Vaasalainen valkohattuhakkeri Jarkko Vesiluoma on saanut suuren rahapalkinnon löydettyään suomalaisen yrityksen ohjelmistosta merkittävän haavoittuvuuden.
Yritys onkin palkinnut hänet siitä 10 001 dollarin eli 9 500 euron rahapalkinnolla.
– Tämä haavoittuvuus olisi voinut johtaa paljoon pahaan, Vesiluoma sanoo.
Hän löysi haavoittuvuuden 20 minuutissa, mutta sen merkityksen todisteluun kului työpäivissä laskettuna 4–5 päivää.
– Todistelu on teknisesti iso työ, mutta tarpeen, jotta haavoittuvuuden kriittisyys tulee ilmi.
Huono asia johtaa hyvään
Kyseessä on toinen kerta, kun Vesiluoma löysi merkittävän vian tärkeästä palvelinpuolen ohjelmistosta, josta voi mainita julkisesti. Viimeksi niin kävi vuonna 2018, ja myös silloin hän sai rahapalkinnon.
– Tuolloin löysin ohjelmistotalo Visman ohjelmasta virheen. Olen löytänyt myös Amerikan isoimman teleoperaattorin AT & T:n ohjelmistoista sekä striimauspalveluja tarjoavan HBO:n ohjelmistoista haavoittuvuuksia.
Vesiluoman mukaan yritykset ottavat haavoittuvuuksien löytymisen ohjelmistoistaan myönteisesti ja oppimiskokemuksena.
– Huono asia johtaa hyvään eli parempaan tietoturvaan.
Palkintona t-paita
Vesiluoma harrastaa haavoittuvuuksien metsästystä eli Bug bountyjä. Bug Bounty -ohjelmiin yritykset ja organisaatiot voivat laittaa ohjelmistojaan valkohattuhakkereiden testattaviksi.
Valkohattuhakkeri on henkilö, joka käyttää tietoteknistä osaamistaan "hyvän puolesta" eli hän etsii avoimesti ja luvan kanssa ohjelmistojen haavoittuvuuksia. Haavoittuvuuksien metsästysohjelmia on useita.
– Valkohattuhakkerointia harjoitetaan tietyillä säännöillä ja haavoittuvuuksia etsitään asiallisesti. On erittäin tärkeä muistaa, että sitä tehdään vain ja ainoastaan luvan kanssa. Haavoittuvuuksien löytymisestä raportoidaan asiallisesti, Vesiluoma sanoo.
Nykyään on yhä yleisempää, että yritykset palkitsevat haavoittuvuuksien löytämisestä.
– Yleensä, mitä isompi haavoittuvuus, sitä suurempi palkkio.
Vesiluoma on harrastanut valkohattuhakkerointia vuosikausia ja löytänyt ohjelmistohaavoittuvuuksia useasti aikaisemmin. Aina palkintona ei ole ollut raha.
– Hollannin hallitukselta sain t-paidan, jossa lukee "I hacked the Dutch government and all I got was this lousy T-shirt. Samantyylisen paidan olen saanut myös Traficomilta Suomesta.
Vesiluoman hakkeroinnin ansiosta Power veti myynnistä pois wifireitittimen muutama vuosi sitten ja S-ryhmä ip-kameran vuosi sitten.
Hakkeri ei saa kertoa tutkimistaan ohjelmista tarkkoja tietoja.
Hakkeri ratkaisee arvoituksia
Hakkerointi on Vesiluomalle harrastus, jota hän tekee silloin kun perheeltä ja työelämältä jää aikaa. Ammatiltaan hän on Elisan johtava hyökkäävän tietoturvan asiantuntija.
Hakkeroinnissa häntä viehättää se, että se on arvoitusten ratkaisemista.
– Se on ongelmanratkaisua ja pähkäilemistä. Olen kiinnostunut siitä, kuinka ohjelmistoja voi rikkoa ja korjata.
Suomessa on tällä hetkellä joitakin kymmeniä haavoittuvuuksien metsästäjiä, mitä Vesiluoma ei pidä suurena määränä.
– Ja vain muutama tekee sitä työkseen. Maailmalla heitä on kuitenkin tuhansia. Suomessa haavoittuvuuksien metsästysohjelmat ovat lapsenkengissä. Ulkomailla niitä käytetään paljon enemmän.
Vesiluoma järjestää yhdessä Joakim Taurenin kanssa Häjysec-tietoturvatapahtumaa. Sen tilaisuudet järjestetään sekä Vaasassa että Seinäjoella.