Tekoäly tekee CSAM-aloitteesta entistä pelottavamman

Viime vuonna torpattiin Unkarin ajama CSAM-aloite, joka velvoittaisi operaattorit seuraamaan asiakkaidensa keskinäistä viestintää ja tunnistamaan sieltä lapsipornoa. Lopulta EU-aloite kaatui, mutta nyt Tanska ajaa sitä jälleen Uutuutena mukaan on tullut tekoäly. Sen pitäisi tunnistaa niitäkin kuvia, mitä yksinkertainen kuvasta laskettu tiivistefunktio ei tavoita.

Aloite on edelleen järjetön ja valheellinen. Se ei vaikuta lainkaan aineiston levittämiseen pimeästä verkosta, kuten Tor-verkosta. En tiedä, kuinka paljon ihmiset lähettävät laittomia kuvia tai videoita toisilleen, mutta epäilen, ettei se ole suurin ongelma.

Lisäksi valvontaa olisi helppo kiertää. Kuvia ja videoita voi helposti pakata uudelleen, jolloin mikään tiivistelista ei pysy perässä. Lisäksi operaattorien pitäisi purkaa jokainen pakattu tiedosto varmistaakseen, mitä sen sisällä on. 

Aiheuttaisi hurjan kuormituksen palvelimille ja olisi täysin turhaa, sillä tiedostoja voi myös salata, ja silloin mikään operaattorin seula ei tartu niihin. Ainoa keino EU:lta olisi kieltää kaikkien salausohjelmien käyttö, mikä on tietenkin mahdoton tie.

Tekoälyä pidetään jonkinlaisena taikasanana, joka ratkaisee kaikki it-ongelmat. Todellisuus on ihan muuta. Tekoäly ei pysty massiivisessa mittakaavassa erottamaan laillisia kuvia ja videoita laittomista. Hyviä esimerkkejä saa vaikka Facebookista, joka vähän väliä blokkaa ja poistaa käyttäjätilejä, koska tekoäly on virheellisesti arvioinut niiden loukkaavan yhteisönormeja. Laittomia huijausmainoksia mikään tekoäly ei näytä torjuvan.

On ihmeellistä, että EU jälleen kerran edes harkitsee monta kertaa torjuttua CSAMia. Todellinen motiivi lieneekin voida jatkossa tunnistaa terroristeja ja ehkä muitakin rikollisia heidän viestintänsä perusteella. Tällä hetkellä ei ole tarvetta ryhtyä näin äärimmäisiin toimiin. 

Voi myös miettiä, miten hyvin GDPR toteutui. Valtava hallinnollinen taakka ja isoja sakkoja. Tietosuoja on epäilemättä parantunut, mutta kansalaiset käyttävät edelleen amerikkalaisia palveluita eikä tietosuojasta ole tullut kilpailuetua eurooppalaisille yrityksille. Syy korostaa kybersuvereniteettia liittyy kansalliseen turvallisuuteen, ei tietosuojaan.

GDPR:n oheisvahinkona saimme myös ärsyttävät ja itseään vastaan kääntyvät evästekyselyt jokaisella nettisivulla. Mitähän vastaavaa CSAM-tunnistus tuottaisi, jos EU erehtyisi hyväksymään sen?

Videoiden digitointi herättää muistot eloon

Olen vuosien aikana käyttänyt melkein kaikkia videoformaatteja, halunnut aina olla kehityksen kärjessä ja kuvata arkea mahdollisimman hyvällä tekniikalla. Erilaisia videokasetteja on kertynyt monta laatikkoa: ensin analoginen Video 8, sitten sen S-versio Hi8, sitten digitaalinen DV ja sen HD-versio HDV, kunnes nyt sitten viime vuosina lähinnä puhelimilla kuvattuja HD- ja 4K-videotiedostoja. Unohtamatta tietenkään VHS-kasetteja, joille aikoinaan nauhoitettiin televisiosta sarjoja ja elokuvia.

Suurimman osan videoista olen digitoinut tietokoneen levylle jo aiemmin, eikä se koskaan ole sujunut ihan helposti. Jos haluaa päästä vähällä, vie koko laatikon valokuvausliikkeeseen ja odottaa, kunnes he palauttavat videot USB-tikulla. Hyvälaatuisen digitoinnin tekeminen vaatii kuitenkin hyvät laitteet, analogisilla nauhoilla mielellään myös keinotekoista kuvan parantamista. Hinta voi olla 30-50 euroa/kasetti tai enemmänkin.

Tuorein projektini oli loppujen DV-kasettien siirtäminen. DV oli käytössä vuosituhannen vaihteen molemmin puolin. Se on kiitollinen digitoitava, sillä kuva on jo valmiiksi digimuodossa, ruutu kerrallaan pakattuna. Säästin aikoinaan yhden pöytäkoneen, jossa oli Firewire-kortti. Kaikeksi onneksi DV-kamera toimi vielä. Ohjelma komentaa kameraa ja kuva siirtyy DV-koodekilla pakatuksi AVI-videotiedostoksi. 

Sen verran aikaa oli jo kulunut, että piti katsoa omasta kirjastani, miten siirto tehdään. Ja sehän oli helpompaa kuin muistinkaan, sillä Windowsin MovieMaker hoitaa homman melkein automaattisesti. 

Tunnin kasetista tulee n. 13 gigatavun tiedosto. Aikoinaan hurja luku, nykylaitteille pelkkä suupala. Mutta kun kasetteja on paljon, tuloksena on satojen gigatavujen verran tiedostoja, joiden käsittely ja varmuuskopiointi vaatii aikaa ja kärsivällisyyttä. Itse luen kasetit ensin alkuperäisinä DV-koodattuina tiedostoina ja pakkaan ne sitten uudelleen h.264-koodekilla MP4-tiedostoiksi, jotka näkyvät kaikilla katseluohjelmilla.

Moderneja pakkausmenetelmiä on käytännössä kolme: h.264, h.265 ja h.266. Kokeilussa huomasin, että h.264 pudottaa oletusarvoilla tiedoston koon noin 500 megatavuun eli 1/25 alkuperäisestä. H.265 tiivistää noin 1/35 ja H.266 noin 1/40. Pakkaus on kuitenkin huomattavasti hitaampaa ja tiedostot huonommin yhteensopivia. 

Käytännön vinkki: kelaa kasetti ensin alusta loppuun ja sitten takaisin. Näin nauha pääsee kulkemaan vapaammin ja analogisessa tallennuksessa signaalin kopioituminen kerrokselta toiselle vähenee. 

Vaikka kasetit olivat seisseet 25 vuotta hyllyssä, niiden sisältö oli täysin luettavissa ja vain siellä täällä oli muutama häiriökohta. Digikuva ei haalistu pitkässäkään säilytyksessä.

Youtube-ohjeissa neuvottiin käyttämään usb-porttiin liitettävää analogista Elgato-laitetta, arvo noin sata euroa. Suora lukeminen Firewirellä antaa paremman kuvan, ja ohjelma pystyy ohjaamaan kameran toistoa.

Paremmuus on suhteellista. Videoiden kanssa huomaa, miten valtavasti tekniikka on kehittynyt. Video 8 on ihan kuraa verrattuna DV-tasoon, joka sekin näyttää säälittävältä nykyisillä 4K-monitoreilla. Elävän kuvan näkeminen kuitenkin palauttaa omat muistot ja siksi huonompikin laatu riittää.

Seuraavat kuvat on kaapattu VLC-katseluohjelmalla. Kuvanlaatua on vaikea vertailla, sillä myös valaistus vaikuttaa kohinaan ja suljinaikaan. Pysäytyskuva on armoton, koska se paljastaa myös lomituksen ja suljinajan vaikutuksen.

Video 8 (1991).

Hi8 (1993, Valkoinen talo).

DV (2004).

HDV (2006, Boston).

AVCHD HD-tarkkuus (2012).

AVCHD 4K-tarkkuus (2024, Toulousen ilmailumuseo).

Heikkolaatuisesta kuvasta näkee, että tapahtumat ovat vanhoja. Miten mahtaa käydä nykyisillä 4K-videoilla, joita tulevaisuuden lapset katsovat? Niiden laatu on niin hyvä, ettei eroa todellisuuteen ole helppo havaita. Menneisyys sulautuu nykyhetkeen. 

Sikäli kun nykyiset puhelinvideot edes säilyvät. Paradoksaalista kyllä, vanhat kasetit olivat helpompia säilyttää ja kasetille mahtui koko joulu tai kesäloma. Nykyisillä välineillä jokaisesta otoksesta syntyy itsenäinen tiedosto, joka monella unohtuu puhelimeen ja häviää sen mukana. Jos maksaa pilvestä, tiedostot säilyvät paremmin, mutta sielläkin alustat vaihtuvat eikä videoita ole helppo löytää kaiken muun datan keskeltä.

Lapsen kasvu, juhlapyhät, kesälomat ja syntymäpäivät ovat videoinnin pakkopullaa. Niitä on tylsää katsoa vuosien jälkeen. Itse pidän tavallista arkea paljon kiinnostavampana. Miltä esineet, koti ja naapurusto näyttivät? Miltä autot ja ihmiset, liikennejärjestelyt ja tiet?

Kannattaa kuvata huippuhetkien lisäksi myös tavallista arkea. Se on niin tavallista, että huomaamme arvon vasta vuosien päästä.

Vielä ideoita verkkopankin tietoturvan kehittämiseen (4)

Tämä on neljäs ja tällä erää viimeinen kirjoitukseni todennuksen ja verkkopankkien turvallisuudesta. 

Pistää vihaksi, että huijarit tyhjentävät vanhusten elinikäiset säästöt, eikä kukaan voi tehdä mitään. Tuoreen Ylen uutisen mukaan poliisi saa 200-500 ilmoitusta kuukaudessa kalasteluista, joissa menetetään 2-4 miljoonaa euroa.

Tuore esimerkki on Kokkolasta, jossa 88-vuotiaan lääkärin tililtä vietiin 88 409,09 euroa. Uhri oli erehtynyt syöttämään S-pankin tunnukset kalastelusivulle, jolloin rosvot saivat asennettua verkkopankin omaan puhelimeensa ja tyhjensivät tilin yön aikana yli sadalla erillisellä siirrolla. Eikä pankki huomannut mitään.

Uuden päätelaitteen käyttöönotto ja heti seuraavana yönä tilin tyhjentäminen on niin selvä merkki rikoksesta kuin vain voi olla. Sen tunnistamiseen ei tarvita edes tekoälyä, muutama IF-lause riittää. Jos pankin valvonta ei  havaitse näin räikeää tekoa, pankki on itse toiminut huolimattomasti.

Miksi uhri hyväksyi rikollisten tunnistuspyynnön? Hän oli samaan aikaan itse asioimassa verkkopankissa, jolloin huijauspyynnöt sekoittuivat aitoihin kuittauksiin. Tällainen moka voi sattua kenelle tahansa.

On helppo neuvoa pankkeja ja vaatia niiltä parempia suojauksia tai tekoälyn tehokkaampaa käyttöä. Teknisten muutosten tekeminen pankin järjestelmiin on kuitenkin iso ja raskas operaatio. Muutokset tuottavat aina vääriä hälytyksiä ja kuormittavat asiakaspalvelua. Siksi pankit pyrkivät viimeiseen asti ratkaisemaan ongelmat sisäistä valvontaa tehostamalla. Se ei vain näytä riittävän.

Huijaukset ja niiden yritykset kuormittavat jo nykyisellään raskaasti pankkien asiakaspalvelua. Lisäksi parempien suojausten tarjoaminen, vaikka asiakkaat eivät niitä ottaisikaan, olisi pankeille keino välttää omaa vastuuta tyyliin ”me tarjosimme kyllä tällaista viivästettyä tilimuotoa/turvatiliä, mutta asiakas ei sitä ottanut”. Operaattorit ovat tehneet turvallisuudesta kilpailuedun, pankkien pitäisi toimia samoin.

Olen esitellyt lukuisia ideoita turvallisuuden parantamiseen: viivästetyt siirrot, hyväksynnän vaatiminen uhrin sijaan luottohenkilöltä, ulkomaanestot, toimintaan kytketyt värit ja äänimerkit, puhelinsoiton vaatiminen asennettaessa mobiilipankkiohjelmaa uuteen päätelaitteeseen, pankkien yhteinen 24/7 puhelinpalvelu ja niin edelleen. Näitä voisi keksiä lisääkin, jos pankit kertoisivat, miten onnistuneet huijaukset tapahtuvat. Turvallisuuteen ja yksityisyydensuojaan vedoten tapauksia ei avata, joten tiedollinen ylivoima ja velvollisuus toimia jää niille itselleen. Me ulkopuoliset voimme vain spekuloida.

Spekuloidaan siis. Voisiko pankkitunnusten protokollaan jotenkin lisätä tiedon siitä, mistä ip-osoitteesta yhteys on lähtenyt tai mihin url-osoitteeseen se liittyy? Pankkitunnusten luvallisilla hyödyntäjillä pitää olla sopimus pankin kanssa, koska he maksavat jokaisesta tunnistamisesta. Auttaisiko tämä tunnistamaan kalastelusivuja? 

Myös käyttäjällä on vastuu rahojensa turvallisuudesta. Miksi ihmiset seisottavat isojakin rahasummia tavallisilla tileillä, jotka on helppo yhdistää ja siirtää ulos? Mikään siirtoraja tai ulkomaanesto ei auta, jos asiakas voi itse asettaa ja rosvo yhtä helposti poistaa sen. Pakollisen aikaviiveen lisääminen näihin ei olisi pankille vaikeaa.

Vaarassa ovat varsinkin vanhemmat ihmiset, joille on kertynyt eläkesäästöjä. Mikä olisi sellainen turvatili, johon varat voisi siirtää ilman pelkoa tyhjennyksestä? Kaikki eivät halua sijoittaa säästöjään osakkeisiin tai rahastoihin, joiden arvo voi myös laskea. Rahojen palautus turvatililtä kestäisi esimerkiksi kolme pankkipäivää, mikä oli pankin oman edun mukaista.

Voisiko pankki oma-aloitteisesti tarjota turvatiliä iäkkäämmille asiakkailleen, joilla on esimerkiksi yli 10 000 euroa tilillä? Tai voisiko osan tavallisen käyttötilin varoista jäädyttää niin, ettei uhri itse voisi tyhjentää kaikkia varoja, ei edes usealla pienellä siirrolla? Jonkinlainen minimisaldon vaatimus, siis. Tässäkin olisi tuotekehityksen paikka.

("Turvatili" -nimitys on tässä tarkoituksella, mutta sekaannusvaaran vuoksi pankin ei itse kannata nimetä turvatiliään juuri näin.)

< Edellinen kirjoitus

Mobiilivarmenne pankkitunnuksilla on riski ja käytettävyys kaipaa muutenkin kohentamista (3)

Tietoturvaviranomaiset suosittelevat mobiilivarmenteen käyttöä asiointipalveluihin ja pankkitunnusten rajoittamista vain pankkikäyttöön. Ajatus on hyvä, mutta silloin mobiilivarmenteen soisi olevan pomminvarma ja kaikissa tilanteissa helppokäyttöinen. Vielä ei olla sillä tasolla.

Hyvä puoli on, että sim-kortilla oleva varmenne toimii käyttöjärjestelmästä riippumatta ja jopa vanhalla Nokian peruspuhelimella. Sitä ei tarvitse - eikä voikaan - päivittää. Huono puoli on, että toiminta Android-maailmassa voi vaihdella valmistajasta riippuen. Esimerkiksi oma Android-puhelimeni ei näytä tapahtumatunnistetta lainkaan.

Suomessa varmenteen teknisestä toteutuksesta vastaa Telia, jonka palvelua DNA ja Elisa myyvät myös omiin liittymiinsä. Peruskäyttäjä hämmentyy nähdessään toisen operaattorin kirjautumisaikkunan asioidessaan. Ehkä samasta syystä johtuvat myös ajoittaiset virheilmoitukset. Pankkitunnusten etuna on se, että ne toimivat pomminvarmasti - onhan kyse pankkien omista rahoista (no, pankkien palveluissakin on katkoksia, mutta syy ei ole tunnistamistekniikassa).

"Odottamaton virhe" - tätä ei pankkitunnuksilla tapahdu.

Edullisiin Moi-liittymiin tai prepaid-liittymiin mobiilivarmennetta ei saa lainkaan. Telian omissa Dot-liittymissä ei puolestaan toimi mobiilivarmenteen häiriönestokoodi.

Niin, häiriönestokoodi. Sen asettaminen on tarpeettoman hankalaa. Telian ohjeen mukaan koodi asetetaan tekstiviestillä numeroon 15011 ja avainsanalla ESTO. "Koodi voi olla 3–10 merkkiä pitkä numeroista ja kirjaimista koostuva jono", mutta jättää avoimeksi ovatko numerot pakollisia. Ääkköskielto on ymmärrettävä.

DNA:n mobiilivarmenneohje neuvoo asettamaan estokoodin nettisivulta mobiilivarmenne.dna.fi. Tässä  ohjeessa "Koodin tulee alkaa kirjaimella ja sen pituus voi olla 4-8 merkkiä. Loput merkit voivat olla kirjaimia tai numeroita. Isot ja pienet kirjaimet huomioidaan." - öh, siis mitä? Ovatko numerot pakollisia vai eivät? Onko isoilla ja pienillä kirjaimilla eroa? (Ilmeisesti ei)

Elisan liittymissä häirinnänestokoodin "tulee olla 3-16 merkkiä pitkä. Ensimmäisen merkin tulee olla kirjain, ja koodin tulee sisältää myös numeroita". Tämä teksti näkyy puhelimen asetuksissa. Hämmentävästi numeroita ei ole pakko syöttää, mutta silloin estokoodi ei vain toimi. Mitään  tarkistusta ei ole eikä virheilmoitusta tule.

Elisan ohje kertoo lähettämään tekstiviestin "STKSPAM koodi" numeroon 18258. Koodin voi asettaa myös puhelimesta, Android-puhelimissa on sitä varten Elisa-niminen sim-kortin palvelujen hallintasovellus. 

Elisan sim-palvelujen hallintasovellus.

iPhone-puhelimissa se löytyy (jos vain osaa etsiä) puhelimen sim-asetuksista Mobiilidata > SIMit ensisijainen > SIM-sovellukset > Tunnusluvut > Häirinnänestokoodi ja sen jälkeen joko Aseta estokoodi tai Poista estokoodi. Vastaava asetuspolku pitäisi olla myös Android-puhelimissa, mutta omista malleistani en sitä löytänyt.

iPhonen SIM-sovellukset asetusvalikosta pääsee Tunnuslukuihin.

Tunnistusta käytettäessä kirjoitetaan oma puhelinnumero, odotetaan kunnes palvelu tarkistaa onko sim-kortilla käytössä estokoodi, kysytään sitä, syötetään se ja lopuksi kirjoitetaan pin-koodi puhelimella. Ei ihme, että nopeammat ja yksinkertaisemmat pankkitunnukset ovat yhä laajassa käytössä.

Mobiilivarmenne on voimassa viisi vuotta kerrallaan. Kun aika umpeutuu, sim-kortti pitää vaihtaa, koska sille voi asentaa vain yhden varmenteen kerrallaan. Varmenteeni vanheni ja se irtisanottiin Elisan liikkeessä, mutta nyt pitää odottaa kaksi viikkoa sopimuksen irtisanomista, ennen kuin uusi varmenne alkaa toimia. Siis kaksi viikkoa ilman tunnistuspalvelua.

Jos tämä on viranomaisten suosittelema tunnistusmenetelmä, se kaipaa vielä hiomista. Ilmeisesti on niin, ettei mobiilivarmennetta juuri käytetä maailmalla ja siksi sen tuki päätelaitteissa vaihtelee, eivätkä suomalaisetkaan operaattorit ole panostaneet siihen ihan täysillä. 

Aiemmin varmenteen käyttöönotto vaati asiointia myymälässä ja henkilöllisyyden varmistamista, mutta nykyisin sen voi aktivoida pankkitunnuksilla suoraan netistä. Tässä piilee iso riski. Jos rikollinen pääsee toimimaan uhrin puolesta pankkitunnuksilla, hän voi aktivoida mobiilivarmenteen omaan puhelimeensa ja sen jälkeen tunnistautua vahvasti uhrin nimissä. 

Varmennetta ei ole sidottu liittymän omistamiseen. Esimerkiksi puoliso voi aktivoida toisen identiteetin omaan puhelimeensa, jos pääsee tunnistautumaan kerran tämän puolesta pankkiin. Perheen sisällä tai lähipiirissä tämä ei yleensä ole ongelma. 

Käyttö on tietenkin laitonta, mutta teknisesti mahdollista. Feikkipuhelimessa on oltava liittymä, jossa varmennetta ei vielä ole. Prepaid-liittymät eivät käy, koska niihin varmennetta ei saa. 

Nordealla pankkitunnistuksen voi itse valtuuttaa uuteen puhelimeen, mutta puhelimet pitää nimetä ja alkuperäinen käyttäjä näkee, että toinenkin päätelaite on valtuutettu käyttäjäksi. Muilla pankeilla saattaa olla eri käytännöt. Myös mobiilivarmenteeseen tarvittaisiin toiminto josta näkisi, mihin sim-kortteihin oma identeetti on asennettu.

Kesällä 2022 S-pankilla oli tietoturvakatastrofi, jossa nuoret miehet pääsivät mellastamaan asiakkaiden tileillä eikä pankki aluksi uskonut saamiaan vikailmoituksia. Samassa yhteydessä tekijät onnistuivat ilmeisesti myös luomaan uusia mobiilivarmenteita ja siten varastamaan muiden identiteettejä. He tyytyivät nostamaan 60 000 euroa lainoja, mutta tilanteessa oli aineksia paljon pahempaankin.

Vahvan tunnistuksen huijaaminen tällä tavalla olisi pitänyt soittaa hälytyskelloja viranomaisissa, mutta jostain syystä asia meni ohi tavanomaisena huijausuutisena.

Lisäys 3.9.2025: Varmenteen päivittämisestä tuli parin päivän operaatio, kun myymälän asiantuntija tai chatin tekninen tuki eivät osanneet auttaa. Tieto 14 vrk odotuksesta oli virheellinen, tietokannan päivittämiseen kuluu normaalisti noin vuorokausi. Lopulta varmenne lähti toimimaan, kun valmis kuusinumeroinen PIN-koodi syötettiin puhelimen omalla Elisa-ohjelmalla eikä ohjeiden mukaan nettisivulta.

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>

Suomalainen digitunnistus sotkee tärkeän periaatteen (2)

Toinen blogiteksti liittyen digiasioinnin turvallisuuteen. 

Yksi syy pankkihuijauksiin on suomalainen digitunnistus, joka sekoittaa kaksi tärkeää periaatetta keskenään: tunnistuksen ja allekirjoituksen. Kaikki kuitataan yhdellä ja samalla PIN-koodilla, mikä avaa mahdollisuuden huijaukseen. Uhri luulee kirjautuvansa vaikkapa Omakantaan, mutta rosvo käyttääkin saamansa tunnistuksen rahansiirtoon tai mobiilipankin asentamiseen uuteen puhelimeen.

Käyttäjän tunnistaminen (todennus) ja toimenpiteen hyväksyminen (allekirjoitus) ovat kaksi aivan eri asiaa. Perinteisessä pankkitoiminnassa asiakas tunnistetaan ensin henkilöllisyystodistuksesta ja sen jälkeen rahojen siirto varmistetaan allekirjoituksella. Harva enää asioi pankissa muutoin kuin korkeintaan lainaa nostamassa, mutta periaate pätee muuallakin. Kauppakirja tai lainasopimus on pätevä vasta, kun se on molempien osapuolten allekirjoittama ja sitä ennen osapuolten henkilöllisyydet on varmistettu. 

Verkkopankin ongelma on siinä, että kaikki hoidetaan pelkällä henkilöllisyyden todentamisella. Perinteiseen tilanteeseen sovellettuna tämä tarkoittaisi sitä, että asuntokaupat voitaisiin tehdä vain todentamalla henkilöllisyys.

Jotta rahojen siirto verkkopankissa olisi turvallista, hyväksyntä pitäisi erottaa käyttäjän tunnistamisesta. Se vaatisi erillistä PIN-koodia tai kokonaan erillistä todennusohjelmaa. On helppo nähdä, miksi pankit eivät ole lähteneet tähän. Kaksi erillistä järjestelmää olisi kallis ylläpitää ja asiakkaan kannalta vaikea muistaa. Turvallisuudesta on tingitty mukavuuden ja helppokäyttöisyyden vuoksi. Se ei aikanaan ollut ongelma, mutta nyt turvallisuustilanne on aivan toinen.

Ironista on, että mobiilivarmenteessa ja varmennekortissa on erikseen allekirjoitus-PIN. Se on oikeaoppisesti pidempi (6-8 numeroa) kuin tavallinen todennus-PIN (4 numeroa), koska sitova allekirjoitus on paljon kriittisempi kuin pelkkä käyttäjän todennus. 

Käsittääkseni mobiilivarmenteen allekirjoitusta ei juuri hyödynnetä, koska varmennetta käytetään asiointipalveluissa lähinnä käyttäjän todentamiseen. Mobiilivarmenteella voi kuitenkin ottaa pikavippejä ja tehdä muita taloudellisia sitoumuksia.

Mitä pankkien sitten pitäisi tehdä? Jos kaksi PIN-koodia tai erilliset ohjelmat ovat liian hankalia, eikö pankin oma todennusohjelma voisi vaikka vaihtaa väriä tai antaa erilaiset äänimerkit riippuen siitä, ollaanko kirjautumassa palveluun (todennus) vai siirtämässä rahaa (allekirjoitus)? Väristä ja äänistä käyttäjä erottaisi tapahtumat toisistaan.

Jätän tämän idean ilmaiseksi pankkien käytettäväksi, enkä tule vaatimaan siitä IPR-oikeuksia. Digiasioinnin ja pankkien verkkotoiminnan turvaaminen on yhteinen asiamme.

---

Havainnollistan tätä vielä. Nykyisellään tilanne on tämä:

Nordea kirjautuminen verkkopankkiin.

Maksun vahvistaminen näyttää erilaiselta, mutta ei kovin paljoa:

Nordea tilisiirron vahvistaminen.

Suunnittelija on epäilemättä ollut tyytyväinen: kirjautumisen ja maksamisen vahvistusikkunat ovat aivan erilaiset. Mutta vanhempi ihminen tai kiireinen keski-ikäinen ei jaksa aina lukea tekstejä, vaan naputtelee tottuneesti PIN-koodin (tai kuittaa ilmoituksen sormenjäljellä, katseella tms. niissä pankeissa, missä se on mahdollista).

Entä jos tilisiirron vahvistaminen olisi vaikka punaisella taustalla:

Entä jos tilisiirron vahvistus olisikin punaisella värillä?

Käyttäjä havahtuisi paremmin, jos rahansiirto olisi eri värillä kuin tunnistaminen. OP-pankilla erot ikkunoissa ovat jo lähtökohtaisesti Nordeaa selkeämmät. 

OP-mobiilikirjautuminen.

Rahansiirron hyväksymisen ikkuna:

"Maksun hyväksyntä" on isolla fontilla, samoin summa näkyy selkeämmin.

Silti myös OP:n maksuikkuna olisi havainnollisempi vaikkapa punaisena:

Maksuvahvistus punaisella.

Selkeyden vuoksi myös kirjautumisikkuna voisi olla värikoodattu jollain toisella värillä.

Uhrin kannalta kaikkein vaarallisin on tilanne, jossa rosvo saa huijattua luvan asentaa mobiilipankin ohjelma omaan puhelimeensa. Sen jälkeen hän saa tilin täydellisesti hallintaansa. Voisiko tässä yhteydessä olla vielä erityinen varoitus - vaikkapa vilkkuva punainen näyttö, joka huutaisi: OLETKO NYT IHAN VARMA MITÄ OLET TEKEMÄSSÄ? On hyvin harvinaista, että mobiilipankki halutaan asentaa uuteen päätelaitteeseen. Voisi jopa vaatia, että siihen haetaan erityinen koodi puhelinpalveluun soittamalla. 

Vielä yksi asia: huomasitko, mikä oli Nordean ja OP:n lähettämä koodi? Et varmaankaan, eihän sitä kukaan katso. Suunnittelija on ajatellut, että tietenkin asiakas vertaa nettisivulla näkyvää koodia Nordean todennusohjelman koodiin (vinkki: se oli XCNL, niinpä tietysti) tai OP:n koodiin (DD88), mutta kuinka moni oikeasti tekee niin?

Miksei koodien sijaan käytetä vaikka avainsanoja, kuten "possu", "lehmä", "kuorma-auto", "viisas"... Ne kiinnittäisivät ihmisen huomion paljon paremmin kuin koodit.

Insinöörin sijaan psykologiaa, sitähän ne huijauksetkin nykyään ovat.

Muokattu 3.9.2025

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>

Mobiilivarmenne ilman häirinnänestokoodia on turvaton (1)

Tämä on ensimmäinen blogiteksti liittyen digiasioinnin turvallisuuden kohentamiseen.

Operaattorit ja viranomaiset ovat kehottaneet kansalaisia suosimaan mobiilivarmennetta, koska se on turvallisempi kuin pankkitunnukset. Mobiilivarmenne on turvallisempi lähinnä vain siksi, ettei se ole pankkitunnus, ts. sillä ei pääse vahingossa (=huijattuna) pankkiin. Teknisessä mielessä mobiilivarmenteessa on omat puutteensa ja käytettävyyskin voisi olla parempi.

Mobiilivarmenteen suurin ongelma on siinä, ettei käyttäjä voi tietää, mihin tapahtumaan tunnistuspyyntö liittyy. Nettipalvelu näyttää kyllä tapahtumatunnisteen, mutta se ei näy puhelimessa.

Tunnistus Suomi.fi-palveluun mobiilivarmenteella alkaa puhelinnumeron kysymisellä.

Kun palvelun tunnistuspyyntö lähtee puhelimeen, sim-kortille upotettu toiminta ottaa puhelimen haltuunsa ja kysyy mobiilivarmenteen PIN-koodia.

PIN-koodi puhelimessa (Android).

Samalla alkuperäinen palvelu näyttää nettisivulla tapahtumatunnisteen: 

Tapahtumatunniste??

(EDIT: Seuraava ilmiö johtuu puhelimesta tai sim-kortista, eikä koske käyttäjien enemmistöä) Käyttäjän on mahdotonta tietää varmaksi, mihin hän on tunnistautumassa. Nettisivulla tehdyn aloituksen ja puhelimella annetun koodin välillä on vain ajallinen yhteys. Kriittisin vaihe, PIN-koodin syöttö puhelimella, ei kerro mihin palveluun koodi liittyy. Tämä on vakava puute.

Tapahtumatunniste voisi nimensä mukaisesti sitoa tapahtumat yhteen, mutta se pitäisi näyttää nettisivulla jo aloituksen yhteydessä ja tietenkin myös puhelimessa, jotta käyttäjä voisi verrata koodeja keskenään.

Tällaisena järjestelmä mahdollistaa helpon huijauksen. Jos uhri saadaan houkuteltua valesivulle ja kirjautumaan sieltä mobiilivarmenteella, hän tuleekin antaneeksi oikean PIN-koodinsa huijarin taustalla käyttämään palveluun.

Ilmeisesti tästä on kyse poliisin kesällä julkaisemassa tiedotteessa, jossa kerrottiin mobiilivarmenteella tehdyistä huijauksista. Varmenne on teknisesti turvallinen, mutta puolitiehen jääneen toteutuksen vuoksi uhrin huijaaminen sillä on helppoa - etenkin, kun media ja viranomaiset ovat suositelleet sen käyttöä juuri turvallisuuden vuoksi.

Poliisin tiedotteessa kerrotaan vielä yksinkertaisempi huijaustapa: rikollinen lähettää uhrille ilmoituksen, että varmenne on vanhentumassa ja pitää uusia kirjautumalla. Jos uhri saadaan aktivoimaan tunnistus pelkän tekstiviestin tai sähköpostin perusteella, edes valesivua ei tarvita.

(Poliisi on korjannut kaikessa hiljaisuudessa tiedotteen sanamuotoja. Alun perin siinä väitettiin, että rikolliset olivat kalastelleet uhreilta mobiilivarmenteen tunnuslukuja - siitä ei ollut kyse. Ihan hyvä että korjasivat, mutta kun on kyse viranomaisen tiedotussivusta, olisi syytä ilmaista että sivua on muokattu alkuperäisen julkaisun jälkeen.)

Turvallisuutta voi parantaa merkittävästi ottamalla puhelimessa käyttöön häirinnänestokoodin. Sen jälkeen kirjautumisen aluksi puhelinnumeron ohella pitää syöttää lisäkoodi: 

Kirjautuminen häirinnänestokoodilla.

Taas uusi koodi muistettavaksi. Elisalla koodissa pitää olla 3-16 merkkiä, joista ainakin ensimmäinen on kirjain. Ehkä tämänkin olisi voinut tehdä helpommaksi? 

Tunnistuspyyntö puhelimeen lähtee vasta, kun oikea koodi on syötetty. Sen jälkeen puhelin ilmoittaa saapuvasta tunnistuspyynnöstä ja nyt näkyy myös tapahtumatunniste. Mutta miksei tunnisteen sijalla voisi olla numerokoodin sijaan palvelun nimi? 

"Telia Tunnistus" on turha tieto, koska se on vain tunnistuksen toteuttaja. Käyttäjän ajatuksissa tunnistuspyyntö tulee oikealta palvelulta, ei tunnistuspalvelulta. "Telia Tunnistus" sijaan pitäisi lukea Suomi.fi, KELA, Vero tms.

Nyt tunnistepyyntökin näkyy, mutta ei palvelun nimeä (iPhone).

Mobiilivarmenteen toteutus on kovin tekninen. Näytöllä on numeroita ja outoja sanoja, mutta käyttäjän kannalta tärkein informaatio (palvelu nimi) puuttuu. 

(Ensisijainen)? 

Ja vielä kolmaskin ikkuna, ennen kuin haluttu palvelu lopulta avautuu:

(Ensisijainen) Pyyntöä lähetetään.

Suomi oli joskus sähköisen asioinnin pioneeri, mutta ei ole enää. Kuvaavaa onkin, että DNA ja Elisa ilmoittivat äskettäin sovelluspohjaisen mobiilivarmenteen kehityksen viivästymisestä. On epävarmaa, jatketaanko kehitystä enää lainkaan. 

Mikrobitin jutussa Elisan ja DNA:n johtajat kommentoivat että "mobiilivarmenne on nykymuodossaankin jo helppokäyttöinen ja toimiva". Tästä rohkenen olla eri mieltä.

Lisäys: Palautteesta päätellen osalla käyttäjistä mobiilivarmenne toimii eri tavalla ja näyttää tapahtumatunnisteen, vaikka häiriönestokoodia ei olisi asetettu. Olisiko niin, että uudemmat mobiilivarmenteet ovat tässä suhteessa parempia? Omani ovat vanhoja, koska hankin ne kauan sitten. Joka tapauksessa häirinnänestokoodi kannattaa asettaa sen tuomasta lisävaivasta huolimatta, sillä on varmaa että huijarit oppivat uusia kikkoja myös varmennekäyttäjien huijaamiseen.

Suomen tunnistuksessa on muutakin vikaa, niistä lisää seuraavissa kirjoituksissa.

Muokattu 1.9.2025, lisätty maininta puhelimen tai sim-kortin rajoituksesta kun tapahtumatunniste ei näy oikein.

Seuraava kirjoitus tästä aiheesta >

Oliko Eagle S sittenkään hybridivaikuttamista?

Venäjän Pietarista lähtenyt huonokuntoinen Eagle S -säiliöalus aiheutti joulupäivänä 2024 suurta vahinkoa Suomen ja Viron välisille sähkö- ja tietoliikennekaapeleille. Se raahasi ankkuria 90 kilometrin matkan pitkin merenpohjaa katkoen tärkeän Estlink 2 -sähkökaapelin ja neljä tietoliikennekaapelia, niiden joukossa Suomen tärkein C-Lion1-datakaapeli Saksaan.

Tällä kertaa Suomi ryhtyi järeisiin toimiin. Laiva pysäytettiin näyttävässä operaatiossa, joka oli kuin Remeksen kirjasta. Puolen vuoden poliisitutkinnan jälkeen kapteeni ja kaksi perämiestä vastasivat eilen Helsingin käräjäoikeudessa syytteisiin törkeästä tuhotyöstä ja tietoliikenteen häirinnästä. Vahingot nousivat 60 miljoonaan euroon.

Eagle S:n episodi sai talvella paljon julkisuutta. Asiantuntijat pitivät varmana, että teko oli tahallista hybridivaikuttamista. Ilta-Sanomien jutussa 30.12.2024 siteerattiin Lloyd's List -julkaisua, jonka mukaan "aluksella on valtavia matkalaukkuja täynnä kannettavia tietokoneita, joissa on turkin- ja venäjänkielisiä näppäimistöjä". 

Jutussa oli mukana räväköistä lausunnoistaan tunnetun Pekka Toverin twiitti, jonka mukaan Venäjä on aina käyttänyt siviilialustoja signaalitiedusteluun ja sabotaasiin, eikä siitä pidä olla yllättynyt. Toinen kansanedustaja, puolustusvoimien entinen komentaja Jarmo Lindberg, piti sentään päänsä kylmänä, eikä lähtenyt spekuloimaan tutkinnan ollessa kesken. Nykyaikaiset signaalitiedustelun laitteistot ovat monimutkaisia, ei niitä pelkän merimiehen taidoilla käytetä.

Poliisitutkinnassa vakoilulaitteita ei löytynyt, ei liioin Venäjän antamia toimintaohjeita. Syyttäjät päätyivät ajamaan tuomiota törkeästä tuhotyöstä, siinäkin rangaistusvaatimus asteikon alapäästä 2,5 vuotta (haarukka olisi 2-10 vuotta). Ehkä Washington Post oli sittenkin oikeassa kertoessaan tammikuussa 2025, että kyse oli vahingosta, vaikka tietoja ei Suomessa tuolloin haluttu uskoa.

Eikö Eagle S siis ollutkaan pelättyä Venäjän hybridivaikuttamista? Oliko se todella vain yhdistelmä huonoa merimiestaitoa ja huonokuntoista tankkeria? Somessa moni on edelleen sabotaasin kannalla, vaikka poliisitutkinta ei löytänyt siitä merkkejä. Samaa viesti rivien välistä myös Hybridiosaamiskeskuksen johtaja Jukka Savolainen eilisillan A-Studiossa. Kiinalaisten alusten jälkeen tullut Eagle S ei voinut ajoituksen vuoksi olla pelkkää sattumaa tai huonoa tuuria. Sen on täytynyt olla tahallista.

Oliko se sittenkin tahallista?

Ehkä joskus saamme tietää totuuden. Mutta lähtökohta on, että suomalaiseen järjestelmään ja esitutkintaan voi luottaa. Jos näyttöä ei saada, jäävät vain spekulaatiot.

Eagle S on vain yksi viimeaikaisista tapauksista. Kun Nordstream 2 -kaasuputki räjäytettiin syyskuussa 2022, suomalaiset asiantuntijat pitivät sitä Venäjän operaationa: "Kenraalimajuri evp. Pekka Toverin mukaan ei ole epäilystäkään siitä, mikä taho on Nord Stream -kaasuputkien rikkoutumisten taustalla" (MTV), "Ville Niinistö analysoi Twitterissä, että on helppoa päätellä Venäjän olevan vuodon taustalla" (MTV) ja "Kaasuputkien hajottaminen palvelee silti Venäjän laajempaa agendaa ja strategiaa. Se on aivan selvä, [Hanna] Smith sanoo" (HS).

Motiiviksi oman putken tuhoamiselle riitti halu aiheuttaa pelkoa ja hämmennystä lännessä. Viime viikolla teosta pidätettiin kuitenkin ukrainalainen mies. Kiinnostavaa nähdä, mitä tekijöistä vielä paljastuu.

Tällä viikolla on kohuttu Vaasaan matkaavasta HAV Dolphin -rahtialuksesta, jota Saksan ja Alankomaiden viranomaiset epäilivät venäläiseksi vakoilualukseksi ja droonitukikohdaksi. Tuoreimpien tietojen mukaan kyse on lähinnä väärinkäsityksistä. Rahtina on teräspalkkeja suomalaiselle tilaajalle.

Media uutisoi mieluusti pelottavista uutisista ja räväkät suomalaiskommentit saavat näkyvyyttä. Turha pelottelu kääntyy kuitenkin itseään vastaan. Hybridivaikuttamisen näkeminen joka puolella on jo itsessään hybridivaikuttamista. Venäjä kääntää lännen vääräksi osoittautuneet väitteet osaksi omaa narratiiviaan, joka syö lännen uskottavuutta niin sen oman maan kuin kansainvälisen yleisön silmissä.

Lisäys 31.8.2025: Kohu HAV Dolphin -aluksesta (Asiantuntija vakuuttunut: HAV Dolphin täyttää hybridi­operaation tunnusmerkit) osoittautui turhaksi. Uutisen mukaan

Tarkoitus herättää epävarmuutta

Paasosen mukaan näyttää siltä, että laiva pyrkii toimimaan rajamaastossa liikkumalla epätavallisesti ja pysähtymällä pitkiksi ajoiksi: se ei selvästi riko lakia, mutta sen toiminta poikkeaa tavanomaisesta.

Ja niin on tarkoituskin, jotta yleisössä saadaan aikaan levottomuutta.

– Luodaan tämmöistä epävarmuutta. Sehän on juuri tyypillistä hybridivaikuttamista.

Suomen viranomaiset tarkastivat aluksen eivätkä löytäneet mitään. Onko lännen tiedustelutieto näin heikkoa vai ovatko venäläiset meitä ovelampia? Ennen kaikkea epävarmuutta herättävät jatkuvat väitteet hybridivaikuttamisesta. Jos Venäjän tavoitteena on herättää epävarmuutta, miksi suomalaiset tekevät juuri niin kuin venäläiset toivovat?