Tero Karvinen - learn Free software with me

siv – static site generator

2026-10-13T21:06:00Z

Siv is a static site generator. Author (you) writes MarkDown pages. Siv builds a static HTML website. Templates add navigation and your style.

$ chmod ugo+x siv
$ sudo cp -v siv /usr/local/bin/
$ siv
Next: Create a website:
  siv init my-website

Why siv # ↑

Just run siv. It tells you the next step.
A working site from the first minute. Write first, tweak the looks later.
Pictures just work. siv makes every size a screen needs, with captions and a lightbox.
Mistakes are caught before readers see them. Every build checks your links.
Keeps working for years. It's one static binary, with all the help inside: siv help.

Your site is plain HTML: it's fast, cheap to host and has little to hack or update.

Some details # ↑

Modern images are supported. Author writes regular MarkDown. Siv creates good quality images. Srcset makes browsers pick the the right sized image - a combination of speed and high visual quality. Images are converted to avif for perceived quality for given filesize. For very old browsers, jpg is provided for backward compatibility. You don't need to do anything for this to happen, just write MarkDown ![Cat with a hat](cat.jpg).

Siv templates uses Jinja-style templates, similar to Django or Tera. Template engine minijinja is written by the author of Jinja2.

Siv is a single, statically linked binary written in Rust. It uses minijinja and pulldown-cmark. Siv has extensive built-in help and clear error messages. Siv can also 'siv explain' any file or folder. So you can confidently build your website, even without Internet.

Download siv for Linux - one file, no install, free software. Other downloads

Markdown on the left, the page siv made from it on the right

License # ↑

siv is free software under GPL-3.0-or-later, and your website is yours: license your pages however you like.

Other downloads # ↑

Common Linux amd64 is the main platform. Other binaries are untested, and provided on best-effort basis (except Windows, that's provided on worst-effort basis).

siv-0.1.29-linux-amd64 (the common one)
siv-0.1.29-linux-arm64 (e.g. Linux on a Mac)
siv-0.1.29-windows-amd64.exe (worst effort basis)
siv-0.1.29-source.tar.gz (compile it yourself)

Windows users: Upgrade to Linux, try Debian. But before that, press ugly-X ("windows-key"), choose PowerShell, find siv.exe, "Set-Alias siv C:\some\dir\siv-0.0.1-windows.exe".

tBar for LibreOffice Impress

2026-10-02T17:04:00+03:00

Hide slide overflow.

Change slide layout from toolbar, don't waste 10% of screen for sidebar.

An extension for LibreOffice Impress.

Download tbar-impress.oxt. LibreOffice Impress: Tools: Extensions: Add.

Download tbar-impress.oxt

Hide slide overflow: Would you like to see what's actually visible on your slide? Hide slide overflow dims everything outside slide.

Slide layout: On toolbar, not sidebar. Ctrl-M for a new slide, then click the layout. Heading and bullets. Or two columns. TBar puts the layout buttons on the toolbar. By default, they are on sidebar, which takes about half a full HD display out of a 4K monitor.

Beta. Tested with LibreOffice Impress 25.2.3.2. It's the one that comes with Debian stable, 13-trixie. Or just 'sudo apt-get update; sudo apt-get install libreoffice-impress'.

Clanker rant: Created with the assistance of artificial intelligence. I also had an AI write me a README, but it was so long winded I had to do it again by hand. Even another AI instance said it's TL;DR time.

Hide overflow - what does it look like # ↑

0x54ask - Todo.txt manager for Android. Offline, works with syncthing.

2026-08-30T22:24:00+03:00

0x54ask is a todo.txt manager. It supports context (@W at work, @H at home...) and tags (+linux, +bank, +tero).

0x54ask forks SimpleTask Cloudless. It provides passive perks: data safety, automerge, filesystem protection - and it never connects Internet, at all.

Update: Install on F-Droid!

Install on F-Droid # ↑

Get it on F-Droid

ps. Hey Google! Don't be evil. KeepAndroidOpen.org.

Download # ↑

Download 0x54ask installer apk or read sources on GitLab.

What is 0x54ask? # ↑

0x54ask is a todo.txt manager. It supports context (@W at work, @H at home...) and tags (+linux, +bank, +tero).

0x54ask forks SimpleTask Cloudless. It provides passive perks: data safety, automerge, filesystem protection - and it never connects Internet, at all.

Todo.txt manager - context and tags # ↑

Context: You write down a task. If it was the only thing, what would be the next action? Drill a hole for picture? If the wall is in your home, you've got to do it there. Thus, @H (at home).

Tags: I'll be working on +linuxeu project for the next 5 hours. Show me all tasks I can bill on that. Thus, filter by +linuxeu.

Plain text: Todo.txt is - surprise - plain text. You can edit it with vim, emacs, micro or nano. Todo.txt and calendar.txt use the same +plustags and @Contexts.

Fully offline, or synchronize how you like.

0x54ask passive perks # ↑

What does 0x54ask fork bring to the table? Data safety, better sync, smaller attack surface, modern interfaces. These benefits work passively. You don't have to do anything to use them.

0x54ask:

Keeps your data safe. It automatically detects if todo.txt has been modified by other programs (such as text editor or syncthing). Modifications appear as soon as 0x54ask sees them. Changes are stored as soon as they are made. At the time of writing, current state of file is checked again.
Automatic merge. If a conflict is detected, 0x54ask can often automatically merge the changes. This is possible, because todo.txt is a line based format, and many changes appear in different lines. Main approach to auto merge is generic and works, no matter which program made the changes. There is additional support for automatic resolution of Syncthing conflicts. Special support is needed, because these sync conflicts can happen while 0x54ask is not running.
Filesystem protection: You can pick the directory where todo.txt is. This will be the only directory available for the app. This restriction is enforced by the operating system. The whole filesystem backend was updated to use modern SAF, the Storage Access Framework.
No Internet, ever. There is no INTERNET permission, so the operating system prevents app from accessing the Internet. Any synchronization is handled by other applications of your choice, Syncthing (Syncthing fork) recommended. You can also use the app completely offline. Also, all networking related code was removed from the app.

And of course, 0x54ask is Free, Open Source Software under GPL 3 license. I used new name and app id for 0x54ask, while also giving credit to upstreams of this fork. This way, upstream gets credit for their work, but not reports for my bugs.

Background # ↑

The original SimpleTask Cloudless aka simpletask-android was developed by Mark Janssen. The original is now archived and removed from F-Droid. The design and UI felt great, and I could not find an alternative that could compete.

0x54ask is a fork of willemw12/simpletask-android by Willem W, a fork of the original SimpleTask. Forking made sense, since some of the changes were large (SAF backend), some removed code (networking), and a key promise is not necessarily shared (no Internet in 0x54ask, no plans for Internet in 0x54ask). Like original SimpleTask, willemw12 fork still asked for access to all files and photos on the phone. The fork had many improvements over the original, so it felt like a good starting point.

Artificial intelligence was used to help create the improvements after forking.

The task format is todo.txt by Gina Trapani. Todo.txt works well with calendar.txt.

Download # ↑

Download 0x54ask installer apk or read sources on GitLab.

Adminstrivia # ↑

"Get it on" F-Droid logo property of F-Droid contributors.

Sovellusten hakkerointi

2026-08-18T15:03:00+03:00

Find vulnerabilities in your app - before criminals do.

This is "Application hacking" in Finnish: "Sovellusten hakkerointi ja haavoittuvuudet". In nerd speak, it's reverse engineering. You'll learn Ghidra, gdb and similar.

Co-taught with Lari Iso-Anttila. Sold out, queue started.

Visitor: Otto Ebeling hacked crypto and got big money - legally and ethically. (Maybe OSINT his Ltd 2023)

Update: Extra group started!


Course name	Sovellusten hakkerointi ja haavoittuvuudet
Study guide	Sovellusten hakkerointi ja haavoittuvuudet ICI012AS3A kurssikuvaus, toteutus ICI012AS3A-3004;
Timing	2026 period 1, early autumn (w34-w41) (schedule)
Credits	5 ECTS
Classes	Pasila, classroom pa5001 (Tero) and pa3005 (Lari), bring your laptop. Thu 14:00-16:45.
Max students	30, ~~sold out, queue started~~ Extra group, good change for a place.
Language	Finnish (+reading and writing in English)
Remote	No, fully contact in Pasila classroom, mandatory participation
Feedback	4.3 - 4.8 / 5 Excellent feedback
Services	Moodle: Sovellusten hakkerointi ja haavoittuvuudet. Laksu. Voluntary extra: Tero's list.
Teachers	Tero Karvinen and Lari Iso-Anttila
First class	2026-08-20 w34 Thu 14:30 pa5001, bring your laptop. (Yes, first time starts half an hour later)
Enroll	Extra group starting, come to the first class! ~~Sold out. For a change at a place from the queue, enroll in Peppi and come to the first class.~~

This page will be updated before and during the course.

Schedule # ↑

Thursdays 14:00-16:45 in Pasila, classroom pa5001 & pa3005. Bring your laptop! Check your group (Leijona or Mänty) from Moodle.

Day	Topic (mänty)	Topic (leijona)
2026-08-20 w34 Thu	1. Introduction. Warm-up. Overview. 16:00 Visitor: Janne: Standards and frameworks.	Intro.
2026-08-27 w35 Thu	2. 14:00 normal start time. Hacking in and fixing vulnerabilities from source code pa5001 T. h2	Dynamic analysis. pa3005 L. h5.
2026-09-03 w36 Thu	3. Vierailija Otto Ebeling. Web hacking teardown. pa5001 T h3	Otto. Dynamic analysis 2 [or Crypto] 2. pa3005.
2026-09-10 w37 Thu	4. Ghidra. pa5001 T. h4	Embedded. pa3005. h6.
2026-09-17 w38 Thu	5. Dynamic analysis. Debuggers and gdb. pa3005. h5.	Hack & fix from source. pa5001. h2.
2026-09-24 w39 Thu	6. Embedded systems. pa3005. h6	Web hacking teardown. Ghidra. pa5001. h4.
2026-10-01 w40 Thu	7. Happy Hacking Day No regular classes - visit Happy Hacking Day instead.	Happy hacking day.
2026-10-08 w41 Thu	8. Capture the Flag. Tero and Lari.	CTF.

This is an advanced course, so topics may change as the course progresses. We expect only the topics change, the dates and the hours are expected to stay unchanged.

Prerequisites # ↑

At the start of the course, you should know:

Programming basics
Linux basics
Installing Linux on a virtual machine on your own laptop

For this Finnish implementation, you should be able to speak Finnish fluently; and read and write Finnish and English.

Prior knowledge acquired in any way is acceptable. Knowledge can be obtained, for example, from "Linux Servers" or "Programming 1" courses, but self-study is also fine.

Prerequisites may be verified with a survey if necessary, and course participants may be selected based on an initial test if needed.

You can review or learn the skills below before the course if you wish. If you already know the topics, you don't need the review package.

Review Package # ↑

If you already know these things, you don't need the review package. You don't have to learn these specific languages. If an initial test is held during the course, questions won't be limited to the review package content.

Programming Basics # ↑

The course involves coding and reading code
Any language works (e.g., Python or C).
Some students say that C is new to them but very useful in reverse engineering.
Variable, data types (int, float, string, array/list), conditional statement (if-else), loops (for, while), function, class (class, object), execution order
You can write simple programs
You can read programming language and library manuals; and search the web for solutions to simple problems

If you want to review Python on Linux, you can start writing code like this:

$ python3
>>> print("Hello, Tero!")
>>> exit()

$ nano hello.py

And here you can write your program:

print("Hello, Tero!")

Save in nano with ctrl-X, y, enter. I personally install the 'micro' editor when I code more.

$ python3 hello.py
Hello, Tero!

And the language basics are explained here:

I often review languages by writing a bunch of easy warm-up programs.

Linux Basics # ↑

Linux is used as a tool. Basic skills are sufficient. The course does not require extensive Linux administration skills.

Using the command line
Root privileges (sudo)
Package management (apt-get)
Directory structure (e.g., /home/tero/, /etc/, /, /var/log, /usr/bin/, /usr/local/bin/)
Logs (sudo journalctl -n 20; /var/log/apache2/error.log)

Learn the commands from: Karvinen 2020: Command Line Basics Revisited

The easiest way to review is to install Linux on a virtual machine and play with it.

Installing Linux on a Virtual Machine # ↑

For example, installing Debian in VirtualBox (instructions below)
You can use other virtualization solutions if you can adapt and solve related challenges yourself (e.g., QEMU, lib-virt, virt-manager...)

Students have installed hundreds of Linuxes with this installation guide: Install Debian on Virtualbox - Updated 2024

(For Macintosh users: Apple Macintosh M1, M2, M3, M4... is not suitable for the course. Macs use arm64 architecture, course requires amd64 (x86-64). It's recommended to bring a regular PC laptop for the course, as many applications and virtual machines used in exercises are only available for this more common amd64 architecture. We recommend bringing an amd64-based laptop running Linux or Windows.)

Previous Implementations # ↑

Application Hacking and Vulnerabilities ICI012AS3AE-3001 (English) ja ICI012AS3A-3003 (Finnish) 2026p3 alkukevät

All implementations "Application Hacking and Vulnerabilities"

Homework # ↑

Homework report links are submitted to Laksu 24 hours before the contact session. After submitting your own assignment, you peer-assess two classmates' assignments.

Homework is done and reported after each class. Assignments can be published anywhere and the link submitted to Laksu. Homework reports must be in a format viewable directly in a browser, as a regular HTML web page. No odt, no odp, no ppt, no docx, no doc, no pdf. Homework cannot be submitted by email. Links are submitted to Laksu and then two works are peer-assessed. Free web hosting is available from WordPress.com, GitHub.com, and Gitlab.com.

Assignments are official only after they are given at the end of class. Even if the assignment might sometimes be on the web page before class, they should not be done in advance, as they are evaluated according to the given assignment. Significant changes may be made before confirmation.

Homework is reviewed at the next meeting, problems are solved together, and oral feedback is given. The grade for the homework package is given only at the end of the course, but assignments must still be submitted 24 hours before the next class. Those who don't start completing the course by submitting assignments will be removed from the course. Publishing is voluntary but highly recommended. If for some reason you don't dare or otherwise don't want to publish, you can put the work on a web page behind a password (the same password for all homework) and share this password with classmates. If tests on homework topics are held during classes, their points are included in the homework assessment.

Homework must be done by experimenting on a computer and reporting the course of events, unless otherwise stated in the specific subsection. Reports must contain information that can verify the exercises were done and not fabricated.

All sources used must be cited in the report: course assignment page, classmates' reports, man pages, books. The citation must show which information came from which source. If you ask AI for advice, it must be cited as a source, naming the AI model and specifics. AIs hallucinate; it's recommended to verify the information. Summaries or essays must not be generated with AI or similar techniques; they must be written yourself. It is forbidden to generate text with AI, as your classmates will be reading what you wrote.

Homework Tasks # ↑

We embed homework here in a new way, email teacher if you cannot see the tasks.

Loading homework with JavaScript. You can also read homework directly, without JavaScript.

Adminstrivia: This page will update before and during the course. Human verified machine translation was used for parts of this page.

Tunkeutumistestaus

2026-08-12T10:17:00+03:00

Learn to hack computers to protect your own. In the course, you will break into target computers.

Excellent feedback, reached 5.0 out of 5.

Update: Visitors confirmed: Buuri (pentesting banks), Särökaari (attacking identity?), joohoi (creator of ffuf).


Course name and code	Tunkeutumistestaus ICI005AS3A-3007 (study guide)
Timing	2026 period 1 early autumn, w34-w41
Credits	5 cr
Classes	Thursdays 11:00-13:45, Pasila pa5001, bring your laptop
Max students	30
Language	Finnish (+reading material in English)
Remote	No, fully contact in Pasila classroom
Feedback	4.8 / 5 Excellent feedback* (Best instance 5.0/5)
Services	Moodle: Tunkeutumistestaus, Laksu. Voluntary extra: Tero's list.
First class	2026-08-20 w34 Thu 11:00, pa5001, bring your laptop.

* Best instance 5.0/5, every student gave feedback and every feedback was 5. Lowest 4.5/5 excellent, typical 4.9/5 excellent. Use of penetration testing techniques requires legal and ethical considerations. To safely use these tools, tactics and procedures, you might need to obtain contracts and permissions; and posses adequate technical skills. Check your local laws.

Teaching is in Finnish, so the rest of this page will be in Finnish.

Tunkeutumistestaus on eettisen hakkeroinnin kurssi. Opit, miten murtaudutaan tietokoneille, jotta voisit suojata omat ja toimeksiantajan järjestelmät. Nämä tekniikat, ohjelmat ja taktiikat ovat luvallisia vain tietyissä tilanteissa. Usein pitää hankkia lupia ja tehdä sopimuksia. Lisäksi näiden tekniikoiden turvalliseen käyttöön tarvitaan teknistä taitoa. Perehdy itse paikallisiin lakeihin.

Oppimistavoitteet # ↑

Opintojakson suoritettuaan opiskelija

Tuntee tunkeutumistestauksen prosessin pääpiirteissään
Tietää, että tunkeutumistestaukselle on lailliset ja eettiset rajat
Osaa kartoittaa kohdejärjestelmän haavoittuvuuksia
Osaa hyödyntää valmiita hyökkäyksiä (exploit) ja liittää niihin hyötykuorman käyttäen kurssille valittua työkalua
Osaa soveltaa tavallisimpia hyökkäyksiä weppisovelluksia vastaan, kun kohdeohjelmistot ovat helppoja ja haavoittuvia.
Osaa hankkia tunkeutumistestauksessa tarvittavia ohjelmistoja

Kurssilta ei saa mukaansa ilmaista pakettia nollapäivähaavoittuvuuksia, eikä kurssi anna mitään erityisoikeuksia eikä ammattinimikkeitä.

Aikataulu # ↑

Torstaisin 11:00 - 13:45 Pasila pa5001.

Päivä	Aihe
2026-08-20 w34 Thu	1. Tunkeutumisen yleiskuva. Järjestäytyminen. Kybertappoketju. Lopetamme poikkeuksellisesti jo 13:00
2026-08-27 w35 Thu	2. Vierailija Marko Buuri, cybersecurity adviser, Suomen Pankki: DORA & threat lead penetration testing (11:00). Harjoitusympäristöt, ulkopuoliset ja oma virtuaalilaboratorio.
2026-09-03 w36 Thu	3. Aktiivinen tiedustelu. Porttiskannaus ja oheistekniikat. Valvonta snifferillä.
2026-09-10 w37 Thu	4. Vierailija Niklas Särökaari, lead cybersecurity operations engineer, KONE: Attacking identity (topic to be confirmed) (11:00). Weppiin murtautuminen. IDOR, path traversal, SSRF. Välimiesproxyt, ZAP tai mitmproxy. Harjoitusympäristöt weppiin.
2026-09-17 w38 Thu	5. Weppiin murtautuminen. SQLi. Keksit. CSRF. Oman TLS-salatun liikenteen purkaminen.
2026-09-24 w39 Thu	6. Vierailija Joona joohoi Hoikkala, creator of ffuf, ffuf + hacking CSRF with preflight, 11:00).
2026-10-01 w40 Thu	7. Happy Hacking Day normaalien tuntien tilalta.
2026-10-08 w41 Thu	8. Lipunryöstö, arvioitava laboratorioharjoitus.

Tämä on edistynyt kurssi, joten tuntien aiheisiin voi tulla muutoksia kurssin edetessä.

Anna palautetta # ↑

Palaute on todella tärkeä tapa kehittää kurssia – kiitos kommenteista jo etukäteen. Palaute kahteen kanavaan

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään # ↑

Vapaamuotoinen palaute kommenttina tämän kurssisivun perään

Vapaamuotoiseen palautteeseen saa kirjoittaa mitä vain, eikä kysymyksiä tarvitse toistaa. Mutta tässä vinkiksi:

Opitko jotakin – eli osaatko nyt sellaista, mitä et osannut ennen kurssia?
Teitkö jotain ensimmäistä kertaa? Hyökkäsit weppiin, käytit jotain työkalua, skannasit kokonaisen verkon; käytit jotain kieltä, tekniikkaa tai työkalua?
Mitä mieltä kustakin vierailijasta? (Marko / Suomen Pankki, pankkien uhkalähtöinen testaus; Niklas / KONE hyökkääminen identiteettiin; Joona, fuff:n tekijä esittelee työkalunsa)
Oliko opittu hyödyllistä? Luuletko, että sille on käyttöä esim. tulevaisuudessa töissä tai kotona?
Mitä mieltä olit läksyistä? Luku/video/podcast -materiaalista? Hands-on tehtävistä?
Miten voisin parantaa kurssia?
Viihdyitkö kurssilla?
Suosittelisitko kurssia? Kenelle kurssi sopisi? Koulutoverille tai kollegalle?

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa # ↑

Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa

Numeerisen palautteen avulla mm. verrataan Haaga-Helian kursseja toisiinsa. On tärkeää saada jokaiselta palaute, jotta tulos on tilastollisesti merkitsevä.

Numeeriset: Asteikko 1-välttävä (huonoin) ... 5-kiitettävä (paras)

Oma aktiivisuutesi opiskelussa 1-5
Osaamistavoitteiden saavuttaminen 1-5
Työskentelytavat tukivat oppimista 1-5
Opiskeluympäristö tuki oppimista 1-5
Hyödyllisyys työelämään 1-5

Avoimet kysymykset (näihin voi myös kopioida samat vastaukset jotka kirjoitit aiemmin)

Mitkä asiat edistivät oppimistasi?
Miten kehittäisit toteutusta / toteutuskokonaisuutta, jotta osaamistavoitteet saavutettaisiin paremmin?

Kokonaisarviosi toteutuksesta / toteutuskokonaisuudesta 1-5

Suosittelisitko 1 - 10 (1 en varmasti, 10 aion varmasti suositella tai olen jo suositellut)

Kiitos palautteesta ja jännittävästä kurssista! Seuraavilla kursseilla nähdään.

Kertausmateriaalia # ↑

Tämä materiaali on vapaaehtoista, jos osaat ne jo. Lähteet ovat esimerkkejä, voit osata/opetella nuo asiat mistä vain haluat. Esimerkiksi ohjelmoinnin alkeita harjoitella tai osata aivan millä vain kielellä (Python, C...). Jos kurssilla järjestetään alkutesti, kysymykset eivät rajoitu kertauspaketin materiaaliin.

TCP/IP-pino: Wikipedia: Internet protocol suite
Linuxin komentokehote: Command Line Basics Revisited (ja Linuxin asennus Install Debian on VirtualBox)
Tietokantojen alkeet (millä vain alustalla): PostgreSQL Install and One Table Database - SQL CRUD tutorial for Ubuntu
Ohjelmoinnin alkeet (millä vain kielellä). Python on myös hyvä vaihtoehto. FreeCodeCamp.org: Javascript Algorithms And Data Structures Certification: Basic JavaScript: Introduction to JavaScript

Luettavaa ja linkkejä # ↑

€ Maksulliset aineistot saattavat näkyä ilmaiseksi Haaga-Helian tunnuksilla kirjaston kautta. Haaga-Helialla on käyttöoikeus O'Reilly Learning -kirjoihin (ent. Safari).

Työkaluja kurssille

Install Debian on VirtualBox
Remote Learning Tools for Tero's Courses
Kali Linux. Uusi levykuva kali-linux-2021.1-live-amd64.iso (vanha levykuva kali-linux-2020.3-live-amd64.iso). Kun linkki menee vanhaksi, etsi Kalin kotisivulta tuorein amd64-arkkitehtuurin live-tikun iso-kuva.

L2 weppihyökkäyksiä - tukee läksyä h2

OWASP 10 2017 (pdf), erityisesti ne hyökkäykset, joita aiot kohta tehdä eli A2 Broken Authentication, A3 Sensitive Data Exposure, A7 Cross Site Scripting; sekä viime kerralla harjoiteltu A1 Injection.
€ Santos et al 2018: Hacking Web Applications The Art of Hacking Series LiveLessons (video): Security Penetration Testing for Today's DevOps and Cloud Environments: 6.3 Understanding SQL Injection ja 6.4 Exploiting SQL Injection Vulnerabilities sekä Lesson 5: Authentication and Session Management Vulnerabilities
€ Percival & Samancioglu 2020: The Complete Ethical Hacking Course (video): Chapter 21: Cross Site Scripting
Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains

Yleiskuva, harjoitusmaaleja, web

MITRE ATT&CK
Darknet Diaries . Podcastien kuunteluun kännykällä AntennaPod löytyy F-Droidista
MitmProxy on Kali and Xubuntu
Install Webgoat 8 - Learn Web Pentesting. (It's also possible to install old version 7 of WebGoat with Docker).
OWASP 10 2017 (pdf). Tällä hetkellä 2021-02-02 uusin versio.

Aktiivinen tiedustelu. HackTheBox.

€ Santos et al: The Art of Hacking (Video Collection): [..] 4.3 Surveying Essential Tools for Active Reconnaissance: Port Scanning and Web Service Review
man nmap (laaja, silmäily riittää)
Kokonaisia blogeja ja videokanavia, vilkaise, ei tarvitse katsoa 200 h videota:
- https://tools.kali.org/tools-listing
- 0xdf https://0xdf.gitlab.io/
- ippsec https://www.youtube.com/channel/UCa6eh7gCkpPo5XXUDfygQQA/videos
- John Hammond https://www.youtube.com/user/RootOfTheNull/videos?sort=p
- Youtube-videoiden katseluun kännykällä NewPipe F-Droidista. Youtube-videoiden nopeuden säätöön codebicycle Video Speed Controller addon Firefoxille.

Passwords, Learning to Learn tools

infosecn1nja 2020: Red-Teaming-Toolkit
Taylor et al 2018: The Art of Hacking: Hacking User Credentials €

Web Fuzzing, Second to Last Words

Hoikkala "joohoi" 2020: ffuf - Fast web fuzzer written in Go
Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual Meetup #1.
Miettinen 2020: iPhone BFU Acquisition and Analysis. In HelSec Virtual Meetup #1.

Metasploit

€ Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta "Conducting a penetration test with Metasploit" luvun loppuun)
Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer (Article uses rapid7/metasploitable3-ub1404 , see also "rapid7/metasploitable3-win2k8")

Vanhoja toteutuksia # ↑

Tunkeutumistestaus ICI005AS3A-3004 - 2026 loppukevät

Tunkeutumistestaus ICI001AS3A-3002 - 2024p4-loppusyksy

Tunkeutumistestaus 2024p2

Tunkeutumistestaus ici005as3a-3001 loppukevät pa2004

Tunkeutumistestaus ict4tn027-3012 loppusyksy online

Tunkeutumistestaus ict4tn027-3009

Tunkeutumistestaus ict4tn027-3010 - Syksy 2022

Tunkeutumistestaus ict4tn027-3007 - 2022p4 late spring

Tunkeutumistestaus ict4tn027-3008 - 2021 Autumn

itc4tn027-3005: Tunkeutumistestaus eli eettinen hakkerointi -kurssi

Penetration Testing Course 2020 Autumn - Tunkeutumistestaus ict4tn027-3006

Penetration Testing Course 2020 Spring - Tunkeutumistestaus ict4tn027-3003

Haku "Tunkeutumistestaus"

Läksyt # ↑

Palauta linkki Laksuun 24 h ennen seuraavaa lukujärjestykseen merkittyä kurssivarausta. Tehtävät ovat pakollinen ja tärkeä osa kurssia.

Läksyt ovat virallisia vasta, kun ne on vahvistettu (yleensä oppitunnin päätteeksi). Tämä on edistynyt kurssi, joten ohjelmaan tulee yleensä muutoksia kurssin aikana. Osa tehtävistä edellyttää huolellisuuden lisäksi tietoja ja taitoja työkalujen käytöstä, jottei synny vahinkoja - tee vasta, kun tiedät oikeat työtavat.

Läksyt käydään läpi seuraavalla tapaamiskerralla, ratkotaan yhdessä ongelmia ja annetaan suullista palautetta. Arvosana kotitehtäväpaketista tulee vasta kurssin lopuksi, mutta tehtävät tulee silti palauttaa aina vuorokautta ennen seuraavia tunteja. Julkaiseminen on vapaaehtoista, mutta erittäin suositeltavaa. Jos et jostain syystä uskalla tai muuten halua julkaista, voit laittaa työn weppisivulle salasanan taakse (kaikille kotitehtäville sama salasana) ja jakaa tämän salasanan kurssilaisten kanssa. Jos tuntien yhteydessä järjestetään testejä läksyjen aiheista, niiden pisteet sisältyvät arvostelun kohtaan läksyt.

Läksyt pitää tehdä tietokoneella kokeilemalla ja raportoida tapahtumien kulku, ellei kyseisessä alakohdassa erikseen muuta lue. Raportti tulee kirjoittaa samalla, kun työskentelee.

Kaikki käytetyt lähteet tulee merkitä raporttiin: kurssin tehtäväsivu, kurssikavereiden raportit, man-sivut, kirjat.

Tiivistelmiä tai esseitä ei saa generoida tekoälyllä eikä muilla vastaavilla tekniikoilla, vaan ne on kirjoitettava itse. Mikäli tekoälyltä kysyy neuvoa, se on merkittävä lähteeksi. Tekoälyt hallusinoivat, tiedot on suositeltavaa tarkistaa. Tehtävät tulee tehdä itse, eikä niitä tule antaa suurelta osin tekoälyn ratkaistavaksi. Sehän olisi sama kuin ostaa punttisjäsennyys - ja nokkelasti jättää käymättä punttisalilla.

Kaksi ristiinarviota (vähintään) per palautettu tehtävä. Ristiinarvioilla harjoitellaan palautteen antamista ja analyysia. Anna sisällöllisiä kommentteja, parannusehdotuksia, neuvoja.

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt.

h1 Kybertappoketju # ↑

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt. Koneet on eristettävä Internetistä hyökkäysten harjoittelun ajaksi.

Tehtävät ovat virallisia vasta, kun ne on annettu tehtäväksi. Niitä ei tule aloittaa etukäteen, koska niiden sisältö voi vielä muuttua olennaisesti.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Kannataa lisätä kustakin oma huomio, idea tai kysymys.)
- Herrasmieshakkerit (RSS) tai Darknet Diaries (RSS) , yksi vapaavalintainen jakso jommasta kummasta. Voi kuunnella myös lenkillä, pyykiä viikatessa tms. Siisti koti / hyvä kunto kaupan päälle.
- Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, chapters Abstract, 3.2 Intrusion Kill Chain.
- € Santos et al: The Art of Hacking (Video Collection): 4.3 Surveying Essential Tools for Active Reconnaissance. Sisältää porttiskannauksen. 5 videota, yhteensä noin 20 min.
- KKO 2003:36. (Vain silmäily, ei tarvitse lukea kokonaan eikä varsinkaan tehdä syvällistä analyysia).
a) Asenna Kali virtuaalikoneeseen. (Jos asennuksessa ei ole mitään ongelmia tai olet asentanut jo aiemmin, tarkkaa raporttia tästä alakohdasta ei tarvita. Kerro silloin kuitenkin, mikä versio ja millä asennustavalla. Jos on ongelmia, niin tarkka ja toistettava raportti).
b) Irrota Kali-virtuaalikone verkosta. Todista testein, että kone ei saa yhteyttä Internetiin (esim. 'ping 8.8.8.8')
c) Porttiskannaa 1000 tavallisinta tcp-porttia omasta koneestasi (nmap -T4 -A localhost). Selitä komennon paramterit. Analysoi ja selitä tulokset.
d) Asenna kaksi vapaavalintaista demonia ja skannaa uudelleen. Analysoi ja selitä erot.
e) Ratkaise vapaavalintainen kone HackTheBoxista. Omalle tasolle sopiva, useimmille varmaan Starting Pointista. Valitse kone, jota et ole ratkaissut vielä. Ei tunnilla näytetty Meow. (Propellihatuille: jos teet vaikeampia ei-starting-point koneita, niin retired tai vastaava kone, josta saa julkaista writeupin).

Vinkkejä

Sivun tekeminen wepiin onnistuu helposti Githubilla. Karvinen 2023: Create a Web Page Using Github
Podcastien kuunteluun AntennaPod löytyy F-Droid:sta ja Google Play:sta. Tietysti podcasteja voi kuunnella sadoilla muillakin ohjelmilla.
Halutessasi voit käyttää myös muita virtualisointiympäristöjä kuin VirtualBoxia, esim Macilla UTM tai Linuxilla virt-manager (libvirt, qemu). Tämä edellyttää toki omaa soveltamista.
Suosittelen Kaliin 4 GB muistia
OffSec Ltd 2023: Prebuilt Virtual Machines
Tutustu tarvittaessa itse etsimiisi lähteisiin, kuten man-sivuihin ja ohjelmien dokumentaatioon.
HackTheBox:n OpenVPN-yhteyden asennus (ulkomuistista)
- Oikea HackTheBoxin alue on "Practice hands-on Labs" https://app.hackthebox.com/home (ei Academy)
- Tallenna ruutukaappaus säännöistä ennen aloitusta. HTB oikealla ylhäällä, kysymysmerkin alla.
- Lataa Starting Point foo.ovpn
  - Connect-nappi, HackTheBoxin oikeassa yläreunassa
  - Oikealla ylhäällä "Connect", "Starting point"
- Tuo (import) yhteys Network Manager:iin
  - Network manager - Linuxissa ala/yläpalkissa tarjottimella (tray, notification area), naaras ethernet-portin kuva tai koneet haalaavat -ikoni (riippuen versiosta). Tai komentoriviltä 'nmcli'.
  - VPN Connections: Create. "Import" on alimmaisena, ja valikkoa pitää kelata alaspäin.
- VPN päälle, testaus.
  - VPN päälle löytyy samasta Network Manager -kuvakkeesta.
  - 'ping 8.8.8.8' - pitäisi toimia (vastata) VPN pois päältä, ja lakata vastaamasta kun laitat VPN päälle.
Muista laittaa lähdeviitteet. Viittaa joka tehtävästä kurssiin ja kaikkiin muihinkin käyttämiisi lähteisiin.
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston Haaga-Helia A-Z kautta.
Kun olet irroittanut Internetin ja valmiina skannaamaan, varmista. Kokeile, että Google tai DuckDuckGo ei aukea selaimella, että et voi pingata esim 8.8.8.8. Kokeile, että maalikoneesi vastaa pingiin. Jos maalikoneella on weppipalvelin, kannattaa katsoa selaimella, että sieltä aukeaa olettamasi sivu.
Tietoja verkosta
- ip a; ifconfig
- ip route
- ipcalc 10.0.0.1/24
- ping 8.8.8.8
Ole huolellinen, irrota harjoituskoneet Internetistä skannausten ja hyökkäysten ajaksi. Mitään ulkopuolisia koneita ei saa skannata eikä mihinkään ulkopuolisiin koneisiin saa tunkeutua.
Jokin tehtävä voi olla vaikea. Tee ja raportoi silloin kaikki mitä osaat. Listaa lähteet, joista hait ohjeita. Onko jotain vielä kokeiltavana? Mitä haasteita on vielä ratkaisun tiellä? Mitä virheimoituksia tai vastaavia tulee? Voit myös katsoa wepistä esimerkkiratkaisun - muista viitata lähteeseen ja merkitä, missä kohdassa katsoit ratkaisua. Ja katsotaan yhdessä tunnilla loput.
Ongelmallisista kohdista raportoidaan erityisen tarkasti, jotta voimme antaa vinkkejä haasteisiin.

h2 DORA the Explora # ↑

Can you say TIBER-FI?

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma havainto, idea tai kysymys)
- Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)
- DORA (Regulation ... on digital operational resilience for the financial sector) (vain nämä kaksi artiklaa):
  - Article 26 "Advanced testing of ICT tools, systems and processes based on TLPT"
  - Article 27 "Requirements for testers for the carrying out of TLPT"
- TIBER-FI procedures and guidelines (pdf, 1 MB) (vain tämä kohta):
  - 5.4 Testing phase: Red team testing (johdantokappale suoraan 5.4 alta, "5.4.1 Red team test plan creation" alkuun asti)
- Vapaaehtoinen bonus: Buuri 2026: D26 - Releasing Your Inner TIBER in Regulated Adversary Simulations. Video, 45 min. Disobey 2026.
a) Asenna Metasploitable 2 virtuaalikoneeseen.
b) Tee Kalin ja Metasploitablen välille virtuaaliverkko. Jos säätelet VirtualBoxista
- Kali saa yhteyden Internettiin, mutta sen voi laittaa pois päältä
- Kalin ja Metasploitablen välillä on host-only network, niin että porttiskannatessa ym. koneet on eristetty intenetistä, mutta ne saavat yhteyden toisiinsa
c) Harjoittelemme omassa virtuaaliverkossa, jossa on Kali ja Metaspoitable. Osoita testein, että 1) koneet eivät saa yhteyttä Internetiin 2) Koneet saavat yhteyden toisiinsa.
d) Etsi Metasploitable porttiskannaamalla (nmap -sn). Tarkista selaimella, että löysit oikean IP:n - Metasploitablen weppipalvelimen etusivulla lukee Metasploitable.
e) Porttiskannaa Metasploitable huolellisesti ja kaikki portit (nmap -A -T4 -p-). Poimi 2-3 hyökkääjälle kiinnostavinta porttia. Analysoi ja selitä tulokset näiden porttien osalta. Voit hakea analyysin tueksi tietoa verkosta, muista merkitä lähteet.
f) Vapaaehtoinen bonus: Sisään vaan. Pääsetkö murtautumaan Metasploitableen?
g) Vapaaehtoinen bonus: jos haluat, voit jo kokeilla metasploit-hyökkäysohjelmaa omaan harjoitusmaaliisi. Tätä katsotaan myöhemmin yhdessäkin. (Muista irrottaa kone Internetistä kokeilujen ajaksi. 'sudo msfdb init', 'sudo msfconsole').

Vinkkejä

Virtuaalikoneiisin voi asentaa uusia verkkokortteja vain, kun ne ovat sammuksissa
Kannattaa lukea Valkamon artikkelista VirtualBox-osuus ennenkuin ryhdyt asentamaan virtuaalikoneita. Valkamo 2022: Hacking into a Target Using Metasploit: Metasploitable
VirtualBoxissa host-only-networking on kätevä. Voit laittaa Kaliin kaksi verkkokorttia, toinen NAT:lla Internetiin ja toinen host-only-network:n. Verkkoasetusten advanced-kohdasta voi vetää virtuaalisen verkkokaapelin irti ja kiinni, vaikka kone on päällä.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.

h3 EternalHomework # ↑

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva.)
- € Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta Conducting a penetration test with Metasploit luvun loppuun eli "Summary" loppuun)
- Mitä 'nmap -sn' tekee? Älä arvaa, vaan perustele lähteillä. Mistä tiedät, että käyttämäsi lähde on luotettava?
b) Tallenna porttiskannauksen tuloksia Metasploitin tietokantoihin. Skannaa niin, että Metasploitable tulee mukaan. Kannattaa ottaa mukaan ainakin versioskannaus -sV (joka on banner grabbing plus).
c) Tarkastele Metasploitin tietokantoihin tallennettuja tietoja komennoilla "hosts" ja "services". Kokeile suodattaa näitä listoja tai hakea niistä.
d) Internet famous. Etsi Metasploitablen mukana tulevista hyökkäyksistä (en: exploits; search) sellainen, joka on ollut julkisuudessa.
e) Vertaile nmap:n omaa tiedostoon tallennusta (-oA foo) ja db_nmap:n tallennusta tietokantoihin. Mitkä ovat eri tiedostomuotojen ja Metasploitin tietokannan hyvät puolet?
f) Murtaudu Metasploitablen vsftpd-palveluun
g) Kerää levittäytymisessä (lateral movement) tarvittavaa tietoa metasploitablesta. Analysoi tiedot. Selitä, miten niitä voisi hyödyntää.
h) Murtaudu Metasploitableen jollain toisella tavalla. (Jos tämä kohta on vaikea, voit tarvittaessa turvautua verkosta löytyviin läpikävelyohjeisiin. Merkitse silloin raporttiin, missä määrin tarvitsit niitä).
i) Demonstroi Meterpretrin ominaisuuksia.
j) Tallenna shell-sessio tekstitiedostoon script-työkalulla (script -fa log001.txt) tai tmux:lla.
k) Pivot point. Laita kaikki harjoituksen tiedostot (script -fa, nmap -oA...) samaan kansioon. Hae sopiva pivot point (sovellus, versio, osoite, MAC-numero) 'grep -r' -komennolla. Keksi uskottava esimerkkikysymys, johon haet vastausta.
l) Attaaack! Mitä Mitre Attack taktiikoita ja tekniikoita käytit tässä harjoituksessa? (Tässä alakohdassa "Attaack!" ei tarvitse tehdä lisää testejä koneella, koska testit on jo tehty.)
m) Vapaaehtoinen: Etsi esimerkki Mitre Attack proseduurista (procedure), jossa joku uhkatoimija on käyttänyt samoja tekniikoita.
n) Vapaaehtoinen: Titityy. Saatko Metasploitableen tty-shellin, eli esimerkiksi avattua koko ruudulle piirtävän nano:n?
o) Vapaaehtoinen, vaikea: Kokeile jotain kilpailevaa hyökkäystyökalua tai vihamielistä etäkäyttötyökalua, kuten Sliver tai Scarecrow.
p) Vapaaehtoinen: Asenna ja korkkaa Metasploitable 3. Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer
q) Vapaaehtoinen: Peekaboo. Demonstroi, kuinka hyökkääjä vakoilee meterpreterillä. Kuuntele mikrofonilla, ota kuvia tai videota kameralla. (Huolehdi, ettei ulkopuolisia joudu kuunnelluksi tai katselluksi.)

Vinkkejä

O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.
Murtautumiseen Metasploitable 2:n löytyy esimerkkiratkaisuja Metasploitable 2 Exploitability Guide. Tämä on läpikävelyohje, joten kannattaa yrittää ensin itse.
Mitre Attack Enterprise Matrix
- Tactic, välitavoitteita, esim. TA0003 Persistence
- Techique, keinoja, esim. T1189 Drive-by Compromise
- Mitre FAQ
grep -ir
- grep -ir -C 3 --color=always terokarvinen.com|less -R

MsfConsole vinkit (ulkomuistista)

Tässä siis ulkomuistista, voit etsiä näistä lisätietoa ja oikean kirjoitusasun.

$ sudo msfdb init
$ sudo msfconsole
msf> db_nmap localhost

msf> services
msf> hosts
msf> 
msf> workspaces 
msf> sessions
msf> sessions --help
msf> 
msf> search vsftpd
msf> use 0
msf> setg RHOSTS 127.0.0.1	# huolellisesti, tähän hyökätään kohta
msf> 
msf> show options
msf> exploit
msf> 
msf> sessions 1

shell
ctrl-Z 

msf> session -u 1

h4 Täysin Laillinen Sertifikaatti # ↑

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista - ei pitkiä esseitä. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- OWASP 2021: OWASP Top 10:2021
  - A01:2021 – Broken Access Control (IDOR ja path traversal ovat osa tätä)
- PortSwigget Academy:
a) Totally Legit Sertificate. Asenna OWASP ZAP, generoi CA-sertifikaatti ja asenna se selaimeesi. Laita ZAP proxyksi selaimeesi. Laita ZAP sieppaamaan myös kuvat, niitä tarvitaan tämän kerran kotitehtävissä. Osoita, että hakupyynnöt ilmestyvät ZAP:n käyttöliittymään. (Voi vaatia Firefox about:config network.proxy.allow_hijacking_localhost. Foxyproxy laittoi tämän aiemmin päälle itse. Kalin Firefox ESR oli viimeksi ongelmia Foxyproxyn kanssa - vaihtoehtona on asettaa Proxy käsin Settings, hakusana "proxy")
b) Kettumaista. Asenna "FoxyProxy Standard" Firefox Addon, ja lisää ZAP proxyksi siihen. Käytä FoxyProxyn "Patterns" -toimintoa, niin että vain valitsemasi weppisivut ohjataan Proxyyn. (Läksyssä ohjataan varmaankin PortSwigger Labs ja localhost.)
PortSwigger Labs. Ratkaise tehtävät. Selitä ratkaisusi: mitä palvelimella tapahtuu, mitä eri osat tekevät, miten hyökkäys löytyi, mistä vika johtuu. Kannattaa käyttää ZAPia, vaikka malliratkaisut käyttävät harjoitusten tekijän maksullista ohjelmaa. Monet tehtävät voi ratkaista myös pelkällä selaimella. Malliratkaisun kopioiminen ZAP:n tai selaimeen ei ole vastaus tehtävään, vaan ratkaisu ja haavoittuvuuden etsiminen on selitettävä ja perusteltava.
- Cross Site Scripting (XSS)
  - c) Reflected XSS into HTML context with nothing encoded
  - d) Stored XSS into HTML context with nothing encoded
  - e) Selitä esimerkin avulla, mitä hyökkääjä hyötyy XSS-hyökkäyksestä. Alert("Hei Tero!") ei vielä tarjoa kummoista pääsyä. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella, pelkkä lyhyt ja selkeä selitys riittää.)
- Path traversal
  - f) File path traversal, simple case. Laita tarvittaessa Zapissa kuvien sieppaus päälle.
  - g) File path traversal, traversal sequences blocked with absolute path bypass
  - h) File path traversal, traversal sequences stripped non-recursively
- Insecure Direct Object Reference (IDOR)
  - i) Insecure direct object references
j) Vapaaehtoinen, helppo: Asenna pencode ja muunna sillä jokin merkkijono (encode a string).
k) Vapaaehtoinen: Mitmproxy. Asenna MitmProxy. Esittele sitä terminaalissa (TUI). Ota TLS-purku käyttöön. Poimi historiasta hakupyyntö, muokkaa sitä ja lähetä uudelleen.
l) Vapaaehtoinen: Ratkaise lisää PortSwigger Labs -tehtäviä. Kannattaa tehdä helpoimmat "Apprentice" -tason tehtävät ensin.

Vinkit

Firefox ei enää ohjaa proxyyn liikennettä mihinkään 127-alkuiseen IP-osoitteeseen eikä localhostiin. Foxyproxy tai about:config network.proxy.allow_hijacking_localhost auttaa
Zap asennus
- Nykyisin Kalissa 'sudo apt-get install zaproxy', 'zaproxy' näytti toimivan, joten kannattaa kokeilla sitä ensin.
- OWASP ZAP Download-sivun sopivin JAR on "Cross Platform Package", noin 250 MB.
- Kalissa 'sudo apt-get install zaproxy'
Proxya voi testata vaikkapa Metasploitablen weppipalveluiden kanssa. Tai asentaa WebGoatin Podmaniin. Tai käyttää läksyn PortSwigger Labsin harjoituksia.
- Älä tee hyökkäyksiä mihinkään muualle kuin harjoitusmaaleihin
ZAP TLS-yhteyksien avaamiseen CA-sertifikaatti
- Löytyy Tools: Options: Network alta, hakusanaksi "Certificate".
  - Joissain versioissa haku ei suodata listaa, vaan värittää osumat oranssilla. Ja tietysti oikea sertifikaatti on piilossa, niin että pitää klikkaamalla avata listaa. Sertifikaattikohtia on kaksi, tässä turha asiakkaan sertifikaatti ja oikea, tarvittava palvelimen sertifikaatti (Server Certificate tms).
- Firefoxissa Settings ja hakusanaksi "Certificate"
ZAP:n tärkein toiminto: Requester tab.
- Löytyy historiasta oikeaa nappia painamalla. Myös Ctrl-W.
- Muokkaa hakupyyntöä ja lähetä. Vastaus näkyy vieresssä. Korjaa ja lähetä uudelleen.
ZAP hakupyynnön pysäytys
- Vain, jos Requester eli saman pyynnön uudelleenlähetys ei toimi.
- Puussa olevista osoitteista oikeaa nappia, menusta "Break..."
- Tee pyyntö selaimella
- Pyyntö näkyy ZAPissa oikealla ylhäällä "Break" välilehdellä.
- Muokaa pyynnön tekstiä, lähetä eteenpäin yläreunan työkalupallin Play-symbolia klikkaamalla
ZAP kuvien sieppaus muistaakseni Options: Display: ...images.
- Osa tässäkin läksynä olevista harjoituksista edellyttää, että kuvien sieppaus on päällä.
- Monissa ZAP:n versioissa jättää kokonaan kuvat näyttämättä oletuksena.
PortSwiggerin tehtävissä voi käyttää välimiesproxyna ZAP:ia tai MitmProxya. Ei siis tarvitse ostaa noiden harjoitusten tekijän kuuluisaa ohjelmaa.
Pencoder - loistava ohjelma stringien muunteluun fuff:n tekijältä. Esim. URLEncode, base64...
- Pencoder asennus ulkomuistista: hae Github-sivu "fuff pencode", Releases, pencode*linux_amd64.tar.gz, pura paketti, aja valmis binääri, kopioi se /usr/local/bin/.
Viittaa
- Viittasithan kurssiin ja tehtäväsivuun?
- Viittasithan kaikkiin käyttämiisi artikkeleihin?
- Viittasithan muiden tehtäväraportteihin, jos käytit lähteenä?
- Videoihin, man-sivuihin, ohjelmiin, StackOverflowhun...
- Viittasithan kaikkiin muihinkin lähteisiin?
Hakkeroimaan oppii hakkeroimalla.

h5 Elokuu2026! # ↑

Nyt levitään! Opit murtamaan salasanoja.

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- Karvinen 2022: Cracking Passwords with Hashcat
- Karvinen 2023: Crack File Password With John
- Vapaaehtoinen: € Santos et al 2017: Security Penetration Testing - The Art of Hacking Series LiveLessons: Lesson 6: Hacking User Credentials (8 videos, about 30 min)
a) Asenna Hashcat ja testaa sen toiminta murtamalla esimerkkisalasana.
c) Asenna John the Ripper ja testaa sen toiminta murtamalla jonkin esimerkkitiedoston salasana.
e) Tiedosto. Tee itse tai etsi verkosta jokin salakirjoitettu tiedosto, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi).
f) Tiiviste. Tee itse tai etsi verkosta salasanan tiiviste, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi. Voit esim. tehdä käyttäjän Linuxiin ja murtaa sen salasanan.)
g) Sanakirja. Oman sanakirjan teko parantaa onnistumismahdollisuuksia. Demonstroi, kuinka teet oman sanakirjan hashcat:n tai john:iin.
h) Hash rules. Näytä esimerkki HashCatin sääntöjen käytöstä (rules).

Vinkit

Sanakirjan teko, vaihtoehtoja
- cewl (verbose, limit depth)
- copy-paste, sanat erilleen, duplikaatit pois
- Elokuu2026!, Syyskuu2026!...
Hashcatin säännöistä best64 on kokeilemisen arvoinen
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.

h6 Fuzzy Feeling Upon Finding # ↑

Opit käyttämään maailman johtavaa weppifuzzeria: ffuf. Ja tunnilla sen opetti joohoi.

x) Lue/katso/kuuntele. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys. [Päivitys 2026-09-25 w39 Fri: laitoin Hoikkalan kalvot tähän mukaan, kun sain luvan.]
- Hoikkala 2026: Fuzzing with Fuff, kalvot joohoin esityksestä kurssilta.
- Vapaaehtoista lisälukemistoa
  - Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf
  - Hoikkala 2026: ffuf README.md
  - Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual meetup #1. (Noin tunnin mittainen)
Vaultline https://ffuf.io.fi/play
- a) Tallenna itsellesi kopio säännöistä. Kirjoita omin sanoin,
  - Scope. Mikä on kohde?
  - Rules of engagement. Mitä sille saa tehdä, eli mitä tai millaisia menetelmiä saa käyttää?
  - Mihin oikeutesi tehdä tietoturvatestausta tähän kohteeseen perustuu?
  - Riskit ja mitigointi. Tuo palvelin on Internetissä. Tunnista lyhyesti riskit ja niiden mitigointi ennen käytännön harjoittelua.
- b) Asenna ffuf versio, joka tukee aivan uutta preflight-ominaisuutta.
- c1) Content discovery (Vaultline https://ffuf.io.fi/play tehtävät on numeroitu näin, käytetään tässä samoja.).
- c2) The interesting non-200
- c3) Recursion
- c4) Virtual hosts
- c9) The login you cannot replay (Has preflight! Has CSRF token!)
- Vapaaehtoisena muut Vaultlinen tehtävät
Vapaaehtoinen: mainosta kavereille Happy Hacking Day:ta! Linkkiä saa jakaa.

Vinkit

Koneiden fuzzaaminen vaati etukäteisen kirjallisen luvan. Testaamisen mikään osa ei saa kohdistua kohteen (scope) ulkopuolisiin palveluihin. Tässä harjoituksessa fuzzataan julkisen verkon yli vain joohoin https://ffuf.io.fi/play -sivua
Preflight
- Preflight avulla voit hyökätä CSRF-suojattuihin lomakkeisiin, vaikkapa renkuttaa salasanoja netin yli. Kiitos joohoi, tämä ominaisuus oli minun toiveeni!
- Vaultline: "preflight shipped in ffuf v2.3.0. Older builds do not have the flag at all: ffuf -h|grep -c preflight should not print 0."
- Viimeisin versio löytyy ffuf:n Github-reposta. Releases-kohdasta saa valmiin binäärin.

hx Koita simpukoita # ↑

Mitä kirjainta pitää painaa? Missä on "any key"? Nyt joudut itse hakemaan ohjeita verkosta työkalujen käyttöön, mikä tekee monesta kohdasta haastavamman.

Mikään tässä harjoituksessa tehty tai käytetty ohjelma ei saa olla itsestään leviävä (ei virus, ei mato).

Useimmat tehtävät eivät edellytä haittaohjelman binäärin liittämistä raporttiin. Mikäli laitat binäärin verkkoon, pakkaa se salakirjoitettuun zip-pakettiin ja laita salasanaksi yleisen käytännön mukaan "infected". Latauslinkin yhteydessä on oltava selkeä varoitus siitä, että kyseessä on haittaohjelma (malware), jota ei tule ajaa tuotantokoneilla. Salasanan voit halutessasi kertoa varoitusten yhteydessä.

a) Venom. Tee msfvenom-työkalulla haittaohjelma, joka soittaa kotiin (reverse shell). Ota yhteys vastaan metasploitin multi/handler -työkalulla.
b) Snif venom! Tarkastele ja analysoi msfvenomin muodostamaa reverse shell -yhteyttä. Käytä snifferiä, kuten Wireshark. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa? Millä muutoksilla tunnistamista voi vaikeuttaa?
c) Hello, Sliver. Näytä esimerkki http-yhteydestä Sliverillä.
d) Sniff Sliver! Tarkastele Sliverin http-yhteyttä snifferillä. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa?
e) Sliverillä voit muuttaa yhteyden ominaisuuksia. Kokeile ja näytä esimerkki. Muista todeta testein, että muutokset toimivat.
f) Sliverillä voi tehdä monenlaista kohteessa, ruutukaappauksista alkaen. Näytä esimerkkejä toiminnoista.
g) Vapaaehtoinen: Kokeile Sliver-binääriä Windowsissa.
h) Vapaaehtoinen: Tee Windows-asennusohjelma, joka asentaa jonkin tavallisen ohjelman ja sen yhteydessä Sliver-haitakkeen.
i) Vapaaehtoinen: Kokeile Veil.
j) Vapaaehtoinen: Kokeile ScareCrow.
k) Vapaaehtoinen: Tee PoshC2-työkalulla haittaohjelma, joka soittaa kotiin.
l) Vapaaehtoinen: Tee Mythic-työkalulla haittaohjelma, joka soittaa kotiin.
m) Vapaaehtoinen: Asenna Windows-virtuaalikone ja tee kotiin soittava haittaohjelma siihen. Itse tykkään Linuxista ja käytän paljon sitä, tässä hieman vaihtelua. Windows-käyttäjät ovat myös usein tottuneet (paketinhallinnan puutteessa) lataamaan ohjelmia weppisivuilta.

Vinkit

Irrota tarvittasessa koneet netistä testien ajaksi.
Metasploit msfconsole multi/handler
- laita samat asetukset kuin msfvenom
- muista 'set payload'
- 'run -j' ajaa taustalla, sessiot ovat 'sessions'
- prosessoriarkkitehtuuri kohteen mukaan
Reverse shell:
- Palvelimen päässä pitää olla reikä tulimuurissa.
- Reverse shell tarkoittaa, että palvelin (server, kuunteleva portti) on hyökkäyskoneella.
Sliveriin kannattaa tarvittaessa hakea ohjeita myös tekoälyllä. Vielä joitakin kuukausia sitten Sliverin omissa ohjeissa oli ärsyttäviä virheitä - toivottavasti ne on jo korjattu.
Jos liität haittaohjelmien binäärejä raporttiin, pitää estää niiden asentaminen vahingossa
- Salakirjoitettu zip-paketti, salasana "infected"
- Varoitus lautauslinkin yhteyteen: haittaohjelma / malware
- Jos testaat eristetyissä laboratorioympäristöissä virustorjunnan ohitusta, niin tietysti siinä käytetään vain sisältöä ja vältetään pahoja sanoja "malware", "infected", "meterpreter"...
Muista ht8 lipunryöstöä aloittelijoille

Esimerkki ulkomuistista, pitää itse soveltaa

$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=8080 -o infected

Lippuvalmistelu # ↑

Lippuvalmistelu. Valmistele kone ensi viikon lipunryöstöön. Tästä kohdasta ei tarvita kattavaa raporttia, riittää pelkkä luettelo siitä, miten ratkaisit allaolevat kysymykset. Jos sinulla on esimerkiksi valmis, toimiva Kali VM tavallisella PC:llä, tässä ei tarvitse tehdä juuri mitään.
- amd64. Haasteet voivat sisältää amd64-binäärejä. Nämä toimivat itsestään perus-PC:ssä, joita lähes kaikkien koneet ovat. Macintosheissa (M1, M2, M3...) hankala tehdä tehtävää, joten kannattaa ottaa tavallinen amd64-kone.
- Netti. Koneesta pitää päästä nettiin, jotta voit palauttaa liput. Voi olla kätevää, että saat nettiyhteyden katkaistuksi, jotta porttiskannailu ym. on huoletonta.
- Too many secrets. Opettaja voi tarkastaa lipunryöstön koneesi ja tutkia kaikkia siellä olevia tiedostoja. Jos käytät pelkästään virtuaalikonetta (myös selailu, muistiinpanot ym virtuaalikoneesta), tarkastaminen koskee vain sitä. Katso, ettei tällä koneella ole luottamuksellisia tietoja.
- Koneella saa olla haluamasi ohjelmat ja työkalut. Työkaluista ja ohjelmista pitää antaa opettajalle kopio, jos ne eivät ole yleisesti käytettyjä, tunnettuja ja saatavilla olevia vapaita ohjelmia.
- Jos lipunryöstön koneella on muistiinpanoja, niistä on annettava kopio opettajalle sähköpostilla. Omia muistiinpanoja saa olla, mutta ei ole pakko. Lipunryöstössä saa lukea julkisia lähteitä, kuten opettajan kotisivuja sekä omia ja toisten julkisia raportteja.
- Paikallinen tekoäly. Omaa tekoälyä ei tarvita lipunryöstössä, eikä siitä todennäköisesti ole juuri hyötyä. Mutta siltä varalta, että joku miettii tätä: Paikallisen tekoälyn käyttö lipunryöstössä on sallittu, jos ilmoittaa Terolle etukäteen sähköpostilla siitä, antaa opettajalle sähköpostitse täydellisen kopion keskustelusta tekoälyn kanssa ja kaikki paramaterit, sekä kopion tekoälyn koodista ja painoista tai linkin niihin. Ulkopuolisen tekoälyn käyttö verkon yli on lipunryöstössä kielletty.

h8 Bonus # ↑

Vapaaehtoinen bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät
c) Kurssin ulkopuolella tekemäsi kiinnostavat hakkerointihaasteet, esimerkiksi
- Projektit
- HackTheBox korkatut koneet, mukaan ruutukaappaus pistesivustasi. Erottele retired ja non-retired. (Ei non-retired boksien läpikävelyohjeita julkiseen weppiin)
- Lipunryöstöt

Tehtävän määräaika on 24 h ennen viimeisen opetuskerran alkua. Tämä bonustehtävä on kokonaan vapaaehtoinen.

Onnea lipunryöstöön!

Card Size Gallery

2026-08-03T20:22:00+03:00

List of products is often shown as images on a grid. This pattern is called "cards".

Card Size Gallery allows you to test what different card formats look like.

Try Card Size Gallery - right in your browser.

Clanker warning: I created this AI-assisted.

Kokoro TTS - Voice Comparison

2026-07-08T17:10:00+03:00

Free, open weight models can generate speech. On your local machine.

Listen to voice samples of all Kokoro TTS voices on the web.

Optionally, install Kokoro with Podman.

Listen and Compare Voices in Your Browser # ↑

Search and filter by gender and language. The demo text is currently only in English.

Kokoro is a free text-to-speech engine, architected by Li, Han, Raghavan, Mischler and Mesgarani; and trained by @rzvnzn. I just created the samples and the page to filter them. Their default flagship voice is af_heart (English, female), but there are many other interesting voices.

Listen Kokoro samples now.

Kokoro-82M voice comparison: English female voices, with grades

Run Kokoro with Podman # ↑

These commands assume you already have Podman installed. Podman runs containers like Docker. It's safer than Docker, as it does not require root (or the infamous root-equivalent docker group).

Let's download and run Brauns ready-made Kokoro container:

$ podman run -p 8880:8880 ghcr.io/remsky/kokoro-fastapi-cpu

Web user interface: http://localhost:8880/web/

FastKoko, a web interface for Kokoro text to speech

API, usable with Python requests http://localhost:8880/v1

cdu - Jump up to project directory

2026-07-06T11:58:00+03:00

You're five levels deep in your git repo. You would like to get to the top level. 'cdu'.

An up only directory jumper for zsh and bash. Nicely complements other directory jumpers, like zoxide, autojump or fasd.

Usage example # ↑

$ pwd 
/home/tero/code/revincom/doc/design/subsystems/nav/fallbacks/sun
$ cdu
/home/tero/code/revincom
Found .git

If you have really deep repos, such as monorepos, cdu can help you even more.

Deep in a Django project, cdu jumps to manage.py level first. The next cdu will take you to repo root.

A new 'cdu', change dir up # ↑

I have used a longer bash version for years. This is a rewrite to support both zsh and bash. It's also shorter. Prettier and more features, but less tested than the old one.

Save the source code to a dir where it runs (e.g. /usr/local/bin/changedirup). Make runnable (chmod ugo+rx /usr/local/bin/changedirup). Add to your .bashrc and .zshrc: 'alias cdu="source changedirup"'. Log out and back.

And now you can jump up with 'cdu'.

Source code, GPL # ↑

#!/bin/bash
# changedirup - cd up to project top dir, 'alias cdu="source changedirup"'
# To persist it, add the alias to .zshrc or .bashrc

# Single usage also works with 'source cdu' or '. cdu'
# Can be run again to go to even higher project dir. 
# cdu works with zsh and bash. Shebang #! is just for syntax highlight.
# SPDX-License-Identifier: GPL-3.0-or-later
# SPDX-FileCopyrightText: Copyright 2020-2026 Tero Karvinen https://TeroKarvinen.com

CDU_PWD_WAS="$(pwd)"
cd ..
while true; do
	for f in .git Makefile .profile .bashrc README.md requirements.txt go.mod manage.py hosts.ini .project project.godot Dockerfile Cargo.toml index.theme config.toml default.gpr DICOMDIR ansible.cfg site.yml Vagrantfile package.json pyproject.toml zowe.yaml pom.xml build.gradle Gemfile composer.json docker-compose.yml compose.yaml .cobaltstrike.beacon_keys flake.nix  .zshrc .ssh .sliver .sliver-client .msf4 havoc_default.yaotl .projectile .svn .hg .fossil .jj .editorconfig _darcs .bzr Cargo.lock .bash_profile
	do
		if [ -e "$f" ]; then
			echo "Found $f"
			pwd
			break 2
		fi
	done

	if [ "$(pwd)" = "/" ]; then
		cd "$CDU_PWD_WAS"
		echo "No project files found above. Working directory unchanged."
		pwd
		break
	fi
	
	cd .. || break # prevent infinite loop in the rare case cd fails for permissions
done

ppp Personal Project Portfolio

2026-07-02T11:52:00+03:00

Arrange your ideas into a skill tree.

Pick little wins on your way to big goals
Ship something at every step
Turn ambition into output

Open ppp in your browser. Free, no login.

Talk nerd to me # ↑

Single 50 kB HTML file with no dependencies. Use online or 100% offline. Your data stays yours: JSON export and import. Fully usable with keyboard-only - or mouse-only with keyboard just for typing names. A vibe-coded GUI editor for a directed acyclic graph with project-specific attributes: costs, deliverables, soft benefits. Public beta.

Gain a bird's-eye view with ppp. I hope you have more ideas than time to do them. Use ppp to decide which path to pick next. Once you're committed, use calendar.txt and todo.txt for day-to-day and hour-to-hour.

Try ppp # ↑

Try ppp. Free web access, no login required. Optionally save the 50 kB HTML file for 100% offline use. Looking forward to your comments.

Apache installed with Ansible - quick notes

2026-04-09T16:10:00+03:00

Install Apache 2 web server automatically. Serves a web site on the front page of http://localhost. Pages can be edited as a normal user - without root or sudo.

Simplified Ansible role. An example of package-file-server pattern. Just notes, no tutorial.

Using these short notes require a working Ansible configuration - Hello Ansible.

Package-file-service pattern # ↑

Daemons, like Apache2 web server, are somewhat similar. They are configured with package-file-service pattern. Install the daemon, change configuration by editing files, start it.

package - sudo apt-get install apache2
files - sudoedit /etc/apache2/...
service - sudo systemctl restart apache2

Changes to configuration files only take effect after you kick the daemon. Thus, file in tasks/main.yml notify the handler "restart apache2".

tree of roles/apache2/ # ↑

roles/apache2/  # All files related to "apache2" role
├── files/      # Master copies of files
│   └── example.com.conf
├── handlers/   # restarting services
│   └── main.yml
└── tasks/      # most ansible code
    └── main.yml

tasks/main.yml # ↑

- apt:
    name: apache2
    state: present

- copy:
    dest: "/etc/apache2/sites-available/example.com.conf"
    src: "example.com.conf"
    owner: "root"
    group: "root"
    mode: "0644"
  notify: restart apache2

- file:
    src: /etc/apache2/sites-available/example.com.conf
    dest: /etc/apache2/sites-enabled/example.com.conf
    owner: root
    group: root
    state: link
  notify: restart apache2

handlers/main.yml # ↑

- name: restart apache2
  systemd:
    name: apache2
    state: restarted

files/example.com.conf # ↑

# Managed file, changes will be overwritten

<VirtualHost *:80>
        ServerName example.com
        DocumentRoot /home/tero/publicsite/

        <Directory /home/tero/publicsite/>
                require all granted
        </Directory>
</VirtualHost>

Adminstrivia # ↑

Apache httpd logo is a trademark of The Apache Software Foundation.

Passwordless Sudo with Ansible

2026-04-02T16:44:00+03:00

Sudo without password, automatically. Short example role for ansible.

The role

creates a new user in "sudoless" group
adds a sudoers.d/ NOPASSWD rule for the group

Prerequisites # ↑

Applying this example file requires you to have Ansible working.

Tero's rule #1 for IaC: Manual before auto.

So it's a good idea to try creating passwordless sudo manually first.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Tree # ↑

$ tree -F
./
├── ansible.cfg
├── hosts.ini
├── roles/
│   ├── antero/
│   │   └── tasks/
│   │       └── main.yml
│   └── world/
│       └── tasks/
│           └── main.yml
└── site.yml

Role - antero # ↑

cat roles/antero/tasks/main.yml

- group:
    name: "sudoless"
    state: present
- user:
    name: "antero"
    state: present
    groups: ["sudoless", "sudo", "adm"]
- authorized_key:
    user: "antero"
    key: "ssh-ed25519 U2VlIHlvdSBhdCBUZXJvS2FydmluZW4uY29tIQ== tero@example.com"
- copy:
    dest: "/etc/sudoers.d/sudoless"
    content: "%sudoless ALL = (ALL) NOPASSWD: ALL\n"
    owner: "root"
    group: "root"
    mode: "0644"

First run - chicken or egg? # ↑

For the first run, you don't yet have sudo without password.

Let's make ansible try for sudo rights. Add "become: true" in the correct block in site.yml:

- hosts: all
  become: true
  roles:
    - world
    - antero

$ ansible-playbook site.yml

Now it should complain that sudo needs password. Ansible asks this with -K aka --ask-become-password.

$ ansible-playbook site.yml --ask-become-password

Tips # ↑

When you got it to work manually, you have your example. Copy it to automation!

Copy paste paths.
Copy files or file contents.
Use 'stat' to check for modes (permissions). Do not guess octal permissions, you have to understand them to avoid privesc worries.

Some IaC programs only reliably understand octal modes (numbers), and only as strings. I would also recommend explicit leading zero meaning no special permissions (no setgid...). So "0644", in quotes. Maybe it has improved over the years? Who knows.

Sudo without password

2026-04-02T16:04:00+03:00

Ansible needs root on the slave. One way is to allow 'sudo' without password.

Summary for gurus (the rest of us can read the article):

$ cat /etc/sudoers.d/sudoless
%sudoless ALL = (ALL) NOPASSWD: ALL

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

This short tutorial assumes you know the basics of Linux command line and have installed openssh-server.

Create the new user # ↑

Let's create a user and add it to "sudoless" group that we'll set up later. We'll call him antero, a neologism from "Ansible" and "Tero", yours truly.

Always use only good passwords. Never use bad passwords, even for a moment. Practice doing it right, don't practice doing it wrong.

$ sudo adduser antero
$ sudo groupadd sudoless
$ sudo adduser antero sudoless

Broken sudo insurance # ↑

Open a new window, ssh to target machine as needed. Then open a root shell using sudo.

If we break sudo, this might be a way to fix it. Otherwise, broken sudo prevents us from using sudo to fix the broken files.

$ sudo -i	# just while fiddling with sudoers

We don't wont to work in the root shell (where the prompt is a hash "#").

So leave the root shell window behind and go back to the normal window.

New sudoers rule # ↑

Let's create a sudoers rule that allows members of "sudoless" group use 'sudo' without password.

Visudo runs our default $EDITOR. But has some checks for obvious errors.

As usual, we'll use .d/ dirs if available. And luckily, sudoers has /etc/sudoers.d/.

$ sudo visudo /etc/sudoers.d/sudoless

Add our oneliner there

%sudoless ALL = (ALL) NOPASSWD: ALL

What does the sudoers line mean?

Token	Meaning
%sudoless	Percent "%" means group
ALL	All computers
=	Literal equals "=", a separator
(ALL)	Runas: may become any user, including root
NOPASSWD	Tag: don't prompt for password
:	Literal colon ":", a separator
ALL	All commands permitted

So it's something like:

%group COMPUTERS: (RUNAS) TAG: COMMANDS.

Test # ↑

not tested == not done

New groups are effective only after logout-login. So if you're logged in as "antero", log out and back.

If you have recently given 'sudo' commands as "antero", sudo will remember your credentials for a while. Use 'sudo -k' to forget them.

$ ssh antero@localhost
$ sudo -k
$ sudo echo "See you at TeroKarvinen.com"
See you at TeroKarvinen.com

No password asked? Great! You now have passwordless sudo. You could use it with Ansible.

Adminstrivia # ↑

Sudo logo my Mark Stillman 2019, received under CC-BY-4.0.

DORA & Threat Lead Penetration Testing with Marko

2026-03-31T14:54:00+03:00

Banks are now required to do red teaming exercises. Marko Buuri (Bank of Finland) showed us how TIBER-FI helps to create threat intel based red teaming exercises.

Marko's visit was part of my Penetration Testing course. You can join my list to get invitations to similar events.

Synopsis # ↑

Cybersecurity red team testing has evolved from underground art to regulated operations in the European financial sector. This lecture explores the requirement for advanced threat-led penetration testing in EU's DORA regulation, and practical guidance on how those projects are organized and delivered according to the TIBER-EU guidance across Europe.

Slides # ↑

Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)

Links # ↑

DORA (Regulation ... on digital operational resilience for the financial sector)

Article 26 defines threat-lead penetration testing. "Advanced testing of ICT tools, systems and processes based on TLPT"
Article 27 defines the requirements for the testers. "Requirements for testers for the carrying out of TLPT"

Bank of Finland (Suomen Pankki): TIBER-FI and TIBER-EU guidance

TIBER-FI procedures and guidelines (pdf, 1 MB)

Buuri 2026: D26 - Releasing Your Inner TIBER in Regulated Adversary Simulations. Video, 45 min. Disobey 2026.

Slides taster # ↑

You can download the whole deck.

Bio # ↑

Marko Buuri is cyber security adviser in the Bank of Finland (Suomen Pankki). He has over 20 years of in-house and consulting cyber experience. Since 2020 he's been involved in implementing and operating TIBER-FI red team testing framework for the financial sector in Finland.

SSH public key - Login without password

2026-03-26T14:50:00+02:00

SSH is the leading solution for securily logging into servers.

Many products use SSH in the background: git, rsync, ansible...

Public key authentication is quite convenient. You don't need to type your password for every 'git push' or 'ansible-playbook'. Use correctly, it can also make your server more secure.

This example is written for Debian 13-trixie.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Install SSH # ↑

Install the OpenSSH-server package

$ sudo apt-get update
$ sudo apt-get -y install ssh

Make SSH daemon start on boot (enable) and also start it now (--now)

$ sudo systemctl enable --now ssh

Test SSH # ↑

Normally, you would say user@host, such as tero@example.com. Here, we can leave out username, as it's the same on both machines.

$ ssh localhost

With 'w', you can see yourself logged in twice: once on the desktop, once trough ssh.

remote$ exit

Generate a keypair

$ ssh-keygen	# enter enter enter to accept the defaults

If you already have a keypair, don't overwrite it. The public key ($HOME/.ssh/id_*.pub) is literally public, you can use the same public key in all hosts. The public key ends with ".pub".

If you need the public key for VPS (virtual private server) provider, you can see and copy-paste your keys with 'head $HOME/.ssh/id*.pub'.

Copy it to hosts where you can already log in.

$ ssh-copy-id localhost

Once you've entered your password for the last time, ssh-copy-id adds your public key into .ssh/authorized_keys on the remote machine. Now your key is authorized for logins.

Your public key is used automatically

$ ssh localhost

Did you log in without giving your password?

Well done, you've now automated login with SSH public keys.

Troubleshooting # ↑

Here are some helpfull troubleshooting commands.

Client side:

$ ssh -v localhost

Server side:

$ sudo journalctl --follow
$ sudo systemctl status ssh

Hello Ansible

2026-03-26T14:39:00+02:00

Write infrastructure-as-code, control multiple machines easily.

In this Ansible tutorial, we create a single file in /tmp/.

In this whole tutorial, we'll create only 4 folders and 4 short files. But I'll show you how to build it step by step, so you can understand and adapt the process.

Draft: This article has commands written from memory. It has not gone trough quality assuarance and testing yet.

Background # ↑

Ansible is a configuration management tool. You write your infrastructure as code (IaC). You describe the end state, and ansible only makes changes if they are needed.

Ansible works trough SSH. Thus, the slave computers only need SSH daemon and Python installed.

This tutorial is tested with Debian 13-Trixie. You can probably adapt it to other Linuxes, like Kali or Ubuntu. We'll use ssh daemon on the same host for testing, so the master and the slave are the same computer here.

Test SSH account (without Ansible) # ↑

Ansible works trough SSH. Let's first test that we can use SSH without Ansbile.

It's advertised as "agentless", and indeed there is no slave daemon for ansible. It still needs SSH daemon and Python on slave machine. Ansible (the command) is only needed on master side. Master computer is also known as "controller" in Ansible lingo.

It's a good idea to set up passwordless SSH authentication for the account used with ansible. Check out Karvinen 2026: SSH public key - Login without password.

$ ssh localhost

remote$ exit

Install Ansible # ↑

Ansible is convenintly in Debian repositories.

$ sudo apt-get update
$ sudo apt-get install ansible micro bash-completion tree

Only ansible is really needed. Extras make it easier to work: - micro (text editor) - bash-completion (tab fills current word) - tree (show a tree of files and folders)

Test SSH with Ansible # ↑

Let's make a folder for our Ansible configuration.

$ cd
$ mkdir ansible/
$ cd ansible/

Let's write a list of hosts we'll be controlling. Create "hosts.ini", and add "localhost" there.

$ micro hosts.ini
$ cat hosts.ini

localhost

Later, we can add more hosts. One line per host. The hosts can be grouped, so we can have hosts in "web" category and five in "db".

Now we can make Ansible run a command on all hosts.

$ ansible all -a 'uptime' -i hosts.ini
...
localhost | CHANGED | rc=0 >>
 15:24:39 up 14 days, 20:36,  2 users,  load average: 0.55, 0.44, 0.47

We're just testing ansible here. If we just wanted to run command on remote machine, we could have 'ssh localhost "uptime"'.

Did you see the uptime? Great, Ansible can now use SSH to one host.

Convenience: Stop whining about Python version # ↑

Why does Ansible have to whine about Python version? Oh, it could change - who could have guessed...

$ ansible all -a 'uptime' -i hosts.ini
[WARNING]: Host 'localhost' is using the discovered Python interpreter at '/usr/bin/python3.13', but future installation of another Python interpreter could cause a different interpreter to be discovered. See https://docs.ansible.com/ansible-core/2.19/reference_appendices/interpreter_discovery.html for more information.
localhost | CHANGED | rc=0 >>
 15:29:24 up 14 days, 20:41,  2 users,  load average: 0.27, 0.29, 0.39

Let's tell it to use the obvious Python command. We can add variables to host groups in inventory. This one we'll add to all.

$ micro hosts.ini
$ cat hosts.ini

localhost

[all:vars]
ansible_python_interpreter=/usr/bin/python3

So our only host "localhost" at the top, and variables for all hosts at the bottom.

Let's try again:

ansible$ ansible all -a 'uptime' -i hosts.ini
localhost | CHANGED | rc=0 >>
 15:31:18 up 14 days, 20:43,  2 users,  load average: 0.18, 0.27, 0.37

We can see that the Python version warning is gone.

Convenience: Just use my hosts.ini # ↑

Don't want to write "-i hosts.ini" for each 'ansible' and 'ansible-playbook' command?

You can add hosts.ini to ansible.cfg, so you don't need to add it to each command line.

$ micro ansible.cfg
$ cat ansible.cfg

[defaults]
inventory = hosts.ini

Now we don't need to add "-i hosts.ini" to every 'ansible' and 'ansbile-playbook' commands.

$ ansible all -a "uptime"
localhost | CHANGED | rc=0 >>
 15:22:18 up 14 days, 20:34,  2 users,  load average: 0.35, 0.37, 0.46

Site.yml - what computers get which roles # ↑

Site.yml lists wich groups of computers get which configuration (roles).

We want all computers to get the role "hello". We have not written the role yet.

$ micro site.yml
$ cat site.yml

- hosts: all
  roles:
    - hello

Let's run our new playbook, site.yml

$ ansible-playbook site.yml
[ERROR]: the role 'hello' was not found in /home/tero/code/terokarvinen-com/ansible/roles/:... 	
Origin: /home/tero/code/terokarvinen-com/ansible/site.yml:3:7

1 - hosts: all
2   roles:
3     - hello
        ^ column 7

Great, an error message! Most error messages bring us two letters: good news and bad news.

Good news: ansible-playbook has read our file, site.yml. It's even quoting some text from it.
Bad news: the role "hello" does not exist. Well, we have not written it yet.

First role - create a file # ↑

Role is one configured thing, for example nginx, apache2, postgresql...

But first, we'll create a "hello" role. It will create a file in /tmp/, on the slave computer. It's so simple it doesn't even need sudo.

Roles are in roles/ folder. There could be roles/nginx/, roles/postgresql/... But here, we'll have roles/hello/.

Each role folder will have standard subfolders. We'll just have tasks/. Often, we'll also see handlers/ for kicking daemons. The entry point, the code that get's run automatically, is in main.yml.

$ mkdir -p roles/hello/tasks/

$ micro roles/hello/tasks/main.yml
$ cat roles/hello/tasks/main.yml

- copy:
    dest: /tmp/hello-ansible
    content: "See you at TeroKarvinen.com!\n"

Let's run our playbook. Site.yml calls roles/hello/, tasks/main.yml is run automatically:

$ ansible-playbook site.yml
PLAY [all] 
TASK [Gathering Facts] 	
	ok: [localhost]

TASK [hello : copy] 
	changed: [localhost]

PLAY RECAP 
	localhost : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0

Hey, it has "changed=1". So it claims to have changed the file on the slave.

Let's verify using a different tool.

$ ssh localhost 'cat /tmp/hello-ansible'
See you at TeroKarvinen.com!

Did you see the file on slave? Great, your first "Hello, Ansible world" has run.

Convenience: Show me what you do # ↑

Default is pretty terse:

TASK [hello : copy] 
	changed: [localhost]

A popular solution would be giving each task a name that repeats the code: "Copy our hello world text to the file /tmp/hello". To me, this would be similar to this C code: "i++; // increment the value of i by one". It would make sense to name a block of tasks in ansible, but this is not supported yet.

Luckily, we can make ansible print what it does. Add display_args_to_stdout:

$ micro ansible.cfg
$ cat ansible.cfg

[defaults]
inventory = hosts.ini
display_args_to_stdout = true

Now, let's run our playbook again:

$ ansible-playbook site.yml
...
TASK [hello : copy dest=/tmp/hello-ansible, content=See you at TeroKarvinen.com!
]
ok: [localhost]

Now we can see what it does:

- old: "hello : copy"
- new: "hello : copy dest=/tmp/hello-ansible, content=See you at TeroKarvinen.com!"

End result # ↑

This is what we have in the end

$ tree -F
./
├── ansible.cfg			# generic configuration
├── hosts.ini			# list of slave computers
├── roles/
│   └── hello/
│       └── tasks/
│           └── main.yml	# code for "hello" role"
└── site.yml			# which roles run on which slave

4 directories, 4 files

$ head -1000 ansible.cfg hosts.ini site.yml roles/hello/tasks/main.yml
==> ansible.cfg <==	# generic configuration
[defaults]
inventory = hosts.ini
display_args_to_stdout = true


==> hosts.ini <==	# list of slave computers
localhost

[all:vars]
ansible_python_interpreter=/usr/bin/python3

==> site.yml <==	# which roles run on which slave
- hosts: all
  roles:
    - hello

==> roles/hello/tasks/main.yml <==	# code for "hello" role
- copy:
    dest: /tmp/hello-ansible
    content: "See you at TeroKarvinen.com!\n"

And to run it all, we just run the playbook:

$ ansible-playbook site.yml
...
localhost : ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0

Troubleshooting Ansible # ↑

No trouble? No troubleshooting needed. Go enjoy your ansible!

No inventory # ↑

$ ansible all -a "uptime"
[WARNING]: No inventory was parsed, only implicit localhost is available
[WARNING]: provided hosts list is empty, only localhost is available. Note that the implicit localhost does not match 'all'
$

See: Convenience: Just use my hosts.ini

Ansible does not detect hosts inventory hosts.ini automatically. Use a command line flag for that:

$ ansible all -a "uptime" -i hosts.ini
...
localhost | CHANGED | rc=0 >>
 15:17:49 up 14 days, 20:29,  2 users,  load average: 0.25, 0.41, 0.51

You can add hosts.ini to ansible.cfg, so you don't need to add it to each command line.

$ micro ansible.cfg
$ cat ansible.cfg
[defaults]
inventory = hosts.ini

Now we don't need to add "-i hosts.ini" to every 'ansible' and 'ansbile-playbook' commands.

$ ansible all -a "uptime"
...
localhost | CHANGED | rc=0 >>
 15:22:18 up 14 days, 20:34,  2 users,  load average: 0.35, 0.37, 0.46

Discovered Python interpreter # ↑

$ ansible all -a 'uptime' -i hosts.ini
[WARNING]: Host 'localhost' is using the discovered Python interpreter at '/usr/bin/python3.13', but future installation of another Python interpreter could cause a different interpreter to be discovered. See https://docs.ansible.com/ansible-core/2.19/reference_appendices/interpreter_discovery.html for more information.

See Convenience: Stop whining about Python version.

Indent is two spaces: Tabs are usually invalid in YAML # ↑

[ERROR]: YAML parsing failed: Tabs are usually invalid in YAML.

Yes, my brain hurts, too. Why can't YAML use tabs like normal people?

You must indent with spaces. Each indent is two spaces. The error message will show where the mistake is:

[ERROR]: YAML parsing failed: Tabs are usually invalid in YAML.
Origin: ...ansible/site.yml:3:1

1 - hosts: all
2   roles:
3  - hello
  ^ column 1

Indent ignores the dash: conflicting action statements # ↑

[ERROR]: conflicting action statements: copy, dest Origin: ...ansible/roles/hello/tasks/main.yml:1:3

1 - copy: ^ column 3

$ cat roles/hello/tasks/main.yml
- copy:
  dest: /tmp/hello-ansible	# WRONG - too little indent
  content: "Blah" 			# WRONG - too little indent

We want to have "copy", which has two children, "dest" and "content".

Correct:

- copy:		# no indent, dash is first char on line
    dest: /tmp/hello-ansible	# four spaces on the left, two spaces from "c" in copy
    content: "See you at TeroKarvinen.com!\n"	# four spaces on the left, two from "c"

"But it looks like four" - I know, I know. It's two from the start of the word above, ignoring the dash.

Sudo needed # ↑

After a wait: "Task failed: Module failed: Failed to lock apt for exclusive operation: Failed to lock directory" and other error messages.

Ansible needs sudo on the slave to do administration. It does not complain when creating files on /tmp/, because anyone can create files there. But as soon as you start doing any normal sysop things, you will need sudo.

Add "become: true". That means becoming the sudo user on slave machine.

$ cat site.yml
- hosts: all
  become: true
  roles:
    - apt
    - sshd
	# ...

Now it will probably complain it does not know your sudo password.

$ ansible-playbook site.yml --ask-become-pass

Now it asks your sudo password before running the commands.

If you get tired of typing your sudo password, there are many ways around it, with different levels of security. For example, you can create an ansible specific user with passwordless sudo. Or use ansible vault. Or pass. Or even read sudo password from file, which sounds less than secure.

Palvelinten Hallinta

2026-03-26T09:52:00+02:00

Control 10, ~~100~~, ~~1000~~ many computers.

Or control 2071 computers, like Jussi did on a earlier course. Or handle 7 different operating systems and OS versions with a single master, like Matias.

Best instance got 5.0 / 5 feedback - all respondents gave the best grade 5.

Course, both instances
Course name and code	Palvelinten hallinta ICI001AS3A-3011 and -3013
Timing	2026 period 4, late spring, w13-w20
Credits	5 cr
Language	Finnish (+reading material in English)
Feedback	Reached 5.0 / 5 * Excellent feedback
Classes	-3011 online ke 17:40-20:30. -3013 pa5001 to 11:00-13:45. Both have mandatory participation.
Max students	50 online, 40 Pasila. (Come to the first class if you're queuing for place)
Remote	One course instance -3011 is fully remote. Other -3013 is face-to-face in Pasila pa5001.
First class	Online-3011 2026-03-25 w13 Wed 17:40 Zoom. Pasila-3013 2026-03-26 w13 Thu 11:00 pa5001, bring laptop.
Services	Moodle: Palvelinten hallinta -3011 online Wednesday evening; -3013 Thursday, Zoom, Laksu. Optional: Tero's list.

I've done some research on configuration management systems. I have written my doctoral dissertation on applying malware command and control techniques to benign configuration management systems. I've given an invited speech in IEEE ICIM Chengdu and a plenary speech in IEEE ICIM Oxford; I’ve also been teaching these modern methods to companies. Previous feedback for this course has been from very good 4.3 to excellent ~~4.9~~ 5.0 out of 5.

As the course is in Finnish, the rest of this page will be in Finnish.

Opintojakson suoritettuaan opiskelija # ↑

Osaa hallita palvelimia kuvailemalla tavoitetilan (idempotenssi)
Osaa tehdä asetukset pelkkänä tekstinä ja versioitavasti (infrastruktuuri koodina)
Pystyy tekemään tavalliset ylläpitotoimet valitulla työkalulla (yksi totuus)

Esitiedot # ↑

Esitiedot, kertaa nämä.

Opettele komennot ja hakemistot ulkoa. Harjoittele niitä kokeilemalla moneen kertaan Linuxissa.

Linuxin komennot, apt Command Line Basics Revisited
Tiedostojärjestelmän rakenne (etc, var…). Alkeet löytyvät samasta Command Line Basics Revisited
Demonien hallinta (esim Apache) Install Apache Web Server on Ubuntu (paitsi demonin potkaisu nykyisin 'sudo systemctl restart apache2')
Linuxin asentaminen virtuaalikoneeseen

Aikataulu # ↑

Kurssi kestää 8 viikkoa. Edellyttää aktiivista osallistumista etäopetukseen videokonfferensissa lukkariin merkittynä aikana. Läksyt palautetaan 24 h ennen seuraavan oppitunnin alkua ja ristiinarvioidaan kahden luokkakaverin työt. Tämä alustava aikataulu elää kurssin aikana.

Tunnit tiistaisin online 08:00 - 10:45 videokonfferenssina.

Päivä	Aihe
Perusteet
w13	1. Hei maailma. Järjestäytyminen: osallistujat, kurssin käytänteet. Keskitetyn hallinnan periaateet, infra koodina. Raportit, git web-käyttö, MarkDown kertaus. Hei maailma!
w14	2. Infraa koodina. Konfiguraation kirjoittaminen koodiksi.
w15	3. Pkg-file-service eli demonien hallinta. Käsin tehdyn konfiguraation automatisointi.
w16	4. Esimerkkipalvelin. Käytännön esimerkki palvelimen konfiguroinnista.
w17	5. Versionhallinta. Git: init, clone, add, commit, pull, push, log. GitHub ja muut avustavat palvelut. Omien modulien aloitus., 2 hengen ryhmät.
Soveltaminen
w18	6. Soveltaminen. Käytännön tekniikoita ja esimerkkejä. Ongelmanratkaisua. / Torstain ryhmällä omien modulien esittely alkaa.
w19	7. Omien modulien esittely I.
w20	8. Omien modulien esittely II. (2026-05-14 w20 Thu on Helatorstai, torstain ryhmällä ei tuntia. Keskiviikon ryhmän online-opetus normaalisti.)

Oheismateriaalia, lukemista ja asennuspaketteja # ↑

Debian stable 13-trixie levykuva debian-live-13.4.0-amd64-xfce.iso (3.6 GB) Kun uusia versioita tulee, linkki vanhenee. Uusi löytyy samasta kansiosta.

Karvinen 2021: Install Debian on Virtualbox

Karvinen 2023: Create a Web Page Using Github

VirtualBox.org

Karvinen 2020: Command Line Basics Revisited

Ansible Community Documentation

Salo ym 2026: BlueTeamLab. Käynnissä olevassa projektissa rakennetaan SOC-harjoitusympäristöä. Linux, Windows, AD. OpenTofu, Ansible. VirtualBoxia ohjataan OpenTofulla.

Arviointi # ↑

Osien ohjeelliset painoarvot ovat: kotitehtävät 70% ja oma moduli 30%. Arvosana perustuu kokonaisarvioon suorituksista. Kaikki kotitehtävät pitää tehdä ajallaan. Etäopetukseen pitää osallistua aktiivisesti.

Anna palautetta # ↑

Palaute on todella tärkeä tapa kehittää kurssia – kiitos kommenteista jo etukäteen. Palaute kahteen kanavaan

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään # ↑

Vapaamuotoinen palaute kommenttina tämän kurssisivun perään

Vapaamuotoiseen palautteeseen saa kirjoittaa mitä vain, eikä kysymyksiä tarvitse toistaa. Mutta tässä vinkiksi:

Opitko jotakin – eli osaatko nyt sellaista, mitä et osannut ennen kurssia?
Teitkö jotain ensimmäistä kertaa? Käytit modernia hallintatyökalua (Ansible tms), kirjoitit idempotentin tilan, kirjoitit infraa koodina...
Oliko opittu hyödyllistä? Luuletko, että voit hyödyntää infraa koodina töissä tai kotona?
Mitä mieltä olit läksyistä? Luku/video/podcast -materiaalista? Hands-on tehtävistä?
Mitä pidät miniprojektin valmistelusta ja (tulevista) esityksistä? Itse esittämisestä? Luokkakavereiden esitysten seuraamisesta?
Miten voisin parantaa kurssia?
Viihdyitkö kurssilla?
Suosittelisitko kurssia? Kenelle kurssi sopisi? Koulutoverille tai kollegalle?

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa # ↑

Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa

Numeerisen palautteen avulla mm. verrataan Haaga-Helian kursseja toisiinsa. On tärkeää saada jokaiselta palaute, jotta tulos on tilastollisesti merkitsevä.

Numeeriset: Asteikko 1-välttävä (huonoin) ... 5-kiitettävä (paras)

Oma aktiivisuutesi opiskelussa 1-5
Osaamistavoitteiden saavuttaminen 1-5
Työskentelytavat tukivat oppimista 1-5
Opiskeluympäristö tuki oppimista 1-5
Hyödyllisyys työelämään 1-5

Avoimet kysymykset (näihin voi myös kopioida samat vastaukset jotka kirjoitit aiemmin)

Mitkä asiat edistivät oppimistasi?
Miten kehittäisit toteutusta / toteutuskokonaisuutta, jotta osaamistavoitteet saavutettaisiin paremmin?

Kokonaisarviosi toteutuksesta / toteutuskokonaisuudesta 1-5

Suosittelisitko 1 - 10 (1 en varmasti, 10 aion varmasti suositella tai olen jo suositellut)

Kiitos palautteesta ja jännittävästä kurssista! Seuraavilla kursseilla nähdään.

Vanhoja toteutuksia # ↑

Palvelinten hallinta ICI001AS3A-3008 - 2025p2 loppusyksy

Palvelinten hallinta ICI001AS3A-3010 - 2024 periodi 2, loppusyksy

Vanhoja toteutuksia vuoteen 2018 asti

Läksyt # ↑

Palautus 24 h ennen seuraavaa lukujärjestykseen merkittyä aikaa. Weppisivulle (HTML), ja palauta linkki Laksuun. Halutessasi voit laittaa linkin myös kommentiksi tämän sivun perään, niin sivusi saa lisää kävijöitä ja nousee PageRankissa.

Nämä läksyt ovat alustavia. Läksyt ovat virallisia vasta, kun ne on annettu tunnilla. Tämä on edistynyt kurssi, joten pystymme tekemään muutoksia kurssin kuluessa ja sovittamaan läksyt aiheen mukaan. Jos et uskalla tai muuten halua julkaista, voit laittaa weppisivun salasanan taakse (sama salasana koko kurssille ja jokaiselle tehtävälle, ei kirjautumista eri tunnuksilla eri henkilöille) ja jakaa salasanan kurssilaisten kanssa - mutta suosittelen julkaisua. Kotisivutilaa saa esim wordpress.com, github.com, gitlab.com ja monista muista paikoista.

Suosittu ja helppo tapa on laittaa raportit Githubiin.

Kaikki käytetyt lähteet tulee merkitä raporttiin: kurssin tehtäväsivu, kurssikavereiden raportit, man-sivut, kirjat. Mikäli tekoälyltä kysyy neuvoa, se on merkittävä lähteeksi. Tekoälyt hallusinoivat, tiedot on suositeltavaa tarkistaa. Tiivistelmiä tai esseitä ei saa generoida tekoälyllä eikä muilla vastaavilla tekniikoilla, vaan ne on kirjoitettava itse.

Kaikkien ajan säästämiseksi poistan kurssilta ne, jotka eivät palauta tehtäviä ajallaan.

Tekoälyn käyttö: Tällä kurssilla on samat AI säännöt kuin YAMK:n kurssillani: "AI and large language models (LLM): You can ask AI or LLM a question and use the answer as facts for your own answer, written in your own words. AI must be marked as a reference, with details such as prompt (and for advanced users system prompts, temperature, jailbreaks...). LLMs tend to hallucinate, so you should check answers from more reliable sources. It's not allowed to generate text with AI or similar technologies. For example, it's not allowed to generate essay answers or summaries with AI, LLM or similar technologies."

h1 Hei Ansiblen maailma # ↑

Hei maailma! Yleensä kaikki ohjelmat alkavat siitä. Hei maailma testaa, että ympäristö toimii.

Tässä kotitehtävässä harjoitellaan itse tunnilla kurkattuja ja osin kokeiltuja juttuja, jotta tehtävistä ei tule liian vaikeita. Jos olet aiemmin tehnyt nämä, voit simuloida puhtaan tilanteen - näin tehdään myöhemmin myös IaC-koodeja testatessa. Voit esimerkiksi pysäyttää ja poistaa ssh-demonin, poistaa authorized_keys... Katso vinkit alla.

x) Lue ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Ei siis vaadita pitkää eikä essee-muotoista tiivistelmää. Lisää kuhunkin jokin oma kysymys tai huomio.)
- Karvinen 2026: SSH public key - Login without password
- Karvinen 2026: Hello Ansible
a) Sshecrets. Asenna SSH-demoni ja testaa se kirjautumalla SSH:lla.
b) Pubkey. Automatisoi ssh-kirjautuminen julkisella avaimella.
c) Hei Ansible. Tee hei maailma ansiblella ja kokeile sitä SSH:n yli.
d) Vapaaehtoinen bonus, vaikea: kokeile Ansiblella jokin näista asetuksista: paketin asennus, asetustiedosto /etc/ alle, käynnistä jokin demoni, tee uusi käyttäjä. Tarvitset todennäköisesti sudoa, become: true.

Kuten aina, palauta linkki Laksuun, ristiinarvioi vähintään 2.

Vinkit

(Komennot alla ulkomuistista)

SSH-demonin poistaminen asennuskokeilua varten. Tämän voi tehdä localhost:lla. Älä tee etänä palvelimelle, tai yhteytesi katkeaa.

$ sudo systemctl stop ssh
$ sudo apt-get purge openssh-server

Julkisen avaimen poistaminen

remote$ mv -v $HOME/.ssh/authorized_keys $HOME/DISABLED_authorized_keys

Ansiblen asetukset voit vaan tehdä uuteen kansioon ja ajaa sieltä.

Testaamatta == tekemättä. Kun asennat tai säädät jotain, osoita testillä, että se toimii.

Eikö toimi? Raportoi erityisen tarkasti, jotta voimme pähkiä sitä tunnilla yhdessä. Myös tarkat virheilmoitukset talteen.

h2 Voileipä # ↑

x) Lue ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Ei siis vaadita pitkää eikä essee-muotoista tiivistelmää. Lisää kuhunkin jokin oma kysymys tai huomio.)
- Karvinen 2026: Sudo without password
- Munroe 2006: xkcd 149: Sandwitch
- Karvinen 2026: Passwordless Sudo with Ansible
- Ansiblen sisäänrakennettu dokumentaatio ansible-doc -kommennolla.
  - Kustakin vain
    - Johdantokappale (Usein MODULE alla, päättyy OPTIONS alkuun)
    - Nimetyt optiot selityksineen
    - Esimerkeistä (EXAMPLES) jokin helppo ja keskeinen esimerkki
  - 'ansible-doc copy': content, dest, src; owner, group, mode;
  - 'ansible-doc apt': name, state, update_cache.
  - 'ansible-doc file': path, recurse, src, state. owner, group, mode;
  - 'ansible-doc user': name; create_home, comment, groups, shell, state, system.
  - 'ansible-doc authorized_key': user, key.
a) Sudoless. Tee ansiblea varten tunnus, jolla voi käyttää sudoa ilman salasanaa. Sekä ssh-kirjautuminen että sudon käyttö tulee olla ansbilea varten automatisoitu.
b) Antero. Tee salasanaton, automaattisesti ssh:lla kirjautuva tunnus Ansiblella.
c) Package. Asenna kaksi pakettia ansiblella.
d) File. Kirjoita orjalle useamman rivin mittainen tiedosto Ansiblella. Määrittele sen omistaja, omistava ryhmä ja oikeudet. Käytä oikeuksille oktaalinumeroa, esim. "0600". Kerro, mitä oikeudet ovat symbolisessa muodossa, esim. "-rwxr--r--". Selitä, mitä kukin käyttäjä saa tehdä tuolle tiedostolle.
e) Jotain muuta. Näytä esimerkki ansiblen käskystä, jota ei ole vielä käsitelty kurssilla tai kotitehtävissä. Voit ottaa jonkun muun modulin kuin apt, file, copy, user tai authorized_key. Tai voit käyttää ominaisuutta, jota ei vielä ole demonstroitu. Jos tiivistystehtävässä x on mainittu ominaisuuksia, joita ei tunneilla tai läksyissä kokeiltu, nekin kelpaavat.

Vinkit

Rakenna tila paloittain. Tottakai se toimii kopioimalla malli ja muuttamalla muutama muuttuja. Mutta hetken päästä näitä pitäisi rakentaa myös ilman mallia.
'ansible-doc user', 'ansible-doc --list'
Etkö jaksa odottaa?
- 'ansible-doc --list > doc-list.txt'
- helppolukuisempana 'ansible-doc --list|grep -oP '^\S+'>doc-list.txt'
Paketin asennus: apt
File:
- copy: src: foo.txt -> roles/superd/files/foo.txt

h3 Demoni # ↑

Package, file, service

x) Lue ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Ei siis vaadita pitkää eikä essee-muotoista tiivistelmää. Lisää kuhunkin jokin oma kysymys tai huomio.)
- Karvinen 2026: Apache installed with Ansible - quick notes
- Ansible Community Documentation: Handlers: running operations on change
  - Handlers: running operations on change (johdantokappale pääotsikon alta)
  - Notifying handlers
- 'ansible-doc service':
  - johdantokappale (MODULE alta)
  - enabled
  - name
  - state
  - EXAMPLES
a) Apassi. Asenna Apache 2 käsin. Weppisivun tulee näkyä palvelimen etusivulla. Sivun tulee olla tavallisen käyttäjän muokattavissa, ilman root- tai sudo-oikeuksia.
b) Moottorix. Asenna Nginx käsin. Weppisivun tulee näkyä palvelimen etusivulla. Sivun tulee olla tavallisen käyttäjän muokattavissa, ilman root- tai sudo-oikeuksia. (Muista sammuttaa Apache ensin.)
c) Automoottorix. Automatisoi Nginx asennus Ansiblella. Ylläpitäjän osuus Ansiblella riittää, itse HTML-weppisivut voi tehdä käsin.
d) Vapaaehtoinen bonus: Osiris-T. Osiris-T asentaa Wazuhin ja tarvittavat virtuaalikoneet. Voit lähettää vihamielistä verkkoliikennettä (tcpreplay), siepata sen (suricata) ja saat tulokset suoraan dashboardille (wazuh). Enemmän alpha kuin se kreikkalainen kirjain. Mutta Oskari, Nico ja Arttu ilahtuvat, jos kokeilet. Häkämies, Saario, Mukkula 2026: Osiris-T. Häkämies etal 2026: How to Install.

Vinkit

Ensin käsin, sitten automaattisesti
Pienen testattava kokonaisuus kerrallaan
Lue lokeja. Weppipalvelimen virheilmoitukset ovat lokeissa, käyttäjälle näkyvä weppisivu ei kerro juuri mitään.
Kaksi demonia ei voi kuunnella samaa porttia. Sulje siis nginx ennen apachen asennusta ja päinvastoin.
'ansible-doc apt': name, state, update_cache. EXAMPLES.
'ansible-doc copy': dest, src; owner, group, mode. EXAMPLES.
'ansible-doc file': src, dest, state. owner, group. EXAMPLES.
nginx asennus on samantapainen kuin Apachen
- sites-available/default - tiedoston lopussa on esimerkki yksinkertaisesta konfiguraatiosta
- 'sudo nginx -t' on samantapainen kuin 'sudo apache2ctl configtest'
Kotisivut käyttäjänä
- Weppipalvelin pyörinee käyttäjänä www-data, ryhmä www-data. Jos tiedoston omistaa tero:tero, niin www-data on others eli viimeiset kolme kirjainta.
- Jotta se näkee sivut, kansioihin pitää olla x-oikeus ja tiedostoihin r.
- /home/tero/publicsite/index.html
  - chmod ugo+x /home/tero/
  - chmod ugo+x /home/tero/publicsite/
  - chmod ugo+r /home/tero/publicsite/index.html
- Tarkista oikeudet 'ls -t' ja 'stat'

h4 Pizza Fantasia # ↑

x) Lue ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Ei siis vaadita pitkää eikä essee-muotoista tiivistelmää. Lisää kuhunkin jokin oma kysymys tai huomio.)
- Karvinen 2023: Configuration Management of Distributed Systems over Unreliable and Hostile Networks (pdf, ̣mirrors: local, archive.org), vain nämä kohdat:
  - 4.12.1 Size and Complexity of Some DSLs (112. Ominaisuuksien määrä.)
  - 4.12.2 Use of DSL Functions in Case Configuration (112-115. Mitä oikeasti käytetään.)
  - 4.12.3.1 Dependencies Between Main Functions (115-117. Tärkeimmät rakennuspalikat.)
a) Räpylä. Asenna itse valitsemasi demoni käsin. Jokin muu kuin tunnilla tai kotitehtävissä aiemmin asennettu, eli ei apache, ngninx eikä openssh-server. Kuten aina, testaa lopputulos.
b) Automaatti. Automatisoi valitsemasi demonin asennus Ansiblella.
c) Asetus. Muuta asetustiedostoa herralla (master, "control node") ja aja ansible uudestaan. Osoita, että asetukset tulivat käyttöön.
d) Paikka remonttiin. Riko jotain asetuksia. Voit esimerkiksi poistaa demonin 'sudo apt-get purge foobar' (purge poistaa myös asetustiedostoja), poistaa asennuksen yhteydessä tulevan kansion (sudo rm -r /etc/foobar/ # vaarallista) tms. Ja sitten ajaa ansible-roolisi uudestaan ja todeta, että se korjaa tilanteen.
e) Idempotentti. Osoita, että tilasi on idempotentti.

Vinkit

CM: configuration management
DSL: domain specific language. Yhteen käyttötarkoitukseen tehty kieli. Esim Ansiblen oma kieli, jolla määrittelemme konfiguraatiota.
Kannattaa valita demoni, joka löytyy suoraan Debian 13 varastoista apt-get:lla.
Esimerkkejä: postgresql, caddy, mariadb, haproxy, varnish
Nämä voivat olla mutkikkaampia: samba, nfs, jokin ftp-palvelin, jokin vaihtoehtoinen ssh, jokin dhcpd, jokin tftpd

h5 Gitar Hero # ↑

Oman miniprojektin aihetta kannattaa jo haudutella. Ensimmäiset julkaissevat jo parin kanssa tehdyn ensimmäisen version.

x) Lue ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Kannattaa lisätä mukaan myös jokin oma havainto, idea tai kysymys.)
- Chacon and Straub 2014: Pro Git, 2ed: 1.3 Getting Started - What is Git?
- Gitin käyttö on lähinnä 'git add --all && git commit; git pull && git push'. Selitä tuon komennon jokainen osa. Käytä apuna itse valitsemiasi lähteitä ja viittaa niihin.
a) Online. Tee uusi varasto GitHubiin (tai Gitlabiin tai mihin vain vastaavaan palveluun). Varaston nimessä ja lyhyessä kuvauksessa tulee olla sana "sunshine". Aiemmin tehty varasto ei kelpaa. (Muista tehdä varastoon tiedostoja luomisvaiheessa, esim README.md ja GNU General Public License 3) Edistyneemmille voi olla hauskaa etsiä ja kokeilla jokin muu palvelu kuin Github.
b) Dolly. Kloonaa edellisessä kohdassa tehty uusi varasto itsellesi, tee muutoksia omalla koneella, puske ne palvelimelle, ja näytä, että ne ilmestyvät weppiliittymään.
c) Doh! Tee tyhmä muutos gittiin, älä tee commit:tia. Tuhoa huonot muutokset ‘git reset --hard’. Huomaa, että tässä toiminnossa ei ole peruutusnappia.
d) Tukki. Tarkastele ja selitä varastosi lokia. Näytä myös, mitä muutoksia tiedostoihin on tehty. Tarkista, että nimesi ja sähköpostiosoitteesi näkyy haluamallasi tavalla ja korjaa tarvittaessa.
e) Gitanbile. Laita Ansible-kansio versionhallintaan. Tee jokin muutos, aja ansiblella, tallenna versio (commit).
f) Hae pari projektiin Moodlen keskustelusta. (Tästä alakohdasta f ei tarvitse tehdä vaiheittaista teknistä raporttia, riittää kun toteat, että pari on hankittu.)
g) Vapaaehtoinen: Se toinen järjestelmä: kokeile Gittiä eri käyttöjärjestelmällä kuin sillä, millä teit muut harjoitukset. Selitä niin, että kyseistä järjestelmää osaamatonkin onnistuu. Mahdollisuuksia on runsaasti: Debian, Fedora, Windows, OSX...
h) Vapaaehtoinen: yhteistyötä: anna kaverillesi (tai alter egollesi) oikeus kirjoittaa varastoosi (commit access). Tehkää molemmat muutoksia varastoon gitillä.

Vinkkejä

Kannattaa käyttää SSH-osoitetta varastoa kloonatessa, kirjautuminen julkisella ssh-avaimella
ssh-keygen (enter, enter, enter), cat $HOME/.ssh/id*.pub, Github: Settings: SSH keys... Vain julkisen avaimen - sen mikä päättyy .pub - saa julkaista ja tallettaa Githubiin.
Github-varaston sivulta Code: SSH. git clone https://github.com/hattupuu/earplotter.git ; cd earplotter
git pull
git add --all && git commit; git pull && git push
git log --patch
git config --global user.email "tonystudent@example.com"
git config --global user.name "Tony Student"
Commit message
- Miksi? Miksi tämä commit on tehty? (Ne tiedostot ja muutokset näkyvät joka tapauksessa 'git log --patch', joten commit messagen kannattaa kertoa se syy: miksi, why?
- Yksi englanninkielinen virke määräysmuodossa ja nykyajassa: "Add reverse thurst estimation to main view"
GitHub-varastoon kannattaa tehdä tiedostoja luomisvaiheessa, suosittelen tekemään README.md ja vapaista lisensseistä itse tykkään GPLv3 eli GNU General Public License, version 3. Oman työsi lisenssin saat itse valita.
Karvinen 2021: Install Debian on VirtualBox
Microsoft 2023: Get a Windows 11 development environment: Download a virtual machine: VirtualBox
Jos menet olemassaolevaan projektiin (työpaikalla, open source)... opiskele projektin käytännöt ja käytä niitä
https://github.com/terokarvinen/suolax Salt-tiloja, jotka voi ajaa suoraan salt-varastosta
Git asennuspaketit Windowsille ja Macille https://git-scm.com/downloads
Macilla 'brew' saattaa olla myös kätevä työkalu Gitin asentamiseen
Linuxille Git asentuu helpoimmin paketinhallinnasta: 'sudo apt-get update; sudo apt-get -y install git'

h6 Miniprojekti # ↑

Loppuhuipennus: projektit esitellään kurssin lopussa. Saat soveltaa uusia taitojasi!

Pääset harjoittelemaan teknistä esittämistä huolettomassa ympäristössä omien luokkakavereiden kanssa. Saat myös esittää kysymyksiä, ideoita ja kommentteja kavereiden töihin. Ja samalla näet, mitä muut ovat rakentaneet.

Arvon esitysjärjestyksen ja ilmoitan sen esitysten alussa. Kaikkien projektien tulee olla esitysvalmiina 2026-05-05 w19 tiistaina (ja torstain ryhmällä päivää myöhemmin ke).

a) Oma miniprojekti.
- Modernia keskitettyä hallintaa: idempotentti, infra koodina, yksi totuus
- Idempotentti
  - Pelkkä skritpi (shell script) ei kelpaa, ei myöskään skripti jaettuna kymmeneen peräkkäiseen cmd.run-tilaan
- Kannattaa testata lopputulos tyhjällä koneella
  - Vapaaehtoista: Jos videoit ruudulta samalla, sinulla on räjähtävien demojen tai tulevien kurssin ulkopuolisten esitysten varalta aina toimiva esitys. Jos laitat videon Youtubeen tai kotisivullesi, sinulla on valmis esitys käytettäväksi myös kurssin jälkeen. Vaikka live-demo on parempi kuin video, parasta on live-demo ja varalla video.
- Ensin valmista, sitten hienoa.
  - Tee ensin pieni, toimiva kokonaisuus, jonka voisit hätätilassa esittää.
  - Tallenna pieni kokonaisuutesi toimivana esim. kopioimalla kansio
  - Tee sitten tämän toimivan päälle hienot jutut, seuraavat vaiheet ja kurottelumaalit.
  - Kannattaa aloittaa ajoissa ja tehdä joka päivä
  - Kaikki tai ~~ei mitään~~ jotain
b) Etusivu. Laita projektisi etusivulle tärkeimmät tiedot
- Etusivu voi olla esimerkiksi Github-varasto ja tiedot README.md:ssä
- Yritä laittaa keskeisimmät kohdat "taitoksen yläpuolelle", eli näkymään jo ennen skrollausta
- Tavoitteena on, että lukija ymmärtää välittömästi ja yhdellä silmäyksellä projektin tarkoituksen (ruutukaappaus + kuvaus)
- Tiedot
  - Projektin tarkoitus, mieluiten yhdellä lyhyellä virkkeellä. Eli mitä tämä tekee / mihin tätä käytetään / mitä hyötyä tästä on / business purpose.
  - Lisenssi. Saat valita, suosittelen GNU General Public License, version 3.
  - Ruutukaappaus lopputuloksesta
  - Oma nimesi ja mahdollinen kotisivun osoite (Saa toki käyttää myös nimimerkkiä)
  - Latauslinkki (Githubissa asennusohje voi toki olla myös 'git clone ...')
  - Käyttöönotto. Miten kuka tahansa sivulle tulija voi ilman muita ohjeita ajaa projektisi.
  - Voit kirjoittaa suomeksi tai englanniksi; usein ohjelmat dokumentoidaan englanniksi
c) Showtime! Valmistaudu pitämään max 7 min esitys projektistasi.
- Yleisö: kurssin muut opiskelijat
  - Kuulija yleensä miettii aluksi, mitä hyötyä tähän esitykseen keskittymisestä on minulle.
  - Ymmärtääkö kuulija, mitä lopputulos tekee?
  - Kun hyöty on selvillä, kuulija halunnee oppia tekemään saman
- Tarkoitus ja lopputulos ensin
  - Hovimestari on syyllinen.
  - Yleisö kuuntelee, kun tietää, mitä hyötyä tästä on
- Esittele itsesi
  - Monissa esityksessi oman nimen ja organisaation esittely on tärkein oma hyöty
- Demo ois kiva
  - Kannattaa laittaa demo pyörimään heti, kun projektin tarkoitus ja oma nimi on selvillä
  - Salt-ajot vievät usein aikaa, jota ei kannata käyttää odotteluun vaan puhumiseen
  - Kerro kaikki kerrottava sillä aikaa kun salt raksuttaa
- Kokeile välineet
  - Jitsi-kanavalle pääsee milloin vain
  - Ruudunjako, kamera, mikki
  - Jos haluat kaksi asiakasta, niin 2 tietokonetta tai tietokone ja kännykkä
- Tästä c-alakohdasta ei tarvitse tehdä raporttia.

Vinkit

Katso vanhoja projekteja
- Kurssisivujen kommenteista
- Hakukoneista

Tervetuloa esiintymään!

Huomaa myös vapaaehtoinen h8.

h8 Bonus # ↑

Vapaaehtoinen bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät

Tehtävän h8 määräaika on kurssin 24 h ennen viimeisen oppitunnin alkuao. Tämä bonustehtävä on kokonaan vapaaehtoinen.

Adminstrivia # ↑

Sudo logo my Mark Stillman 2019, received under CC-BY-4.0.

Apache httpd logo is a trademark of The Apache Software Foundation.

Tunkeutumistestaus - 2026 spring - Archived

2026-03-22T13:06:00+02:00

Learn to hack computers to protect your own. In the course, you will break into target computers.

Excellent feedback, reached 5.0 out of 5.

Archived page # ↑

This page is archived.

Are you looking for the latest Tunkeutumistestaus course page?


Course name and code	Tunkeutumistestaus ICI005AS3A-3004 (study guide)
Timing	2026 period 4 late spring, w13-w20
Credits	5 cr
Classes	Tuesdays 08:00 - 10:45, Pasila pa5001, bring your laptop
Max students	40
Language	Finnish (+reading material in English)
Remote	No, fully contact in Pasila classroom
Feedback	5.0 / 5 Excellent feedback*
Services	Moodle: Tunkeutumistestaus, Laksu. Voluntary extra: Tero's list.
First class	2026-03-24 w13 Tue 08:00, pa5001, bring your laptop.

Teaching is in Finnish, so the rest of this page will be in Finnish.

Oppimistavoitteet # ↑

Opintojakson suoritettuaan opiskelija

Tuntee tunkeutumistestauksen prosessin pääpiirteissään
Tietää, että tunkeutumistestaukselle on lailliset ja eettiset rajat
Osaa kartoittaa kohdejärjestelmän haavoittuvuuksia
Osaa hyödyntää valmiita hyökkäyksiä (exploit) ja liittää niihin hyötykuorman käyttäen kurssille valittua työkalua
Osaa soveltaa tavallisimpia hyökkäyksiä weppisovelluksia vastaan, kun kohdeohjelmistot ovat helppoja ja haavoittuvia.
Osaa hankkia tunkeutumistestauksessa tarvittavia ohjelmistoja

Kurssilta ei saa mukaansa ilmaista pakettia nollapäivähaavoittuvuuksia, eikä kurssi anna mitään erityisoikeuksia eikä ammattinimikkeitä.

Aikataulu # ↑

Tiistaisin 08:00 - 10:45 Pasila pa5001.

Päivä	Aihe
2026-03-24 w13 Tue	1. Tunkeutumisen yleiskuva. Järjestäytyminen. Kybertappoketju.
2026-03-31 w14 Tue	2. 9 Vierailija Marko Buuri, cybersecurity adviser, Suomen Pankki: DORA & threat lead penetration testing. Harjoitusympäristöt, ulkopuoliset ja oma virtuaalilaboratorio.
2026-04-07 w15 Tue	3. Aktiivinen tiedustelu. Porttiskannaus ja oheistekniikat. Valvonta snifferillä.
2026-04-14 w16 Tue	4. Vierailija Sam: Winning OSINT competition in Ukraine. Weppiin murtautuminen. IDOR, path traversal, SSRF. Välimiesproxyt, ZAP tai mitmproxy. Harjoitusympäristöt weppiin.
2026-04-21 w17 Tue	5. 9 HT8: Robin Niinemets, Ilja Ylikangas, Henry Isakoff: Getting started with CTF. Weppiin murtautuminen. SQLi. Keksit. CSRF. Oman TLS-salatun liikenteen purkaminen. Norjalaisia vieraita seuraamassa, Noroff.
2026-04-28 w18 Tue	6. Haittaohjelmat ja takaovet. Bind ja reverse shell. Metasploit ja Msfvenom.
2026-05-05 w19 Tue	7. Vierailija Niklas Särökaari: Attacking identity. Salasanojen murtaminen. Käyttäjien salasanat. Sanakirjahyökkäys. Hashcat.
2026-05-12 w20 Tue	8. Lipunryöstö, arvioitava laboratorioharjoitus.

Tämä on edistynyt kurssi, joten tuntien aiheisiin voi tulla muutoksia kurssin edetessä.

Anna palautetta # ↑

Palaute on todella tärkeä tapa kehittää kurssia – kiitos kommenteista jo etukäteen. Palaute kahteen kanavaan

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään # ↑

Vapaamuotoinen palaute kommenttina tämän kurssisivun perään

Vapaamuotoiseen palautteeseen saa kirjoittaa mitä vain, eikä kysymyksiä tarvitse toistaa. Mutta tässä vinkiksi:

Opitko jotakin – eli osaatko nyt sellaista, mitä et osannut ennen kurssia?
Teitkö jotain ensimmäistä kertaa? Hyökkäsit weppiin, käytit jotain työkalua, skannasit kokonaisen verkon; käytit jotain kieltä, tekniikkaa tai työkalua?
Mitä mieltä kustakin vierailijasta? (Marko / Suomen Pankki; Sam OSINT Ukraina; Robin, Ilja, Henry CTF, Niklas identiteetti)
Oliko opittu hyödyllistä? Luuletko, että sille on käyttöä esim. tulevaisuudessa töissä tai kotona?
Mitä mieltä olit läksyistä? Luku/video/podcast -materiaalista? Hands-on tehtävistä?
Miten voisin parantaa kurssia?
Viihdyitkö kurssilla?
Suosittelisitko kurssia? Kenelle kurssi sopisi? Koulutoverille tai kollegalle?

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa # ↑

Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa

Numeerisen palautteen avulla mm. verrataan Haaga-Helian kursseja toisiinsa. On tärkeää saada jokaiselta palaute, jotta tulos on tilastollisesti merkitsevä.

Numeeriset: Asteikko 1-välttävä (huonoin) ... 5-kiitettävä (paras)

Oma aktiivisuutesi opiskelussa 1-5
Osaamistavoitteiden saavuttaminen 1-5
Työskentelytavat tukivat oppimista 1-5
Opiskeluympäristö tuki oppimista 1-5
Hyödyllisyys työelämään 1-5

Avoimet kysymykset (näihin voi myös kopioida samat vastaukset jotka kirjoitit aiemmin)

Mitkä asiat edistivät oppimistasi?
Miten kehittäisit toteutusta / toteutuskokonaisuutta, jotta osaamistavoitteet saavutettaisiin paremmin?

Kokonaisarviosi toteutuksesta / toteutuskokonaisuudesta 1-5

Suosittelisitko 1 - 10 (1 en varmasti, 10 aion varmasti suositella tai olen jo suositellut)

Kiitos palautteesta ja jännittävästä kurssista! Seuraavilla kursseilla nähdään.

Kertausmateriaalia # ↑

TCP/IP-pino: Wikipedia: Internet protocol suite
Linuxin komentokehote: Command Line Basics Revisited (ja Linuxin asennus Install Debian on VirtualBox)
Tietokantojen alkeet (millä vain alustalla): PostgreSQL Install and One Table Database - SQL CRUD tutorial for Ubuntu
Ohjelmoinnin alkeet (millä vain kielellä). Python on myös hyvä vaihtoehto. FreeCodeCamp.org: Javascript Algorithms And Data Structures Certification: Basic JavaScript: Introduction to JavaScript

Luettavaa ja linkkejä # ↑

€ Maksulliset aineistot saattavat näkyä ilmaiseksi Haaga-Helian tunnuksilla kirjaston kautta. Haaga-Helialla on käyttöoikeus O'Reilly Learning -kirjoihin (ent. Safari).

Työkaluja kurssille

Install Debian on VirtualBox
Remote Learning Tools for Tero's Courses
Kali Linux. Uusi levykuva kali-linux-2021.1-live-amd64.iso (vanha levykuva kali-linux-2020.3-live-amd64.iso). Kun linkki menee vanhaksi, etsi Kalin kotisivulta tuorein amd64-arkkitehtuurin live-tikun iso-kuva.

L2 weppihyökkäyksiä - tukee läksyä h2

OWASP 10 2017 (pdf), erityisesti ne hyökkäykset, joita aiot kohta tehdä eli A2 Broken Authentication, A3 Sensitive Data Exposure, A7 Cross Site Scripting; sekä viime kerralla harjoiteltu A1 Injection.
€ Santos et al 2018: Hacking Web Applications The Art of Hacking Series LiveLessons (video): Security Penetration Testing for Today's DevOps and Cloud Environments: 6.3 Understanding SQL Injection ja 6.4 Exploiting SQL Injection Vulnerabilities sekä Lesson 5: Authentication and Session Management Vulnerabilities
€ Percival & Samancioglu 2020: The Complete Ethical Hacking Course (video): Chapter 21: Cross Site Scripting
Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains

Yleiskuva, harjoitusmaaleja, web

MITRE ATT&CK
Darknet Diaries . Podcastien kuunteluun kännykällä AntennaPod löytyy F-Droidista
MitmProxy on Kali and Xubuntu
Install Webgoat 8 - Learn Web Pentesting. (It's also possible to install old version 7 of WebGoat with Docker).
OWASP 10 2017 (pdf). Tällä hetkellä 2021-02-02 uusin versio.

Aktiivinen tiedustelu. HackTheBox.

€ Santos et al: The Art of Hacking (Video Collection): [..] 4.3 Surveying Essential Tools for Active Reconnaissance: Port Scanning and Web Service Review
man nmap (laaja, silmäily riittää)
Kokonaisia blogeja ja videokanavia, vilkaise, ei tarvitse katsoa 200 h videota:
- https://tools.kali.org/tools-listing
- 0xdf https://0xdf.gitlab.io/
- ippsec https://www.youtube.com/channel/UCa6eh7gCkpPo5XXUDfygQQA/videos
- John Hammond https://www.youtube.com/user/RootOfTheNull/videos?sort=p
- Youtube-videoiden katseluun kännykällä NewPipe F-Droidista. Youtube-videoiden nopeuden säätöön codebicycle Video Speed Controller addon Firefoxille.

Passwords, Learning to Learn tools

infosecn1nja 2020: Red-Teaming-Toolkit
Taylor et al 2018: The Art of Hacking: Hacking User Credentials €

Web Fuzzing, Second to Last Words

Hoikkala "joohoi" 2020: ffuf - Fast web fuzzer written in Go
Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual Meetup #1.
Miettinen 2020: iPhone BFU Acquisition and Analysis. In HelSec Virtual Meetup #1.

Metasploit

€ Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta "Conducting a penetration test with Metasploit" luvun loppuun)
Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer (Article uses rapid7/metasploitable3-ub1404 , see also "rapid7/metasploitable3-win2k8")

Vanhoja toteutuksia # ↑

Tunkeutumistestaus ICI001AS3A-3002 - 2024p4-loppusyksy

Tunkeutumistestaus 2024p2

Tunkeutumistestaus ici005as3a-3001 loppukevät pa2004

Tunkeutumistestaus ict4tn027-3012 loppusyksy online

Tunkeutumistestaus ict4tn027-3009

Tunkeutumistestaus ict4tn027-3010 - Syksy 2022

Tunkeutumistestaus ict4tn027-3007 - 2022p4 late spring

Tunkeutumistestaus ict4tn027-3008 - 2021 Autumn

itc4tn027-3005: Tunkeutumistestaus eli eettinen hakkerointi -kurssi

Penetration Testing Course 2020 Autumn - Tunkeutumistestaus ict4tn027-3006

Penetration Testing Course 2020 Spring - Tunkeutumistestaus ict4tn027-3003

Haku "Tunkeutumistestaus"

Läksyt # ↑

Palauta linkki Laksuun 24 h ennen seuraavaa lukujärjestykseen merkittyä kurssivarausta. Tehtävät ovat pakollinen ja tärkeä osa kurssia.

Läksyt pitää tehdä tietokoneella kokeilemalla ja raportoida tapahtumien kulku, ellei kyseisessä alakohdassa erikseen muuta lue. Raportti tulee kirjoittaa samalla, kun työskentelee.

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt.

h1 Kybertappoketju # ↑

Tehtäviä saa aloittaa vasta, kun on hyväksynyt kurssin säännöt. Koneet on eristettävä Internetistä hyökkäysten harjoittelun ajaksi.

Tehtävät ovat virallisia vasta, kun ne on annettu tehtäväksi. Niitä ei tule aloittaa etukäteen, koska niiden sisältö voi vielä muuttua olennaisesti.

Update 2026-03-24 w13 Tue 1530: Lisäsin HTB VPN -vinkit. Merkkasin, että oikeustapausesta riittää vilkaisu.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Kannataa lisätä kustakin oma huomio, idea tai kysymys.)
- Herrasmieshakkerit (RSS) tai Darknet Diaries (RSS) , yksi vapaavalintainen jakso jommasta kummasta. Voi kuunnella myös lenkillä, pyykiä viikatessa tms. Siisti koti / hyvä kunto kaupan päälle.
- Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, chapters Abstract, 3.2 Intrusion Kill Chain.
- € Santos et al: The Art of Hacking (Video Collection): 4.3 Surveying Essential Tools for Active Reconnaissance. Sisältää porttiskannauksen. 5 videota, yhteensä noin 20 min.
- KKO 2003:36. (Vain silmäily, ei tarvitse lukea kokonaan eikä varsinkaan tehdä syvällistä analyysia).
a) Asenna Kali virtuaalikoneeseen. (Jos asennuksessa ei ole mitään ongelmia tai olet asentanut jo aiemmin, tarkkaa raporttia tästä alakohdasta ei tarvita. Kerro silloin kuitenkin, mikä versio ja millä asennustavalla. Jos on ongelmia, niin tarkka ja toistettava raportti).
b) Irrota Kali-virtuaalikone verkosta. Todista testein, että kone ei saa yhteyttä Internetiin (esim. 'ping 8.8.8.8')
c) Porttiskannaa 1000 tavallisinta tcp-porttia omasta koneestasi (nmap -T4 -A localhost). Selitä komennon paramterit. Analysoi ja selitä tulokset.
d) Asenna kaksi vapaavalintaista demonia ja skannaa uudelleen. Analysoi ja selitä erot.
e) Ratkaise vapaavalintainen kone HackTheBoxista. Omalle tasolle sopiva, useimmille varmaan Starting Pointista. Valitse kone, jota et ole ratkaissut vielä. Ei tunnilla näytetty Meow. (Propellihatuille: jos teet vaikeampia ei-starting-point koneita, niin retired tai vastaava kone, josta saa julkaista writeupin).

Vinkkejä

Sivun tekeminen wepiin onnistuu helposti Githubilla. Karvinen 2023: Create a Web Page Using Github
Podcastien kuunteluun AntennaPod löytyy F-Droid:sta ja Google Play:sta. Tietysti podcasteja voi kuunnella sadoilla muillakin ohjelmilla.
Halutessasi voit käyttää myös muita virtualisointiympäristöjä kuin VirtualBoxia, esim Macilla UTM tai Linuxilla virt-manager (libvirt, qemu). Tämä edellyttää toki omaa soveltamista.
Suosittelen Kaliin 4 GB muistia
OffSec Ltd 2023: Prebuilt Virtual Machines
Tutustu tarvittaessa itse etsimiisi lähteisiin, kuten man-sivuihin ja ohjelmien dokumentaatioon.
HackTheBox:n OpenVPN-yhteyden asennus (ulkomuistista)
- Oikea HackTheBoxin alue on "Practice hands-on Labs" https://app.hackthebox.com/home (ei Academy)
- Tallenna ruutukaappaus säännöistä ennen aloitusta. HTB oikealla ylhäällä, kysymysmerkin alla.
- Lataa Starting Point foo.ovpn
  - Connect-nappi, HackTheBoxin oikeassa yläreunassa
  - Oikealla ylhäällä "Connect", "Starting point"
- Tuo (import) yhteys Network Manager:iin
  - Network manager - Linuxissa ala/yläpalkissa tarjottimella (tray, notification area), naaras ethernet-portin kuva tai koneet haalaavat -ikoni (riippuen versiosta). Tai komentoriviltä 'nmcli'.
  - VPN Connections: Create. "Import" on alimmaisena, ja valikkoa pitää kelata alaspäin.
- VPN päälle, testaus.
  - VPN päälle löytyy samasta Network Manager -kuvakkeesta.
  - 'ping 8.8.8.8' - pitäisi toimia (vastata) VPN pois päältä, ja lakata vastaamasta kun laitat VPN päälle.
Muista laittaa lähdeviitteet. Viittaa joka tehtävästä kurssiin ja kaikkiin muihinkin käyttämiisi lähteisiin.
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston Haaga-Helia A-Z kautta.
Kun olet irroittanut Internetin ja valmiina skannaamaan, varmista. Kokeile, että Google tai DuckDuckGo ei aukea selaimella, että et voi pingata esim 8.8.8.8. Kokeile, että maalikoneesi vastaa pingiin. Jos maalikoneella on weppipalvelin, kannattaa katsoa selaimella, että sieltä aukeaa olettamasi sivu.
Tietoja verkosta
- ip a; ifconfig
- ip route
- ipcalc 10.0.0.1/24
- ping 8.8.8.8
Ole huolellinen, irrota harjoituskoneet Internetistä skannausten ja hyökkäysten ajaksi. Mitään ulkopuolisia koneita ei saa skannata eikä mihinkään ulkopuolisiin koneisiin saa tunkeutua.
Jokin tehtävä voi olla vaikea. Tee ja raportoi silloin kaikki mitä osaat. Listaa lähteet, joista hait ohjeita. Onko jotain vielä kokeiltavana? Mitä haasteita on vielä ratkaisun tiellä? Mitä virheimoituksia tai vastaavia tulee? Voit myös katsoa wepistä esimerkkiratkaisun - muista viitata lähteeseen ja merkitä, missä kohdassa katsoit ratkaisua. Ja katsotaan yhdessä tunnilla loput.
Ongelmallisista kohdista raportoidaan erityisen tarkasti, jotta voimme antaa vinkkejä haasteisiin.

h2 DORA the Explora # ↑

Can you say TIBER-FI?

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma havainto, idea tai kysymys)
- Buuri 2026: DORA and TLPT testing - Lecture for Haaga-Helia on 31 March 2026 (pdf, 2 MB)
- DORA (Regulation ... on digital operational resilience for the financial sector) (vain nämä kaksi artiklaa):
  - Article 26 "Advanced testing of ICT tools, systems and processes based on TLPT"
  - Article 27 "Requirements for testers for the carrying out of TLPT"
- TIBER-FI procedures and guidelines (pdf, 1 MB) (vain tämä kohta):
  - 5.4 Testing phase: Red team testing (johdantokappale suoraan 5.4 alta, "5.4.1 Red team test plan creation" alkuun asti)
- Vapaaehtoinen bonus: Buuri 2026: D26 - Releasing Your Inner TIBER in Regulated Adversary Simulations. Video, 45 min. Disobey 2026.
a) Asenna Metasploitable 2 virtuaalikoneeseen.
b) Tee Kalin ja Metasploitablen välille virtuaaliverkko. Jos säätelet VirtualBoxista
- Kali saa yhteyden Internettiin, mutta sen voi laittaa pois päältä
- Kalin ja Metasploitablen välillä on host-only network, niin että porttiskannatessa ym. koneet on eristetty intenetistä, mutta ne saavat yhteyden toisiinsa
c) Harjoittelemme omassa virtuaaliverkossa, jossa on Kali ja Metaspoitable. Osoita testein, että 1) koneet eivät saa yhteyttä Internetiin 2) Koneet saavat yhteyden toisiinsa.
d) Etsi Metasploitable porttiskannaamalla (nmap -sn). Tarkista selaimella, että löysit oikean IP:n - Metasploitablen weppipalvelimen etusivulla lukee Metasploitable.
e) Porttiskannaa Metasploitable huolellisesti ja kaikki portit (nmap -A -T4 -p-). Poimi 2-3 hyökkääjälle kiinnostavinta porttia. Analysoi ja selitä tulokset näiden porttien osalta. Voit hakea analyysin tueksi tietoa verkosta, muista merkitä lähteet.
f) Vapaaehtoinen bonus: Sisään vaan. Pääsetkö murtautumaan Metasploitableen?
g) Vapaaehtoinen bonus: jos haluat, voit jo kokeilla metasploit-hyökkäysohjelmaa omaan harjoitusmaaliisi. Tätä katsotaan myöhemmin yhdessäkin. (Muista irrottaa kone Internetistä kokeilujen ajaksi. 'sudo msfdb init', 'sudo msfconsole').

Vinkkejä

Virtuaalikoneiisin voi asentaa uusia verkkokortteja vain, kun ne ovat sammuksissa
Kannattaa lukea Valkamon artikkelista VirtualBox-osuus ennenkuin ryhdyt asentamaan virtuaalikoneita. Valkamo 2022: Hacking into a Target Using Metasploit: Metasploitable
VirtualBoxissa host-only-networking on kätevä. Voit laittaa Kaliin kaksi verkkokorttia, toinen NAT:lla Internetiin ja toinen host-only-network:n. Verkkoasetusten advanced-kohdasta voi vetää virtuaalisen verkkokaapelin irti ja kiinni, vaikka kone on päällä.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.

h3 EternalHomework # ↑

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva.)
- € Jaswal 2020: Mastering Metasploit - 4ed: Chapter 1: Approaching a Penetration Test Using Metasploit (kohdasta Conducting a penetration test with Metasploit luvun loppuun eli "Summary" loppuun)
- Mitä 'nmap -sn' tekee? Älä arvaa, vaan perustele lähteillä. Mistä tiedät, että käyttämäsi lähde on luotettava?
b) Tallenna porttiskannauksen tuloksia Metasploitin tietokantoihin. Skannaa niin, että Metasploitable tulee mukaan. Kannattaa ottaa mukaan ainakin versioskannaus -sV (joka on banner grabbing plus).
c) Tarkastele Metasploitin tietokantoihin tallennettuja tietoja komennoilla "hosts" ja "services". Kokeile suodattaa näitä listoja tai hakea niistä.
d) Internet famous. Etsi Metasploitablen mukana tulevista hyökkäyksistä (en: exploits; search) sellainen, joka on ollut julkisuudessa.
e) Vertaile nmap:n omaa tiedostoon tallennusta (-oA foo) ja db_nmap:n tallennusta tietokantoihin. Mitkä ovat eri tiedostomuotojen ja Metasploitin tietokannan hyvät puolet?
f) Murtaudu Metasploitablen vsftpd-palveluun
g) Kerää levittäytymisessä (lateral movement) tarvittavaa tietoa metasploitablesta. Analysoi tiedot. Selitä, miten niitä voisi hyödyntää.
h) Murtaudu Metasploitableen jollain toisella tavalla. (Jos tämä kohta on vaikea, voit tarvittaessa turvautua verkosta löytyviin läpikävelyohjeisiin. Merkitse silloin raporttiin, missä määrin tarvitsit niitä).
i) Demonstroi Meterpretrin ominaisuuksia.
j) Tallenna shell-sessio tekstitiedostoon script-työkalulla (script -fa log001.txt) tai tmux:lla.
k) Pivot point. Laita kaikki harjoituksen tiedostot (script -fa, nmap -oA...) samaan kansioon. Hae sopiva pivot point (sovellus, versio, osoite, MAC-numero) 'grep -r' -komennolla. Keksi uskottava esimerkkikysymys, johon haet vastausta.
l) Attaaack! Mitä Mitre Attack taktiikoita ja tekniikoita käytit tässä harjoituksessa? (Tässä alakohdassa "Attaack!" ei tarvitse tehdä lisää testejä koneella, koska testit on jo tehty.)
m) Vapaaehtoinen: Etsi esimerkki Mitre Attack proseduurista (procedure), jossa joku uhkatoimija on käyttänyt samoja tekniikoita.
n) Vapaaehtoinen: Titityy. Saatko Metasploitableen tty-shellin, eli esimerkiksi avattua koko ruudulle piirtävän nano:n?
o) Vapaaehtoinen, vaikea: Kokeile jotain kilpailevaa hyökkäystyökalua tai vihamielistä etäkäyttötyökalua, kuten Sliver tai Scarecrow.
p) Vapaaehtoinen: Asenna ja korkkaa Metasploitable 3. Karvinen 2018: Install Metasploitable 3 – Vulnerable Target Computer
q) Vapaaehtoinen: Peekaboo. Demonstroi, kuinka hyökkääjä vakoilee meterpreterillä. Kuuntele mikrofonilla, ota kuvia tai videota kameralla. (Huolehdi, ettei ulkopuolisia joudu kuunnelluksi tai katselluksi.)

Vinkkejä

O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.
Jos Metasploitable 2 -maali ei löydy omasta verkosta (arp, arpwatch, netdiscover, nmap -sn...), voit kirjatua sisään (msfadmin:msfadmin) ja 'ifconfig' tai 'ip addr'. Metasploitable 2:n kannattaa laittaa vain yksi "Host only networking" verkkokortti, se ei toimi itsestään kahden verkkokortin kanssa.
Murtautumiseen Metasploitable 2:n löytyy esimerkkiratkaisuja Metasploitable 2 Exploitability Guide. Tämä on läpikävelyohje, joten kannattaa yrittää ensin itse.
Mitre Attack Enterprise Matrix
- Tactic, välitavoitteita, esim. TA0003 Persistence
- Techique, keinoja, esim. T1189 Drive-by Compromise
- Mitre FAQ
grep -ir
- grep -ir -C 3 --color=always terokarvinen.com|less -R

MsfConsole vinkit (ulkomuistista)

Tässä siis ulkomuistista, voit etsiä näistä lisätietoa ja oikean kirjoitusasun.

$ sudo msfdb init
$ sudo msfconsole
msf> db_nmap localhost

msf> services
msf> hosts
msf> 
msf> workspaces 
msf> sessions
msf> sessions --help
msf> 
msf> search vsftpd
msf> use 0
msf> setg RHOSTS 127.0.0.1	# huolellisesti, tähän hyökätään kohta
msf> 
msf> show options
msf> exploit
msf> 
msf> sessions 1

shell
ctrl-Z 

msf> session -u 1

h4 Täysin Laillinen Sertifikaatti # ↑

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista - ei pitkiä esseitä. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- OWASP 2021: OWASP Top 10:2021
  - A01:2021 – Broken Access Control (IDOR ja path traversal ovat osa tätä)
- PortSwigget Academy:
a) Totally Legit Sertificate. Asenna OWASP ZAP, generoi CA-sertifikaatti ja asenna se selaimeesi. Laita ZAP proxyksi selaimeesi. Laita ZAP sieppaamaan myös kuvat, niitä tarvitaan tämän kerran kotitehtävissä. Osoita, että hakupyynnöt ilmestyvät ZAP:n käyttöliittymään. (Voi vaatia Firefox about:config network.proxy.allow_hijacking_localhost. Foxyproxy laittoi tämän aiemmin päälle itse. Kalin Firefox ESR oli viimeksi ongelmia Foxyproxyn kanssa - vaihtoehtona on asettaa Proxy käsin Settings, hakusana "proxy")
b) Kettumaista. Asenna "FoxyProxy Standard" Firefox Addon, ja lisää ZAP proxyksi siihen. Käytä FoxyProxyn "Patterns" -toimintoa, niin että vain valitsemasi weppisivut ohjataan Proxyyn. (Läksyssä ohjataan varmaankin PortSwigger Labs ja localhost.)
PortSwigger Labs. Ratkaise tehtävät. Selitä ratkaisusi: mitä palvelimella tapahtuu, mitä eri osat tekevät, miten hyökkäys löytyi, mistä vika johtuu. Kannattaa käyttää ZAPia, vaikka malliratkaisut käyttävät harjoitusten tekijän maksullista ohjelmaa. Monet tehtävät voi ratkaista myös pelkällä selaimella. Malliratkaisun kopioiminen ZAP:n tai selaimeen ei ole vastaus tehtävään, vaan ratkaisu ja haavoittuvuuden etsiminen on selitettävä ja perusteltava.
- Cross Site Scripting (XSS)
  - c) Reflected XSS into HTML context with nothing encoded
  - d) Stored XSS into HTML context with nothing encoded
  - e) Selitä esimerkin avulla, mitä hyökkääjä hyötyy XSS-hyökkäyksestä. Alert("Hei Tero!") ei vielä tarjoa kummoista pääsyä. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella, pelkkä lyhyt ja selkeä selitys riittää.)
- Path traversal
  - f) File path traversal, simple case. Laita tarvittaessa Zapissa kuvien sieppaus päälle.
  - g) File path traversal, traversal sequences blocked with absolute path bypass
  - h) File path traversal, traversal sequences stripped non-recursively
- Insecure Direct Object Reference (IDOR)
  - i) Insecure direct object references
j) Vapaaehtoinen, helppo: Asenna pencode ja muunna sillä jokin merkkijono (encode a string).
k) Vapaaehtoinen: Mitmproxy. Asenna MitmProxy. Esittele sitä terminaalissa (TUI). Ota TLS-purku käyttöön. Poimi historiasta hakupyyntö, muokkaa sitä ja lähetä uudelleen.
l) Vapaaehtoinen: Ratkaise lisää PortSwigger Labs -tehtäviä. Kannattaa tehdä helpoimmat "Apprentice" -tason tehtävät ensin.

Vinkit

Firefox ei enää ohjaa proxyyn liikennettä mihinkään 127-alkuiseen IP-osoitteeseen eikä localhostiin. Foxyproxy tai about:config network.proxy.allow_hijacking_localhost auttaa
Zap asennus
- Nykyisin Kalissa 'sudo apt-get install zaproxy', 'zaproxy' näytti toimivan, joten kannattaa kokeilla sitä ensin.
- OWASP ZAP Download-sivun sopivin JAR on "Cross Platform Package", noin 250 MB.
- Kalissa 'sudo apt-get install zaproxy'
Proxya voi testata vaikkapa Metasploitablen weppipalveluiden kanssa. Tai asentaa WebGoatin Podmaniin. Tai käyttää läksyn PortSwigger Labsin harjoituksia.
- Älä tee hyökkäyksiä mihinkään muualle kuin harjoitusmaaleihin
ZAP TLS-yhteyksien avaamiseen CA-sertifikaatti
- Löytyy Tools: Options: Network alta, hakusanaksi "Certificate".
  - Joissain versioissa haku ei suodata listaa, vaan värittää osumat oranssilla. Ja tietysti oikea sertifikaatti on piilossa, niin että pitää klikkaamalla avata listaa. Sertifikaattikohtia on kaksi, tässä turha asiakkaan sertifikaatti ja oikea, tarvittava palvelimen sertifikaatti (Server Certificate tms).
- Firefoxissa Settings ja hakusanaksi "Certificate"
ZAP:n tärkein toiminto: Requester tab.
- Löytyy historiasta oikeaa nappia painamalla. Myös Ctrl-W.
- Muokkaa hakupyyntöä ja lähetä. Vastaus näkyy vieresssä. Korjaa ja lähetä uudelleen.
ZAP hakupyynnön pysäytys
- Vain, jos Requester eli saman pyynnön uudelleenlähetys ei toimi.
- Puussa olevista osoitteista oikeaa nappia, menusta "Break..."
- Tee pyyntö selaimella
- Pyyntö näkyy ZAPissa oikealla ylhäällä "Break" välilehdellä.
- Muokaa pyynnön tekstiä, lähetä eteenpäin yläreunan työkalupallin Play-symbolia klikkaamalla
ZAP kuvien sieppaus muistaakseni Options: Display: ...images.
- Osa tässäkin läksynä olevista harjoituksista edellyttää, että kuvien sieppaus on päällä.
- Monissa ZAP:n versioissa jättää kokonaan kuvat näyttämättä oletuksena.
PortSwiggerin tehtävissä voi käyttää välimiesproxyna ZAP:ia tai MitmProxya. Ei siis tarvitse ostaa noiden harjoitusten tekijän kuuluisaa ohjelmaa.
Pencoder - loistava ohjelma stringien muunteluun fuff:n tekijältä. Esim. URLEncode, base64...
- Pencoder asennus ulkomuistista: hae Github-sivu "fuff pencode", Releases, pencode*linux_amd64.tar.gz, pura paketti, aja valmis binääri, kopioi se /usr/local/bin/.
Viittaa
- Viittasithan kurssiin ja tehtäväsivuun?
- Viittasithan kaikkiin käyttämiisi artikkeleihin?
- Viittasithan muiden tehtäväraportteihin, jos käytit lähteenä?
- Videoihin, man-sivuihin, ohjelmiin, StackOverflowhun...
- Viittasithan kaikkiin muihinkin lähteisiin?
Hakkeroimaan oppii hakkeroimalla.

h5 Fuzzy # ↑

Opit käyttämään maailman johtavaa weppifuzzeria: ffuf.

x) Lue/katso/kuuntele ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva. Lisää mukaan jokin oma idea, huomio, kysymys tai kommentti.)
- Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf
- Jompi kumpi, Hoikkalan video tai teksti:
  - Hoikkala 2023: ffuf README.md, tai
  - Hoikkala "joohoi" 2020: Still Fuzzing Faster (U fool). In HelSec Virtual meetup #1. (Noin tunnin mittainen)
a) Fuzzzz. Ratkaise dirfuz-1 artikkelista Karvinen 2023: Find Hidden Web Directories - Fuzz URLs with ffuf.
b) Fuff me. Asenna FuffMe-harjoitusmaali. Karvinen 2023: Fuffme - Install Web Fuzzing Target on Debian
Ratkaise ffufme harjoitukset - kaikki paitsi ei "Content Discovery - Pipes".
- c) Basic Content Discovery
- d) Content Discovery With Recursion
- e) Content Discovery With File Extensions
- f) No 404 Status
- g) Param Mining
- h) Rate Limited
- i) Subdomains - Virtual Host Enumeration

h6 Koita simpukoita # ↑

Mitä kirjainta pitää painaa? Missä on "any key"? Nyt joudut itse hakemaan ohjeita verkosta työkalujen käyttöön, mikä tekee monesta kohdasta haastavamman.

Mikään tässä harjoituksessa tehty tai käytetty ohjelma ei saa olla itsestään leviävä (ei virus, ei mato).

a) Venom. Tee msfvenom-työkalulla haittaohjelma, joka soittaa kotiin (reverse shell). Ota yhteys vastaan metasploitin multi/handler -työkalulla.
b) Snif venom! Tarkastele ja analysoi msfvenomin muodostamaa reverse shell -yhteyttä. Käytä snifferiä, kuten Wireshark. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa? Millä muutoksilla tunnistamista voi vaikeuttaa?
c) Hello, Sliver. Näytä esimerkki http-yhteydestä Sliverillä.
d) Sniff Sliver! Tarkastele Sliverin http-yhteyttä snifferillä. Mitä havaitset? Mistä ominaisuuksista yhteyden voi tunnistaa?
e) Sliverillä voit muuttaa yhteyden ominaisuuksia. Kokeile ja näytä esimerkki. Muista todeta testein, että muutokset toimivat.
f) Sliverillä voi tehdä monenlaista kohteessa, ruutukaappauksista alkaen. Näytä esimerkkejä toiminnoista.
g) Vapaaehtoinen: Kokeile Sliver-binääriä Windowsissa.
h) Vapaaehtoinen: Tee Windows-asennusohjelma, joka asentaa jonkin tavallisen ohjelman ja sen yhteydessä Sliver-haitakkeen.
i) Vapaaehtoinen: Kokeile Veil.
j) Vapaaehtoinen: Kokeile ScareCrow.
k) Vapaaehtoinen: Tee PoshC2-työkalulla haittaohjelma, joka soittaa kotiin.
l) Vapaaehtoinen: Tee Mythic-työkalulla haittaohjelma, joka soittaa kotiin.
m) Vapaaehtoinen: Asenna Windows-virtuaalikone ja tee kotiin soittava haittaohjelma siihen. Itse tykkään Linuxista ja käytän paljon sitä, tässä hieman vaihtelua. Windows-käyttäjät ovat myös usein tottuneet (paketinhallinnan puutteessa) lataamaan ohjelmia weppisivuilta.

Vinkit

Irrota tarvittasessa koneet netistä testien ajaksi.
Metasploit msfconsole multi/handler
- laita samat asetukset kuin msfvenom
- muista 'set payload'
- 'run -j' ajaa taustalla, sessiot ovat 'sessions'
- prosessoriarkkitehtuuri kohteen mukaan
Reverse shell:
- Palvelimen päässä pitää olla reikä tulimuurissa.
- Reverse shell tarkoittaa, että palvelin (server, kuunteleva portti) on hyökkäyskoneella.
Sliveriin kannattaa tarvittaessa hakea ohjeita myös tekoälyllä. Vielä joitakin kuukausia sitten Sliverin omissa ohjeissa oli ärsyttäviä virheitä - toivottavasti ne on jo korjattu.
Jos liität haittaohjelmien binäärejä raporttiin, pitää estää niiden asentaminen vahingossa
- Salakirjoitettu zip-paketti, salasana "infected"
- Varoitus lautauslinkin yhteyteen: haittaohjelma / malware
- Jos testaat eristetyissä laboratorioympäristöissä virustorjunnan ohitusta, niin tietysti siinä käytetään vain sisältöä ja vältetään pahoja sanoja "malware", "infected", "meterpreter"...
Muista ht8 lipunryöstöä aloittelijoille

Esimerkki ulkomuistista, pitää itse soveltaa

$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=8080 -o infected

h7 Toukokuu2026! # ↑

Nyt levitään! Opit murtamaan salasanoja. Huomaa myös h8 bonus.

x) Lue/katso ja tiivistä. (Tässä x-alakohdassa ei tarvitse tehdä testejä tietokoneella, vain lukeminen tai kuunteleminen ja tiivistelmä riittää. Tiivistämiseen riittää muutama ranskalainen viiva kustakin artikkelista. Kannattaa lisätä myös jokin oma ajatus, idea, huomio tai kysymys.)
- Karvinen 2022: Cracking Passwords with Hashcat
- Karvinen 2023: Crack File Password With John
- Vapaaehtoinen: € Santos et al 2017: Security Penetration Testing - The Art of Hacking Series LiveLessons: Lesson 6: Hacking User Credentials (8 videos, about 30 min)
a) Asenna Hashcat ja testaa sen toiminta murtamalla esimerkkisalasana.
c) Asenna John the Ripper ja testaa sen toiminta murtamalla jonkin esimerkkitiedoston salasana.
e) Tiedosto. Tee itse tai etsi verkosta jokin salakirjoitettu tiedosto, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi).
f) Tiiviste. Tee itse tai etsi verkosta salasanan tiiviste, jonka saat auki. Murra sen salaus. (Jokin muu formaatti kuin aiemmissa alakohdissa kokeilemasi. Voit esim. tehdä käyttäjän Linuxiin ja murtaa sen salasanan.)
g) Sanakirja. Oman sanakirjan teko parantaa onnistumismahdollisuuksia. Demonstroi, kuinka teet oman sanakirjan hashcat:n tai john:iin.
h) Hash rules. Näytä esimerkki HashCatin sääntöjen käytöstä (rules).
i) Lippuvalmistelu. Valmistele kone ensi viikon lipunryöstöön. Tästä kohdasta ei tarvita kattavaa raporttia, riittää pelkkä luettelo siitä, miten ratkaisit allaolevat kysymykset. Jos sinulla on esimerkiksi valmis, toimiva Kali VM tavallisella PC:llä, tässä ei tarvitse tehdä juuri mitään.
- amd64. Haasteet voivat sisältää amd64-binäärejä. Nämä toimivat itsestään perus-PC:ssä, joita lähes kaikkien koneet ovat. Macintosheissa (M1, M2, M3...) hankala tehdä tehtävää, joten kannattaa ottaa tavallinen amd64-kone.
- Netti. Koneesta pitää päästä nettiin, jotta voit palauttaa liput. Voi olla kätevää, että saat nettiyhteyden katkaistuksi, jotta porttiskannailu ym. on huoletonta.
- Too many secrets. Opettaja voi tarkastaa lipunryöstön koneesi ja tutkia kaikkia siellä olevia tiedostoja. Jos käytät pelkästään virtuaalikonetta (myös selailu, muistiinpanot ym virtuaalikoneesta), tarkastaminen koskee vain sitä. Katso, ettei tällä koneella ole luottamuksellisia tietoja.
- Koneella saa olla haluamasi ohjelmat ja työkalut. Työkaluista ja ohjelmista pitää antaa opettajalle kopio, jos ne eivät ole yleisesti käytettyjä, tunnettuja ja saatavilla olevia vapaita ohjelmia.
- Jos lipunryöstön koneella on muistiinpanoja, niistä on annettava kopio opettajalle sähköpostilla. Omia muistiinpanoja saa olla, mutta ei ole pakko. Lipunryöstössä saa lukea julkisia lähteitä, kuten opettajan kotisivuja sekä omia ja toisten julkisia raportteja.
- Paikallinen tekoäly. Omaa tekoälyä ei tarvita lipunryöstössä, eikä siitä todennäköisesti ole juuri hyötyä. Mutta siltä varalta, että joku miettii tätä: Paikallisen tekoälyn käyttö lipunryöstössä on sallittu, jos ilmoittaa Terolle etukäteen sähköpostilla siitä, antaa opettajalle sähköpostitse täydellisen kopion keskustelusta tekoälyn kanssa ja kaikki paramaterit, sekä kopion tekoälyn koodista ja painoista tai linkin niihin. Ulkopuolisen tekoälyn käyttö verkon yli on lipunryöstössä kielletty.

Vinkit

Sanakirjan teko, vaihtoehtoja
- cewl (verbose, limit depth)
- copy-paste, sanat erilleen, duplikaatit pois
- Elokuu2026!, Syyskuu2026!...
Hashcatin säännöistä best64 on kokeilemisen arvoinen
O'Reilly Learning videot ja kirjat pääset lukemaan ilmaiseksi HH tunnuksilla, kun kirjaudut kirjaston kautta.

Onnea lipunryöstöön!

h8 Bonus # ↑

Vapaaehtoinen bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät
c) Kurssin ulkopuolella tekemäsi kiinnostavat hakkerointihaasteet, esimerkiksi
- Projektit
- HackTheBox korkatut koneet, mukaan ruutukaappaus pistesivustasi. Erottele retired ja non-retired. (Ei non-retired boksien läpikävelyohjeita julkiseen weppiin)
- Lipunryöstöt

Tehtävän määräaika on 24 h ennen viimeisen opetuskerran alkua. Tämä bonustehtävä on kokonaan vapaaehtoinen.

Verkkoon tunkeutuminen ja tiedustelu

2026-03-22T12:47:00+02:00

Attack the network between machines. Capture radio transmissions. Copy key cards. Attack WiFi.

Maybe even some software radio...


Course name and code	Verkkoon tunkeutuminen ja tiedustelu ICI013AS3A-3003 (opinto-opas)
Translated name	Network Attacks and Reconnaissance
Timing	2026 period 4, late spring (2026 w13-w20)
Credits	5 cr
Classes	Pasila, classroom pa5001
Max students	30 (Fully booked. Queuing? Come to the first class.)
Language	Finnish (+reading material in English)
Remote	No, fully contact in Pasila classroom, mandatory attendance
Feedback	Erinomainen 4.5 /5
Services	Moodle: Verkkoon tunkeutuminen ja tiedustelu, Laksu. Voluntary extra: Tero's list.
Teachers	Tero Karvinen and Lari Iso-Anttila
First class	2026-03-23 w13 Mon 08:00, pa5001, bring your laptop
Enroll	in Peppi

Aikataulu # ↑

Päivä	Aihe, ope
2026-03-23 w13 Mon	1. Kokonaiskuva: teoria, tärkeimmät mallit - Tero
2026-03-30 w14 Mon	2. Liikenteen sieppaaminen ja analyysi - Tero
2026-04-06 w15 Mon	(Pääsiäisvapaa, ei oppituntia)
2026-04-13 w16 Mon	4. NFC ja RFID - Lari
2026-04-20 w17 Mon	5. Laboratorio- ja simulaatioympäristöt hyökkäyksissä - Lari
2026-04-27 w18 Mon	6. WiFi - Lari
2026-05-04 w19 Mon	7. Radiosignaalien automaattinen purkaminen - Tero
2026-05-11 w20 Mon	8. Lipunryöstö - Tero, Lari

Opetus maanantaisin 08:00 - 10:45 pa5001.

Läppäri mukaan, Linux virtuaalikoneessa. (Apple Mac-käyttäjät: kurssilla pitää pystyä ajamaan tavallisia amd64-binäärejä, suosittelemme "tavallista PC-läppäriä" eli amd64-prosessoria. Tavalliset amd64-binäärit eivät toimi M1, M2, M3, M4 Maceissa ainakaan helposti.)

Aikataulu on alustava ja kurssi on edistynyt, joten aiheet voivat vielä muuttua kurssin aikana.

Anna palautetta # ↑

Palaute on todella tärkeä tapa kehittää kurssia – kiitos kommenteista jo etukäteen. Palaute kahteen kanavaan

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään # ↑

Vapaamuotoinen palaute kommenttina tämän kurssisivun perään

Vapaamuotoiseen palautteeseen saa kirjoittaa mitä vain, eikä kysymyksiä tarvitse toistaa. Mutta tässä vinkiksi:

Opitko jotakin – eli osaatko nyt sellaista, mitä et osannut ennen kurssia?
Teitkö jotain ensimmäistä kertaa? Analysoit radiosanomia, kuuntelit radioskanneria, mursit RFID-kortteja; käytit jotain kieltä, tekniikkaa tai työkalua?
Oliko opittu hyödyllistä? Luuletko, että sille on käyttöä esim. tulevaisuudessa töissä tai kotona?
Mitä mieltä olit läksyistä? Luku/video/podcast -materiaalista? Hands-on tehtävistä?
Miten voisin parantaa kurssia?
Viihdyitkö kurssilla?
Suosittelisitko kurssia? Kenelle kurssi sopisi? Koulutoverille tai kollegalle?

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa # ↑

Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa

Numeerisen palautteen avulla mm. verrataan Haaga-Helian kursseja toisiinsa. On tärkeää saada jokaiselta palaute, jotta tulos on tilastollisesti merkitsevä.

Numeeriset: Asteikko 1-välttävä (huonoin) ... 5-kiitettävä (paras)

Oma aktiivisuutesi opiskelussa 1-5
Osaamistavoitteiden saavuttaminen 1-5
Työskentelytavat tukivat oppimista 1-5
Opiskeluympäristö tuki oppimista 1-5
Hyödyllisyys työelämään 1-5

Avoimet kysymykset (näihin voi myös kopioida samat vastaukset jotka kirjoitit aiemmin)

Mitkä asiat edistivät oppimistasi?
Miten kehittäisit toteutusta / toteutuskokonaisuutta, jotta osaamistavoitteet saavutettaisiin paremmin?

Kokonaisarviosi toteutuksesta / toteutuskokonaisuudesta 1-5

Suosittelisitko 1 - 10 (1 en varmasti, 10 aion varmasti suositella tai olen jo suositellut)

Kiitos palautteesta ja jännittävästä kurssista! Seuraavilla kursseilla nähdään.

Lähtötaso # ↑

Kurssin alkaessa tulee osata

Verkkojen perusteet
Linuxin alkeet
Asentaa Linux virtuaalikoneeseen omalle koneelle

Millä tahansa tavalla hankitut esitiedot kelpaavat. Tiedot on voinut hankkia esimerkiksi kursseilla "Linux palvelimet" tai "Tietoverkkojen perusteet", mutta itse opeteltu sopii myös.

Esitiedot tarkistetaan tarvittaessa kyselyllä, ja kurssille valittavat voidaan tarvittaessa valita alkutestin perusteella.

Voit halutessasi kerrata tai opetella taidot alta ennen kurssia. Jos osaat aiheet jo, kertauspakettia ei tarvitse lukea.

Kertauspaketti # ↑

Jos osaat nämä asiat jo, et tarvitse kertauspakettia.

Jos kurssilla järjestetään alkutesti, sen kysymykset eivät välttämättä rajoitu tässä lueteltuihin lähteisiin.

Verkkojen perusteet # ↑

Nämä ovat siis jokapäiväisiä TCP/IP:n perusteita, joita olet varmaan joskus käyttänyt.

IP-osoite (ip address), maski (network mask), nimipalvelin (domain name server), oletusreititin (default gateway)
Asiakas-palvelin-arkkitehtuuri (client-server)
Portti, kuunteleva portti, yläportti (ephemeral port), muutama tärkein TCP-portti (22, 53, 80, 443)
Pinomallin ajatus (abstraction layers, kerros puhuu vain viereiselle kerrokselle)
TCP/IP-pinon neljä kerrosta (application esim. HTTP, transport TCP, Internet IP, Link ARP)
Seuraavan hypyn reitityksen perusajatus (next hop routing, ei reititystekniikoita)
Verkkotyökalujen alkeet. Esimerkiksi oma ip-osoite (ip a, hostname -I), nimipalvelutiedot (host terokarvinen.com), onko portti auki (nc -vz localhost 80; telnet localhost 80), latenssin mittaus (ping 8.8.8.8).

Wikipedia: Internet protocol suite

Linuxin alkeet # ↑

Linuxia käytetään työkaluna. Perustaidot riittävät. Kurssi ei edellytä laajoja Linuxin ylläpitotaitoja.

Komentokehotteen käyttö
Pääkäyttäjän oikeudet (sudo)
Pakentinhallinta (apt-get)
Hakemistorakenne (esim. /home/tero/, /etc/, /, /var/log, /usr/bin/, /usr/local/bin/)
Lokit (sudo journalctl -n 20; /var/log/apache2/error.log)

Opettele komennot tästä: Karvinen 2020: Command Line Basics Revisited

Helpointa kerrata nämä asentamalla Linux virtuaalikoneeseen ja leikkimällä sillä.

Linuxin asentaminen virtuaalikoneeseen # ↑

Esimerkiksi Debianin asentaminen VirtualBoxiin (ohje alla)
Voit käyttää muitakin virtualisointiratkaisuja, jos pystyt itse soveltamaan ja ratkomaan niihin liittyvät haasteet (esim QEMU, lib-virt, virt-manager...)
Jos oma koneesi on uusi M1, M2 tai M3-prosessorilla varustettu Mac, niin tulee osata asentaa Linux virtuaalikoneeseen tässä (arm64) ympäristössä.

Tällä asennusohjeella opiskelijat ovat asentaneet satoja Linuxeja: Install Debian on Virtualbox - Updated 2024

Notes on Mac M1 install: Carr 2024: a) Bookworm

Vanhoja toteutuksia # ↑

Verkkoon tunkeutuminen ja tiedustelu ICI013AS3A-3001 loppukeväällä 2025p4

Läksyt # ↑

Suosittu ja helppo tapa on laittaa raportit Githubiin.

Kaikkien ajan säästämiseksi poistan kurssilta ne, jotka eivät palauta tehtäviä ajallaan.

Tehtävänannot # ↑

Läksyt on liitetty tähän uudella tavalla, laita viestiä jos läksyt eivät näy.

Loading homework with JavaScript. You can also read homework directly, without JavaScript.

Information Security - 2026 early spring

2026-01-05T17:05:00+02:00

Understand adversarial view on security. Recognize key concepts of security. Be able to safely practice hands-on with security tools.

Face-to-face in a real life classroom. In English.


Course name and code:	Information Security ICI002AS2AE-3006 (study guide)
Timing	2026 period 3, w03-w11, not w08
Credits	5 ECTS
Classes	Thursdays 11:00 - 13:45, in Pasila pa5001, bring your laptop
Max students	30. Sold out. Still likely to get a place from queue.
Language	English
Type	Contact, in physical classroom, mandatory participation [as requested]
Feedback	4.4 / 5 Very good feedback, best implementation 4.8/5 excellent *
Services	Moodle, Laksu. Optionally Tero's list.
First class	2026-01-15 w03 Thu 11:00, Pasila pa5001, physically present with your laptop
Enroll	Very good change to get a place from the queue. Enroll in Peppi and come to the first class.

* I'm giving other security courses, too. Penetration testing (challenging course in Finnish) has reached excellent 5.0 /5, with every participant giving feedback and each feedback being 5. And Master level (YAMK) Trust to Blockchain has reached excellent 4.9 /5.

Goals # ↑

After completing this course, you will

Understand adversarial view on security
Recognize key concepts of security
Be able to safely practice hands-on with security tools

Hands-on exercises will emphasize environments fully controlled by you, using free open source software in your possession.

Schedule # ↑

Thursdays 11:00 - 13:45, in Pasila pa5001, bring your laptop.

Date	Theme
2026-01-15 w03 Thu	1. Organizing. Threath modeling.
2026-01-22 w04 Thu	2. Cyber kill chain. First presentations. Themes: Governance, risk and compliance; Wildcard. Malte. Alexander: Phishing attacks. Aleksi: Basic online safety. Jaime.
2026-01-29 w05 Thu	3. Practice environments. Themes: Cyber attacks, malware, adversary methods. Suprim: Pratice Environments.
2026-02-05 w06 Thu	4. Web security. OWASP 10. Themes: Web security, application security, audits. Julien: Web security, app security and audits. Niroj. Maaz. Ezza.
2026-02-12 w07 Thu	5. Encryption. Asymmetric vs symmetric. GPG. SSH. Themes: Encryption and communication security. Steeve. Lee.
2026-02-26 w09 Thu	6. Passwords. Hashes introduction. Themes: Identity, passwords, authentication.
2026-03-05 w10 Thu	7. Themes: New developements. OSINT. Arshpreet: New developments in OSINT and role of TOR. Jonas: Darknets. Suman: Identity, passwords and authentication. Optional: Darknet, TOR.
2026-03-12 w11 Thu	8. Recap. Themes: Case examples. E.g. from your work. Moosa. Sajjad.

Eight security classes in Pasila. All classes require active participation. I have changed this course to contact (physically in the class) as requested in the feedback.

Presentations are related to themes.

There will likely be updates to the contents of the classes as the course advances.

You can reserve a spot for your presentation as soon as on the second class.

Assessment # ↑

Active participation in classes
Homework and cross evaluation (66%)
Presentation (33%)

Evaluation of the course is based on totality of the work presented.

Previous courses # ↑

Feedback # ↑

Thanks already! Your feedback is very important to me. I will read it all (twice+) and make improvements. Please give your feedback to two channels.

1) Free form feedback as a comment on this page # ↑

Write your comment on this page.

You can write what ever you want. No need to repeat the questions, but they are here to get you started.

Did you learn something? Do you now know something you did not know before the course? (Models, frameworks, ideas, tools?)
Did you do something for the first time? (Broke passwords, broke into web service, create treath models, used password manager, encrypted messages? Used some technique or a tool for the first time?)
Is this useful? Are these skills useful in companies?
How did you like the presentations? Interesting subject? Did you like presenting? Useful information? Actionable?
How did you like comments and feedback? Did you get answers to your questions? (from classmates, teacher; to your homework, presentations)
Feelings: did you enjoy the course?
How could I improve the course? (I can make almost any change here, if it's important)
Would you recommend the course? Have you already recommended it? Who would benefit from the course (a colleague, a fellow student)?

2) Numeric feedback to Haaga-Helia feedback system (Peppi) # ↑

Feedback in MyNet (Peppi)

1-worst, 5-best

Your active participation in studies
Achieving the learning goals
The study methods supported learning
The study environment supported learning
Benefits to your career

Open, you can copy the same answer you gave earlier

What promoted your learning?
How would you develop the implementation / group of implementations further so that the learning goals could be achieved better?

Your overall assessment of the implementation, 1-worst, 5-best

How likely would you recommend the course to your fellow students? 1-worst, 10-best.

Thank you for your feedback, and thank you for our course!

Optional: Keep up with Linux & security, join Tero's list. (And get invitations to visitors on security)

See you in my future courses!

Homework # ↑

Homeworks are done with a computer and reported at the same time. If some task does not require performing tests with a computer, it's specied writing.

Each homework is returned

24 h before start of next lecture
you can publish your homework report in any website you like
return a link to Laksu
cross-evaluate two other homeworks

To save everyone's time, I will remove those from the course who don't return homework, or who don't cross evaluate class mates work.

Github is a convenient place to publish your reports, others are Gitlab and Wordpress.com. I highly recommend publishing your work, it seems to help getting (better) job offers. But if you don't dare or want to publish, you can put your web page behind a password (e.g. in Wordpress.com, same password for all reports), and share this password with your group.

AI and large language models (LLM): You can ask AI or LLM a question and use the answer as facts for your own answer, written in your own words. AI must be marked as a reference, with details such as prompt (and for advanced users system prompts, temperature, jailbreaks...). LLMs tend to hallucinate, so you should check answers from more reliable sources. It's not allowed to generate text with AI or similar technologies. For example, it's not allowed to generate essay answers or summaries with AI, LLM or similar technologies.

The homeworks are official after they are given in the class. Don't start them before, because they might change.

h0 Hello, web! # ↑

a) Publish a web page. Show that you can make headings (h1 #, h2 ##...), paragraphs (p, empty line), links (a http://example.com) and code style (code or pre, four spaces at start of line). Markdown recommended.

Tips

Karvinen 2023: Create a Web Page Using Github

h1 Should Tero wear a helmet? # ↑

x) Read / watch / listen and summarize (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary, feel free to write more if you like. Add some question or idea of your own.)
- Threat modeling
  - Braiterman et al 2020: Threat modeling manifesto
  - Shostack 2022: Welcome to the Worlds Shortest Threat Modeling Course (12 parts, about 15 min total, audio is enough for all except video 7 "Data flow diagrams")
  - OWASP CheatSheets Series Team 2021: Threat Modeling Cheat Sheet
- Infosec scene
  - Any episode from Darknet Diaries Podcast. (Try picking an episode that's different from everyone else, e.g. not the latest and not one that's prominently on the front page.)
a) Security hygiene. What basic security practices should everyone follow? Are there some security hygiene practicies that every company or average Joe should follow? (This subtask does not require tests with a computer. A bullet list is enough)
b) Make-belief boogie-man - a threat model for imaginary company.
- This subtask does not require tests with a computer.
- Create an imaginary company and create threat model.
- Business requirements come from business, technical specialist help with tech. Inlude this in your narrative.
- Your analysis should cover all parts of the four question model (four key questions in Threat modeling manifesto)
  - (1) What are we working on?
    - Our assets
      - Priorization, key assets
      - E.g. customer health data is a crown jevel, personel gaming server is probably not
    - Security supports business
    - Draw a diagram of the company systems
    - Customer is the king
      - What do we have to do the serve the customer (to keep getting paid)
      - How does customer see our systems? Touchpoints?
    - Write a description.
  - (2) What can go wrong?
    - Apply one or more named models: Attack trees, STRIDE, CIA, ATT&CK...
      - Give some examples of identified risks - you don't need to find all risks or likely vulnerabilites, as there would be too many for this homework.
    - Priorize biggest risks
      - High expected value (or other very high risk)
      - Expected value = probability * monetary value
      - Expected value is a tool for discussion, it's not exact science as we have to guestimate the input numbers
    - Are you targetted by specific threat actors? Are there actors that target your geographical or political area or industry?
      - Known TTPs? (tactics, techniques, procedures)
      - COI - Capability, Opportunity, Intent
    - Business continuity
      - We have to keep serving the customer to receive money.
      - Stakeholders (customer, employees...) trust us. Trust is hard to get and easy to lose.
  - (3) What are we going to do about it?
    - Can you: reduce attack surface, limit entry points...
    - META: Mitigage, Eliminate, Transfer, Accept.
  - (4) Did we do a good enough job?
    - Security audits, pentests, assesments, continous threat modeling and evaluation
    - Process, not a one time job. It never ends.

Tips:

Reading is for you.
- Read the articles.
  - You learn the subject matter required to
    - complete the tasks
    - understand how the tasks are related to the field of infosec
  - You learn the channels to follow the scene after the course
- Don't generate content with AI. Not understanding the arcticle will make it harder and harder to succeed in the future. Generating a lot of useless AI spam for classmates to read is disrespectful of their time.
- You can answer with just a few bullets.
Refer to sources
- Any book, page, video, man-page, report you use for home work task should be listed as a source.
- This task page is of course one source for the report: Karvinen 2024: Information Security Course, https://terokarvinen.com/information-security/
Work on your own level
- If you have background in security and IT, feel free to challenge yourself.
- If you're just starting, just fumble around - bravely try the models. We will not implement your plan, nothing will happen in real life even if your threat model is not perfect.
Security hygiene
- No brainer: Wouldn't it be great if you could just recommend some practices - even before conducting laboursome threat modeling?
Threat modeling
- Think about the moment when you're using this in real life. You sit down on a table. You identify risks and choose how to use your limited resources. You colleagues will trust you can keep company systems safe and running.
Darknet Diaries
- AntennaPod is convenient Android program for listening podcasts. It's available in F-Droid and Google Play. Of course, there are hundreds if not thousands other programs for podcasts, too.
- Pick any episode. Check descriptions, and pick one that's likely to be suitable here. It's recommended to pick other than the latest or the one on top of the homepage, so we can look at different episodes.
When cross evaluating
- Give comments
- Use the whole scale (5 is every non-voluntary task solved and reported clearly)

h2 Kill Chain # ↑

We'll start zooming in from threat modeling ("what & why") to cyber kill chain ("how").

x) Read and summarize. (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary - no extended essays. Add a bullet for your own question or insight)
- Hutchins et al 2011: Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, chapters Abstract, 3.2 Intrusion Kill Chain.
a) Tactics, tools and procedures
- This subtask x does not require tests with a computer
- Briefly look at MITRE ATT&CK Matrix for Enterprise. You don't need to read it completely, as it's quite large.
- Read the "General" part of the FAQ
- Answer in the context of MITRE ATT&CK, and pick examples that are different from the chapter in task x.
  - Define tactic and give an example of a specific tactic.
  - Define technique and subtechnique, and give an example of each.
  - Define procedure, and give an example of each.
b) Download Linux image on your laptop's hard drive, so that you have it ready for the next class. debian-live-13*-amd64-xfce.iso. (You don't need to install it yet. Next week, we'll Install Debian Linux on Virtualbox.)
c) Voluntary bonus: Attack story Write a story of an attack. Use ATT&CK vocabulary; number tactics, techniques and procedures. Also name defensive actions. You can decide how far the attack goes and if it's stopped.
d) Voluntary bonus: Install Linux on a virtual machine. See tutorials 1, 2, 3

Tips

In "Read and summarize":
- read first, then summarize
- summarize key content
  - not just headings
  - don't just describe the article, tell the main things it says
- add a question, an idea or a comment of your own to each article
Refer & link any sources you use
- Course / the classes
- Homework task page
- Homework reports by other students
- Any web pages
- Manuals, Articles, Man pages...
- Referencing your sources is required

h3 Hello Lab # ↑

This week, you start building your own hacking lab. You learn hacking by hacking.

x) Read/watch/listen and summarize (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary, feel free to write more if you like. Add a bullet for your own idea or question.)
- Karvinen 2021: Install Debian on Virtualbox - Updated 2024
- Karvinen 2020: Command Line Basics Revisited
a) Can't fish. Disable networking and show that packets don't go trough. For example, use 'ping 1.1.1.1' (Cloudfare DNS server) or 'ping 8.8.8.8' (Google DNS server). Do this task on your Linux.
b) Local only. Portscan your own computer using "localhost" address. It's illegal to portscan computers you don't own. Disconnect computer from the Internet while testing. Analyze your results. Do this task on your Linux.
c) Daemon scan. Install a daemon (a server application) and port scan again. For example, you could install Apache web server or OpenSSH secure remote shell. Analyze the differences to scan without the daemon. Do this task on your Linux.
d) Bandit oh-five. Solve Over The Wire: Bandit the first five levels (0-4). (Alternative task: you can instead do and report five harder levels if your Linux background makes this an easy task).
e) Voluntary bonus task: Underthewire: Century, a couple of levels. I have not tried this one myself, so also interested to hear your views. Inspired by OverTheWire, but for Windows Powershell.

Tips

If you get stuck
- Don't worry: Computers are cranky, that's why they pay hackers well
- Solve and report all parts you can do
- Return your partial report in time
- Google/Duck. That's what the pros do, too. Write down a reference to the sources you used.
- If you need to look at a walktrough (an exact solution to this homework, task or flag), clearly mark where you needed it.
- Solve the trouble part as far as you can. Report all approaches taken.
- Ask about the challenges in the class, likely someone else had the same thing
For x - "Read and summarize":
- Just some bullets per article is enough.
- I want to you understand the content.
- Also learn about channels/books/blogs/articles to follow to keep up with infosec after the course
Can't fish
- Also test commands when Internet is connected. This way, you show that the command is correctly testing the network.
- You can kill 'ping' with ctrl-C
- Explain what each part of command does
- Explain how the result shows that network is disabled.
Port scanning
- 'sudo nmap -A localhost' # port scans 1000 most common TCP ports, -A does banner grabbing, scripts...
- Analyzing means you explain the meaning of each little part of each command and output; then give clear conclusion; optionally end with an ELI5 (explain like I'm five years old).
- Only port scan localhost.
- Disconnect computer from the Interet when port scanning.
- Finland even has our highest court case where a minor (17 years old) was punished for port scanning. Court case took years, 1998-2003. KKO:2003:36. It's in Finnish, but Firefox has offline machine translation from Finnish to English.
- You can install nmap with apt-get.
Daemon
- 'sudo apt-get update'
- 'sudo apt-get -y install apache2' # you could also install "ssh"
- 'sudo systemctl start apache2' # you can use start, stop, restart, status. You can control any daemon, like "ssh"
OverTheWire
- Some tasks list useful commands. You can see more info on each command with 'man', for example 'man find'.
- If you get completely stuck, and can't advance even after reading the friendly manual and trying (and documenting) multiple approaches, solutions are easy to find on the net. If you need to use a walktrough, remember to mark it as a reference.
UnderTheWire
- ssh century1@century.underthewire.tech
- If your ssh command gives error: "Terminal initialization failure. See server logs for more info. Hint: Try requesting a different terminal environment. Connection to century.underthewire.tech closed.", use 'export TERM="xterm-256color"'. (As noted by Leo)

h4 Johnny Tables # ↑

Remember to keep it safe, legal and ethical. Especially if you grasp OWASP 10, you still can't try these to machines you don't own.

You're only allowed to start these tasks after accepting course rules in Moodle.

x) Read and summarize (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary. Try to get an idea, then briefly explain in your own words. Be brief. Add your own comment, question or idea on each.)
- OWASP: OWASP 10 2021.
  - A01:2021 - Broken Access Control
  - A05:2021 - Security Misconfiguration
  - A06:2021 - Vulnerable and Outdated Components
  - A03:2021 - Injection
  - (ps. I think these might be my favourite vulnerability categories...)
- Munroe: xkcd 327: Exploits of a Mom
a) Goat. Install WebGoat 2023.4.
b) F12. Solve Webgoat 2023.4: General: Developer tools.
c) Not outdated. Update all operating system and all applications in your Linux.
d) Sequel. Solve SQLZoo:
- 0 SELECT basics
- 2 SELECT from World: First two subtasks: "1. You can use WHERE..." and "2. Find the countries...".
e) Solve Portswigger Labs: Lab: SQL injection vulnerability in WHERE clause allowing retrieval of hidden data. Explain how and why! How can you find the vulnerabitiy? What each part of the exploit does?
m) Voluntary bonus: WebGoat: SQL Injection
n) Voluntary bonus: solve some Portswigger labs marked as Apprentice (easy level)

Tips:

If you get stuck
F12 Developer tools: I'm using Firefox F12. But it probably works on Chromium, too.
You can update all software in Linux with
- Open terminal
- 'sudo apt-get update'
- 'sudo apt-get dist-upgrade'
- If this is your first full upgrade, reboot (it's only needed for kernel upgrades)
SQLZoo
- If you've got a lot of experience with databases already and SQLZoo is too easy, you can instead install a relational database (Postgre, Mariadb...) and show CRUD (create, read, update, delete) operations using command line client and SQL.
- Yes, I think they really run your queries on database management system
- In SQL, you can often write long numbers in engineering notation, nine zeroes after two as 2e9 instead of 2000000000
Johnny tables
- You only need your browser (even though the official example solution uses a paid tool by the makers of the lab)
- Try different places. But if you're completely out of options: peek the solution, apply it to use just browser (no mitm proxy needed), mention in your report the hints used - and try to explain how the solution works.
WebGoat
- What kind of quotes did SQL have?
- If you raise everyone's salaries, are you the richest anymore?
- The names here are the same as in OWASP 10 2021 and OWASP 10 2017.
- In injections, it's nice to know:
  - SQL string delimiter (single quote, aphostrophe) "'" (end of user input, start of my hostile injection)
  - SQL comment (double dash) "--" (end of my evil injection, you can ignore the rest, dear database management system)
  - There are many ways to do SQL injection
b) Injected. Solve WebGoat:
- A1 Injection (intro)

Update 2025-09-11 w37 Thu: Fixed a typo in "SELECT FROM world".

h5 Uryyb, Greb! # ↑

Public keys. You use them every day. Would you like to know more?

Also starring: my favourite crypto textbook. PGP and SSH, my favourite encryption tools / standards.

x) Read and summarize (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary, feel free to write more if you like)
- € Schneier 2015: Applied Cryptography: Chapter 1: Foundations
- Karvinen 2023: PGP - Send Encrypted and Signed Message - gpg
a) Install OpenSSH server, connect to it using 'ssh' client.
b) Automate SSH connection using public keys.
c) Password manager, open and cloudless. Choose a password manager that 1) works without cloud 2) is free, open source sofware. Install it. Demonstrate its use. Explain why a password manager is needed i.e. what kind of attacks or threats it protects against.
d) Alternative: Do either d) "Pretty Good indeed" or s) "ETAOIN". Pretty Good indeed. Encrypt and decrypt a message with 'gnupg', using PGP public key cryptography. (Note that here you learn each step; for end users, you can often automate and make it look simple)
e) Presentation material. Return your presentation material (e.g. slides) as h9. They can be a PDF or a web page. (This task does not require tests with a computer. If you have already returned h9, you don't need to do it again. Only PDF and web page formats accepted, no docx, no pptx, no odt.)
m) Voluntary bonus: Encrypt and decrypt messages using a tool other than 'gnupg'. Explain each step. Why did you choose the tool you used here? Evaluate the tool.
n) Voluntary bonus: send and receive encrypted message over email.
o) Voluntary bonus: Find out frequency distribution of letters for a language that you know (other than English). What are the six most common letters? (This subtask y does not require tests with a computer if the question can be answered without them)
r) Voluntary bonus: TLS. Choose a transport layer security (TLS) certificate used for the web. Explain key fields. How do you / browser know it's legit? Who says so?
s) Alternative: Do either d) "Pretty Good indeed" or s) "ETAOIN": ETAOIN. Crack this ciphertext:
- HDMH'B TH. KWU'YI AWR WSSTOTMJJK M OWQINYIMLIY! MB KWU BII, BTGPJI BUNBHTHUHTWA OTPDIYB OMA NI NYWLIA RTHD SYIEUIAOK MAMJKBTB. BII KWU MH DHHP://HIYWLMYCTAIA.OWG
t) Voluntary bonus, easy: try rot13, the military grade top-secret encryption of the top-2 empire of year zero. Could double rot13 provide extra security? Why?
u) Voluntary difficult multiweek bonus, requries coding skills: Cryptopals (recommended, if you have what it takes).

Tips:

Gnupg is explained in the article.
I do hope you're using a password manager. If not, this is a good day to start.
Frequency distributions for most languages can be found in search engines and probably Wikipedia
ETAOIN
- This challenge can be solved with pen and paper, no coder skills required. (Like most things, it's faster with a computer, though.)
- Just like this course, the cleartext is in English
- Looking at word lengths and spaces, this ciphertext is likely using a simple substitution cipher.
- Use your eyes - can you identify possible common words or parts of them?
- After ruling out Caesar (e.g. rot13), we can use frequency analysis
- Most common letter in English is E, the second most common is T... The frequency table is ETAOIN shrdlu.
  - Frequency is about statistics and probability. It's not guaranteed that E is the most common, it's just likely. Especially short texts make statistical analysis less efficient.
  - It's much more likely that most common letters are from ETAOIN than the from the least frequent j, x or z.
- Use your sisu
  - If first guess does not crack it, try another one.
  - Make notes as you work.
  - Document your approaches and how far you can get, even if you couldn't crack the whole thing.
O'Reilly Learning € (former Safari) is a bit pricey, but Haaga-Helia students get free access trough Haaga-Helia library A-Z page.
SSH is the leading tool to control servers
- 'sudo apt-get update' 'sudo apt-get install ssh', 'sudo systemctl start ssh', 'whoami', 'ssh tero@localhost', 'exit'
- Public key authentication 'ssh-keygen', 'ssh-copy-id tero@localhost'

Deadline for this task is after winter holiday, 2025-02-24 w09 Mon 11:00. But as they say, early bird gets the worm.

h6 February2026! # ↑

x) Read or watch and summarize (This subtask x does not require tests with a computer. Some bullets per article is enough for your summary, feel free to write more if you like)
- € Schneier 2015: Applied Cryptography: 2.3 One-Way Functions and 2.4 One-Way Hash Functions.
a) Install Hashcat. Test it with a sample hash. See Karvinen 2022: Cracking Passwords with Hashcat
b) Crack this hash: d595b2086532422bbe654bc07ea030df
m) Voluntary: Compile John the Ripper, Jumbo version. Karvinen 2023: Crack File Password With John.
n) Voluntary: Crack a zip file password
o) Voluntary: create a password protected file other than ZIP. Crack the password. How many formats can you handle?
p) Voluntary: Watch and summarize: Forbes 2019: Jackpotting ATM's (Automated Teller Machines) - Its easier than you might think. Presented in Disobey 2019.

Tips:

O'Reilly Learning € (former Safari) is a bit pricey, but Haaga-Helia students get free access trough Haaga-Helia library A-Z page.

h7 Going Dark # ↑

In Finland, it's legal to use TOR at the time of writing. If you're remotely taking this course online from another juristiction, laws might be different. Obviously, it's illegal to do illegal things in TOR, just like it's illegal to do illegal things anywhere. Only do legal things.

x) Read and summarize (briefly, e.g. with some bullets)

Quintin 2014: 7 Things You Should Know About Tor
Shavers & Bair 2016: Hiding Behind the Keyboard: The Tor Browser €; subchapters: "Introduction", "History and Intended Use of The Onion Router", "How The Onion Router Works", "Tracking Criminals Using TOR".

a) Install TOR browser and access TOR network (.onion addresses).

b) Browse TOR network, find, take screenshots and comment

search engine for onion sites
marketplace
forum
a site for a well known organization that has a physical street address in the real world

c) Voluntary: Browse I2P network. Install necessary software.

d) Voluntary or alternative task: No onion. You can do this task in place of a and b. Install a darknet browser other than TOR, such as I2P or Freenet. Search, screenshot and describe examples of contents there.

e) Voluntary: Crypto hunter. Find Bitcoin address from a darknet site. Use the public ledger to find out if money has been transferred to that address.

Tips

Alternatives for installing TOR
- https://www.torproject.org/download/ (probably easiest)
- sudo apt-get update; sudo apt-get install torbrowser-launcher
- https://tails.net/
- https://www.whonix.org/
OPSEC is hard, any single tool will not magically make you untraceable
Be cautious: don't trust anonymous sites, don't enter your name or other personal details anywhere.
O'Reilly Learning € (former Safari) is a bit pricey, but Haaga-Helia students get free access trough Haaga-Helia library A-Z page.
Bitcoin explorer
Other darknets include
- GNUnet
- Hypanet
- I2P

This mostly applies to online courses: If you are currently in a juristiction where using TOR is illegal (e.g. taking the course remotely from a repressive country), you obviously can't install it and do the related tasks if it's illegal where you are. For those cases, alternative task is: based on literature only (no hands on tests, no installation), compare anonymous/pseudonymous networks, such as TOR, I2P, Freenet and others. How do their goals, technology and other features differ? How are they similar?

The deadline for voluntary h8 is the same as h7.

h8 bonus # ↑

a) Voluntary: Improved. List and link the tasks you have significantly improved after they have been cross evaluated.
b) Voluntary: Extras: List and link voluntary extra tasks you have completed.

The deadline for voluntary h8 is the same as h7.

Adminstrivia # ↑

I will keep updating this page during and after the course.

Linux Palvelimet 2026 alkukevät online

2026-01-05T16:58:00+02:00

Tux the Linux penguin

Learn to manage your own Linux server – in 8 weeks.

100% remote. Weekly video conference + a lot of individual work. Beginners welcome. Excellent feedback. In Finnish.


Course name and code:	Linux palvelimet ICI003AS2A-3016 (course description in study guide)
Timing	2026 period 3, early spring, weeks w03-w11, ei w08
Credits	5 ECTS
Classes	Tue 14:00 - 16:45 online, mandatory participation (schedule)
Max students	50. Sold out, queue started
Language	Finnish (+reading material in English)
Remote	Yes, fully remote
Feedback	4.7 / 5 Excellent feedback
Services	Moodle, Video conference, Laksu. Optionally Tero's list.
First class	2026-01-13 w03 Tue 14:00, Video conference link will be in Moodle on the same day
Enroll	Sold out. For a change at a place from the queue, enroll in Peppi and join the first class.

The course is in Finnish (and requires full fluency in Finnish), so the rest of this page is in Finnish.

Tavoite

Opiskele 8 viikkoa ja hallitset omaa Linux-palvelinta.

Opintojakson suoritettuaan opiskelija:

Osaa hallita Linuxia palvelimena
Osaa tehdä tärkeimmät asetukset tärkeimmille palvelimille (Apache, OpenSSH)
Osaa suojata weppipalvelimen TLS-salauksella ja hankkia sertifikaatin (https / lukon kuva) ~~Osaa asentaa www-ohjelmointiin sopivan alustan~~
Osaa tehdä itselleen uusia asetuksia palvelinohjelmistoihin ohjeiden avulla
Tietää esimerkkejä palvelintilan tarjoajista ja hinnoista sekä fyysisten palvelinten vastaavista ominaisuuksista

Osallistumiseen tarvitaan

Jitsi-videokonfferenssiin: tietokone, kuulokemikrofoni, kamera, internet-yhteys.
Linux-käyttöön: tietokone, jolla voit ohjeiden mukaan asentaa virtuaalikoneen ja Linuxin. Koneella tarvitaan noin 30 GB kovalevytilaa ja 2-4 gigatavua vapaata RAM-muistia. Tarvitset pääkäyttäjän oikeudet, jotta voit asentaa virtuaalikoneen ja Linuxin ohjeiden avulla.
Aikaa: 8 iltaa oppitunteihin + joka viikko runsaasti aikaa läksyihin (oppitunneille pitää osallistua aktiivisesti ja kaikki läksyt palauttaa)

Linuxia ei tarvitse osata yhtään. Omalle tietokoneelle pitäisi osata asentaa ohjelmia, esimerkiksi virtuaalikone. Ja tietysti ratkoa tavallisia tietokoneongelmia kokeilemalla ja wepistä tietoa hakemalla.

Macintosh käyttäjät: Suosittelen tavallista PC-tietokonettta (nörttikielellä amd64). Uudella Macintoshilla (M1, M2, M3, M4) virtuaalikoneiden asentamisessa on enemmän työtä ja itsenäistä selvittelyä.

Aikataulu # ↑

Kurssin kahdeksan kertaa jakautuvat neljään osaan: peruskäyttö, demonit, automatisointi ja loppuhuipennus. Oppitunnit edellyttävät aktiivista osallistumista oppitunteihin lukkariin merkittynä aikana.

Oppitunnit ovat tiistaisin 14:00 - 16:45 videokonfferenssina.

Viikko	Aihe
Peruskäyttö
2026-01-13 w03 ti	1. Tavoitteet ja kokonaiskuva. Raportit. Linuxin asennus.
2026-01-20 w04 ti	2. Komentokehote. Ylläpito, paketinhallinta.
Demonit
2026-01-27 w05 ti	3. Apache-weppipalvelin.
2026-02-03 w06 ti	4. Julkisen palvelimen vuokraaminen.
2026-02-10 w07 ti	5. Nimen vuokraaminen.
2026-02-24 w09 ti	6. Let's Encrypt ja TLS-sertifikaatit.
Automatisointi
2026-03-03 w10 ti	7. Ohjelmointi ja shell script.
Yhteenveto
2026-03-10 w11 ti	8. Lisenssit. Kertaus ja yhteenveto.

Oppituntien aiheisiin voi tulla muutoksia kurssin aikana.

Peruskäyttö # ↑

1. Asennus, työpöytä ja lisenssit FSF Free Software Definition, Rise of Open Source: Chapter 5. Raportin kirjoittaminen.

Heinonen 2025: Install Debian 13-Trixie with VirtualBox.

2. Komentokehote, ylläpito ja paketinhallinta w04 Command Line Basics, Commands for Admin.

Heinonen 2025: Linux commands

Demonit # ↑

3. Apache-weppipalvelin Install Apache Web Server on Ubuntu Instant Firewall – sudo ufw enable.

Heinonen 2025: Apache2

4. Julkisen palvelimen ja nimen vuokraaminen Apachen oletussivu, Monta nimeä samaan IP-osoitteeseen. Virtuaalipalvelimia vuokrataan: Linode (associate link), Digitalocean, Amazon (monet Amazonin palvelut skaalautuvat automaattisesti, maksimihinnan rajoittaminen voi olla tarpeen). Julkisia nimiä vuokrataan: NameCheap, (I don't recommend Gandi anymore). Harjoittelua varten voit kokeilla myös http://www.dot.tk/ (ei tärkeille nimille). First Steps on a New Virtual Private Server – an Example.

Automatisointi # ↑

5. Ohjelmat weppipalvelimella. Palvelinpään ohjelmointi.

6. Shell scriptit, bash-skriptaus. Shell Scripting, aboutusers.sh, Over the Wire: bandit

Suhde muihin kursseihin # ↑

Tälle kurssille ei vaadita mitään kursseja esitietoina. Linuxia ei tarvitse osata yhtään. Omalle tietokoneelle pitäisi osata asentaa ohjelmia, esimerkiksi virtuaalikone. Ja tietysti ratkoa tavallisia tietokoneongelmia kokeilemalla ja wepistä tietoa hakemalla.

Tämä kurssi (Linux palvelimet ict4tn021) on esitietona monille kursseille, esimerkiksi

Ja pilvessähän palvelimet ovat pääosin Linuxeja, joten noilla kursseilla tästä lienee hyötyä.

Seuraavia kursseja

Palvelinten hallinta ICI001AS3A (sopii kaikille tämän kurssin läpäisseille)
Tunkeutumistestaus ICI005AS3A (sopii haasteita etsiville)
Sovellusten hakkerointi
Verkon hakkerointi
Teron uutiskirje (Voit poimia rusinat pullasta, mm. kutsuja vierailuluennoille. Viestejä harvoin, joka viestissä unsubscribe-nappi.)

Vanhoja kurssitoteutuksia # ↑

Vanhoilta kurssitoteutuksilta löytyy runsaasti opiskelijoiden palautteita ja linkkejä kotitehtävien esimerkkiratkaisuihin. Opiskelijoiden palaute kurssista on sivun lopussa kommenteissa.

Vanhoja arvioitavia laboratorioharjoituksia: # ↑

Anna palautetta # ↑

Palaute on minulle todella tärkeää, kiitos jo nyt. Hyödynnän palautetta heti seuraavilla kursseillamme "Palvelinten hallinta" ja "Tunkeutumistestaus". Sekä soveltuvin osin kahdella uudella tietoturvakurssilla.

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään.

Vapaamuotoiseen palautteeseen saa kirjoittaa mitä vain, eikä kysymyksiä tarvitse toistaa. Mutta tässä vinkiksi:

Opitko jotakin – eli osaatko nyt sellaista, mitä et osannut ennen kurssia?
Teitkö jotain ensimmäistä kertaa? Vuokrasit koneen julkiseen Internetiin, asensit Linuxin, hankit TLS-sertifikaatin...
Oliko opittu hyödyllistä? Luuletko, että sille on käyttöä esim. tulevaisuudessa töissä tai kotona?
Viihdyitkö kurssilla?
Mitä pidit läksyistä?
Miten voisin parantaa kurssia?
Suosittelisitko kurssia tai oletko jo suositellut? Kenelle kurssi sopisi? Koulutoverille tai kollegalle?

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa.

Numeerisen palautteen avulla mm. verrataan Haaga-Helian kursseja toisiinsa.

Numeeriset: Asteikko 1-välttävä (huonoin) ... 5-kiitettävä (paras)

Oma aktiivisuutesi opiskelussa 1-5
Osaamistavoitteiden saavuttaminen 1-5
Työskentelytavat tukivat oppimista 1-5
Opiskeluympäristö tuki oppimista 1-5
Hyödyllisyys työelämään 1-5

Avoimet kysymykset (näihin voi myös kopioida samat vastaukset jotka kirjoitit aiemmin)

Mitkä asiat edistivät oppimistasi?
Miten kehittäisit toteutusta / toteutuskokonaisuutta, jotta osaamistavoitteet saavutettaisiin paremmin?

Kokonaisarviosi toteutuksesta / toteutuskokonaisuudesta 1-5

Suosittelisitko 1 - 10 (1 en varmasti, 10 aion varmasti suositella tai olen jo suositellut)

Kiitos palautteesta ja jännittävästä kurssista!

Missä nähdään?

Palvelinten hallinta ICI001AS3A (useimmat ovat varmaan jo tulossa tänne. Seuraavassa jaksossa)
Tunkeutumistestaus ICI005AS3A (Yritysten verkkoihin ja järjestelmiin murtautuminen. Seuraavassa jaksossa)
Sovellusten hakkerointi ja haavoittuvuudet ICI012AS3A
Verkkoon tunkeutuminen ja tiedustelu ICI013AS3A Seuraavassa jaksossa
Teron uutiskirje (Voit poimia rusinat pullasta, mm. kutsuja vierailuluennoille. Viestejä harvoin, joka viestissä unsubscribe-nappi. Loppukeväästä tulossa useita vierailuja, mm. GPS-häirintä, Active Directory -hyökkäykset, Abloy-tiirikointi)

Suoritukset # ↑

Läksyt ja ristiinarviointi, 100%
Aktiivinen etäosallistuminen opetukseen

Arvosana perustuu kokonaisarvioon kurssisuorituksista.

Läksyt ajallaan ja keskustelussa mukana # ↑

Aktiivinen osallistuminen sisältää esimerkiksi tuntitehtävien ratkaisemisen, ryhmäkeskusteluihin osallistumisen ja kysymyksiin vastaamisen. Videokonfferenssin pitäminen auki ei riitä, eikä tuntien aikana voi olla muuta ohjelmaa.

Pakolliset tehtävät ja ristiinarvioinnit tulee palauttaa aikataulussa viikottain, jotta kurssia voi jatkaa.

Jos jokin yksittäinen alakohta kotitehtävistä on liian vaikea ratkaista loppuun asti, siitä tulee olla kirjallisesti raportoitu ratkaisuritys. Mukana tulee olla annetut komennot, virheilmoitukset sekä relevantit pätkät lokeja. Ratkaisuvaihtoehtoja tulee etsiä ja kokeilla itsenäisesti.

Läksyt # ↑

Kotitehtäväraporttien linkit palautetaan 24 h ennen lähiopetuskerran alkua Laksuun. Oman tehtävän palautuksen jälkeen riistiinarvioidaan kahden kurssikaverin tehtävät.

Läksyistä laaditaan yksityiskohtaiset kirjalliset raportit. Kurssilla opit myös, kuinka raportteja voi hyödyntää haastavien ongelmien ratkomisessa.

Läksyt tehdään ja raportoidaan kunkin tunnin jälkeen. Tehtävät saa julkaista missä haluaa ja palauttaa linkin Laksuun. Kotitehtäväraportin tulee olla suoraan selaimella katseltavassa muodossa, tavallisena HTML-weppisivuna. Ei odt, ei odp, ei ppt, ei docx, ei doc, ei pdf. Kotitehtäviä ei voi palauttaa sähköpostitse. Linkit palautetaan Laksuun ja sen jälkeen ristiinarvioidaan kaksi työtä. Maksutonta kotisivutilaa saa esimerkiksi GitHub.com ja Gitlab.com.

Läksyt ovat virallisia vasta, kun ne on annettu tunnin päätteeksi. Niitä ei siis tule tehdä etukäteen, sillä ne arvioidaan sen annetun tehtävänannon mukaan. Ennen vahvistamista tehtäviin voi tulla olennaisiakin muutoksia.

Läksyt käydään läpi seuraavalla tapaamiskerralla, ratkotaan yhdessä ongelmia ja annetaan suullista palautetta. Arvosana kotitehtäväpaketista tulee vasta kurssin lopuksi, mutta tehtävät tulee silti palauttaa aina vuorokautta ennen seuraavia tunteja. Kurssilta poistetaan ne, jotka eivät ala suorittaa kurssia palauttamalla tehtäviä. Julkaiseminen on vapaaehtoista, mutta erittäin suositeltavaa. Jos et jostain syystä uskalla tai muuten halua julkaista, voit laittaa työn weppisivulle salasanan taakse (kaikille kotitehtäville sama salasana) ja jakaa tämän salasanan kurssilaisten kanssa. Jos tuntien yhteydessä järjestetään testejä läksyjen aiheista, niiden pisteet sisältyvät arvostelun kohtaan läksyt.

Läksyt pitää tehdä tietokoneella kokeilemalla ja raportoida tapahtumien kulku, ellei kyseisessä alakohdassa erikseen muuta lue. Raporteista tulee ilmetä tiedot, josta voi todeta että harjoitukset on tehty eikä sepitetty.

Tekoälyn käyttö: Tekoälyllä tai muulla puppusanageneraattorilla ei sai generoida pitkiä tekstejä opettajan tai kurssikavereiden riesaksi. Tällä kurssilla on samat AI säännöt kuin YAMK:n kurssillani: "AI and large language models (LLM): You can ask AI or LLM a question and use the answer as facts for your own answer, written in your own words. AI must be marked as a reference, with details such as prompt (and for advanced users system prompts, temperature, jailbreaks...). LLMs tend to hallucinate, so you should check answers from more reliable sources. It's not allowed to generate text with AI or similar technologies. For example, it's not allowed to generate essay answers or summaries with AI, LLM or similar technologies."

h0 Hei weppi # ↑

a) Julkaise oma sivu weppiin.

Vinkit

Karvinen 2023: Create a Web Page Using Github

h1 Oma Linux # ↑

x) Lue ja tiivistä (Muutama ranskalainen viiva kustakin artikkelista riittää. Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella)
- Raportin kirjoittaminen
a) Asenna Linux virtuaalikoneeseen. (Tee raporttia varten uusi virtuaalikone, vaikka olisit asentanut sen aiemmin)
k) Vapaaehtoinen bonus: suosikkiohjelmani Linuxilla. Tee ja raportoi jokin yksinkertainen toimenpide haluamallasi Linux-ohjelmalla.

Vinkkejä

Tee täsmällinen ja toistettava raportti. Kuvaile myös ympäristö (host OS, rauta...). Sellainen, millä voi aiheuttaa samat virheet joita löysit, ja korjata ne samalla tavalla.
Install Debian on Virtualbox - Updated 2023
Viimeisin Debian Live -levykuva tavalliselle PC:lle debian-live-12.6.0-amd64-xfce.iso - Jos ensimmäinen palvelin ei vastaa, käytä peilejä (mirrors), esim 1, 2. Linux-kuvia voi ladata myös Torrent-vertaisverkosta.
Kirjoita raporttia samalla kun työskentelet
Johanna 2025: Install Debian 13-Trixie with VirtualBox
- Johannan artikkelista näkyy, miten VirtualBoxilla tehdään uusi virtuaalikone
- Pikkumuutoksia, nämä tekisin ehkä eri lailla kuin artikkelissa: Kannataa laittaa levytilaksi 40 GB tai enemmän. Kannattaa laitta useampi prosessoriydin.
- Iso muutos: Aloita asennus live-työpöydältä. Tämä on helpompaa, ja lopputulos on yleensä parempi. Valitse siis bootissa Live / Try / Live Desktop tms. Ei kannata valita boottivalikossa install-vaihtoehtoa, joka avaa rajoitetumman asennusohjelman.
Jos jäät jumiin, tee vielä tarkempi raportti hankalasta kohdasta. Ota kaikki virheilmoitukset talteen. Luettele eri valitsemasi lähestymistavat. Ja katsotaan tunnilla yhdessä lisää.
Arvioi kaksi tehtäväpalautusta, kun olet palauttanut omasi. (kuten aina)
Weppisivun tekeminen Githubiin https://terokarvinen.com/2023/create-a-web-page-using-github/
Ota ruutukaappauksia. Kuvia on helppo lisätä Markdowniin.
Palautus aina 24 h ennen seuraavaa tapaamiskertaa.
Tee myös h0, jos se jäi tunnilla kesken
Kohta sinulla on oma Linux-harjoitusympäristö, kokonaan omassa hallussa. Tunnilla nähdään!
Muista lähdeviitteet
- Kurssi
- Tehtävänannot https://terokarvinen.com/linux-palvelimet/
- Manuaalisivut
- Weppisivut
- ja kaikki muutkin käyttämäsi lähteet
Muista myös merkitä, mikä tieto on mistäkin lähteestä kotoisin.

h2 Komentaja Pingviini # ↑

x) Lue ja tiivistä (Muutama ranskalainen viiva riittää. Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella. Lisää jokin oma kysymys, idea tai huomio)
- Karvinen 2020: Command line basics revisited (nämä komennot ja hakemistot kannattaa myös opiskella ulkoa ja harjoitella automaatiotasolle)
a) Micro. Asenna micro-editori.
b) Apt. Asenna kolme itsellesi uutta komentoriviohjelmaa. Kokeile kutakin ohjelmaa sen pääasiallisessa käyttötarkoituksessa. Ota ruutukaappaus. Kaikki terminaaliohjelmat kelpaavat, TUI (text user interface) ja CLI (command line interface). Osaatko tehdä apt-get komennon, joka asentaa nämä kolme ohjelmaa kerralla?
c) FHS. Esittele kansiot, jotka on listattu "Command Line Basics Revisited" kappaleessa "Important directories". Näytä kuvaava esimerkki kunkin tärkeän kansion sisältämästä tiedostosta tai kansiosta. Jos kyseessä on tiedosto, näytä siitä kuvaava esimerkkirivi. Työskentele komentokehotteessa ja näytä komennot, joilla etsit esimerkit.
d) The Friendly M. Näytä 2-3 kuvaavaa esimerkkiä grep-komennon käytöstä. Ohjeita löytyy 'man grep' ja tietysti verkosta.
e) Pipe. Näytä esimerkki putkista (pipes, "|").
f) Rauta. Listaa testaamasi koneen rauta (‘sudo lshw -short -sanitize’). Asenna lshw tarvittaessa. Selitä ja analysoi listaus.
g) Vapaaehtoinen: Valitse muutama rivi lokeista. Tulkitse ja analysoi.
h) Vapaaehtoinen: Asenna jokin plugin micro-editorille ja kokeile sitä. Vaikkapa palettero, cheat tai runit.

Vinkkejä:

Ohjelmien asennus
- sudo apt-get update
- apt-cache search version control
- apt-cache show git
- sudo apt-get -y install git
Selitä ja analysoi - rautatehtävässä tärkeää on siis oma analyysi ja selitys, ei pelkkä listaus
Lokit
- journalctl -f
- sudo journalctl

h3 Hello Web Server # ↑

Tästä alkaa demonien osuus. Seuraavien viikkojen aikana opit rakentamaan weppipalvelun ja vuokraamaan sille paikan julkisesta pilvestä.

Nyt kokeillaan soveltaa ohjeita. Name Based Virtual Host -tehtävän haaste tulee siitä, että saat tehdä itsellesi uusia asetuksia ohjeista.

x) Lue ja tiivistä (Muutama ranskalainen viiva kustakin artikkelista riittää. Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella)
- The Apache Software Foundation 2023: Apache HTTP Server Version 2.4 Documentation: Name-based Virtual Host Support
- Karvinen 2018: Name Based Virtual Hosts on Apache – Multiple Websites to Single IP Address
a) Testaa, että weppipalvelimesi vastaa localhost-osoitteesta. Asenna Apache-weppipalvelin, jos se ei ole jo asennettuna.
b) Etsi lokista rivit, jotka syntyvät, kun lataat omalta palvelimeltasi yhden sivun. Analysoi rivit (eli selitä yksityiskohtaisesti jokainen kohta ja numero, etsi tarvittaessa lähteitä).
c) Etusivu uusiksi. Tee uusi name based virtual host. Sivun tulee näkyä suoraan palvelimen etusivulla http://localhost/. Sivua pitää pystyä muokkaamaan normaalina käyttäjänä, ilman sudoa. Tee uusi, laita vanhat pois päältä. Uusi sivu on hattu.example.com, ja tämän pitää näkyä: asetustiedoston nimessä, asetustiedoston ServerName-muuttujassa sekä etusivun sisällössä (esim title, h1 tai p).
e) Tee validi HTML5 sivu.
f) Anna esimerkit 'curl -I' ja 'curl' -komennoista. Selitä 'curl -I' muutamasta näyttämästä otsakkeesta (response header), mitä ne tarkoittavat.
m) Vapaaehtoinen, suosittelen tekemään: Hanki GitHub Education -paketti.
o) Vapaaehtoinen, vaikea: Laita sama tietokone vastaamaan kahdellla eri sivulla kahdesta eri nimestä. Eli kaksi weppisiteä samalla koneelle, esim. foo.example.com ja bar.example.com. Voit simuloida nimipalvelun toimintaa hosts-tiedoston avulla.

Ensi kerralla vuokrataan kone pilvestä. Kannattaa ottaa luottokortti mukaan. Myös debit-luottokortti käy. Vaikka käyttäisit ilmaisia Github Education -krediittejä, nekin tarvitsevat yleensä luottokortin. Suosittelen kokeilemaan oikeiden, tuotantoon kelpaavien palveluiden vuokraamista, mutta voin keksiä jonkin vaihtoehtotehtävän jos et halua.

Vinkit

Esimerkkisivun poistaminen lienee lienee ainoa kohta, jossa ikinä muokkaat weppisivua pääkäyttäjän oikeuksin. 'echo hello|sudo tee /var/www/html/index.html'
'sudo tail /var/log/apache2/access.log', 'sudo tail /var/log/apache2/error.log',
'tail -f /var/log/apache2/access.log', ctrl-C
sudo systemctl enable --now apache2
Kotisivu kielletty (403 Forbidden)? 'chmod ugo+x $HOME $HOME/public_html/', 'ls -ld $HOME $HOME/public_html/'
Karvinen 2012: Short HTML5 page
Onko weppisivu validi https://validator.w3.org
sudo systemctl restart apache2
Github Education
- Aloita rekisteröimällä @haaga-helia.fi tunnus Githubiin.
- Jos sinulla on jo Github-tunnus, Haaga-Helian sähköpostiosoitteen voi liittää vanhaan tunnukseen.
- Muista klikata vahvistussähköposti.
- GitHub Education.

h4 Maailma kuulee # ↑

Enää ei tarvitse kirjoittaa pöytälaatikkoon.

x) Lue ja tiivistä. Tiivistelmäksi riittää muutama ranskalainen viiva per artikkeli. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella)
- Susanna Lehto 2022: Teoriasta käytäntöön pilvipalvelimen avulla (h4) (opiskelijan esimerkkiraportti), kohdat
  - a) Pilvipalvelimen vuokraus ja asennus
  - d) Palvelin suojaan palomuurilla
  - e) Kotisivut palvelimelle
  - f) Palvelimen ohjelmien päivitys
- Karvinen 2012: First Steps on a New Virtual Private Server – an Example on DigitalOcean and Ubuntu 16.04 LTS
a) Vuokraa oma virtuaalipalvelin haluamaltasi palveluntarjoajalta. (Vaihtoehtona voit käyttää ilmaista kokeilujaksoa, GitHub Education krediittejä; tai jos mikään muu ei onnistu, voit kokeilla ilmaiseksi vagrant:ia paikallisesti. Suosittelen kuitenkin harjoittelemaan oikeilla, tuotantoon kelpaavilla julkisilla palveluilla).
b) Tee alkutoimet omalla virtuaalipalvelimellasi: tulimuuri päälle, root-tunnus kiinni, ohjelmien päivitys.
c) Asenna weppipalvelin omalle virtuaalipalvelimellesi. Korvaa testisivu. Kokeile, että se näkyy julkisesti. Kokeile myös eri koneelta, esim kännykältä. (Jos haluat tehdä oikeat weppisivut, tarvitset Name Based Virtual Hostin)
d) Vapaaehtoinen: Laita omalle julkiselle palvelimellesi uusi Name Based Virtual Host. Kun sammutat muut weppisivut, niin se ainut näkyy nimestä riippumatta etusivulla. Name Based Virtual Host avulla pääset muokkaamaan kotisivuja normaalilla käyttäjällä, ilman sudoa.

Vinkit:

Sopivia virtuaalipalvelinten vuokraajia on paljon. Esimerkkejä: Linode, DigitalOcean, UpCloud.
Aina hyvät salasanat. Salasana on todella tärkeä kohta tietoturvassa.
Muista tehdä reikä tulimuuriin. sudo ufw allow 22/tcp; sudo ufw enable; sudo ufw allow 80/tcp
Käyttäjälle saa sudo-oikeudet lisäämällä ryhmään "sudo". Muita artikkelissa mainittuja ryhmiä "adm", "admin"... ei välttämättä ole koneellasi.
sudo apt-get update; sudo apt-get dist-upgrade; sudo systemctl reboot
Nykyisin demonin uudelleenkäynnistys 'sudo systemctl restart apache2' (ei enää service)
Paketteja, joilla palvelimen hallinta on kivempaa. Ulkomuistista.
- $ sudo apt-get update
- $ sudo apt-get -y install micro bash-completion openssh-client wget curl ufw
SSH avaimen tekeminen. Ulkomuistista. Tässä "$ " on paikallisen koneen prompti, risuaita "#" komennon jälkeen on on kommentti
- $ sudo apt-get update
- $ sudo apt-get -y install openssh-client
- $ ssh-keygen # enter, enter, enter
- $ micro $HOME/.ssh/id_rsa.pub # shift-alas valitsee rivin, ctrl-C kopioi, ctrl-Q lopeta
- Nyt voit liimata (Ctrl-V) avaimen selaimessa palveluntarjojan weppiliittymään. Tunnilla demonstroitiin UpCloud:n kanssa.
SSH julkisen avaimen kopiointi ja root-tunnuksen sulkeminen, ulkomuistista. Käytä omaa nimeäsi Jurpon tilalla ja oman palvelimen osoitetta 10.0.0.1 tilalla. Aina ja joka hetki hyvät salasanat. Tämä sopii tilanteissa, joissa ssh-kirjautuminen on automatisoitu root-tunnukselle, jolloin pitää luoda normaali käyttäjä sudo-oikeuksin ja sulkea root. Tässä kaukana olevan virtuaalikoneen root:in prompt on "root# ", normaalin käyttäjän "jurpo$ ". Paikallisen koneen prompti on "local$ "
- Kirjaudu olemassaolevalla root-tunnuksella virtuaalikoneelle
  - local$ ssh root@10.0.0.1
- Lisää itsellesi sudo-käyttäjä
  - root# sudo adduser jurpo
  - root# sudo adduser jurpo sudo
- Kopioi root:n ssh-asetukset, jotta voit kirjautua myös uutena, omana käyttäjänä
  - root# sudo cp -rvn /root/.ssh/ /home/jurpo/
  - root# sudo chown -R jurpo:jurpo /home/jurpo/
- Palaa paikalliselle koneelle ja kirjaudu uudelleen omana käyttäjänä
  - root# exit
  - local$ ssh jurpo@10.0.0.1
- Sulje root-tunnus.
  - jurpo$ sudo usermod --lock root
  - jurpo$ sudo mv -nv /root/.ssh /root/DISABLED-ssh/
Perinteisesti lokit ovat olleet tekstitiedostoissa /var/log/ alla. Nyt ne ovat siirtymässä journalctl:n. Archwiki: systemd/Journal.

h5 Nimekäs # ↑

Lue itse: tämän kerran lukuläksy on etsiä itse laadukkaat lähteet kaikkiin vieraisiin käsitteisiin ja työkaluihin. Vastaukset tulevat osaksi analyysiä ja tulkintaa, erillisiä tiivistelmiä ei tällä kertaa tehdä.

a) Nimi. Laita julkinen nimi osoittamaan omaan koneeseesi. (Siis vastaava kuin terokarvinen.com. Nimen saattaa saada myös ilmaiseksi Github Education -paketilla. Suosittelen hankkimaan oikean nimen, mutta jos välttämättä haluat, voit myös simuloida nimen toimintaa paikallisesti hosts-tiedoston avulla.)
b) Alidomain. Tee kaksi uutta alidomainia, jotka osoittava omaan koneeseesi. Esimerkiksi palvelu on example.com -> linuxkurssi.example.com. Alidomainit ovat tyypillisesti ilmaisia, kun sinulla on päädomain (example.com). Tässä tehtävässä riittää, että alidomainit avaavat saman sivun kuin päädomain. (Vapaaehtoinen bonus: Tee toinen alidomain A-tietueella ja toinen CNAME-tietueella. Vapaaehtoinen bonus: tee alidomainiin oma erillinen name based virtual host.)
c) Tutki jonkin nimen DNS-tietoja 'host' ja 'dig' -komennoilla. Käytä kumpaakin komentoa kaikkiin nimiin ja vertaa tuloksia. Katso man-sivulta, miten komennot toimivat - esimerkiksi miten 'dig' näyttää kaikki kentät. Analysoi tulokset, keskity nimipalvelimelta tulleisiin kenttiin (dig näyttää paljon muutakin tietoa). Etsi tarvittaessa uusia lähteitä haastaviin kohtiin. Sähköpostin todentamiseen liittyvät SPF ja DMARC -tietojen yksityiskohdat on jätetty vapaaehtoiseksi lisätehtäväksi. Tutkittavat nimet:
- Oma domain-nimesi. Vertaa tuloksia nimen vuokraajan (namecheap.com, name.com...) weppiliittymässä näkyviin asetuksiin.
- Jonkin pikkuyrityksen, kerhon tai yksittäisen henkilön weppisivut. (Ei kuitenkaan kurssikaverin tällä viikolla vuokrattua nimeä).
- Jonkin suuren ja kaikkien tunteman palvelun tiedot.
d) Vapaaehtoinen bonus: Aakkossalaattia sähköpostiin. Etsi palvelu, jonka DNS-tiedoissa on SPF ja DMARC. Selitä näiden kenttien osat ja vaikutukset yksityiskohtaisesti. Voit halutessasi käyttää tulkinnan apuna jotain ohjelmaa tai palvelua, kunhan selität ja tulkitset lopputuloksen myös itse.

Vinkit

Yksi hyvä domain-nimien vuokraaja on NameCheap. Muitakin hyviä on, mutta myös paljon huonoja. En suosittele Gandia enkä Godaddyä. Kannattaa valita NameCheap tai jokin palvelu, jonka tiedät omasta tai työkavereiden kokemuksista hyväksi.
dig
- Lue se man-sivu - dig-komento ei oletuksena näytä kaikkia tietueita.
- joskus 'dig' pitää ajaa pari kertaa (oikealla asetksella), jotta kaikki kentät näkyvät
Tässä tehtävässä opit etsimään itse uusia lähteitä yksityiskohdista, jotka ovat sinulle uusia. (Ja tietysti myös nimipalvelua)
Muista selittää uudet käsitteet ja merkitä lähdeviitteet selkeästi näkyviin.
Suosittelen hankkimaan domain-nimen oikealta vuokraajalta, tarvittaessa GitHub Education -paketin ilmaistarjouksia hyödyntäen. Jos et jostain syystä halua, a-kohdan tylsempi mutta varmasti kokonaan ilmainen versio tehtävästä on simuloida nimiä esim. hosts-tiedoston avulla ja soveltaa tehtävää. Mutta suosittelen oikeita nimiä.

h6 Salataampa # ↑

x) Lue ja tiivistä. Tiivistelmäksi riittää muutama ranskalainen viiva per artikkeli. (Tässä alakohdassa ei tarvitse tehdä testejä tietokoneella)
- Let's Encrypt 2024: How It Works
- The Apache Software Foundation 2025: Apache HTTP Server Version 2.4 [Official] Documentation: SSL/TLS Strong Encryption: How-To: Basic Configuration Example (Ei "Cipher Suites and Enforcing Strong Security" eteenpäin. Certbot tekee meillä automaattisesti kaikki salaukseen liittyvät asetukset.
a) Let's. Hanki ja asenna palvelimellesi ilmainen TLS-sertifikaatti Let's Encryptilta. Osoita, että se toimii.
b) A-rating. Testaa oma sivusi TLS jollain yleisellä laadunvarmistustyökalulla, esim. SSLLabs (Käytä vain tavanomaisia tarkistustyökaluja, ei tunkeutumistestausta eikä siihen liittyviä työkaluja)
c) Vapaaehtoinen: Tee weppilomake, jossa on käyttäjätunnus ja salasana. Käytä salaamatonta http-yhteyttä. Sieppaa liikennettä (esim. Wireshark, ngrep). Mitä havaitset? Mitä vaikutuksia tällä on tietoturvaan?

Vinkit

Oikean sertifikaatin saa vain oikealle palvelimelle, jolla on oikea nimi. Suosittelen kokeilemaan sitä.
Jos et pysty hankkimaan oikeaa sertifikaattia tai et muuten halua tehdä a-kohtaa, voit tehdä c-kohdan weppilomakkeen myös sen vaihtoehtotehtävänä; ja testata b-kohdassa vapaavalintaista weppisivua. Töissä tarvitset kuitenkin sertifikaatteja, joten suosittelen tekemään a:n eli hankkimaan oikean sertifikaatin.
Ulkomuistista muutama pointti Let's Encryptin sertifikaateista
- Ennenkuin aloitat
  - Potkaise demonia
  - Kokeile, että weppisivusi toimii
  - Kokeile, että weppisivusi näkyy julkisella domain-nimellä. Kannattaa kokeilla myös kännykästä.
  - Avaa tulimuurista molemmat http eli 80/tcp; ja https eli 443/tcp.
- sudo apt-get install certbot python3-certbot-apache
- sudo certbot --apache --domains example.com,www.example.com

Esimerkki alkuperäisestä asetustiedostosta (certbot tekee siihen muutoksia):

<VirtualHost *:80>
        ServerName helsinkirain.space
        ServerAlias www.helsinkirain.space
        DocumentRoot /home/reema/publicsites/reema

        <Directory /home/reema/publicsites/reema>
                Require all granted
        </Directory>
</VirtualHost>

Opiskelijoiden https-vinkit (TLS-salaus weppipalvelimella):
- Giang 2025: H6 - Salataampa
- Lego vs Certbot - Let's Encrypt sertifikaatti Apachella. Isakoff 2025: H6 TLS Salaukset ja let’s encrypt

h7 Maalisuora # ↑

a) Kirjoita ja aja "Hei maailma" kolmella kielellä.
b) Lähdeviitteet. Tarkista ja tarvittaessa lisää lähdeviitteet kaikkiin raportteihisi h1 alkaen. Tarkista, että olet viitannut lähteisiin: tehtäväsivuun, kurssiin, muiden opiskelijoiden raportteihin, man-sivuihin, kotisivuihin ja ylipäänsä kaikkiin käyttämiisi lähteisiin. Lähdeviite tulee olla jokaisessa raportissa tai sivussa, jossa lähdettä on käytetty. Kaikki tehtävät perustuvat tämän sivun tehtävänantoihin, joten ainakin tämä viite on syytä löytyä. (Tästä alakohdasta ei tarvitse kirjoittaa vaiheittaista raporttia)
c) Laita Linuxiin uusi, itse tekemäsi komento niin, että kaikki käyttäjät voivat ajaa sitä.
d) Ratkaise vanha arvioitava laboratorioharjoitus soveltuvin osin.

Jos haluat tehdä vapaaehtoisen tehtävän h8, sen määräaika on sama kuin h7.

Vinkit:

Karvinen 2018: Hello World Python3, Bash, C, C++, Go, Lua, Ruby, Java – Programming Languages on Ubuntu 18.04
Uuden komennon saat ajettavaksi Karvinen 2007: Shell Scripting, ja kaikille kopioimalla sen pääkäyttäjänä kansioon /usr/local/bin/
Muistaakseni ohjelmointikielien paketit Debian 12-bookworm:ssa ovat 'sudo apt-get install python3 gcc g++ openjdk-17-jdk golang-go ruby lua5.4'
Vanhoja arvioitavia laboratorioharjoituksia löytyy Teron sivujen omalla hakutoiminnolla, Googlella ja DuckDuckGolla.
Vanhoissa labroissa voi olla osia, joita ei ole käsitelty tällä toteutuksella. Voit soveltaa, vaihtaa tai hypätä yli noista osista.
Muista aina hyvät salasanat. Älä jätä käyttäjien kotihakemistoihin root:in omistamia tiedostoja. Testaa kaikki mitä olet tehnyt.

h8 Bonus # ↑

Vapaaehtoinen: Bonus: luettele ja linkitä tähän tekemäsi

a) Vapaaehtoiset tehtävät
b) Ristiinarvioinnin jälkeen olennaisesti parannetut tehtävät

Määräaika on sama kuin tehtävän h7.

Adminstrivia # ↑

This has been updated after publishing, and will be updated as needed.

Tux logo by Larry Ewing.

Tero Karvinen - learn Free software with me

siv – static site generator

Why siv # ↑

Some details # ↑

License # ↑

Other downloads # ↑

tBar for LibreOffice Impress

Hide overflow - what does it look like # ↑

0x54ask - Todo.txt manager for Android. Offline, works with syncthing.

Install on F-Droid # ↑

Download # ↑

What is 0x54ask? # ↑

Todo.txt manager - context and tags # ↑

0x54ask passive perks # ↑

Background # ↑

Download # ↑

Adminstrivia # ↑

Sovellusten hakkerointi

Schedule # ↑

Prerequisites # ↑

Review Package # ↑

Programming Basics # ↑

Linux Basics # ↑

Installing Linux on a Virtual Machine # ↑

Previous Implementations # ↑

Homework # ↑

Homework Tasks # ↑

Tunkeutumistestaus

Oppimistavoitteet # ↑

Aikataulu # ↑

Anna palautetta # ↑

1) Vapaamuotoinen palaute kommenttina tämän kurssisivun perään # ↑

2) Numeerinen palaute Haaga-Helian palautejärjestelmään MyNetissa # ↑

Kertausmateriaalia # ↑

Luettavaa ja linkkejä # ↑

Vanhoja toteutuksia # ↑

Läksyt # ↑

h1 Kybertappoketju # ↑

h2 DORA the Explora # ↑

h3 EternalHomework # ↑

h4 Täysin Laillinen Sertifikaatti # ↑

h5 Elokuu2026! # ↑

h6 Fuzzy Feeling Upon Finding # ↑

hx Koita simpukoita # ↑

Lippuvalmistelu # ↑

h8 Bonus # ↑

Card Size Gallery

Kokoro TTS - Voice Comparison

Listen and Compare Voices in Your Browser # ↑

Run Kokoro with Podman # ↑

See also # ↑

cdu - Jump up to project directory

Usage example # ↑

A new 'cdu', change dir up # ↑

Source code, GPL # ↑

ppp Personal Project Portfolio

Talk nerd to me # ↑

Try ppp # ↑

Apache installed with Ansible - quick notes

Package-file-service pattern # ↑

tree of roles/apache2/ # ↑

tasks/main.yml # ↑

handlers/main.yml # ↑

files/example.com.conf # ↑

Adminstrivia # ↑

Passwordless Sudo with Ansible

Prerequisites # ↑

Tree # ↑

Role - antero # ↑

First run - chicken or egg? # ↑

Tips # ↑

Sudo without password

Create the new user # ↑

Broken sudo insurance # ↑

New sudoers rule # ↑

Test # ↑

Adminstrivia # ↑

DORA & Threat Lead Penetration Testing with Marko

Synopsis # ↑

Slides # ↑