maanantai 26. kesäkuuta 2017

Kansallinen tietoturva paremmaksi pre-paidin tunnistuksella

Suomalainen tietoturva on maailman huippua, mutta parantamisen varaa on aina. Yksi selvä aukko on se helppous, jolla pre-paid-liittymiä voidaan käyttää esimerkiksi identiteettivarkauksissa: uhrin nimissä tilataan tavaraa ja yhteystiedoksi annetaan pre-paid-liittymän numero. Myös pankki hyväksyy turvailmoitusta varten pre-paid-numeron, mikä vesittää koko tekstiviestin hyödyn, sillä yhteys tilin todelliseen omistajaan katkeaa.

Miksei Viestintävirasto voisi pitää rekisteriä, jossa olisi listat operaattorien pre-paid-numeroavaruuksista? Pankeille, vakuutusyhtiöille, verkkokaupoille ym. tarjottaisiin rajapinta, jonka kautta ne voisivat kysyä, onko asiakkaan ilmoittama numero pre-paid.

Kysyjä saisi itse päätellä tiedon merkityksen. Erityisen epäilyttävää olisi, jos tavallinen numero vaihdettaisiin pre-paidiksi ja pian sen jälkeen tulisi iso tilaus. Myöskään 2FA:ta (two-factor authentication) ei pitäisi koskaan lähettää pre-paid-numeroon.

Kokonaan pre-paideja ei voi kieltää, koska niille on myös hyväksyttäviä käyttötarkoituksia. Järjestelmää voisi kehittää niin, että pelkän kyllä/ei -tiedon lisäksi palautuisi tieto siitä, milloin numero on avattu. Mitä pidempään pre-paid on ollut käytössä, sitä turvallisempi se luultavasti on.

Ei ole vaikea toteuttaa, sillä Numpac tarjoaa samantyyppistä palvelua operaattorin selvittämiseen.

Idea on vapaasti kaikkien hyödynnettävissä. Suomi 100 -hengessä eteenpäin!

Lisäys: Tekstiviestin tavoitteena on siis lisätä ylimääräinen varmistus isompien summien siirtoon. Siitä on hyötyä, jos rosvo esimerkiksi pääsee MTM-hyökkäyksellä uhrin ja pankin oikean palvelun väliin, kuten on käynytkin. Fiksumpi rosvo olisi sisään päästyään vaihtanut ensi töikseen puhelinnumeron prepaidiksi tai poistanut koko varmistuksen käytöstä, jolloin uhri ei olisi saanut hälytystä. Ainoa suojakeino on rajoittaa jollain tavalla puhelinnumeron vaihtamista tai esim. vaatia, että uusi numero otetaan käyttöön vasta 24 tunnin kuluttua. Myös ilmoitusviesti vanhaan numeroon numeronvaihdon yhteydessä auttaisi. Tältä osin ongelma on saman tyyppinen kuin postin osoitemuutoksissa, joiden aitoutta on vaikea varmistaa.

Teknisesti ongelma ei ole puhelinnumerossa vaan pankkitunnusten joutumisessa vääriin käsiin, joko varkauden tai esim. MTM-hyökkäyksen vuoksi. Uhri veisaa tekniikasta viis, hänen kannaltaan jokainen uusi suojakeino voi olla ratkaisevan tärkeä. 

15 kommenttia:

Petsku kirjoitti...

Teknisesti on väärin puhua pre-paidistä. Kyllä siihenkin voi omistajan tiedon laittaa kiinni. Pitäisi puhua anonyymeistä numeroista. Esimerkiksi ulkomaalaisilla on vaikeuksia saada maahanmuuttaessa liittymää laskulla, koska luottohistoriaa ei ole.

Anonyymi kirjoitti...

Prepaid, postpaid. Mitä eroa niillä on? Maailmalla etukäteen maksettu puheajallinen liittymä on yleisin. Joissakin maissa prepaid pitää rekisteröidä tai liittymä sulkeutuu. Suomessa prepaidia käytetään usein dataliittymänä internet-yhteyteen ilman puheaikaa mokkuloissa.

Anonyymi kirjoitti...

Eikö pankki voisi soittaa annettuun numeroon ja varmistaa että kyseessä on oikea henkilö?

Pankilla on kohtuullisen paljon mm. historiatietoa, joiden avulla olisi helppo selvittää onko soittaja oikea henkilö. Esimerkiksi Amex on kysynyt vuosien varrella rinnakkaiskortin omistajan nimeä, osatietoja postiosoitteesta ja sähköpostiosoitteesta, jne.

Petteri Järvinen kirjoitti...

Kustannussyistä pankki ei lähde soittelemaan asiakkaille, sitä paitsi maksut voivat tapahtua virka-ajan ulkopuolella. Järjestelmän pitää olla automaattinen. Verkkokaupoissa vielä suurempi ongelma, on suhteellisen helppoa tilata tavaraa toisen nimellä ja antaa ytheystiedoksi prepaid-numero. Monet tunnetut verkkokaupat pyrkivät tekemään ostamisen mahdollisimman helpoksi turvallisuuden kustannuksella, maksavat mieluummin luottotappioita eikä niitä haittaa, vaikka syyttömät maksavat oston helppoudesta luottotietojensa menettämisellä.

Tapz kirjoitti...

Ihan käyttökelpoinen ajatus. Ei tarvita muuta rajapintaa, kuin tiedosto, jonka voi säännöllisesti hakea tietystä urlista.

Anonyymi kirjoitti...

Muualla prepaidin rekisteröintiä toteuttavat maat ovat valtaosin totalitarisia, kuten Thaimaa, Kiina, Venäjä. Jos blogistin tarkoituksena on kasvattaa seurantaa pakottamalla prepaidin tunnistautumiseen ja rekisteröintiin, niin en kannata. Usein tällaista pakkoa ajetaan terrorismin uhan varjolla. Prepaid-kortilla kun kuulemma voi kaukolaukaista pommeja.

Yksityisyys on minusta yhtä tärkeää kuin tietoturva. Molemmat voidaan toteuttaa luopumatta yhdestä.

Zarr kirjoitti...

Fiksumpi rosvo olisi sisään päästyään vaihtanut ensi töikseen puhelinnumeron prepaidiksi tai poistanut koko varmistuksen käytöstä, jolloin uhri ei olisi saanut hälytystä

Missä palvelussa pystyy vaihtamaan 2FA:n toista komponenttia ilman 2FA:n käyttöä eli sekä vanhan että uuden numeron/osoitteen tulee olla käytettävissä tai sitten pitää tunnistautua muulla tavalla (esim. jos vanha numero ei ole käytössä). Onko yhtään esimerkkiä tällaisesta?

Markus kirjoitti...

En oikein ymmärrä, mitä turvallisuutta se parantaa. Vaikka terroristilla olisi post-paid laskuliittymä, se voi kuitenkin aina soittaa silläkin liittymällä käskyn että "pommita se"... Ei siihen auta mikään niin kauan kunnes kaikkia puheluita kuunnellaan. No juu vaikka puheluita kuunneltaisiinkin, ei silti auta. Sitten taas unohtuu myös bulvaanit. Eihän rikolliset prepaidejakaan käytä, vaan kolmannen osapuolen henkilötiedoilla varustettuja liittymiä. Nämä kolmannet osapuolet saa sitten säännönmukaisen kossupullonsa. Prepaidejakin kun voi kuitenkin seurailla alueittain niin, että niiden numerot ovat tiedossa (tätä tehdään jo nykypäivänä). Täytyyhän liittymän kuitenkin tukiasemaan aina kytkeytyä. Eli suuri hämäys tapahtuu jo nyt, hämäämällä henkilötietoja.

On selvä, että jotain pitää tehdä henkilötietojen väärinkäytöksille toisten nimillä tilaamiseen siis. Mutta tämä ei toimi niin, että käydään kuluttaja-asiakkaiden ja näiden palvelujen kimppuun. Kyllä näissä pitää käydä palvelujen myyjien kimppuun... Ensinnäkin suomessa SOTU ei edelleenkään ole autentikointikeino. Eikä kyllä postimyyntikatalogiin riipustetut tekstitkään. Tämä vain ei mene firmojen kaaliin ei sitten niinku millään ilveellä. Tämä siis pitää saada menemään firmojen kaaliin. Kun kerran on varaa sirumaksupäätteeseen, pitää olla varaa myös niihin kymmensenttisiin mitä vahvan tunnistautumisen keinot tarvitsevat... Se toimii yksinkertaisesti niin, että firmat ovat itse vastuussa, jos lähettävät tavaraa asiakkaalle ilman vahvaa tunnistautumista. Asiakkaan ei asian eteen tartte tehdä mitään... Nyt ongelmat tulee olemaan asiakkailla joiden pitää todistella ja nähdä hirveää vaivaa. Eli siis ASIAKAS tekee kaiken työn sen vuoksi kun firmat ovat laiskoja...

Pitää siis ottaa viron malli käyttöön. Jokaisella kansalaisella on henkilökortti pakollisesti, joissa on kaksi eri koodia. Toinen on henkilöautentikointi-koodi ja toinen on kaupan käynti koodi... Sillä koodilla sitten vahvistetaan kauppatapahtumat.

Tämä onnistuu jo suomessakin vahvoilla tunnistautumismenetelmillä (pankit/mobiilivarmenne). Ei sitä korttia enää mihinkään tarvita, nykymaailmassa sekin on jopa vanhentunut.

Prepaidjutun voi unohtaa samantien. Niitä kun saa joka tapauksessa ulkomailta ja bulvaanit on jo niin yleisesti käytössä että ei auta mitään.

Osmo kirjoitti...

Kaikilla nyt vain erinäisistä syistä ole laskutusliittymää, eikä se mitään turvallisuutta lisäisi. Jos järjestelmä sallii numeron vaihdon ennen laskua ei se ole minkään arvoinen. Tuo vaihto taitaa edellyttää erillisen avainkoodin.

Minä en halua mitään henkilökorttia, joka on avoin valtakirja pinkoodin kaappaajille Tupas-tunnuksilla ei voi ainakaan tehdä ylimääräisiä toimintoja? Muutenkaan kortit eivät ole tätä päivää, kun pelataan älypuhelimilla.

Preapaid voi myös usein olla turvallisuuslisä. Porukalta in kaapattu Googletilejä menemällä operaattorin pisteeseen hakemaan uusi SIM ja sitten muutamalla sillä salasana.

Anonyymi kirjoitti...

"Kokonaan pre-paideja ei voi kieltää, koska niille on myös hyväksyttäviä käyttötarkoituksia."

Prepaidien kielto vaikuttaisi haitallisesti kilpailuun ja bisnekseen. Jo nyt monilla on dual-sim-puhelin, jotta voi aina käyttää sitä operaattoria, jonka data tai puhe on tarjouksessa. Kilpailu ja alentuneet hinnat ovat aina toivottavaa kehitystä.

Prepaid-nettiliittymät ovat hyvin kilpailukykyisiä ja houkuttelevia hinnoiltaan. Kodissa voi olla kiinteä linja, mutta silti useita mobiililaitteita, joita varten ei haluta kuukausimaksullista tai määräaikaista liittymää.

Terrorismi tai rikollisuus on aina peruste kaventaa yksityisyydensuojaa, vaatia lisäresursseja ja -oikeuksia verkkovalvontaan tai helpotuksia massaurkintaan. Todelliset syyt ovat usein muualla. Viranomaiset ovat kiinnostuneita kansalaisista yleisesti ja haluavat tietää kuka mitäkin julkaisee, puhuu, viestii tai ajattelee.

Vain aniharvoin kiristyksillä saavutetaan toivottua tarkkuutta osua kohderyhmään, joksi rikollisuutta väitetään.

Prepaidien kielto osuisi sen sijaan kovimmin niihin, joilla ei ole halua tai mahdollisuutta laskutusliittymää omistaa. Mikä on ehkä taka-ajatuksena muutenkin, koska kasvavan eriarvoisuuden vastapainoksi turvakoneiston on valmistauduttava levottomuuksiin.

Minulle tuli vaikutelma, että blogisti ei ole prepaidia juurikaan käyttänyt ja näkee etukäteen maksetun liittymän haltijoiden kuuluvan eri sosiaaliseen ryhmään, jonka heikennykset eivät osu omaan nilkkaan.

Petteri Järvinen kirjoitti...

blogisti ei ole prepaidia juurikaan käyttänyt ja näkee etukäteen maksetun liittymän haltijoiden kuuluvan eri sosiaaliseen ryhmään, jonka heikennykset eivät osu omaan nilkkaan

Ei tässä ole kyse heikennyksistä vaan turvallisuudesta. Oletan, että sinä anonyyminä et ole joutunut nettihuijauksen, identitettivarkauden ym. uhriksi. Niissä käytetään aina prepaid-liittymää. On helppo puhua vapauden ja anonymiteetin puolesta, kunnes joutuu itse rikoksen tai häirinnän uhriksi.

Anonyymi kirjoitti...

Kaikki perheeme viisi liittymää ovat prepaideja. Niissä on useita hyviä puolia:
- myyntimiehet eivät soittele niihin
- lapsella on koulussa mukana puhelin yhteydenpitoa varten, ei tule kuin parinkympin tappio jos se häviää tai varastetaan kun ennaltamaksettua summaa enemmän sillä ei pysty soittelemaan eikä tilaamaan
- jos soittelee harvoin niin käytännössä vuodessa liittymän kustannukset on 10 euron luokkaa (liittymä vanhenee vuodessa jos ei osta lisää puheaikaa)
- datakäytössä, jos on esim varalla joku kannettava matkoja varten, voi maksaa datasta vain niiltä kuukausilta kun sitä tarvitsee

Anonyymi kirjoitti...

Norjassa prepaidin saa vain henkilötunnusta yms. vastaan. Ihan naapurimaasta siis löytyy hyvä esimerkki, ei tarvitse edes mennä kaukaisiin totalitäärisiin maihin...

Markus kirjoitti...

"Ei tässä ole kyse heikennyksistä vaan turvallisuudesta. Oletan, että sinä anonyyminä et ole joutunut nettihuijauksen, identitettivarkauden ym. uhriksi"...

Petteri Järvinen. Kyllä tässä on kyse heikennyksestä. Alin sosiaaliluokka suomessa kun ei SAA laskuliittymää. Suomessa on tällä hetkellä 372 800 (lähde eilinen keskisuomalainen) ihmistä keillä on maksuhäiriömerkintä! Näille vaihtoehtona on joko repiä jostain melkein viidensadan euron vakuusmaksu operaattorille - jota köyhällä ei ole, tai prepaid etukäteen maksettu liittymä. Millä vähävaraiset luottotiedottomat asiansa sitten hoitavat? Nykyisin sossukin toimii netissä! Pitää sieltä kelan sivuilta hakea toimeentulotuki. Sekä työttömyysetuudet yms.

Hersyviä yksityiskohtia suomalaisesta sosiaaliturvasta. Toimeentulotuen nk. perusosan päälle maksetaan tiettyjä kuluja. Käteen jäävä perusosa on inan vaille viisisataa euroa. Tähän päälle maksetaan esimeriksi kohtuulliset asumiskulut, sähkö, vesi ... ja öh SAUNAMAKSU... Mutta ei internet-yhteyttä, eikä puhelinyhteyttä. HOX. Jostain syystä nämä maksetaan kuitenkin maahanmuuttajille? Näitä ei siis makseta suomalaisella köyhälle. Mutta nämä maksetaan kotoutumispaketissa maahanmuuttajille. Nämä kun eivät voi mitenkään pärjätä ilman yhteyksiä kotopuoleen ja millä asioitakaan sitten hoitaa?

NIIN Kuten jo pääsin kirjoittamasta. Kuitenkin suomalaisenkin kaikki asiointi on nykyisin siirretty nettiin, kuten esimerkiksi tämän sosiaaliavustuksen saanti. Joka kylässä ei ole kelan konttoria toisin kuin viime vuonna oli "sossu". Silti sitä ei makseta perusosan päälle, vaan se pitää itse maksaa...

Ehkä nyt olisi Petteri parempi miettiä uudemman kerran, onko se TURVALLISUUS nyt tärkeämpää, kuin vähävaraisten saada ruokaa pöytään? Kuitenkin näitä identiteettihuijauksia tapahtuu tyyliin satoja. Kun kuitenkin puhutaan satojentuhansien ihmisten nykyisin jo välttämättömästä kommunikointikeinosta ulkomaailmaan. Siis ihan jo välttämättömästä.

Vai miten meinaat nykyisin hakea työttömänä töitä, jos sinulle ei ole puhelinta? "Ota työnantaja yhteyttä kirjeitse, jos minut valitaan". Ei taida ottaa?

Ja vielä kerran. Luottohäiriömerkintäinen ei saa laskulla oikeastaan yhtään mitään. Niin vuokra-asunnon hankkiminen on toivotonta - kuin laskullisen puhelin/nettiliittymän...

Ennemmin tässä pitäisi ajaa asiaa, että kohtuulliset internet-kulut tulisi SUOMALAISILLEKIN perusturvaan kuuluviksi. Kun ironisesti se perusturva kuitenkin pitää HAKEA näillä välineillä... Eikä siis vain niin, että tämä on vain maahanmuuttajille välttämätön...

Pikku vinkkinä. Ottakoot vaikka sen turhan saunamaksun pois... Saunominen ei ole välttämätöntä...

Ja toinen vinkki. Ehkä olisi syytä laskeutua pilven reunalta tänne tavallisten kuolevaisten joukkoon. Tuon tyylinen "ei se mitään heikennä" lausunto antaa tietynlaisen kuvan sinusta ihmisenä... Kaikilla meillä kun ei ole lentokoneita...

Anonyymi kirjoitti...

Turvapaikanhakija saa paljon pienempää vastaanottorahaa.

"Vuonna 2016 vastaanottorahan määrä kuukaudessa on yksin asuvalla ja yksinhuoltajalla 314,91 euroa, ateriapalvelut tarjoavassa vastaanottokeskuksessa 92,30 euroa. Muilla yli 18-vuotiailla tuki on kuukaudessa 266,04 €, ateriapalvelut tarjoavassa vastaanottokeskuksessa 76,01 euroa. Perheensä kanssa asuvalla lapsella määrä kuukautta kohden on 200,89 euroa, ateriapalvelut tarjoavassa vastaanottokeskuksessa 59,72 euroa."

Oleskeluluvan saanut työtön maahanmuuttaja saa työmarkkinatukea, joka on sama kuin kaikilla työmarkkinatuelle pudonneilla suomalaisilla. Entinen kotoutumistuki muuttui työmarkkinatueksi tammikuussa 2015.

Hallitus kaavailee maahanmuuttajille "uutta" kotoutumistukea, joka olisi selvästi alempi kuin työmarkkinatuki (32,40 viitenä päivänä viikossa tällä hetkellä).

"Työtöntä maahanmuuttajaa aiotaan tukea kymmenen prosenttia pienemmällä peruspäivärahalla kuin suomalaista. Kotoutumistuesta voi pienimmillään jäädä käteen 500 euroa kuukaudessa. Työmarkkinatukea alempi kotoutumistuki on tarkoitus ottaa käyttöön ensi vuonna."

Toimeentulotukea maksetaan kaikille samoin perustein, niin suomen kansalaisille kuin maahanmuuttajillekin.

Turha tehdä tästä prepaidin tunnistautumisesta ja rekisteröinnistä maahanmuuttokysymystä.