Tuen päättyminen: mitä tapahtuu kun laite ei enää päivity

Kun valmistaja ilmoittaa, että laitteen tuki päättyy, syntyy helposti kaksi väärää käsitystä. Toinen on, että laite muuttuu vaaralliseksi määräpäivän jälkeisenä aamuna. Toinen on, että koko asia on markkinointia ja voi jatkaa kuten ennen. Kumpikaan ei pidä paikkaansa, ja niiden välissä on se kysymys, joka oikeasti kannattaa esittää: kuinka paljon riski kasvaa kuukaudessa ja mihin käyttöön laite yhä kelpaa.

Tuen päättyminen kannattaa ajatella korjauspalvelun sulkemisena, ei laitteen sammuttamisena. Auto kulkee vielä sen jälkeenkin, kun huoltoa ei enää saa, mutta jokainen kulunut osa jää kuluneeksi. Ohjelmistossa kuluminen tarkoittaa löydettyjä ja julkaistuja haavoittuvuuksia.

Tuki tarkoittaa korjauksia, ei ominaisuuksia

Tuki on lupaus siitä, että valmistaja korjaa löydetyt virheet. Se jakautuu käytännössä kahteen osaan, jotka päättyvät eri aikaan. Ominaisuuspäivitykset loppuvat yleensä ensin: laite ei enää saa uutta järjestelmäversiota eikä uusia toimintoja. Tietoturvapäivitykset jatkuvat tämän jälkeen jonkin aikaa, ja vasta niiden loppuminen on se hetki, jota tuen päättymisellä tarkoitetaan. Ero näiden kahden päivitystyypin välillä on selitetty tarkemmin artikkelissa siitä, miksi päivityksiä julkaistaan jatkuvasti.

Tukeen kuuluu myös ajurien ylläpito. Kun valmistaja lopettaa laitteen tukemisen, se lopettaa myös uusien ajurien tekemisen, jolloin oheislaitteet ja uudet käyttöjärjestelmäversiot alkavat pudota pois. Ajurien rooli tässä ketjussa käydään läpi artikkelissa ajureista.

Tuen kesto on valmistajan päätös, mutta ei enää täysin vapaa. Euroopan unionin ekosuunnitteluvaatimukset asettavat älypuhelimille ja taulutietokoneille vähimmäisajat, joiden ajan käyttöjärjestelmän tietoturvapäivityksiä on oltava saatavilla ja varaosia myytävä. Ajat lasketaan siitä, kun mallin myynti markkinoille päättyy, ei siitä kun sinä ostit laitteen. Tämä on tärkeä yksityiskohta: kaupan alennushyllystä ostettu malli voi olla ollut myynnissä jo pitkään, jolloin tukea on jäljellä vähemmän kuin uutuudessa.

Miksi valmistaja lopettaa tuen

Tuen lopettaminen ei ole pelkkä kaupallinen päätös, vaikka sekin on osa kuvaa. Taustalla on kolme teknistä syytä, jotka on hyvä tuntea, koska ne selittävät myös sen, miksi tukea ei voi vain jatkaa loputtomiin.

Ensimmäinen on testaamisen kustannus. Jokainen korjaus on testattava kaikilla tuetuilla laitemalleilla ja järjestelmäversioilla. Mitä useampi yhdistelmä on listalla, sitä hitaammin korjaukset valmistuvat kaikille. Tuen rajaaminen on osittain tapa pitää päivitykset nopeina niille, jotka niitä saavat.

Toinen on laitteiston raja. Uudet suojausrakenteet nojaavat piirin ominaisuuksiin: erilliseen turvapiiriin, muistin eristykseen ja käynnistyksen varmennukseen. Näitä ei voi lisätä ohjelmistopäivityksellä laitteeseen, jossa niitä ei ole. Jossain vaiheessa uusi järjestelmäversio olettaa ominaisuuden, jota vanha piiri ei tarjoa.

Kolmas on toimitusketju. Puhelimen käyttöjärjestelmäpäivitys sisältää osia, jotka tulevat piirivalmistajalta. Kun piirivalmistaja lopettaa oman tukensa sirulle, laitevalmistaja ei voi jatkaa omaansa, vaikka haluaisi. Tästä syystä saman valmistajan eri mallien tuki voi päättyä yllättävän eri aikaan.

Miten päättymispäivä ilmoitetaan ja mistä sen löytää

Valmistajat ilmoittavat tuen keston eri tavoin. Osa lupaa tietyn määrän vuosia julkaisusta, osa tietyn määrän järjestelmäversioita, osa ylläpitää sivua, jolla mallit ja niiden päättymispäivät luetellaan. Puhelimissa lupaus on nykyään usein kirjattu tuotesivulle, tietokoneissa se koskee yleensä käyttöjärjestelmää eikä konetta.

Tarkista tuki näin, kun harkitset ostoa tai arvioit nykyistä laitettasi:

1. Selvitä laitteen tarkka malli ja sen julkaisuvuosi. Sama tuotesarja voi sisältää eri-ikäisiä malleja.
2. Etsi valmistajan sivuilta tuen kestoa koskeva sivu. Hae sanoilla, jotka valmistaja itse käyttää: ohjelmistotuki, päivityskäytäntö tai elinkaari.
3. Katso erikseen, koskeeko lupaus tietoturvapäivityksiä vai järjestelmäversioita. Nämä ovat eri asioita ja eri mittaisia.
4. Selvitä laitteen käyttöjärjestelmäversio asetuksista ja vertaa sitä siihen versioon, jota valmistaja vielä päivittää.
5. Jos tietoa ei löydy lainkaan, tulkitse se varovaisesti. Ilmoittamaton tuki tarkoittaa yleensä lyhyttä tukea.

Ensin lakkaavat sovellukset, ei laite

Käytännön kokemus tuen päättymisestä ei ala tietomurrosta vaan pikkuhiljaa kertyvistä esteistä. Sovelluskaupat tarkistavat, mikä järjestelmäversio laitteessa on, ja jättävät päivitykset tarjoamatta liian vanhalle. Ensin sovellus jää vanhaan versioon, sitten se lakkaa toimimasta palvelun kanssa, ja lopulta sitä ei voi asentaa uudelleen lainkaan.

Selain on tässä ketjussa keskeinen. Selainvalmistajat lopettavat vanhojen käyttöjärjestelmäversioiden tukemisen, jolloin selain jää jumiin viimeiseen toimivaan versioon. Vanha selain ei saa enää korjauksia, ja se on juuri se ohjelma, joka käsittelee kaiken verkosta tulevan sisällön. Samalla vanhentuu myös se osa, jolla selain tunnistaa verkkosivut turvallisiksi.

Sivustojen avaamisen lopettaa usein varmenteiden vanheneminen. Laitteessa on lista luotetuista varmentajista, ja siihen kuuluu juurivarmenteita, joilla on oma voimassaoloaika. Kun juurivarmenne vanhenee eikä laite saa päivitystä, joka toisi uuden tilalle, sivustot alkavat näyttää virheilmoituksia vaikka mitään vikaa ei ole. Sama koskee salausmenetelmiä: vanha laite ei osaa uusinta TLS-kättelyä, jolloin yhteys ei synny lainkaan. Tässä vaiheessa laite ei ole enää epävarma vaan käyttökelvoton siihen tarkoitukseen.

Riski kasvaa, mutta ei tasaisesti

Haavoittuvuuksia löydetään ohjelmistoista jatkuvasti. Niin kauan kuin tuki jatkuu, löydetty aukko paikataan ja hyökkääjän etu on lyhytaikainen. Kun tuki päättyy, jokainen uusi löytö jää voimaan pysyvästi. Merkittävää on, että haavoittuvuudet julkaistaan: korjauksen sisältö kertoo, mikä oli rikki, ja sama virhe on todennäköisesti myös siinä versiossa, jota ei enää korjata.

Riskin suuruusluokka riippuu kolmesta asiasta, joita kannattaa arvioida omalla kohdalla erikseen.

Aikajänne on tässä ratkaiseva. Ensimmäisinä kuukausina tuen päättymisen jälkeen tilanne on käytännössä sama kuin ennen sitä. Vuoden kuluttua paikkaamattomia haavoittuvuuksia on kertynyt, ja osaan niistä on olemassa valmiita hyökkäystyökaluja. Useamman vuoden kuluttua vanha järjestelmä on tunnettu ja helppo kohde. Tarkkoja lukuja tästä ei kannata esittää, koska ne vaihtelevat järjestelmän ja vuoden mukaan, mutta suunta on aina sama.

Riskin kasvu ei myöskään jakaudu tasan laitteen osien kesken. Vaarallisimpia ovat ne ohjelmat, jotka ottavat vastaan ulkopuolista sisältöä: selain, viestisovellus, mediasoitin ja tiedostojen esikatselu. Ne käsittelevät materiaalia, jota et ole itse valinnut, joten niiden virhettä voi käyttää hyväksi ilman että teet mitään väärin. Sen sijaan laskin, kamera tai paikallinen musiikkikirjasto eivät juuri muutu vaarallisemmiksi, vaikka päivitykset loppuisivat kokonaan. Tämä on syy siihen, miksi rajattu käyttötarkoitus toimii oikeasti eikä ole pelkkä lohtupalkinto.

Yksi yleinen väärinkäsitys on syytä oikaista. Virustorjunta ei korvaa päivityksiä. Se voi tunnistaa tunnetun haittaohjelman, mutta se ei sulje käyttöjärjestelmän aukkoa, jota hyökkääjä käyttää. Erityisesti kiristyshaittaohjelma leviää usein juuri paikkaamattoman palvelun tai selaimen kautta, jolloin käyttäjän oma varovaisuus ei riitä suojaksi.

Näin pidennät käyttöikää turvallisesti

Vanhan laitteen käyttöä voi jatkaa, jos sen tehtävää rajataan. Idea on yksinkertainen: mitä vähemmän laite käsittelee arvokasta tietoa ja mitä vähemmän se on tekemisissä verkon kanssa, sitä pienempi merkitys korjaamattomilla aukoilla on.

• Siirrä arkaluontoinen asiointi toiselle laitteelle. Verkkopankki, sähköposti ja vahva tunnistautuminen kuuluvat päivitettävälle laitteelle, koska ne ovat se kohde, jota tavoitellaan.
• Poista käytöstä se, mitä et tarvitse. Vanha laite ei tarvitse kymmentä sovellusta eikä avoimia palveluita. Jokainen poistettu ohjelma on yksi hyökkäyspinta vähemmän.
• Eristä laite verkossa. Reitittimen vierasverkko on tähän tehty: siihen liitetty laite pääsee internetiin mutta ei muihin kotiverkon laitteisiin.
• Kirjaudu ilman pääkäyttäjän oikeuksia, jos järjestelmä sen sallii. Rajoitetulla tilillä tehty vahinko jää pienemmäksi.
• Varmista, että laitteella olevat tiedot ovat muuallakin. Erillinen kopio on ainoa asia, joka pelastaa silloin kun jokin menee pieleen, ja periaatteet käydään läpi artikkelissa varmuuskopioinnista.
• Harkitse kevyempää käyttöjärjestelmää tietokoneessa. Vanha kone, joka ei saa enää alkuperäisen järjestelmänsä päivityksiä, voi saada tuetun järjestelmän vaihtamalla jakeluun, jota yhä ylläpidetään. Vaihtoehdot ja niiden erot on käyty läpi artikkelissa Windowsin, macOS:n ja Linuxin eroista.

Maksullinen jatkoaika on joissakin tapauksissa mahdollinen. Osa valmistajista myy pidennettyä tietoturvatukea erikseen, tyypillisesti yritysasiakkaille ja määräajaksi. Se on aito vaihtoehto silloin kun vaihto on kesken, mutta se on aina lykkäys eikä ratkaisu.

Milloin laite on vaihdettava

Vaihtopäätöstä ei kannata tehdä kalenterin vaan käytön perusteella. Nämä ehdot ovat sellaisia, joissa vanhan laitteen käyttö ei ole enää järkevää.

1. Laitteella hoidetaan pankkiasioita tai tunnistautumista eikä sitä voi siirtää muualle. Tämä on yksinään riittävä syy.
2. Sovellus, jota tarvitset päivittäin, ei enää asennu tai kirjaudu sisään.
3. Selain ei saa enää korjauksia tai sivustot eivät aukea varmenne- ja salausvirheiden takia.
4. Laitteella käsitellään toisten ihmisten tietoja, esimerkiksi työssä tai yhdistyksessä.
5. Laite on ainoa paikka, jossa jokin sinulle tärkeä tieto on.
6. Tuen päättymisestä on kulunut vuosia ja laite on edelleen jatkuvasti verkossa.

Jos yksikään näistä ei täyty, kiirettä ei ole. Vanha puhelin kelpaa musiikkisoittimeksi, kelloradioksi, kameraksi tai lasten pelilaitteeksi, ja vanha kone kelpaa kirjoituskoneeksi ja tulostuspalvelimeksi vuosiksi eteenpäin. Ratkaisevaa on, että käyttötarkoitus valitaan tietoisesti eikä laite jää roikkumaan entiseen rooliinsa.

Tuen päättyminen on vain yksi tekijä siinä, kuinka kauan laite kestää. Akku, varaosat ja kasvavat resurssivaatimukset vaikuttavat samaan aikaan, ja niiden yhteispeli käsitellään seuraavaksi artikkelissa laitteen elinkaaresta.