Tämä on mainospaikka (näillä pidetään sivusto pystyssä)
Käytät vanhentunutta selainta. Kyseinen selain ei pakosti näytä tätä tai muita sivustoja oikein. Sinun tulisi päivittää selaimesi tai käyttää vaihtoehtoista selainta..
PSJailbreak eli tarina siitä, kuinka PS3:n suojaukset lopulta murtuivat
On toki mahdollista, että asiaan liittyi yksityiskohtia, jotka on jätetty tarkoituksella tai tahattomasti kertomatta. Mutta johtopäätökset on tehty olemassaolevan tiedon perusteella.
Onhan noita vastaavia maailmalla muitakin. Jos esimerkiksi tähän on uskomista, ei huonosti valittu nimi välttämättä ole vuosikausien ja satojen eurojen menetys. Se toki on eri asia, millaisen byrokratiamyllyn läpikäyntiä asian korjaaminen vaatii, varsinkin näin pienellä markkina-alueella välikäsien kautta toimien. Mutta noin kokonaisuutena näissä on juuri tuo ongelma, että kuullaan vain yksi puoli tarinaa ja siitäkin yleensä se tulikivenkatkuisin alku.
Internetissä? Älä ny.. Joo, näissä forum-tarinoissa yleensä kuullaan se käyttäjän versio. Ja välillä tarinan jatkosta ei sitten enää kuullakaan mitään..
Surkeaa on lähinnä se, miten tämä asia on "uutisoitu".
Onneksi Ars Technica on sentään päivittänyt juttuaan mietittyään hetken, mistä tässä oikeastaan on kyse.
Essentially the same risk could be faced by anyone downloading a pirated version of Windows: extra certificates could be added to those normally trusted, along with suitable DNS entries, to allow interception of any traffic destined for, say, amazon.com. In practice, the risk of either of these is slight, and in any case, trivially avoided: don't use custom firmware.
Eli lyhyesti vielä suomeksi: PS3 lähettää PSN-kirjautumisen yhteydessä tietoja salatun SSL-yhteyden yli kuten käytännössä kaikki muukin netin https-liikenne. Näiden anonyymien hakkereiden mukaan PSN:n tietoturva on uhattuna, koska ovat voineet väärennetyillä CA-sertifikaateilla purkaa salauksen. Ensinnäkin tuohon päästäkseen pitää olla asennettuna custom-firmis sekä ne väärennetyt CA-sertit. Lienee mahdollista, että joku voisi laittaa jakoon valmiiksi viritellyn firmware-version, jossa nuo käpälöidyt sertifikaatit on valmiiksi mukana. Eli tieto on kyllä salattu ihan standardein metodein, mutta totta kai tieto siellä alkaa kulkee selväkielisenä. Jos minkä tahansa salauksen purkaa, saa tiedot näkyviin selväkielisinä. (Toki olisi mahdollista vielä kryptata jokainen SSL:n alla välitetty tieto erikseen, mutta eiköhän suurin osa wepin https-liikenteestä toimi ihan vain luottaen SSL-salauksen murtamattomuuteen.)
Sen sijaan väitteet siitä, että mm. luottokorttitiedot kulkevat salaamattomina ovat vähän niin ja näin. Korttitiedot välitetään (sen salatun SSL-putken läpi) vain siinä vaiheessa, kun ne lisätään PSN-profiiliin. Tämän jälkeen tiedot ovat enää vain PSN:n palvelimilla, ei PS3:ssa itsessään, eikä luottokortin numeroa kuljeteta enää kumpaankaan suuntaan. Jos korttitiedot olisivat "selväkielisenä tekstitiedostona" (kuten lähde väittää), voisi kuka tahansa custom-firmiksen omistaja jo nyt kaivaa tiedot esiin Pleikkaristaan. Esim. näiden "backup managerien" mukana tulee myös FTP-serverisofta, jonka kautta voi tietokoneelleen letkuttaa vaikka koko kiintolevyn sisällön. Sieltä vaan etsimään. (Vihje: ei löydy.)
Eli jotta korttitietonsa joutuisi alttiiksi, pitää asennettuna olla tuollainen peukaloitu custom-firmis ja antaa kokonaan uuden kortin tiedot PSN-tunnukselleen. Riski on toki siis todellinen, mutta en kyllä laittaisi tuota PSN:n "surkean tietoturvan" piikkiin. Käyttäjä on itse ottanut tietoisen riskin ladatessaan epävirallisen käyttöjärjestelmäversion. Sitä paitsi SSL-sertifikaattien väärentämistä helpompaa olisi yksinkertaisesti rakentaa pieni keylogger, joka nappaa kaiken "näppäimistöllä" kirjoitetun ja lähettää sen suoraan pahantahtoiselle taholle.
Tarinan opetus: jos käyttää aina vain uusinta, virallista firmware-versiota, on todennäköisyys PSN-tietojen joutumisesta vääriin jotain olemattoman ja erittäin epätodennäköisen välillä. Jos sen sijaan luottaa kotikutoisiin viritelmiin, on oman onnensa nojassa ja voi syyttää vain itseään, jos jotain ikävää käy.
Update! Lueskelin sen PDF:n läpi. Sen mukaan PSN:n tietoja on aikanaan välitetty ihan tavallisen http:n yli. Jos näin on todella ollut, miksei tietoja varastettu jo silloin läjäpäin? Tavallisen http-liikenteen seuraaminen onnistuu esim. Wiresharkilla melkein keneltä tahansa.
Update 2! Tuolta Ars Technican jutun kommenteista löytyi sen verran hyvä vastaväite koko myrskylle vesilasissa, että jaan sen tännekin. Spoilerin alla tosin, on sen verran pitkä juttu.
The section on "sensitive information" seems to contain a lot of filler, and doesn't make too much sense. He claims that Sony uses HTTPS/SSL, but that this "isn't good enough". He then goes off topic about how Sony is a large network and that the ip addresses of this large network are all publicly accessible. This is all true, but does not contribute to his argument that the information is not secure.
Let's get to the HTTPS/SSL issue.
When an SSL session is negotiated by your PS3 with Sony's servers, you fetch a certificate from the PS3 server that is authenticated against a CA, verifying that the server claims to be who it says it is. In that certificate is the server's public key, which is used by the client to encrypt information to send to it. Information cannot be decrypted by the public key, only by the server's private key, which only it possesses.
So the information being sent to Sony is encrypted, and it's using SSL, the accepted standard for banks, remote terminal sessions, your gmail, and generally anything else of importance. There are no current flaws in this protocol when implemented correctly.
The ability to forge a client certificate on the PS3 weakens this somewhat, but not directly, and the paper fails to describe this. But I think I can identify what he's trying to get at.
The PS3 needs to have a trusted root certificate from a Certifying Authority (CA) stored in the console in order to verify that when contacted by a system claiming to be a Sony PSN server, it can verify that is really is a PSN server. (This is the same mechanism that identifies your bank to be who they claim to be.) The ability to create custom firmware (CFW) means that a hacker could distribute a CFW that possesses an altered, additional, or different trusted root CA.
Recall whenever your web browser gave you an alert upon finding an expired certificate, or probably more appropriately, a self-signed certificate. If you're using HTTPS on a home router, you probably have one of these. Since there is no pre-loaded root CA on your system, you need to decide if you can trust it yourself.
By having a CFW loaded, you're never prompted for this, and unless you audit the code yourself, you won't know if there's other root certificates loaded. Any that are loaded are assumed trusted.
Here's where we get to the "third-party DNS" that he mentions. Assuming you're not running your own DNS server (to say nothing of if it's secured) it is possible that the DNS server you connect to could be spoofed to identify a Sony PSN server's host name as a different IP. At that point, assuming you're running a CFW that has a crafted root CA loaded, the PS3 will recieve the spoofed address, the altered certificate will identify the server as legitimate, and a connection will be established. Voila, your information is being sent.
So the short of this:
- Your information is not being sent in the clear, but is being sent via industry standard HTTPS/SSL.
For an attack to succeed:
- An attacker must persuade you to load a CFW that has a self-signed root certificate loaded on it
- the attacker must successfully poison the DNS cache of a DNS server that YOU use
- the attacker must then wait/hope/pray that you connect to the server he spoofed so that you can authenticate to him.
That, ladies and gentlemen, is a pretty tall order, though it's by no means implausible. But it is the sort of issue that gets a lot of attention these days (and is a large part of the reason why certificate validation has become so visible in web browsers as of late.)
So if you're not using a CFW, then you're pretty safe. If you are, then you need to ensure that no other forged or crafted root CAs exist, and that you are using a relativity secure DNS server. In my opinion, any DNS server by a major ISP should be more than sufficient.
Eli edes tuo CA-sertifikaattien väärentäminen ei riitä, vaan liikenne pitää saada kulkemaan sopivan DNS:n kautta. Tavallaan juuri tätähän tälläkin hetkellä käytetään, kun custom-firmiksillä halutaan PSN:ään päästä. Välistä tosin puuttuu se pahantahtoinen taho, joka tietoja välistä nappailee.
Vastaus: PSJailbreak eli tarina siitä, kuinka PS3:n suojaukset lopulta murtuivat
Sony on näemmä päivittänyt myös PSN:n käyttöehtoja. Oleellisen muutos liittyy kohtaan, jossa nyt hyvin suoraan kielletään kaikenlainen venkulointi ja vippaslaitteiden käyttö.
You agree that you will not use any unauthorized hardware, including peripherals not sold or licensed by a Sony company such as, by way of example only, non-licensed game enhancement devices, controllers, adaptors and power supply devices (collectively, “Non-Licensed Peripherals”) or software to access or use Sony Online Services or any content or service provided on or through Sony Online Services.
Samalla tuossa myös sitoutuu siihen, ettei käytä esim. lisensoimattomia ohjaimia PS3:n kanssa. (Tosin niiden käyttöhän periaatteessa estettiin jo v3.50-firmwaressa aikapäiviä sitten.)
Nostanpa tässä samalla ylös vanhan viestini viime vuoden marraskuulta.
Seuraava ase taistelussa Sonyn suurta bannivasaraa vastaan on kotikutoinen softa PS3:n sisäisen ID:n eli eräänlaisen uniikin tunnisteen muuttaminen. Tunnettuahan on, että Sony pystyy bannaamaan PSN-tunnuksen lisäksi koko konsolin, jonka jälkeen kyseisellä laitteella ei enää koskaan ole PSN:ään asiaa. Oletettavasti tuon tason banaanit jaellaan nimenomaan konsoli-ID:n perusteella. Nyt kun jailbreak-heput voivat vapaasti antaa Pleikkarilleen uuden tunnisteen, saattaa sillä tavoin pystyä kiertämään PSN-bannitkin. (Joskin uutisen kommenttien perusteella temppu ei tunnu toimivan, eli esto saattaa perustua myös muihinkin tekijöihin kuin pelkkään ID-numeroon. Esimerkiksi konsolin MAC-osoitetta saatetaan vertailla myös. Tosin senkin muuttaminen on jo onnistunut.)
Erittäin ikäväksihän tilanne menee, jos jotenkin pystyy onkimaan selville esimerkiksi kaverinsa/vihamiehensä/naapurinsa tms. PS3:n tiedot ja sitä kautta hankkimaan ihan väärälle laitteelle pysyvän PSN-käyttöeston.
Vasta nyt SKFU:lle on tullut sama asia mieleen ja mies pelotteleekin blogissaan jopa kaikkien PS3-konsoleiden bannauksella (ellei Sony muuta metodejaan, joilla bannattava konsoli tunnistetaan).
1) The bans are based on the users' account and console ID's.
2) We can modify all traffic sent and received by the PlayStation3
What if some skiddies start to modify their sent traffic to appear as another user and use backups?
The PSN servers would recognize the TOS violation and check the online user database for known connections based on the ID's. The user and his consoles who really owns the ID's would be banned.
Even a simple Windows application which goes through ALL ID's may be possible. 24 hours and any console worldwide would be banned.
Script-kiddiet eivät tosin tiedä PS3:n console-id listaa ja randomina tehdyt id:t osuvat tai ovat osumatta. Lisäksi PSN-tunnus+console id parin pitäisi osua yhteen, joten todennäköisyydet tälle ovat häviävän pienet.
Samasta IP-osoitteesta tulevat lukemattomat eri PSN ja console-id tunnukset luulisi aiheuttavan jotain reaktioita myös PSN:n puolella.
Tuo V2:kin uutisoima "skandaali" on tosiaan niin täyttä hölynpöyä, ettei paremmasta väliä.
..mutta tuo hittejä ja osa kopsaa "uutisen" heti seuraavalle pelisaitille. Ja siitä taas joku eteenpäin. Ja näin yksi PS3 hakkeri-legenda on taas syntynyt. V2 (tässä tapauksessa - en puhu yleisesti) ei tietenkään ole missään vastuussa, koska eihän "uutinen" alunperin heidän ollutkaan..
Mutta se on sanottava, että isot propsit Hartzulle ja TT-2k:lle siitä, että ovat edes hieman yrittäneet "avata" tätä sotkua ja näitä eri käänteitä ns. normi pelaajille. Muut pelisaitit eivät tunnu olevan aiheesta ihan samalla tasalla..
Mutta se on sanottava, että isot propsit Hartzulle ja TT-2k:lle siitä, että ovat edes hieman yrittäneet "avata" tätä sotkua ja näitä eri käänteitä ns. normi pelaajille. Muut pelisaitit eivät tunnut olevan aiheesta ihan samalla tasalla..
Erittäin hyvin todettu ja tälle kyllä rehellistä kiitosta täältäkin suunnalta. Vaikka koko asian ympärillä vellova häslinki on sillkkaa seiskapäivätasoa jo alkujaankin, pakko on arvostaa kylmän rauhallista tapaa, jolla nuo pelimaailman "lööpit" analysoidaan ja debunkataan. Itse ei uusimmille kohuille viitsi enää edes korvia lotkauttaa mutta täältä sentään voi lukea, miksi jokin tikusta tehty media-asia ei todellakaan yhtään sen kummempi ollutkaan.
Ylipäätään puhtaan positiivisesta palautteesta jo itsessään propseja - näissä sitä aina jotenkin havahtuu netin raadollisuuteen ja siihen, miten aina on helpompi olla sitruuna kuin... Umm... Mikä tahansa positiivista mielikuvaa omaava hedelmä ^^;
Vastaus: PSJailbreak eli tarina siitä, kuinka PS3:n suojaukset lopulta murtuivat
Oikeudenkäyntiä odotteleva geohot on joutessaan avannut taas blogin. Tuolta voi seurata miekkosen mietteitä. Kävin tuonne Operation Boycott Sony -juttua käsittelevään entryyn kirjoittamassa kunnon tekstiseinät pyytäen mm. geohotilta todisteita väitteistä, että PS3 todella lähettää luottokorttitiedot (SSL:n alla) salaamattomina tai että konsolisi voisi tulla bannatuksi ihan vain sen takia, että joku feikkaa PS3:si konsoli-ID:n.
Saapa nähdä, tuleeko vastauksia. Yhden suht.koht. asiallisen vastauksen sain jo, mutta mielestäni siinäkin oltiin aika lailla hakoteillä tilanteen suhteen.
Vastaus: PSJailbreak eli tarina siitä, kuinka PS3:n suojaukset lopulta murtuivat
Hyvää tekstiä. Varsinkin kun suurin osa on "im with geohot sony sucks" -osastoa.. Tuon blogin tarkoitus on vain levittää anti-Sony propagandaa ja viedä syytä Sonyn suuntaan. Perinteistä hämäystaktiikkaa, jolla oikeat ongelmat ja syyt yritetään peittää.
Mutta yksi asia TT, älä nyt hyvä mies toivo Geohotille mitään hyvää niin kuin ekassa viestissä.
Ihan aikuisten oikesti toivon, että asia ratkeaa geohotin kannalta edullisesti. Pelissä kun on paljon enemmän kuin geohot vs. Sony. Tästä voidaan saada ennakkotapaus, joka määrittelee vuosiksi tai vuosikymmeneksi eteenpäin sen, kuka todella omistaa konsolin ja mitä sillä saa tehdä.
Ihan aikuisten oikesti toivon, että asia ratkeaa geohotin kannalta edullisesti. Pelissä kun on paljon enemmän kuin geohot vs. Sony. Tästä voidaan saada ennakkotapaus, joka määrittelee vuosiksi tai vuosikymmeneksi eteenpäin sen, kuka todella omistaa konsolin ja mitä sillä saa tehdä.
Eiköhän tuo sentään jo tiedetä; konsolin ostanut voi tehdä sillä ihan mitä lystää mutta jos moisen häkkyrän kytkee valmistajan palveluihin niin penalttia seuraa varmasti. Jälkimmäistä geohot ei toki ole tehnyt, joten sikäli varauksellisia propseja siihen suuntaan mutta samapa tuo miten sen rautansa kanssa leikkii jos a) tuloksista ei ole kokonaisvaltaista hyötyä ja b) valmistaja vie oikeuteen. Toivottavasti päättyy miekkosen kannalta edullisesti mutta kyllä tässä enempi nyt vain saa mitä tilaa.
Toisaalta ja toisaalta. Saahan konsolille tehdä ihan mitä tahansa, eikä kukaan siihen puutu. Mutta mitä sillä saa tehdä, se on eri juttu.
Sinänsä jos ostan vaikka mutkan ja teen sillä jotain laitonta, niin en enää koskaan saa Suomessa omistaa pyssyä, enkä varsinkaan saa hölmöily pyssykkääni takaisin. Pyssylleni voin tehdä kuten haluan... eikun enpäs voikkaan, pleikkarille voin. Aseen omistus-suhde ei vaikuta siihen, mitä voin aseella tehdä.
Ja se toinen "toisaalta" piilee siinä, että minkä Sony määrittelee laittomaksi sopimusrikkeiden kautta ja millä oikeudella se sen tekee. Tiettyihin asioihin Sony saa tukensa ihan tavallisesta lakikirjasta, mutta osa saattaa mennä kuluttajan oikeuksien polkemiseen. Nnäiden kahden eroa voi tämäkin jupakka onnistua selkeyttämään.
Geohozille toivon... Oikeutta. Jos saisin valita olisinko hän, niin en olisi. Jätkä saa stressata oikeudessa ja mitähän mahtaa saada? Ei pennin jeniä. Mahtaakohan olla tuon arvoista? Ai niin se Fame... olikos se jotain syötävää?
Sinänsä jos ostan vaikka mutkan ja teen sillä jotain laitonta, niin en enää koskaan saa Suomessa omistaa pyssyä, enkä varsinkaan saa hölmöily pyssykkääni takaisin.
Aseen ja konsolin vertaaminen toisiinsa on kyllä taas sen verran far out -kamaa että huh. Etenkin kun aseita varten on ihan oikeasti omat lakinsa. Nykylainsäädäntö on aika lailla kuutamolla PS3:n kaltaisen kuluttajaelektroniikan suhteen, koska kyseessä on kummiskin verrattain uusi asia.
Ja se toinen "toisaalta" piilee siinä, että minkä Sony määrittelee laittomaksi sopimusrikkeiden kautta ja millä oikeudella se sen tekee.
Sepä tässä onkin, että onko näillä Sonyn (lähes yksipuolisilla "sopimuksilla") mitään todellista painoarvoa lainopillisessa merkityksessä. Tähän asti muiden laitteiden (esim. iPhonen) jailbreak-oikeudenkäynnit ovat päätyneet siihen, että mitään varsinaisesti laitonta ei ole ollut. Pelikonsoli on kuitenkin siinä mielessä taas erilainen tapaus, että siellä niin peli- kuin leffapiratismikin muuttaa kuvioita aika tavalla. Toki puhelimeenkin voi warettaa käytännössä mitä vaan, mutta siellä jailbreakin tarkoitus on ihan oikeasti pääasiassa sitä, että saadaan homebrew-softaa pyörimään omistamallaan laitteella.
Nämä ihme sopimusehdot ovat päässeet elämään omaa elämäänsä ja ne saattavat sisältää käytännössä lain vastaisia oletuksia kuluttajan oikeuksista. Kyse on viidakosta nimeltä "hyväksy tai hylkää". Kukaan ei enää kiinnitä huomiota niihin, koska jos ihminen aikoisi lukea jokaisen eälmänsä aikan tekemänsä "hyväksy tai hylkää" sopimuksen, niin markkinatalous kaatuisi yhden sukupolven aikana siihe, että asiakkaat eivät ehdi kuluttamaan lukiessaan sopimuksia. Toisinsanoen kyse on myös sopimus-spämmistä.
Tuo onkin aiheuttanut sen, että noissa sopimuksissa lukee mitä sattuu ja niistä kiistellään vain harvinaisissa tapauksissa. Mikään taho ei tarkkaile tuollaisten sopimusten oikeellisuutta. Ainoastaan tämänlaiset tapaukset saattavat niihin vaikuttaa. Harvoin noiden sopimusten sisältö joutuu tilanteeseen jossa niiden sisältöä realisoidaan ratkaisuiksi kuluttajan ja yhtiön välisissä ongelmissa. Ja jos realisoidaan, niin kaavakin on selvä: Kuluttaja häviää ellei vie oikeuteen ja sielläkin saattaa hävitä. Ei siis ihme, että noihin sopimuksiin laitetaan ties mitä roinaa ihan varmuuden vuoksi.
Ja ei se ase-ps3 vertaus niin kaukaa haettu ole. Voishan sen vaihtaa vaikka mikroaalto uuniksi. Saat modata sitä, mutta et säteilyttää sillä naapuriasi tai naapurin pellosta varastamiasi uusiaperunoita.
Sepä se, ja kun nämä "sopimukset" vielä sisältävät ympäripyöreitä "ehkä, ehkä ei" -tyyppisiä kohtia, mennään jo todella syvälle tulkinnanvaraisuuteen.
Se on kuitenkin vielä täysin ymmärrettävää, että palvelua (kuten PSN tai vaikkapa iTunes) hallinoiva taho voi käyttöehtorikkomuksen vuoksi estää palvelun käytön. Mutta nyt puhutaan jo siitä, että ei saisi itse laitteellekaan tehdä mitään, vaikka ei varsinaisia palveluita olisi koskaan käyttänytkään.
Voishan sen vaihtaa vaikka mikroaalto uuniksi. Saat modata sitä, mutta et säteilyttää sillä naapuriasi tai naapurin pellosta varastamiasi uusiaperunoita.
Ollaan edelleen aika kaukana, jos minulta kysytään. Naapurin säteilyttäminen menee vähintään pahoinpitelyksi, jota varten on omat lakipykälänsä, samoin fyysisen tavaran varastamiselle on omat pykälänsä. Pelkästään custom-firmiksen asentava ei sinällään syyllisty vielä yhtään mihinkään, mutta silti Sony haluaisi senkin niin kovasti estää.
Jos modatulla Pleikkarillaan pelaa warepelejä, silloin mennään taas ihan selkeästi tekijänoikeusrikkomuksiin, mutta niitä varten on omat säädöksensä olemassa. Sama juttu vaikkapa verkkoliikenteen häirinnän kanssa. Identiteettivarkaudet ovat tämän hetken yksi kuuma peruna, ja ne lait taitavat olla edelleen vasta valmisteluasteella.
Se on kuitenkin vielä täysin ymmärrettävää, että palvelua (kuten PSN tai vaikkapa iTunes) hallinoiva taho voi käyttöehtorikkomuksen vuoksi estää palvelun käytön.
Itse asiassa voisi olla ihan mielenkiintoista nähdä, mitä tapahtuisi, jos tuosta lähdettäisiin käräjöimään. PS3:ahan myydään aika paljon myös tuolla ilmaisella nettipelaamisella, mutta tämän palvelun käyttöoikeuksia rajoittavista tekijöistä ei mainita mitään.
Jos siis joku modaa pleikkarinsa ja saa kenkää PSN:stä, niin voiko tuolloin vedota valheelliseen markkinointiin? Ja erityisen hauskanhan tästä kuviosta tekee se, että edes EU:ssa ei kuluttajansuoja ole ihan yhteneväistä. Saati USA:n ja EU:n välillä.
Joo, näissä forum-tarinoissa yleensä kuullaan se käyttäjän versio. Ja välillä tarinan jatkosta ei sitten enää kuullakaan mitään..
