ransomware.live