Tietoturvan perusteet
Kuinka verkko toimii
Tämä luku on mukana, jotta voit saavuttaa paremman ymmärryksen verkon toiminnasta.
Ajattele joukkoa ihmisiä, jotka ovat päättäneet jakaa tietoa tietokoneillaan liittämällä ne yhteen, ja lähettämällä tietoa näiden tietokoneiden välillä. Heidän työnsä seurauksena joukko laitteita voi viestiä toistensa kanssa tietokoneverkon kautta. Tietenkin verkko voi olla vielä arvokkaampi ja käyttökelpoisempi, jos se on kytketty toisiin verkkoihin ja toisiin tietokoneisiin ja käyttäjiin. Tämä yksinkertainen halu kytkeytyä ja jakaa tietoa elektronisesti ilmenee tänään maailmanlaajuisena Internet-tietoverkkona. Internet on kehittynyt nopeasti ja sen ristiinkytkentöjen monimutkaisuus on myös lisääntynyt, sillä Internet on kirjaimellisesti rakennettu valtavan verkkojoukon ristiinkytkennästä.
Internetin perustehtävää voidaan kuvata digitaalisen tiedon matkan mahdollistamiseksi sen lähtökohdasta sen päämäärään, käyttäen sopivaa reittiä ja sopivaa kuljetustapaa.
Paikalliset tietokoneverkot (Local Area Network, LAN) yhdistävät fyysisesti joukon tietokoneita ja muita laitteita samassa fyysisessä sijainnissa toisiinsa. Ne voivat myös kytkeytyä toisiin verkkoihin reitittimiksi kutsuttujen laitteiden avulla. Reitit mahdollistavat informaatiovirran verkkojen välillä. LAN-verkkoon kuuluvat tietokoneet voivat kommunikoida toistensa kanssa suoraan jakaakseen tiedostoja ja tulostimia, tai pelatakseen useamman pelaajan videopelejä. LAN voi olla hyödyllinen, vaikka sitä ei olisi kytketty ulkomaailmaan, mutta siitä tulee selvästi hyödyllisempi, kun se on kytketty ulkomaailmaan.
Tämän päivän Internet on hajautettu maailmanlaajuinen paikallisverkkojen verkosto, johon kuuluu myös yliopistojen ja yrityksien suurempia verkkoja, sekä palveluntarjoajien verkot.
Näitä verkkojen välisiä yhteyksiä tarjoavia yrityksiä kutsutaan internet-palveluntarjoajiksi. Palveluntarjoajan velvollisuutena on toimittaa tieto oikeaan paikkaan, yleensä lähettämällä tieto seuraavalle palvelimelle, joka on lähempänä tiedon lopullista päämäärää. Usein seuraava reititin kuuluu toiselle palveluntarjoajalle.
Tämän tehdäkseen palveluntarjoajat ostavat ehkä oman Internet-yhteytensä suuremmalta palveluntarjoalta, kuten valtakunnalliselta palveluntarjoajalta. (Joillain mailla on vain yksi kansallisen tason palveluntarjoaja, joka voi olla hallituksen operoima tai omistama, joillain muilla mailla on useampia, jotka voivat olla kilpailevia telekommunikaatio-alan yrityksiä.) Kansalliset palveluntarjoajat voivat saada omat yhteytensä joltain niistä monikansallisista yrityksistä, jotka ylläpitävät ja huoltavat palvelimia ja yhteyksiä, joita kutsutaan usein Internetin selkärangaksi.
Kantaverkko on rakennettu suurista verkkolaitteista ja niiden välisistä maailmanlaajuisista yhteyksistä, jotka kulkevat optisissa kaapeleissa ja satelliiteissa. Nämä kytkennät mahdollistavat viestinnän internet-käyttäjien välillä eri mantereilla ja eri maissa. Kansalliset ja kansainväliset palveluntarjoajat kytkeytyvät tähän runkoverkkoon reitittimillä, jotka tunnetaan joskus portteina, ja jotka ovat yhteyksiä, jotka antavat eri verkkojen kommunikoida keskenään. Nämä portit, aivan kuin muutkin reittitimet, voivat olla se kohta, jossa internet-liikennettä valvotaan tai kontrolloidaan.
Internetin rakentaminen
Internetin aloittajat uskoivat, että on vain yksi internet, joka on globaali, ja että sen pitäis antaa kahden missä tahansa olevan tietokoneen kommunikoida suoraan keskenään, mikäli molempien tietokoneiden omistajat tahtovat näin tapahtuvan.
Vuoden 1996 muistiossaan Brian Carpenter, joka toimi silloin Internet Architecture Boardin puheenjohtajana, kirjoitti:
yleisesti ottaen Internetin kehittäjäyhteisö uskoo, että päämääränä on yhdistettävyys... Verkon kasvu tuntuu näyttävän, että yhteyksien luominen on itsessään suurempi kannustin kuin mikään yksittäinen sovellus.
Internetin aloittajat loivat ja luovat edelleenkin standardeja, joiden avulla pyritään tekemään omien verkkojen perustamisesta ja niiden liittämisestä yhteen helpompaa. Internet-standardien ymmärtämys auttaa selvittämään kuinka Internet toimii ja kuinka verkkosivuja ja palveluita voidaan tehdä tavoitettaviksi.
Yksinkertaisin kaikkia laitteita globaalissa internetissä yhdistävä standardi on nimeltään Internet Protocol (IP).
Standardit eri laitteiden tunnistamiseen verkossa
Kun tietokoneesi ottaa yhteyttä internetiin, sille annetaan normaalisti numeromuotoinen IP-osoite. Aivan kuin postiosoite, IP-osoite identifioi yksittäisen tietokoneen internetissä. Toisin kuin postiosoite, IP-osoite (varsinkin henkilökohtaisen tietokoneen IP-osoite) ei välttämättä ole pysyvästi liitetty tiettyyn tietokoneeseen. Joten tietokoneesi lopettaessa internet-yhteyden ja ottaessa uuden yhteyden se voi saada uuden IP-osoitteen. IP-protokollasta käytetään tällä hetkellä yleensä versiota IPv4. IPv4-protokolla kirjoitetaan neljällä numerolla väliltä 0-255, joita erottavat pisteet (kuten 207.123.209.9).
Toimialueen nimet ja IP-osoitteet
Kaikki Internet-palvelimet, verkkosivuja sisältävät palvelimet, omaavat myös oman IP-osoitteensa. Esimerkiksi verkkotunnuksen www.freepressunlimited.org osoite on 195.190.28.213. Koska IP-osoitteen muistaminen on vaikeaa ja ne voivat ajoittain muuttua, on olemassa erilaisia järjestelmiä, joilla helpotetaan tietyn palvelimen löytämistä internetissä. Tämä järjestelmä on Domain Name System (DNS), jossa jouko tietokoneita on omistautunut palvelemaan tietokonettasi IP-osoitteilla, jotka on liitetty "nimiin", jotka ihmisten on helppo muistaa.
Mennäksesi esimerkiksi Free Press Unlimited-verkkosivulle voit kirjoittaa osoitteen www.freepressunlimited.org, joka tunnetaan myös verkkotunnuksena (domain) IP-osoitteen 195.190.28.213 sijasta. Tämän jälkeen tietokoneesi lähettää tämän nimen sisältävän viestin DNS-palvelimelle. Kun DNS-palvelin muuttaa domain-nimen IP-osoitteeksi, se jakaa tämän tiedon tietokoneesi kanssa. Tämä järjestelmä tekee verkkoselaamisen ja muut internetin käyttötavat ihmisystävällisiksi ihmisille ja tietokoneystävällisiksi tietokoneille.
Matemaattisesti tarkasteltuna IPv4 mahdollistaa 4,2 miljardin tietokoneen kytkemisen internetiin. On myös teknologia, jonka avulla monta tietokonetta voi jakaa saman IP-osoitteen. Tästä huolimatta IP-osoitteet oli käytännössä käytetty loppuun vuoden 2011 alussa. Tämän seurauksena on kehitetty IPv6-protokolla, jonka yksittäisten osoitteiden valikoima on paljon suurempi. IPv6-osoitteet ovat paljon pidempiä ja niitä on vielä vaikeampi muistaa kuin perinteisiä IPv4-osoitteita. Esimerkki IPv6-osoitteesta:
2001:0db8:85a3:0000:0000:8a2e:0370:7334
Vaikka vuonna 2011 alle 1% internetistä käyttää IPv6-protokollaa, tulee sen käyttö luultavasti lisääntymään nopeasti lähitulevaisuudessa.
Protokollat tiedon lähettämiseksi verkon läpi
Internetissä siirrettävä tieto voi olla monessa eri muodossa:
- suurlähetystöösi lähettämä sähköposti
- kuva tai video tapahtumasta
- yhteystietoja sisältävä tietokanta
- ohjeita sisältävä tiedosto
- arkaluontoisen raportin sisältävä asiakirja
- tietyn taidon opiskeluun luotu tietokone-ohjelma.
Tiedon eri muotojen käsittelyyn on laaja valikoima internet-ohjelmistoja, jotka toimivat erilaisten protokollien mukaan:
- sähköpostit käsittelee Simple Mail Transport Protocol (SMTP)
- pikaviestejä varten on Extensible Messaging and Presence Protocol (XMPP)
- tiedostojen jakamiseen sopii File Transfer Protocol (FTP),
- vertaisverkkojen tiedostonjakoa varten on BitTorrent-protokolla
- Usenet-uutisien lukemiseen on olemassa Network News Transfer Protocol (NNTP)
- lisäksi on protokollien yhdistelmiä: puheviestintää varten on Voice Over Internet Protocol (VoIP), Session Initiation Protocol (SIP) ja Real-time Transport Protocol (RTP)
Verkko
Vaikka monet ihmiset käyttävät käsitteitä "Internet" ja "WWW" synonyymeinä, viittaa WWW itse asiassa vain yhteen Internetin käyttötapaan. Käyttäessäsi WWW:tä, käytät verkkoselaimeksi kutsuttua ohjelmaa. Selaimia ovat Mozilla Firefox, Google Chrome, Opera ja Microsoft Internet Explorer. WWW:n käyttämä protokolla on Hyper-Text Transfer Protocol eli HTTP. Olet ehkä kuullut myös HTTPS-protokollasta, joka on HTTP:n turvallinen versio. HTTPS käyttää Transport Layer Security (TLS) -salausta turvatakseen viestintäsi.
Tietojesi matkan seuraaminen Internetissä
Katsotaanpa esimerkiksi verkkosivulla käymistä kotikoneeltasi.
Mene selaimellasi verkkosivulle
- Kirjoita osoite http://freepressunlimited.org/. Tietokone lähettää domain-nimen "freepressunlimited.org" valitulle DNS-palvelimelle, joka palauttaa paluuviestin, jossa on Free Press Unlimited -palvelimen IP-osoite (tällä hetkellä 195.190.28.213).
- Selain lähettää tämän jälkeen pyynnön yhteydestä tähän IP-osoitteeseen.
- Pyyntö kulkee reitittimien läpi. Jokainen reititin lähettää kopion pyynnöstä lähempänä päämäärää olevalle reitittimelle, kunnes se päätyy reitittimelle, joka löytää haetun tietokoneen.
- Tämä tietokone lähettää tiedot takaisin sinulle, jolloin selaimesi voi lähettää koko URL-osotteen ja vastaanottaa tiedot, joilla sivu näytetään.
Verkkosivulta sinulle saapuva viesti kulkee muiden laitteiden läpi (tietokoneiden tai reitittimien). Jokaista tällaista laitetta voidaan sanoa "loikaksi"; loikkien joukko on se määrä tietokoneita ja reitittimiä, joihin viestisi on yhteydessä matkan varrella, yleensä loikkia on 5-30.
Miksi tämä on tärkeää?
Normaalisti kaikki näistä monimutkaisista prosesseista ovat piilossa ja niitä ei tarvitse ymmärtää jonkin tietyn tiedon löytämiseksi. Kuitenkin ihmiset ja organisaatiot voivat rajoittaa pääsyä tiedon äärelle, jolloin he muuttavat tätä järjestelmää ja mahdollisuudet käyttää verkkoa ovat rajallisempia. Siinä tapauksessa on tarpeen tietää mitä verkolle on tehty, jotta rajoitukset voidaan kiertää.
Ajattele palomuureja, jotka ovat laitteita, jotka tarkoituksellisesti estävät tietynlaisen kommunikaation kahden tietokoneen välillä. Palomuurit auttavat verkon omistajaa luomaan sääntöjä, joiden mukaan viestintää verkossa rajoitetaan. Aluksi palomuurit olivat lähinnä turvallisuutta ajatellen luotu keksintö, koska ne estävät elektroniset hyökkäykset haavoittuvia tietokoneita vastaan. Palomuureja on alettu käyttää paljon suurempaan joukkoon tarkoituksia, niillä määritellään esimerkiksi millaista sisältöä verkossa voi siirtää.
Toinen esimerkki ovat DNS-palvelimet, jotka liittävät IP-osoitteet haettuihin domain-nimiin. Kuitenkin joissain tapauksissa DNS-palvelimet voivat toimia sensuurin työkaluina, sillä ne voivat antaa väärät IP-osoitteet, jolloin kukaan ei pääse lukemaan sensuroitua sivustoa.
Sensuuri voi tapahtua useammassa eri internetin infrastruktuurin kohdassa, se voi olla verkon, domainin tai alidomainin laajuista, liittyä tiettyyn protokollaan tai tiettyyn suodatusohjelman sensuroimaan sisältöön. Paras tapa sensuurin välttämiseen riippuu käytetystä sensuuritekniikasta. Näiden erojen ymmärtäminen antaa sinun valita sopivat tavat sensuurin kiertämiseen.
Portit ja protokollat
Tiedon ja resurssien jakamiseksi tietokoneiden täytyy sopia käytännöistä, joiden perusteella tietoa muotoillaan ja vaihdetaan. Nämä käytännöt, joita me kutsumme protokolliksi, ovat joskus verrattavissa ihmisten puhumien kielten kielioppiin. Internet perustuu sarjaan tällaisia protokollia.
Tasoihin jaettu verkkomalli
Internet-protokollat riippuvat muista protokollista. Kun esimerkiksi käytät verkkoselainta ottaaksesi yhteyden verkkosivuun, selain riippuu HTTP tai HTTPS -protokollan käytöstä viestiäkseen verkkopalvelimen kanssa. Tämä viestintä riippuu puolestaan muista protokollista. Oletetaanpa, että käytämme HTTPS-protokollaa tietyllä verkkosivulla varmistaaksemme, että saamme turvallisen yhteyden.
Edellisessä esimerkikssä HTTPS-protokolla on riippuvainen TLS-protokollasta, jolla suoritetaan viestinnän salaaminen niin, että ne ovat yksityisiä ja matkustavat muuttamattomina verkon läpi. TLS-protokolla riippuu puolestaan TCP-protokollasta, joka varmistaa, että informaatio ei katoa tai korruptoidu siirron aikana. Lopulta TCP on riippuvainen IP-protokollasta, joka varmistaa tiedon päätymisen oikeaan osoitteeseen.
Vaikka koneesi käyttäisi salattua HTTPS-protokollaa, se käyttää silti salaamatonta DNS-protokollaa löytääkseen domain-nimen IP-osoitteen. DNS-protokolla käyttää UDP-protokollaa merkitäkseen pyynnön oikeaa reititystä varten DNS-palvelimelle, ja UDP on riippuvainen IP-protokollasta, jotta tieto päätyy oikeaan osoitteeseen.
Tämän hierarkkisen protokollien välisen suhteen vuoksi viittaamme usein protokollien jakamiseen tasoihin. Jokainen taso on vastuussa tietystä osasta viestinnän toimintaa.
Porttien käyttö
Tietokoneet ottavat yhteyttä toisiinsa aiemmin mainitun TCP-protokollan avulla. Ne pysyvät yhteydessä tarpeeksi kauan, että ylemmän tason protokollat ehtivät hoitaa tehtävänsä. TCP käyttää numeroituja portteja huolehtiakseen näistä yhteyksistä ja erottaakseen ne toisistaan. Numeroitujen porttien käyttö antaa myös tietokoneen valita minkä ohjelman täytyy käsitellä tietty pyyntö tai tietty tietopaketti. (UDP käyttää myös porttinumeroita tähän tarkoitukseen.)
IANA (Internet Assigned Names Authority) antaaa porttinumerot erilaisille korkean tason protokollille, joita sovelluspalvelut käyttävät. Tässä on esimerkkejä joistain tavanomaisista porttinumeroista:
- 20 ja 21 - FTP (tiedostonsiirto)
- 22 - SSH (salattu secure shell -etäkäyttö)
- 23 - Telnet (suojaamaton etäkäyttö)
- 25 - SMTP (sähköpostin lähetys)
- 53 - DNS (liittää tietokoneen nimen IP-osoitteeseen)
- 80 - HTTP (verkon normaali selaaminen, joskus myös välityspalvelimen käytössä)
- 110 - POP3 (sähköpostin vastaanottaminen)
- 143 - IMAP (sähköpostin lähettäminen ja vastaanottaminen)
- 443 - HTTPS (salatut verkkoyhteydet)
- 993 - salattu IMAP
- 995 - salattu POP3
- 1080 - SOCKS-välityspalvelin
- 1194 - OpenVPN
- 3128 - Squid-välityspalvelin
- 8080 - Tavallinen HTTP-tyyppinen välityspalvelin
Näiden tiettyjen numeroiden käyttö ei yleisesti ottaen ole protokollien tekninen vaatimus. Itse asiassa mitä tahansa tietoa voitaisiin lähettää minkä tahansa portin kautta (ja epätavallisten porttien käyttö voi olla toimiva tapa kiertää sensuuria). Kuitenkin näitä portteja käytetään mukavuussyistä oletusarvoisesti. Jos verkkoselaimesi tietää, että yrität päästä verkkopalvelimelle ilman tarkemmin määriteltyä porttia, se yrittää automaattisesti käyttää porttia 80. Muilla ohjelmilla on vastaavat oletusarvoiset asetukset, joten voit käyttää normaalisti internet-palveluita muistamatta palveluihin liitettyjä porttinumeroita.