Sähköpostijätit yhteisvoimin roskapostia vastaan

Sähköpostin välityksessä on varmasti paljon tietoturva-aukkoja, mutta yrityksen tietoturvaa pitää tarkastella kokonaisuutena. SSH ym. lafkat kyllä mielellään peloittelevat tällaisilla kauhukuvilla ja pyrkivät siten myymään omia salaustuotteitaan, mutta yrityksen tietoturvan kokonaisuuden kannalta sähköpostin salaus on harvemmin kovin tärkeä asia.

Yrityksissä tiedostetaan se, että sähköposti on turvaton. Yrityksissä on säännöt, minkälaista tietoa sähköpostissa saa lähettää ja minkälaista ei. Kukaan ei lähetä yrityksen strategiasuunnitelmaa johonkin hotmail osoitteeseen. Ja kuten totesin, jos joku haluaa saada yrityksen salaisuuksia selville, on siihen paljon helpompiakin tapoja kuin sähköpostin kuuntelu. Ettei olisi ollut Kevin Mitcnick joka joskus totesi, että kyllä hän varmaan pääsisi jostain yrityksen tietojärjestelmien suojauksista läpi, mutta miksi vaivautua kun voi soittaa yritykseen ja kysyä sen työntekijöiltä haluamansa tiedot kuten käyttäjätunnukset ja salasanat.

Tietysti jos vaatimuksena on tehdä todella tiukkaa tietoturvaa, niin sähköpostikin pitää salata. Se on kuitenkin työlistalla siellä häntäpäässä, sitä ennen pitää saada monta muuta asiaa kuntoon.

[OFFTOPIC]

Miksi aina kun puhutaan turvattomista toteutuksista mainitaan telnet? Mielestäni FTP on kuitenkin paljon suurempi uhka. Esimerkiksi tiedän monta paikkaa mihin ei pääse käsiksi kuin SSH:lla juuri telnetin turvattomuuden takia, mutta kuitenkin _samat_ tunnukset käyvät _samalla_ koneella pyörivään suojaamattomaan FTPD:n.

[/OFFTOPIC]

Niin ja tämä huomattiin 8kk käytön jälkeen. Mr Craker ei ole jäänyt kiinni. Ikävä kyllä ei voi nimiä kertoa kun firma ei halua nimeään luonnollisesti julkisuuteen mutta voin kertoa ettei ollut pikkulafka... eräs tuttu OLI siellä tietoturva-puolella muttei ole enää ;)
vika ei kylläkään ollut hänen sillä hänen osa-alueensa oli lähinnä reititys, mutta silti koko osasto sai hiljalleen kenkää.

Mikä ongelma se on? Tällöin ISP tietää, että saa lähettää tästä IP:stä tällä domainilla viestejä ja se siitä. Tietysti tuo hieman lisävaivaa listata kaikki, mutta eipähän kukaan käytä sitten väärin osoitteita.

Ja se toinen vaihtoehto, eli autentikointi, on sitten helpompi tuossa mielessä. Silti mikäänhän ei estä spämmeriä laittamasta omaa sähköpostipalvelintaan pystyyn ja hoitamalla sitä kautta viestejä eteenpäin, mutta ainakin vaatii enemmän kaistaa kuin saman viestin lähettäminen miljoonalle bcc:nä. Ja tämänhän voi estää blokkaamalla automaattisesti dialup-IP:t RBL:ssä tai vastaavassa. Kunhan ISP:t itse ne sinne laittaisivat. Mutta ISP:thän ovat laiskoja.