Kuidas luua tugevaid paroole ja neid kõiki meeles pidada

Alustuseks - inimlik probleem

Erinevates netikeskkondades ja vestlusringides on tulnud ilmsiks 2 väga inimlikku probleemi:

1. inimesed ei tea, mis on turvaline (keeruline, raskesti äraarvatav) salasõna ja kuidas seda luua
2. kuidas neid kõiki keerulisi salasõnu meeles pidada.

Hügieen arvutivõrgus

Alustuseks mõned elementaarsed turvareeglid tänapäevases julmas internetidžunglis ellu jäämiseks:

1. ära MITTE KUNAGI kasuta oma e-postikonto salasõna kuskil mujal kui sellele e-postikontole sisselogimiseks.
   Põhjendus: Sinu E-posti kontol leiduva info tähtsus on aja möödudes määratult kasvanud. Asi on selles, et oma peamise e-postikonto kaudu registeerud Sa erinevatele veebilehtedele kasutajaks, lased sinna saata nende keskkondade salasõnade meeldetuletusi jne. Võib-olla on Sul e-kirjakastis koguni mõned salasõnad ja võib-olla on Sul e-kirjade hulgas koguni selliseid, mis mitte mingil juhul ei tohiks võõra pilgu alla sattuda (olgu seal ettevõtte tundlik info, Sinu kirjavahetus armastatuga või mis iganes).
2. ära MITTE KUNAGI kasuta ühte parooli rohkem kui ühel saidil.
   Põhjendus: Sa ei tea mitte kunagi konkreetse veebilehe turvataset ja seda, kuidas nad Sinu parooli hoiavad. Eestis konkreetse näitena lasering.ee netipood hoiab salasõna lahtise tekstina andmebaasis. Kui ma olin salasõna unustanud, siis ma palusin nende netilehel saata mulle uue salasõna, aga nad saatsid vana salasõna. See on täiesti lubamatu salasõnade hoidmisviis juba vähemalt 5-7 aastat. Eraldi pikk jutt on see, kuidas salasõnu korrektselt hashitud kujul hoida jne, aga mõte on selles, et ei tohi usaldada veebilehe arendajat või omanikku Sinu salasõna käitlemisel. Kui Sinu salasõna on veebilehe andmebaasis lahtiselt ja sinna andmebaasi sisse murtakse ja seesama salasõna on Sul kasutusel veel kuskil, siis võid olla üsna kindel, et Sinu kontodele logitakse võõraste poolt peagi sisse. Veebileht, mille IT-tase on selline, salasõnad on baasis lahtiselt, langeb VÄGA SUURE tõenäosusega ka kräkkimise ohvriks. Sa ei taha, et lasering.ee andmebaasist pärit salasõnaga saab sisse logida Sinu mailikontole, facebooki, dropboxi, gmaili jne jne. Seega kasuta unikaalseid salasõnu!
3. ära MITTE KUNAGI logi krüpteerimata veebilehele sisse, kui oled WIFI võrgus.
   Põhjendus: WIFI võrke on üsna lihtne "pealt kuulata". Piisab sellest, kui kurikael on kas samas WIFI võrgus (avalikud WIFI-d, kohvikud, hotellid, kaitsmata WIFI purk kodus jne) või istub oma sülearvutiga kuskil lähedal. Kui võrguliiklus Sinu arvuti ja konkreetse veebilehe vahel on krüpteerimata, siis on see sama hea kui alasti karjuda keset Viru tänavat "Peeter on loll" ja oodata, millal esimene suvaline Peeter Sulle füüsilise noomituse teeb.
   KUidas aru saada, kas veebileht kasutab krüpteeritud ühendust? Krüpteeritud ühendus käib reeglina HTTPS (SSL, TLS ja muud head nimed) ühenduse kaudu. See tähendab, et:
1. Brauseril on aadressirea alguses https://, mitte http://. Väike "s" on oluline erinevus.
2. Vähegi uuemate brauserite aadressiriba algus muutub roheliseks, läheb konkreetselt rohelist värvi. Kui see on punane, siis on asi juba kahtlane. Pöördu teisi kanaleid pidi veebilehe haldaja poole ja palu tal oma veebileht korda (turvaliseks) teha. 
4. ära MITTE KUNAGI logi sisse oma maili- ja sotsiaalmeediakontodele ühiskasutatavatest arvutitest (näiteks reisil olles internetikohvikutest, hotelli fuajee "üldkasutatavast" arvutist jne).
   Põhjendus: need võõrad arvutit on reeglina väga ebaturvalised, kasutavad ebaturvalist Windows operatsioonisüsteemi ja on täis viiruseid. Mõnikord on neisse installitud ka keyloggerid ehk tarkvara või riistvaralised seadmed, mille ülesandeks on salvestada kõik klahvivajutused (ja edastada need kurikaeltele). Ja ongi Su paroolid läinud. Edasi kasuta fantaasiat. Kui reisil olles virutatakse ära Sinu Facebooki parool ja logitakse sinna sisse, siis:
1. Saab Sinuna esinedes saata Su sugulastele-tuttavatele "abipalveid" (saatke palun raha sinna ja sinna panka)
2. Saab kätte kogu sinu privaatse pildikogu joomingutest, mida Sa otsustasid Facebookis hoida ja sellega asuda Sinult raha välja pressima
3. Asuda Sinuna esinedes korda saatma kõikmõeldavat kurja. Lase mõttel lennata!
5. Eriline hoiatus Eesti kohta on seoses ID-kaardi kasutamisega. 
1. Ära kasuta ID-kaarti võõras arvutis (avalikus arvutis, näiteks Politseiametis passi eest riigilõivu makstes jne). Sa ei tea, kas see arvuti on turvaline. Parem kasuta mobiil-ID-d. Mobiil-ID on turvalisem kui ID-kaart. Seda väga lihtsal põhjusel - andmeid edastav seade (arvuti) ja autentimiseks kasutatav seade (mobiiltelefon + SIM-kaart) on füüsiliselt lahus. Arvutiviirus ei mõjuta Mobiil-ID teenuse toimimist. Mobiil-ID-d saad kasutada muretult ka seal, kus ei ole ID-kaardilugejat.
2. Ära hoia ID-kaarti lugejas kauem kui on tarvis konkreetse teenuse (näiteks netipanga) kasutamiseks.
3. Mobiil-ID-ga tuleb ALATI kontrollida n.ö sessiooninumbrit. See on see 4-kohaline number, mida koht, kuhu sisse logid kuvab, ja mida kuvab Sinu telefoni Mobiil-ID PIN-koodi sisestamise dialoog. See koht, kuhu sisse logid ja Sinu telefon peavad näitama sama numbrit. Mitte kunagi, MITTE KUNAGI ära autendi seda päringut, mida Sa pole ise just praegu algatanud.

See oleks praeguseks kõik. Internetis leiduvaid ohte on võrreldamatult rohkem, aga neid elementaarseid reegleid järgides peaks esmatasandi turvalisus olema tagatud. Loomulikult käivad siia juurde veel kõik n.ö "vanad reeglid" nagu ära ava tundmatuid faile, ära suhtle võõrastega, ära käi kahtlastel netilehtedele, ära hoia arvutis seadusevastaseid faile (lasteporno, piraatfilmid ja -muusika jne jne jne).

Salasõnad - keerulised ja kergesti meelespeetavad

Lühike ja turvaline variant

Hea variant on kasutada n.ö password manageri ehk programmi, mis on mõeldud salasõnade meelespidamiseks. Neid programme on hästi palju. Tuntuimad on vast OSX-i sisse ehitatud Keychain Access ja paljudel platvormidel töötav KeePass (http://keepass.info/). Kõigi nende tööpõhimõte on üks:
- on üks n.ö tugev master-salasõna, mis avab teised salasõnad.

Ehk siis Sul on vaja meeles pidada ainult üks, hea ja keeruline master-salasõna ja teised salasõnad leiad Sa password manageri andmebaasist. Selle meetodi miinuseks on asjaolu, et alati ei ole see arvuti käepärast, kuhu on installitud password manager. Selle häda vastu on loodud programmid, mis hoiavad salasõnu (tihti turvaliselt) võrgus (nö pilves) ja siis Sa saad neid kätte nii oma tööarvutist, nutitelefoniga kui ka kodusest arvutist. Siiski tuleb arvestada nõrgenenud turvalisusega, sest "mis võrgus, see võrgus":)

NB! Brauser ei ole password manager hoolimata sellest, et see pakub Sulle salasõnade meelespidamise võimalust!

Pikk, keeruline ja veel turvalisem variant

Pikem, keerulisem ja tegelikult kõige turvalisem variant on hoida kõik salasõnad oma peas. Kui neid on aga kümneid (sest - mäletad - igal keskkonnal peab olema OMA salasõna), siis kuidas seda küll saavutada? Kellegi mälu pole kummist ja pea pole prügikast.

Kuidas siis ikkagi saavutada paljude, ent samas keeruliste (keeruline tähendab "raskesti äraarvatavate"

Põhimõtteliselt on vaja meeles pidada ainult 3 salasõna.

Esiteks jaga veebikeskkonnad turvakriitilisuse järgi klassidesse:
1. suvalised veebilehed
2. sotsiaalmeedialehed ja pilveteenused, mis sisaldavad sinu isikuandmeid (Facebook, Dropbox jne)
3. mailikontod, internetipangad, eesti.ee jm kõrgendatud turvalisust nõudvad kohad, mis sisaldavad tundlikke isikuandmeid

1. klassi paroolid võiks olla vähemalt 8 tähemärki. Need peaks sisaldama suur- ja väiketähti ja numbreid.
2. klassi paroolid võiks olla vähemalt 12 tähemärki. Need võiks lisaks numbritele ja suurtele ning väikestele tähtedele sisaldada ka tühikuid (mitte küll alguses ega lõpus vältimaks segadust)
3. klassi paroolid võiks olla vähemalt 16 tähemärki ja need võiks sisaldada kõikmõeldavad klaviatuuril leiduvaid märke.

Nüüd lood paroolid:
1. klassi paroolide näited:
suvaline sait 1: kaelaNihestus21
suvaline sait 2: kaelaNihestus22
suvaline sait 3: kaelaNihestus23
jne jne

2. klassi paroolide näited
Facebook: Kassiraibe_Hüppas-Facebooki
Dropbox: Kassiraibe_Hüppas-Dropboxi
Suvaline järgmine pilveteenus: Kassiraibe_Hüppas-Suvalisseteenusesse

3. klassi paroolide näited
eesti.ee: Ajakirja "Horisont" aastatellimus #1981
gmail.com: Ajakirja "Horisont" aastatellimus #1982
suvaline tähtis koht: Ajakirja "Horisont" aastatellimus #1983

Ole hea ja tee mulle teene - ära palun kasuta siintoodud salasõnu 1:1 mitte kusagil. Selleks hetkeks, kui Sa seda blogipostitust loed, on kräkkerid selle juba ära skänninud ja need salasõnad on nende andmebaasides olemas.

Lohutus

Lisan veel juurde, et kräkkerid (õigupoolest nende kasutuses olev väga võimas riistvara veelgi võimsama tarkvaraga) skännivad tänapäeval läbi kõik digitaalselt saadaolevat raamatud ja neil on kõik enamlevinud sõnad, fraasid ja NENDE KOMBINATSIOONID teada. Oluline on aru saada, et keegi ei murra, proovi ega mõistata paroole käsitsi. Seda teevad väga targad programmid, mis suudavad sekundis läbi proovida väga suure hulga erinevaid variante.

Meie - eesti keelt kasutavate inimeste - kasuks räägib asjaolu, et meie keelt räägitakse maailmas väga vähe, veel vähesemad kräkkerid saavad sellest ja selle loogikast aru ja seega on meil mõnevõrra turvalisem kasutada üldlevinud eesti keele sõnu (hea, kui need sõnad sisaldavad täpitähti). See eelis meil ajapikku väheneb, sest mida rohkem eestikeelset kirjandust digiteeritakse ja läbi skännitakse, seda rikkamaks saavad kurikaelte käsutuses olevad andmebaasid ja targemaks nende iseõppivad murdja-programmid.

Ässitus

Ässitan teid kõiki õiendama, sõimama ja kaklema lollide, hoolimatute veebilehepidajatega, kes ei hooli turvalisusest. Kui näete, et mõni lehepidaja eksib elementaarsete reeglite vastu, siis saatke talle kohe kuri kiri ja ähvardage andmekaitseinspektsiooni, politsei ning kasvõi NATO küberkaitsekeskuse ekspertide kaelasaatmisega. Kui mõni veebileht on piiranud salasõna maksimaalse pikkuse vähema kui 32 märgiga või siis selles sisalduvate märkide hulga (näiteks, et tühikuid või . või - ei tohi seal olla), siis tuleks neile anda kaigast. Virtuaalselt ja reaalselt.

Meie kõigi ülesandeks on nõuda arendajatelt ja otsustajatelt vastutust ja turvalisemat internetti!

P.S. Nagu võisid märgata, ei kasutanud ma üldlevinud sõna "häkker". Idioodist ajakirjanikud ja muud lollpead on selle sõna tähenduse ära rikkunud. Häkker oma algses tähenduses ei ole halb ega kuri. Kuri, halb IT-mees, kes siseneb võõrastesse süsteemidesse, varastab salasõnu jm infot, on kräkker. See tuleb sõnast "kräkkima" (to crack) ehk murdma (turvalisust murdma, turvabarjäärist läbi murdma). Häkker on tihti heatahtlik nohik, n.ö patsiga poiss, kes lihtsalt jagab hullult hästi IT-d, võib-olla oskab progeda ja häkib asju kokku (ehk siis paneb käima tarkvara ja riistvara, mis ei taha algul hästi käima minna jne jne).

MageFlow is an essential tool for every Magento development team.

MageFlow

Recently I've been working on MageFlow. MageFlow is an essential tool for every Magento development team.
It helps you and your team to:

• Build your Magento environments in any VPS or private server
• Deploy code to your Magento environments from any Git repository
• Migrate configuration, content & media between your Magento instances
• Store, organize and install your custom Magento extensions
• Monitor and remotely manage all your Magento environments

More technical info will be in my tech-blog Measure9.

A lot of useful yet technical information in my tech blog Measure9

Be sure to check out my technology blog Measure9 at http://measure9.varkel.net/. There are already tons of information about fixing Magento extension conflicts by using traits and about how to build Gnupg PHP extension on Mac OSX.

Please feel free to comment and ask questions there if anything is unclear.

Avasin oma tehnoblogi

"Long time, no see" nagu ütlevad ameerikakeelsed inglased ja vastupidi. Ühesõnaga, avasin oma tehnoblogi Measure9, mis ilmselgelt viitab vajadusele 9 korda mõõta, et seejärel 10 korda lõigata.

See, keda Magento ja tarkvaraarendus pisutki huvitab, võib sealt üht-teist lugemist leida küll.

Idee uueks lähenemiseks autoriõigustele

Eilsel Tallinn Music Week copyright'i teemalisel paneelil ei andnud hing mulle rahu, kui meie kultuuriminister Rein Lang ütles, et ta lahkub TMW-lt sama targalt, kui sinna tulles ja 0 uue ideega copyright'i osas. Mulle maksumaksjana ei anna rahu, et minister tuleb homme tööle sama targalt kui täna. Ministri asi on olla homme targem ja parem kui täna. Tema asi on valdkonda kureerida, pakkuda uusi ideid. Selle ametniku ülesanne on mitte ainult aru saada ühiskonnas toimuvast, vaid vähemalt oma valdkonna piires ka protsesse ning arenguid juhtida ja mõjutada! Ta saab sõna otseses mõttes minu käest selle eest palka. Niisiis tõstsin siis vapralt käe ja esitasin hr ministrile väljakutse. Panen selle siia kirja, et see ära ei kaoks, vaid hakkaks hoopis Internetis tiireldes jõudu ja täiendusi koguma. Idee Uuest Korrast on järgmine.

Uue Autoriõiguse Manifest

Ühiskond koosneb kahte tüüpi inimestest. On ühed, kes loovad ja on teised, kes tarbivad loodut. Samal ajal iga indiviid on võimeline looma. Loovuse alge on igaühes olemas. Tehnoloogia kiire areng on teinud sisu kohaletoimetamise (mis on juba iseenesest, by definition, kopeerimine!) mõõtmatult, absurdselt lihtsaks ja odavaks. Samuti on muutunud odavamaks sisu (vähemalt muusika) tootmine, sest praktiliselt igale eraisikule on tänapäeval kättesaadav kõik salvestamiseks vajalik (tark- ja riistvara). Korraliku salvestuse tegemiseks ei ole enam vaja osta kallist stuudioaega. Kokkuvõttes - sisu tootmine ja levitamine on võrreldes varasemaga muutunud väga odavaks kvaliteedis oluliselt kaotamata. Samal ajal ei ole langenud vahendajate kehtestatud hinnad ega muutunud hinnastamise loogika. Ja kõige lõpuks - absoluutselt iga inimühiskonna liige osaleb loomingu tarbimises.
Nendele eeldustele tuginedes teen ettepaneku kehtestada alguses Eestis ja seejärel Euroopa Liidus loomingu tarbimise maks. See oleks näiteks 5 EUR (või mis iganes 0 suurem number) kuus iga hingava ja maa peal kõndiva olendi pealt. Maks oleks progresseeruvalt väiksem neile, kes rohkem loovad. Näiteks  - mida rohkem lugusid või luulet kirjutad, seda väiksem on maks, lähenedes nullile. Makstava maksu eest oleks kogu looming erakasutuseks vabalt tarbitav! Maksust laekuv tulu jaotatakse autoritele. On mõeldav ka eraldi, suurusjärkude võrra suurem maks äriettevõtetele, kes tarbivad loodut ärilistel eesmärkidel. See võiks olla x% ettevõtte käibest. Kui ettevõte on selle ära maksnud, võib ta samuti kogu loomingut oma ärilisteks eesmärkideks tarbida. See tõstaks märkimisväärselt autoritele makstavaid tasusid, millelt omakorda tasutakse tulumaks (s.t kogu riik võidab). Kuna Eestis on ID-infrastruktuur, siis saab loomingu tarbimise, maksustamise ja tulujaotuse edukalt sellega siduda. Põhimõtteliselt on võimalik sendi täpsusega ja automaatselt jagada autoritele rahasid vastavalt sellele, kes ja kui palju nende loomingut tarbis jne. Samuti on võimalik sendi täpsusega maksustada neid, kes pole veel jõudnud maksuvabastuseni. Maksuvabastus hakkab kehtima alates teatud hulga loomingu loomisest, mis on antud kasutusse üldiseks hüvanguks. Olgu see arvutiprogramm, muusika, film, maal või mis iganes.
Jätan täpsemad arvutused ja detailid edasiste arutelude seemneks.

Annan endale aru, et see raputaks tugevalt ühiskonna, maksunduse, äri jm alustalasid, aga selleks ma siin olen, et midagi muuta!
Tulemuseks on parem ühiskond, mis on täis loomingut. Olgu see looming hea või halb, see jääb tarbijate otsustada. Oluline on see, et riik (s.o meie ise!) stimuleerib loomist väga tugevalt. Esimese hooga saaks Eesti sellise lähenemisega üle maailma kuulsaks kui kõige loomingulisem riik. Teiseks tõstaksime hüppeliselt Eesti kultuuri kogust, massi. Alati on oluline saavutada kriitiline mass, millest alates asi muutub normiks, isetoimivaks. Jõudu loomisel!

Tallinnas, 31.03.2012

Loodan, et siit tekib uusi ideid, uusi mõtteid ja meie põlvkond näeb õigus- ning maksusüsteemi, mis on kooskõlas tehnoloogilise arenguga. Praegu on tehnoloogia valguse kiirusel eest ära põrutanud ja see teeb olukorra keeruliseks, vastuoluliseks ning kodanikele raskesti arusaadavaks. Sogases vees on aga alati õngitsemas palju röövpüüdjaid, kellest saaks vabaneda.

When Netbeans crashes...

Yesterday after a hard night of debugging PHP with XDebug and stuff suddenly my Netbeans 7.1 stopped working. It just didn't start on my iMac (OSX 10.6, Snow Leopard).

I found out the error from Console.app:
com.apple.launchd.peruser.501[200] ([0x0-0x37037].org.netbeans.ide.baseide.201112071828[593]) Exited with exit code: 2

Strange enough! After a short search on Google I didn't find anything useful and I decided to do it the old way - remove preferences!
So I opened Terminal.app, went to ~/ and move .netbeans to .netbeans_backup.

Now you may want to restore at least some of your preferences, right?

I restored my remote connections as follows:

cp -R .netbeans_backup/7.1/config/Preferences/org/netbeans/modules/php/project/RemoteConnections .netbeans/7.1/config/Preferences/org/netbeans/modules/php/project/

After that Netbeans started as it were newborn. I hope it helps you out there.

Laiskus on kuritegu

Tundub, et laisaks olen muutunud. Viimasest postitusest on möödas pea aasta. Ruumi täiteks peaks siiski midagi kirjutama. Euro-kriisist on väga palju kirjutatud ja selle mahuga on nüristatud inimeste valutunne. Minu arvates peab seda teemat teravana hoidma.
Euro kriis ei ole inimeste kriis. See ei ole kodanike poolt põhjustatud kriis. See on pankade ja riikide koostöös konstrueeritud kriis, millel on kindlasti ka oma arhitekt nimega X. Ma ei tea, kes see X on, aga see X on asja taga.
See, mis praegu toimub, on asi nimega "kulutame riigina, maksame tagasi kodanikena". Tähendab - pankade probleemid püütakse veeretada riikide kaela ja kuna riigid==kodanikud+institutsioonid, siis järelikult maanduvad need algselt pankade probleemid lõpuks minu (ja sinu, meie) isiklikus rahakotis. See ei ole õige. Pangad tuleb teha vastutavaks. Nad on vastutavad laenuandmise eest. Püütakse näidata, et laenuandmise korral on justkui laenuvõtja ainus huvitatud pool. See ei ole õige. Alati on 2 poolt, kellel on oma huvid. Ka pankadel on oma huvid ja mitte väikesed.
Probleem on selles, et maailmas EI OLE olemas sõltumatut inimest või organisatsiooni, kes asuks väljaspool riiklikke ja pangandussüsteeme, kust ta saaks probleemile objektiivselt lähenema. Võib-olla see inimene või org on olemas, aga siis on ta seesama X. St et jõuame jälle ringiga tagasi algusesse...

Ma ei aja mingit vandenõuteooriat. Need mind ei huvita. Mulle lihtsalt tunduvad asjad sedamoodi. Õige või vale - ei tea, aga vähemalt olen oma arvamuse välja öelnud. Tee seda ka sina.