Internet Explorer -haavoittuvuus - ohjeita käyttäjille

IE:n haavoittuvuuteen (taustoista katso esim. blogikirjoitus täällä) liittyen - olen saanut paljon kysymyksiä siitä, mitä esim. kotikäyttäjän kannattaa tehdä. Security Advisoryssä on paljon ohjeita erilaisten kiertokeinojen käytöstä -. mitä minun tavllisena käyttäjänä kannattaa tehdä?

No, ihan ensimmäisenä kannattaa muistaa, että konehan ei itsestään saastu, vaan saastuminen edellyttää, että käyttäjä esimerkiksi vierailee jollakin sivustolla, jossa levitetään haitallista sisältöä, tai klikkaa linkkiä sähköpostissa, joka johtaa tällaiselle sivustolle. Siispä nyt jos koskaan kannattaa muistaa olla varovainen, kun surffaa netissä, ja vierailla vain sellaisilla sivustoilla, joihin luottaa - suomalaisten pankkien online-sivustot, suomalaiset verkkokaupat yms. lienevät tällaisia sivustoja. Suuri osa haavoittuvuutta hyödyntävistä, haitallista sisältöä levittävistä sivustoista luonteeltaan sellaisia, joilla tavallinen käyttäjä hyvin harvoin surffaa. 

Eli siis, lyhyesti ohjeet "tavallisille" Internet Explorer -käyttäjille:

1. Varmista, että käytössä on virustorjuntaohjelmisto ja että se on ajan tasalla.
2. Varmista, että järjestelmään on asennettu kaikki päivitykset - helpoin tapa on varmistaa, että käytössä Windowsin automaattinen päivitystoiminto on käytössä.     
3. Noudata varovaisuutta selaillessasi - vieraile ainoastaan sivustoilla joihin luotat (kts. yllä).
4. Lisäksi voit vielä käyttää Internet Explorer -selaimen tietoturva-asetuksia lisäturvan saamiseksi - miten, siitä tarkemmin seuraavassa.

Internet Explorerissa voidaan selaimelle määrittää erilaisia tietoturva-asetuksia, esimerkiksi että selailtaessa käyttäjältä kysytään vahvistus, jos sivusto (sivusto on jokin yksittäinen web-palvelu, esimerkiksi www.tietokone.fi on yksi sivusto) käyttää jotain selaimen ominaisuuksia, esimerkiksi ActiveX-komponenttien tukea. Ja vielä tarkemmin, selaimessa voidaan sivustot jakaa erilaisiin ryhmiin ja kullekin ryhmälle sen jälkeen määrittää erilaiset asetukset. Internet Explorerissa näitä ryhmiä kutsutaan vyöhykkeiksi. IE:ssä on valmiiksi määritettynä useita tällaisia vyöhykkeitä:

• Paikallinen intranet - organisaation ollessa kyseessä kattaa yleensä kaikki organisaation omassa verkossa (eli palomuurin sisäpuolella) olevat sivustot. Kotikäyttäjälle tällä vyöhykkeellä ei juurikaan ole merkitystä.  
• Internet - kattaa oletuksena kaikki julkisessa Internetissä olevat sivustot.
• Luotetut sivustot - oletuksena tässä vyöhykkeessä ei ole yhtään sivustoa, mutta käyttäjä voi lisätä tähän vyöhykkeeseen kaikki ne sivustot, johon hän luottaa.
• Vyöhykkeitä voi myös lisätä, mutta ei siitä tässä yhteydessä sen enempää.

Ideana on, että kullekin vyöhykkeelle määritetään erilaiset tietoturva-asetukset. Esimerkiksi käyttäjä voi lisätä luottamansa sivustot Luotetut sivustot -vyöhykkeeseen ja antaa sen jälkeen tälle vyöhykkeelle enemmän vapauksia, kuin esimerkiksi Internet-vyöhykkeelle, johon kuuluvat kotikäyttäjän tapauksessa kaikki muut sivustot. Näin Internet-vyöhykkeen tietoturva-tasoksi voidaan määrittää Vahva, mikä suojaa selainta mm. tässä kyseessä olevalta haavoittuvuudelta. Ja silti Luotetut sivustot -vyöhykkeeseen lisättyjä sivustoja (verkkopankkia, verkkokauppaa, kunnan tai kaupungin sivustoa jne) voi käyttää ihan normaalisti.

No, miten tämä määrittäminen sitten tapahtuu? Ihan ensimmäiseksi, miten lisään jonkin sivuston Luotetut sivustot -vyöhykkeeseen:

1. Valitse Internet Explorerin Työkalut-valikosta vaihtoehto Internet-asetukset, ja sen jälkeen napsauta Internet-asetukset-ikkunassa Suojaus-välilehteä. Tämän väålilehden kautta tehdään kaikki vyöhykkeitä koskevat määritykset.
2. Valitse kohdasta Valitse vyöhyke, jonka suojausasetuksia haluat tarkastella tai muuttaa vyöhyke Luotetut sivustot ja napsauta sen jälkeen Sivustot-painiketta.
3. Jos haluat lisätä luotettujen sivustojen joukkoon sivuston, joka ei käytä suojattua yhteyttä (suojatun yhteyden tunnistaa siitä, että osoiterivin alussa lukee http-merkkijonon sijasta https), poista valinta kohdasta Edellytä palvelimen vahvistusta (https:) vyöhykkeen kaikilta WWW-sivustoilta.
4. Kirjoita tekstikenttään Lisää tämä WWW-sivusto vyöhykkeeseen: sen sivuston nimi, jonka haluat lisätä luotettujen sivustojen joukkoon ja napsauta Lisää-painiketta.
5. Toista vaihe 4. kaikkien niiden sivustojen osalta, jotka haluat lisätä luotettujen sivustojen joukkoon.
6. Hyväksy muutokset ja palaa Internet Explorer –selaimeen napsauttamalla ensin Sulje-painiketta ja sen jälkeen OK-painiketta.

Huomautus: Lisää luotettujen sivustojen joukkoon ainoastaan sellaiset sivustot, joihin luotat. Voit halutessasi lisätä näiden sivustojen joukkoon myös sivustot *.windowsupdate.microsoft.com ja *.update.microsoft.com, koska näiden sivustojen kautta asennetaan korjaus haavoittuvuuteen, ja sivustot edellyttävät ActiveX-komponenttien käyttöä.

Olet nyt määrittänyt haluamasi sivustot luotettujen sivustojen vyöhykkeeseen. Seuraavaksi voit muuttaa Internet-vyöhykkeen tietoturvatasoa niin, että kaikille muille paitsi juuri määrittämillesi luotetuille sivustoille käytetään tiukempia (vahvempia) tietoturva-asetuksia. Ja tämähän tapahtuu seuraavasti:

1. Valitse Internet Explorerin Työkalut-valikosta vaihtoehto Internet-asetukset.
2. Valitse Internet-asetukset–ikkunassa Suojaus-välilehti, ja napsauta sen jälkeen Internet-vyöhykkeen kuvaketta.
3. Vyöhykkeen tietoturva-asetus määritetään kohdassa Vyöhykkeen suojaustaso alla olevan liukusäätimen avulla. Ennen kuin muutat sen asentoa, merkitse muistiin, millä tasolla tietoturva-asetus oli, jotta voit määrittää sen takaisin sen jälkeen, kun haavoittuvuuteen on tullut korjaus ja olet sen asentanut. Siirrä tämän jälkeeen liukusäädinkohtaan Vahva. Tämä määrittää, että kaikkien Internetissä käyttämiesi sivustojen tietoturvataso on Vahva, lukuun ottamatta niitä sivustoja, jotka edellä määritit luotettujen sivustojen joukkoon.

 Huomautus: Jos näkyvissä ei ole liukusäädintä, napsauta Oletustaso-painiketta ja säädä sen jälken liukusäädin edellä mainitulla tavalla.

Kun haavoittuvuuteen on tullut korjaus, ja olet asentanut sen, voit palauttaa Internet-vyöhykkeen tietoturvatason takaisin aiemmalle tasolle.