Hackabi 4 -hakkerointiohjelma paransi Abitti 2:n tietoturvaa
Huhtikuussa käynnistyneessä hakkerointiohjelmassa osallistujien tehtävänä oli etsiä Abitti 2 -palvelimesta ja -kokelassovelluksista aukkoja, joita olisi mahdollista hyödyntää vilpilliseen toimintaan. Ohjelman aikana tehdyt havainnot ovat olleet merkittävä apu tietoturvapuutteiden korjaamisessa. Ohjelma päättyy lokakuun lopussa, mutta haavoittuvuuksia voi ilmoittaa lautakuntaan sen jälkeenkin.
Ohjelman ensisijainen tarkoitus oli korjata tietoturvapuutteita, joita voisi hyödyntää vilpilliseen toimintaan kokeen aikana. Toinen, käytännöllisempi tavoite oli kannustaa hyväntahtoisia hakkereita ilmoittamaan löydöistään järjestelmien kehittäjille, jotta havaintoja ei käytettäisi vilpillisesti. Molemmat tavoitteet toteutuivat.
”Sekä ilmoitusten määrä että erityisesti niiden laatu yllättivät ohjelman raadin. Monet löydöksistä osoittautuivat erittäin hyödyllisiksi koejärjestelmän tietoturvan parantamisessa. Kiitän kaikkia ohjelmaan osallistuneita tärkeästä työstä haavoittuvuuksien löytämiseksi”, lautakunnan erityisasiantuntija ja Abitti 2:n tuoteomistaja Matti Lattu kiittelee.
Ohjelman raportointikanavaan tuli noin 70 ilmoitusta erilaisista haavoittuvuuksista. Kaikista ohjelman sääntöjen mukaisista havainnoista maksetaan palkkio. Viimeiset palkkiot maksetaan loka–marraskuun vaihteessa, kun ilmoitukset on arvioitu. Kaikki ilmoitetut tietoturvapuutteet eivät olleet ohjelman kriteerien mukaisia, ja osassa oli kyse samanlaisesta löydöksestä kuin jo aiemmin ilmoitetussa haavoittuvuudessa. Jälkimmäisessä tapauksessa palkkio maksettiin ohjelman sääntöjen mukaisesti haavoittuvuudesta ensin ilmoittaneelle. Yhteensä palkkion saa noin 20 osallistujaa.
Hakkerointiohjelma on täydentänyt lautakunnan omaa tietoturvatyötä ja on normaali osa koejärjestelmän kehittämistä. Alan käytäntöjen mukaisesti lautakunta on sitoutunut julkaisemaan tietoturvahavainnot kolmen kuukauden sisällä siitä, kun ne on raportoitu lautakunnalle. Osa havainnoista on julkaistu kesällä, ja loput julkaistaan lähiaikoina.
Hackabi 4 -ohjelma järjestettiin yhteistyössä monia hakkerointitapahtumia järjestäneen tietoturvayhtiö Mint Security Oy:n kanssa.
Vaikka ohjelma päättyy, voi tietoturvapuutteita ilmoittaa lautakuntaan jatkossakin. Lautakunta julkaisee loppuvuoden aikana Abitti.fi-sivuilla tietoa, miten tietoturvapuutteita voi ilmoittaa.
Lisätietoa
Nyt etsitään haavoittuvuuksia Abitti 2 -sovelluksesta – aukkojen metsästys käynnistyy huhtikuussa (1.4.2026)
Hakkerointiohjelman säännöt (hackabi.org)
Abitin tietoturvapolitiikka (englanniksi) (Abitti.fi)