Kun ITNyt uutisoi S-ryhmän WLAN-kirjautumisongelmasta, olin innoissani. Vihdoinkin suomalainen IT-uutispalvelu, joka harrastaa oikeaa tutkivaa journalismia!
Myöhemmin lisätty uutinen Welhon ja Maxinetin ongelmista kuitenkin paljastaa, että kyse onkin vain brändeillä ratsastavasta julkisuustempusta, joka liioittelee ja vääristelee uhkaa. Welhon hotspotien WLAN-kirjautumiset on nimittäin SSL-suojattu. Olen itse ollut aikoinaan mukana suunnittelemassa niitä. Welhoon kirjautuminen on ihan yhtä turvallista kuin vaikkapa Googleen tai Facebookiin.
ITNytin uutisoinnin taustalla onkin se vanha ja tunnettu tietoturvaongelma, että avoimen WLAN-tukiaseman rinnalle voi pystyttää valetukiaseman samalla SSID:llä ja huijata käyttäjän kytkeytymään siihen. Tässä ei ole mitään S-ryhmälle, Welholle tai Maxinetille spesifistä, vaan sama periaate toimii minkä tahansa avoimen tukiseman ollessa kyseessä.
"Vaarassa" ovat siis yhtä lailla Spark-, Wippies- ja Homerun-tunnukset kuten kaikki muutkin hotspot-operaattorit ympäri maailman. Ainoa keino suojautua näiltä radiotason hyökkäyksiltä tarkistaa sisäänkirjautuessaan, että SSL-yhteys on varmennettu oikella varmenteella.
Tablettien yleistyessä ja lisätessä langattomien verkkojen kysyntää on sinänsä ihan hyvä nostaa tietoisuuteen tämä WLANin vanha ongelma. Mutta sitä on syytä käsitellä oikeasta näkökulmasta.
Varsinainen ongelma on IEEE 802.11a/b/g/n-standardissa, joissa ei ole mitään keinoa luoda salattua yhteyttä vaatimatta käyttäjää tietämään etukäteen salausavainta. Tämän vuoksi maailman jokainen avoin hotspot-verkko on radiotasolla salaamaton, ja käyttäjien on niitä käyttäessään luotettava SSL/SSH-salaukseen tai VPN-yhdyskäytäviin.