Arkielämän toimintatapojen tietoturva-idiotismit

[hkultala]

Säikeen tarkoituksena nostaa esille arkielämän pinttyneiden toimintatapojen ja yleisesti käytössä olevien laitteiden periaatteellisia tietoturva-ongelmia.

Tässä ei ole tarkoitus keskustella mistään teknisistä bugeihin perustuvista exploiteista, vaan siitä kuinka asiat on päätetty tehdä typerällä tavalla, joka vaarantaa tietoturvan.

 

[hkultala]

Ylivoimainen ykkönen:

Henkilötunnuksen tietämisen käyttö henkilöllisyyden varmentamisessa.

Tämä on äärimmäisen typerää.

Että se asiakaspalveluhenkilö joka vastaa palvelunumeroon pystyy varmentamaan toisen henkilöllisyyden tämän henkilötunnuksen perusteella, hänen täytyy itse tietää se, jolloin hän voisi esiintyä kenenä tahansa asiakkaanaan missä tahansa muussa samaa henkilöllisyyden varmentamista perustuvassa palvelussa, esim muiden firmojen asiakaspalveluun soittaessa.

Henkilötunnuksen tietämistä ei koskaan pitäisi käyttää ainoana mekanismina henkilöllisyyden varmentamiseen.

 

[hkultala]

Toinen vakava juttu on korttipäätteiden/maksujärjestelmien käytöliittymät, ja näissä on useampia ongelmia:

1. Se, että asiakas joutuu syöttämään pin-koodinsa tuntemattoman laitteen käyttöliittymän kautta on vakava periaatteellinen tietoturva-uhka. Se korttipääte voi aivan hyvin tallettaa sen pin-koodin muistiinsa, eikä käyttäjällä ole mitään keinoa varmistua siitä, että näin ei tapahdu.

Se näppäimistö/ maksun autentikointi pitäisi siirtää suoraan siihen kortille, vaikka se sitten tekisi kortista muutaman euron kalliimman.


2. Se, että monissa maksupäätteissä asiakas käyttää samaa käyttöliittymää kuin kauppa/myyjä.

On tullut tapauksia, joissa maksipäätelaitteen käyttöliittymän tunteva huijariasiakas on pelkästään oman pin-koodinsa näpyttelyn sijaan painanut jotain muuta nappia jolla päässyt editoimaan maksutapahtumaa ja vaihtanut summaa tai jopa maksun suuntaa. Maksajalle ei pitäisi koskaan tarjota käyttöliittymää, jossa tämä on mahdollista.



3. Ja sitten kännykkämaksujärjestelmät: Niihin olisi helppo lisätä varmistus, että maksu ei lähde ennen kuin käyttäjä nähtyään summan hyväksyy sen kännykän ruudulta, mutta sitten noissa NFC-maksuissa tätä ominaisuutta ei ole, riittää että NFC-maksu on päällä ja kännykän vie lähelle lukulaitetta, niin maksu lähtee.

 

[Ogeli]

On tuossa kehitystä tapahtunut, viime myyntipuhelussa DNA ei enään käyttänyt hetua tunnistautumiseen sen sijaan oli pari avainkysymystä, tais olla osoite ja jotain vastaavaa.

Vieläkö Telialla on käytössä hetu asiakasnumerona?

 

[pulatunnus]

Ylivoimainen ykkönen:

Henkilötunnuksen tietämisen käyttö henkilöllisyyden varmentamisessa.

Tämä on äärimmäisen typerää.

Että se asiakaspalveluhenkilö joka vastaa palvelunumeroon pystyy varmentamaan toisen henkilöllisyyden tämän henkilötunnuksen perusteella, hänen täytyy itse tietää se, jolloin hän voisi esiintyä kenenä tahansa asiakkaanaan missä tahansa muussa samaa henkilöllisyyden varmentamista perustuvassa palvelussa, esim muiden firmojen asiakaspalveluun soittaessa.

Henkilötunnuksen tietämistä ei koskaan pitäisi käyttää ainoana mekanismina henkilöllisyyden varmentamiseen.

Taitaa olla aika harvinaista että sillä henkilöllisyys vahvasti varmennetaan. Jos puhelun aikana pitää henkilöllisyys vahvasti varmentaa, niin käytetään vahvoja tunnistautumis juttuja , mitkä toki vielä kömpelöitä ta rajallisesti käytössä.

Mutta jos viestissä viittaat siihen missä yksilöidään asiakasta, niin Suomessa henkilötunnus on yksilöllinen, eli siinä sinänsä toimiva, mutta sen käytöstä on tullut jonkinlainen tabu, ja sen tallentaminen hyvin rajotiettua nykyään.

Eli jos ei tarvita vahvaa tunnistusta, ja henkkari luvallinen käyttää, niin sillä yksilöi sen "henkilön", sen lisäksi sitten nimi, ehkä jotain muita varmistuksia, ja jos ei koko henkkaria, niin esim loppuosa.

Eihän nuo mitään salaisuuksia ole, vaika henkkari nykyään hinkilötietoa minkä kästtely tiukkaa, ja ei vanhaan malliin loju siellä täällä.
Oleelista on se ettei heikkotunnistusta vastaan luovutetta tietoja jotka pitää suojata paremmin.
Jos taasen joku on tilannut jotain laskulla, niin siinäkin ihan hyvä, myyjä sitten laskee riski/kustannus tasoja. Jos aikanaan oli uuden asiakkuuden osalta normaali tilata laskuun pelkällä nimellä ja osoitteella, niin tänäpäivänä ei niin tyypillista ja hetukaan ei välttämättä riitä

 

[Pakana]

Firmojen suhteen tuo puhelimessa tunnistautuminen on vieläkin karmeampaa. Tunnistautumiseen riittää monesti pelkkä y-tunnuksen tietäminen! Jos joku ei tiedä, niin tuo on sama kuin firman edustajaksi voisi tunnistautua sillä että tietää yhtiön katuosoitteen.

 

[pulatunnus]

Firmojen suhteen tuo puhelimessa tunnistautuminen on vieläkin karmeampaa. Tunnistautumiseen riittää monesti pelkkä y-tunnuksen tietäminen! Jos joku ei tiedä, niin tuo on sama kuin firman edustajaksi voisi tunnistautua sillä että tietää yhtiön katuosoitteen.

Mitä tuossa tarkoitat "tunnistautumisella", y-tunnus yksilöi sitä firmaa , eli nimi ja y-tunnus on usein ihan hyvä yhdistelmä monessa tilanteessa, niitä nimiä vo olla monia, ja ne voi välillä muuttua ja samalla puhenimellä voi olla useita eri y-tunnuksia. asiayhteydestä riippuen voi sitten olla kustannuspaikkoja, muita viitteitä.

Sitten jos mennään valtuuksien selvittellyyn, prokuraan, nimikirjoitus oikeuksiin, niin ei välttämättä riitä että yksi henkilö tunnistetaan vahvasti. (toki monesti yhteisöstä löytyy joku jollain yksin varsin laajat valtuudet)

Eli riippuu paljon siitä missä asioissa liikutaan puhelimessa, ja samassa palvelussa, samassa asioissa voi toisen firman kohdalla olla ihan eri käytännöt kuin toisen. Eli kustannus, haitta, riski, hyöty.

 

[Sommite]

Ja sitten kännykkämaksujärjestelmät: Niihin olisi helppo lisätä varmistus, että maksu ei lähde ennen kuin käyttäjä nähtyään summan hyväksyy sen kännykän ruudulta, mutta sitten noissa NFC-maksuissa tätä ominaisuutta ei ole, riittää että NFC-maksu on päällä ja kännykän vie lähelle lukulaitetta, niin maksu lähtee.

Jälkikäteen ei varmaan olisi helppoa lisätä uutta prosessia. Tuossahan pitäisi tehdä kaksivaiheinen vahvistus jossa yhdellä näpäytyksellä mobiililaitteeseen siirtyy maksun tiedot, asiakas tarkastaa ja hyväksyy ja toisella näpäytyksellä vahvistus siirtyy maksupäätteeseen. Nythän maksuverkostoilla on vahvasti single-tap-vaatimus, eli yhden näpäytyksen pitää riittää.

 

[pulatunnus]

3. Ja sitten kännykkämaksujärjestelmät: Niihin olisi helppo lisätä varmistus, että maksu ei lähde ennen kuin käyttäjä nähtyään summan hyväksyy sen kännykän ruudulta, mutta sitten noissa NFC-maksuissa tätä ominaisuutta ei ole, riittää että NFC-maksu on päällä ja kännykän vie lähelle lukulaitetta, niin maksu lähtee.

Lähimaksussa kyllä pitäisi se summa näkyä ennen maksamista, ja Suomessa yli 50€ summissa vaatii sen erillisen vahvistamisen. Lähimaksu toimii huonosti (en tiedo toimiiko jossain) niissä luottokortti kohteissa missä lopullinen summa määrytyy myöhemmin, esim Hotellit missä kokonais summaa ei tiedetä kortti maksupäätteelle laittaessa.

Korttimaksuissa ei ole alunalkaenkaan pyritty täydelisyyteen virheettömyyteen, vaan käytettävyyteen, kustannus tehokkuuteen. Olet kuitenkin osittain asian ytimessä, jos korttiyhtiöt yrittää siitää vastuuta käyttäjälle, niin se vaatisi se että käyttäjä voisi turvallisesti käyttää. Eli tuo PIN koodin käyttö, sillä pankit ja korttiyhtiöt ovat sysänneet vastuun lähtökohtaisesti käyttäjälle, vaikka perus moka olisi ollut muualla ja jäänyt vahvasti käyttäjän vastuulla todistaa virhe.

 

[Pakana]

Mitä tuossa tarkoitat "tunnistautumisella", y-tunnus yksilöi sitä firmaa , eli nimi ja y-tunnus on usein ihan hyvä yhdistelmä monessa tilanteessa, niitä nimiä vo olla monia, ja ne voi välillä muuttua ja samalla puhenimellä voi olla useita eri y-tunnuksia. asiayhteydestä riippuen voi sitten olla kustannuspaikkoja, muita viitteitä.

Siis ihan samalla tavalla kuin teleoperaattori saattoi puhelimessa tunnistaa yksityisasiakkaansa sillä että se tietää henkilötunnuksen, niin yritys tunnistettiin y-tunnuksella. Siis periaatteessa kuka tahansa joka sattuu tietämään yrityksen y-tunnuksen pystyi tekemään esim liittymäsopimuksen muutoksen, aivan kuten yksityisasiakkailla - sillä erolla että henkilötunnuksia ei voi julkisesta palveluksesta tarkistaa.

En tiedä toimivatko ne todellakin edelleen noin urpolla tavalla, mutta mä olen noinkin vahvalla tunnistautumisella vaihtanut firman puhelinliittymien tyyppiä. Tuolla nyt ei toki mitään ihan valtavaa vahinkoa saa aikaan, mutta en tiedä miten ne olisivat esimerkiksi liittymän lopetukseen tarvittavan valtuuden todentaneet..

 

[pulatunnus]

Siis ihan samalla tavalla kuin teleoperaattori saattoi puhelimessa tunnistaa yksityisasiakkaansa sillä että se tietää henkilötunnuksen, niin yritys tunnistettiin y-tunnuksella. Siis periaatteessa kuka tahansa joka sattuu tietämään yrityksen y-tunnuksen pystyi tekemään esim liittymäsopimuksen muutoksen, aivan kuten yksityisasiakkailla - sillä erolla että henkilötunnuksia ei voi julkisesta palveluksesta tarkistaa.

No yrityksen tunnistaa y-tunnuksella, mutta se nyt eriasia kuin sen henkilöntunnistaminen. Se sitten jo kauan sitten vaihdellut yrityskohtaisesti että kuka voi tehdä muutoksia yrityksen sopimuksiin.

En tiedä toimivatko ne todellakin edelleen noin urpolla tavalla, mutta mä olen noinkin vahvalla tunnistautumisella vaihtanut firman puhelinliittymien tyyppiä. Tuolla nyt ei toki mitään ihan valtavaa vahinkoa saa aikaan, mutta en tiedä miten ne olisivat esimerkiksi liittymän lopetukseen tarvittavan valtuuden todentaneet..

Siis koska olet vaihtanut jonkin random firman random liittymän tyyppiä, sanomalla y-tunnuksen ja liittymän minkä tyypin haluat vaihtaa. Se onko se onnistunut liittymän haltijalta on ollut firmakohtaista, ja joissain firmoissa vähemmän yllättäen pienetkin muutokset ovat olleet ja ovat edelleen vain harvoille mahdollisia ja tunnistetaan vahvasti.

Sinänsä on liittymiä missä liittymätyypinvaihto, hinnoittelun paketin muutos, ei iso riski esim haltijan toimesta ilman vahvaa tunnistamista. Jossain toisessa tapauksessa voi olla hyvinkin rajattu keneltä mahdollista.

 

[Pakana]

Siis koska olet vaihtanut jonkin random firman random liittymän tyyppiä, sanomalla y-tunnuksen ja liittymän minkä tyypin haluat vaihtaa. Se onko se onnistunut liittymän haltijalta on ollut firmakohtaista, ja joissain firmoissa vähemmän yllättäen pienetkin muutokset ovat olleet ja ovat edelleen vain harvoille mahdollisia ja tunnistetaan vahvasti.

No en, vaan oman firman liittymiä muuttanut, mutta eivät ne mua sen kummemmin tunnistaneet kuin mitä itse soittaessani esittäydyin nimelläni.