Apua, vieras Airtag seuraa minua!

Apple on tarkoittanut Airtag-paikantimet omien tavaroiden löytämiseen, ei varashälyttimiksi eikä toisten käyttäjien liikkumisen seuraamiseksi. Väärinkäyttö on silti aina mahdollista. Testasin asiaa Kimmo Rouskun lähettämällä vieraalla Airtagilla.

Kun vieras tagi oli tullut postissa, oma iPhone ei aluksi reagoinut siihen lainkaan, vaikka tagin asetti kiinni puhelimeen ja yritti tunnistaa sen.  

Aluksi vieras tagi on täysin näkymätön.

Vasta yhdeksän tunnin jälkeen iPhone antoi ilmoituksen lukitusnäytölle:

Ilmoitus 9 tuntia myöhemmin.

Kiinnostavaa kyllä, tässä vaiheessa Missä on...? -sovellus näytti vieraan Airtagin liikkumisen historian. Jos kyse olisi vakoilusta, kartalta voisi päätellä, missä vaiheessa ylimääräinen tagi on tullut mukaan. Omasta tagista sovellus näyttää vain sijainnin, ei historiatietoja.

Hälytys näyttää lisätietoja:

Hälytyksen lisätiedot.

Kun vieras tagi tuodaan kiinni puhelimeen, iPhone yrittää tunnistaa sen alkuperän. Samalla ohjelma neuvoo ottamaan yhteyttä poliisiin, mikäli käyttäjä tuntee olonsa uhatuksi. Ei lainkaan huono neuvo. Mitähän poliisi osaisi tässä tilanteessa neuvoa?

Tunnistus.

Lisätietoja tästä Airtagista tuo näyttöön vain perustiedot. Se ei siis paljasta, mille AppleID:lle paikannin on rekisteröity.

Airtagin sarjanumero.

Lisäksi ohjelma antaa Ohjeet käytöstä poistamiseen:

Käytöstä poisto: irrota paristo.

Käytännössä ohje on siis poistaa paikantimesta paristo. 

Mutta entä jos kohteella on Android-puhelin? Silloin mitään ilmoitusta ei tule. Paikannin alkaa kuitenkin antaa äänimerkkejä itsestään. Ne ovat hiljaisia ja paljon heikommin havaittavia kuin se äänimerkki, jonka tagin omistaja voi kytkeä päälle oman laitteensa löytämiseksi. Esimerkiksi Android-käyttäjän auton takaluukkuun piilotettu tagi jäisi luultavasti huomaamatta.

Vastaavasti Samsungin paikannin jäisi huomaamatta Apple-käyttäjältä, koska järjestelmät ovat valmistajakohtaisia eikä yleistä standardia ole. Ehkä olisi aika kehittää sellainen?

Älypuhelinten vakoiluohjelmat

Entä jos joku ujuttaa älypuhelimeeni vakoiluohjelman, joka seuraa reaaliajassa puhelimen soittotietoja, tekstiviestejä ja GPS-sijaintia? Kuulostaa pelottavalta, ellei kyse ole sitten molemminpuolisesta sopimuksesta.

Tunnetuin ohjelma lienee Mobile Spy, joka on ollut saatavilla jo vuosia, aina Nokian ajoista lähtien. Muita tunnettuja ovat FlexiSpy (ainoa ohjelma, joka tukee Maemoa) ja PhoneSheriff.

Mikä tahansa puhelin tai tablet valvontaan NYT!

Mobile Spyn sivulla on esimerkki, miten vanhemmat voivat valvoa ohjelman avulla tyttären nettikäyttöä ja suojella häntä verkkomaailman vaaroilta.

Sivulla kerrotaan, että valvontaohjelman käyttö lasten valvontaan on laillista -- jopa suositeltavaa. Valmistajan mukaan 80 % vanhemmista väittää tietävänsä, mitä lapset puuhailevat netissä, mutta 31 % lapsista väittää, etteivät vanhemmat tiedä. Toisen tilaston mukaan 60 % lapsista kiusataan netissä ja vain joka kymmenes kertoo siitä vanhemmilleen. Valmistajan mukaan nettikiusaaminen voi altistaa masennukselle ja johtaa jopa itsemurhaan. Just.

Toiseksi käyttökohteeksi mainitaan yrityksen omistajat, jotka voivat seurata työntekijöitä näiden suostumuksella, ja näin estää tietovuotoja sekä turhaa nettisurffausta. Ohjelma auttaa myös selvittämään, kuka työntekijöistä kannattaa ylentää ja kenelle antaa potkut.

Suomen lain mukaan alaikäisellä lapsella on oikeus yksityisyyteen myös netissä, joten vanhempien suorittama tekninen valvonta on kiellettyä. Toisaalta vanhempien velvollisuus on suojella lastaan, joten viime kädessä rajanveto jää vanhempien itsensä kontolle.

Tärkein syy vakoiluohjelmien käyttöön lienee oman puolison vakoilussa. Tähän mahdollisuuteen Mobile Spy viittaa vain kautta rantain: However, we don’t recommend using this app for other reasons, i.e. trying to catch your partner cheating. It is neither legal nor ethical. Jep, jep.

Mobile Spyn luvataan olevan kohdepuhelimessa täysin näkymätön. Oleellinen rajoitus on kuitenkin upotettu FAQ-tiedoston syvyyksiin: You will have to take the device in your hands one time in order to install the app. Asennus edellyttää puhelimen suojausten murtamista (jailbreaking, roottaus), joten sitä ei voi levittää web-sivun tai sähköpostin kautta huomaamatta.

Vakoilua myydään kuukausihinnoiteltuna palveluna, eivätkä hinnat ole aivan halpoja (esim. Premium-version kuukausihinta on 60 dollaria). Puheluiden nauhoitus sisältyy Premium- ja Lifetime-versioihin, mutta on vasta tulossa ("soon").

Koska Mobile Spy on kallis, olisiko muita vaihtoehtoja? Spyera ("vakoiluaikakausi", heh!) tarjoaa mahdollisuuden kuunnella puheluiden lisäksi ympäristöä, sekä kaikki tavanomaiset temput (kuten pikaviestinnän, sähköpostien ja sijaintitietojen vakoilun). Ympäristön kuuntelu (ambient recording) muuttaa puhelimen salakuuntelulaitteeksi, joka aktivoituu kun siihen soitetaan ennaltamääritellystä numerosta.

Spyera - vakoilun aikakausi.

Spyera tukee iPhonen ja Androidin lisäksi Blackberry- ja Symbian-puhelimia. Mutta hinnat ovat vielä korkeammat: kolme kuukautta 189 dollaria, vuoden seuranta 389 dollaria. Urkinta käy kalliiksi, silloinkin kun siitä ei jää kiinni.

Myöskään Spyeraan ei voi lähettää uhrille sähköisesti. Ohje sanoo näin: You need to have the phone physically in your hand for about 3 min. Installation is simple. You simply open up a web page on the mobile and enter your download URL. The download and install beings automatically. Siis kolmen minuutin juttu, joka onnistuu maallikoltakin.

Spyera ei mainitse laillisuudesta mitään, ehkä hongkongilaisen yrityksen ei tarvitse välittää asiasta?

Mutta sitten onnistaa: googlaus löytää todellisen helmen. Cell Spy Stealth tarjoaa kaikki vakoiluominaisuudet kaikkiin puhelinmalleihin loistavaan 27 dollarin hintaan! Find the truth, Stop the Liars, Cheaters and Thieves, sanoo web-sivu.

Tuki kaikille puhelimille.

Ominaisuuksia löytyy vaikka muille jakaa.

Ja mikä parasta, fyysistä pääsyä puhelimeen ei tarvita. Mainoksen mukaan pelkkä puhelinnumero riittää:

Pelkkä puhelinnumero riittää vakoiluun?

Paha tuomita kokeilematta, mutta mitä ilmeisimmin kyseessä on pelkkä huijausohjelma. Pahimmillaan se asentaa omaan puhelimeen haittaohjelmia, jotka voivat tehdä arvaamattomia temppuja. Ohjelman tekijäksi mainitaan Spartan & Spartan Seychellien saarilta. Eipä todellakaan herätä luottamusta.

Bottom line: tällaisten ohjelmien käyttö Suomessa on laillista vain omassa puhelimessa. Toisaalta jos jollakin on pahat mielessä riittää, että urkkija saa puhelimen haltuunsa kolmen minuutin ajaksi.

Parasta siis pitää puhelin lähellä ja käyttää siinä kunnollista lukitusta (ei syntymäaikaa pin-koodina!).

Vapaaehtoista urkintaa puolisoiden kesken

Pettämisestä kiinni jäänyt Mirka sai palautettua kumppaninsa luottamuksen mobiilisovelluksen avulla. Se raportoi jatkuvasti hänen liikkeistään ja viestinnästään.

Digitodayn uutinen herätti somessa keskustelua. Eikö luottamus kuulu olennaisena osana parisuhteeseen? Mikä se sellainen suhde on, jota pitää jatkuvasti vakoilla?

Jätän parisuhdeongelmat muille, mutta vapaaehtoiset vakoiluohjelmat herättävät mielenkiintoa. Mitä ne ovat ja miten ne toimivat?

Yksi ohjelmista on Androidin Couple Tracker. Sen ominaisuudet eivät täysin vastaa Digitodayn kuvaamaa tapausta, joten Mirkan käyttämä ohjelma on luultavasti ollut jokin muu. Mutta tämäkin kertoo, miten seurantasovellukset toimivat.

Asennuksen yhteydessä Couple Tracker pyytää selkeästi luvan henkilökohtaisten tietojen käyttöön.

"License to spy".

Kun sovellus on asennettu molempien puhelimiin, ne linkitetään yhteen ID-numeron perusteella.

Yhdistäminen ID:n perusteella.

Sovellus näyttää havainnollisesti, miten kumppani käyttää puhelintaan:

Yhteenveto kumppanin puhelinkäytöstä.

Alareunassa näkyvä Facebook-ikkuna on pelkkä mainos. Facebook-viestinnän seuraaminen vaatii FB:hen asennettavan sovelluksen, koska ulkopuolinen ohjelma ei muutoin pääse käsiksi toisen sovelluksen sisällä tapahtuvaan viestintään.

Karttanäyttö esittää molempien sijainnit jopa talon tarkkuudella.

Sijainti toimii talon tarkkuudella.

Ilmaisversio näyttää vain 30 merkkiä lähetetyistä tekstiviesteistä, kuusi viimeistä puhelutietoa, kolme tekstiviestiä ja 10 tallennettua sijaintia päivässä (puolen tunnin välein). Maksullisessa Pro-versiossa näitä rajoituksia ei ole. Ohjelma tyrkyttää aktiivisesti Pro-palvelua ja neljän euron hinta on vähintäänkin kohtuullinen.

Pro-version hinta on neljä euroa.

Oleellista on, että Couple Tracker toimii aina kaksisuuntaisesti. Molemmat näkevät toistensa tiedot, eikä ohjelmaa voi käyttää kumppanin yksipuoliseen valvontaan.

Käyttöönotto vaatii pääsyä puhelimelle, joten ohjelman voi asentaa myös salaa. Sitten pitää vain toivoa, ettei kumppani huomaa ylimääräistä kuvaketta puhelimensa ohjelmavalikossa. Mutta jos niin käy, hän pystyy vakoilemaan takaisin. Tämän riskin luulisi pelottavan uteliasta kumppania niin, ettei salavalvonnan riskiä kannata ottaa -- lisäksi se olisi laitonta.

Viivyttelevätkö IT-yritykset aukkokorjauksia tahallaan?

Tuoreen uutisen mukaan "Windows-kone kaapattavissa kuvatiedostolla – päivitä heti". Ilmeisesti aukko on ollut tiedossa jo pidemmän aikaa, joten Microsoftin kuhnailuun kyllästynyt Googlen työntekijä päätti itse paljastaa sen.

Näin on käynyt usein ennenkin. Turva-aukot saavat olla ohjelmissa pitkään, ennen kuin valmistajat korjaavat ne. Joskus aiemminkin aukon löytäjä on odotukseen turhautuneena päätynyt itse julkaisemaan tietonsa. Osa myy tietenkin löytönsä suoraan "pimeälle puolelle" hyvää korvausta vastaan. Siellä ovat niin rikolliset kuin haittaohjelmia asiakkailleen tehtailevat yhtiöt. Saattaa olla, että NSA itsekin on ostajien joukossa.

Aukkojen korjaaminen kestää, sillä paikan toimivuus on varmistettava. Viime aikojen Snowden-vuodot asettavat valmistajien kuhnailun ihan uuteen valoon. Entä jos viivyttely onkin tahallista? Ehkä sillä halutaan antaa aikaa NSA:lle, joka hyödyntää aukkoa urkinnassaan.

Salaliittoteoriat ovat kiehtovia, joten niiden kanssa on oltava varovainen. Korjausten viipyminen tuo huonoa julkisuutta valmistajalle ja vähentää asiakkaiden luottamusta. Siksi nopeat korjaukset ovat yhtiön oman edun mukaisia.

Toinen syy hidasteluun voi olla siinä, että jenkkifirmoissa työntekijän suorituksia mitataan jatkuvasti. Uudesta koodista palkitaan, vanhan korjaamisesta ei niinkään. Liiketaloudellisista syistä kannattaa mieluummin tehdä uutta kuin korjata vanhaa -- kunhan vain pidetään huolta siitä, että huonot uutiset eivät räjähdä silmille.

Microsoft on tehnyt läheistä yhteistyötä NSA:n kanssa, vaikka se vielä kuukausi sitten kiisti tällaisen urkinnan mahdollisuuden. Uutiset koskevat Skypeä, Skydrivea ja Hotmailia, mutta ei ole mitään syytä uskoa, etteikö Google olisi joutunut osallistumaan samaan menettelyyn. Tästä kertoo sekin, että brasilialaistietojen mukaan jopa Googlen karttapalvelun käyttäjiä on seurattu.

Nämä uutiset antavat kosolti miettimisen aihetta yritysten tietoturvahenkilöstölle.