# Suomesta maailmalle, vieraana Otto Ebeling| 0x21

An episode of [Herrasmieshakkerit](https://invisiblenetwork.ai/podcast/1479000931), 4 Oct 2022, 46 min.

Audio: https://anchor.fm/s/11701d3b8/podcast/play/125386793/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-8-8%2F431429008-48000-2-5c577b4ed6c5cc4d.mp3

Kutsuimme kartanolle vieraaksi merkittävän kansainvälisen uran Facebookilla eli Metalla tehneen sovellustietoturva-asiantuntijan Otto Ebelingin. Otto kertoo meille millaista on työskennellä tietoturva-asiantuntijana kaikkien tuntemassa teknologiayrityksessa, minkälainen rekrytointiprosessi oli ja millaisia työtehtäviä hänellä on ollut Metan sovellustietoturvallisuuden parissa. Keskustelemme myös keväällä 2019 tapahtuneesta WhatsAppin tietoturvaloukkauksesta, joka oli tehty NSO:n hyökkäystyökalu Pegasuksella, ja jonka tutkinnassa Otto oli mukana. Äänijulkaisun lähdeluettelo: Vieras: Otto Ebeling https://twitter.com/loginuid Herrasmieshakkerit Twitterissä https://twitter.com/hakkerit Herrasmieshakkerit Youtubessa https://youtube.com/c/Herrasmieshakkerit Erikoisjakso: Toomas Hendrik Ilves https://youtu.be/FBp66gUUglI Cloudflare ja Kiwifarms https://blog.cloudflare.com/kiwifarms-blocked/ Äänen muokkaaminen tekoälyllä https://arstechnica.com/information-technology/2022/09/with-koe-recast-you-can-change-your-voice-as-easily-as-your-clothing/ Äänen muokkaaminen tekoälyllä - koe recast https://koe.ai/recast/ Äänen muokkaaminen tekoälyllä - resemble.ai https://www.resemble.ai/ Otto New Yorkerissa https://www.newyorker.com/magazine/2022/04/25/how-democracies-spy-on-their-citizens Metan tuoteturvallisuus https://about.fb.com/news/2019/01/designing-security-for-billions/ The Art of Mac Malware https://taomm.org/index.html Software Engineering at Google https://abseil.io/resources/swe-book Assembly 2022 voittajat https://party.assembly.org/summer22/news/competition-results M22 by p01 https://www.youtube.com/watch?v=5nb0Z16_MQY

## Transcript

[0:08] Tervetuloa herrasmies hakkereiden vieraaks
[0:10] ylämuistialan kartanolle. Tässä ohjelmasarjassa
[0:12] käsittelemme tietoturvaan ja vääjäämättömään kybertuhoon
[0:15] liittyviä asioita ja ilmiöitä oppaana ne verkon alamaailmassa
[0:19] toimivat suomen tietoturvakentän viralliset vanhukset, mikko
[0:21] hyppönen hyvää iltaa ja tomi tuominen.
[0:25] Oikein hyvää iltaa. Syksy on tullut ja arki alkaa
[0:31] taas kesä alkaa olemaan tosiaan ehtoo puolelle ja on neljännen
[0:34] tuotantokauden aloitus. Näin on.
[0:39] Mitäs teit kesällä? No siinähän se meni pitkälti
[0:42] metsästäessä ja kartanon maita mitatessa ja tästähän saadaan
[0:46] pikkaisen esimakua piakkoin. Näin on mehän julkaistaan
[0:50] jokaiselle uudelle tuotantokaudelle avausvideo
[0:52] uusin avausvideo liittyy tosiaan tähän teemaan, voitte käydä
[0:55] katsomassa sen herrasmies hakkerit youtube tililtä.
[0:57] Kannattaa muutenkin seurata meitä sosiaalisessa mediassa eli
[1:01] twitteristä löydetään tililtä hakkerit ja sieltä löytyy muun
[1:06] muassa kuvakooste meidän 3 vuotissyntymäpäivien
[1:08] vastaanotolta näin on ja meillä oli hieno seurue kasattuna
[1:12] kartanolle mukana muun muassa edellisiä vieraita ja muita alan
[1:16] ihmisiä. Mun läpi käymme tätä tarinaa,
[1:56] mutta suosittelen vahvasti katsomaan, että miten tää kaikki
[1:59] oikein tapahtui ja miten presidentti itse sen koki.
[2:03] Kuuli hovimestariilta, että ehdit myös käydä piipahtamassa
[2:05] kirja julkkareissa las vegasissa.
[2:09] Kyllä kyllä näin on tässä kesällähän on aina niin kutsuttu
[2:13] hackers summer camp, mikä tarkoittaa yhdysvalloissa las
[2:17] vegasissa peräkkäin viisaiden slush vegas black ja death on
[2:22] kokoontumisia ja mä istuin nää kaikki läpi liittyen nyt
[2:26] nimenomaan siihen, että tää kirjan kansainvälinen julkaisu
[2:28] tuli ulos ja itse asiassa julkaisubileet oli black hatin
[2:31] aikana luxor hotellissa oli oikein oikein onnistuneet
[2:34] pippalot erityisesti kyllä lämmitti sydäntä se, että kun
[2:37] sitten las vegas viikolla hyppäsin autoon ja ajelin
[2:40] lähikaupunkiin. Kävelin kirjakauppaan niin
[2:42] sieltähän se löytyi kirjakaupan hyllystä paikallisen barcan
[2:45] noble kirjakaupan hyllystä oli mun emfit smart is one reply
[2:49] kirja ja tää on tosi hieno homma.
[2:51] Tuntui hyvältä myöskin se, että mulle on ihmiset meilläillut
[2:53] muun muassa malesiasta ja japanista, että he on ostanut
[2:56] sen paikallisesta kirjakaupasta. Eli tää kirja on ihan oikeasti
[2:59] Julkaistu kansainvälisesti, eli nyt tuli englanninkielinen
[3:01] painos. Tuleeko muilla kielillä vielä?
[3:03] Joo, saksankielinen versio on jo sovittu, semmoinen on tulossa ja
[3:08] keskustelu on muutamasta muustakin kielestä, ehkä jopa
[3:10] Ukrainasta ja sehän olisi tosi hienoa, se kyllä kuulostaa
[3:14] erittäin hyvältä. Mitäs sulla, mitä sä oot
[3:16] puuhannut? No kesä tosiaan meni nopeasti,
[3:18] mutta nyt syksyn alkaessa Ajattelin aloittaa uuden
[3:22] harrastuksen ja oon liittynyt radioamatöörikurssille.
[3:25] No sehän on kiva, että ei ole mikään kauhean nörttiharrastus.
[3:27] Ei se on taas semmoinen aika miehinen laji ja sopii hyvin
[3:31] tähän herrasmiehen toimintaan näin näin se on.
[3:35] No kesällä tapahtui paljon uutisia, yksi meidän alan paljon
[3:38] otsikoissa on ollut keskustelu, oli tapaus, cloudflare ja kivi
[3:42] farms. Mistäs tässä oikeastaan oli
[3:44] kysymys, kivifilms oli ainakin mulle henkilökohtaisesti
[3:46] tuntematon suuruus, mutta kyseessä on siis tämmöinen
[3:50] vihapuhetta ja ihmisten henkilötietoja levittelevät
[3:53] foorumi myöskin. Hyvin kyseenalaista mainetta
[4:00] nauttiva swatfoorumi eliuksella tarkoitetaan sitä, että jonkun
[4:04] tekaistun taustatarinan siivittämänä saadaan lähetettyä
[4:08] poliisin erikoisjoukot haluttuun osoitteeseen.
[4:10] Ja tässä vastaus on ihan tosi vaarallista.
[4:13] Maailmalta tunnetaan tapauksia, missä ihmisiä on kuollut, koska
[4:16] heidän kotinsa on soitettu poliisit vaikkapa kertomalla,
[4:19] että siellä on panttivankitilanne käynnissä ja
[4:21] poliisi tulee pyssyt pyssyt kädessä sinne sisään on siis
[4:26] selvää, että tämmöinen keskustelu ei ole hyvästä ja
[4:29] sille pitäisi tehdä jotain kysymys.
[4:31] Ehkä nyt sitten onkin se, että mitä sille pitäisi tehdä niin
[4:34] tässä tapauksessa. Tikun nokkaan nostettiin claude
[4:39] palveluntarjoaja, joka ainoan tehtävä oli itse asiassa suojata
[4:45] näitä sivustoja palvelunestohyökkäyksiä vastaan.
[4:48] Joo ja tämmöinen sivusto on palvelunestohyökkäysten
[4:51] kohteena, koska on paljon ihmisiä, jotka haluavat
[4:54] protestoida sitä vastaan. Tässä tapauksessa siis
[4:56] varmaankin ihan syystä, mutta se protestointi hyökkäysten kautta
[5:00] on tietysti vähän ihmeellistä. Paljon loogisempaa olisi tehdä
[5:03] vaikkapa rikosilmoitus ja toimia viranomaisten avulla, jotta
[5:06] saataisi tämmöinen sivusto suljettua ihan niin kun rikosten
[5:09] tekemisen takia. Ja kyllä tää tuntuu myös
[5:11] pikkaisen kohtuuttomalta siitä näkökulmasta, että.
[5:14] Kukaan ei nostanut tikun nokkaan esimerkiksi internet
[5:17] palveluntarjoajia tai operaattoreita tai muita
[5:20] palveluntarjoajia, missä muun muassa esimerkiksi nämä sivustot
[5:24] oli ylläpidettävänä tai rahaliikennettä.
[5:27] Eli tosi monesti ollaan nähty aiemmin, että että tän
[5:30] tyyppisiin paikkoihin on puututtu tai tän tyyppisiin
[5:32] sivustoihin tai niiden toimintaan on puututtu
[5:35] rahaliikenteen kautta, kun kuitenkin se oikea tapa tässä
[5:38] tietysti olisi jollain tavalla saada tää viranomaisten tietoon.
[5:41] Tää palvelu ja tutkia se sitä kautta joko regulaatioon tai
[5:45] lainsäädännön näkökulmasta ja näin tässä tapauksessa
[5:48] todellakin kävi, eli verkon aktivistit sitten eivät
[5:51] halunneet odotella. Kohteeksi ja joutui vaihtamaan
[6:32] uusiin osoitteisiin ja jos tästä episodista jotain opittiin niin
[6:38] se on se, että me emme ole vielä käyneet sitä keskustelua, että
[6:41] kenellä pitäisi olla valta päättää siitä mitä on saatavilla
[6:45] internetissä ja mitä ei. Tällä hetkellä se ei ainakaan
[6:48] toimi kovin hyvin. Me ollaan herrasmies hakkereista
[6:51] moneen kertaan puhuttu siitä, miten tekoälyjärjestelmät ja
[6:54] koneoppiminen muokkaa meidän maailmaa.
[6:57] Meillä on muun muassa oli vieraana jaakko lehtinen
[6:59] puhumassa gun neuroverkoista ja näitä tekniikkoja voidaan
[7:02] käyttää kuvien luomiseen kokonaisten visualisoitujen ja
[7:07] simuloituja maailmojen luomiseen ja myöskin äänten muokkaamiseen.
[7:10] Ja siellä nyt on selvästi nähty hyvin mielenkiintoisia uusia
[7:13] kaikkien saatavilla olevia palveluita.
[7:16] Joo ja se, mikä erottaa selkeästi tän äänen muokkaamisen
[7:19] nyt näistä edellämainituista on se, että me kyllä ennustetaan,
[7:23] että. Ei mene kovin pitkään, kun näitä
[7:27] algoritmeja tai tekniikoita tullaan hyödyntämään rikollisiin
[7:31] tarkoituksiin. Itse asiassa ollaan jo moneen
[7:34] kertaan nähty uutisotsikoissa tarinoita siitä, että niin
[7:37] kutsuttuja toimitusjohtaja huijauksia olisi tehty
[7:39] tämmöisten deepfake väärennettyjen äänien avulla.
[7:42] Se, että onko se sitä oikeasti jo tehty vai onko kysymys
[7:44] väärinkäsityksestä tai tekosyistä, niin me ei ihan
[7:46] tarkkaan tiedetä, mutta se teknologia on kyllä jo olemassa.
[7:50] Millä tämmöisiä voisi tehdä? Otetaanpas tähän näyte
[7:52] herrasmies hakkereita niin introsta ensin ihan normaalisti
[7:56] niin kun yleensä se sanotaan ja sen jälkeen parilla
[8:00] muokkauksella ja tässä hyödynnämme.
[8:02] Verkosta löytyviä palveluita konepiste AI ja resende piste AI
[8:07] jos haluatte itse kokeilla näitä niin linkit löytyy Lahden
[8:09] luettelosta. Tervetuloa herrasmies
[8:11] hakkereiden vieraaksi ylämuistialan kartanolle tässä
[8:13] ohjelmasarjassa käsittelemme tietoturvaan ja vääjäämättömään
[8:17] kybertuhoon liittyviä asioita ja ilmiöitä.
[8:23] Muistelen kartanolla. Tässä on hieno sarjassa.
[8:26] Käsittelemme tietoturvan ja benjammattomaan cyber tuhon
[8:29] liittyviä asioita ja ilmiöitä. Tervetuloa edes niissä freddie
[8:34] roach, sillä muistellaan carol tässä ohjelmasarjassa.
[8:38] Käsittelemme tiedot huone ja berg ja mätoman cyber tohon
[8:41] liittyviä asioita. Helmarit.
[8:44] Terve towers nico fragan björk syytä muistella on kartanolla
[8:48] tässä ohjelmasarjassa käsittelemme tietoturvan ja
[8:51] benjamattomaan kyber tuhon liittyviä asioita ja ilmiöitä.
[8:54] No mutta sepäs kuulosti hyvältä. Sitten varmaan onkin aika kutsua
[8:58] vieraamme sisään. Tervetuloa sovellus tietoturva
[9:02] asiantuntija otto evelyn. Kiitos ja hyvää iltaa.
[9:06] Me haluttiin kutsua otto herrasmies hakkereiden
[9:08] vieraaksi, koska otto on tehnyt merkittävän kansainvälisen uran
[9:12] tietoturvan parissa muun muassa facebookin eli metän
[9:16] palveluksessa. Haluaisitko vähän kertoa
[9:18] itsestäsi ja taustasi otto mä mielelläni eli
[9:21] ohjelmointiharrastus alkoi tuossa ehkä seitsemänvuotiaana
[9:23] suurin piirtein samalla kun koulukin alkoi ja niin siellä jo
[9:27] ennen kouluikääkin hieman. Esimerkiksi mun isä oli
[9:29] näyttänyt vaikka, että miten dospelistä voitiin pesee shell
[9:32] editorilla vaan muuttaa esimerkiksi hahmojen nimiä ja
[9:36] täällä oli tämmöinen. Mielenkiintoinen ja havaintoja
[9:40] ihan että tietokoneohjelmien toimintaa voi ymmärtää.
[9:41] Niitä voi jopa muuttaa itse peruskoulun mittaan luin
[9:44] kaikenlaisia ohjelmointikirjoja ja internet alkoi yleistyä
[9:47] sitten täältä ajoilta. Muista lukea niin esimerkiksi
[9:49] RFPN elikkä sademetsän koiranpennun jeff koristelin
[9:53] kirjoituksia ja back postituslistan tutkin
[9:56] debugreilla omien ohjelmien toimintaa sitten yläasteella.
[9:59] Tuossa noin viisitoistavuotiaana, ehkä
[10:01] ensimmäisen kerran tän ikään kuin kaupalliselle puolelle.
[10:03] Mä löysin tämmöisen t 2 tietoturvakonferenssin.
[10:06] Mitä muuan tommi tuominen pyöritti ja sitten siellä
[10:09] ratkaisin tän takaisinmaks pähkinän mikä heillä oli en
[10:13] kylläkään nopeampana, mutta nuorimpana.
[10:16] Tällöin viisitoistavuotiaana koulussa oli tulossa tämmöinen
[10:18] työharjoittelu tai tet työelämään tutustuminen ja otin
[10:21] sitten yhteyttä tomiin että olisiko tän haasteen tehneessä f
[10:24] securessa jonkinlaista tota harjoittelua mahdollisuutta ja
[10:27] sitten sanoi että soita vaan mikolle ja sitten sieltä soitin
[10:30] soitin mikolle puskista ja kerroin että sain suosituksen
[10:33] että sulla pitäisi soittaa tästä tai voisiko se mahdollista
[10:35] päästä ilmaiseksi töihin viikoksi 8 tonne viruslää ja
[10:38] siellä mikko sitten kuulusteli englannin osaamista ja muuta ja
[10:41] tuli sitten meille lapsuudenkotiin käymään ja
[10:43] lopuksi vähän trollasi heittämällä että laita krapulaa
[10:46] ja pitää paikkansa ja sitten siitä tosiaan kyselin
[10:49] vanhemmilta että olisikohan tää oli varmaan vitsi että Mut en
[10:53] kyllä varma, jos on kuitenkin tämmöinen tärkeä steppi, että
[10:55] ensimmäisen kerran me johonkin yritykseen että mitä he on
[10:57] mieltä ja lääkäreitä olivat jossa niinku valkoinen takki ja
[11:00] muu kuuluu tähän asutukseen niin sanot.
[11:02] No kyllä se voi olla että siellä se oli t uutisissakin gramma
[11:04] kaulassa ja se mikko ja näin mä vaan ilmestyi f securen
[11:07] toimistolle sitten graa kaulassa ja tää oli jarkko turkulaisella
[11:11] ja muilla kumppaneilla naurussa pitelemistä kun mä olin täällä
[11:14] kaulassa olen pahoillani saat anteeksi täytyy kertoa myös
[11:18] tarinan tästä mainitsemastasi hakkereista rainforest papista
[11:22] joka oli aikamoinen legenda jo silloin siihen aikaan niin tää
[11:25] nimi tuli siitä että kaveri oli nähnyt tarran hississä missä
[11:30] lukijat se ei rainforest Näin pappis, mutta siinä ei ollut.
[11:34] Se oli kulunut se and siitä pois sillä tavalla, että se oli sillä
[11:37] että että aijaa, että pelastakaa niin kun sademetsän pennut niin
[11:41] se otti siitä sen hakkeri hannele niin itsellensä käyttöön
[11:44] ja se jäi sitten elämään koko tämän uran ajan.
[11:48] Oletko sä aika aika terävä nuori tai teini sillä on ollut kun sä
[11:52] oot rainforest papin kirjoituksia lukenut silloin
[11:54] yläasteikäisenä, mutta tästä on nyt sitten jo noin 17 vuotta.
[11:59] Mitäs mitäs sitten teit sen jälkeen?
[12:01] Niin joo, no tää oli se tosiaan silloin joskus yläaste aikoihin,
[12:04] mä olin sitten f securella muutaman kesän töissä
[12:08] opiskeluaika kuin sitten oli. Asepalvelus ja sitten mä olin
[12:12] sen jälkeen niksu nimessä tietoturvakonsultti yrityksessä
[12:15] vähän aikaa ja osallistuin sitten lukiossa kanssa tämmöisiä
[12:17] ohjelmointikilpailuihin niinku datatähti oli tää suomen suomen
[12:20] versio ja sitten niin kun BOIOI näitä kansainvälisiä kilpailuja
[12:24] niiden kautta sitten tutustuin kaveriini mika laitisen ja hän
[12:28] oli kanssa osallistunut vielä enemmän tähän niinku
[12:30] ohjelmointipuolueen kilpailuihin ja sitä kautta hän sitten
[12:32] pärjäsi tosi hyvin jossakin kilpailussa ja sai
[12:34] yhteydenottoja sekä googlelta että facebookilta ja.
[12:38] Sitten hän läpäisi molempiin haastattelut ja sai
[12:40] työtarjoukset ja sitten kun hän otti sen facebookin tarjouksen
[12:43] vastaan, niin sieltä kysyttiin, että ketäs muuta suomesta
[12:45] kannattaa palkata. Sitten tuli mikalta suolaus
[12:47] mulle ja lähden että no käydään katsomassa että mimmoinen en
[12:50] ollut koskaan käynyt jenkeissä aikaisemmin ja siinä sitten
[12:52] lensin haastateltavaksi ja läpi meni eli koodauskilpailujen
[12:55] kautta facebookille haastattelun minkälainen prosessi oli tää
[12:59] haastattelu alunperin ensimmäinen haastattelu tehtiin.
[13:03] Etänä voisiko niitä ollut ehkä parikin eli siellä sitten
[13:06] tiettyyn aikaan joku soittaa puhelimeen joku facebookin
[13:10] koodari ja sitten he antaa mulle tämmöisen osoitteen mihin
[13:13] selaimella mennään. Siellä on semmoinen
[13:15] ohjelmointiympäristö ja sitten he antaa jonkun tehtävän vaikka
[13:17] että Kirjoita ohjelma joka lukee ja tämmöistä syötettä ja laskee
[13:21] tämmöiset arvot niistä ja tulostaa niin sitä koodi siinä
[13:23] vaiheessa ei vie ajeta että siinä voi jotakin pientä
[13:25] syntaksin virhettä. Voi olla että se ei ole niin
[13:27] niin tarkkaan, mutta tällä niinku karsitaan se että
[13:29] kirjoittaa sen koodin ja selostaa sen sitten sille
[13:31] facebookin koodille miten se toimii ja miten oma
[13:33] ajatusprosessi toimii ja tän perusteella sitten pääsee
[13:36] jatkohaastatteluihin sinne paikan päälle siellä että
[13:38] osittain samaa kuviota siinä on sitten myöskin Vähemmän teknisiä
[13:42] haastatteluja myöskin missä katsotaan vaikka että miten
[13:44] toimii vähän vähemmän herkissä ympäristöissä tai jotenkin
[13:47] jotain tämmöisiä. Muita vähemmän teknisiä
[13:49] aspekteja. Facebookissa lennätti sut
[13:51] jonnekin ulkomaille tonne piilaaksoon.
[13:55] Tää oli sitten niitten ensimmäisten etäohjattujen
[13:57] jälkeen, että se oli jo sinänsä mielenkiintoinen kokemus, että
[14:00] jos ei muuta niin pääsinpä ainakin näkemään piilaakson
[14:02] paikan päältä, vaikka ei haastattelut menisikään läpi,
[14:04] niin tämmöinen palkinto siellä kuitenkin odotti läpi meni ja
[14:07] sen seurauksena siirryit sitten suomesta töihin kaliforniaan.
[14:10] Minkälainen kulttuurimuutos se oli?
[14:12] Joo, kyllähän siinä amerikkalaisessa kulttuurissa
[14:15] kaikenlaista small talkia pääsi opettelemaan ja työ on tosi iso
[14:19] osa elämästä ja siellä kanssa Taas näkemään muun muassa
[14:21] tämmöistä, että siellä oli joillakin tyypeillä.
[14:23] Oli esimerkiksi niinku todella kova työmoraali ja jotkut
[14:25] saattoi, vaikka esimerkiksi oltiin työkaverin kanssa menossa
[14:28] lentokoneeseen ja tuleva kulutus sitten lento on 10 minuuttia
[14:31] myöhässä, niin heti läppäri auki ja vähän töitä sinne sisään ja
[14:33] tän tyyppistä että siellä ihmiset painaa kyllä ainakin osa
[14:36] tosi kovaa ja siellä meidän naapuri tuli töissä applella ja
[14:39] saattoi kadulla törmätä ihmisiä jotka on töissä googlella ja tää
[14:42] niinku tää teki maailma tuli tosi paljon totuuksia.
[14:45] Yksi opiskeltu oli käynyt stanfordissa siellä tekemässä
[14:49] vaihtovuoden ja tai vaihto muutaman kuukauden ja siellä
[14:51] tässä osuudessa kanssa esimerkiksi nää opiskelijatkin
[14:54] kanssa painoi tosi täysiä että nää suomalaiset ehdotti että
[14:56] voisiko nyt tää ryhmätyötä Kun sitä ei tehty sunnuntaina ja
[14:59] sitten nää nää amerikkalaiset katsoo näitä suomalaisia vähän
[15:02] jostakin hulluja että voitte lentää takaisin suomeen.
[15:04] Jos sä haluat pitää sunnuntait vapaata että täällä yritetään
[15:07] tehdä asioita minkälaista se sitten on kun ympärillä on
[15:10] kaikki nää piilaaksojättiyritykset ja ja
[15:12] aurinko paistaa aina mahdollisuuksia on tosi paljon
[15:15] paljon työuralle ja saattaa törmätä ihmisiin ihan ennenkin
[15:18] kun välttämättä ymmärtääkään mihin he voi päätyä että
[15:21] tämmöinenkin anekdootti. Voin voin mainita, että
[15:23] esimerkiksi joskus tässä muutama vuosi sitten kun käytiin
[15:26] tapaamassa esimerkiksi googlella project ihmisiä, ne siellä
[15:29] esimerkiksi tää nataliavide mainitsi mulle että me ollaan
[15:32] tavattu joskus ja en kyllä muistanut tätä ja mietin että mä
[15:35] oon vaikka sähköpostiin vaihtanut, mutta Ja lopulta
[15:37] muistettiin, että mähän olen joskus kaksituhattaneljätoista
[15:39] pitänyt jossakin paikallisessa meet upissa esitelmän facebookin
[15:43] fazer tai muista tämmöisistä tietoturvatestaustyökalu ja
[15:46] siellä oltiin sitten lyhyesti keskusteluja voi törmätä isoihin
[15:48] nimiin tälleen huomaamatta. Kuinka yleistä se oli, että
[15:52] siellä järjestettiin tiellä. Tavallaan ei nyt välttämättä
[15:55] kilpailijoille, mutta vierekkäin sille teknologiayrityksille
[15:57] jotain tämmöisiä päiviä, että pääsee tutustumaan kampukselle
[16:00] tai tai niin poispäin. Oliko se tyypillistä, että
[16:03] siellä oli paljon tämmöisiä tapaamisia?
[16:04] Kyllä nyt jonkin verran oli, mä en ehkä itse niin kun ihan
[16:07] hirveän suuressa määrin niihin mennyt tämmöisiä oli jotain niin
[16:10] kun teemapäiviä vaikka security askel oli joku tämmöinen
[16:13] tapahtuma, missä vaikka esimerkiksi meidän kampuksella
[16:15] Kutsuttiin vaikka twitteristä ja muualta tietoturva
[16:17] asiantuntijoilta kanssa vaihtamaan kokemuksia.
[16:19] No sulla jossain vaiheessa sitten kuitenkin työnantaja
[16:22] pysyi samana, mutta maisemat vaihtui englantiin.
[16:24] Sä vaihdoit siis siis lontooseen töihin.
[16:26] Miten tää meni joona meidän tiimillä olin ikään kuin
[16:29] sisartiimi lontoossa jossa oli oli pari 3 työntekijää ja mun
[16:33] silloinen pomo jenkeissä oli sanonut että kun sä oot sieltä
[16:35] euroopasta niin jos haluat tänne mennä tätä tiimiä täydentämään
[16:38] niin niin kerro hänelle niin tätä asiaa voidaan edistää ja
[16:41] tän muutaman kerran siellä lontoon konttorilla käydessäni
[16:43] niin rupesi kiinnostaa ehkä enemmän kuitenkin vähän
[16:45] tämmöinen kaupungin keskustassa oleva toimisto ja muutenkin ehkä
[16:48] vähän eurooppalaisempi meininki. Tartuin tähän vaihtoehtoon mitäs
[16:50] kaikkea sulla tuli sitten matkan varrella Tehtyä metalli eli mä
[16:55] oon ymmärtänyt, että olet tehnyt aika paljon tuoteturvallisuuden
[16:58] kanssa töitä, mutta minkälaisia hommia päädyit tekemään?
[17:02] Ja tosiaan olin siellä metallisen yli 8 vuotta ja
[17:05] siellä tehnyt esimerkiksi työhaastattelua että ei nyt 2 ja
[17:08] puolisataa kaikenlaista mentorointia esitelmiä ja tän
[17:10] tyyppistä. Mutta jos mennään tarkemmin
[17:12] siihen niin kun tavallaan substanssiin minkä parissa on
[17:15] tehty näitä hommia niin tai metallia on paljon koodareita
[17:17] jotka tuottaa jatkuvasti tätä koodia ihmiskuntana.
[17:20] Me ei osata koodata täydellisesti niin tavallaan
[17:23] siihen just yritetään löytää keinoja millä näitä voidaan sekä
[17:27] niinku tunnistaa että ehkäistä ja korjata näitä näitä ongelmia.
[17:30] Tän tuotetun tai sovellustuvan parissa on tehnyt näitä hommia
[17:34] ja tän vielä vähän tarkennan niin siinä on kyse kodista jota
[17:37] yrityksen omat koodarit tuottaa, että ei esimerkiksi yrityksen
[17:40] palomuureista tai päätelaitteita tietoturvasta tai viruksista tai
[17:44] tämmöisistä vaan siinä niinku nimenomaan keskitytään tähän
[17:46] koodiin mitä että yrityksissä itse tuotetaan isolla skaalalla
[17:49] miten miten siinä voidaan välttää aukkoja?
[17:51] Joo ja jos pannaan vähän niinku mittakaavaa että että
[17:54] minkälaisesta operaatiosta tässä oikein puhutaan, niin siis
[17:56] kaiken kaikkiaan metallia on yli seitsemänkymmentätuhatta ihmistä
[18:00] töissä ja todella jättimäinen teknologiayritys minkä kokoisia
[18:03] nää metan tietoturvayksiköt oli joo mulla ei siihen ihan
[18:07] tarkkoja numeroita Joo, mutta niitä on paljon muitakin
[18:09] erilaisia tietoturvaan liittyviä yksiköitä ja esimerkiksi tämäkin
[18:12] oli yksi havainto mulle kun liityin tuonne metalleihin.
[18:15] En ollut esimerkiksi tajunnut, että ihan niinku roskapostin
[18:17] torjunta sekin on esimerkiksi niinku siinäkin ainakin 100
[18:19] ihmistä töissä, että jos mietitte vaikka näin facebookin
[18:22] tuotteita, niin jos siellä vaikka kaikki kaveri pyynnöt ja
[18:25] kaikki postaukset olisi pelkkää roskapostia, niin sehän olisi
[18:27] ihan käyttökelpoinen palvelu. Heti skaala on kyllä todella iso
[18:29] siitä ja kaikkea turvalle etäisesti liittyvää voidaan
[18:32] tehdä. Palataan vielä tähän
[18:33] tuoteturvallisuuteen englanniksi product security, niin millä
[18:38] tavalla sitä metallia tehdään? Kuinka paljon siinä on vaikka
[18:42] nyt kehittäjille tämmöistä koulutusputkea tai ohjeistusta?
[18:46] Siitä tai kuinka paljon siellä tuotetaan työkaluja, jotka
[18:49] helpottavat kehittäjän arkea. Vai onko se sillä tavalla, että
[18:52] kehittäjät, kehittäjätturva ihmiset tutkii sitten
[18:54] jälkikäteen, että mitä siellä on askarreltu mielellään ei tätä
[18:57] jälki jälkimaiseksi kuvattua eli korit koodaa aina jossakin
[19:01] kontekstissa, eli tavallaan he käyttää niitä rajapintoja mitä
[19:04] siellä on olemassa. Tää on yks yks tapa vaikuttaa
[19:07] siihen mitä kohdataan, että facebook on esimerkiksi loi oman
[19:11] ohjelmointikielen nimeltään hack mikä on johdettu PHP, stä ja
[19:15] tavallaan siinä yhteydessä esimerkiksi pystyttiin niinku
[19:19] leipomaan sinne sisälle tiettyjä tietoturvaominaisuuksia, että
[19:21] esimerkiksi tämmöinen sql injektio.
[19:24] Tai crossfit tyyppiset aukot voidaan ratkaista, sillä tavalla
[19:28] ne niistä voidaan tehdä ihan niin kun tyyppivirheitä, että
[19:30] jos sen niinku pistät vaan merkkijonoja yksi ja yrität
[19:33] tulostaa niitä käyttäjille niin voidaan sanoa että tää ei tää
[19:35] kääntäjä ei hyväksy. Tää ei näin ei voi tehdä että sä
[19:38] voit käyttää vaan tällaista ja tällaista rajapintaa jotka niin
[19:41] kun tuottaa tätä oikeassa muodossa niin ettei synny
[19:44] ongelmia eli käytännössä työkalustauksen kautta tehtiin
[19:46] siitä todennäköisempää että ainakaan tämmöisiä perinteisiä
[19:50] tunnettuja haavoittuvuuksia luokkia ei syntyisi.
[19:53] Joo tää oli siis tää on tää rajapintojen sitten lisäksi
[19:55] meillä on myöskin staattista analyysiä missä meillä on ihan
[20:00] niin kun akateemisesti käsittääkseni huippuluokkaa
[20:02] Hyviä tiimejä jotka että miten voidaan lähdekoodista
[20:05] staattisesti analysoimaan, analysoida mitä se ohjelma
[20:07] tekee. Todistaa sitten tietynlaisia
[20:08] ominaisuuksia tai ei välttämättä todistaa, mutta niin kun
[20:10] jonkinlaisella todennäköisyydellä tehdä
[20:12] johtopäätöksiä, että mistä tämä muuttuu?
[20:14] Sisältö sisältö tulee. Onko tämä käyttäjä muokattavissa
[20:17] ja tässä oli tämmöistä mielenkiintoista vuoropuhelua,
[20:19] että he täällä tässä tiimissä he on todella taitavia tässä, että
[20:22] miten lähdekoodia analysoidaan, mutta he ei ole tietoturva
[20:24] ihmisiä ja me taas ymmärretään tietoturvauhasta paljon, mutta
[20:27] se että abstrakteja syytöksiltä ja muita semmoisia niinku kun
[20:30] mennään oikein syvälle siellä, niin he on parempia kavereita
[20:32] siihen, että tää on tämmöistä vuoropuhelua, että annetaan
[20:34] heille jonkinlaisia ideoita että voisitteko etsiä vähän tällaista
[20:37] ja sitten he tulee takaisin ja tuottaa jotakin tuloksia ja me
[20:40] sanotaan että nää on kaikki positiivisia syistä AB ja c Ja
[20:42] sitten he menee takaisin vuoropuhelun kautta.
[20:44] Pikkuhiljaa voidaan löytää niin, kun niinkin korkeita
[20:47] todennäköisyys, sillä se työkalu on oikeassa, että se työkalu voi
[20:49] esimerkiksi niin kun automaattisesti meitä
[20:51] konsultoimaan mennä sanomaan, että kun joku koodi ylittää
[20:53] kohdalla jotain, niin sinne tulee heti, että rivillä
[20:55] viisikymmentäseitsemän on haavoittuvuus.
[20:57] Tai tämä lue tämä wikiisivu ja tässä on niinku 5 aikaisempaa
[21:00] kertaa, kun kun tästä on syntynyt ongelmia, että Haluatko
[21:03] varmasti poistaa tämän ongelman, tuntuu että tämmöisen kokoluokan
[21:06] operaatioissa resurssit on kunnossa eli teillä on varmaan
[21:09] ollut ikään kuin tarpeeksi budjettia tehdä turva asioita ja
[21:13] aika teräviä kavereita tekemässä niitä.
[21:15] Joo näin on toki kaikki on aina suhteellista, että ainahan sen
[21:18] miettiä että no Jos tähän tähän voisi pistää jonkun
[21:21] täysipäiväisesti katsoa tätä asiaa.
[21:22] Sitten oltaisiin paljon parempia, että tietenkin aina
[21:25] aina isommilla resursseja voi tehdä aina enemmän, mutta kyllä
[21:27] se niin kun moniin pieniin firmoihin verrattuna varsinkin
[21:30] tää ihan keskikokoisiin on hurjat hurjat resurssit
[21:32] tuoteturvallisuudesta ja tekee kaikki asiat ei ole keskenään
[21:35] samanarvoisia. Oliko teillä joku menettely
[21:38] siihen, että miten te tunnistatte tietyllä tavalla
[21:41] tämmöiset eksistentiaaliset asiat tai teille äärimmäisen
[21:44] kriittiset asiat? Tää ehkä osittain palautuu
[21:47] siihen aikaisempaan pointtiin tästä näiden rajapintojen kautta
[21:50] voidaan esimerkiksi niitä kaikista tärkeimpiä tietoja
[21:53] voidaan niin kun rajata vaikka että missä ympäristöissä minkä
[21:56] tyyppisiä sivuilla jotakin tiettyjä arkaluontoisia
[21:58] sisältöjä Voidaan ladata niin esimerkiksi tätä kautta.
[22:00] Sitä voidaan niin kun rajata, että tämä osa koodista ei voi,
[22:03] vaikka täällä olisi mikään ongelma, niin se ei heti tätä
[22:06] toista kaikista kriittisintä osiosta kaada.
[22:08] Niin tällä tavalla esimerkiksi voidaan, mutta toki siis
[22:10] priorisointi itsessään on niinku hyvin tärkeä osa tätä ongelmaa,
[22:13] että mihin mitä koodia lukee esimerkiksi käsin ja mitä ei.
[22:16] Ja tavallaan tääkin on yksi ongelma, että jos meidän
[22:19] tyyppisen tiimin ikään kuin rooliksi laitetaan se, että
[22:22] meidän pitää pystyä vastaamaan kaikkiin kysymyksiin mitä meillä
[22:24] esitetään, niin silloin me luovutetaan priorisointi
[22:27] ulospäin ja me muut ihmiset ajaa sitä, kun toisaalta meidän
[22:30] asiantuntemus on myöskin osata keskittyä siihen, että mistä
[22:33] kohtaa ne kaikista isoimmat riskit tässä tuoteturvallisuuden
[22:36] alalla tulee Jos voisit antaa yksi vinkin tuoteturvallisuuden
[22:40] tai sovellusturvallisuuden puolelle, niin mikä se olisi
[22:43] henkilökohtaisen uran kannalta? Tää tuoteturvallisuus tai
[22:46] sovellusturvallisuutta elää tässä ikään kuin ohjelmoinnin ja
[22:49] tietoturvan rajapinnassa, että siinä on hyvä olla aika hyvä
[22:54] peruskysymys tuosta ohjelmoinnista kanssa, että
[22:56] pystyy sitä kautta ikään kuin samaa itsellensä ja
[22:59] uskottavuutta. Myöskin ohjelmoija että ei ole
[23:02] ulkopuolelta tulee sanomaan, että tehkää näin riippumatta
[23:04] siitä miten realistista se on tehdä.
[23:06] Niin yksi esimerkkinä erään tiimin kanssa käytiin läpi, että
[23:10] voidaanko laittaa tämmöistä tietynlaista tarkistusta
[23:12] tiettyyn kohtaan. Tää tiimi esimerkiksi mulle
[23:16] argumentoi, että sitä ei ole mahdollista rakentaa sinne,
[23:18] koska se hidastaisi tätä palvelua liikaa.
[23:20] Ja mä sitten sanoin että käydään läpi tätä argumenttia, että
[23:23] paljonko olisi liian hidas ja sitten he katsovat vaikka
[23:25] datasta ja muuten päätettiin yksi että sovitaan että 100
[23:28] millisekuntia per pyyntö että jos se on enemmän kuin tämä niin
[23:33] sitten se hidastaa palvelua liikaa ja sitten mä sanoin että
[23:35] sovittu palaan asiaan muutaman päivän päästä ja sitten menin
[23:39] lukittautui tuonne tyttöjen kokoushuoneeseen ja rupesin
[23:42] koodaamaan ja sain koodattua tämmöisen prototyypin ja palasin
[23:44] sitten heille seuraavana päivänä vai 2 päivän päästä tai joskus
[23:48] sen jälkeen ja näytit että tässä on prototyyppi joka tekee tän
[23:51] tarkistuksen yhdeksässäkymmenessä
[23:52] millisekunnissa Nythän se on vaan toteuttamista vaille
[23:55] valmis, että näin se näin se ja he uskovat argumenttia siellä se
[23:58] tarkistus varmaan tänäkin päivänä pyörii näitä tuotteita
[24:00] facebookilla on aika paljon tai siis metalli on aika paljon
[24:04] varmaan facebook com palvelun suosituimpana ja ehkä
[24:06] näkyvimpänä. Toisaalta taas insta ja whatsapp
[24:09] on todella isoja, nekin samoin Messenger ja ja sitten oculus.
[24:12] Ootko sä tehnyt kaikkien näiden kanssa töitä jollain että sulla
[24:15] joo ehkä instagramin kanssa vähän vähemmän ja oikeastaan
[24:18] myöskin tuohon äskeiseen listaan myöskin mielenkiintoisena
[24:20] ainakin on ehkä täynnä, että on olemassa esimerkiksi workplace
[24:23] mikä on facebookin yritysversio mitä käytetään internetissä.
[24:25] Yritykset siellä jakaa keskenään tietoa tai sisällä yrityksen
[24:28] sisällä jakavat tietoa niin Tää on kanssa vähän erilainen kuin
[24:32] sinä. Sen tietoturva pitää pystyä
[24:33] perustelemaan näille yrityksen omille tietoturva ihmisille,
[24:37] mikä on taas ihan eri kultaisessa kuluttajamarkkinat.
[24:40] No nyt kun whatsapp tuli mainittua niin teillä oli
[24:42] mielenkiintoinen tapaus, joka liittyy WhatsAppiin ja tässäkin
[24:46] ääni julkaisussa moneen kertaan mainittuun pegasus
[24:48] hyökkäystyökalu, jonka takaa löytyy NSO yritys israelista.
[24:51] Minkälainen juttu tää oikein oli?
[24:53] Tosiaan tää loppukevään kaksituhattayhdeksäntoista
[24:54] tietoturvaloukkaus se oli tämmöinen tapaus missä paljastui
[24:58] että videopuheluiden kautta pystyttiin hakkeroimaan ja
[25:01] tavallaan tää tausta tässä oli se, että tässä
[25:02] sovellusturvallisuuden tai tuoteturvallisuuden puolella me
[25:05] oltiin työkavereiden kanssa etsitty whatsapp Tietoturva
[25:08] aukkoja löydettiinkin joitakin ja annettu sitten näille
[25:10] tiimeille suosituksia, että näiden yksittäisten aukkojen
[25:13] lisäksi mitä kaikkea muuta sieltä voi korjata ja miten
[25:17] voisi havaita semmoisia aukkoja, joiden olemassaolosta ei tiedetä
[25:19] ja ja sitten näiden seurauksena kun tää whatsappin koodarit
[25:23] sitten kävi läpi näitä meidän suosituksia, niitä toteutti niin
[25:26] yksi päivä sieltä löytyikin, että jos teidän suositusta sitä
[25:28] ja näin ja näin te antamaan suositusta toteutetaan, niin se
[25:31] blokkaa jonkun jota siellä on jo tapahtumassa ja tästä sitten
[25:34] lähti lumipallo vyörymään. Tää on ehkä syytä sanoa ääneen,
[25:38] että tosi monesti tämmöisistä ikään kuin kulmatapauksista tai
[25:42] reunatapauksista hyvin usein on tullut näitä vastaan, että jos
[25:46] Lisätään näkyvyyttä tai tai lisätään jotain ominaisuuksia
[25:50] niin silloin kun skaala on massiivinen niin niitä yleensä
[25:53] tulee siellä vastaan niitäkin tilanteita mitä ei
[25:56] lähtökohtaisesti ikinä pitäisi tapahtua.
[25:58] Tällä kertaa sitten tosiaan kyse oli vaan vähän vakavammasta
[26:01] jutusta näin ja tosiaan suurin osa tämmöisistä poikkeavuuksista
[26:06] ja hälytyksestä aina tuppaa olemaan viattomia, että
[26:09] esimerkiksi yksi useamman kerran, mutta on yöllä kun olin
[26:12] päivystysvuorossa niin herätetty tai järjestelmä on herättänyt,
[26:15] mutta sen takia että että joku semmoinen asia tapahtui mitä ei
[26:17] koskaan pitäisi tapahtua jos ei ole vakava tietoturvaloukkaus
[26:20] käynnissä, mutta sitten syyksi paljastui se, että oli ihan niin
[26:23] kuin fyysisellä tasolla. Tietokoneen muistissa tullut
[26:25] joku sähköhäiriö, joka sitten rikkoo jonkun tämmöisen ehdon
[26:28] mitä me oltiin sinne koodattu, että näin ei voi koskaan
[26:30] tapahtua. Ja tää on esimerkki siitä, että
[26:33] myöskin tässä äsken puhutussa loukkaustapauksessa se
[26:35] ensimmäinen ajatus on se, että tähän luultavasti löytyy joku
[26:38] luonnollinen selitys, mutta tässä tapauksessa sitten ei
[26:41] löytynyt. Tää on on loistoesimerkki siitä,
[26:42] että kun skaala on tarpeeksi suurta, niin kaikkea tämmöistä
[26:45] todella epätodennäköistäkin niinku se että jonkun
[26:48] muistipiirissä saattaa nolla kääntyä ykköseksi itsestään,
[26:50] niin näitäkin vaan sitten rupeaa tapahtumaan kun niitä koneita on
[26:53] on niin paljon, mutta tässä tapauksessa se tosiaankaan
[26:55] sitten ei ollut kysymys mistään viattomasta vaan ihan oikeasta
[26:58] hyökkäyksestä mitä sieltä sitten löytyi Tosiaan tässä aluksi
[27:03] ikään kuin kysymys oli se, että onko tähän luonnollinen selitys
[27:05] ja aika nopeasti löytyi että ei ole ja tää piti sitten askel
[27:10] eteenpäin ja tästä niinku sanoin, lumipallo lähti, lähti
[27:13] pyörimään ja se oli sitten tämmöistä niin kun palapelin
[27:16] palasten keräämistä että whatsapp on tämmöinen päästä
[27:19] päähän salattu viestiin, niin silloin tavallaan se meidän ihan
[27:22] teknisestikin mahdollisuus nähdä, että mitä siellä tapahtuu
[27:24] on on aika aika rajattu ja tutkinnan aika alkuvaiheessa mä
[27:27] löysin jostakin dokumentista, että oli nimetty, että kysymys
[27:30] siitä, että mikä se tekninen tietoturva aukko on siellä
[27:33] vastuuhenkilö olin minä joka oli sitten tämmöinen pieni pieni,
[27:36] ehkä järkytyksen, mutta toisaalta sitten en mä nyt
[27:38] keksinyt ketään Suomalaisia ihmisiä mainita
[28:56] tämän lehden jutussa, mutta sä oot aika hyvin tässä jutussa
[28:58] esillä minkälaista oli työskennellä new yorkerin
[29:01] kanssa. Joo tää oli mielenkiintoinen
[29:03] tosiaan tapaus päästä myöskin sinne puhumaan ja tän
[29:07] tyyppisessä teknisissä asioissa. Se on myöskin hyvin
[29:09] mielenkiintoista miten voit selittää ihmisille jotka ei ole
[29:12] teknisellä taustalta niin kuinka paljon sitä ikään kuin teknistä
[29:16] kannattaa avata ilman että se niin kun sotkee enemmän kuin
[29:18] selventää. Ja tää koko kuvio esimerkiksi
[29:21] miten sitä puhutaan journalisteja ja myöskin sitten
[29:22] firman esimerkiksi juristeille ja muille ja tavallaan
[29:25] kommunikointi on kanssa iso osa tämmöistä roolia että ei
[29:27] pelkästään niitten ohjelmoijien kanssa joka kirjoittaa sitä
[29:29] koodia mutta myös niin kun johdon ja muiden funktioiden
[29:32] kanssa ja tässä tapauksessa journalistien kanssa että
[29:34] Tavallaan kuinka paljon mä haluan jonkun tietyn yksittäisen
[29:37] yksityiskohdan saada sinne oikein, jossa se taas sekoittaa
[29:39] tätä pakkaa. Artikkelin nimi on hau
[29:42] demokratia, siis spy under citizens ja tää on Julkaistu nyt
[29:45] kesällä 2000 kaksikymmentäkaksi ja tää on linkki tuonne
[29:47] lähdeluetteloon mainitsit aikaisemmin että automaatti
[29:51] hälytys herätti keskellä yötä. Miten metän kaltaisessa
[29:55] jättimäisessä firmassa valitaan että mitkä on niin tärkeitä
[29:58] asioita, että niihin pitää puuttua välittömästi?
[30:01] Monissa tapauksissa tää on kunkin tiimin oma päätös, jos
[30:06] tiimi itse heidän järjestämänsä esimerkiksi hajoaa tai muusta
[30:09] syystä heidät itse joudutaan herättämään useita kertoja.
[30:50] Mutta kunkin tiimin oma päätös tätä meidän lähetystä kuuntelee
[30:54] paljon suomalaisia tietoturva alan ammattilaisia ja sä oot
[30:58] tehnyt sen mitä moni varmaan on ainakin jossain vaiheessa
[31:01] miettinyt eli tehnyt kansainvälisen uran omalla
[31:03] alueellasi. Suosittelisitko suomalaisille
[31:06] alan osaajille kansainvälisen uran miettimistä?
[31:10] Kyllä mä suosittelisin, jos tavoitteena on ikään kuin oppia
[31:13] paljon ja päästä isoihin keihin mukaan niin niin se on.
[31:16] Se onnistuu täällä ja myöskin ihan kompensaation mielessä
[31:20] ulkomailla on on enemmän mahdollisuuksia niin Haluatko
[31:23] yhtään avata sitä enempää kuinka paljon parempaa se kompensaatio
[31:25] mahtaa tämmöisellä piilaakson jättiläiset olla.
[31:27] Oman palkka en en niin kuin suomalaisten tabuista mene,
[31:31] mutta tota jos otetaan dataa niin mä katsoin esimerkiksi
[31:34] semmoinen nettisivu kun levels piste FI siellä tilastojen
[31:38] mukaan facebookilla. Jos aloitetaan tällä
[31:40] kolmostasolla elikkä suoraan yliopistosta niin siellä
[31:42] kokonais compensation joka siis sisältää palkan bonukset ja
[31:46] osakkeet niin tämä kokonaispaketti yliopistosta
[31:50] suoraan valmistuneilla on noin satakahdeksankymmentä 1000 $
[31:53] vuodessa. On on siinä tietysti omat
[31:55] etunsa, mutta tietysti myöskin kulut sitten varmaan on vähän
[31:58] erilaisia tuolla yhdysvalloissa jossain kaliforniassa asumisen
[32:01] suhteen. Joo erityisesti asumisen suhteen
[32:03] ja niin onko myöskin käsittänyt esimerkiksi lastenhoito voi
[32:05] maksaa vaikka 1000 $ kuussa. Meidän lapsia kaikenlaista
[32:08] tällaista päivähoidossa ja muuten niin kyllä siellä kuluja
[32:11] kuluja kertyy. Mites sitten kulttuuri mainitsit
[32:13] tuossa noin että siellä ollaan helposti myös hyvin ura
[32:16] keskeisiä tai työ voi olla todella iso osa elämää.
[32:21] Tietysti lomat on myös kovin erinäköisiä, että ainakin
[32:24] yhdysvalloissa niin lomat on tyypillisesti muutaman viikon
[32:26] vuodessa, mutta miten noi muuten miten se kulttuuri jos vertaisin
[32:31] sitä suomalaiseen työkulttuuriin niin suomesta on mulla on
[32:34] muutamasta yrityksestä kokemusta, ehkä kulttuurin
[32:37] osalta olin ehkä eniten yllättynyt siitä kuinka
[32:40] esimerkiksi facebook oli just tosi iso yritys ja siinä
[32:42] vaiheessa mutta silti se onnistui ja ainakin
[32:45] alkuvaiheessa. Mitä mä itse asiassa sillä
[32:46] tavalla yllättävän niin kun pienen yrityksen tuntuiselta,
[32:49] että siellä oli tosi paljon autonomiaa ja myöskin sitten
[32:52] vastuuta, että tää prosessi näissä isoissa yrityksissä menee
[32:55] niin että siellä on joku tämmöinen niinku arviointi sykli
[32:57] esimerkiksi alkuaikoina facebookilla oli esimerkiksi
[33:01] kerran puolessa vuodessa sulla oot arvioidaan sun niin kun
[33:04] tasoa vastaaviin oletuksiin. Täytätkö nämä vaatimukset?
[33:08] Välitätkö ne, yritätkö? Oletko reilusti määritteletkö ne
[33:11] uudestaan vai ootko niin että täytä mitään vaatimuksia ja
[33:14] sitten tavallaan mennään sitten seuraavalle tasolle ja tavallaan
[33:17] jos sä pärjäät hyvin yksi tasolla niin pomo on nopeasti
[33:20] keskustella myös että mitäs mitäs puuttuu siitä että saadaan
[33:22] sut seuraavalle tasolle. Ja joissain esimerkiksi
[33:25] ohjelmointipuolella voi olla ihan niinku vaatimuksia, että
[33:27] sun on pakko päästä tälle tasolle tässä ajassa.
[33:29] Muuten sun urakehitys ei niinku vastaa sitä mitä täällä
[33:31] odotetaan, tuo niin kuin arviointikyky jossain määrin
[33:33] ajaa sitä, mutta että että sen sisällä tavallaan se, että mitä
[33:37] mä esimerkiksi jonakin tiettynä päivänä tiettynä tuntina teen,
[33:39] niin ei ei siellä ole ole pomo niskaan hengittämässä mitään,
[33:42] vaan se on erityisesti sitten kun vielä vähän enemmän
[33:44] kokemusta kertyy, niin jos esimerkiksi kysyisin melkein
[33:47] pomolta, että mitä mun pitää tehdä, niin se voisi vastata
[33:49] että se on se on sun tehtävä, että seniori ihmiset niinku
[33:52] tietää itse mitä tekee ja he arvioi sitten, että toki niinku
[33:55] tauti vähän huumoria, että kyllä sieltä ei palautetta siis saa,
[33:57] mutta vastuu sun omasta ajankäytöstä on niin kuin täysin
[34:00] täysin itsellä ja Pitää pystyy kunkin halvin lopussa
[34:03] perustelemaan. Siinä on myöskin myyntitaidot
[34:04] osa tätä, että miten perustellaan mitä on tehnyt ja
[34:07] ne on oikeita juttuja minkä takia oli järkevää käyttää tähän
[34:09] asiaan näin paljon aikaa ja kuinka paljon esimerkiksi
[34:11] mentoroi muita ja mitä siitä oli apua heille ja joo ja mun mun
[34:15] kokemuksen mukaan tietysti yks ero näissä työkulttuurissa on
[34:18] se, että yhdysvalloissa on kovin helppo päästä eroon
[34:21] työntekijöistä ja irtisanominen onnistuu ihan käden käänteessä
[34:24] toisin kuin sitten suomessa tai euroopassa noin yleensä kyllä
[34:27] tää oli mielenkiintoista suomalaisesta taustasta lukea,
[34:30] että työsopimus muun muassa missä mainittiin, että sut
[34:34] voidaan koska tahansa ilman varoitusta erottaa mistä tahansa
[34:37] syystä. Tai ilman syytä.
[34:41] Tää oli mielenkiintoinen mainita erikseen, että syytä ei tarvitse
[34:43] edes olla, mutta toki käytännössä jos tehdään asioita
[34:46] hyvässä hengessä niin en en ei olla kauhean tyypillistä, että
[34:49] ihmisiä ilman varoitusta ilman syytä irtisanotaan tähän näin
[34:52] näin näin ei kuitenkaan käytännössä tapahdu.
[34:55] Miten törmäsitkö muihin suomalaisiin niinku mainitsin
[34:58] tuossa aikaisemmin, niin sainkin tän kyseisen työpaikan osittain
[35:02] sen takia että tää kaveri niin mikä suositteli mua sinne
[35:05] työhaastatteluputkeen ja hän siellä edelleen on yksittäisiä
[35:08] muitakin suomalaisia on esimerkiksi koodareita tai
[35:11] lakimiehenä. Facebook myöskin osti tämmöisen
[35:13] suomalaisfirman kun brite. Ja sitä kautta tuli useampia
[35:17] suomalaisia sinne yritykseen. Sitten on joitakin puoli
[35:20] suomalaisia, vaikka SUOMI, kanada tai muita tämmöisiä
[35:23] yhdistelmiä että niitä on, mutta ei mitenkään hirveän isossa
[35:26] mittakaavassa. No nyt sitten sä oot vähän
[35:28] vaihtanut kuvioita, et ole enää töissä metallia etkä asu enää
[35:32] ulkomailla. Mitä teet nykyään nykyisin taas
[35:35] täällä suomessa tässä vaiheessa pistin oman yrityksen pystyyn,
[35:39] sitä kautta teen sitten konsultointia edelleenkin tällä
[35:42] sovellus tietoturvan alalla ja sitten myöskin näitä
[35:45] bountypalkkioita tai palkkion metsästystä ja erityisesti nyt
[35:50] viime aikoina kun katsoo tavallaan tietoturva
[35:52] asiantuntijoille. Puhtaalta pöydältä tätä
[35:55] esimerkiksi bounty markkinaa niin kryptovaluuttoihin liittyvä
[35:58] puoli on niin kuin hyvin huomattavasti isommat palkkiot
[36:01] kuin oikeastaan millään muulla alalla, että tää on oikeastaan
[36:03] ohjannut mua myöskin sinne sekä konsultointi että niin kun baba
[36:07] puolella tänne maailmaan mihin maailmainen aikaisemmin ollut
[36:09] kovin syvällisesti perehtynyt, mutta nyt perehdyn eli
[36:12] kryptovaluuttoja ja älysopimuksia ja sen sellaista
[36:16] tätä maailmaa mikä on yrityksesi nimi, critical security OY ja
[36:22] critical section security tekee siis muun muassa näitä
[36:25] lohkoketjujärjestelmien turvallisuuteen liittyviä
[36:27] asioita. Kyllä ja tää kryptovaluuttojen.
[36:31] Ikään kuin tulo tässä mittakaavassa, niin se on
[36:33] tämmöinen. Voisi sanoa painekattila tälle
[36:36] tietoturva alalle, että aikaisemmin näissä jaksoissa
[36:38] olette puhunut muun muassa niin kuin näistä lunasta roisista,
[36:41] mutta sitten ihan nää lohkoketju ja vakuuttava vaihtokaupat ja
[36:46] muut tämmöiset palvelut, niin siellähän pyörii ihan miljardit
[36:49] viuhuu ja myöskin palveluita syntyy kuin sieniä sateella ja
[36:52] nopeasti pitäisi kohdata ja on iso riski, että joku yksittäinen
[36:55] kirjoitusvirhe jossain voi vaikka kaataa koko yrityksen,
[36:57] niin siinä muodostuu tämmöinen ihan erilainen kiinnostus
[37:00] tietoturvaan kun kun ehkä jossakin pienessä perinteisessä
[37:04] yrityksissä ja toinen näkökulma ehkä on myöskin ihan ostajan
[37:08] näkökulma, että jos vaikka ostat normaalia saas palvelua Niin
[37:11] mikä yksittäisenä kuluttajana sinulla on mahdollisuutena
[37:14] arvioida sen palvelun tietoturvaa ja tämmöistä?
[37:16] Ei kauhean hyvin, että voi tehdä siellä jotakin
[37:18] markkinointimateriaalia voidaan sinulle antaa, mutta tällä
[37:21] esimerkiksi käyttökerralla nyt jo on ihan standardia, että
[37:23] sulla pitää olla vakausohjelman ja pari julkista audit
[37:26] reportteja. Ei ei ole jos näitä ei ole, niin
[37:28] ehkä uskottavuus ei ole kauhean korkealla, että tälläkin
[37:30] tämmöisiäkin uusia mahdollisia käytäntöjä, että en tiedä
[37:32] leviääkö nää vaikka muualle ajan mittaan.
[37:34] Ihan mielenkiintoista seurata mikä on ollut kovin paikka missä
[37:37] oot ollut kovin paikka. Varmastikin on tää tässäkin
[37:40] aikaisemmin läpikäyty kevätkesän kaksituhattayhdeksän
[37:42] tietoturvaloukkaus missä tätä whatsappin hyökkäystä
[37:45] selviteltiin siinä kovan aikapaineen aikana Se se
[37:48] varmasti se kovin on sitten muita asioita voi tulla tähän
[37:51] esimerkiksi tietynlaiset tilanteet, vaikka juristien
[37:54] kanssa selittää joillekin vaikka viranomaisille tiivistää, että
[37:57] mitä jossakin tilanteessa tapahtui tai muuta tän tyyppisiä
[38:01] asioita missä on todella tärkeätä antaa tarkkoja
[38:03] totuudenmukaisia vastauksia paineen alla ja tiivistää asia
[38:07] kuitenkin ymmärrettävästi onko mitään mitä haluaisit kysyä
[38:10] meiltä suomen tietoturvakentän virallisilta vanhuksilta halusin
[38:13] kysyä teiltä internetin keskittymisestä tämmöistä
[38:17] kehitystä on on ollut jo pidemmän aikaa, että on näitä
[38:21] isoja firmoja kuten google ja facebook ja cloudflare ja tän
[38:24] tyyppisiä. Onko sen hyödyt ja haitat kummat
[38:28] nousseet pääkaupunki ylemmäs ja voisiko näitä jotenkin
[38:31] tasapainottaa näitä hyötyjä niin että näitä haittoja vähennetään
[38:34] hyötyjä saadaan. On tosi luonnollista että kun
[38:36] joku firma menestyy niin se tietysti sitten kasvaa ja se
[38:39] pystyy investoimaan enemmän siihen omaan kasvuunsa ja
[38:41] keräämään enemmän huippuasiantuntijoita.
[38:43] Tää on ihan järkevää ja kannatettavaa, mutta sitten
[38:46] tietysti kun tarpeeksi pitkään yritys on kasvanut niin se
[38:49] saattaa saada semmoisen monopoliaseman, että se ei
[38:51] oikeastaan ole enää kilpailulle hyväksi.
[38:54] Yhteiskunnat yrittää tämmöisiä asioita taklata sitten vaikkapa
[38:57] regulaation kautta tai estämällä jotain yrityskauppoja tai
[39:01] fuusioita tai äärimmillään pilkkomalla Yrityksiä ja itse
[39:04] asiassa näkökulmasta katsoen tuntuu aika hurjalta, että
[39:07] microsoft melkein pilkottiin yhdeksänkymmentäluvun lopussa
[39:10] kaksituhattaluvun alussa, koska se oli liian isoja merkittävä.
[39:13] Onhan se edelleenkin isoja merkittävä, mutta ei ei ehkä
[39:15] semmoisessa monopoliasemassa kun sitä silloin pelattiin.
[39:18] Eli tämmöiset niin kun helpot ratkaisut siitä, että kun yritys
[39:21] lähtee kasvamaan liian isoksi ja liian merkittäväksi, että
[39:24] yhteiskunta tai regulaattori käskee sen pienentyä
[39:27] keinotekoisesti, niin ei sekään ehkä ole oikea ratkaisu.
[39:30] Mun mielestä jos yritys on niin hyvä että se menestyy, niin se
[39:33] on tavallaan ansainnut sen menestyksensä.
[39:35] Tää on varsin haasteellinen ongelma ratkaistavaksi samaan
[39:38] aikaan uskon että on seurannut paljon hyvää Siitä, että
[39:42] tämmöisiä isoja toimijoita on tullut.
[39:45] Ne haasteet on varmasti enempikin sillä puolella, että
[39:50] siinä kävi vähän toisella tavalla, että ikään kuin nämä
[39:52] jättimäiset yritykset ei enää noudattanut lakia ja kirjoitti
[39:56] tietyllä tavalla oman pelikirjan silleen, että mikä on OK ja mikä
[40:00] ei ole OK. Jos katsotaan vaikka EU, ta niin
[40:03] EU on herännyt näihin asioihin 10 vuotta liian myöhässä.
[40:06] Nyt tehdään paljon töitä sen eteen, että ihmisten yksityisyys
[40:10] saataisiin palautettua ja mutta kyllä se on samaan aikaan se on
[40:14] tosi surullista katsoa, että minäkin pyöritin yli 20 vuotta
[40:18] omaa. Sähköpostipalvelin ja tänä
[40:21] päivänä se ei ole enää mahdollista, koska valtaosa
[40:23] tahoista ei enää ota vastaan sun omalta sähköpostipalvelimet
[40:27] lähetettyä viestiä ja kyllä tässä kohtaa ollaan mun mielestä
[40:31] menossa tosi vahvasti väärään suuntaan, eli syntyy tämmöisiä
[40:35] keskitettyjä paikkoja tai keskitettyjä palveluryhmiä tai
[40:39] palvelualueita, missä sinulla itse asiassa ei ole enää sitä
[40:43] vapaata internetiä, mikä alunperin oli kaiken perusteella
[40:47] viime jaksossa vieraana viron entinen presidentti toomas
[40:51] henrik ilves sivuttiin itse asiassa tätä keskustelua.
[40:54] Myöskin hän puhui siitä, että miten.
[40:56] Toivottaisiin, että näitä kansainvälisiä jättimäisiä
[40:59] menestystarinoita tulisi vähän muualtakin kuin vain
[41:01] yhdysvalloista tai ehkä nykyään yhdysvalloista ja Kiinasta ja ja
[41:05] ja hänen asenteensa oli se, että EU selvästi ei kykene
[41:08] kilpailemaan. Niinpä se vaan pyrkii
[41:09] kampittamaan näitä yhdysvaltalaisia
[41:11] menestystarinoita ja sekään ei ehkä ole ihan oikein.
[41:14] Onpa tosi kiva kun oot ollut täällä meillä vieraana.
[41:17] Tää oli mielenkiintoinen tässä sun esittäytyminen alussa kun
[41:20] kerroit että isäsi hexa editorilla muokkasi tosipelejä.
[41:24] Sun vanhemmat on siis ollut lääkäreitä.
[41:25] Niinkö? Kyllä no ilmeisesti teknisiä
[41:27] lääkäreitä no harrastuspohjalta enemmänkin loistavaa oikein
[41:32] paljon kiitoksia kun olit meillä vieraana sovellus tietoturva
[41:35] asiantuntija otto ebeling kiitos.
[41:38] Seuraavaksi vuorossa hovimestarin suositukset tässä
[41:42] ohjelmaosiossa. Suosittelemme ajanvietteestä
[41:43] ilmiöitä, tapahtumia ja paikkoja sekä palveluja, työkaluja ja
[41:48] kikkoja. Olisiko mikko jotain tarjolla?
[41:50] Elokuussa vietettiin assembly demo tapahtuman 30 vuotisjuhlia
[41:54] ja messukeskukseen kasaantui taas tuhansittain alan
[41:58] harrastajia. Ja onhan se hienoa nähdä, miten
[42:00] paljon suomalainen demokulttuuri kukoistaa.
[42:01] Assembly oli rakentanut messukeskukseen myöskin
[42:05] pohjoismaiden suurimman näytön käsittääkseni yli 30 m leveä
[42:09] näytön, joka oli yksi näistä demokilpailujen kohteista.
[42:11] Eli tällä jättimäisellä näytöllä ajettiin omia demoja.
[42:16] Jotka oli suunniteltu nimenomaan tätä näyttöä varten ja se oli
[42:19] niin iso näyttö, että nykykoneet hädin tuskin jaksoivat ajaa
[42:22] niitä demoja. Toinen kiinnostava kohde oli
[42:25] sitten nämä pikkuruiset demokilpailut, eli muun muassa
[42:28] yksi kilotavua kokoiset introt soitetaan tähän vähän musiikkia
[42:32] tässä kilpailussa toiseksi tulleelta demo, jonka nimi oli m
[42:36] kaksikymmentäkaksi. Kannattaa siis käydä assembly
[42:55] youtube kanavalla katsomassa videot näistä demonista.
[42:58] No mitäs muuta? No kävin ljubljanassa eli
[43:01] sloveniassa työmatkalla ja isäntäni veivät minut
[43:04] tutustumaan upouuteen tietokonemuseoon, joka on avattu
[43:07] ljubljanan keskustassa vaikka nimeltään rational eli siis
[43:11] tietokonemuseo ja siellä on mielenkiintoinen taustatarina.
[43:14] Sloveniassa oli tämmöinen jättimäisen menestynyt
[43:17] paikallinen pelifirma. Firma myytiin Kiinaan ja
[43:21] perustaa ja sitten on sen jälkeen ollut vapaaherra ja
[43:23] käyttää vapaa aikaansa tämmöisen museon pyörittämiseen.
[43:26] Eli kyseessä on siis aika hyvillä resursseilla rakennettu
[43:29] museo, johon on kerätty tietokoneiden historiaa.
[43:31] Vuosikymmenten ajalta, mukaan lukien ensimmäisiä CPM pohjaisia
[43:35] tietokoneita, siis slovenialaisia sloveniassa
[43:37] rakennettuja tietokoneita ja löytyy muun muassa nokian
[43:40] historiaa. Löytyy varhaisia PC koneita ja
[43:43] löytyy sieltä muun muassa varhaisia f prot professional
[43:45] laatikoita. Mitä on kasattu suomessa ja
[43:48] lähetetty aikanaan sloveniaan. Nekin oli siellä hyllyssä
[43:50] ihmeteltävää ja tehtiin tämmöinen pieni unboxing niillä
[43:53] ja sieltähän löytyi kaikki alkuperäiset korput liput ja
[43:55] manuaalit. Museo löytyy ljubljana.
[43:58] Keskustasta. Mitäs vinkkejä sinulla olisi?
[44:00] Tomi minulla olisi tällä kertaa lukusuositus ja molemmat.
[44:04] Itse asiassa näistä löytyy ilmaiseksi verkosta ensimmäinen
[44:07] software engineering google ja sieltä erityisesti luku hau to
[44:12] work well on teams on kyllä todella hyvä kirja siitä, että
[44:17] miten googlella tehdään ohjelmistokehitystä ja miten nää
[44:20] tiimit on rakennettu ja erittäin viihdyttävää luettavaa ja jos
[44:24] sitten se on jollain tavalla tuotekehityksen kanssa
[44:27] tekemisissä, niin sieltä saattaa myös jäädä aika hyvin käteen
[44:29] hyviä oppeja. Mikäs se toinen kirja on?
[44:32] Toinen suositus on the art of magmawer eli patrik waddell.
[44:36] Joka tunnetaan myös objektiivi c hyväntekeväisyys
[44:39] organisaatiostaan, on julkaissut tämmöisen kirjan, missä
[44:43] kerrotaan haittaohjelmista mac tietokoneille tai applen
[44:47] tietokoneille ja myös niitten analyysistä ja vaikkei olisi
[44:51] kiinnostunut edes itse haittaohjelmista, niin sieltä
[44:53] löytyy kyllä hyviä ohjeita siitä, että miten voi tutkia
[44:57] matalan tason juttuja applen ekosysteemissä.
[45:00] Kannattaa muutenkin tukea patrickia.
[45:02] Hän on hieno mies ja tekee hyvin paljon avoimen lähdekoodin
[45:06] työkaluja, joita julkaisee myös tällä samalla sivustolla.
[45:10] Hyviä vinkkejä ja kiva, että ne löytyy verkosta ihan ilmaiseksi.
[45:15] As takkatuli alkaa hiipumaan ja lienee aika sammuttaa kynttilät.
[45:19] Kiitos seurasta, kommentit, palautteet ja toiveet voi jättää
[45:23] osoitteeseen herrasmies hakkerit piste fi isäntänänne olivat
[45:27] mikko hyppönen ja tomi tuominen. Herrasmies hakkerit toivottavat
[45:31] hyvää onnea ja hyvää yötä.

Shows are listed from Apple Podcasts' charts and directory, and Podcast Index where it is used. Every show and episode belongs to its publisher and plays from the publisher's own feed; this site hosts none of them.