Tuli mieleen idea, jonka tässä jaan muillekin: miten omaa pankkitiliä voi käyttää sähköisen todistuksen tallentamiseen.
Haluat ennustaa ensi vuoden presidentinvaalien voittajan, mutta pitää ennustuksen vain omana tietonasi kunnes tulokset julkistetaan. Miten voit todistaa, että olet arvannut oikein jo kuukausia aiemmin? Entä miten voit todistaa, että olet saanut haltuusi jonkin asiakirjan tai keksinyt jonkin lentävän lauseen ennen muita? Tai että kirjoittamasi testamentti on pysynyt muuttumattomana ja sen päiväys pitää paikkansa?
Kaikki nämä ratkeavat kryptografian tiivistefunktiolla, mutta sen tueksi tarvitaan luotettava aikaleimapalvelu. Lohkoketjutekniikka ratkaisisi ongelman hieman toisella tavalla, mutta sitä odotellessa voi käyttää apuna omaa pankkitiliä. Pankkien tiliotteisiin voi luottaa kaikissa tilanteissa, eikö niin?
Kirjoitetaan ensin ennuste ja lisätään siihen tekohetken päiväys ja kellonaika. Netissä on lukuisia palveluita, jotka laskevat online-lomakkeella SHA1-tiivisteen arvon, esimerkiksi tämä:
Tuloksena saatu 20-merkkinen tiiviste kopioidaan leikepöydän kautta ja siirretään pankkipalvelussa tilisiirron Viesti-kenttään:
Jos itsellä on useita tilejä, tilisiirron kannattaa tehdä niiden välillä. Muutoin avuksi tarvitaan jokin toinen henkilö, jonka tilille siirretään pieni summa rahaa (esimerkissä yksi euro). Kaksi omaa tiliä on näppärä järjestely, koska silloin samaa euroa voi siirtää edestakaisin ja näin tallentaa monta tiivistettä.
Tilisiirto tallentuu pankin järjestelmään ja näkyy esimerkiksi tiliotteissa. Nordean järjestelmästä tiliotteen saa vain kuukausi kerrallaan, joten 7.10. tehty siirto näkyy vasta 1.11. alkaen.
Näyttämällä tiliotetta ja laskemalla tiiviste uudelleen voidaan osoittaa, että teksti on ollut hallussa jo tilisiirtoa tehtäessä. Varmimmaksi vakuudeksi listaa voidaan selata suoraan verkkopankissa, jolloin sen aitous on vuorenvarmaa.
Se, että pankin järjestelmästä löytyy kyseisellä päivämäärällä kyseinen tiiviste todistaa, että teksti on ollut tallettajan (heh) hallussa tilisiirtoa tehtäessä, koska vain kyseinen teksti on voinut tuottaa juuri tämän tiivisteen (unohdetaan kryptografian kolliisiot).
Niksissä on omat heikkoutensa. Aikaleima tallentuu vain päivän tarkkuudella, mutta sillä ei pitkäaikaisessa säilytyksessä ole merkitystä. Nordea säilyttää tiliotteita vain kuusi vuotta, mutta pidempiaikaista säilytystä voi saada maksamalla.
Luottamuksellisia asiakirjoja ei kannata kierrättää online-laskurin kautta, koska ei voi tietää jääkö teksti talteen jonnekin. Silloin pitää käyttää jotain ohjelmaa, joka laskee tiivisteen kokonaisesta asiakirjasta.
Jos halutaan todistaa web-sivun tai vaikka blogikirjoituksen aitous, teksti voidaan siirtää leikepöydän kanssa, mutta silloin kuvat ja tekstin rivittyminen eri tavalla voivat tuottaa ongelmia.
Viestikentän enimmäispituus on 70 merkkiä, joten siihen mahtuu myös pidempi ja turvallisempi tiiviste kuin SHA-1. Ennustuksen SHA-256 tiiviste olisi 78e0164bbe8b9c5c727e96e7884f56714cd1bad401ffe3ad88eaff7f1d408d07 (32 merkkiä).
Nyt sitten vain odottamaan vaaleja! Jos ehdokas XY todella voittaa 63 prosentin osuudella, voin todistaa tienneeni asian jo lokakuun alussa.
Haluat ennustaa ensi vuoden presidentinvaalien voittajan, mutta pitää ennustuksen vain omana tietonasi kunnes tulokset julkistetaan. Miten voit todistaa, että olet arvannut oikein jo kuukausia aiemmin? Entä miten voit todistaa, että olet saanut haltuusi jonkin asiakirjan tai keksinyt jonkin lentävän lauseen ennen muita? Tai että kirjoittamasi testamentti on pysynyt muuttumattomana ja sen päiväys pitää paikkansa?
Kaikki nämä ratkeavat kryptografian tiivistefunktiolla, mutta sen tueksi tarvitaan luotettava aikaleimapalvelu. Lohkoketjutekniikka ratkaisisi ongelman hieman toisella tavalla, mutta sitä odotellessa voi käyttää apuna omaa pankkitiliä. Pankkien tiliotteisiin voi luottaa kaikissa tilanteissa, eikö niin?
Kirjoitetaan ensin ennuste ja lisätään siihen tekohetken päiväys ja kellonaika. Netissä on lukuisia palveluita, jotka laskevat online-lomakkeella SHA1-tiivisteen arvon, esimerkiksi tämä:
 |
| Tiivistefunktion SHA-1 laskeminen. |
 |
| Tiiviste tallennetaan tilisiirron viestinä. |
Tilisiirto tallentuu pankin järjestelmään ja näkyy esimerkiksi tiliotteissa. Nordean järjestelmästä tiliotteen saa vain kuukausi kerrallaan, joten 7.10. tehty siirto näkyy vasta 1.11. alkaen.
Näyttämällä tiliotetta ja laskemalla tiiviste uudelleen voidaan osoittaa, että teksti on ollut hallussa jo tilisiirtoa tehtäessä. Varmimmaksi vakuudeksi listaa voidaan selata suoraan verkkopankissa, jolloin sen aitous on vuorenvarmaa.
Se, että pankin järjestelmästä löytyy kyseisellä päivämäärällä kyseinen tiiviste todistaa, että teksti on ollut tallettajan (heh) hallussa tilisiirtoa tehtäessä, koska vain kyseinen teksti on voinut tuottaa juuri tämän tiivisteen (unohdetaan kryptografian kolliisiot).
 |
| Siirto näkyy vastaanottajan tilitapahtumissa. |
Luottamuksellisia asiakirjoja ei kannata kierrättää online-laskurin kautta, koska ei voi tietää jääkö teksti talteen jonnekin. Silloin pitää käyttää jotain ohjelmaa, joka laskee tiivisteen kokonaisesta asiakirjasta.
Jos halutaan todistaa web-sivun tai vaikka blogikirjoituksen aitous, teksti voidaan siirtää leikepöydän kanssa, mutta silloin kuvat ja tekstin rivittyminen eri tavalla voivat tuottaa ongelmia.
Viestikentän enimmäispituus on 70 merkkiä, joten siihen mahtuu myös pidempi ja turvallisempi tiiviste kuin SHA-1. Ennustuksen SHA-256 tiiviste olisi 78e0164bbe8b9c5c727e96e7884f56714cd1bad401ffe3ad88eaff7f1d408d07 (32 merkkiä).
Nyt sitten vain odottamaan vaaleja! Jos ehdokas XY todella voittaa 63 prosentin osuudella, voin todistaa tienneeni asian jo lokakuun alussa.
Oho! On melkoista anarkismia käyttää kryptattua viestiä pankkimaksuissa -- tai yllyttää siihen.
VastaaPoistahttps://yle.fi/uutiset/3-8616999
Hyvä pointti. Tästä oli toinenkin uutinen Älä vitsaile verkkopankissa huumeista tai rahanpesusta. Saa nähdä, tuleeko Nordeasta kyselyitä.
VastaaPoistaTässä olisi pankeille tilaisuus tarjota uudenlaista tiedostojen ja tiivisteiden varmennettua säilytyspalvelua.
Idea periaatteessa ok mutta käytännössä todella hankala käyttää, koska todistushetkellä täytyisi päästää henkilö selaamaan omaa verkkopankkia.
VastaaPoistaPankkien tiliotteisiin voi luottaa mutta vain jos niitä tarkastellaan pankin palvelussa.
Pelkkä ruutukaappaus maksusta ei riitä todisteeksi, tuon esimerkkinä olevan tilitapahtuman editointi (vaikkapa päivämäärän vaihto tai viestin hashin muuttaminen) photarissa veisi itseltä alle 2 min. Printattu koko kuukauden tilitapahtumat -kooste olisi itselle vähän työläämpi "väärentää", mutta enköhän siitäkin selviäisi.
Mutta kyllä tässä ideassa voisi olla potentiaaliakin. Pankin voisivat avata jonkinlaisen palvelun, jossa voisi generoida jotakin vahvistettuja sisältöjä tietyllä aikaleimalla tms.
Blogipostauksen päiväyksen voi väärentää, mutta mitenkäs tuo Internet Archive?
VastaaPoistaInternet Archiven ongelma on että se indeksoi milloin sattuu ja mitä sattuu.
VastaaPoistaEsim tämän blogin tuorein snapshot on maaliskuulta, ja sieltäkin jos klikkailee niin moni sivu antaa tuloksen "Hrm. Wayback Machine doesn't have that page archived."
jeejee sanoi...
VastaaPoistaPelkkä ruutukaappaus maksusta ei riitä todisteeksi, tuon esimerkkinä olevan tilitapahtuman editointi (vaikkapa päivämäärän vaihto tai viestin hashin muuttaminen) photarissa veisi itseltä alle 2 min.
Nykyaikana ei enää photaria käytetä. Sitä paitsi sen tekemät tuotokset on mahdollista osoittaa vääräksi sen sijaan, että muokkaus olisi tehty suoraan sivulle josta sitten on otettu ruutukopio.
Juu, inspektorilla kikkailemalla varmaan tuon itsekkin tekisin koska tulee parempi jälki, mutta tuo nimenomainen olisi todella helppo muokata PhotoShopissa.
VastaaPoistaSitähän onkin muokattu Photoshopissa.
VastaaPoistaTodistuskäyttöön pitäisi saada pankin virallinen, mielellään pankin oikeaksi todistama paperituloste. Se ei välttämättä ole ongelma, sillä todistustarvetta tulee harvoin. Tärkeintä on olla helppo menetelmä todistettavan sisällön luomiseen.
Pankit voisivat hyvinkin tarjota digitaalisia notaaripalveluita joita esität. Pankki voisi tarjota digitaalista allekirjoitusta tiliotteille, kuiteille ym. mitä nyt asiakas sieltä tulosteina saakin. Arvelen, että osa ihmisistä olisi jopa valmis maksamaan hieman tuosta palvelusta jos se olisi tarjolla.
VastaaPoistaYritin saada joskus 15v sitten Nordean, tai no se oli vielä Merita, kiinnostumaan käyttämään PGP:tä niin, että web-palveluun olisi voinut viedä oman julkisen aivaimensa ja sitten saada sillä salattuna postina ilmoituksia tapahtumista tai siihen aikaan myös tunnuslukulistakin saaminen ulkomailla asuvalle kuten itse olin olisi ollut todella hyödyllinen palvelu. Ei olisi tarvinnut vaivata UM:n kuriiria, kun asuin maassa johon ei voinut luotettavasti lähettää etanapostilla mitään. Sen perille tulosta ei ollut varmuutta.
Jaa niin, vaalitulos -esimerkin varmentamisen protokollassasi on selkeä puute, joka mahdollistaa huijaamisen. Esittämäsi ratkaisu ei estä sitä, että voisi tehdä useita samanlaisia ennustuksia, vaikka kaikista ehdokkaista ts. heidän voitostaan ja sitten näyttää vain sen voittaneen ennustuksen vaalien jälkeen. Tämä siis olettaen, että sinulla on tiliotteella useita tiivisteitä ja jos et voi tai halua paljastaa niitä kaikkia niitä dokumentteja kaikille, jotta he voivat verrata ettet huijaa vaan että ne muut tiivisteet eivät liity vaalien tuloksiin. Jollet voi julkistaa kaikkia niitä dokumentteja joiden tiivisteet olet vienyt pankkiin, protokolla ei ole aukoton ja sen todistusvoima on kiistettävissä.
Kiistämättömyyden todistamisen vuoksi dokumentti pitäisi voida tallettaa etukäteen jonnekin etukäteen sovitulle kolmannelle osapuolelle ja tämän osapuolen pitäisi olla luotettu taho, joka sitten säilyttää dokumentin ja vakuuttaa, että et ole tallettanut useita dokumentteja tätä asiaa koskien.
Turvallisuuten liittyvien protokollien suunnittelu ja toteuttaminen niin ettei niihin jää aukkoja on paljon vaikeampaa kun moni oivaltaa. Virheitä on paljon helpompi tehdä kun osata välttyä niiltä. Edes kaikkein yksinkertaisimmilta virheiltä välttyminen edellyttää jo hyvin paljon kokemusta koko osa-alueelta ja käytännössä kaikelta siihen liittyvältä jolla voi olla vaikutusta asiaan.
Tällaiseen toimintaan on myös toinen tapa.
VastaaPoistaPerinteinen tapa tehdä etukäteisennustus, voisi olla sellainen, jossa ennustaja antaa kirjekuoressa vaalituksen luotetulle henkilölle, joka tallentaa sen kassakaappiin. Vaalien jälkeen kaappi avataan ja katsotaan ennuste.
Sähköisesti asian voisi tehdä salasanalla suojatulla tiedostolla.
1. Kirjoita ennustus tiedostoon ja suojaa se salasanalla.
2. Lähetä tiedosto muutamille henkilöille.
3. Vaalien jälkeen kerro henkilöille salasana, jolloin he voivat tarkistaa, pitikö ennustuksesi paikkansa.
Hauska idea.
VastaaPoistaEntä jos tallettaisi SHA-tiivisteen päivityksenä johonkin Wikipedia-artikkeliin (ja vaikka peruuttaisi päivityksen samantien). Päivitys jää näkyviin artikkelin muutoshistoriaan - minuutin tarkkuudella. Kai Wikipedian kellonaikoihin voi luottaa eikä niitä pääse helposti väärentämään...
Vuonna 2042 ei paineta CD-levyjä eikä kirjoja. Kaikki nettisivut ovat dynaamisia, eikä Internet Archive siksi tallenna niitä. Ei ole yhteisiä radio- ja televisio-ohjelmia, vaan ihmiset ikään kuin kokevat asioita virtuaalimaailmassa.
VastaaPoistaTälläisessä maailmassa säilytyspalvelulle voisi olla kysyntää.
Miten tuon avulla voi todistaa, että on tehnyt vain yhden arvauksen? Vaalivoittajan arvaaminen on helppoa, kun arvaa erikseen kunkin ehdokkaan voittavan.
VastaaPoistaEi mitenkään. Tiivisteellä voi osoittaa vain jonkin asian tapahtuneen, ei sitä etteikö jotain muuta asiaa olisi tapahtunut. Ennustuksia voi tehtailla rajattomasti ja poimia niistä sitten sopivan näytettäväksi. Mutta näinhän se on aina: oikeaan osuneet ennustukset muistetaan, pieleen menneet ("Internet romahtaa vuonna 2006") unohdetaan.
VastaaPoistaTiiviste ei sovellu ennustuksiin, esimerkki oli huono. Mutta se soveltuu esimerkiksi todistamaan asiakirjan laatimispäivämäärän (kauppakirja, testamentti, sopimus ym).
Blogin hallinnoija on poistanut tämän kommentin.
VastaaPoistaNäppärä idea. Kuten edellä on todettu, ennustuksia voisi tehdä paljon ja julkistaa vain oikeaan osuneen. Ongelmaa ei ole jos ennustuksen olemassaolon julkistaa, vaikka näissä blogikommenteissa näin:
VastaaPoistaOlen ennustanut Sauli Niinistön ääniosuuden presidentinvaalien 1. kierroksella, sha-1 on...
Eikä ole pakko sanoa edes mitä ennustus (tai muu tiedonanto) koskee, tiiviste ja sisällön julkistusaika riittää. Jos sisältöä ei sitten julkistakaan menettää kunniansa. Niin voi käydä tietysti myös jos ennustus menee pahasti pieleen, kuten joka miehen avaruusmatkailu ja kotirobotit vuonna 2000.
Lohkoketjuun perustuvaa palvelua tarjoaa esim. Tierion: https://tierion.com/
VastaaPoista"The blockchain is becoming the new standard for trust and verification of data. Tierion turns the blockchain into a global platform for verifying any data, file, or process."
Tosin palvelu taitaa olla suunnattu lähinnä yrityksille.