Teoria 1

Teoria 1 osion osaamistavoitteina on ymmärtää perusteet Internetin rakenteesta, palveluista, arkkitehtuureista sekä yleisimmistä sovellusprotokollista. Osaamistavoitteena on myös ymmärtää alkeet tietoverkkoihin liittyvistä tietoturvasta sekä saada katsaus Internetin historiaan.

Internet

Tietoverkkoja käytetään nykyään suurimpaan osaan tiedonsiirrosta. Tämän materiaalin avulla opitaan tietoverkkojen toiminnasta ja toteutuksesta käyttämällä esimerkkinä Internet-verkkoa. Tietoverkko koostuu laitteista, jotka kommunikoivat toistensa kanssa. Internet puolestaan koostuu tietoverkoista, joissa sijaitsevat laitteet kykenevät kommunikoimaan toisten laitteiden kanssa, vaikka ne sijaitsevat toisessa verkossa, riippumatta siitä kuinka monen verkon kautta kommunikaatio kulkee.

Tässä materiaalissa Internet kirjoitetaan isolla alkukirjaimella, kun tarkoitetaan koko maailman kattavaa Internetiä. Suomen kielessä suositus on että Internet voidaan nykyään kirjoittaa pienellä tai isolla alkukirjaimella, kun aiemmin suositus oli kirjoittaa Internet isolla alkukirjaimella. Toisaalta jos Internet sanaa käytetään tässä materiaalissa yhdyssanoissa, kirjoitetaan internetsana silloin pienellä alkukirjaimella. Typoja luultavasti löytyy, myös muistakin sanoista kaikkialta materiaalista, niistä voi jättää kommentin, niin tulee korjattua.

Internet kirjoitettiin isolla alkukirjaimella alkujaan sen vuoksi, että voitiin erottaa toisistaan maailmanlaajuinen verkko (Internet) sekä mikä tahansa yhteen kytketty verkko (interconnected network - internet) tai oman verkon (intranet) ulkopuolinen verkko (internet). Internetin kehittämisestä vastanneet henkilöt ja organisaatiot ovat pääosin käyttäneet isoa alkukirjainta Internetiin liittyvässä dokumentaatiossa.

Tänä päivänä, aiemmin pienellä kirjoitetuille, internetin määritteille ei juuri ole tarvetta ja pienellä kirjoitettu internet tarkoittaa aina käytännössä maailmanlaajuista Internetiä. Maailmanlaajuisesti pientä ja isoa kirjainta käytetään suurin piirtein saman verran, kuitenkin englanninkielisissä teksteissä Amerikassa käytetään pääasiassa isolla kirjoitettua versiota Internet ja Isossa-Britanniassa pääasiassa pienellä kirjoitettua versiota internet.

Internetiä voi havainnollistaa visuaalisesti lukemattomin eri keinoin. Alla on linkki sivulle, jossa Internetiä havainnollistetaan useilla erilaisilla karoilla.

• Internet kuvattuna kartoilla

Internet - tekninen näkökulma

Eräs esimerkki tietoverkosta on lähiverkko (eng. Local Area Network - LAN). Lähiverkko voidaan muodostaa yhdistämällä useampi laite siten että ne pystyvät kommunikoimaan toistensa kanssa. Käytännössä yhdistäminen tehdään kytkemällä laitteet Ethernet kaapelilla kytkimeen. Kytkin on siis laite jolla voidaan yhdistää useampi kuin kaksi laitetta samaan verkkoon. Langattomissa lähiverkoissa laitteet yhdistetään tukiasemaan ja 'yhdistäminen' tapahtuu käyttämällä samaa radiotaajuutta sekä verkon tunnuksen avulla.

Sen lisäksi että laitteilla on joko langallinen tai langaton yhteys toisiinsa ja verkkoon, täytyy niiden ymmärtää toisiaan, jotta ne voivat kommunikoida. Tämä ymmärrys laitteiden välillä toteutetaan protokollilla, jotka määrittelevät säännöt kommunikaatiolle. Säännöt määrittelevät esim. käytetyt viestit, niiden tarkoituksen ja sisällön sekä kuinka kommunikaatio aloitetaan ja miten viesteihin vastataan.

Isompia verkkoja voidaan muodostaa yhdistämällä lähiverkkoja toisiinsa. Kahden tai useamman lähiverkon yhdistäminen toteutetaan reitittimellä. Reititin on laite joka osaa välittää kommunikaatiota verkkojen välillä.

Kommunikaatiota varten verkon laitteet tarvitsevat osoitteen, joka kertoo laitteiden sijainnin verkossa sekä yksilöi laitteen (omassa) verkossaan. Lähiverkossa sijaitseva laite tietää oman lähiverkkonsa osoiteavaruuden ja kykenee selvittämään samassa lähiverkossa sijaitsevien laitteiden osoitteet. Kun osoite sijaitsee jossain toisessa verkossa, niin laitteeseen pitää olla määritetty oletusreitti (oletusreititin), jonka kautta voidaan kommunikoida muissa verkoissa olevien laitteiden kanssa. Reititin tietää tarkasti joidenkin osoitteiden sijainnin ja lisäksi reitittimellä on oletusreitti, jonka kautta saavutetaan toisia reitittimiä, jotka sitten tietävät sijainteja osoitteille, joista kyseisellä reitittimellä ei ole tarkkaa sijaintitietoa.

Tietoverkko ja sen osat

Tietoverkko koostuu yhteen kytketyistä laitteista. Tietoverkkojen alkuaikoina verkkoon kytketyt laitteet olivat pääasiassa keskustietokoneita ja niihin yhteydessä olevia yksinkertaisia päätelaitteita sekä myöhemmin palvelinkoneita ja niiltä palveluita pyytäviä tietokoneita. Tämän vuoksi tietoverkosta käytetään englannin kielessä nimitystä computer network, eli tietokoneverkko. Nykyään tietoverkkoon on kytketty paljon muitakin laitteita kuin tietokoneita. Tietoverkossa on myös verkon rakenteen toteuttavia ja verkossa palveluita tarjoavia laitteita. Oheisessa kuvatehtävässä on kuvattuna muutamia verkon osia. Nykyään monia verkontoimintoja voi olla yhdistettynä yhteen fyysiseen laitteeseen tai yksi verkon palvelu voi olla hajautettuna usean fyysisen laitteen ylläpidettäväksi. Tyypillisesti laitteiden yhteen kytkeminen tehdään joko langallisesti jollain tiedonsiirtokaapelilla tai langattomasti radioaaltojen avulla.

Palvelin ja asiakas tietoverkossa

Alkujaan Internet kehittyi verkoksi, jossa jollakin verkkolaitteella sijaitsi jokin haluttu palvelu, esimerkiksi tekstitiedosto tai sähköposti- tai uutispalvelu. Näitä laitteita alettiin kutsumaan palvelimiksi. Laitteet, joilla palveluita haettiin, kykenivät käytännössä vain ottamaan etäyhteyden palvelimeen. Käytännössä ne koostuivat näyttöpäätteestä ja näppäimistöstä sekä verkkoyhteydestä. Näitä laitteita alettiin kutsumaan asiakkaiksi, niitä ei voinut käyttää muuhun kuin toisten laitteiden palveluiden käyttämiseen. Nykyään asiakas ja palvelin voivat olla samanlaisia laitteita ja niiden rooli määräytyy käytettävän sovelluksen mukaisesti.

Palvelimeksi kutsutaan laitetta tai tietokoneen ohjelmistoa joka odottaa asiakkaan, myös laite tai tietokoneen ohjelmisto, palvelupyyntöjä. Palvelin vastaa asiakkaan pyyntöihin tarjoten palveluita tai resursseja. Palvelinten ja asiakkaiden täytyy käyttää yhteistä protokollaa, jotta ne ymmärtävät toisiaan, eli laitteiden lähettämät pyynnöt sekä vastaukset. Esimerkiksi WWW-palvelimet vastaavat verkkoselainten pyyntöihin molempien käyttäessä HTTP-protokollaa.

Esimerkkejä tietoverkoissa sijaitsevista palvelimista ja niiden käyttämistä protokollista:

• WWW-palvelin
  • palvelee asiakkaita HTTP-protokollalla
• Sähköpostipalvelin
  • palvelee asiakkaita sähköpostiprotokollilla (SMTP, POP3, IMAP4)
• Nimipalvelin, eli DNS-palvelin
  • palvelee asiakkaita DNS-protokollalla
• Tiedostopalvelin
  • Internet-tiedostopalvelin: esim. FTP-protokolla
    • Tiedostojen ja ohjelmistojen siirtäminen verkkolaitteiden välillä
  • Paikallisen verkon tiedostopalvelin: esim. NFS-protokolla
    • verkkolevyt, hajautetut tiedostot
    • varmuuskopiointi
• Tietokantapalvelin
  • Tietokantakohtaisia (esim. MySQL protocol) sekä yleisiä (ODBC) protokollia
• Tulostuspalvelin
  • Valmistajakohtaisia protokollia
• Välityspalvelin, eli proxy server
  • Välittää liikennettä todellisen palvelimen ja asiakkaan välillä
  • Yleisimmin välittää HTTP-liikennettä, mutta myös muitakin protokollia
• Pelipalvelin
  • Sovelluskohtaisia protokollia

Tietoverkoissa asiakkaaksi kutsutaan ohjelmistoa tai laitetta joka pyytää palveluja tai resursseja palvelimelta. Yleisesti asiakkaaksi kutsutaan sitä kommunikaation osapuolta, joka aloittaa yhteydenpidon. Yleisin tietoverkoissa käytössä oleva asiakas on verkkoselain. Verkkoselain, jatkossa tässä materiaalissa usein pelkästään selain, on asiakasohjelmisto, jolla pyydetään sisältöä WWW-palvelimilta. WWW-lyhenne tulee sanoista World Wide Web joka on digitaalinen verkko Internetissä. WWW-verkossa informaatio, eli resurssit, esimerkiksi teksti, kuvat, videot tai pelit, sijaitsevat WWW-palvelimilla.

Sovellusten, joissa toinen kommunikaation osapuoli toimii palvelimena ja toinen asiakkaana, sanotaan toimivan asiakas-palvelin -arkkitehtuurin tai -mallin mukaan. Vertaisverkkomalli tai -arkkitehtuuri on sellainen missä molemmat kommunikoivat osapuolet toimivat sekä asiakkaana että palvelimena.

Uniform Resource Locator (URL)

Käyttäjä pääsee WWW-resursseihin käsiksi antamalla selaimelle osoitteen pyydettävään resurssiin sekä menetelmän, jolla resurssi siirretään. Käytännössä asiakkaan pyyntö toteutetaan resurssin identifioimalla URL (Uniform Resource Locator) -viitteellä. Resurssit voivat olla linkitetty toisiinsa hypertekstillä, sijaiten missä vain Internetissä. URL (Uniform Resource Locator) -viitteellä määrittelee haettavan resurssin sijainnin tietoverkossa sekä mekanismin resurssin hakemiseen.

URL on alkujaan määritelty dokumentissa Uniform Resource Locators (URL) - RFC 1738 ja se on yhden tyyppinen Uniform Resource Identifier (URI) - RFC 3986. Koska edellisessä dokumentissa määritellyt lyhenteet ovat menneet usein sekaisin, on määritelmien selventämiseksi kirjoitettu oma erillinen dokumentti URI, URL ja URN - RFC 3305. Silloin kun URI kertoo jonkin resurssin sijainnin Internetissä, on se käytännössä myös URL. URN puolestaan määrittelee digitaalisen resurssin pysyvän nimen, ilman tietoa sen sijainnista. Digitaalisen resurssin URN säilyy eikä vaihdu, vaikka resurssia ei olisi enää olemassa.

Esimerkiksi RFC 3305 dokumentille on yksi URN

• urn:ietf:rfc:3305

ja toisaalta samalle RFC 3305 dokumentille voi olla useita URL:eja

• https://tools.ietf.org/html/rfc3305
• https://www.ietf.org/rfc/rfc3305.txt

Esimerkiksi eräs URL on

http://users.jyu.fi/~arjuvi/opetus/itkp104/2018/index.html

missä http on URL-skeema (protokolla). Seuraava osa, users.jyu.fi, on verkkotunnus, missä users on palvelimen nimi ja jyu.fi on tosiasiallinen verkkotunnus (englanniksi domain). Monesti users.jyu.fi vastaavaa osaa kutsutaan joko palvelimeksi tai verkkotunnukseksi, eikä niitä erotella toisistaan. Jyväskylän yliopiston verkkotunnus, eli domain, on siis jyu.fi ja yliopistolla on useita palvelimia, joilla on eri verkkotunnukset, esimerkiksi users.jyu.fi, www.jyu.fi tai tim.jyu.fi. Verkkotunnuksen avulla DNS-palvelu kertoo laitteen sijainnin verkossa, käytännössä DNS antaa palvelinta vastaavan IP-osoitteen. Loppuosa, ~arjuvi/opetus/itkp104/2018/index.html, on pyydetty resurssi, objekti, jota palvelimelta haetaan, eli sen hakemistopolku ja lopuksi tiedostonimi. Tiedostonimessä ei välttämättä ole tiedostopäätettä, eli pistettä ja sen jälkeistä osaa (edellä .html), kuten esimerkiksi tämän materiaalin URL:issa https://tim.jyu.fi/view/kurssit/tie/itkp104/2021/materiaali. Monesti tiedoston nimi voi puuttua, eli esimerkiksi index.html voidaan jättää pois. Tällöin palvelin lähettää palvelimeen määritellyn oletusresurssi -nimisen tiedoston, jos sellainen on olemassa viitatussa hakemistossa.

URL:issa voi olla skeeman, verkkotunnuksen sekä polun lisäksi muitakin osia, kuten porttinumero tai kyselyosio. Ne erotetaan muista osista omilla merkeillään.

Reititin tietoverkoissa

Reitittimeksi kutsutaan tämän päivän Internetissä laitteita, jotka ovat tietoverkkojen solmukohdissa. Reititin mahdollistaa eri verkkojen yhdistämisen, eli käytännössä tiedon siirtämisen, eri verkkojen välillä. Internet perustuu pakettikytkettyyn verkkoteknologiaan, missä siirrettävä tieto jaetaan pienemmiksi paloiksi, joita kutsutaan paketeiksi. Paketit välitetään verkon läpi yksitellen lähettäjältä vastaanottajalle. Reitittimien tehtävä on määritellä reitit verkkojen läpi ja välittää vastaanottamansa paketit oikeille reiteille. Reitittimet muodostavat itselleen reititystaulun, englanniksi routing table, tai toiselta nimeltään, välitystaulun, englanniksi forwarding table, johon päivitetään tietyin väliajoin reitit muihin verkkoihin. Kun reititin vastaanottaa paketin, välittää se sen uudelle reitille välitystaulun informaation mukaan. Reitit eivät ole kiinteitä ja voivat olla erilaisia pilkotun datan eri paketeille. Reititin toimii siis kahden tai useamman verkon solmukohdassa.

Lisää vastaavia tehtäviä on kurssin Teoria 1 tehtävät sivulla. Kaikkia tehtäviä ei linkitetä materiaalin sekaan.

Reitittimen on yleensä yhdistetty muitakin verkon toimintoja, kuten esimerkiksi kytkin, tukiasema tai palomuuri. Kytkimen avulla reititinlaitteeseen voidaan suoraan yhdistää useita yksittäisiä laitteita. Tukiasema puolestaan toimii langattomana kytkimenä, mahdollistaen langattomien laitteiden yhdistämisen reititinlaitteeseen. Palomuuri on tietoturvajärjestelmä haitallisen verkkoliikenteen estämiseksi. Palomuuriin voidaan asettaa säännöt siitä miten kontrolloidaan sisään tulevaa ja uloslähtevää liikennettä.

Paketit Internetissä

Mikä on paketti?

Tietoverkoissa, kuten internet, paketti on pieni osa suurempaa verkossa välitettävää viestiä. Kaikki internetissä lähetettävä tieto jaetaan pienempiin osiin, joita kutsutaan paketeiksi, englanniksi packet. Paketti on lyhempänä sanana yleistynyt tarkemmasta muodosta verkkopaketti, englanniksi network packet. Datan pilkkominen paketteihin tehdään lähettävässä laitteessa ja kasaaminen takaisin alkuperäistä vastaavaksi dataksi vastaanottavassa laitteessa sen jälkeen kun paketit ovat kulkeneet internetissä laitteelta toiselle.

Miksi käytetään paketteja?

Dataa voitaisiin lähettää ilman sen pilkkomista pienemmiksi paloiksi, mutta se haittaisi internetsovelluksia, joiden data on lähtökohtaisesti pienikokoista. Jos oletetaan, että lähetettäisiin vaikka monen tunnin videotiedosto yhtenä kokonaisuutena, niin se aiheuttaisi sen, että videon lähetyksen aikana ei voida siirtää mitään muuta dataa. Esimerkiksi sähköpostiviesti, joutuisi odottamaan, että koko video on siirretty, ennen kuin verkon linkillä olisi vapaata. Pilkkomalla kaikki pienemmiksi paloiksi, voidaan sähköpostipaketit välittää videopakettien lomassa, kummankaan suuremmin kärsimättä. Toki mitä enemmän on eri sovellusten dataa siirrettävänä samanaikaisesti, niin sitä enemmän verkon ruuhka, englanniksi congestion, hidastaa kaikkien tiedonsiirtoa. Pakettien käyttämisellä saadaan tasapuolistettua verkon käyttöä. Internet on niin kutsuttu pakettikytketty verkko, englanniksi packet switched network, jossa paketit välitetään verkossa riippumatta toisista saman datan paketeista. Verkko, jossa dataa ei pilkota osiin, olisi nimeltään viestikytketty verkko, englanniksi message switched network. Perinteinen lankapuhelinverkko on puolestaan piirikytketty verkko, englanniksi circuit switched network.

Minne ja miten paketti välitetään?

Paketti koostuu lähetettävän datan osasta, niin sanotusta paketin hyötykuormasta, englanniksi payload sekä paketin otsikosta, englanniksi header. Paketin otsikkotiedoissa määritellään esimerkiksi paketin lähettäjä ja vastaanottaja sekä tietoa siitä mitä dataosaa hyötykuormassa välitetään ja mikä on sen paikka alkuperäisessä datassa. Koska paketit eivät riipu toisistaan internetissä kulkiessa, täytyy jokaiseen pakettiin lisätä otsikkotiedot. Jos paketointia ei käytettäisi, niin riittäisi ne määritellä kerran viestin alussa. Otsikkotiedot määräytyvät sen mukaisesti mitä protokollaa paketin välittämiseen käytetään. Internetissä on eri protokollia esimerkiksi sille, ollaanko pakettia siirtämässä yhden linkin läpi verkkolaitteelta toiselle, useamman verkon läpi tai lopulta välittämässä pakettia vastaanottavalle sovellukselle. Otsikkotietojen avulla paketit saadaan lähettävältä sovellukselta vastaanottavalle sovellukselle riippumatta niiden välissä olevasta verkon toteutuksesta.

• Mikä on paketti?
  • Paketti koostuu digitalisoidusta informaatiosta
    • Digitalisoinnissa informaatio muunnetaan biteiksi
    • Informaatio, bitit, jaetaan pienemmiksi kokonaisuuksiksi tiedonsiirtoa varten
    • Paketti on joukko bittejä, jotka lähetetään peräkkäin
      • Paketoinnissa bittijoukko kehystetään otsikkotiedoilla
      • Protokollat määrittävät bittien lukumäärän ja sisällön, alun ja lopun
    • Esimerkiksi kuvan sisältämä informaatio pilkotaan pieniin osiin,
      • jotka paketoidaan
        • eli kehystetään lisäämällä datan ympärille osoitetiedot
        • ja lähetetään jokainen paketti erikseen verkon läpi

Tietoverkkojen tiedonsiirtolinkit

Tietoverkossa laitteiden välinen tiedon siirtäminen tapahtuu tiedonsiirtolinkkien avulla. Tiedonsiirtolinkki voi olla joko langaton tai langallinen. Tiedonsiirtolinkeillä siirrettävät paketit sisältävät verkkosovellusten lähettämää digitaalista tietoa. Käytännössä paketit koostuvat biteistä, jotka ryhmitellään yleensä kahdeksan bitin joukoiksi, tavuiksi.

Tiedonsiirtolinkillä on tiedonsiirtonopeus, bittinopeus, josta usein käytetään nimitystä kaistanleveys, tai puhekielessä kaista. Tiedonsiirtonopeus kuvaa linkin kapasiteettia siirtää bittejä aikayksikköä kohden. Tiedonsiirtonopeuden yksiköksi on määritelty bittiä sekunnissa, bit/s. Myös kaistanleveyden yksikkönä on bit/s, kun sillä tarkoitetaan tiedonsiirtonopeutta. Kaistanleveyden määritys riippuu siitä, missä yhteydessä se on määritelty, esimerkkinä digitaalinen tiedonsiirto, radiotaajuinen tiedonsiirto tai elektroniikka.

Bitit ja tavut

Binäärijärjestelmässä, eli 2-järjestelmässä, on kaksi eri arvoa, näiden merkintöinä käytetään merkkejä 0 ja 1, eli kaksi ensimmäistä merkkiä 10-lukujärjestelmän ei-negatiivisista kokonaisluvuista. Merkit 0 ja 1 ovat binäärijärjestelmän numeroita, englanniksi binary digits, ja niitä kutsutaan lyhyesti termillä bitti, englanniksi bit. Kun biteistä muodostetaan useamman bitin kokonaisuuksia, niitä kutsutaan binääriluvuiksi. Kahdeksan bitin binääriluvulle on määritelty oma termi ja kahdeksan bitin binäärilukua kutsutaan tavuksi, englanniksi byte. Jotta mitä tahansa informaatiota voidaan tallentaa 2-järjestelmän lukuna, on sovittava säännöt informaation muuttamiseksi binäärijärjestelmään.

Koska 2-järjestelmässä on vain kaksi erilaista vaihtoehtoa symboliksi, täytyy esimerkiksi numeroiden ja kirjainten esittämiseen varata useita bittejä. Kun laitetaan kaksi bittiä peräkkäin, saadaan niistä neljä eri kombinaatiota 00, 01, 10 ja 11. Eli kahdella bitillä voidaan esittää neljä eri vaihtoehtoa. Yleisesti :llä bitillä voidaan esittää erilaista binäärilukua. Täten esimerkiksi kahdeksalla bitillä voidaan esittää eri kombinaatiota, ja jos niillä esitetään ei-negatiivisia kokonaislukuja, voidaan kahdeksalla bitillä esittää numerot välillä 0 - 255.

Esimerkki. Kuinka monta bittiä tarvitaan kaikkien välillä 0 - 999 olevien kokonaislukujen esittämiseen?

Kyseessä on siis binäärilukujärjestelmän kantaluvun 2 korottaminen potenssiin , eli potenssifunktio. Potenssifunktion käänteisfunktio on logaritmifunktio, tässä tapauksessa siis 2-kantainen logaritmifunktio. Jotta saadaan ratkaistua, otetaan yhtälön molemmista puolista 2-kantainen logaritmi

ja yhtälön vasemmalla puolella käänteisfunktioiden kumotessa toisensa saadaan

Vastaukseksi ei saatu kokonaislukua, nyt vastausta lähimmät kokonaisluvut antavat , mikä ei riitä lukujen 0 - 999 esittämiseen, ja , mikä puolestaan riittää. Eli lukujen 0 - 999 esittämiseen tarvitaan kymmenen bittiä, mutta osa bittikombinaatioista jää käyttämättä.

Yleisesti, jos meillä on erilaista elementtiä, niiden esittämiseen tarvittava minimi bittien lukumäärä on pienin kokonaisluku , siten että .

Tavu

Tietokonejärjestelmissä tiedon esityksen perusyksikkö on bitti, binäärinen numero. Tavallinen nimitys 8 bitin ryhmälle on tavu, englanniksi byte, joskus käytetään myös termiä oktetti, englanniksi octet. Muun kokoisille bittiryhmille on myös nimityksiä, mutta ne eivät ole vakiintuneet ja esimerkiksi termiä sana käytetään ja on käytetty usean eri kokoisen bittiryhmän nimityksenä. Neljän bitin ryhmää kutsutaan puolitavuksi, englannin kielessä käytetään termiä nibble tai harvemmin nybble, missä y-kirjainta on käytetty linkittämään termi tavun englannin kieliseen sanaan byte.

Tietokoneiden käyttäessä tiedon esittämiseen bittejä, käytetään niiden yhteydessä mittayksikkönä usein numeron 2 potensseja ja nimenomaan sellaisia numeron 2 potensseja, jotka ovat lähellä jotain numeron 10 potenssia, kuten esimerkiksi

• 2¹⁰ = 1024,
• 2²⁰ = 1 048 576 ja
• 2³⁰ = 1 073 741 824.

Koska 2¹⁰ = 1024, joka on lähellä arvoa 10³ = 1000, niin molemmista käytetään termiä kilo, josta käytetään merkintää k, kun kyseessä on 1000 ja merkintää K, kun kyseessä on 1024. Sekaannusta voi aiheuttaa myös se onko yksikkönä bitti (bit) vai tavu (byte), joka on 8 bittiä. Näistä käytetään merkintää b, kun tarkoitetaan bittiä ja merkintää B, kun tarkoitetaan tavua. Sekaannusten välttämiseksi nimityksiä on standardoitu (ISO/IEC 80000) siten, että kun kyseessä on binäärinen eli kakkosen potenssi, niin symboliin lisätään i. Esimerkiksi 2¹⁰ on nimeltään kibi eli kilobinary ja siitä käytetään merkintää Ki. Alla on taulukoitu SI-järjestelmän ja IEC:n standardin mukaiset etuliitteet biteille sekä tavuille.

Tiedonsiirrossa käytetään yksikkönä bittiä sekunnissa, bit/s tai bps, sekä etuliitteinä SI-järjestelmän mukaisia etuliitteitä. Esimerkiksi 1 Gbit/s nopeudella toimiva Ethernet verkkokortti siirtää siis 1 000 000 000 bittiä sekunnissa. Huomioitavaa on se, että yleensä tietoliikenteessä tiedonsiirtonopeus ilmaistaan bittien tiedonsiirtonopeutena, kun taas siirrettävä data yleensä ilmaistaan tavuina. Toisaalta esimerkiksi kiintolevylle kirjoituksen ja lukemisen tiedonsiirtonopeus ilmaistaan esimerkiksi Windows käyttöjärjestelmässä tavuina sekunnissa. Koska 1 tavu on 8 bittiä, on esimerkiksi 1 Gbit/s = 125 MB/s = 125 000 000 tavua sekunnissa. Kun tiedonsiirtonopeuden yksikkönä on tavua sekunnissa, niin tavun lyhenteenä käytetään isoa B kirjainta. Pientä b kirjainta ei tulisi käyttää kuvaamaan bittiä, tosin joskus näkee käytettävän esim. termiä Mb/s, joka ei ole virallinen termi ja voi aiheuttaa sekaannusta siitä onko kyseessä Mbit/s vai MB/s.

Koska tiedonsiirrossa ja tiedon tallentamisessa käytetään eri lukujärjestelmiin pohjautuvia mittayksiköitä sekä niiden etuliitteitä, joilla ilmaistaan suuruusluokkia, on joskus hankala hahmottaa etuliitteellisen ja etuliitteettömän lukuarvon välistä suuruusjärjestystä.

Seuraavissa tehtävissä tutkitaan eri tavoin esitettyjen tiedostokokojen sekä tiedonsiirtonopeuksien arvojen suuruusjärjestyksiä.

Bitit tallentavat ja kuljettavat kaikkea digitaalista tietoa. Se mitä jokin bittijoukko "tarkoittaa" riippuu siitä miten ja mitä informaatiota bitteihin on tallennettu. Informaatio koodataan (tai joskus käytetään termiä enkoodataan) binääriseksi ja bitit palautetaan takaisin informaatioksi dekoodaamalla. Koodausmenetelmiä on esimerkiksi

• Merkistökoodaus
• Puheenkoodaus
• Videokoodaus

Jokainen edellä mainittu koodausluokka pitää sisällään useita erilaisia määrityksiä informaation koodaamiselle. Eri merkistökoodausmenetelmien käyttö aiheuttaa tänäkin päivänä yhteensopivuusongelmia esimerkiksi skandinaavisten merkkien käytössä.

Lisäksi tiedonsiirtoprotokollat usein lähettävät sovelluksilla tallennettuja tiedostoja siinä muodossa, kuin missä ne on tallennettu. Tällöin tiedostoissa on yleensä jokin binäärinen tunniste, josta voidaan tulkita tiedostoformaatti.

Informaation koodaus tai tallennettu tiedosto voi pitää sisällään informaation pakkaamista pienempään määrään bittejä. Informaatio koodataan tällöin lisäksi jollain tiedonpakkaus-menetelmällä.

Alla on Javascript-työkalu, jolla voit tutkia erään yksinkertaisen merkistökoodauksen, ASCII-koodauksen merkkejä vastaavia binäärilukuja. Binääriluvut on esitetty myös 10-järjestelmän kokonaislukuina sekä heksadesimaalilukuina. Anna jokin kokonaisluku väliltä 0-127. Jos kokonaisluvun binääriesitystä vastaava ASCII-merkki ei ole tulostuva merkki, tulee ASCII-merkki laatikkoon neliö tai tyhjä riippuen verkkoselaimesta. Muutoin tulostuu binäärilukua vastaava ASCII-merkistökoodauksen merkki. Muuntimeen ei voi asettaa ASCII-merkkiä, vain lukuja. Voit "selata" lukuja ja ASCII-merkkejä lisäämällä tai vähentämällä luvun arvoa.

ASCII-merkistökoodausmenetelmässä merkit koodataan seitsemällä bitillä, koska käytännössä melkein aina käsitellään bittejä käsitellään 8-bitin tavuina, lisätään tällöin kahdeksanneksi bitiksi, kaikkein vasemmanpuoleiseksi, bitti 0.

Entä jos vasemmanpuoleinen bitti on 1? Tällöin kyseessä ei ole ASCII-merkistökoodauksen mukainen binääriluku. Javascript ei käytä ASCII-merkistökoodausta, vaan UTF-16 merkistökoodausta. Voit kokeilla binäärimuuntimeen myös arvoja 128-255, muuntimen koodi käyttää niitä ns. koodipisteen arvoina ja antaa koodipistettä vastaavan merkin. Esimerkiksi luku 228 antaa kirjaimen ä. Huomaa että, esitetyt binääriluvut eivät ole UTF-16 merkistökoodausta vastaavia binäärilukuja, vaan binääriluvut ovat kokonaislukua vastaavia arvoja.

Merkistökoodausmenetelmistä sekä koodipisteen määrittelystä löytyy lisää informaatiota esimerkiksi vuoden 2020 TIEP114 Tietokoneen rakenne ja arkkitehtuuri kurssin materiaalista.

Selvitä seuraaviin tehtäviin binäärilukuja vastaavat ASCII-merkit sekä ASCII-merkkejä vastaavat binääriluvut. Lisää 7-bittisen binääriluvun vasemmanpuoleiseksi bitiksi bitti 0. Tällöin laajennetut 8-bittiset ASCII-merkit vastaavat UTF-8 merkistökoodauksen merkkejä. Tarkistin toimii myös ASCII-merkeille, vaikka se on tehty UTF-8 merkkien testaamiseen. Täten, jos vastauksessa binääriluku on väärin, tarkistin käyttää merkistökoodauksesta nimeä UTF-8 eikä ASCII.

Tietoverkkojen tekninen näkökulma visuaalisesti

• Globaali Internet-liikenne
• Merikaapelit tiedonsiirrossa

Internet - hallintanäkökulma

Internetin hallinta ei ole millään yksittäisellä organisaatiolla tai valtiolla. Internet koostuu sadoistatuhansista verkoista, joita hallitsevat verkkojen omistajat. Kuitenkin, jotta eri verkkojen välinen kommunikaatio olisi mahdollista, on täytynyt sopia yhteisistä säännöistä. Kuten esimerkiksi siitä, miten eri verkoissa sijaitsevat laitteet ymmärtävät kommunikoidessa toisiaan ja miten laitteet löytävät toisensa kommunikaatiota varten. Internetin alkuaikoina sen hallinta oli lähinnä yhdysvaltalaisilla organisaatioilla sekä yksittäisillä henkilöillä, koska Yhdysvalloissa olivat ensimmäiset verkot, joista Internet on kehittynyt. Ajan myötä hallintaa on siirretty kansainvälisille organisaatioille.

Internetin organisaatioissa ei ole tarkkaan määritettyä hierarkiaa. Organisaatioiden välillä on jonkinlaista hierarkiaa, lähinnä siten että jokin organisaatio ohjaa tai valtuuttaa jonkin toisen organisaation toimintaa. Esimerkiksi ICANN ohjaa IANA:an toimintaa ja antaa sille valtuudet jakaa IP osoitteita alueellisille rekistereille, englanniksi Regional Internet Registries (RIR). Englannin kielessä käytetään verbiä charter, jonka olen tässä tulkinnut suomen kieleen käsitteiksi ohjata ja valtuuttaa. Materiaalissa alla käytetään ohjata-verbiä kuvaamaan englannin kielistä charter-verbiä.

Alla on listattu joitain Internetin hallintaan liittyviä organisaatioita, sekä lyhyesti niiden tärkeimpiä tehtäviä.

• ICANN (Internet Corporation for Assigned Names and Numbers)
  • Ohjaa IANA (Internet Assigned Numbers Authority):ta
  • IANA on ICANNin edeltäjä, joka tänä päivänä käytännössä hallinnoi ICANN:in vastuulla olevia tehtäviä
  • IANA hallinnoi sitä miten Internetin laitteet löytävät toisensa
    • Internetin osoitteet (IP)
      • jakaa Internetosoitelohkoja aluellisille Internet rekistereille (RIR)
        • RIR:it jakaa osoitteita eteenpäin internetoperaattoreille
        • RIR:it muodostavat ICANN:in alaisen Address Supporting Organization (ASO):n
    • Hallinnoi Internetin ylätason verkkotunnukset, kuten .fi tai .helsinki
    • Hallinnoi ASN numeroita
    • Hallinnoi protokollanumeroita
• IAB (Internet Architecture Board)
  • Kattojärjestö organisaatioille, jotka hallinnoivat Internetin teknistä kehitystä sekä dokumentointia ja standardointia, eli sitä miten Internetissä kommunikoidaan
    • IETF (Internet Engineering Task Force)
      • Vapaaehtoista Internetin standardointityötä Internetin kehittämiseksi, erityisesti TCP/IP -protokollaperhe
    • IRTF (Internet Research Task Force)
      • Pidemmän aikavälin tutkimustyötä Internetin kehittämiseksi, paljon yhteistä IETF:n kanssa, jonka työ painottuu lyhyen aikavälin kehitykseen
    • RFC Editor
      • Vastaa RFC-dokumenttien julkaisemisesta
• IGF (Internet Governance Forum)
  • Keskustelufoorumi Internetin hallintaan liittyviin asioihin
• ISOC (Internet Society)
  • Tavoitteena taata Internetin avoimuus, niin kehityksen, evoluution kuin käytön osalta
• W3C (World Wide Web Consortium)
  • Internetin WWW-osan standardointiorganisaatio

— B.Carpenter, RFC 1958, page 3

Request for Comments (RFC)

RFC-dokumentit saivat alkunsa 1969, kun Internetin edeltäjän ARPANET:in toteutuksesta ja kehityksestä aloitettiin ylläpitämään muistioita. Muistioissa käsitellään tietoverkoissa tapahtuvaa tiedonsiirtoa useista näkökulmista. RFC:t keskittyvät pääosin tietoverkkojen teknisiin ominaisuuksiin, protokolliin ja ohjelmiin, niiden toimintaan ja toteutukseen. RFC:t sisältävät myös Internetin kehitykseen liittyviä muistioita tapaamisista, mielipiteitä sekä humoristisia dokumentteja.

• Teknisiä ja muunlaisia muistioita Internetistä
  • Protokollien määrityksiä
  • Verkkosovellusten toteutuksesta
  • Mielipiteitä ja huumoria
• Kaikki RFC:t eivät ole standardeja! RFC 1796
• Internet standardien standardointiprosessi on kuvattu RFC 2026 dokumentissa.
• Kuka tahansa voi ehdottaa muistiota RFC dokumentiksi - RFC 2223
• Lista kaikista RFC-dokumenteista

Request for Comments (RFC) - Status

• RFC dokumenteilla voi olla erilaisia statuksia, joka on suhteessa niiden Internet standardointi -vaiheeseen
  • Informational
  • Experimental
  • Best Current Practice
  • Standards Track - RFC 5000 ja Official Internet Protocol Standards
    • Proposed Standard
    • Draft Standard
    • Internet Standard
  • Historic

Request for Comments (RFC) - Esimerkkejä

• Internet Standard - RFC 3629
  • UTF-8, merkistökoodaus jota Internetissä tulisi käyttää
• Proposed Standard - RFC 5246
  • TLS 1.2, jolla salataan esim. WWW-liikennettä
• Draft Standard - RFC 4271
  • BGP, operaattoreiden välinen protokolla Internetin reittien selvittämiseksi
• Best Current Practice - RFC 2119
  • RFC dokumenteissa käytettävät avainsanat
• Informational - RFC 2324
  • Hyper Text Coffee Pot Control Protocol (HTCPCP/1.0)
• Informational - RFC 2468
  • "A long time ago, in a network, far far away, a great adventure took place!"
• Experimental - RFC 1149
  • Standard for the transmission of IP datagrams on avian carriers
• Historic - RFC 5000
  • Internet Official Protocol Standards

RFC dokumentteja on tuhansia ja uusia julkaistaan jatkuvasti. Tässä materiaalissa on useita tehtäviä, joissa pitää etsiä RFC dokumentin numero. RFC dokumenteista löytää määritykset sekä käytänteet useaan tietoverkkoja koskevaan aiheeseen.

RFC Editor on eräs internetsivusto, jossa ylläpidetään tietoa RFC dokumenteista. Sivustolta löytyy esimerkiksi ohje https://www.rfc-editor.org/in-notes/rfc-ref.txt siihen kuinka RFC dokumentteihin suositellaan viitattavan esimerkiksi opinnäytetöissä sekä tieteellisissä artikkeleissa.

Tällä kurssilla RFC dokumenttien numeroita ei tarvitse osata ulkoa. RFC dokumenttien etsintätehtävien on tarkoitus tutustuttaa RFC dokumentointijärjestelmään ja siihen että hyvin paljon Internetin toiminnasta on julkisesti määriteltyä.

RFC dokumentteja tehdään myös huumorimielellä. Korostetaan sitä, koska samalla korostuu se, asia että kaikki RFC dokumentit eivät ole Internet standardeja.

Vaikka kehitys kulkee eteenpäin, asioita parannetaan tai muutetaan tai päivitetään, ei jo julkaistua RFC dokumenttia koskaan muuteta. Esimerkiksi sen vuoksi voi RFC dokumenteilla olla samoja nimiä. Dokumentin numero kuitenkin kertoo muutoksesta ja yleensä RFC dokumentin julkaisutiedoissa kerrotaan, onko dokumentti vanhentunut tai vanhentaako se jonkin toisen dokumentin. Vanhentaminen ei tarvitse tapahtua samannimisellä dokumentilla.

Tietoverkkojen ja tietoliikenneprotokollien kanssa työtä tekevät alkavat muistamaan tiettyjä usein viitattujen RFC dokumenttien numeroita. Alla on yksi hyvin usein esiin tuleva RFC dokumentti, jossa on määritelty IP protokolla.

Internet - palvelunäkökulma

Tietoverkko, eli tietoliikenneinfrastruktuuri, mahdollistaa hajautetut palvelut. Palveluntarjoaja sekä palvelua käyttävä asiakas voivat sijaita missä vaan Internetissä. Lisäksi Internet on mahdollistanut sen että periaatteessa kuka vaan voi toimia palveluntarjoajana, ja toisaalta sen ettei palvelun tarjoajaa välttämättä tunneta.

Suuri osa Internetin palveluista voidaan lokeroida tiedon tuottamiseksi ja tiedon jakamiseksi. Aiemmin tiedon tuottaminen ja jakaminen oli harvojen toimijoiden käsissä, kuten myös Internetin alkuaikoina, ja tietoa tuottivat lähinnä toimijat, jotka siirsivät aiemmin tuottamaansa informaatiota digitaaliseksi verkon kautta saatavaksi. Tänä päivänä Internetissä on lukuisia palveluita, jotka mahdollistavat yksittäisen ihmisen tuottaman tiedon jakamisen hyvin laajalle vastaanottajajoukolle.

Alla joitan Internetin palveluita, visualisoituna Kartta Internetin palveluista:

• World Wide Web (WWW)
• Sähköposti
• Reaaliaikaset viestintäpalvelut
• Sosiaaliset verkostot
• Kartta-, reitti- ja ruuhkapalvelut
• Tallennetun sekä suoran musiikin ja videokuvan striimaus
• Ääni- ja videopuhelut
• Moninpelit verkossa
• Telnet

Internetin palvelut ovat hajautettuja ja ne sijaitsevat verkon reunalla, eli asiakas- ja palvelinlaitteet ovat verkon reunoilla ja itse verkon muodostavat reitittimet ja kytkimet, jotka välittävät hajautettujen sovellusten dataa, mutta eivät ole kiinnostuneita sovellusten datan sisällöistä. Reititinten yhteydessä mahdollisesti sijaitsevat tietoturvaa parantavat ohjelmistot ja laitteet voivat tutkia myös sovellusten lähettämää dataa.

Kuinka hajautetut sovellukset sitten voivat kommunikoida mielivaltaisen verkon läpi? Internetin runko tarjoaa palvelun, jolla se kuljettaa sovellusten lähettämää dataa ja päätelaitteet verkon reunalla tarjoavat rajapinnan, jonka avulla Internettiä voi käyttää. Tämän rajapinnan nimi on sokettirajapinta, jonka päätelaitteen käyttöjärjestelmä tarjoaa. Verkkosovelluksen tekijän täytyy opetella sokettirajapinnan käyttö, jotta viestien vaihto Internetin yli on mahdollista. Käytännössä sokettirajapintaa käytetään jollain ohjelmointikielellä, mutta ensin täytyy ymmärtää sokettirajapinnan kautta saavutettavat palvelut, eli Internetin runkoverkon tarjoamat palvelut, päätelaitteissa sijaitsevat kuljetuspalvelut ja niiden toteutus.

Hajautetun sovelluksen, eli kahdessa tai useammassa eri laitteessa toimivan sovelluksen, voi toteuttaa erilaisilla arkkitehtuureilla tai malleilla. Alla on listattu Internetin erilaisia malleja tai arkkitehtuureita sekä infrastruktuureja, joilla palveluita tarjotaan. Listassa on myös linkit wikipedian englannin kielisiin sivuihin, joista voi halutessaan tutkia aiheita tarkemmin sekä löytää lisää lähteitä kiinnostavaan aiheeseen syventymiseen.

• Asiakas-palvelin -malli, wikipedia
• Vertaisverkko -malli, wikipedia
• Pilvilaskenta, wikipedia
• Sumulaskenta, wikipedia
• Esineiden Internet, wikipedia
• Lohkoketju, wikipedia

Asiakas-palvelin -malli

Asiakas-palvelin -malli oli ensimmäinen palvelumalli Internetin kehittyessä, jossa yksi laite tarjoaa palvelua (palvelin) ja toinen laite (asiakas) pyytää palvelua. Yhden palvelimen palveluita voi käyttää useat eri asiakkaat, myös samaan aikaan. Esimerkkejä asiakas-palvelin -mallin mukaisista hajautetuista sovelluksista ovat esimerkiksi WWW, sähköposti, verkkolevy tai verkkotulostus. Nykyään palvelu voi lisäksi olla hajautettu useammalle fyysiselle tai virtuaaliselle palvelimelle.

Vertaisverkkomalli

Vertaisverkkomallissa hajautettua sovellusta käyttävät laitteet eivät ole jaoteltu palvelun tarjoajiin ja palvelun käyttäjiin, vaan kaikki vertaisverkon laitteet sekä tarjoavat että käyttävät hajautetun sovelluksen palveluita. Laitteilla ei siis ole vastaavia palvelimen ja asiakkaan rooleja, kuten asiakas-palvelin -mallissa, vaan laitteet ovat vertaisia, jokaisen toimiessa sekä palvelimena että asiakkaana. Vertaisverkkomallia käytettään esimerkiksi tiedostojen, laskentakapasiteetin sekä kaistanleveyden jakamisessa. Vertaisverkkomallin etuna perinteiseen asiakas-palvelin -malliin on esimerkiksi nopeus tiedoston lataamisessa. Asiakas-palvelin -mallissa tiedoston lataamisnopeutta palvelimelta rajoittaa muut samanaikaiset lataajat ja palvelimen resurssit tai palvelimen verkkoyhteys voi ruuhkautua. Vertaisverkossa kaikki tiedostoa itselleen lataavat laitteet, toimivat toisille laitteille lähteenä, josta muut voivat ladata tiedostoa. Tiedoston lataaminen voidaan käytännössä tehdä rinnakkain koko verkossa samanaikaisesti, sen sijaan että verkon laitteet omalla vuorollaan käyvät lataamassa tiedoston.

Pilvilaskenta

Pilvilaskenta, englanniksi cloud computing, ei varsinaisesti ole sinällään palvelumalli. Pilvilaskennassa päätelaitteessa toimivan sovelluksen tarvitsemat resurssit ja laskentateho eivät ole päätelaitteessa vaan verkossa sijaitsevassa palvelimessa. Pilvi-termiä alettiin käyttämään jo Internetin edeltäjän, ARPANET:in, alkuaikoina kuvaamaan verkossa sijaitsevia laskentaa suorittavaa laitetta sekä myöhemmin Internettiä tai sen osaa. Pilvilaskenta on siis verkossa tapahtuvaa laskentaa ja pilvipalvelut ovat palveluita, joiden toteutus on siirretty verkkoon. Oikeastaan asiakas-palvelin -malli on yksi pilvipalvelun muoto. Esimerkiksi sähköpostisovelluksessa suuri osa sovelluksen toiminnasta, kuten sähköpostit ja niiden välitys, hallitaan verkossa sijaitsevalla sähköpostipalvelimella.

Pilvipalvelut ovat laajentuneet perinteisistä hajautetuista sovelluksista, kuten WWW, käsittämään myös aiemmin vain paikallisissa laitteissa ajettuja sovelluksia. Nykyään suurinta osaa toimistosovelluksia, kuten tekstinkäsittely tai taulukkolaskenta, on mahdollista käyttää pilvipalveluna. Pilvipalvelusovellus, on sellainen, jossa itse sovellus toimii pilvipalvelun tarjoajan verkossa ja sitä käytetään verkon yli erilaisista päätelaitteista, yleensä verkkoselaimella.

Pilvipalveluiden hyötynä palvelun käyttäjille on se, että sovellusten ja laitteiden ylläpidon voi ulkoistaa jolloin itse voi keskittyä palveluiden käyttöön. Esimerkiksi yrityksen ei tarvitse käyttää aikaa ohjelmistojen ja laitteiden päivitykseen ja tietoturvasta huolehtimiseen, kun pilvipalveluntarjoaja tekee sen osana tarjoamaansa palvelua.

Pilvipalvelujen huonona puolena voidaan pitää esimerkiksi sitä että, kun valitsee jonkin pilvipalvelun, voi olla hankala siirtyä toisen pilvipalvelun käyttäjäksi, koska siirtyminen erilaisten palveluiden välillä voi vaatia suuria muutoksia vanhalla palvelulla toteutettuun työhön. Tietoturva ja tiedon yksityisyys saattavat olla jonkin asteisen epäluottamuksen kohde, kun kaikki oma tieto on pilvipalvelun tarjoajan verkossa. Esimerkiksi pilvipalvelun palvelimien sijainti eri valtioissa määrittelee sen minkälaista lainsäädäntöä noudatetaan.

Sumulaskenta

Sumulaskenta, englanniksi Fog computing tai Fog networking on uusi tutkimus- ja kehityssuunta, jossa verkossa, eli pilvessä, sijaitseva laskenta tuodaan lähemmäksi päätelaitteita ja käyttäjiä. Terminä sumu on keksitty siitä että aiemmin pilvessä, eli 'taivaalla', sijaitseva laskenta tuodaan lähemmäksi käyttäjiä, eli 'maanpintaa', ja näin pilvi muuttuu sumuksi.

Sumulaskennan ideana on ottaa hyötykäyttöön miljardit Internetiin yhdistetyt laitteet, jotka ovat lähellä käyttäjiä, mutta käyttöä vailla. Hyötynä olisi laitteiden fyysinen läheisyys, jolloin tiedonsiirto laitteiden välillä olisi nopeampaa, eikä kärsisi Intenetin muun liikenteen aiheuttamasta ruuhkasta. Sumulaskennassa esimerkiksi tabletilla toimistosovellusta käyttettäessä, sovellus ei olisikaan hajautettu pilvipalveluun, vaan lähistöllä sijaitseviin, usein samaanaikaan käyttämättömiin, laitteisiin, kuten esimerkiksi puhelin, tietokone, televisio tai jääkaappi.

Ongelmana sumulaskennassa tällä hetkellä on löytää toimiva malli esimerkiksi sille, kuinka järjestelmää ylläpidetään ja laskutetaan sekä miten laitteiden omistajille korvataan tarjottu laskentateho, talletuskapasiteetti tai verkonkäyttö. Sumulaskenta tukisi esineiden Internettiä, eli kun yhä useampaan laitteesiin lisätään nykyään yhteys Internetiin sekä laskentakapasiteettia, niin ne saataisiin parempaan hyötykäyttöön.

Esineiden Internet

Esineiden Internetiksi, englanniksi Internet of Things (IoT), kutsutaan internetverkon osaa, jonka laitteet eivät ole perinteisiä internetiin kytkettyjä laitteita. IoT-laitteet ovat mitä tahansa laitteita, joihin on lisätty verkkoyhteys, jolla laite voi kommunikoida muiden verkossa olevien laitteiden kanssa. Nämä verkot voivat olla internetistä kokonaan irti, tai sitten organisaatioiden sisäisissä verkoissa, intraneteissä, piilossa muulta internetiltä tai sitten näkyvillä julkisesti internetissä. Verkkoyhteys voidaan nykyään toteuttaa hyvin pienellä määrällä elektroniikkaa sekä ohjelmistoa. Huomioitavaa on, että IoT-laitteelle ei ole yhtä ainoaa vakiintunutta määritelmää. Yleensä IoT-laitteen internetiin yhteydessä olevat osat ovat lisäksi kooltaan ja virrankulutukseltaan pieniä. Yhteys internetin välityksellä toisiin laitteisiin mahdollistaa tiedon lähettämisen tai vastaanottamisen IoT-laitteiden ja internetiin kytkettyjen muiden laitteiden välillä. IoT-laitteet tarjoavat yleensä jonkinlaista palvelua, esimerkiksi välittävät sensoreidensa avulla tietoa lämpötilasta tai mahdollistavat valojen etäohjauksen internetin yli. IoT-laitteiden yhdistämiseksi internetiin on useita eri tekniikoita, monet niistä langattomia teknologioita. Jotta IoT-laite voi olla yhteydessä internetiin, täytyy laitteeseen olla toteutettu myös Internet Protokolla (IP). Joissain tapauksissa IoT-laitteeksi kutsutaan myös sellaisia laitteita, jotka eivät kykene itse kommunikoimaan internetiin kytkettyjen laitteiden kanssa. Silloinkin laitteen tulee verkottua ja kommunikoida jonkin toisen laitteen kanssa, joka hoitaa kommunikoinnin internetiin yhdistettyjen laitteiden kanssa.

Pilvipalveluiden luokittelu

Pilvipalvelut luokitellaan sen mukaan minkälaista palvelua ne tarjoavat. Luokkia on useita, ja osa pilvipalveluista tarjoaa useaan eri luokkaan kuuluvia palveluita. Yleisimmät pilvipalveluluokat ovat kolme pääluokkaa:

• SaaS (Software as a Service), ohjelmisto palveluna
  • Voidaan käyttää verkossa sijaitsevia sovelluksia
  • Ilmaisia tai maksetaan käytön mukaan
  • Käytettävissä
    • miltä tahansa Internetiin yhteydessä olevalta laitteelta
    • verkkoselaimella, mobiilisovelluksella, pääteyhteydellä, …
  • Toimistosovelluksia, sähköposti, pelejä, yhteistyösovelluksia, …
  • Esim. Google docs, Office 365, Slack, Overleaf, GitHub, Dropbox, Amazon AWS, …

• PaaS (Platform as a Service), palvelinalusta palveluna
  • Voidaan luoda omia sovelluksia palveluntarjoajan työkaluilla
    • Tarjoavat laitteiston ja käyttöjärjestelmän ylläpidon
  • Sovellusten kehittäminen nopeaa pienillä kustannuksilla
  • Esim. Heroku, Google App Engine, Windows Azure, Amazon AWS, Redhat OpenShift, ...

• IaaS (Infrastructure as a Service), infrastruktuuri palveluna
  • Voidaan ajaa mitä tahansa sovellusta palveluntarjoajan laitteistossa
  • Sen sijaan että on oma palvelin(keskus), niin sovellukset ajetaan palveluntarjoajan palvelimissa
  • Fyysisiä tai virtuaalisia palvelimia
    • Voi asentaa käyttöjärjestelmästä alkaen kaiken tarvittavan
  • Esim. Rackspace Open Cloud, Google Compute Engine, Windows Azure, Amazon AWS, IBM SmartCloud, DataCenter, TNNet, ...

Pilvipalveluiden vuonna 2011 julkaistun määritelmän on tehnyt yhdysvaltalainen National Institute of Standards and Technology (NIST) virasto, jonka tehtävänä on mm. kehittää standardeja.

Nykyään suosiota kasvattaa "serverless computing", jossa ei ole palveluna alustaa tai ohjelmistoa, vaan palveluna tarjotaan ohjelmakoodin ajamista, Function as a Service (FaaS).

Lohkoketju

Lohkoketju, englanniksi blockchain, on eräänlainen internetverkkoon hajautettu tietokanta. Tietokannan tietueet, joita kutsutaan lohkoiksi, on linkitetty toisiinsa kryptografisilla menetelmillä. Linkityksistä muodostuu ketju, jossa uudessa lohkossa on aina tieto aiemmista lohkoista. Tämä toteutetaan lisäämällä jokaiseen lohkoon kryptografinen tiiviste edellisestä lohkosta. Lohkon hyötydatana on transaktio, jokin tapahtuma, joka on toteutettu eri osapuolten kesken. Näin lohkoketjuun tallentuu historia transaktioista, jotka ovat kaikkien tarkasteltavissa ja joita on käytännössä mahdoton muuttaa, ilman että siitä jää helposti havaittava jälki.

Protokollat tietoverkoissa

Tietoverkon laitteet eivät kykenisi ymmärtämään toisiaan ilman tietoverkoissa käytettäviä protokollia, tietoliikenneprotokollia. Englanniksi niistä käytetään termiä (computer) network protocol, eli verkkoprotokolla, tai communication protocol, eli protokolla kommunikaatioon, erityisesti tietoverkkojen tapauksessa verkkoon yhdistettyjen laitteiden väliseen kommunikaatioon.

Protokollan määritelmä, eli säännöt, sisältävät

• syntaksin
  • symbolien yhdistelmät, jotka ovat sallittuja kommunikaatiossa
    • eli 'sanat protokollan käyttämässä kielessä'
  • symboliyhdistelmien järjestys, jotka ovat sallittuja kommunikaatiossa
    • eli 'kielioppi protokollan käyttämässä kielessä'
  • Esimerkiksi
    • GET sivu HTTP/1.1
    • välilyönnillä erotellaan sallitut symbolien yhdistelmät
    • myös symboliyhdistelmien paikat on määritelty, eli järjestyksellä on väliä

• semantiikan
  • symboliyhdistelmien tarkoituksen kommunikaatiossa
    • eli 'sanojen merkityksen protokollan käyttämässä kielessä'
    • Esimerkiksi
      • GET tarkoittaa "lähetä minulle"
      • sivu on sen WWW-sivun nimi jota pyydetään lähettämään
      • HTTP/1.1 on protokolla, jota kommunikaatioon käytetään
  • Kuinka symboliyhdistelmiin reagoidaan
    • Esimerkiksi sivunlähetys-pyyntöön reagoidaan
      • lähettämällä pyydetty sivu
      • tai syy, miksi sivua ei lähetetty

• ajoituksen
  • sallitun järjestyksen viesteille kommunikaatiossa
  • Esimerkiksi sähköpostiprotokollassa ennen sähköpostin tekstiosaa pitää määritellä lähettäjä ja vastaanottaja

• virheistä toipumisen
  • mahdolliset mekanismit virheistä toipumiseen
  • jos kommunikaatio ei ole määritysten mukaista, ei osapuolet ymmärrä toisiaan

Mihin protokollia tarvitaan? Otetaan esimerkki ihmisten välisestä kommunikaatiosta, joka usein perustuu jonkinlaiseen protokollaan. Kun esimerkiksi luentosalissa opiskelijalla on jonkin kysymys opettajalle, täytyy hänen kiinnittää opettajan huomio itseensä jollakin tavalla. Ensimmäisenä tulee mieleen esimerkiksi seuraavat vaihtoehdot: (i) opiskelija nostaa kätensä pystyyn, (ii) opiskelija pyytää luvan sanallisesti: "Saanko esittää kysymyksen?" tai (iii) opiskelija kysyy kysymyksensä suoraan. Varmasti muitakin tapoja on, mutta huomattavaa on se että kysymyksen esittämiseen on jonkinlainen tapa aloittaa kommunikaatio. Ihmisten kesken kommunikaation sääntöjen ei aina tarvitse olla tarkkaan määritelty, koska ihminen kykenee tulkitsemaan viestintää tilanteen ja esimerkiksi aiemman kokemuksen mukaan. Kommunikaation aloitusmekanismin lisäksi myös kommunikaatioon käytetyt viestejä voi olla useita erilaisia, esimerkiksi "voinko esittää kysymyksen", "saako kysyä" tai "minulla olisi kysymys tai pari" ja silti opettaja ymmärtää viestin.

Kun kaksi laitetta kommunikoi, ei ole järkevää määritellä kommunikaatiolle esimerkiksi useita erilaisia viestejä, jotka tarkoittavat samaa asiaa. Jos esimerkiksi verkkoselain kysyy WWW-palvelimelta, että "onko tietty WWW-sivu muuttunut sen jälkeen kuin viimeksi kysyin", niin tehokkaasti toteutettu kommunikaatio vaatinee sen, että kysymyksen esittäminen on tarkkaan määritelty. Pitää olla protokolla, jota noudatetaan laitteiden tai niissä ajettavien ohjelmistojen kommunikoidessa keskenään. Protokollat siis määrittelevät säännöt tietoverkoissa tapahtuvaan kommunikaatioon.

Sokettirajapinta

Sokettirajapinta on käyttöjärjestelmän tarjoama palvelu, jonka avulla sovellusten käyttämät protokollat, sovellusprotokollat, voivat kommunikoida Internet-verkossa sijaitsevien laitteiden kanssa. Sokettirajapinnan avulla voidaan esimerkiksi hakea WWW-sivu WWW-palvelimelta, kun tiedetään palvelimen ja sen tarjoaman palvelun osoitteet, internetosoite ja porttinumero, jotka käsitellään tarkemmin tämän materiaalin Teoria 2 osiossa. Lisäksi täytyy tuntea käytetty sovellusprotokolla, joka salaamattoman WWW-palvelun osalta on HTTP. Myös sovellusprotokollat käydään läpi tarkemmin Teoria 2 osiossa.

Vuoden 2017 luentokalvoilla on käytetty PHP-ohjelmointikieltä visualisoimaan sokettirajapinnan käyttöä.

http://users.jyu.fi/~arjuvi/opetus/itkp104/2017/ITKP104_Teoria1.html#(13)

Sokettirajapintaan ja HTTP protokollaan tutustutaan myöhemmin, mutta voit kokeilla alla olevaa esimerkkiä, jossa sokettirajapinnan kautta haetaan WWW-palvelimelta WWW-sivu. Alla oleva ohjelma toimii asiakkaana, joka tekee pyynnön WWW-palvelimen oletusresurssin hakemiseksi. Ohjelma tulostaa tekstinä HTTP-protokollan mukaiset viestit, sekä HTML-sivun, jonka se saa palvelimelta.

Ohjelma on toteutettu Python-ohjelmointikielellä, tosin koodi on piilotettu lukuun ottamatta WWW-palvelimen nimen määritystä. Voit halutessasi tutkia koodia valitsemalla Näytä koko koodi. Tietoverkossa hajautetun sovelluksen kommunikoivat osapuolet voidaan toteuttaa millä tahansa ohjelmointikielellä, kunhan kommunikoinnissa käytetään ja noudatetaan yhteistä protokollaa. Eli, ei ole väliä sillä, millä ohjelmointikielellä ja miten asiakkaat ja palvelimet on toteutettu, kunhan kommunikaatiossa noudatetaan protokollan sääntöjä.

Internetin rakenne

Internet on maailmanlaajuinen tietoverkko, joka koostuu sadoista tuhansista erikokoisista verkoista. Internetin rungon muodostavat suurten internetoperaattoreiden verkot, jotka yhdessä muodostavat maapallon kattavan alueen. Käytännössä runkoverkkoja pitkin tietoa voi siirtää mihin tahansa maapallolle.

Internetoperaattorit

Internetoperaattorit jaotellaan eri tasoisiksi ja Internetin runkoverkon muodostavien operaattoreiden sanotaan kuuluvan Tier 1 -verkkojen kategoriaan. Määritelmä Tier 1 -verkkojen kategoriaan kuulumisesta ei ole tarkka. Tier 1 -verkkojen kategoriaan sanotaan kuuluvan internetoperaattorit, jotka eivät maksa siitä että ne välittävät toistensa yhdysliikennettä. Englannniksi yhdysliikenteen välitykselle on termi peering, jota myös suomenkielessä käytetään. Tier 1 -operaattoreilla on peering-sopimukset kaikkien muiden Tier 1 -operaattoreiden kanssa siitä että niiden, ja niiden asiakkaiden, peering-liikenne on ilmaista Tier 1 -operaattoreiden välillä. Asiakkaat, eli pienemmät internetoperaattorit, maksavat siis liikenteensä välityksestä Tier 1 operaattoreiden kautta, mutta Tier 1 -verkkojen välillä asiakkaiden liikenne siirretään ilman että Tier 1 -operaattorit maksavat toisilleen.

Jos internetoperaattori joutuu maksamaan toiselle internetoperaattorille, siitä että liikenne kulkee toisen operaattorin verkon kautta, niin maksava internetoperaattori ei kuulu Tier 1 -verkkoihin. Koska internetoperaattorien väliset sopimukset eivät ole aina julkisia, ei voida täydellä varmuudella sanoa mitkä ovat Tier 1 -internetoperaattoreita. Internetyhteisö arvioi Tier 1 -verkkoihin kuuluvan tällä hetkellä noin 15 internetoperaattoria.

Tier 2 -verkko on erään määritelmän mukaan sellainen internetoperaattori, joka joutuu maksamaan Tier 1 -operaattoreille, mutta joka kykenee tekemään ei-maksullisia peering-sopimuksia pienempien internetoperaattoreiden kanssa. Eli johonkin osaan verkkoa liikenteen välitys on Tier 2 -operaattoreille maksutonta ja muualle Internetiin maksullista. Liikennettä, joka kulkee eri tasoilla sijaitsevien internetoperaattorien verkkojen välillä, kutsutaan välitysliikenteeksi tai usein englannin kielisen termin mukaan transit-liikenteeksi. Peering-liikennettä on sellainen internetoperaattorien liikenne, joka on samantasoisten (peer tarkoittaa vertaista) operaattoreiden välistä liikennettä. Yleisesti transit-liikenne on maksullista ja peering-liikenne on maksutonta.

Tier 3 -verkko on erään määritelmän mukaan sellaisen internetoperaattorin verkko, joka joutuu aina maksamaan liikenteen välityksestä oman verkon ulkopuolelle. Käytännössä näin on silloin kun verkolla ei ole fyysisiä yhteyksiä toisiin saman tason verkkoihin, jotta se voisi tehdä niiden kanssa peering-sopimuksia. Käytännössä Tier 3 -verkkojen kategoria voi jakautua vielä useampaan osaan. Liityntäverkoksi, englanniksi access network, kutsutaan verkkoa, joka tarjoaa internetyhteyksiä henkilö- tai yritysasiakkailleen. Liityntäverkon ei tarvitse itse olla internetoperaattori ja tällöin se hankkii internetyhteyden joltain internetoperaattorilta.

Kalifornian yliopiston Center for applied internet data analysis (CAIDA) ylläpitää sijoituslistausta (ranking) autonomisista järjestelmistä (AS) osoitteessa https://asrank.caida.org/. Listauksen sijoitus perustuu siihen kuinka monta asiakasta kullakin autonomisella järjestelmällä on. Klikkaamalla listalla organisaation nimeä tai AS numeroa saa tarkempaa tietoa. Nimeä klikkaamalla saa tiedon kaikista AS numeroista, jotka kuuluvat kyseiselle organisaatiolla ja lisäksi saa tarkempia tietoja esimerkiksi siitä, kuinka monta autonomista järjestelmää, aliverkkoa (prefix) sekä internetosoitetta on kyseisen autonomisen järjestelmän kautta saavutettavista. AS numeroa klikkaamalla saa tiedon AS naapureista, eli kyseisen organisaation suhteesta muihin organisaatioihin. Onko organisaatioilla peering-suhde, tai onko suhde kyseiseen organisaation asiakas tai palveluntarjoaja. Suurimmat organisaatiot eivät ole välttämättä Tier 1 operaattoreita, koska sen määritys ei liity organisaation suuruuteen.

Jyväskylän yliopiston liittyminen Internetiin

Jyväskylän yliopisto tarjoaa internetyhteyden henkilöstölleen sekä opiskelijoille. Jyväskylän yliopiston tietoverkko on yhdistetty FUNET (Finnish University and Research Network) -runkoverkkoon, joka on suomen korkeakoulujen ja tutkimuslaitosten tietoverkko. FUNET-verkkoa hallinnoi opetusministeriön alainen CSC - Tieteen tietotekniikan keskus ja joissain yhteyksissä FUNET-verkkoa kutsutaan CSC-verkoksi. FUNET-verkko on yhdistetty Internetiin NORDUnet- verkon kautta, joka on pohjoismaisten tutkimus- ja koulutusverkkojen yhteisorganisaatio. NORDUnet-verkko kytkeytyy muuhun Internetiin Telian siirtoverkon kautta. NORDUnet on osa Eurooppalaista tutkimus- ja koulutusorganisaatioiden GÉANT-verkkoa, joka tarjoaa yhteydet eurooppalaisten korkeakoulujen ja tutkimuslaitosten välille.

Se, luetaanko Jyväskylän yliopiston tietoverkko tai FUNET-verkko Tier 3 -verkoksi, riippuu Tier 3 -verkkokategorian määrityksestä. Telian siirtoverkko on oletettavasti Tier 1 tason verkko. Koska FUNET-verkko on osa NORDUnet-verkkoa, joka on osa GÉANT-verkkoa, on sen tasoa vaikea määrittää. Oletetaan että GÉANT-verkko tai NORDUnet-verkko maksaa tiedonsiirrosta Tier 1 verkolle. Tällöin kyseessä olisi Tier 2 verkko, toisaalta FUNET ei maksa tiedonsiirrosta NORDUnet-verkolle, vaan on osa NORDUnet-verkkoa. Myöskään Jyväskylän yliopisto ei maksa tiedonsiirrosta FUNET-verkolle. Tuntematta sopimuksia tarkemmin voidaan arvella, että se mitä esim. FUNET tai yliopisto maksaa on ehkä jäsenmaksuja yms. joita käytetään sitten tarpeenmukaisesti. Täten Tier 3 verkon yleisin määritys "maksaa kaikesta tiedonsiirrosta" ei toteudu. Tier 2 ja Tier 3 verkoille ei ole yleisesti hyväksyttyä tarkkaa määritelmää.

Kun FUNET-verkosta kommunikoidaan suomessa sijaitsevien verkkojen kanssa, ei ole tarvetta välittää liikennettä NORDUnet verkkoon. Suomessa sijaitsevat verkot voivat välittää liikennettä toisilleen Suomessa sijaitsevien Internet-liikenteen solmupisteiden, englanniksi Internet exchange point (IXP), kautta. IXP-solmupisteet välittävät peering-liikennettä niihin liittyneiden verkkojen välillä, verkkojen välisten peering-sopimusten mukaisesti. IXP-solmupisteet laskuttavat pienen summan jäseniltään, eli solmupisteen kautta liikennöiviltä operaattoreilta, laitteiden ylläpitoa varten. Suomessa on keväällä 2021 kaksi suomalaista IXP-solmupisteiden tarjoajaa FICIX ja TREX. FICIX:in solmupisteet sijaitsevat Espoossa, Helsingissä sekä Oulussa ja TREX:in ainoa solmupiste sijaitsee Tampereella. Alla on interaktiivinen kartta, joka näyttää maailman IXP-solmupisteiden sijainnin. Kartalta löytyy mm. suomesta uusia ulkomaisia IXP-solmupisteen tarjoajia, jotka ovat viime vuosina aloittaneet palvelun pääkaupunkiseudulla.

Silloin kun internetoperaattorit yhdistävät verkkonsa ilman IXP-solmupisteitä, muodostetaan yhteys PoP (Point of Presense) -liityntöjen kautta. PoP on solmukohta internetoperaattorin verkon reunalla, jonka kautta liikennettä voidaan välittää sisään ja ulos verkosta. Kun kahden operaattorin välillä on suora fyysinen yhteys, on kyseessä yksityinen liikenteenvälitys, englanniksi private peering. IXP-solmupisteiden kautta toteutettava liikenteenvaihto on julkista, englanniksi public peering.

Esimerkkejä Tier operaattoreista

Alla olevaan kuvaan on piirretty muutamia reittejä internetoperaattoreiden verkkoihin. Reitit on selvitetty traceroute-ohjelman avulla. Nykyään reitit, IP osoitteet ja verkko-operaattorit voivat olla erilaisia.

Informaatiota operaattoreiden verkoista saa esimerkiksi RIPE organisaation analysointityökaluilla.

• https://stat.ripe.net/

Seuraavassa kuvassa on esitetty traceroute-ohjelmalla selvitetyt reitit kolmen Suomessa toimivan operaattorin verkkoon. Reitit on selvitetty vuonna 2017 ja nykyään operaattoreiden nimet voivat olla muuttuneet ja varsinkin käytetyt reitit on hyvin todennäköisesti erilaiset. Internetin reitit muuttuvat hyvinkin lyhyillä aikaväleillä.

• Karkea luennoitsijan esimerkki kolmen operaattorin sijoittumisesta eri renkaisiin:
  • Tier 1: TeliaSonera
  • Tier 2: Nordunet
  • Tier 3: Funet

Edellisissä kuvissa oli selvitetty reitti operaattoreiden verkkoihin. Kuvissa näkyy myös millisekuntiluokkaa oleva viive, joka Internetin pakettikytkentäisessä verkossa riippuu mm. etäisyydestä sekä muusta internet-liikenteestä. Kun haluaa selvittää viiveen johonkin tiettyyn palvelimeen, voi käyttää käyttöjärjestelmien komentoriviltä ajettavaa ping-ohjelmaa. Kaikki kohteet eivät välttämättä vastaa ping-ohjelman käyttämiin viesteihin, jos esimerkiksi palomuurin säännöt estävät vastaamisen. Palvelin tim.jyu.fi ei esimerkiksi vastaa yliopiston verkkoalueen ulkopuolisiin kyselyihin [Päivitys: tim.jyu.fi ei enää vastaa ollenkaan ping tai traceroute ohjelmien kyselyihin. Lisäksi useat muut Jyväskylän yliopiston palvelimet eivät enää vastaa yliopiston verkkoalueen ulkopuolisiin kyselyihin].

Testataan seuraavaksi ping-ohjelman toimintaa. Huomaa, että seuraavassa testataan verkkotunnusta google.fi ilman etuliitettä, joka identifioi palvelimen nimen.

Aina viivettä johonkin tiettyyn palvelimeen ei voi selvittää. Tällöin yleisiä syitä ovat se että verkkotunnuksessa on kirjoitusvirhe, palvelin ei ole päällä, internet yhteys on jossain kohtaa poikki tai palveluntarjoaja on tehnyt verkkolaitteisiinsa asetuksia, joilla ping-viestiin vastaaminen estetään.

Havainnollistetaan seuraavaksi asiaa esimerkiksi Jyväskylän yliopiston users.jyu.fi palvelimen avulla. Palvelin vastaa ping-viesteihin vain, jos ping-viesti tulee Jyväskylän yliopiston verkkoalueelta.

Jotkin yliopiston verkkopalvelut vaativat, että palvelun käyttäjä on yliopiston verkkoalueella. Oma internetyhteys saadaan liitettyä johonkin toiseen verkkoalueeseen esimerkiksi käyttämällä VPN (Virtual Private Network) -etäyhteyttä.

Jyväskylän yliopiston digipalveluiden ohjeista löytyy ohjeita esimerkiksi sivulta WLAN ja VPN - etäyhteys ja etäkäyttö. Sivuston voi etsiä HelpJYU hakutoiminnolla, tai suoraan esimerkiksi käyttämällä URL:ia https://help.jyu.fi/jp?id=kb_search&spa=1&q=VPN.

Jos olet Jyväskylän yliopiston verkossa tietokoneella, jossa on langaton verkkoyhteys, ja haluat testata VPN-etäyhteyttä, voit esimerkiksi käyttää puhelintasi mobiilitukiasemana ja sitten käyttää VPN-etäyhteyttä. Langallisella yhteydellä täytyisi käyttää esimerkiksi proxy-palvelinta, jolla ensin peitetään se että ollaan yliopiston verkossa ja sitten asettaa VPN päälle.

Käyttöjärjestelmistä löytyy traceroute-ohjelma, jolla voi selvittää reitin johonkin verkkotunnukseen tai IP osoitteeseen. Ohjelma selvittää reitillä sijaitsevat reitittimet, jotkin reitittimet eivät tosin reagoi traceroute-ohjelman viesteihin.

Yhteys Internetiin

• Yhteys Internetiin

Fyysinen tiedonsiirtotekniikka

Fyysisen tiedonsiirtotekniikan tehtävänä on muuntaa digitaalinen informaatio, eli bitit, fyysiseksi signaaliksi, joka lähetetään joko langattomasti tai langallisesti toiselle laitteelle. Fyysisiä tiedonsiirtotekniikoita on kehitetty useita erilaisiin tarpeisiin ja tekniikoiden kehitys jatkuu pääpainona tiedonsiirtonopeuksien kasvattaminen. Tekniikan tiedonsiirtonopeus ilmaistaan yleensä ns. teoreettisena maksiminopeutena, joka kuvaa fyysisen signaalin kykyä siirtää digitaalista informaatiota, ilman virheitä. Käytännössä, tiedonsiirtonopeuden ja -etäisyyden kasvattaminen lisää virheitä fyysisen signaalin tulkinnassa. Virheiden korjaaminen on yksi tekijä, mikä pienentää tiedonsiirtonopeutta ja monesti, varsinkin langattomissa tekniikoissa, käytännön tiedonsiirtonopeuksissa ei päästä kovinkaan lähelle teoreettista maksiminopeutta.

Fyysisten siirtoteiden standardointia tekee käytännössä kolme eri organisaatiota. Langallisten ja langattomien lähiverkkojen fyysisen sekä linkkikerroksen standardointia tekee Institute of Electrical and Electronics Engineers (IEEE). Matkapuhelintekniikan fyysisiä siirtoteitä standardoidaan Europpaan European Telecommunications Standards Institute (ETSI):n ja sen 3rd Generation Partnership Project (3GPP) ryhmissä. Molemmat IEEE ja ETSI tekevät tulevaisuuteen erilaisia nopeita pitkän kantaman langattomia fyysisiä tiedonsiirtostandardeja. Kansainvälinen televiestintäliitto (International Telecommunication Union - ITU) toimii laajemmin erilaisten järjestelmien, mukaan lukien televisio- sekä satelliittijärjestelmien, radiotaajuisen sekä esimerkiksi valokuituun perustuvan tiedonsiirron standardoinnissa.

Fyysistä tiedonsiirtoa, eli protokollapinon fyysistä kerrosta, ei ole määritelty RFC dokumenteissa.

Langalliset tiedonsiirtotekniikat

• Valokuitukaapeli
  • Tiedonsiirtonopeus 15-20 Terabittiä sekunnissa
    • lähiaikoina nelinkertaistunee, ennuste satoja Terabittejä sekunnissa
    • Parannukset lisäämällä kanavien määriä (eri aallonpituuksia samaan kaapeliin)
      • sekä kasvattamalla yksittäisen kanavan kapasiteettia
    • Standardointi ITU

• Ethernet parikaapeli, IEEE 802.3
  • 'normaali' on 10 Mbit/s - 1 Gbit/s
    • parannukset kaapelitekniikkaa parantamalla
  • 10 Gbit/s kuparikaapelilla vain fullduplex
    • vanhoja kytkimiä ja kaapeleita ei voi käyttää
  • 10+ Gbit/s saavutettavissa valokuitu-Ethernet:illä
  • Standardointi IEEE

• Kaapelimodeemi vs. ADSL ja VDSL
  • Kaapelimodeemi
    • jaettu tiedonsiirtomedia
    • siirto kaapeli-TV:n koaksiaalikaapelissa
    • teoreettinen maksimi 100+ Mbit/s
  • xDSL
    • dedikoitu tiedonsiirtomedia
    • käyttää puhelinkaapeleita eli parikaapelia
    • ADSL2+ teoreettinen maksimi 24 Mbit/s (downlink) ja 3.5 Mbit/s (uplink)
    • VDSL teoreettinen maksimi 52 Mbit/s (downlink) ja 16 Mbit/s (uplink)
    • Standardointi ITU

Langattomat tiedonsiirtotekniikat

• Langaton tiedonsiirtotekniikka
  • Nopeuteen vaikuttaa mm.
    • etäisyys
      • radiotaajuisen signaalin voimakkuus kääntäen verrannollinen etäisyyden neliöön
    • muut käyttäjät
      • radioresurssien jakaminen
    • esteet
      • radioaallot vaimenee esteen läpäistessään
    • liike
      • käyttäjän oma liike
        • Doppler siirtymä
      • muu liike käyttäjän ympärillä
    • monitie-eteneminen
      • signaali heijastuu ympäristöstä
      • eri aikoihin saapuu kopioita signaalista
    • radiotaajuinen häiriö muista laitteista tai järjestelmistä
    • ...

• Langattomat lähiverkot, WLAN (WiFi), IEEE 802.11
  • 802.11 (legacy), vuonna 1997: 1-2 Mbit/s, taajuusalueella 2.4 Ghz
  • 802.11b, vuonna 1999: 11 Mbit/s, taajuusalueella 2.4 Ghz
  • 802.11a, vuonna 1999: 54 Mbit/s, taajuusalueella 5 Ghz
  • 802.11g, vuonna 2003: 54 Mbit/s, taajuusalueella 2.4 Ghz
  • 802.11n, vuonna 2009: 600 Mbit/s, taajuusalueella 2.4 ja 5 Ghz
  • 802.11ac, vuonna 2013: 1300 Mbit/s, taajuusalueella 5 Ghz
  • 802.11ad, vuonna 2013: 7 Gbit/s, taajuusalueella 60 Ghz
  • Vuonna 2018 yleisesti käytössä 802.11ac tai 802.11n

• Langattomat kaupunkialueen verkot, 3G - 5G:
  • ETSI:n 3GPP tai IEEE pohjaisia ratkaisuja, mm.
    • 3GPP:
      • 3G: UMTS, LTE
      • 4G: LTE-A
      • 5G: NR (New Radio)
      • 6G: Tutkimustyö alkanut
    • IEEE:
      • 4G: IEEE 802.16 WiMAX
  • teoreettinen maksimi 1 Mbit/s - 1000 Mbit/s
  • What are the differences between 1G, 2G, 3G, 4G and 5G?

• Langattomat pitkän kantaman yhteydet IoT-laitteille
  • Pienen tehon ja pienen siirtonopeuden verkkoja pitkälle kantamalle
    • Low-Power Wide-Area Network (LPWAN)
  • Esimerkiksi:
    • LoRa
    • Narrowband IoT

Signaali tiedonsiirtotekniikassa

Alla on virtuaalinen oskilloskooppi, joka näyttää esimerkiksi tietokoneen mikrofonin kuulemaa ääntä, valitse Input-lähteeksi Live Input. Live Input toimii ainakin uusimmissa Chrome selaimissa. Jos se ei näy Input-valikossa, katso tarkempia tietoja linkistä, joka löytyy oskilloskoopista. Jos Live Input ei toimi TIM-sivulla, kokeile linkin takana olevaa sivua, selain pyytää luvan käyttää tietokoneen mikrofonia. Oskilloskooppi visualisoi äänen näytöllään analogisena.

Sinisignaali ei kuljeta informaatiota, sillä on vakio taajuus, vaihe sekä voimakkuus. Radiotietoliikenteessä käytetään eri järjestelmissä eri taajuuksia siniaaltoja kantoaaltoina. Kantoaaltoon lisätään informaatio moduloimalla kantoaaltoa jollakin tekniikalla. Yleensä muutetaan kantoaallon taajuutta, vaihetta, voimakkuutta tai useampaa ominaisuutta. Esimerkiksi analoginen radiosignaali on Suomessa taajuusmoduloitu, puhutaan FM-tekniikasta, missä FM tulee sanoista Frequency Modulation. Yhdysvalloissa analoginen radio on puolestaan toteutettu AM-tekniikalla, eli muutetaan signaalin voimakkuutta, termin tullessa sanoista Amplitude Modulation.

Suorakaidesignaali on perustana monesti langallisessa tiedonsiirrossa, kun käytetään kuparikaapeleita. Suorakaidesignaali muodostetaan asettamalla lähetyspäässä jännitearvo, joka kuvaa joko bitti 1 tai jokin toinen jännitearvo, joka kuvaa bittiä 0.

Ethernet-tekniikka

Verkkotopologiat

Verkon ydin

Internet-verkon ydin muodostuu yhteen kytketyistä internetoperaattoreiden verkoista, jotka puolestaan muodostuvat yhteen kytketyistä laitteista, jotka välittävät internetliikennettä. Yksittäiset linkit kytkevät kaksi laitetta toisiinsa, mutta miten kytketään koko verkon läpi reitti, jota pitkin digitaalinen informaatio viedään perille?

Yleinen lankapuhelinverkko on esimerkki verkosta, jossa reitti verkon läpi kytketään, eli muodostetaan, ennen kuin puhelinyhteydellä voi kommunikoida. Puhelinverkossa puhelu ohjautuu puhelinkeskukseen, josta se ohjataan soitetun numeron perusteella eteenpäin. Eli puhelinkeskukseen ohjautuu puhelunaloituspyyntö puhelinjohtoa pitkin ja keskuksessa soittajan puhelinjohto kytketään yhteen sellaisen johdon kanssa, jota kautta saadaan yhteys muodostettua vastaanottajaan. Kun yhteys on muodostettu, on kommunikaatiokumppaneiden välille muodostettu dedikoitu tiedonsiirtokanava, josta käytetään nimitystä piiri, englanniksi circuit. Tällaisesta verkosta käytetään nimitystä piirikytketty verkko, englanniksi circuit switched network. Reitti siis kytketään ennen kommunikaation alkua ja kommunikaation alettua reitin muodostavat johtimet ja kytkennät säilyvät kommunikaation päättymiseen asti. Piirikytkentäisessä verkossa ei ole reitittimiä, koska kytkennän jälkeen reitti on selvä, eikä ole mitään reititettävää. Piirikytkentäisessä verkossa linkkien solmukohdissa sijaitsevat laitteet ovat kytkimiä, eli esimerkiksi puhelinkeskus on kytkin, eikä reititin.

Piirikytkentä

• Täytyy varata resurssit (jokaiselta linkiltä kapasiteettia, muodostetaan piirikytkentä)
• Varattuja resursseja ei voi muut käyttää
• Huono purskeiselle liikenteelle (perinteinen web sivujen selaus)
• Hyvä puheliikenteelle... ja olisi hyvä multimedian suoratoistolle
• Verkon muu liikenne ei vaikuta omaan tiedonsiirtonopeuteen

Pakettikytkentä

• Ei erikseen varata resursseja
• Pystytään palvelemaan enemmän käyttäjiä
• Paljon parempi purskeiselle liikenteelle
• Verkon muu liikenne vaikuttaa omaan tiedonsiirtonopeuteen
• Visualisoinnissa linkkien D ja E kapasiteetti on puolet piirikytkentäisen visualisoinnin tapauksesta

Viive ja hävikki pakettivälitteisissä verkoissa

• Pakettien viiveen neljä syytä
  • Laskenta solmuissa
  • Jonotus reitittimissä eli ruuhka
  • Lähetysviive on paketin koko bitteinä jaettuna tiedonsiirtonopeudella -
  • Etenemisviive on etäisyys jaettuna etenemisnopeudella -

Visualisointeja viiveestä ja pakettien putoamisesta

• Pakettien viiveen kolme syytä (ei visualisoi laskentaa solmuissa)
• Transmission (lähetys) vs. propagation (eteneminen) delay
• Queueing (jonotus) and loss (pakettihävikki)
• Huom: pakettihävikkiä ei käsitellä mitenkään visualisoinnissa, vastaa UDP protokollan käyttöä kuljetuskerroksella

Pakettikytkentä vs. piirikytkentä

• Esimerkki molemmista (GSM runkoverkko)

Pakettikytketyn verkon lähetysviive

Internetin laitteet kommunikoivat toistensa kanssa viestien välityksellä. Viestit voivat olla mitä vaan ja riippuvat laitteiden, sovellusten ja protokollien suunnittelijoista. Pakettikytketyssä verkossa viestin lähettäjä yleensä pilkkoo viestin pienempiin osiin, joita kutsutaan paketeiksi. Verkossa paketit kuljetetaan tiedonsiirtolinkkien ja reitittimien välityksellä. Reitittimien tehtävänä on välittää paketti oikealle reitille tiedonsiirtolinkkejä pitkin ja tiedonsiirtolinkit yhdistävät verkossa sijaitsevat laitteet toisiinsa. Paketti lähetetään tiedonsiirtolinkeillä kyseisen linkin täydellä tiedonsiirtonopeudella. Viestit ja paketit koostuvat biteistä ja linkin tiedonsiirtonopeus on linkkiteknologiasta riippuva fyysinen suure sille, kuinka paljon dataa voidaan lähettää tietyssä aikayksikössä. Yleensä tiedonsiirtonopeus ilmaistaan siten, että määritellään kuinka monta bittiä linkillä voidaan siirtää yhdessä sekunnissa. Jos siirrettävän datan, esimerkiksi paketin, koko on bittiä ja linkin tiedonsiirtonopeus on bittiä sekunnissa [bit/s], niin viive kaikkien L bitin siirtämiseksi linkin yli on sekuntia.

Oletetaan seuraavaksi, että verkossa on vain linkin kapasiteetista syntyvä siirtoviive. Esimerkiksi fyysisen signaalin etenemisviive, bittien käsittelystä johtuvat viiveet sekä muusta tiedonsiirrosta johtuvat viiveet oletetaan nyt nollaksi, jotta saadaan ymmärrys siirtoviiveestä useiden erilaisten linkkien verkossa lähetettäessä useita paketteja. Muut viiveet käsitellään myöhemmin materiaalissa.

Talleta ja lähetä -tiedonsiirtotekniikka

Pakettikytkentäisessä verkossa, paketin reitti verkon läpi ei ole ennalta määritelty, vaan jokainen verkossa oleva reititin päättää seuraavan linkin pakettikohtaisesti ja sitä varten täytyy koko paketti, eli kaikki pakettiin kuuluvat bitit, vastaanottaa, ennen kuin paketissa sijaitsevista osoitetiedoista voidaan päätellä seuraava kohde verkossa ja linkki, jota pitkin sinne päästään. Eli ensin pitää vastaanottaa kaikki paketin bitit, ennen kuin paketin ensimmäisiä bittejä voidaan alkaa lähettää seuraavalle linkille. Kyseistä lähetystekniikkaa kutsutaan tallenna ja lähetä tiedonsiirroksi, englanniksi store-and-forward transmission. Piirikytketyssä verkossa sen sijaan reitti määritellään ennen ensimmäisen bitin lähettämistä, ja verkon kytkimiin kytketään reitti valmiiksi, jolloin bittejä voidaan välittää eteenpäin heti niiden saavuttua kytkimelle. Piirikytketyn verkon tapauksessa käytetään termiä kytkin reitittimen sijaan, koska verkon laitteet eivät tee tiedonsiirronaikaista reitin valintaa.

Kirjoita seuraavaksi lauseke tiedonsiirtoviiveelle tehtävänannon mukaisesti. LaTeX-lausekkeiden tarkastamiseen käytetään opettajan kehittämää tarkistinta.

Seuraavaksi tehdään lauseke, johon tulee sijoittaa tehtävänannossa annetut arvot lausekkeen muuttujien paikoille.

Tähän kohtaan tulee antaa vastaukseksi laskutoimituksen lopputulos, eli ei muuttujia sisältävää lauseketta tai lauseketta, johon on sijoitettu muuttujien arvot.

Edellä käsiteltiin yhden paketin siirtämistä yhden linkin yli. Yleistetään kaava nyt useammalle paketille.

Seuraavaksi tutkitaan yhden paketin siirtämistä kahden samanlaisen linkin yli. Kun paketti pitää siirtää useamman linkin yli, täytyy se ensin vastaanottaa kokonaan, jotta se voidaan lähettää eteenpäin. Jos paketin reitillä on esimerkiksi kaksi linkkiä, joiden tiedonsiirtonopeus on sama, niin kokonaisviive kaksinkertaistuu.

Raahaa alla muuttujat ja arvot paikoilleen, kun paketin tulee kulkea kahden linkin yli.

Yleisesti, jos yksi paketti välitetään :n linkin yli ja kaikilla linkeillä on sama tiedonsiirtonopeus, voidaan kokonaissiirtoviive määritellä linkkien määrän, paketin koon ja tiedonsiirtonopeuksien funktiona.

Kun useampi paketti lähetetään usean linkin yli, niin viivettä määrittäessä tulee ottaa huomioon se että eri paketit voivat liikkua samaan aikaan eri linkeillä. Esimerkiksi, kun toista pakettia ollaan lähettämässä ensimmäiselle linkille, niin samaan aikaan ensimmäistä pakettia lähetetään toiselle linkille.

Olkoon lähetettävänä viisi kappaletta 200 bitin kokoista pakettia kahden linkin yli. Vertaa siirtoon kuluvaa viivettä tapaukseen, jossa lähetetään yksi 1000 bitin paketti kahden linkin yli.

Seuraavaksi muodostetaan kuvia esimerkkiverkon pakettien sijainneista eri ajanhetkillä. Raahaa paketit oikeisiin kohtiin tehtävänannoissa mainituilla ajan hetkillä. Ensimmäisen paketin lähetyksen aloitus määritellään ajan nolla-hetkeksi. Paketit liikkuvat jonoissa, ilman viivettä, vasemmalta oikealle ja reitittimen jonossa aina oikeanpuolimmaiseen vapaaseen paikkaan asti.

Kun kaikki paketit ovat saman kokoisia, voidaan niiden pituutta merkitä samalla muuttujalla, olkoon se . Lähetettävän datan pilkkominen pienempiin osiin pienentää siirtoviivettä, kun paketit kulkevat useamman linkin läpi. Viive on suhteessa pakettien lukumäärään ja linkkien lukumäärään. Voidaan ajatella että ensin lasketaan ensimmäisen paketin viive kaikkien linkkien yli. Sitten lisätään tulokseen se viive mikä aiheutuu jäljellä olevien pakettien lähettämisestä vuorollaan viimeisen linkin yli, koska paketit voivat kulkea aiempia linkkejä samanaikaisesti.

Tutkitaan vielä kahdella eri ajan hetkellä tapausta, jossa on kolme linkkiä ja muodostetaan sitten yleinen lauseke siirtoviiveelle, kun useita paketteja lähetetään usean linkin yli.

Tutkimalla edellisten kuvaajien pakettien sijaintia erilaisilla ajan hetkillä, voidaan päätellä siirtoviiveen riippuminen linkkien ja pakettien määrästä, kun linkeillä on saman tiedonsiirtonopeus ja paketit ovat saman kokoisia.

Tutkitaan seuraavaksi tilannetta, jossa linkit ovat erilaisia, eli tässä tapauksessa siirtävät bittejä erilaisilla nopeuksilla. Kun reitittimeltä uloslähtevä linkki on hitaampi kuin reitittimeen sisään tuleva linkki, niin edellistä pakettia ei vielä ole ehditty lähettämään kokonaan hitaammalle linkille, kun seuraava paketti jo saapuu. Tällöin seuraava paketti joutuu odottamaan, kunnes edellinen paketti on saatu siirrettyä linkin yli. Kyseessä ei ole jonotusviive, vaan tässä tapauksessa odottamiseen johtava viive johtuu hitaamman linkin siirtoviiveestä.

Edellisistä kuvaajista voidaan havaita, että viiden paketin kokonaisviive erilaisille linkkinopeuksille, noudattaa samaa kaavaa, kuin saman kokoisille linkeille. Eli, määritetään ensimmäisen paketin viive kaikkien linkkien yli ja lisätään siihen viive, joka syntyy muiden pakettien siirtämisestä viimeisen linkin yli. Nyt viimeinen linkki sattui olemaan hitain linkki, joten tutkitaan vielä tilannetta, jossa hitain linkki on jokin muu.

Kun linkkien nopeudet ja niistä johtuvat viiveet ovat eri järjestyksessä, havaitaan että päätepisteiden välillä on eroja siinä missä kohtaa verkkoa paketit ovat menossa tietyllä ajanhetkellä. Kuitenkin, paketit saavuttavat päätepisteen samalla ajanhetkellä molemmissa tapauksissa. Esimerkiksi kahdessa edellisessä kohdassa, L1 saavuttaa reitittimen 4 ajanhetkellä 35 sekuntia ja L2 ajan hetkellä 55 sekuntia. Vastaavasti muut paketit saapuvat reitittimelle 4 20 sekuntia myöhemmin kuin edellinen saapunut paketti. Tämä 20 sekunnin viive on molemmissa edellisissä kohdissa hitaimman linkin viive, riippumatta siitä millä kohdalla reittiä hitain linkki on.

Muodostetaan seuraavaksi lauseke usean paketin siirtoviiveelle, kun linkeillä on erilaiset tiedonsiirtonopeudet. Tehdään ensin edellistä visualisointia vastaava lauseke ja muodostetaan sen jälkeen yleinen lauseke.

Kokonaisviiveeseen tulee viive jokaiselta linkiltä yhdelle paketille, siitä kun kaikilla linkeillä ei ole lähetyksen alussa ja lopussa paketteja. Paketit liikkuvat verkossa samaan aikaan, paitsi ensimmäisten ja viimeisten pakettien kohdalla, jolloin osa linkeistä on tyhjiä. Eli lasketaan yhteen yhden paketin kokema viive jokaisella linkillä. Lisäksi tulee ottaa huomioon muut paketit ja niiden siirtämisestä aiheutuva viive. Edellä huomattiin että verkon hitain linkki on ratkaiseva linkki kokonaisviiveessä, joka viivästää jokaista pakettia. Koska paketit kulkevat linkeillä saman aikaisesti, ei nopeammilla linkeillä ole vaikutusta näihin muihin paketteihin (niiden viive tulee otettua huomioon siinä, kun lasketaan yhdelle paketille viive kaikkien linkkien yli). Näin ollen yhden paketin kokemaan viiveeseen tulee lisätä vielä muiden pakettien kokema viive verkon hitaimman linkin yli.

Muodostetaan seuraavaksi yleinen lauseke :lle linkille. Tehdään ensin lausekkeen summatermi muokkaamalla alla olevaa LaTeX summaesimerkkiä. Eli summalausekkeen tulee antaa summa kaikista viiveistä ensimmäiselle paketille. Muodostetaan myöhemmin termi, joka lisää hitaimman linkin viiveen kaikille lopuille paketeille. Huomaa, että nyt linkin indeksoiva muuttujat, esim. ,
täytyy antaa alaindeksinä. Aiemmin alaindeksiä ei käytetty esimerkiksi nimetessä linkit jne., koska alaindeksiä ei saa toteutettua visualisointitehtävissä.

Muodostetaan seuraavaksi lauseke LaTeX:illa, joka antaa minimin, eli pienimmän, kaikista tiedonsiirtonopeuksista, jota voidaan sitten käyttää suurimman viiveen määrittämiseen. Alla on esimerkki LaTeX:in min-funktiosta, jonka muuttujat tulee muokata tehtävänannon mukaisesti.

Muodostetaan nyt yleinen lauseke viiveelle, kun lähetetään pakettia linkin yli linkkien tiedonsiirtonopeuksien ollessa , missä . Eli lausekkeen tulee sisältää viive yhden paketin kuljettamisesta kaikkien linkkien yli sekä viive joka seuraa siitä, kun muut paketit siirretään hitaimman linkin yli.

Ylläolevat lausekkeet käsittelivät pieniä tiedonsiirtonopeuksia ja pakettikokoja, numeroarvojen pitämiseksi yksinkertaisina, mutta johdetut kaavat pätevät toki suuremmillekin arvoille.

Kerrosarkkitehtuurit

Internetissä on käytössä kerrosarkkitehtuuri, mikä käytännössä tarkoittaa sitä, että sovellusten väliseen tiedonsiirtoon liittyvät toimenpiteet on jaettu eri kerroksille. Kerrosmalli perustuu siihen että jokainen kerros tarjoaa palveluitaan ylempänä olevalle kerrokselle ja käyttää alempana olevan kerroksen palveluja. Palvelut saadaan käyttöön kerrosten välisen rajapinnan kautta, eikä ylempien kerrosten tarvitse huolehtia siitä miten alemmat kerrokset palvelun toteuttavat. Eri laitteissa sijaitsevat vastaavat kerrokset kommunikoivat toistensa kanssa käyttämällä yhteistä protokollaa.

Seuraavaksi käydään läpi kaksi kerrosarkkitehtuuria, standardoitu OSI-malli sekä käytännön protokollista johdettu TCP/IP-malli.

• Laita visualisoinnissa TCP/IP (Internet protocol suite) ja OSI -viitemallin mukaiset protokollakerrokset oikeaan järjestykseen. Kerrosta raahatessa saat myös tietoa kerroksen tehtävästä.

OSI-viitemalli

OSI (Open Systems Interconnection) -viitemalli kehitettiin 1970 luvulla ISO (International Organization for Standardization) -organisaation toimesta. Samoihin aikoihin, maailman tietoverkkojen ollessa pääasiassa erillään toisistaan, kehitettiin useita erilaisia kerrosmalleja. OSI-viitemallin standardi valmistui 1984 ja siinä verkkosovelluksille tarjottavat palvelut on jaoteltu seitsemään kerrokseen, jotka numeroidaan ykkösestä seitsemään, alhaalta ylöspäin, eli fyysinen kerros on ensimmäinen kerros ja sovelluskerros on seitsemäs kerros. OSI-viitemallin mukaisia protokollia on ollut käytössä vain muutamia, koska Internet kehittyi käytännössä TCP/IP-protokollien mukaisesti. Internetissä vakiintui TCP/IP:n mukainen kerrosarkkitehtuuri, eikä sen protokollia kehitetty sijoittumaan OSI-mallin mukaisille kerroksille.

OSI-viitemallin kerrosten numerointi on kuitenkin jäänyt elämään ja monesti kerroksista käytetään numeroa, niiden nimen sijaan. OSI-mallin mukaisesti sovelluskerrosta kutsutaan seitsemänneksi kerrokseksi, vaikka tarkoitettaisiin TCP/IP-mallin mukaista sovelluskerrosta. Muut yleisesti käytetyt numerot kerroksille ovat: ensimmäinen kerros on fyysinen kerros, toinen kerros on linkkikerros, kolmas kerros on verkkokerros ja neljäs kerros on kuljetuskerros. Edellä mainittujen kerrosten tehtävät ovat suurin piirtein vastaavat sekä OSI- että TCP/IP-viitemallissa.

OSI-mallin viides ja kuudes kerros ovat istuntokerros ja esitystapakerros. Internetissä näiden kerrosten tehtäville ei ole omia kerroksia, esimerkiksi istuntokerroksen yhteydenmuodostus tehtävät hoidetaan valitsemalla kuljetuskerrokselta palvelun tarjoava kuljetuspalvelu, tai sitten sovelluskerrokselta protokolla yhteydenmuodostus-palvelun tarjoava protokolla. Jos mikään kerros ei tarjoa tarvittavaa palvelua, täytyy sovelluksen tekijän itse implementoida tarvitsemansa palvelu tai käyttää olemassa olevia kerrosten välisiä palveluita. Esimerkiksi loogisesti esitystapakerrokselle kuuluva liikenteen salaaminen mm. tälle TIM-palvelimelle tehdään TCP/IP-mallissa kuljetus- ja sovelluskerrosten välissä.

Protokollakerrosten lisäksi käytetään joskus termiä kahdeksas kerros, kuvaamaan käyttäjäkerrosta tai poliittista kerrosta OSI-mallin päällä. Laita seuraavassa tehtävässä OSI-mallin kerrokset oikeaan järjestykseen ensimmäinen kerros alimmaiseksi ja seitsemäs kerros ylimmäiseksi.

TCP/IP-viitemalli

Internetissä on vakiintunut käyttöön TCP/IP-viitemalli, joka on saanut nimensä Internetin kuljetuspalvelun mahdollistavien protokollien nimien mukaan. TCP/IP-viitemalli on kerrosarkkitehtuuri, mutta kerrosten nimet ja lukumäärä vaihtelevat eri lähteissä. RFC 1122 -dokumentti määrittelee neljä-kerroksisen kerrosarkkitehtuurin, josta puuttuu fyysinen kerros ja verkkokerroksen nimenä on internetkerros. Dokumentit RFC 1122 ja RFC 1123 muodostavat yhdessä Internet standardin numero 3. Tässä materiaalissa käytetään TCP/IP-viitemallista Kurosen ja Rossin kirjassa käytettyjä määritelmiä. Kirjassa esitetään että TCP/IP-viitemallissa on viisi kerrosta ja niiden suomennokset ovat sovelluskerros, kuljetuskerros, verkkokerros, siirtoyhteyskerros ja fyysinen kerros. Tosin siirtoyhteyskerroksesta tässä materiaalissa käytetään pääasiallisesti nimitystä linkkikerros. Nämä suomennokset ja niiden englanninkieliset versiot ovat vastaavia kuin OSI-viitemallissa käytetyt termit. TCP/IP-viitemallista käytetään myös nimitystä TCP/IP-protokollapino tai -protokollaperhe.

Protokollat eri kerroksilla

Viitemallin kerrosten tehtävät toteutetaan protokollilla, joihin tutustutaan tarkemmin myöhemmin tässä materiaalissa. Koska kerrosten tehtävät ovat erilaisia, on kehitetty eri tyyppisiä protokollia, jotka soveltuvat tiettyihin tehtäviin. Käytännössä protokollia ei aina voi määrittää kuuluvaksi jollekin tietylle kerrokselle, koska protokollat voivat toteuttaa tehtäviä useammalta kerrokselta. Lisäksi protokolla saattaa kerrosarkkitehtuurissa sijaita esimerkiksi sovellus- tai kuljetuskerroksella, mutta tehdä verkkokerrokseen liittyviä tehtäviä.

Protokollista käytetään yleisesti niiden nimistä johdettuja lyhenteitä, niiden nimien sijaan. Selvitä seuraaviin tehtäviin protokollien lyhenteiden suhteellinen asema protokollapinossa.

Datan paketointi

Klikkaa visualisoinnissa sanomaa, jotta saat sen vastaanottavalle sovellukselle. Seuraa hyötydatan (sanoman) ja kontrolli-informaation, eli eri kerrosten otsikkokenttien H1 - H4 käyttäytymistä. Sanoma on sovelluksen muodostama sovellusprotokollan mukainen viesti. Visualisoinnissa ei ole eritelty sanoman sisältöä, mutta se sisältää sovelluskerroksen protokollan otsikkotiedot (H5) ja sovelluksen lähettämän hyötydatan. Visualisoinnissa alapalkissa esitetyn verkkoselain-esimerkin tapauksessa sanoma sisältäisi normaalisti vain HTTP-otsikkotietoja, kun pyydetään HTML-sivua WWW-palvelimelta.

Tietoverkon jokainen laite ei välttämättä toteuta kaikkia viitemallin mukaisia kerroksia. Internetissä yleensä vain verkon reunalla sijaitseviin päätelaitteisiin toteutetaan jokainen TCP/IP-viitemallin mukainen kerros. Koska päätelaitteissa ovat Internetiä käyttävät sovellukset, täytyy niihin toteuttaa sovellusten kommunikaatiota varten, sovelluskerroksen protokollia. Alempien kerrosten protokollat toteutetaan palvelemaan ylemmän kerroksen protokollia. Internetissä datapakettien edelleen lähetyksen verkon ytimessä toteuttaa käytännössä reititin tai kytkin, joihin tyypillisesti toteutetaan vain alimmat kerrokset. Esimerkiksi kytkimiin on normaalisti toteutettu ensimmäinen ja toinen kerros, kun taas reitittimiin on toteutettu kolme alinta kerrosta. Näin ollen verkossa paketteja edelleen lähettävät laitteet eivät ymmärrä sovellusten kommunikoinnin sisältöä, eivätkä sitä mitkä sovellukset datapaketteja lähettävät. Tähän on kuitenkin useita poikkeuksia, esimerkiksi palomuuri, NAT-reititin tai "Layer 7 -kytkin". Kerrosarkkitehtuurin ansiosta verkon ytimessä sijaitsevat laitteet voivat keskittyä omaan tehtäväänsä, eli pakettien välittämiseen, eikä välittää siitä mitä dataa ne siirtävät eteenpäin.

Datan kerroksittainen paketointi, englanniksi encapsulation, mahdollistaa sen että alempien kerrosten ei tarvitse tietää mitään ylemmän kerroksen välittämästä datasta. Perusidea voidaan yksinkertaistaa siten, että ylempi kerros antaa alemmalle kerrokselle kaksi asiaa: (i) hyötykuorman, eli siirrettävän datan ja (ii) osoitetiedot, eli sen minne hyötykuorma tulee välittää. Alempi kerros sitten paketoi hyötykuorman, asettaa tarvittavat otsikkotiedot pakettiin. Tämä otsikkotiedoilla varustettu alemmalla kerroksella muodostettu paketti on sitten uusi hyötykuorma, joka välitetään seuraavalle kerrokselle, joka lisää ylemmältä kerrokselta saapuvaan hyötykuormaan oman kerroksen osoitetiedot, muodostaen oman kerroksen hyötykuorman.

Otetaanpa esimerkiksi reaalimaailmasta postipalvelu, johon Internetin toimintaa usein verrataan. Ajatellaan tapausta, jossa lapsi kirjoittaa kirjeen serkulleen. Voidaan ajatella että kirjettä kirjoittava lapsi on sovellus. Sovellusprotokolla on kieli, jota serkut käyttävät kommunikointiin. Äidin, kuljetuskerroksen, saa kuljettamaan kirjeen eteenpäin lapsen ja äidin välisen puhe-rajapinnan kautta. Lapsi sanoo esimerkiksi: "lähetätkö tämän kirjeen serkulle". Äiti ottaa kirjeen, paketoi kirjeen kirjekuoreen ja lisää kuoreen osoitetiedot. Se kun äiti katsoo osoitekirjasta serkun nimen perusteella osoitteen vastaa Internetin nimipalvelua, DNS (Domain Name System). Valmiin paketoidun kirjeen äiti antaa verkkokerrokselle, jonka tehtävä on viedä kirje oikeaan osoitteeseen. Isä tarjoaa kotona verkkokerroksen palvelun, ottaa kirjeen ja osoitteen perusteella tietää että kirje pitää viedä lähimpään postilaatikkoon. Sieltä postipalvelu, verkon ydin, kuljettanee kirjeen eteenpäin postikeskusten, reitittimien, kautta. Jotta kirje saadaan postilaatikkoon, täytyy käyttää linkkikerroksen palvelua, vanhin lapsi saa kirjeen ja tiedon siitä minne se pitää viedä, eli lähimpään postilaatikkoon. Vanhin lapsi selvittää postilaatikon osoitteen, eli sijainnin, ja antaa kirjeen ja postilaatikon osoitteen fyysiselle kerrokselle. Olkoon fyysinen kerros vaikka lapsen kaveri, joka sitten vie kirjeen postilaatikkoon jollain fyysisellä tekniikalla, esimerkiksi kävellen tai pyöräillen. Postilaatikolla on sitten linkkikerros, jossa postinkantaja kuljettaa kirjeet seuraavalle laitteelle, käyttäen omaa fyysistä tekniikkaansa.

Tietoverkot ja tietoturva

Tänä päivänä tietoverkkoihin liittyvä tietoturva on yksi keskeisimmistä aiheista tietoverkkojen kehityksessä ja tutkimuksessa. Tietoverkkoturvallisuus on ala, jossa pyritään kehittämään ratkaisuja tietoverkkoja hyödyntäviin tietoturvaan kohdistuviin hyökkäyksiin ja uhkiin. Mahdollisuus hyökkäyksiin ja uhat tietoturvallisuudelle syntyvät, kun järjestelmässä on jokin haavoittuvuus, englanniksi vulnerability. Yleisesti tietoturvauhan muodostava haavoittuvuus on heikkous joko tietojärjestelmissä, prosesseissa tai ihmisen toiminnassa. Tietoverkkoturvallisuuteen liittyvä haavoittuvuus on yleensä tietojärjestelmien verkkokommunikaation toteuttaviin tietoliikenneprotokolliin tai niiden ohjelmistototeutuksiin liittyvä heikkous niiden suunnittelussa tai toteutuksessa. Haavoittuvuudelle on tehty useita eri määritelmiä, joista eräs on OWASP Säätiön määritelmä. Sivustolta löytyy myös listattuna suuri joukko haavoittuvuuksia ja niiden kuvaukset. OWASP on yhteisö, jonka tavoitteena on parantaa ohjelmistojen tietoturvaa. Heidän neljän vuoden välein päivittyvä lista kymmenestä suurimmasta tietoturvauhasta, OWASP Top Ten, on hyvin suosittu, kun haetaan tietoa verkkosovellusten, erityisesti WWW-sovellusten, tietoturvaan liittyvistä teknisistä haavoittuvuuksista. Viimeisin päivitys on tehty vuonna 2021.

Ensimmäinen askel tietoverkkoturvallisuudessa on tunnistaa verkossa sijaitsevan palvelun käyttäjät, todentaminen, englanniksi authentication. Todentamisella tarkastetaan käyttäjän tai sovelluksen oikeudet palvelun resursseihin. Todentaminen tehdään valtuuksilla, englanniksi credentials. Hyvin usein valtuutus toteutetaan käyttäjätunnuksella ja salasanalla. Esimerkiksi tämän materiaalin interaktiivisiin tehtäviin vastataksesi, täytyy olla kirjautunut TIM-järjestelmään. Materiaalia pystyy lukemaan ilman kirjautumistakin. Jos olet kirjautunut TIM-järjestelmään sisään, logged in englanniksi, niin käyttäjätunnuksesi on Anonymous. Internetin alkuaikoina käyttäjätunnukset ja salasanat välitettiin verkossa selväkielisenä, eli salaamattomana. Tällöin kuka tahansa, joka pystyi kaappaamaan lähetetyt viestit, sai suoraan tarvittavat tunnistautumistiedot.

Nykyään, yhä useampaan palveluun tunnistauduttaessa, tunnistamiseen käytettävät tiedot välitetään salattuna. Yksinkertaisesti voidaan todeta, että salaus toteutetaan sekoittamalla lähetettävä informaatio siten, että vain vastaanottaja kykenee sekoittamisen purkamaan. Tiedon salaaminen tehdään salakirjoitusmenetelmällä, jossa on niin sanottu salausavain, jolla tieto "lukitaan" siten, ettei sitä saa selvitettyä ilman salausavainta.

Digitaalisen tiedon välittäminen salattuna

Nykyään tietoverkoissa siirrettävä data salataan yleisesti kahdella eri salausmenetelmällä, jotka ovat nimeltään yksityisen avaimen salausmenetelmä tai julkisen avaimen salausmenetelmä. Näistä julkisen avaimen salausmenetelmä on turvallisempi ja yleisemmin käytössä. Joskus julkisen avaimen salausmenetelmää käytetään yksityisen avaimen salausmenetelmän yksityisten avainten välittämiseen salattuna. Tiedon salaaminen, englanniksi encryption, vaatii vastinkumppanilta tiedon purkamisen, englanniksi decryption, jotta saadaan selville alkuperäinen selkokielinen viesti. Jos jokin muu taho, kuin datan tarkoitettu vastaanottaja, kykenee salatun tiedon muuttamaan selkokieliseksi, käytetään termiä salauksen murtaminen, englanniksi cryptographic cracking, josta tulee myös suomenkieleen puhetermi kräkkääminen. Cracking yleisesti tarkoittaa minkä tahansa järjestelmän, sen osan tai toiminnan tietoturvan kiertämistä. Monesti näkee käytettävän termiä hacking, joka ei oletusarvoisesti ole vihamielistä kuten tiedon murtaminen. Hacking, suomenkielinen termi häkkääminen, on tiedon selvittämistä ja sen avulla oppimista. Häkkääminen käsittää lisäksi muutakin toimintaa kuin pelkän salatun tiedon murtamisen. Häkkäämistä tekevää henkilöä kutsutaan nimellä hakkeri tai häkkeri, englanniksi hacker. Esimerkiksi tietomurtojen etsimisestä korjaamista varten käytetään termiä hacking. Toki selvitettyä tietoa voi käyttää rikollisesti. Monesti hacking sanaa käytettäessä korostetaan tekijän roolia lisäämällä sanan yhteyteen joko valkohattu, mustahattu tai harmaahattu. Valkohattuhakkeri etsii tietoturva-aukkoja, jotta ne saadaan korjatuksi, kun mustahattuhakkeri käyttää tietoturva-aukkoja rikolliseen tarkoitukseen. harmaahattuhakkerin toiminta koetaan jonkin verran kyseenalaiseksi, eli häkkäämisen tarkoitus ei ole puhtaasti hyväntahtoista.

Yksityisen avaimen salaus

Digitaalisen tiedon salaus toteutettiin alkujaan yksityisillä salausavaimilla, niin kutsutulla yksityisen avaimen salauksella tai symmetrisen avaimen salauksella, englanniksi symmetric-key cryptography. Symmetrinen sana tulee siitä, että tiedon salaamiseen ja purkamiseen käytetään samaa salausavainta. Digitaalinen viesti salakirjoitettiin avaimella, joka oli vain lähettäjän ja vastaanottajan tiedossa. Menetelmän hankaluutena oli se kuinka yksityiset avaimet välitetään turvallisesti molemmille osapuolille ja kuinka voidaan olla varmoja siitä, ettei salausavain päädy vääriin käsiin. Salausavain voi paljastua esimerkiksi tietomurron tai sai salauksen murtamisen seurauksena. Esimerkiksi toisen maailmansodan aikainen Saksalaisen Enigma-salakirjoituskoneen vastaava mekaaninen yksityisen avaimen salaus saatiin murrettua kaappaamalla hyvin paljon salattuja viestejä sekä sotasaaliina saatuja avaintauluja sekä Enigma laitteita. Yksityisen avaimen salausmenetelmän heikkous johtuu monesti ihmisistä, kun salausavaimia ja salausmekanismeja ei muuteta tarpeeksi usein. Vaikka saksalaiset vaihtoivat avaimia tietyin väliajoin, ehdittiin murretuilla salausavaimilla selvittämään suuri osa kaapatuista viesteistä. Muuttumattomuus johtaa siihen, että kaapatuista viesteistä löydetään viestien määrän kasvaessa enemmän ja enemmän informaatiota salauksen murtamiseen. Teoriassa, jotta yksityisen avaimen salausmenetelmä olisi täysin turvallinen, täytyisi salausavain vaihtaa jokaiseen viestiin erikseen, mikä ei käytännössä ole järkevää.

Julkisen avaimen salaus

Vuonna 1976 Whitfield Diffie ja Martin Hellman julkaisivat niin kutsutun julkisen avaimen salauksen, englanniksi public-key cryptography. Julkisen avaimen salausmenetelmässä ei tarvitse välittää salattua avainta osapuolelta toiselle, vaan molemmilla osapuolilla on oma yksityinen salausavain. Lisäksi molemmilla osapuolilla on myös julkinen salausavain. Menetelmässä tieto salataan julkisella salausavaimella ja puretaan yksityisellä salausavaimella. Menetelmää kutsutaan nimellä epäsymmetrisen avaimen salaus, kun salaukseen ja sen purkamiseen käytetään eri salausavaimia. Salaaminen eri avaimilla onnistuu, kun avaimilla on tietty matemaattinen riippuvuus toisistaan. Myöhemmin materiaalissa on matemaattisohjelmistollinen esimerkki julkisen avaimen salausmenetelmän toiminnasta.

Julkisen avaimen todentaminen

Julkisen avaimen käytössä tulee tarve todentaa se, että julkinen aivan on oikea lähettäjän julkinen avain. Menetelmän toiminta perustuu siihen, että kun esimerkiksi lähetetään sähköposti sähköpostipalvelimelle, niin käytetään sähköpostipalvelimen julkaisemaa julkista avain viestin salaamiseen, jotta sähköpostipalvelin osaa viestin sitten purkaa omalla yksityisellä avaimellaan. Eli, miten voidaan varmistaa, että julkinen avain todella on sähköpostipalvelimen eikä jonkun muun tahon, esimerkiksi tietoverkkorikollisen? Jos salaukseen käytettäisiin jonkun muun tahon julkaisemaa julkista avainta, voisi tämä taho suoraan purkaa kaappaamansa salatun viestin. Ratkaisuna on salausavaimen allekirjoittaminen digitaalisella sertifikaatilla, myös nimellä julkisen avaimen sertifikaatti, englanniksi public key certificate. Kuka sitten todentaa sertifikaatin myöntäjät? Vastaus on internetyhteisö ja internetorganisaatiot. Ohjelmisto- ja laitevalmistajat luottavat tiettyihin hyvämaineisiin sertifikaatin myöntäjiin. Huomioitavaa on, että kuka tahansa voi julkaista julkisen avaimen ja allekirjoittaa sen itse.

Digitaalisen sertifikaatin todentaminen

Digitaalinen sertifikaatti todentaa sertifikaatin, että tietty julkinen salausavain kuuluu tietylle organisaatiolle. Todentaminen tehdään digitaalisella allekirjoituksella. Allekirjoitus toteutetaan laskemalla allekirjoitettavasta julkisesta avaimesta, digitaalisesta sertifikaatista, tai yleisesti, viestistä, salattu digitaalinen allekirjoitus jollakin digitaalisella allekirjoitusalgoritmilla. Allekirjoitettavasta sertifikaatista lasketaan tiiviste, tai hajautusarvo, englanniksi hash, hajautusalgoritmilla, tai toiselta nimeltään tiivistefunktiolla, joita on useita erilaisia. Tiivisteen laskemisen englannin kielinen termi on hashing. Algoritmi laskee allekirjoituksen allekirjoitettavasta viestistä todentajan yksityisellä salausavaimella. Seuraavaksi sertifikaatista laskettu tiiviste salataan sertifikaatin myöntäjän yksityisellä salausavaimella. Tämä kokonaisuus, sertifikaatti selkokielisenä, sekä siitä laskettu tiiviste salattuna, välitetään todennettavaksi. Sertifikaatin todennus tehdään sertifikaatin myöntäjän julkisella avaimella. Sertifikaatti todetaan oikeaksi purkamalla salattu tiiviste sertifikaatin myöntäjän julkisella avaimella. Vastaanotetulle selkokieliselle sertifikaatille lasketaan tiiviste samalla menetelmällä, kuin mitä lähettäjä on käyttänyt. Lopuksi vastaanotetusta selkokielisestä sertifikaatista laskettua tiivistettä verrataan purettuun vastaanotettuun salattuun tiivisteeseen. Jos tiivisteet ovat samat, voidaan todeta, että selkokielinen sertifikaatti on oikea, eikä sitä ole muutettu. Huomioitavaa on, että julkisen avaimen allekirjoittaminen ja julkisen avaimen salaaminen käyttävät julkisia ja yksityisiä avaimia käänteisesti. Julkisen avaimen salauksessa salaamiseen lähettäjä käyttää julkista salausavainta viestin salaamiseen ja vastaanottaja yksityistä salausavainta salauksen purkamiseen. Julkisen avaimen allekirjoittamisessa lähettäjä tai tiedon julkaisija käyttää siis yksityistä salausavainta allekirjoituksen salaamiseen ja allekirjoituksen purkaminen tehdään julkisella salausavaimella.

Esimerkki Caesar salausmenetelmästä

Erilaisia salausmenetelmiä on käytetty jo tuhansia vuosia ja esimerkiksi Julias Caesar käytti viestinnässään menetelmää, missä kaikkia kirjaimia siirrettiin aakkostossa jonkin tietyn määrän. Kirjaintensiirto-salausmenetelmä tunnetaan nimellä Caesarin salakirjoitus, englanniksi Caesar cipher. Toinen paljon käytetty termi menetelmälle on ROT-menetelmä, koska käytännössä aakkostoa rotatoidaan, eli kierretään, siirron verran.

Esimerkiksi, jos ROT-salakirjoitusmenetelmässä kaikkia kirjaimia siirretään neljä kirjainta oikealle, on kyseessä ROT4-menetelmä. ROT4-menetelmässä kirjaimet ITKP olisivat salattuna MXOT. Alla on Caesarin salakirjoituskiekko, jossa vasemman puoleisella kiekolla salakirjoitetaan ja oikean puoleisella puretaan ROT4-salausta. Salattaessa selväkieliset kirjaimet ovat ulkokehällä ja purettaessa sisemmällä kehällä.

Tuntemalla siirron suuruuden, eli käytetyn ROT-salakirjoituksen salausavaimen, englanniksi cryptographic key, on salaus helppo purkaa. Jos siirron suuruus ei ole tiedossa, on salauksen murtaminen mahdollista tehdä ns. väsytyshyökkäyksellä, englanniksi brute-force attack. Väsytyshyökkäyksessä testataan kaikki mahdolliset vaihtoehdot, kunnes löydetään selkokielinen viesti. Jos tiedetään salauksen olevan ROT-salakirjoitusta englanninkielisellä aakkostolla, tarvitaan enimmillään 25 eri siirtoa salakirjoituskiekolla, jotta salaus saadaan murrettua. ROT-salauksen murtaminen käsin olisi työlästä, mutta nykyinen tietokone murtaisi salauksen hetkessä.

Yksi paljon käytetty rotaatiomenetelmä on ROT13-menetelmä. Koska englannin kielen aakkosissa on 26 kirjainta, niin sekä salauksen muodostaminen että salauksen purkaminen voidaan tehdä samalla menetelmällä, kun aakkoston lopusta hypätään aina aakkoston alkuun. Salakirjoituskiekon tapauksessa, tämä tarkoittaisi sitä, että sekä salaus että purkaminen tehdään samoin asetetulla kiekolla. ROT13-menetelmää on käytetty paljon Internetissä ihmisten välisessä kommunikaatiossa, esimerkiksi foorumeilla ja keskusteluryhmissä mm. piilottamaan spoilereita ja kiertämään kirosanojen estomekanismeja.

Jos otamme skandinaavisista merkeistä käyttöön vain ä ja ö kirjaimet, voidaan tehdä ääkkösiä tukeva ROT14 salakirjoitus, joka toimii samoin kuin ROT13.

ROT-salakirjoitusmenetelmässä rotaation määrä toimii siis salausavaimena. Tänä päivänä tietoverkoissa tunnistautumisen salaukseen käytetään monimutkaisempia salausmenetelmiä, mutta salausavaimen periaate on sama. Tuntemalla salaukseen käytetyn avaimen tai avaimet, on salaus helppo purkaa. Salauksen turvallisuus perustuu yksityisten salausavainten pitämiseen salassa, sekä siihen että salauksen purkaminen muuten, eli tuntematta salausavainta, on mahdollisimman paljon laskentatehoa vaativa operaatio.

Kryptografia

Tiedon salaaminen on osa kryptografiaa (tai kryptologiaa), englanniksi cryptography, joka on tietoturvan parantamiseen liittyvä tieteenhaara. Nykyaikainen kryptografia perustuu pitkälti matemaattiseen teorioihin sekä niiden soveltamiseen ja toteuttamiseen tietojenkäsittelyn alalla. Kryptografiassa kehitetään menetelmiä, joilla pyritään takaamaan tietoturvan perusperiaatteita

• Todentaminen (authentication)
• Eheys (integrity)
• Luottamuksellisuus (confidentiality)
• Kiistämättömyys (nonrepudiation)
• Saatavuus (availability)

Kryptografian salausavainta käyttävät salausmenetelmät voidaan jakaa symmetrisiin ja epäsymmetrisiin salausmenetelmiin. Käytännössä tämän päivän järjestelmien salausmenetelmät ovat yhdistelmiä symmetrisistä ja epäsymmetrisistä salausmenetelmistä. Salausmenetelmille on kehitetty useita erilaisia salausalgoritmeja. Salausmenetelmät, joita voidaan käyttää useammin kuin kerran, voidaan purkaa, mutta hyvä salausmenetelmä on sellainen, jonka purkaminen ei ole realistista järkevässä ajassa nykyisellä laskentateholla.

Symmetriset salausmenetelmät

Symmetrisessä salausmenetelmässä tieto salataan ja puretaan samalla salausavaimella, eli kommunikaatiokumppaneilla on sama yksityinen salausavain, jonka salassa pysyminen on kriittistä tietoturvan kannalta. Symmetriset salausalgoritmit jakautuvat kahteen eri ryhmään jonosalaukseen, englanniksi stream ciphers sekä lohkosalaukseen, englanniksi block ciphers.

Jonosalauksessa salattavaa merkkijonoa salataan, yleensä merkki kerrallaan, yhdistämällä merkkijonoon salausmerkkijono. Yksinkertaisimmillaan ottamalla XOR-operaatio informaatio- ja salausmerkkijonojen biteistä. Jonosalauksen etuna on se ettei tarvitse etukäteen tietää lähetettävän datan pituutta, vaan salaus tehdään sitä mukaa kun uutta tietoa tulee lähetettäväksi. Jonosalauksen tunnetuin ja aiemmin eniten käytetty salausalgoritmi on RC4, joka tänä päivänä ei ole enää turvallinen ja esimerkiksi IETF on RFC 7465 dokumentissa kieltänyt sen käytön TLS protokollassa, jolla salataan nykypäivänä suurin osa esimerkiksi HTTP liikenteestä. RC4 algoritmin korvaajaksi on useisiin salausmenetelmiin ehdotettu Salsa20 algoritmin ChaCha20 muunnosta. GSM-tekniikassa käytetään jonosalausmenetelmiä A5/1 ja A5/2 salaamaan radiotiellä siirrettävät bitit.

Lohkosalausmenetelmät toteuttavat määrätyn salausoperaation tietyn kokoisiin bittilohkoihin. Teoriassa turvallisessa lohkosalausmenetelmässä salausavainta voi käyttää vain yhden lohkon salaukseen, mutta käytännössä on kehitetty menetelmiä, jotka mahdollistavat saman salausavaimen turvallisen käytön. Lohkosalausmenetelmiä käytetään turvaamaan luottamuksellisuus sekä todentaminen. Lisäksi lohkosalausmenetelmiä voidaan käyttää muiden kryptografisten menetelmien toteuttamiseen. Tunnetuimpia ja eniten käytettyjä lohkosalausalgoritmeja ovat DES, AES, RC5, IDEA, ja Blowfish.

Epäsymmetriset salausmenetelmät

Epäsymmetrisessä salausmenetelmässä, eli julkisen avaimen salausmenetelmässä, on sekä julkisia että yksityisiä salausavaimia. Tiedon salaaminen tai yksityisen avaimen määrittäminen tehdään julkisella salausavaimella. Tiedon salaamiseen ja purkamiseen käytetään samaa tai eri salausavainta, riippuen menetelmästä. Jos salaukseen ja purkamiseen käytetään eri salausavaimia, voi salaamiseen käytettävä salausavain olla julkinen. Syy siihen että osa salausmenetelmän avaimista ja parametreista voi olla julkisia, on se että salaiseksi tarkoitettujen parametrien ja avainten selvittäminen julkisesta informaatiosta on käytännössä mahdotonta järkevässä ajassa.

Julkisella avaimella toteutetaan todentaminen, eli tunnistetaan viestin lähettäjä. Julkisella avaimella salatun tiedon purkaminen puolestaan voidaan tehdä vain vastaanottajan salaisella avaimella. Eli salainen avain toteuttaa viestin luottamuksellisuuden. Julkisen avaimen menetelmässä tulee olla varma julkisen avaimen oikeellisuudesta.

Julkisen salausavaimen menetelmiä voidaan käyttää esimerkiksi salaisten salausavainten vaihtoon kommunikaatiokumppanien välillä, esimerkiksi Diffie-Hellman menetelmä. Tunnetuimpia ja eniten käytettyjä julkisen salausavaimen menetelmiä ovat lisäksi RSA ja ElGamal.

Diffie–Hellman avaimenvaihto

Voit halutessasi tutustua Diffie–Hellman avaimenvaihtomenetelmän tarkempaan kuvaukseen. Menetelmässä kommunikoivat osapuolet valitsevat alkuluvun p ja luvun g, joka on primitiivinen juuri modulo p. Menemättä matemaattiseen määrittelyyn tarkemmin, todetaan että luvuilla g ja p ei ole yhteisiä tekijöitä ja lisäksi, kun g korotetaan eri potensseihin ja tuloksesta otetaan modulo p,

niin tulos jakautuu tasaisesti välille . Kyseessä on ns. yksisuuntainen funktio, jonka laskeminen toiseen suuntaan on käytännössä mahdoton. Eli, vaikka tuntisi lukuarvot p ja g sekä tuloksen, niin x:n selvittäminen on mahdotonta, koska useat eri x:n arvot antavat saman tuloksen.

Otetaan esimerkiksi ja , jos tiedetään, että niin tulokseen päästään arvoilla jatkuen aina kuuden välein loputtomasti. Kyseessä on ns. diskreetti logaritmi ongelma.

Alkuluvussa p pitää olla ainakin 600 numeroa, jotta nykyisellä laskentateholla ei järkevässä ajassa pystytä selvittämään salaista avainta käymällä kaikki vaihtoehdot läpi.

Menetelmässä molemmat osapuolet valitsevat omat salaiset lukunsa a ja b, joiden avulla lasketaan molemmille julkiset avaimet A ja B. Julkisten avainten vaihdon jälkeen molemmat laskevat salaisen avaimen s, jota voidaan sitten käyttää tulevan kommunikaation salaamiseen jollain salausmenetelmällä.

Valitsemiensa salaisten lukujen avulla, kommunikoivat osapuolet laskevat julkiset avaimensa

Julkisista avaimista on käytännössä mahdoton selvittää salaisia lukuja a ja b, joten julkiset avaimet voi turvallisesti lähettää salaamattomana. Kun julkiset avaimet on lähetetty kommunikaatiokumppaneille, voivat he laskea salaisen avaimen

Koska mahdollinen hyökkääjä ei saa selville salaisia lukuja a ja b, niin niiden ja julkisten avainten avulla laskettu yksityinen avain s pysyy vain kommunikoivien osapuolien tiedossa.

Nyt siis molemmat saavat saman salaisen avaimen, koska kaava on sama, eli kun sijoitetaan ja , saadaan

eli potenssi ja modulo-laskusääntöjen mukaan, salausavaimet ovat samat

Seuraavissa tehtäväkohdissa muodostetaan salainen avain Diffie–Hellman avaimenvaihtomenetelmän mukaisesti. Salaista avainta käytetään sitten ROT-menetelmän rotaation, eli salauksen, määrittämiseen, jotta saadaan salattu viesti selville.

Tiivistealgoritmit

Kryptografian alalla kehitetään myös yksisuuntaisia tiivisteitä, englanniksi hash, joita ei voi käyttää salaukseen, koska tiivisteestä ei voi palauttaa alkuperäistä informaatiota. Tiiviste, suomenkielisen nimensä mukaan, tiivistää alkuperäisen tiedon paljon pienemmäksi. Tiivisteitä käytetään tiedon eheyden sekä kiistämättömyyden todentamiseen. Tiivisteitä käytetään esimerkiksi salasanojen tallentamiseen ei-selkokielisinä, tällöin pitää valita tiivisteen generoimiseksi menetelmä, joka vielä tiedetään tietoturvalliseksi. Tunnetuimpia ja eniten käytettyjä tiivistealgoritmeja ovat MD5, SHA-1 ja SHA-2, joka on kuuden kryptografisen tiivistefunktion kokoelma.

MD5 algoritmi ei enää ole turvallinen ja se sisältää useita haavoittuvuuksia, mutta sitä voidaan yhä käyttää tarkistussummien laskentaan ja tiedon eheyden validoimiseen silloin kun eheyttä ei ole tahallisesti vääristetty. MD5 generoi aina 128 bittiä pitkän tiivistearvon, joten
esitystapa heksadesimaalilukuna on aina 32 heksamerkin pituinen.

Alla on esimerkiksi Python koodi, jolla voit tulostaa tiivisteen nimestäsi.

import hashlib
nimi = 'Anonymous user'
hashnimi = hashlib.md5(nimi.encode('utf-8')).hexdigest()
print(hashnimi)

Voit ajaa Python 3 koodin vaikka osoitteessa https://repl.it/languages/python3. Voit katsoa muiden tehtävien käyttämät funktiot niiden tehtäväkohdista klikkaamalla Näytä koko koodi.

SHA-1 algoritmia on käytetty esimerkiksi WWW-palvelinten SSL sertifikaattien kiistämättömyyden todentamiseen, mutta SHA-1:n haavoittuvuuksien takia verkkoselainvalmistajat lopettivat SHA-1:n hyväksymisen vuonna 2017. SHA-1 generoi aina 160 bittiä pitkän tiivistearvon, joka yleensä esitetään heksalukuina, joten heksaluku esitystapa on aina 40 heksamerkin pituinen.

SHA-2 algoritmit ovat korvanneet edeltäjänsä yhä useammassa sovelluksessa ja protokollassa, mutta osassa SHA-2 algoritmeista on jo löydetty haavoittuvuuksia ja niiden sijaan tulisi käyttää SHA-2 perheen tietoturvalliseksi tiedettyjä tiivistefunktioita, tai siirtyä käyttämään vastaavan pituisen tiivisteen generoivia, vuonna 2015 julkaistuja, SHA-3 perheen tiivistefunktioita.

TIM-järjestelmään on päivitetty Pythonin versio 3.6, joka tukee SHA-3 algoritmeja, toisin kuin aiemmat Python versiot. Voit kokeilla Pythonin SHA-3 algoritmeja esimerkiksi https://repl.it/languages/python3 sivustolla.

Internetistä ladattavien tiedostojen yhteydessä on toisinaan ilmoitettu tarkistussumma, jolla voi tarkistaa sen että tiedosto on muuttumaton. Eli sen jälkeen kun tiedosto on ladattu omalle koneelle voi laskea tarkistussumman tiedostolle ja verrata sitä ilmoitettuun tarkastussummaan.

Kurssin kotisivuilla on ladattava zip-paketti, joka sisältää kurssilla käytettävän TCP asiakkaan ja palvelimen. Linkki tiedostoon on:

http://users.jyu.fi/~arjuvi/opetus/itkp104/ITKP104TCP.zip

Seuraavia tehtäväkohtia varten lataa tiedosto itsellesi ja selvitä kuinka saat omassa käyttöjärjestelmässäsi tai erillisellä sovelluksella tai internetpalvelulla laskettua tehtäväkohtien mukaiset tarkistussummat. Tarkistussummat tulee olla heksadesimaalilukuina, käytetyt aakkoston merkit isoilla kirjaimilla. Säilytä merkit samalla rivillä.

Kryptoanalyysi

Kryptoanalyysi on nimitys tieteenalalle, joka tutkii ja kehittää menetelmiä salausten purkamiseen. Tieteenala tarjoaa hyödyllistä tietoa salausmenetelmien kehittämiseen turvallisemmaksi, kun opitaan mitä vastaan pitää suojautua.

Salausten murtaminen - esimerkkejä

Esimerkki: 128 bittinen SSL salausavain

• Avainvaihtoehtoja on 2¹²⁸ = 340282366920938463463374607431768211456 = 34 × 10³⁷
  • Eli 340 sekstiljoonaa, kiitokset taas opiskelijoille tuon selvittämisestä :)
• Oletetaan että 50 supertietokonetta tarkistaa 10¹⁸ (miljardi miljardia) avainta sekunnissa
• Avainten läpi käyminen kestää 340282366920938463463 = 34 × 10¹⁹ sekuntia
• vuodessa on 31 556 926 sekunttia, joten vaadittu aika on 10783127828133 vuotta eli noin 10783 miljardia vuotta.

Yksi mahdollisuus salauksen purkamiseen on tallentaa salattua liikennettä ja odottaa kvanttitietokoneita joilla suurin osa nykyisistä salausmenetelmistä voitaisiin purkaa polynomisessa ajassa.

Ratkaisu edellä kuvattuun tietoturvauhkaan on käyttää salausmenetelmää, joka mahdollistaa ns. eteenpäin tai tulevaisuuteen salaamisen, englanniksi Forward secrecy. Esimerkiksi nykyään verkkoliikenteen salaukseen käytettävässä TLS protokollassa voidaan ottaa Forward secrecy käyttöön.

Esimerkkejä salasanoista

• Katso esimerkiksi Jyu digipalveluiden ohjeet hyvälle salasanalle.
• Tehdään nyt väärin minimin mukainen eli vähintään 8 merkkiä, esim. 'salasana' → kräkätään heti 'sanakirjan' avulla, kokeile itse:
• Koodataan salasana SHA-256 hash generator ja kräkätään salasana Password Hash Cracker
• Kokeile muuttaa osa kirjaimista isoiksi, sitten osa kirjaimista numeroiksi ja viimeisenä kokeile tuplata salasana 'salasana salasana', välilyönnillä tai ilman.
• Pieniä kirjaimia 26, salasanan pituus 8 = 26⁸ = n. 208 miljardia läpikäytävää kombinaatiota
• Tämän päivän tietokone laskee n. 4 miljardia vaihtoehtoa sekunnissa → Kokeilee kaikki vaihtoehdot 52 sekunnissa.
• Testaa itse salasanojen turvallisuutta esimerkiksi palvelussa https://www.security.org/how-secure-is-my-password/
  • Kokeile myös salasanaa: correcthorsebatterystaple [ks. xkcd 936]
• Hyvä järjestelmä ei tietenkään saisi antaa kokeilla rajattomasti eri vaihtoehtoja

Salasanasuosituksia

• NIST (National Institute of Standards and Technology) suosituksia vuodelta 2017
  • Salasanaa ei tule vaihtaa säännöllisin väliajoin
    • Ainoastaan silloin kun tiedetään salasanojen yksityisyyden vaarantuneen
  • Ei enää erikoismerkki-vaatimuksia salasanoihin
    • Ihmiset käyttävät niitä ennalta arvattavasti
  • Generoitavia salasanoja tulee verrata tunnettuihin huonoihin salasanoihin, joista pidetään listaa
    • Ei hyväksytä huonoja salasanoja
  • Suositus hyväksyä ja tukea salasanalauseita, joissa sanat erotettu välilyönneillä

TLS/SSL

Transport Layer Security (TLS) on protokolla, jota käytetään esimerkiksi WWW-palvelinten ja verkkoselainten välisen tietoliikenteen luottamuksellisuuden sekä eheyden takaamiseen. Lisäksi TLS:ää käytetään WWW-palvelimen todentamiseen, mutta asiakkaita, eli verkkoselaimia, ei todenneta.

TLS toteuttaa luottamuksellisuuden symmetrisiä salausmenetelmiä käyttäen. Palvelimen todentaminen, eli autentikointi, tehdään julkisen avaimen salausmenetelmällä.

Viestien eheyden tarkistamiseen sekä lähettäjän todentamiseen käytetään viestin tunnistamiskoodeja, englanniksi Message Authentication Code (MAC), jotka muodostetaan joko tiivistealgoritmeilla, esimerkiksi HMAC-koodeilla, tai lohkosalausalgoritmeilla. Viestin ei tarvitse olla salattu, MAC-koodilla saadaan selville se ettei viestiä ole muutettu ja se että viesti on oikealta lähettäjältä, kun tunnetaan lähettäjän käyttämä salausavain.

Jos testaat HMAC-tunnistekoodin generointia jollakin internetistä löytyvällä työkalulla, niin rivinvaihtojen eroavaisuuksien vuoksi, saat niillä erilaisia tuloksia, jos tiedostossa on rivinvaihtoja. TIM-järjestelmä muuttaa kaikki rivinvaihdot LF eli \n -rivinvaihdoiksi, kun taas selaimet muuntavat rivinvaihdot online-työkaluja käytettäessä CRLF eli \r\n -rivinvaihdoiksi. Halutessasi käytä tekstiä, jossa ei ole yhtään rivinvaihtoa.

TLS protokollassa on useita valinnaisia määrityksiä, joilla on vaikutusta saavutettavaan tietoturvan tasoon, kuten esimerkiksi salausalgoritmien valintamahdollisuus tai mahdollisuus pyytää vanhemman TLS version, tai jopa SSL version, käyttöä.

Secure Sockets Layer (SSL) on TLS:n edeltäjä, jonka käytön IETF on kieltänyt, myös viimeisimmän 3.0 version, RFC 7568. Lisäksi TLS protokollien ei enää tulisi mahdollistaa TLS protokollan neuvotteluvaiheessa sitä, että käytettäisiinkin SSL protokollaa. Keväällä 2018 noin 10 % maailman suosituimmista palveluista mahdollisti vielä SSL version 3.0 käytön ja pari prosenttia myös SSL version 2.0 käytön, lähde https://www.ssllabs.com/ssl-pulse/. Maaliskuussa 2020 5.8 % salli SSL 3.0 käytön ja 1.2 % SSL 2.0 käytön. Helmikuussa 2021 3.8 % salli SSL 3.0 käytön ja 0.6 % salli SSL 2.0 käytön. Samaan aikaan 42.9 % palvelimista tuki TLS 1.3 version käytössä ja 99.3 % TLS 1.2 version käyttöä. Huomattavaa on että palvelimet voivat tukea useamman version käyttöä ja yksi heikkous on siinä, jos palvelin hyväksyy asiakkaan pyynnön käyttää vanhempaa versiota. Nykyään SSL on terminä kuitenkin vielä usein käytössä, vaikka tarkoitetaankin ainoastaan TLS protokollaa.

TLS protokollaa vastaan kehitetään jatkuvasti uusia hyökkäyksiä ja näin ollen palveluiden tarjoajien tulisi jatkuvasti ottaa käyttöön tehokkaampia ominaisuuksia TLS protokollan uusimmista versioista. Sivuston https://www.ssllabs.com/ssl-pulse/, mukaan esimerkiksi maaliskuussa 2020 yli 76 % maailman 150 000 suosituimmasta verkkopalvelusta oli joko haavoittuvainen tunnetuille hyökkäyksille tai niiden konfiguroinnissa ei ollut otettu käyttöön nykyään tarpeellisia ominaisuuksia uhkien torjumiseksi. Tilanne kuitenkin paranee pikku hiljaa ja esimerkiksi helmikuussa 2021 vastaava prosenttiluku oli pudonnut arvoon 59.1 %.

TLS protokollan versiosta 1.3 julkaistiin RFC dokumentti elokuussa 2018.

MiKä on SSL/TLS

• SSL on Secure Sockets Layer
  • Uusin SSL versio 3.0
    • mikään SSL versio ei ole enää turvallinen
    • IETF on kieltänyt SSL versioiden käytön
    • Versio 3.0 kiellettiin 2015 RFC 7568
  • TLS 1.0 on oikeastaan SSL 3.1 versio
  • SSL on TLS:n edeltäjä
    • monesti termejä käytetään tarkoittamaan samaa
    • joko erikseen (SSL tai TLS) tai yhdistettynä SSL/TLS tai TLS/SSL

• TLS on Transport Layer Security
  • 2015 - TLS 1.0 ei ole enää turvallinen
  • 2016 - TLS 1.1 ei ole enää turvallinen
  • 2017 - TLS 1.2 versiota pidetään enää ainoana turvallisena versiona
  • 2018 - Keväällä TLS 1.3 on IETF Draft vaiheessa, ei vielä lopullinen RFC
  • 2018 - Elokuussa julkaistiin TLS 1.3 RFC
  • 2022 - TLS 1.2 ja TLS 1.3 versioita pidetään turvallisena
    • Kun niiden päivitykset pidetään ajantasalla
  • Testaa itse palvelinten SSL/TLS valmius https://www.ssllabs.com/ssltest/
• QUIC - Googlen selaimissa ja palvelimissa - "designed to provide security protection equivalent to TLS/SSL"
• RFC 7457 - Summarizing Known Attacks on Transport Layer Security (TLS) and Datagram TLS (DTLS)
• SSL/TLS käyttö suosituimmissa palveluissa

Tietoverkkoturvallisuusjärjestelmät

Palomuuri

Ensimmäinen sukupolvi

Ensimmäisen sukupolven palomuurit kykenevät yksinkertaiseen liikenteen rajoittamiseen. Ne tutkivat kaikki läpimenevät paketit ja päästävät läpi paketteja tallennettujen sääntöjen mukaan. Jos paketti ei ole säännön mukainen, se pudotetaan, englanniksi dropped. Käytännössä pudottaminen tarkoittaa sitä, että paketti poistetaan palomuurin muistista, ilman että sitä välitetään eteenpäin. Palomuuriin tehdyt asetukset määräävät sen lähetetäänkö pudottamisesta ilmoitus paketin lähettäjälle ICMP-protokollan mukaisella viestillä vai ei. Sääntöjä voidaan määritellä lähettäjän ja vastaanottajan verkko-osoitteiden, eli IP-osoitteiden, käytetyn protokollan sekä lähettävän tai vastaanottavan sovelluksen käyttämien kuljetuskerroksen osoitteiden, eli porttinumeroiden, mukaan.

Toinen sukupolvi

Toisen sukupolven palomuurit tarkkailevat kommunikaatiota pidemmällä ajanjaksolla. Paketeissa olevista verkko- ja kuljetuskerroksen osoitteista pidetään yllä listaa, josta nähdään se että liittyykö tuleva paketti johonkin aiempaan kommunikaatioon vai onko se uusi kommunikaatio palomuurin läpi. Näin voidaan saada kerättyä siis pidempikestoista informaatiota kommunikoivista osoitteista ja tarvittaessa rajoittaa liikennettä. Palomuurin muisti, jossa tilaa yhteyksistä säilytetään, on rajattu. Tämä mahdollistaa palvelunestohyökkäyksen palomuuria vastaan, jossa tukahdutetaan muisti valheellisilla TCP yhteydenavauksilla.

Kolmas sukupolvi

Kolmannen sukupolven palomuurit ymmärtävät sovelluskerroksen protokollia. Esimerkiksi, olkoon meillä WWW-palvelin, jota suojataan palomuurilla. Palvelin palvelee kuljetuskerroksen porttinumerossa 80. Ensimmäisen sukupolven palomuuriin voidaan määrittää, että vain kuljetuskerroksen porttinumeroon 80 voidaan lähettää dataa. Toisen sukupolven palomuuri voi tutkia sitä, kuka lähettää ja kuinka paljon lähetetään. Kolmannen sukupolven palomuuri voi tutkia sitä, että lähetetty data on oikeanlaista, eli sellaista mitä palvelin kykenee ymmärtämään. Eli se ymmärtää WWW-palvelimen ja WWW-selaimen käyttämää kieltä, HTTP-protokollaa. Näin kolmannen sukupolven palomuuri voi estää vääränlaisen liikenteen sekä myös sovellusprotokollan virheellisen käytön.

Nykyään jokaisella on käytössä erilaisia ja eritasoisia palomuureja: käyttöjärjestelmien palomuurit, erillisen palomuurisovellukset ja kotiverkon reitittimeen toteutetut palomuurit. Yleensä näiden asetuksia voidaan muuttaa, jolloin ne voivat toimia minkä tahansa sukupolven palomuurin mukaisesti. Palomuureissa on vakiona nykyään myös NAT-palvelu osoitteiden muunnokseen, jotta sisäverkossa voidaan käyttää ei-julkisia IP-osoitteita.

Seuraavan sukupolven palomuuri

Verkko-operaattoreilla on järeitä palomuureja, joihin on toteutettu lisää ominaisuuksia kolmannen sukupolven ominaisuuksien tukemiseksi. Näitä ovat esimerkiksi

• Intruder Prevention System (IPS)
• Deep Packet Inspection (DPI)
• SSL/TLS liikenteen tarkastus
• Antivirus tarkastus
• ...

Tietoverkkouhat

Joitain tietoverkkojen tietoturvauhkia

• Haittaohjelmat (eng. malware) - pääsy laitteeseen Internetistä
  • Virus - vaatii käyttäjän toimenpiteen
  • Mato - esim. haavoittuvan verkkosovelluksen kautta
  • Suojautuminen: Mieti mitä klikkaat, pidä kaikki päivitettynä, palomuuri ja virustorjunta

• Palveluiden esto
  • (D)DoS (Hajautettu) Palvelunestohyökkäys
  • Tukahdutetaan palvelin tai sen liityntälinkki paketeilla
  • Suojautuminen: Vaikeaa,
    • esim. IDS (Intrusion Detection System)
    • tai IPS (Intrusion Prevention System)

• Pakettien kaappaaminen
  • onnistuu helposti salaamattomassa WLAN verkossa
  • salatussa WLAN verkossa vie jonkin aikaa purkaa salaus
    • Lisää esim. TIES327 Tietoverkkoturvallisuus kurssilla
  • HTTPS vs. HTTP protokolla
  • Suojautuminen: Salataan liikenne

Tietoverkot mahdollistavat myös haitallisten ohjelmien, englanniksi malicious software tai malware, tunkeutumisen Internetiin yhdistettyyn laitteeseen. Haitallinen ohjelma voi esimerkiksi tuhota tiedostoja, kerätä käyttäjän tietoja, nauhoittaa näppäimenpainalluksia tai AV-laitteiden signaalia, salata koneen tiedot ja vaatia maksua salauksen purkamisesta (ns. ransomware) tai liittää laitteen osaksi bottiverkkoa. Bottiverkkoon joutuneet laitteet ovat osittain etähallittavia ja ne voidaan laittaa osallistumaan esimerkiksi sähköpostin massalähetyksiin (späm) tai hajautettuun palvelunestohyökkäykseen. Haittaohjelmat yleensä pyrkivät myös monistumaan, eli lähettämään kopiota itsestään löytämilleen uusille uhrilaitteille.

Haitalliset ohjelmat voidaan jaotellaan kahteen luokkaan sen mukaan kuinka ne tunkeutuvat verkkoon liitettyyn laitteeseen. Virukset vaativat aina käyttäjän toimenpiteen, josta yleisin esimerkki on sähköpostin liitetiedostona saapuva haittaohjelma, joka käynnistyy liitettä klikattaessa. Madot puolestaan hyödyntävät verkkoa käyttävien sovellusten haavoittuvuuksia tunkeutuakseen järjestelmään, eivätkä vaadi käyttäjän toimenpiteitä.

Tietoverkoissa sijaitsevien palveluiden saatavuus on tänä päivänä yksi suosituimmista tietoverkkohyökkäysten kohteissa. Tällöin hyökkääjän tarkoituksena ei ole saada itselleen suoraa hyötyä, vaan estää palvelun käyttö kaikilta. Tällaista hyökkäystä kutsutaan palvelunestohyökkäykseksi, englanniksi Denial of Service (DoS). DoS -hyökkäyksen ideana on tukahduttaa palveluntarjoajan verkkoyhteys, itse palvelin tai jokin muu laite. Tukahduttaminen toteutetaan tekemällä turhia palvelupyyntöjä, jolloin verkkolaitteiden, linkkien tai palvelinten kapasiteetti ei enää riitä tarjoamaan palvelua uusille asiakkaille. Yhdeltä laitteelta saapuva DoS hyökkäys on nykyään helppo torjua, kun se havaitaan. Palomuuri tai muu tietoturvajärjestelmä estää kaiken kyseiseltä laitteelta saapuvan tietoliikenteen. Käytännössä paketit pudotetaan, sen jälkeen kun ne on vastaanotettu ja lähettäjä tarkastettu.

Hajautetussa palvelunestohyökkäyksessä, englanniksi Distributed Denial of Service (DDoS), hyökkäys saapuu usealta laitteelta, jotka voivat sijaita missä vaan Internetissä. Hajautetun hyökkäyksen estäminen on vaikeaa, koska joudutaan blokkaamaan useita eri laitteita. Hajautettuihin hyökkäyksiin käytetään bottiverkkoja, jotka koostuvat tavallisten ihmisten Internetiin yhdistetyistä laitteista, mukaan lukien IoT laitteet, jotka haittaohjelma on ottanut osittain tai kokonaan haltuunsa. Bottiverkko voi olla lepotilassa, kunnes se valjastetaan hyökkäykseen bottiverkon kontrolloijan toimesta. Tyypillisesti bottiverkkoon voi kuulua satoja, tuhansia tai jopa miljoonia laitteita. Tänä päivänä bottiverkon muodostamiseen on tarjolla useita työkaluja, joiden avulla, pienellä teknisellä osaamisella, voi helposti toteuttaa DDoS hyökkäyksen. Toisaalta DDoS hyökkäyksen, esimerkiksi päivän ajaksi, voi ostaa parilla sadalla eurolla. Jos itsellä ei ole resursseja esimerkiksi DDoS hyökkäykseltä suojautumiseen, voi yksi mahdollisuus olla ostaa palvelu DDoS hyökkäykseltä suojautumiseksi. Esimerkkinä tällaisesta palveluntarjoajasta mainitaan Yhdysvaltalainen Cloudflare tai Venäläinen DDoS-Guard, jotka tarjoavat muitakin palveluita. Käytännössä palveluissa reititetään liikenne DDoS-suojaavan palveluntarjoajan verkkoon, ennen kuin se päästetään oikealle palvelimelle. Ison palveluntarjoajan mahdollisuudet DDoS hyökkäyksen estämiseen ovat nykyään melko hyvät ja ne kehittävät suojausta jatkuvasti.

DDoS hyökkäyksiä tehdään eri tekniikoilla, mutta yhteistä niille on protokollien, niiden ominaisuuksien tai heikkouksien, käyttö. Hyökkäykset voidaan jakaa kerrosarkkitehtuurin mukaisesti niiden hyödyntämän protokollan mukaan.

• Sovelluskerroksen hyökkäyksiä (Kerroksen 7 hyökkäys)
  • HTTP flood
  • Slowloris
  • RUDY
  • Zero-day
  • BGP Hijacking
  • Käyttöjärjestelmän haavoittuvuuksia hyödyntävät
  • Ohjelmistojen haavoittuvuuksia hyödyntävät
  • …
• Kuljetuskerroksen hyökkäyksiä (Kerroksen 4 hyökkäys)
  • UDP flood
  • SYN flood
  • NTP amplification
  • DNS amplification
  • …
• Verkkokerroksen hyökkäyksiä (Kerroksen 3 hyökkäys)
  • IP fragmentation
  • Ping of Death
  • ICMP flood
  • …

DDoS hyökkäyksiltä on vaikea suojautua kokonaan ja hyökkäystekniikat kehittyvät kokoajan, jotta ne olisi vaikeampi havaita. Tehokkain suojausmenetelmä olisi saada bottiverkot suljettua, mikä vaatii bottiverkkojen ylläpitäjien löytämistä, sekä kaikkien Internetiin liitettyjen laitteiden jatkuvaa tietoturvan päivitystä, jotta bottiverkoille ei ole tarjolla orjalaitteita, tai zombie-laitteita, miksi niitä usein kutsutaan.

DDoS hyökkäyksiin kannattaa varautua etukäteen ja hyökkäysten havaitsemiseen ja estämiseen sekä jo alkaneen hyökkäyksen lopettamiseen on erilaisia teknisiä ratkaisuja, laitteistoja sekä palveluita. Ollaakseen tehokkaita, menetelmien tulisi olla laitteistolla toteutettuja, jottei turvamenetelmät itsessään hidasta palvelun saatavuutta.

• Palomuuri
  • estää yksinkertaisimmat hyökkäykset lähettäjän osoitteen tai käytetyn protokollan mukaan
• Reititin tai kytkin
  • Voi ylläpitää listaa sallituista ja ei-sallituista osoitteista
• Erillinen laite verkon Internet-liityntään
  • tutkii ja luokittelee liikennettä, ennen kuin liikenne päästetään omaan verkkoon
• IDS (Intrusion detection system) ja IPS (Intrusion prevention system)
  • Havaitsee haittaliikenteen, mutta ei sellaista DDoS hyökkäystä, joka näyttää normaalilta liikenteeltä.
  • IPS lisäksi estää havaitun liikenteen
  • Pääasiassa järjestelmät tunnistaa tunnettuja uhkia
  • Kehitetään jatkuvasti uusia menetelmiä, joilla havaitaan
    • normaalilta liikenteeltä näyttävät uhat
    • vielä tuntemattomat uhat
• DDS (DoS Defense System)
  • Erityisesti useiden erityyppisten DoS hyökkäysten torjumiseen
• Upstream filtering
  • Kaikki liikenne kierrätetään pilvipavelun kautta, joka torjuu useita erilaisia hyökkäyksiä sekä haittaliikennettä
  • Palvelua tarjoaa useat isot sisällönjakeluverkot, englanniksi Content Delivery Network CDN, sekä pilvipalveluiden tarjoajat.

Tietoturvan kiertäminen

• Kontrolloidaan kansainvälistä salausstandardointia
  • Aiemmin rajoittamalla salausavainten pituuden 56 bittiin
  • Esim. patentoimalla salaustekniikoita, jotta niitä ei voi käyttää
• Hyväksikäyttämällä implementoinnin haavoittuvuuksia
  • Tekemällä 'yhteistyötä' salausteknologioista vastaavien yritysten kanssa - lisäten haavoittuvuuksia
  • Käyttämällä hyväksi löytämäänsä haavoittuvuutta, sen sijaan että julkaistaan se jotta sen voisi korjata
• Supertietokoneiden väsytyshyökkäys, englanniksi brute force attack
  • Kaikki salausmenetelmät voi purkaa tuntemalla salausavaimen, joten etsitään salausavain
  • Käytetään järjetön määrä laskentatehoa salausavainten etsimiseen (käydään kaikki vaihtoehdot läpi)
  • Varastetaan tai muuten saadaan tietoon salausavaimia, jolloin ei tarvitse testata kaikkia vaihtoehtoja

Joitain tietoturvaan liittyviä haavoittuvuuksia

• The Heartbleed Bug - Julkisuuteen 11.4.2014 - [Viestintävirasto ei enää tarjoa tiedotteita Kyberturvallisuuskeskus tarjoaa vain uusimmat tiedotteet 2018 vuodesta alkaen.]
  • SSL/TLS salauksen implementointiin liittyvä ongelma, SSL/TLS liikenne pysyy salattuna, ei siis tietoverkkohaavoittuvuus, vaan ohjelmistohaavoittuvuus
    • Ohjelmointi 2 kurssin jälkeen → C++ lisäosassa tarkemmin → ja sitten ITKST53 Ohjelmistoturvallisuus kurssille
  • ns. Buffer overflow -bugi, jossa (palvelin)koodi ei tarkista SSL/TLS viestin ilmoittamaa muistipuskurin kokoa
  • Muuttamalla arvon suuremmaksi kuin palvelimen muistipuskurin todellinen koko, voidaan lukea palvelimen muistissa olevaa tietoa, sisältäen esim. sertifikaatit, käyttäjätunnukset sekä salasanat
• Gemalton SIM korttien K_i -salausavainten varkaus - Julkisuuteen 20.2.2015, tapahtunut vuonna 2010
  • K_i -avaimella käyttäjä tunnistetaan sekä generoidaan avain liikenteen salaukseen
  • GSM autentikointi ja GSM liikenteen salaus

• Joidenkin TLS -yhteyksien FREAK-haavoittuvuus - maaliskuussa 2015
  • SSL FREAK-check - Implementation vulnerability
• TLS Logjam attack heinäkuussa 2015
  • TLS Logjam Check - Flaw in TLS protocol
• Cloudbleed - helmikuussa 2017
  • Cloudflaren palvelimissa - Buffer overflow -bugi
• Meltdown ja Spectre - tammikuussa 2018
  • Prosessorin toteutukseen liittyviä
• TLS 1.2 haavoittuvuus - helmikuussa 2019
  • Kyberturvallisuuskeskuksen tiedote
  • Zombie POODLE ja GOLDENDOODLE
  • TLS:n yhden salausmekanismin haavoittuvuus.
  • Korjattavissa ohjelmistopäivityksillä.
• Kriittinen haavoittuvuus Microsoftin sähköpostipalvelimissa - maaliskuussa 2021
• Kyberturvallisuuskeskuksen kokoamat viimeisimmät (löydetyt) haavoittuvuudet
• OWASP top 10 www-sovellusten riskiä

Dataa vääriin käsiin

• World's Biggest Data Breaches

Yksityisyydestä

• Tietoturva ei ole vain turvallisia protokollia, turvallista ohjelmointi sekä salausta
• Myös yksityisyys (eng. privacy) liittyy tietoturvaan
• Eli se mitä tietoa jokainen jakaa itsestään sosiaalisessa mediassa
• Alla video vanhasta Facebook palvelun esittämisestä luennolla
  • Palvelu oli tehty korostamaan sitä, mitä kaikkea informaatiota saattaa huomaamattaan tai ajattelemattaan antaa kenen tahansa tekemälle sovellukselle

Tietoverkkojen historia

Internetverkon edeltäjänä pidetään ARPANET verkkoa, jonka kehityksen yhteydessä ovat syntyneet monet nykyisen Internetin toimintaan liittyvät tekniikat ja protokollat. ARPANET syntyi kun Yhdysvaltojen Advanced Research Projects Agency (ARPA) päätti 1960 luvun loppupuoliskolla tehdä pakettikytkentäisen verkon neljän ARPA:lle tietokoneisiin liittyvää tutkimusta tekevän organisaation kanssa, (i) Kalifornian yliopisto (UCLA) (ii) Stanford Research Institute (SRI) (iii) Kalifornian yliopisto, Santa Barbara (UCSB) sekä (iv) Utahin yliopisto. ARPA:n nimi on sen jälkeen vaihdellut useamman kerran termien ARPA ja DARPA välillä. Edellä mainituilla organisaatioilla oli kaikilla eri valmistajien keskustietokoneet ja niissä eri käyttöjärjestelmät, joten tarvittiin yhteinen rajapinta, jonka avulla koneet saadaan kommunikoimaan tulevan pakettiverkon yli. Laitetoimittajien kilpailutuksen jälkeen pakettiverkon solmulaitteiden, pakettikytkinten, Interface Message Processor (IMP), toimittajaksi valittiin Bolt, Beranek and Newman -yhtiö. IMP vastasi lähinnä reititintä, tosin silloin ei vielä ollut mm. kerrosarkkitehtuuria, mutta järjestelmän protokollan toteutuksen voidaan katsoa jaetun kolmeen kerrokseen: fyysiseen, linkki- ja verkkokerrokseen. Myöskään verkkoa hyödyntäviä sovelluksia ei ollut vielä olemassa ja tehtävään ajautuivat tutkimusorganisaatioiden vastavalmistuneet opiskelijat. Heidän työstään verkossa käytettävän ohjelmiston kehittämiseksi saivat alkunsa RFC dokumentit, jotka olivat aluksi dialogia ARPANET:in ja sen sovellusten ja protokollien kehittämiseksi.

• Voit lukea laajemmin Internetin historiasta muista lähteistä, esimerkiksi:
  • Kurose, Ross: History of Computer Networking and the Internet
  • Internet Society: Brief History of the Internet

• Eräs graafi Internetin historiasta

Useammassa RFC dokumentissa on listattu toisia RFC dokumentteja. Seuraavassa tehtävässä pyydetään RFC dokumenttia, jossa on RFC:t on listattu ja jaoteltu sisällön perusteella. Lisäksi kysytyssä RFC dokumentissa on lyhyt yhteenveto, jokaisesta RFC:stä, joiden numero on väliltä 1 - 999.

Seuraavassa tehtävässä ei kysytä RFC dokumenttia, jossa listataan RFC:t lähdeluettelona (engl. bibliography). Siinä listassa on tiedot RFC dokumenteista, joita käytetään lähdeluetteloissa, kun RFC dokumentteihin viitataan.

Seuraavassa tehtävässä kysytty RFC dokumentti on julkaistu helmikuussa 1974, tosin joissain listauksissa esim. https://tools.ietf.org/rfc/index on virheellisesti merkitty että kysytty RFC dokumentti olisi julkaistu helmikuussa 1973.

Internetin historiaa Internetin palveluilla

• How the Internet Began (1969 - 1983) with Vint Cerf and Leonard Kleinrock (youtube)
• The first Internet connection, with UCLA's Leonard Kleinrock (youtube)
• UCLA's Leonard Kleinrock displays Internet's first router (youtube)
• Millainen oli ensimmäinen web-sivu?
  • Online 20.12.1990
  • http://info.cern.ch/
  • https versio ei toimi tammikuussa 2021, eikä ollut olemassa 1990. Välillä toimi.
• Evolution of the Web (vuoteen 2012 asti)
  • http://www.evolutionoftheweb.com/
  • https ei toimi tammikuussa 2021 - Sivusto ei toimi ollenkaan joulukuussa 2021
• Internet Hall of Fame
• Internet History Timeline
• Internet Society - History of Internet
• Leonard Kleinrock on the Theory of Packets (youtube)
• Vint Cerf on the History of Packets
  • Computing Conversations: Vint Cerf on the History of Packets (youtube)
  • Charles Severance: "Vint Cerf: A Brief History of Packets", Artikkeli Computer lehdessä, Artikkeli IEEE Xplore tietokannassa

Seuraavia tehtäviä luodessa on käytetty useita lähteitä, joiden perusteella on arvoitu vuoden tarkkuudella tapahtumat ja asetettu järjestykseen:

• Tieteellisiä artikkeleita, kun kyse on artikkelin julkaisuajankohdasta.
• RFC dokumentin julkaisupäivämäärää, kun kyseessä RFC.
• Muutamia Internetin historiasta kertovia sivustoja
  • https://www.internethalloffame.org/internet-history/timeline
  • https://www.internetsociety.org/internet/history-internet/
  • http://users.jyu.fi/~arjuvi/opetus/itkp104/history.txt
    • Tämä on kopioitu Internetistä, lähteenä ao. vastaava sivu (alkuperäistä ei enää löydy)
      • https://www.newsdemon.com/nl/a-brief-history-of-the-internet-newsdemon-nl
• Wikipedia sivustoja mainituista henkilöistä.

Teoria 2

Teoria 2 osion osaamistavoitteina on ymmärtää tietoverkkojen toteutuksen haasteet sovellus-, kuljetus-, verkko- ja linkkikerroksilla sekä Internetissä toteutetut ratkaisut haasteisiin.

Sovelluskerros (Teoria 2)

Sisältöä

• Sovelluskerros ja sen protokollat
  • HTTP
    • WWW, HTTP, HTTPS, evästeet, välimuisti
  • DNS (Domain Name System)
  • Sähköposti
    • SMTP, POP3, IMAP
  • FTP
  • Tor
• Kuljetuskerros
• Verkkokerros
• Linkkikerros

Johdantoa

Koska Internetin toiminta perustuu kerrosarkkitehtuuriin, on uusien sovellusten ja niiden vaatimien sovelluskerroksen protokollien kehittäminen riippuvainen vain mielikuvituksesta ja osaamisesta. Sovelluksen kehittäjän tarvitsee käytännössä valita mikä kuljetuskerroksen palvelu sopii parhaiten omalle sovellukselle ja sen jälkeen voi vapaasti valita sovelluksensa kommunikaatioon käytettäväksi jonkin julkisen sovelluskerroksen protokollan tai kehittää jonkin uuden protokollan.

Alla on Javascript visualisointi eräästä julkisen sovelluskerroksen protokollan, BitTorrent, toiminnasta. Kaikki, edes julkiset, protokollat eivät ole määritelty RFC dokumenteissa. BitTorrent protokollasta ei ole RFC dokumenttia. Protokolla on yksi monista, joita käytetään vertaisverkoissa. Protokollalla haetaan tiedostosta pieniä paloja kerrallaan, missä tahansa järjestyksessä, mistä tahansa verkon lähteestä. Näin verkon kuormaa saadaan tasattua hajauttamalla tiedonsiirtoa.

Porttinumero

Verkkosovellukset ja niiden dataa kuljettavat sovellusprotokollat tarvitsevat kuljetuspalvelun internetin läpi. Kuljetuspalveluna internetissä toimii kuljetuskerroksen protokollat, jotka sijaitsevat verkon päätelaitteissa, niin sanotuissa reunalaitteissa. Päätelaite on laite, joka on yhdistetty internetiin esimerkiksi kytkimen, tukiaseman, reitittimen tai niiden yhdistelmän kautta.

Kuljetusprotokollan yhtenä tehtävänä on se, että saapuva data välitetään oikealle verkkosovellukselle. Tämä on toteutettu siten, että jokaisella verkkosovelluksella on portti tai porttinumero (engl. port (number)) tai useampia. Verkkosovelluksilla voi olla käytössä myös useita porttinumeroita. Jotta tiedetään mitä porttinumeroa verkkosovellus käyttää on sovellusten käyttämille sovellusprotokollille määritelty jokin porttinumero. IANA ylläpitää ja hallinnoi määriteltyjä porttinumeroita. Hyvän yhteenvedon määritellyistä porttinumeroista ja niiden statuksesta saa Wikipedian artikkelista. Uusia sovellusprotokollia kehitettäessä kehittäjä valitsee yleensä jonkin vapaan porttinumeron. Porttinumeron rekisteröintiä oman verkkosovelluksen käyttöön voi pyytää IANA:lta. Määriteltyjen porttinumeroiden avulla saadaan dataa lähetettyä jossain verkko-osoitteessa sijaitsevaan palvelimeen. Palvelin saa vastaanotetun datan mukana tiedon mm. asiakassovelluksen käyttämästä porttinumerosta. Tämän vuoksi asiakassovelluksille ei yleensä valita kiinteitä porttinumeroita, vaan porttinumero voi olla mikä tahansa. Normaalisti sovellukset antavat käyttöjärjestelmän valita vapaan porttinumeron.

Portit sovelluksille ja sovellusprotokollille eivät siis ole fyysisiä portteja, vaan ne ovat kuljetuskerroksen keino erotella eri sovellusten data. Portti muodostuu, kun käyttöjärjestelmä avaa, sovelluksen pyynnöstä, "portin" tai "oven", mitä kautta sovellus voi siirtää dataa. Tällainen datan siirtoon käytettävä portti toteutetaan soketilla (engl. (network) socket) Kyseessä on siis eräänlainen virtuaalinen portti, jonka numero välitetään datan mukana kuljetuskerroksen protokollan otsikkotiedoissa. Eli kun paketti saapuu, on siinä vastaanottajan sekä lähettäjän porttinumerot, jonka perusteella ohjataan oikealle sovellukselle. Ja jos sovelluksella, kuten esimerkiksi selaimella, on samanaikaisesti useita eri kommunikaatiota, selaimessa välilehtiä auki, niin jokaista välilehteä kohden on ainakin yksi portti käytössä. Ja käytännössä yhdenkin www-sivun avaamiseen voidaan käyttää useita portteja, jotta tieto voidaan siirtää rinnakkain.

Käytännössä portit mahdollistavat samanaikasen verkkosovellusten käytön, vaikka laitteessa on vain yksi verkkokortti (ja yksi fyysinen liitin), jonka kautta kaikki data kulkee.

Porttinumeroille on varattu 16 bittiä, täten porttinumeroita ei ole käytössä rajattomasti, mutta nykyään vielä riittävästä. Kaikkia porttinumeroita ei kaikissa käyttöjärjestelmissä voi vapaasti ottaa käyttöön.

Porttinumerot 0-1023 on varattu järjestelmän käyttöön. Numeroaluetta kutsutaan myös nimellä hyvin tunnetut portit (engl. well-known ports). Numeroalueella 0-1023 on suurin osa porttinumeroista, jotka on varattu yleisimmin käytössä oleville sovelluskerroksen protokollille. Siitä nimitys hyvin tunnetut portit. Numeroalueelle 0-1023 ei myöskään ole yhtä helppoa saada rekisteröityä uutta sovellusta, kuin sitä suuremmille porttinumeroille. IANA vaati standardointiprosessin läpikäynnin, jotta numeroalueelle 0-1023 voidaan rekisteröidä porttinumero uudelle sovellukselle. Sama porttinumero voi olla käytössä myös useammalle protokollalle, eräs esimerkki on DHCP, joka käyttää vanhemman vastaavan BOOTP kanssa samaa porttinumeroa. Koska DHCP suunniteltiin myöhemmin, on se suunniteltu siten, että DHCP kehysrakenne on taaksepäin yhteensopiva BOOTP keshysrakenteen kanssa. Täten voidaan tunnistaa eri protokollan mukainen paketti ja tarvittaessa hylätä se tai käsitellä se eri tavoin.

Porttinumerot 1024 - 49151 ovat rekisteröitäviä porttinumeroita, joista voidaan valita uusille sovellusprotokollille porttinumero rekisteröitäväksi. Myös rekisteröitävä porttinumero voidaan rekisteröidä useammalle eri protokollalle. Jos kahdella eri sovellusprotokollalla on käytössä sama porttinumero, voi se estää kyseisiä protokollia käyttäviä verkkosovelluksia toimimasta samaan aikaan samassa laitteessa. Normaalisti samaa porttinumeroa ei voi samaan aikaan käyttää eri sovellukset. Tämä tosin vaihtelee käyttöjärjestelmän sekä kuljetuskerroksen protokollan mukaan. Sovellusprotokollissa tulisi olla menetelmä hylätä kaikki vääränlaiset datapaketit mahdollisen saman porttinumeron käytön vuoksi.

Porttinumerot 49152 - 65535 ovat dynaamisia porttinumeroita tai yksityisiä porttinumeroita, joita käytetään usein, kun käyttöjärjestelmä varaa asiakkaalle porttinumeron käyttöön. Osa käyttöjärjestelmistä käyttää myös rekisteröityjä porttinumeroita dynaamisesti antaen niitä asiakassovellusten käyttöön.

Tutustutaan seuraavaksi muutamaan yleiseen sovelluskerroksen protokollaan.

HTTP (Hypertext Transfer Protocol)

HTTP (Hypertext Transfer Protocol) on yleisin Internetissä käytetty sovelluskerroksen protokolla. HTTP protokollaa käytetään välittämään informaatiota verkkoselainten ja WWW-palvelinten välillä. HTTP toimii asiakas-palvelin arkkitehtuurin mukaisesti. Kuljetuskerroksella HTTP käyttää yhteydellistä TCP-protokollaa. Verkkoselain, asiakas, avaa TCP-yhteyden palvelimeen ja välittää sovelluskerroksen pyynnön palvelimelle. Usein kyseessä on GET-pyyntö, jolla pyydetään esimerkiksi WWW-palvelimella sijaitseva HTML-sivu. Protokollan versio HTTP/1.1, jota vielä yleisesti käytetään, on tekstipohjainen protokolla. Kommunikaation käytetään siis tekstiä, joka on ihmisenkin luettavissa. Teksti toki koodataan binääriseksi tiedonsiirtoa varten, aivan kuten kaikki teksti tallennetaan binäärisenä digitaalisissa laitteissa, kuten tietokoneissa tai matkapuhelimissa.

GET-pyynnössä on yleensä useita rivejä tekstiä, mutta ensimmäisellä rivillä on GET-metodi ja riviä kutsutaan monesti metodiriviksi. HTTP/1.1 protokollan viestit ovat siis tekstiä, joka välitetään bitteinä. Teksti on HTTP/1.1 protokollan otsikkokentissä koodattu binääriseksi ASCII merkistökoodauksella. Seuraavassa tehtäväkohdassa selvitä isoja kirjaimia GET vastaavat 7-bittiset ASCII binääriluvut, lisää vasemmanpuolimmaiseksi bitti 0.

Seuraavassa tehtäväkohdassa on kokonaisuudessaan yksinkertaisin GET-metodirivi, ilman rivinvaihtomerkkejä. Huomaa, että rivillä on välilyöntejä, jolle on oma binäärilukunsa. Lisäksi esimerkiksi erikoismerkeille / ja . on määritelty omat binääriluvut.

Uusin protokollan versio HTTP/2 on binäärinen, siinä ei siis siirretä tietoa enää tekstinä, vaan informaatio koodataan muulla tavalla. Version HTTP/2 käyttö ei ole vielä ehtinyt yleistyä kovin laajalle. Tarkemmin HTTP/1.1 protokollasta voi opiskella, teoriassa ja käytännössä, esimerkiksi tämän kurssin Demo 4 sivulla.

HTTP otsikkokentät

HTTP protokolla siirtää nykyään paljon tietoa verkkoselaimen ja palvelimen välillä HTTP protokollan otsikkokentissä, otsikoissa, englanniksi headers. HTTP/1.1 versio protokollasta on tekstipohjainen ja siinä on määritelty, että yksi otsikko on aina yhdellä rivillä. Otsikorivillä on otsikkokentän nimi ja siitä kaksoispisteellä erotettuna otsikkokenttään liittyvä arvo. Uusia otsikkokenttiä määritellään lisää jatkuvasti mm. verkkosovellusten käytön monipuolistamiseksi sekä tietoturvan parantamiseksi.

Eräs palvelu minkä tahansa WWW-palvelun käyttämän HTTP protokollan otsikkokenttien turvallisuuden tutkimiseen on Security Headers.

• Tekstipohjainen protokolla (vielä)
• WWW sivujen siirtoon palvelimelta asiakkaalle (selaimelle)
• Selain lähettää pyynnön johon palvelin vastaa
• Yleisin pyyntö on GET ja palvelin vastaa status koodilla, joka kertoo miten pyyntöön vastaaminen onnistui

HTTP Evästeet otsikkokentissä

HTTP protokolla ei muodosta yhteyttä selaimen ja palvelimen välille. HTTP protokolla on siis tilaton protokolla, palvelin ei esimerkiksi tiedä onko selain pyytänyt jotain sivua aikaisemmin. Selain voi kyllä asettaa HTTP protokollan otsikkokenttiin tiedon aikaleimasta, jota uudemman sivun se haluaa, muutoin se käyttää omassa välimuistissa sijaitsevaa sivua. Jokainen asiakkaan pyyntö on erillinen, eikä palvelin voi tietää pyyntöjen liittyvän esimerkiksi saman henkilön TIM-sivujen selaamiseen, ilman lisäinformaatiota. Jos lisäinformaatiota ei olisi, niin esimerkiksi TIM-järjestelmässä, joutuisi käyttäjä aina kirjautumaan uudestaan siirtyessä uudelle sivulle.

HTTP eväste, englanniksi cookie, on pieni määrä tekstimuotoista dataa, eräänlainen tunniste, jonka palvelin lähettää asiakkaalle HTTP otsikkokentässä. Asiakas, eli selain, tallentaa datan laitteelle. Jatkossa, kun selain lähettää pyyntöjä samalle palvelimelle, lisää se aina saamansa evästeet HTTP pyyntöjen otsikkokenttiin. Palvelin pystyy vastaanottamansa evästeen avulla yhdistämään uudet HTTP pyynnöt aiempiin saman laitteen ja selaimen tekemiin pyyntöihin. Esimerkiksi, kun kirjautuu TIM-järjestelmään, palvelin lähettää tunnistautumisevästeen, jonka selain liittää kaikkiin tuleviin pyyntöihin. Tunnistautumisevästeen vastaanottaessaan palvelin tietää että selaimen käyttäjä on aiemmin tunnistautunut, eikä näin ollen tarvitse aina kirjautua uudestaan, kun siirtyy TIM-järjestelmässä sivulta toiselle.

HTTP evästeitä on tunnistautumisen lisäksi myös muihin tarkoituksiin. Evästeillä voidaan esimerkiksi tallentaa tietoa siitä mitä painikkeita sivulla klikataan, millä sivuilla vieraillaan tai mitä on valittu sivuston ostoskoriin. Evästeitä voidaan käyttää sen muistamiseksi, mitä tietoja on aiemmin annettu sivulla sijaitseviin lomakkeiden kenttiin, esimerkiksi nimi, käyttäjätunnus, salasana tai luottokorttinumero.

Evästeiden käytön suurin riski liittyy yksityisyyteen. Jos palvelun sivusto käyttää muiden palveluntarjoajien palveluita, kuten esimerkiksi mainoksia, joiden lähteenä on eri verkkotunnus, kuin käytetyn palvelimen, niin nämä ulkopuoliset palvelun tarjoajat voivat asettaa omia evästeitään. Tällaisia ulkopuolisten palveluiden asettamia evästeitä kutsutaan kolmannen osapuolen evästeiksi. Nykyisissä selaimissa voi asetuksista estää kolmannen osapuolen evästeiden asettamisen. Jos samaa mainosta esitetään esimerkiksi useilla eri sivustoilla, pystyy mainostaja keräämään tietoa siitä millä sivustoilla käyttäjä liikkuu.

Käyttäjän toimesta tietoturvariskin evästeet muodostavat harvoin. Esimerkiksi silloin, jos evästeitä, eli HTTP liikennettä, ei ole salattu, välitetään kirjautumiseen liittyvät evästeet selkokielisenä, jolloin ne voidaan kaapata verkkoliikenteestä. Kun käyttäjä kirjautuu vain palveluihin, jotka käyttävät salattua HTTP-protokollaa, ei evästeiden pitäisi olla kaapattavissa, olettaen että palveluntarjoaja on luotettu. Toinen harvinaisempi käyttäjän toimintaan liittyvä uhka on, jos vahingossa jakaa selkokielisen kirjautumiseen liittyvän evästeen. Eli käyttäjän pitää itse selvittää omalta laitteelta eväste ja jakaa se jollain menetelmällä toisille käyttäjille. Tämä vastaa sitä, että jakaisi käyttäjätunnuksen sekä salasanan. Yleisesti kaikki tunnistautumista vaativat luotettavat palvelut käyttävät nykyään salattua HTTP:tä, mutta niin tekevät myös ei luotettavat palvelut.

Esimerkiksi evästeen, jolla olet kirjautunut TIM-sivulle, pääsee näkemään Chrome selaimen kehittäjän työkaluilla (CTRL-Shift-I) tai muiden selainten vastaavilla. Valitse Network-välilehti ja lataa sivu uudestaan. Työkalu näyttää kaikki tiedostot, jotka liittyvät sivun lataamiseen, sekä tietoja esimerkiksi latausajoista ja HTTP protokollan mukaisista viesteistä tiedostojen noutamiseen. Valitse ensimmäinen tiedosto; jos latasit esimerkiksi sivun https://tim.jyu.fi/view/kurssit/tie/itkp104/2021/teoria-2, niin tiedosto on teoria-2. Valitse Headers-välilehti ja sieltä alakohta Request headers, joka sisältää otsikkokentät, jotka selaimesi lisäsi HTTP-pyyntöön tiedoston hakemiseksi. Sen alta löytyy otsikkokenttien nimiä, kuten Connection erotettuna kaksoispisteellä otsikkokentän arvosta keep-alive. Otsikkokentän Cookie arvo sisältää informaation siitä, kuka on kirjautunut TIM-järjestelmään. Kuka tahansa, joka saisi kyseisen evästeen arvon voisi, pienellä työllä, esittää että on kirjautunut sinuna TIM-järjestelmään, niin kauan kunnes kirjaudut ulos. Seuraavalla kirjautumiskerralla muodostetaan uusi eväste kirjautumisen yhteydessä.

Tunnistautumisevästeiden turvallisuus tiedonsiirrossa riippuu evästeen asettavan palvelimen sekä käytettävän verkkoselaimen tietoturvan laadusta. Tietoturvan haavoittuvuudet voivat johtaa evästetietojen päätymiseen ulkopuolisille tahoille ja näin voidaan mahdollisesti "kirjautua" käyttäjien tileille palveluun, jonka evästetiedot ovat vaarantuneet. Esimerkkinä tietoturvauhkista, joiden kautta mm. evästetieto voi vaarantua on Cross-site scripting (XSS) ja Cross-site request forgery (CSRF tai XSRF). XSS-hyökkäyksessä selaimella voidaan syöttää oma koodi (käytetään myös termiä injektoida) palvelimen kautta muiden käyttäjien pyytämiin verkkosivuihin. XSS-haavoittuvuus on tänäkin päivänä yksi suurimmista uhkista, joita syntyy huolimattomasti toteutetuille WWW-sivustoille. XSS hyväksikäyttää käyttäjän luottamusta palveluntarjoajaan. XSRF on muuten samankaltainen, mutta se hyväksikäyttää luottamusta, joka palveluntarjoajalla on käyttäjän verkkoselaimeen.

• HTTP on yhteydetön protokolla, ei ylläpidä yhteyttä palvelimeen (alapuolinen kuljetuspalvelu on yhteydellinen, mikä on eri asia)
• HTTP on tilaton protokolla, eli HTTP protokolla ei välitä informaatiota mahdollisesta aiemmasta vierailusta sivulla
• Evästeillä palvelin pystyy tunnistamaan/muistamaan käyttäjän (selaimen) aiemmat vierailut
• Palvelin pystyy tallentamaan lomakkeilla syötettyä tietoa ja yhdistämään sen evästeen avulla käyttäjään

Web välimuisti (cache)

Web välimuisti tai HTTP välimuisti, englanniksi Web cache tai HTTP cache, on jokin teknologia, jolla WWW-palvelimelta haettu resurssi tallennetaan väliaikaisesti jonnekin muualle, jotta se olisi uudelleen pyydettäessä nopeammin haettavissa. Lisäksi välimuistit pienentävät WWW-palvelinten kuormaa. Web välimuisti voi olla erillinen laitteisto, palvelin tai päätelaitteessa sijaitseva ohjelmisto.

Web välimuistit voidaan jakaa kahteen ryhmään. Asiakas-puolen välimuisteja ovat esimerkiksi ne, jotka sijaitsevat käyttäjän tietokoneessa toteutettuna selaimen yhteyteen, internetoperaattorin tai yrityksen verkossa erillisenä palvelimena. Palvelin-puolen välimuisteja on esimerkiksi palveluntarjoajilla omassa verkossaan, jotka tarjoavat suosituimpia resursseja todellisen palvelimen sijaan, pienentäen todellisen palvelimen kuormaa. Web välimuisteiksi voidaan ajatella myös CDN (Content Delivery Network)-palveluntarjoajat. CDN- eli sisällönjakeluverkon avulla WWW-palvelut voidaan hajauttaa laajemmalle alueelle ympäri maailman, sen sijaan että ne olisivat ainoastaan palveluntarjoajan omassa verkossa.

Web välimuistipalvelin sekoitetaan monesti välityspalvelimeen tai välipalvelimeen, englanniksi proxy server. Välipalvelin eroaa välimuistipalvelimesta siten, että se ei tallenna välittämäänsä informaatiota pitkäksi aikaa. Välipalvelin välittää selainten pyyntöjä esimerkiksi WWW-palvelimille, mahdollistaen esimerkiksi käyttäjän sijainnin piilottamisen WWW-palvelimelta.

• Tallennetaan väliaikaisesti HTTP protokollalla haettuja objekteja
• Web sivu tulee näkyviin nopeammin, kun se haetaan lähempää
• Sivun tallentaminen välimuistiin voidaan sallia HTTP otsikkokentillä
• Välimuistissa oleva sivun voimassaolo voidaan määrittää
  • Jos sivu on tuore, ei tarvitse kysyä uutta sivua
  • Jos sivu on vanha, kysytään palvelimelta, voiko sitä vielä käyttää
• Pienentää tiedonsiirron tarvetta, helpottaa ruuhkia pullonkaula -linkeillä
• Selain tallentaa hakemiaan resursseja välimuistiin (browser cache)
• ISP:llä tai organisaatiolla voi olla välimuistipalvelin (Web cache tai HTTP cache)
• Web proxy on eri asia, ei tallenna välimuistiin, välittää pyynnön eteenpäin
• Joskus Web cache:sta käytetään nimitystä Web proxy cache, korostamaan että välimuisti on erillisessä palvelimessa

HTTPS (Hypertext Transfer Protocol Secure)

HTTP protokollaa, kuten montaa muutakaan vanhaa protokollaa, ei alunperin suunniteltu tietoturvalliseksi, koska ei aavistettu sitä, että protokollaa käytetään palveluissa, joissa tietoturvan on oltava hyvä. Toimivan protokollan muuttaminen on toisinaan turhan työlästä hyötyihin nähden. Nykyään HTTP protokollalla siirrettävä tieto voidaan salata ja kommunikaatio voidaan saada turvalliseksi käyttämällä HTTP protokollan turvallista versiota, HTTP Secure (HTTPS). HTTPS ei ole uusi protokolla, vaan se on nimitys sille, että HTTP kommunikaatio siirretään turvallisesti, käyttämällä TLS-protokollaa. HTTP:llä siirrettävä tieto salataan ensin TLS:n avulla ja annetaan sitten kuljetuskerrokselle TCP protokollan kuljetettavaksi.

HTTPS protokollaa käytettäessä URL:in skeemana on https eli http-skeemaan on lisätty kirjain s. Nykyään selaimet saattavat piilottaa käyttäjältä URL-skeeman, kun käytössä on HTTPS ja näyttävät sen sijaan selaimen osoite rivillä visuaalisen kuvion suojauksesta. Esimerkiksi Chrome-selain näyttää lukon kuvan, jos sivustossa on kaikki kunnossa. Visuaalista kuvaa klikkaamalla saa lisätietoja sivuston turvallisuudesta.

Aiemmin, esimerkiksi ITKP104 kurssin materiaalista selain ilmoitti, että se ei ole turvallinen. Syynä oli se, että osa materiaalin kuvista sijaitsi users.jyu.fi palvelimella, joka ei käytä HTTPS:ää. Ne kuvat ovat täten haavoittuvia MITM hyökkäykselle, tosin todennäköisyys hyökkäykselle on mitätön ja hyöty olisi lähinnä kiusanteko. Kuvat on nyt siirretty TIM-järjestelmään. Selaimet ovat alkaneet estämään salaamattomilta HTTP palvelimilta kuvien lataamisen HTTPS:ää käyttävälle sivulle.

HTTPS:n tarkoituksena on tunnistaa verkkosivua tarjoava palvelin sekä suojata siirretyn datan yksityisyys ja oikeellisuus. HTTPS:n käyttö suojaa esimerkiksi mies välissä -hyökkäykseltä, englanniksi man-in-the-middle attack (MITM). MITM hyökkäyksessä kolmasosapuoli on kommunikaation välissä (keskellä) kaapaten kaikki viestit ja mahdollisesti kopioi, muuttaa tai tuhoaa viestejä kummankaan kommunikoivan osapuolen huomaamatta. HTTPS:n salaus siis estää sen ettei kaapattua dataa saada dekoodattua. Salausmenetelmä havaitsee kaikki pienetkin muutokset datassa, joten hyökkääjä ei saavuta mitään mahdollisella satunnaisella datan muuntamisella. HTTPS:n salauksen suoja perustuu käytetyn TLS protokollan suojaan, eli jos TLS:n ominaisuuksissa tai niiden toteutuksessa on haavoittuvuus, vaarantaa se HTTPS liikenteen. Koska TLS salattu data kuljetetaan salaamattomassa TCP paketissa, joka kuljetetaan salaamattomassa IP-paketissa, eivät porttinumerot ja IP-osoitteet ole salattuja, joten vaikkei kommunikaation sisältöä pystytä dekoodaamaan, voidaan kommunikaatiosta ja sen osapuolista saada jotain informaatiota seuraamalla TCP- ja IP-pakettien tietoja.

HTTPS palvelimen tunnistaminen vaatii jonkin luotettavan kolmannen osapuolen allekirjoittaman palvelinpuolen digitaalisen sertifikaatin. Digitaalista sertifikaattia kutsutaan yleisesti SSL sertifikaatiksi tai harvemmin vielä TLS sertifikaatiksi. Käytännössä SSL ja TLS menetelmät käyttävät samaa digitaalista sertifikaattia, joten SSL sertifikaatti termin käyttö myös TLS:n yhteydessä on jäänyt käytännöksi. Sertifikaatti mahdollistaa palvelimen tunnistamisen ja tiedonsiirron salaamisen. Palvelimen asetusten mukaisesti SSL tai TLS mekanismi sitten ratkaisee sen kuinka turvallisesti sertifikaattia todella käytetään. Jatkossa materiaalissa käytetään termiä digitaalinen sertifikaatti tai sertifikaatti. HTTPS ei tunnista asiakaspuolta eli käyttäjien selaimia, koska selaimen tunnistamiselle ei ole tarvetta. Näin ollen selaimilla ei ole omaa sertifikaattia. Käyttäjän tunnistaminen tehdään selaimesta riippumattomasti.

HTTPS:n käyttö on yleistynyt paljon vasta 2010 luvun loppupuolelta lähtien, koska aiemmin digitaaliset sertifikaatit olivat kalliita. Vuonna 2016 Electronic Frontier Foundation (EFF) julkaisi kampanjan HTTPS:n saamisesta laajempaan käyttöön. Käytännössä HTTPS alkoi vauhdilla leviämään, kun vuonna 2014 perustettiin Internet Security Research Group (ISRG) -organisaation ylläpitämä Let's Encrypt konsortio, joka alkoi tarjoamaan ilmaisia digitaalisia sertifikaatteja 12.4.2016. Lisäksi sertifikaatin luonnin, validoinnin sekä allekirjoituksen toteutus automatisoitiin, kun ne ennen jouduttiin tekemään manuaalisesti.

Verkkoselaimen valmistajat päättävät ne sertifikaattiauktoriteetit, joihin luotetaan. Lista sertifikaatin tarjoajista on sisällytetty asennettavaan verkkoselainohjelmistoon. Täten käyttäjän tulee luottaa verkkoselainvalmistajaan (ja joissain tapauksissa käyttöjärjestelmän valmistajaan) ja siihen että HTTPS on implementoitu kunnolla sekä selaimen hyväksymät sertifikaatin tarjoajat ovat luotettavia. Tarvittaessa Internetistä löytyy ohjeita siihen kuinka voi itse muokata verkkoselainten hyväksymiä sertifikaattiauktoriteetteja.

Sertifikaattiauktoriteetit, varmenteiden myöntäjät, englanniksi Certificate Authority (CA), jakautuvat hierarkkisesti. Ylimmällä tasolla ovat juuritason (engl. root) CA:t, jotka jakavat sertifikaatteja välitason (engl. intermediate) CA:ille. Välitason CA:t voivat vielä jakaa sertifikaatteja alemman, kolmannen, tason sertifikaatin myöntäjille, englanniksi issuer CA. Sertifikaattihierarkia on täten joko kaksi- tai kolmetasoinen. Useimmiten asiakkaille sertifikaatit tulevat välitason CA:lta, jolloin hierarkia on kaksitasoinen.

Esimerkiksi huhtikuussa 2020 TIM-palvelimen sertifikaatin on Jyväskylän yliopistolle myöntänyt välitason CA TERENA, jolle sertifikaatin on myöntänyt juuritason CA DigiCert. Nykyään yliopisto hyväksyy mm. juuritason CA Let's Encrypt:n myöntämien sertifikaattien käytön, joten sertifikaatin myöntäjä voi esimerkiksi TIM:in osalta joskus vaihtua. Tammikuussa 2022 TIM:in juuritason CA on ISRG Root X1 ja välitason CA on Let’s Encrypt R3, jotka ovat Let's Encrypt sertifikaatteja.

• "HTTP Secure", myös "HTTP over TLS" tai "HTTP over SSL"
• Keneen luotetaan? Selainten valmistajiin, Sertifikaatin myöntäjiin
• Selainten valmistajat valitsevat luotetut juurisertifikaatit
• Palvelimen admin luo julkisen avaimen sertifikaatin , jonka joku (luotettu) Sertifikaatti auktoriteetti allekirjoittaa
• Jos Sertifikaatti auktoriteetti on selaimen valmistajan mukaan luotettu, niin selain ei anna varoitusta
• Tuli 2016: ilmainen automatisoitu sertifikaatin myöntäjä: Let's Encrypt

HTTP protokolla kehittyy hitaasti

HTTP protokollan pyytäessä informaatiota palvelimelta aiheuttaa kuljetuskerroksella tapahtuvat yhteyden muodostus viivettä. Alunperin, jos esimerkiksi HTML-sivulla oli useita samalla palvelimella sijaitsevia kuvia, avattiin jokaista kuvaa varten uusi yhteys kuljetuskerrokselle. Myöhemmin tehtiin HTTP protokollaan lisäys, jossa kuljetuskerroksen yhteys voidaan jättää "päälle" ja siten samaa yhteyttä voidaan käyttää kaiken informaation siirtoon. Uusi menetelmä sai nimen HTTP persistent ja samalla alkuperäistä menetelmää alettiin kutsumaan nimellä HTTP non-persistent.

Kuljetuskerroksen protokolla TCP pyrkii jakamaan käytössä olevan tiedonsiirtokapasiteetin tasan kaikkien yhteyksien kesken. Selainvalmistajat alkoivat tätä ominaisuutta kiertääkseen käyttämään useita samanaikaisia yhteyksiä, joilla voitiin rinnakkain siirtää informaatiota. Näin, jos HTML-sivulla on useita siirrettäviä objekteja, esimerkiksi kuvia, saatiin verkosta käyttöön enemmän resursseja yhden sivun informaation siirtoon.

HTTP/2 versiossa on paremmin otettu huomioon kuljetuskerroksella käytettävän TCP protokollan ominaisuudet. HTTP/2 kykenee siirtämään eri objekteja samalla yhteydellä rinnakkain. Lisäksi on mahdollista että palvelin lähettää objektit ilman pyyntöäkin, kun ne kerran ovat samalla sivulla, niin objekteja ei tarvitse erikseen pyytää, kuten HTTP/1.1 versiossa.

HTTP/3 tulee vaihtamaan TCP tilalle kuljetuskerrokselle QUIC protokollan, jolloin TCP:n tiedonsiirtoa rajoittavista ominaisuuksista päästään eroon.

• 1991: HTTP/0.9
• 1996: HTTP/1.0 - HTTP non-persistent: Voidaan siirtää vain yksi objekti samalla TCP yhteydellä
• 1997: HTTP/1.1 - HTTP persistent: Voidaan siirtää useita objekteja samalla TCP yhteydellä
  • Mutta ei voida siirtää rinnakkain samalla TCP yhteydellä →
  • Selaimet avaavat useita rinnakkaisia TCP yhteyksiä
• 2015: HTTP/2: voidaan siirtää useita objekteja rinnakkain samalla TCP yhteydellä
• HTTP/2 muita muutoksia: binäärinen, otsikoiden pakkaaminen, palvelin voi työntää sivuja välimuistiin ilman selaimen pyyntöä,...
• Demo: HTTP/1.1 vs. HTTP/2
• HTTP/3
  • Eräs Internet-Draft Hypertext Transfer Protocol Version 3 (HTTP/3) draft-ietf-quic-http-17
  • RFC julkaistiin kesäkuussa 2022
  • TCP vaihdetaan Googlen kehittämään QUIC protokollaan
    • Eräs Internet-Draft: QUIC: A UDP-Based Multiplexed and Secure Transport draft-ietf-quic-transport-19
    • RFC julkaistiin toukokuussa 2021
  • Huomaa: (ei RFC) Internet-Draft on eri asia kuin (RFC) Draft Standard
    • Internet-Draft ei ole (vielä) RFC dokumentti
      • Ne ovat kehitysdokumentteja, joita yleensä generoituu kymmeniä, ennen kuin Internet-Draft valmistuu RFC dokumentiksi. Joistakin tosin ei koskaan tule RFC dokumentteja.
    • Draft Standard on RFC dokumentti, joka on edennyt Proposed Standard vaiheesta, mutta ei ole saavuttanut (vielä) Internet Standard vaihetta.
• https://w3techs.com/technologies/overview/site_element
  • Huhtikuussa 2022 46.3% kaikista palvelimista tukee HTTP/2 versiota
  • Huhtikuussa 2022 24.8% kaikista palvelimista tukee HTTP/3 versiota

HTTP:n TCP yhteyksien visualisointeja

Alla on Javascript visualisointi, jossa pyritään havainnollistamaan HTTP protokollan ja käytettävien TCP yhteyksien eri vaihtoehtoja.

HTTP Autentikointi

HTTP protokollaan on RFC dokumenteissa määritelty tunnistusmenetelmiä, autentikointimenetelmiä. HTTP Basic access authentication on yksinkertaisin mekanismi toteuttaa tunnistautuminen www-sivulle. Siinä tunnistaminen toteutetaan käyttämällä HTTP:n otsikkokenttiä, eikä tarvetta ole esimerkiksi evästeille, istunnon tunnisteille tai erillisille kirjautumissivuille. HTTP Basic access authentication on turvaton yksinään, joten sitä tulisi käyttää vain TLS:llä salatussa HTTP-kommunikaatiossa. Käyttäjätunnus ja salasana enkoodataan Base64 koodausmenetelmällä, joka ei ole salausmenetelmä.

HTTP Digest access authentication on myös RFC dokumenteissa määritelty autentikointimenetelmä. Siinä käyttäjätunnus ja salasana kryptataan käyttämällä tiiviste-funktioita. HTTP Digest access authentication on turvallisempi käyttää kuin HTTP Basic access authentication ja on tarkoitettu sen korvaajaksi. Menetelmässä on kuitenkin heikkouksia ja haavoittuvuuksia eikä sitä ole tarkoitettu vahvasti turvalliseksi autentikointimenetelmäksi.

Kun tarvitaan vahvoja autentikointimenetelmiä, täytyy autentikointiin käyttää muita kuin HTTP protokollaan määriteltyjä menetelmiä, esimerkiksi julkisen avaimen salausmenetelmiä tai Kerberos autentikointi protokollaa.

DNS (Domain Name System)

Domain Name System (DNS) on järjestelmä Internetissä sijaitsevien laitteiden ja palveluiden nimeämiseen. DNS on hierarkkinen ja hajautettu järjestelmä, jonka tärkein tehtävä on liittää verkkotunnukset, englanniksi domain name, verkkokerroksen osoitteisiin, IP-osoitteisiin. Järjestelmän palvelimia kutsutaan DNS palvelimiksi tai nimipalvelimiksi.

• Muuttaa verkkotunnuksia (eng. domain) IP-osoitteiksi
• DNS:n rooli Internetin sensuurissa (esimerkkinä Kiinan sensuuri)
• Ensin oli Hosts tiedosto
• URL: www.jyu.fi.[tyhjä]
  • Juuriverkkotunnus (Root Domain): [tyhjä]
  • Ylätason verkkotunnus (Top Level Domain (TLD)): fi
    • root zone database
  • Toisen tason verkkotunnus (Second level domain): jyu
  • Palvelimen nimi: www
• DNS järjestelmästä ja DNS protokollasta on kymmeniä RFC dokumentteja

DNS palvelu PHP:llä kevään 2017 luentokalvon yläreunassa

Verkkotunnuksen hakeminen

• Esimerkiksi itkp104.fi
• Suomessa (.fi päätteiset) myöntää Traficom
  • Hakeminen 5.9.2016 jälkeen vain verkkotunnusvälittäjän kautta
  • Verkkotunnusvälittäjien kautta voi hakea muitakin päätteitä
    • päätteiden myöntämisperusteiden ehdot vaihtelevat
• Tarkista onko verkkotunnus varattu: Esimerkiksi Traficom:in verkkotunnushaku
• Sitten etsi verkkotunnuksenvälittäjä valiten mahdollisia muita tarvittavia palveluja, esimerkiksi sähköpostiosoitteet
• Voiko hankkia loppupäätteen, jota ICANN ei ole hyväksynyt, esimerkiksi verkkotunnuksen itkp104.ari?
• Periaatteessa... Alternative DNS root
  • ... jos joku suostuu ylläpitämään .ari verkkotunnusta
  • ja lisäksi sivuston löytämiseen tarvittaisiin erillinen ohjelmisto tai lisäosa selaimeen

DNS palvelimet

DNS järjestelmä koostuu DNS palvelimista, nimipalvelimista, joilla on hierarkkinen rakenne. Autoritäärinen nimipalvelin on palvelin, jolla on virallinen tieto jonkun verkkotunnuksen, tai useamman, muunnoksesta. Tieto muunnoksesta, eli verkkotunnusta vastaava IP-osoite, joudutaan hakemaan joltain nimipalvelimelta. Ratkaisijanimipalvelimen tehtävä on selvittää verkkotunnusta vastaava IP-osoite. Tieto muunnoksesta voi olla jo aiemmin selvitetty ja voi täten olla ratkaisijanimipalvelimen välimuistissa. Jos tieto ei ole ratkaisijanimipalvelimen välimuistissa, niin ratkaisijanimipalvelin kysyy ensin juurinimipalvelimelta, sitten ylätason nimipalvelimelta ja lopuksi autoritääriseltä nimipalvelimelta muunnosta. Edellinen siis silloin, kun muunnos ei ole minkään nimipalvelimen välimuistissa ja ratkaisijanimipalvelin käyttää iteratiivista kyselyä.

Ratkaisijanimipalvelin on tietokoneen asetuksissa oletusnimipalvelin, jota tietokoneen DNS-palvelu käyttää, jos DNS-palvelulla ei ole tietoa tallennettuna välimuistiin, tai hosts-tiedostoon. Nykyään verkkoselaimissa voi olla oma välimuisti muunnoksille, jonne tallennetaan tietokoneen DNS-palvelulta saadut tiedot muunnoksesta. Kun verkkotunnusta vastaava IP-osoite on tallennettu välimuistiin, niin tiedonsiirron aloituksessa koettava viive on sitä pienempi mitä lähempää muunnos löytyy.

Ratkaisijanimipalvelin voi joskus olla sama kuin autoritäärinen nimipalvelin. Esimerkiksi, aiemmin ennen syksyä 2024, kun Jyväskylän yliopiston verkkoon kuuluvalla tietokoneella selvitettiin yliopiston verkkotunnuksia vastaavia IP-osoitteita, niin tietokoneeseen oli asetettu oletuspalvelimeksi ns1.jyu.fi (130.234.4.30), joka oli myös jyu.fi -verkkotunnuksista vastaava autoritäärinen nimipalvelin. Toisena, eli (pakollisena) varanimipalvelimena, toimi ns2.jyu.fi (130.234.5.30).

Nykyään, syksystä 2024 lähtien, Jyväskylän yliopiston laitteiden oletusnimipalvelimet on erotettu eri laitteiksi kuin autoritääriset nimipalvelimet. Jyväskylän yliopiston verkossa oletusnimi palvelin on ins1.jyu.fi ja varalla toimii ins2.jyu.fi. Autoritääriset nimipalvelimet, jotka vastaavat ulkopuolelta tuleviin kyselyihin ovat vastaavasti ens1.jyu.fi ja varalla ens2.jyu.fi.

Lisäksi FUNET-verkon puolella on yksi autoritäärinen varanimipalvelin, joka on siltä varalta että yliopiston oma sekä varalla oleva autoritäärinen DNS-palvelin, ovat molemmat poissa käytöstä. Myös autoritääriset varanimipalvelimet antavat virallisia, autoritäärisiä, vastauksia niistä verkkotunnuksista, joista ne vastaavat.

• Hajautettu hierarkkinen rakenne
• URL: www.jyu.fi.[tyhjä]
• DNS Palvelinten roolit
  • Juurinimipalvelin ["piste tyhjä"]
  • Ylätason nimipalvelin [.fi] (TLD-nimipalvelin)
  • Autoritäärinen nimipalvelin [jyu.fi]
  • Ratkaisija (Resolveri) nimipalvelin
    • alkaa pyynnöstä selvittää IP-osoitetta
      • DNS-asiakasohjelmisto laitteessa kysyy ratkaisijalta, joka on
      • oletusnimipalvelin laitteen verkkoasetuksissa

Juurinimipalvelimet

• IANA hallinnoi juurinimipalvelimia
• root-servers.org tarjoaa visuaalisemman informaation
• Nykyään kaikki 13 juurinimipalvelinta on hajautettu anycast-tekniikalla
  • Maaliskuussa 2019 13 juurinimipalvelinta oli hajautettu 950 palvelimeen eri puolilla maapalloa
  • Maaliskuussa 2021 13 juurinimipalvelinta oli hajautettu 1375 palvelimeen eri puolilla maapalloa

Kokeile traceroute ohjelmalla selvittää useamman juurinimipalvelinten sijaintia. Jyväskylän yliopiston verkossa traceroute käyttää (keväällä 2021) IPv4 osoitteita ja tällöin jäljitys onnistuu. Joidenkin operaattoreiden verkoissa käytetään juurinimipalvelimille ja ylätason nimipalvelimille IPv6 osoitteita. Tällöin traceroute saattaa näyttää vain ensimmäisen reitittimen IPv6 osoitteen ja ilman reittiä nimipalvelimen IPv6 osoitteen. Lisäksi voi olla että traceroute ei toimi ollenkaan IPv4 osoitteilla. Halutessasi käytä VPN-yhteyttä Jyväskylän yliopistoon.

DNS: kokeile itse nslookup tai dig-ohjelmalla

Käyttöjärjestelmissä on komentoriviltä ajettava ohjelma, jolla voi selvittää Internetin verkkotunnusta vastaavan IP-osoitteen. Windows-käyttöjärjestelmässä ohjelman nimi on nslookup. Käyttöjärjestelmissä macOS ja Linux on nslookup-ohjelman lisäksi myös ohjelma dig, joka on monipuolisempi kuin nslookup. Kun selvitetään verkkotunnusta vastaava IP-osoite käyttöjärjestelmään määritetyltä oletusnimipalvelimelta, annetaan verkkotunnus parametrina nslookup tai dig -ohjelman nimen jälkeen. Esimerkiksi, jos kysytään users.jyu.fi verkkotunnusta vastaavaa IP-osoitetta, kirjoitetaan komentoriville

nslookup users.jyu.fi

tai

dig users.jyu.fi

Tee seuraava tehtävä käyttöjärjestelmän nslookup-ohjelmalla tai Linux ja macOS käyttöjärjestelmissä voit käyttää myös dig-ohjelmaa.

Koska olet tim.jyu.fi palvelimella sijaitsevassa materiaalissa, on tieto tim.jyu.fi verkkotunnuksen IP-osoitteesta haettu oletusnimipalvelimen välimuistiin. Näin vastauksen antaa oletusnimipalvelin, jonka nimen ja IP-osoitteen näet tulosteesta, jos nslookup tai dig-ohjelma sai ne vastauksen mukana. Jos olet Jyväskylän yliopiston verkossa, niin oletusnimipalvelin on samalla verkkotunnuksen autoritäärinen nimipalvelin.

Käynnistämällä nslookup ilman parametreja, aukeaa nslookup -sovellus, jota voi käyttää myös muiden DNS-palvelun tarjoamien informaatioiden kysymiseen. Tällöin nslookup-ohjelman kommunikoi oletusnimipalvelimen kanssa.

Jos halutaan kommunikoida jonkun tietyn nimipalvelimen kanssa, niin nslookup -ohjelmalla on siihen kaksi vaihtoehtoa, interaktiivinen tai suora kysymys. Interaktiivinen kommunikaatio avataan antamalla väliviiva-merkin jälkeen parametrina sen DNS-palvelimen nimi tai osoite, jota halutaan käyttää DNS-kyselyn tekemiseen.

nslookup [-opt ...] - server # interactive mode using 'server'

Interaktiivinen kannattaa valita, jos tekee useamman kyselyn samalta palvelimelta. Jos tehdään vain yksi kysely, niin DNS-kysely voidaan ohjata halutulle DNS-palvelimelle komennolla, jossa kysyttävän verkkotunnuksen perään annetaan parametriksi DNS-palvelin, jolta kysytään.

nslookup [-opt ...] host server # just look up 'host' using 'server'

Esimerkiksi yliopiston viralliselta nimipalvelimelta, ens1.jyu.fi, kysytään voidaan kysyä interaktiivisesti kirjoittamalla nslookup, väliviiva ja sitten palvelimen nimi, tai IP-osoite.

nslookup - ens1.jyu.fi

Komento käynnistää nslookup -sovelluksen, joka alussa ilmoittaa DNS-palvelimen nimen ja IP-osoitteen, jonka kanssa kommunikoit. Jos IP-osoitteena vastauksena on IP-protokollan version 6 osoite, heksadesimaalilukuja ja kaksoispisteitä, eikä IP-protokollan version 4 osoite, kokonaislukuja ja pisteitä, niin käynnistä nslookup-ohjelma uudestaan antamalla parametriksi DNS-palvelimen verkkotunnuksen sijaan DNS-palvelimen IPv4-osoite. Se pakottanee palvelimen tarjoamaan vastaukset IPv4-osoitteina. Jyväskylän yliopiston nimipalvelimen tapauksessa, siis

nslookup - 130.234.255.20

Suoran kyselyn Jyväskylän yliopiston nimipalvelimelta esimerkiksi users.jyu.fi verkkotunnukselle voi tehdä komennolla

nslookup users.jyu.fi ens1.jyu.fi

Ohjelmalla dig DNS-palvelin määritellään lisäämällä DNS-palvelimen nimi komentoriville @-parametrilla. Esimerkiksi

dig @ens1.jyu.fi users.jyu.fi

DNS kyselyn voi siis tehdä myös juurinimipalvelimille, eli kuka tahansa voi kommunikoida juurinimipalvelimien kanssa. Juurinimipalvelimet eivät kuitenkaan anna vastauksia, vaan ohjaavat kysymyksen lähettäjän seuraavan tason nimipalvelimelle. Selvitä DNS-järjestelmän juurinimipalvelimet, voit kokeilla useampiakin. Kysy niistä joltain IP-osoitetta verkkotunnukselle tim.jyu.fi.

Juurinimipalvelin kertoo vastauksessaan .fi osoitteista vastaavat ylätason nimipalvelimet. Valitse jokin .fi osoitteista vastaavista DNS palvelimista ja kysy siltä IP-osoitetta verkkotunnukselle tim.jyu.fi.

Ylätason nimipalvelimet antavat seuraavan tason nimipalvelimen tiedot. Eli .fi palvelimet antavat tiedon siitä, mitkä DNS palvelimet vastaavat .jyu.fi osoitteista. Nämä palvelimet ovat .jyu.fi verkkotunnusten virallisia, autoritäärisiä, DNS-palvelimia. Kysy seuraavaksi IP-osoitetta tim.jyu.fi verkkotunnukselle viralliselta nimipalvelimelta. Riippumatta siitä onko alkuperäinen kysely iteratiivinen vai rekursiivinen, palauttaa virallinen palvelin IP osoitteen.

DNS palvelimet tarjoavat myös muuta informaatiota. Kun esimerkiksi sähköpostipalvelimen pitää lähettää sähköposti, niin DNS-palvelimilta voi kysyä erikseen, että mikä on jonkin verkkotunnuksen sähköpostipalvelin. Jyväskylän yliopiston henkilökunnan sähköposti osoitteiden verkkotunnus on jyu.fi.

Aloita nslookup-ohjelmalla kommunikaatio Jyväskylän yliopiston virallisen DNS palvelimen kanssa. Kun ohjelma on käynnistynyt, aseta kyselyn tyypiksi MX, jolla kerrotaan että kysytään sähköpostipalvelinta.

set type=MX

Anna sitten kysyttävä verkkotunnus, eli esimerkiksi jyu.fi.

Vastaukseksi saatiin tieto Jyväskylän yliopiston henkilökunnan sähköpostipalvelimista, niiden IP-osoitteista sekä mahdollisesti lisäinformaatiota esimerkiksi virallisista DNS-palvelimista. Henkilökunnan sähköpostipalvelimet ovat jyu.fi verkkoalueella ja ne ovat ainakin vielä Jyväskylän yliopiston digipalveluiden hallinnassa.

Selvitä seuraavaksi Jyväskylän yliopiston opiskelijoiden sähköpostiosoitteista vastaavat sähköpostipalvelimet.

Käynnistä nslookup-ohjelma uudestaan (tarkistin vaati sen tällä hetkellä). Aseta uudestaan kyselyn tyypiksi sähköpostipalvelimen tiedustelu ja anna sitten kysyttäväksi verkkotunnukseksi student.jyu.fi.

Jyväskylän yliopiston opiskelijoiden sähköpostipalvelu oli ulkoistettu Googlen sähköpostipalvelimille 2000 luvun alkupuolilta vuoteen 2021 asti. Silloin DNS-kysely antoi sähköpostipalvelimiksi Googlen palvelimia, mutta että student.jyu.fi osoitteista vastaa virallisesti Jyväskylän yliopiston DNS-palvelimet. Nykyään sekä henkilökunnan että opiskelijoiden sähköposti hallinnoidaan Jyväskylän yliopistossa Microsoftin Outlook sähköpostipalvelulla. 1900-luvulla Jyväskylän yliopiston henkilökunnan ja opiskelijoiden sähköpostit hallinnoitiin yliopiston omilla sähköpostipalvelimilla.

Edellä toteutettu kysely juurinimipalvelimelta ja sitten ylätason nimipalvelimelta ja lopuksi viralliselta nimipalvelimelta vastaa iteratiivista DNS kyselyä. Eivätkä juurinimipalvelimet tai ylätason nimipalvelimet tue ollenkaan rekursiivista DNS kyselyä. Seuraavassa kappaleessa käydään tarkemmin läpi molemmat DNS kyselytyypit.

• Kokeile komentoriviltä: nslookup (Linux ja Mac -järjestelmissä myös monipuolisempi dig)
  • www.google.com
  • www.google.fi
  • www.jyu.fi
  • users.jyu.fi
  • set type=MX
  • jyu.fi
  • student.jyu.fi
  • set type=all
  • jyu.fi

• Juurinimipalvelimen ja TLD-nimipalvelimen tiedot
  • set type=all
  • .
  • fi.

• Tietojen kysyminen miltä tahansa DNS palvelimelta
  • nslookup - 8.8.8.8
  • set type=all
  • jyu.fi

DNS Iteratiivinen vs. rekursiivinen kysely

DNS-kyselyt toteutetaan joko rekursiivisena tai iteratiivisena. Olkoon esimerkkinä verkkotunnuksen www.tietokone.fi IP-osoitteen kysyminen. Rekursiivisessa DNS-kyselyssä kysymys menee ratkaisijalta juurinimipalvelimelle '.', joka kysyy TLD palvelimelta '.fi', joka kysyy autoritääriseltä palvelimelta 'tietokone.fi'. DNS-vastaus toimitetaan samaa reittiä vastakkaiseen suuntaan. Iteratiivisessa DNS-kyselyssä juurinimipalvelimet ja TLD-palvelimet eivät lähetä kysymystä edelleen ja palauta vastausta. Iteratiivisessa DNS-kyselyssä vastauksena annetaan kysyjälle tieto siitä, mistä tulee kysyä seuraavaksi. DNS-palvelimen asetuksista voidaan valita se tukeeko palvelin rekursiivista kyselyä. Juurinimipalvelimet ja TLD-palvelimet eivät pääsääntöisesti tue rekursiivista kyselyä. Organisaatioiden oletusnimipalvelimet tarjoavat pääasiassa rekursiivista kyselyä. Eli ne hoitavat kyselyn muiden laitteiden puolesta ja saavat näin tallennettua välimuistiinsa tiedot osoitteista, joita sen kautta kysytään. Seuraavassa visualisoinnissa oletetaan että kaikki palvelimet tukevat myös iteratiivista kyselyä.

Sähköposti Internetissä

Sähköposti on yksi Internetin vanhimmista sovelluksista. Sähköposti on määritelty useissa RFC dokumenteissa, joista ensimmäiset määrittelivät sekä sähköpostin välitykseen että sähköpostin sisältöön liittyvät asiat. Aluksi sähköposti luettiin suoraan kirjautumalla sähköpostipalvelimelle ja lukemalla posti palvelimen sähköpostilaatikossa, inbox. Myöhemmin kehitettiin protokollia sähköpostin noutamiseen, joilla sähköpostit saattoi hakea luettavaksi sähköpostisovellukseen. Viimeisimpänä lisäyksinä sähköpostiin on RFC dokumentit, joissa määritellään se, kuinka sähköpostia voidaan käyttää siirtämään myös muitakin merkistökoodauksia, kuin 7-bittistä ASCII -koodausta, sekä muun tyyppistä informaatiota kuin teksti.

Sähköpostin lukemiseen ja lähettämiseen käytettävät sovellukset voidaan jakaa karkeasti kahteen eri kategoriaan

• Sähköpostisovellus, asiakasohjelma Email client tai
• Selaimessa toimiva www-pohjainen sovellus Webmail client

Jakona toimii se mitä protokollia sovellukset käyttävät kommunikoimiseen sähköpostipalvelinten kanssa.

Nykyään useimmiten sähköpostin lähettämiseen ja lukemiseen käytetään verkkoselainta, jossa sähköpostin lähettäminen sähköpostipalvelimelle sekä noutaminen sähköpostipalvelimelta tehdään HTTP protokollalla, mutta HTTP protokollaa ei kuitenkaan käytetä sähköpostipalvelinten välisessä kommunikaatiossa.

Kaikki kommunikaatio sähköpostipalvelinten välillä tehdään SMTP protokollalla. SMTP protokollaa käytetään sähköpostin lähettämiseen sähköpostipalvelinten välillä. Sähköpostipalvelimet eivät nouda posteja toisilta sähköpostipalvelimilta.

SMTP protokollaa käytetään myös sähköpostisovelluksissa, jotka eivät ole www-pohjaisia. Sähköpostisovellukset käyttävät SMTP protokollaa sähköpostin välittämiseen omalle sähköpostipalvelimelle, joka sitten lähettävät sen edelleen SMTP protokollalla vastaanottajan sähköpostipalvelimelle. Sähköpostisovellusten käyttö on nykyään yleistynyt, kun matkapuhelin valmistajat tarjoavat omia sovelluksia sähköpostin käyttöön.

Käyttäjät voivat noutaa sähköpostin sähköpostisovellusta käyttäen POP3 tai IMAP4 protokollalla tai www-pohjaisesti HTTP protokollalla. Jos sähköpostisovellus ei ole www-pohjainen, niin se käyttää SMTP ja POP3 tai IMAP4 protokollia, joita on käytetty jo vuosikymmeniä.

Sähköpostiliikenteen turvaamiseen käytetään TLS protokollaa sovelluskerroksen sähköpostiprotokollan ja kuljetuskerroksen TCP protokollan välillä.

Seuraava visualisointi havainnollistaa protokollien käyttöä sähköpostisovellusten sekä selainpohjaisten sähköpostipalveluiden käytössä.

SMTP (Simple Mail Transfer Protocol)

Simple Mail Transfer Protocol (SMTP) kehitettiin sähköpostien lähettämiseen sähköpostipalvelimelle. SMTP protokolla voi käyttää sähköpostipalvelimet, asiakassovellukset tai vaikka kuka tahansa henkilö, joka osaa avata TCP yhteyden ja tietää miten tekstipohjainen SMTP protokolla toimii. Ensimmäinen RFC määriteltiin vuonna 1981, mutta jo seuraavana vuonna 1982 määriteltiin uusi versio, joka on käytännössä saanut ensimmäisen SMTP RFC leiman ja on paljon tunnetumpi kuin vuoden 1981 määritys. Nykyään SMTP protokollan uusin RFC on yksi monista Internet standardeista.

SMTP:tä voi käyttää vain viestien lähettämiseen tai välittämiseen sähköpostipalvelimelle. Sähköpostien noutaminen tehdään eri protokollilla. Nykyään sähköpostista on käytössä laajennettu versio, Extended SMTP, johon on lisätty mm. tunnistautumiseen ja tietosuojaan liittyviä ominaisuuksia.

SMTP protokollaa on päivitetty vuosien kuluessa. Ensimmäinen RFC julkaistiin vuonna 1981. Etsi ihan ensimmäinen SMTP RFC.

Vuonna 1982 julkaistiin uusi versio SMTP protokollasta RFC dokumentista, joka on yksi viitatuimmista RFC dokumenteista. Tätä versiota pidetään alkuperäisenä RFC dokumenttina SMTP protokollan määrittelylle.

Seuraavassa versiossa yhdistetään asioita SMTP protokollan RFC dokumentista sekä kahdesta muusta RFC dokumentista, jätetään käyttämättömiä osia pois ja tuodaan esimerkiksi laajennetun HELO-komennon (EHLO) määritys SMTP protokollan RFC dokumenttiin.

Viimeisin SMTP RFC on vuodelta 2008. Siinä on esimerkiksi yhdistetty ja selvennetty aiempien RFC dokumenttien SMTP protokollaan liittyviä määrityksiä sekä käytänteitä.

SMTP protokollalla tapahtuva kommunikaatio menee RFC dokumenttien määritysten mukaisesti. Kommunikaatio tapahtuu tekstimuotoisena. Alla on yksinkertainen SMTP kommunikaatio, jossa viestien järjestys on sekoitettu. Laita viestit oikeaan järjestykseen.

Alkuperäisessä SMTP protokollassa ei ole minkäänlaista tunnistautumista tai viestiliikenteen salaamista. Laajennetut SMTP komennot määriteltiin aluksi omassa RFC dokumentissaan, mutta myöhemmin määritykset sisällytettiin SMTP protokollan uusimpiin RFC dokumentteihin.

Laajennetut SMTP komennot voidaan ottaa käyttöön EHLO-komennolla. Nykyään käytännössä kaikki SMTP palvelimet vaativat laajennettujen komentojen käyttöä, jotta sähköpostin lähettäjä tai välittäjä voidaan tunnistaa. SMTP protokollan laajennus tunnistautumiselle on määritelty omassa RFC dokumentissaan.

Tunnistautumisen yhteydessä käytetään Base64 koodausta, joka ei ole salausmenetelmä. Koodausmenetelmän purkaminen on suoraviivaista ja Base64 koodaus sekä dekoodaus on määritelty RFC dokumentissa.

Base64 koodauksen purkamiseen on menetelmät useimmissa ohjelmointikielissä. Lisäksi esimerkiksi uusimmissa verkkoselaimissa on natiivi-tuki, eli omat komennot Base64 Javascript dekoodaamiseen. Internetistä löytyy useita online-työkaluja Base64 koodauksen tekemiseen tai purkamiseen.

Seuraavassa tehtäväkohdassa on yksinkertaistettu esimerkki SMTP kommunikaatiosta, jossa käytetään tunnistautumista. Jos haluat dekoodata kommunikaatiossa näkyvät Base64 koodatut tekstit, saat ne kopioitua maalaamalla kaikki viestit, liittämällä viestit johonkin tekstieditoriin ja poimimalla Base64 koodatut sanat sieltä. Tehtävätyypistä johtuen ei yksittäisen viestin kopioiminen onnistu kaikilla selaimilla.

Vaikka SMTP protokollaan on lisätty tunnistautuminen ja muitakin tunnistautumismenetelmiä, kuin edellisessä tehtäväkohdassa esitetty, välitetään kommunikaatio silti tekstimuotoisena. Näin esimerkiksi Base64 koodatut tunnistautumistiedot voi kaapata ja saada selville.

Tietoturvan takaamiseksi tulee sähköpostiviestit salata. SMTP protokolla mahdollistaa tiedonsiirron salaamisen TLS protokollalla. Komennolla STARTTLS voidaan salata käyttäjän tunnistautuminen AUTH komennolla. Samalla salataan myös välitettävä sähköpostiviesti, eli tunnistautumisvaihe on tehty salattuna ja täten käyttäjän tunnistautumistiedot ovat turvassa. Sähköposti on myös välitetty sähköpostisovellukselta sähköpostipalvelimelle salattuna.

Kannattaa ottaa huomioon, että jotkin sähköpostipalvelimet voivat lähettää sähköpostin eteenpäin ilman TLS salausta, vaikka sähköpostipalvelin olisi saanut viestin salattuna. Tällöin siis viesti välitetään salaamattomana sähköpostipalvelinten välisessä kommunikaatiossa. Eli sähköpostin edelleen välitys vastaanottavalle sähköpostipalvelimelle voi tapahtua salaamattomana, ilman että siitä ilmoitetaan sähköpostin lähettäjälle.

Käytännössä nykyään hyvin tunnetut sähköpostipalveluita tarjoavat organisaatiot kyllä pitävät huolen siitä, että sähköpostin tietoturva on kunnossa. Kannattaa ottaa huomioon, jos käyttää vähemmän tunnettua sähköpostipalvelinta, että käytännössä kuka tahansa voi pistää pystyyn sähköpostipalvelimen omalle verkkotunnukselleen, eli kaikkiin Internetin sähköpostipalvelimiin ei voi luottaa.

POP3 (Post Office Protocol)

Sähköpostin noutamiseen sähköpostipalvelimelta käytetään eri protokollaa kuin sähköpostin välittämiseen palvelimelle. Nykyisin esimerkiksi puhelinten sähköpostisovellukset noutavat sähköpostin palvelimelta joko POP3 tai IMAP4 protokollia käyttäen.

POP3 on yksinkertainen tekstimuotoinen protokolla sähköpostin noutamiseen palvelimelta. POP3 protokollan puutteena on se ettei protokollalla pysty hallitsemaan sähköposteja palvelimella, vaan ne ladataan omalle laitteelle, jossa hallinta tapahtuu. Lataukselle on kaksi vaihtoehtoa, sähköposti ladataan ja säilytetään palvelimella tai latauksen jälkeen sähköposti poistetaan palvelimelta. Omalla päätelaitteella voi sitten sähköpostiohjelmalla tehdä esimerkiksi eri kansioita ja siirrellä viestejä kansioista toiseen. Tämä on kuitenkin laitekohtainen ja useita laitteita käytettäessä, on jokaisella laitteella paikallinen näkymä sähköposteihin. POP3 protokollan ominaisuuksista johtuen palvelimen toteutus on yksinkertainen.

IMAP4 (Internet Message Access Protocol)

IMAP4 protokolla kehitettiin POP3:n puutteiden ratkaisijaksi ja siinä on enemmän ominaisuuksia, kuin POP3:ssa. IMAP4 protokollaa käyttävällä palvelimella saapuvat viestit sijoitetaan oletuksena INBOX-kansioon. Käyttäjä voi luoda palvelimelle muita kansioita, joihin sähköposteja voi sitten siirtää. IMAP4 protokollassa on siis erikseen käskyt esimerkiksi kansioiden luomiselle ja viestien siirtämiselle, jotka POP3 protokollasta puuttuvat. IMAP4 protokollalla voi lisäksi siirtää päätelaitteelle vain osan sähköpostista, esimerkiksi otsikkotiedot viestin tärkeyden tarkistamiseksi. Näin eikä aina tarvitse ladata koko viestiä, jos esimerkiksi internet-yhteydestä laskutetaan siirretyn datan mukaan.

Sähköposti Nordealta?

Sähköposti APPIELD:ltä

Huomaa ison I -kirjaimen huijausyritys pienenä l -kirjaimena, sekä pienen l -kirjaimen huijaus isona I -kirjaimena

FTP (File Transfer Protocol)

Vuoden 2021 aikana FTP-protokollan käytön tuki lopetettiin selaimissa. Sitä aiemmin kyseessä oli selaimissa Passive-moodi. Tämä siis koska aktiivista moodia käytettäessä ei ole järkevää tehdä palomuuriin sääntöjä asiakasohjelman (FTP-sovellus tai selain) puolelta. Jokainen eri valmistajan asiakassovellus joutuisi tekemään säännöt laitteen palomuuriin, jolloin tietoturvan hallinta vaikeutuisi. Lisäksi verkkotasolla reitittimet voivat estää tarvittavia portteja ja lisäksi NAT-menetelmän käyttö, jossa porttinumerot muuttuvat aiheuttaisi toimimattomuutta, tai vaatimusta NAT-asetusten säätämiseen.

Käytännössä FTP-asiakas ehdottaa käytettävää moodia, ja edellisessä kappaleessa mainituista syistä johtuen, on yksinkertaisempaa käyttää passiivista moodia. Siinä ei tarvitse avata aukkoa tietoturvaan datansiirtoa varten, jotta palvelin saa yhteyden asiakkaan avaamaan porttiin. Selain siis ehdotti passiivista moodia. Palvelin lopulta päättää mitä käytetään, normaalisti monet palvelimet estävät aktiivisen moodin käytön, jos sitä yrittää, ja ehdottavat passiivisen moodin käyttöä.

Kun nykyään selaimet käyttävät vain HTTP protokollaa FTP-palvelinten kanssa kommunikointiin, niin silloin porttina on 80 tai HTTPS tapauksessa 443. Tällöin siis FTP-palvelimessa on käynnissä myös HTTP(S) palvelin ja tiedonsiirtoon selaimen ja palvelimen välillä ei käytetä FTP-protokollaa.

• FTP protokollaa käytetään tiedostojen siirtoon.
• Esimerkiksi selaimella käyttäen FTP:tä ftp://ftp.funet.fi
  • selaimet lopettivat ftp://-skeeman tukemisen vuonna 2021.
  • ftp://-skeeman käyttö ei enää ole mahdollista
  • vastaavat linkit selain ehdottaa avattavaksi jollain FTP-sovelluksella.
• Vastaava sivun siirto HTTP protokollalla http://ftp.funet.fi