Todennäköisyys
Eilen tännekin postatusta verkkopankkien ja tunnistautumisen ongelmista esitetty eräitä tarkempia näkemyksiä eilen IT-viikossa.
Sampo Pankista kerrotaan, että käytössä on kolmiportainen sisäänkirjautumisjärjestelmä ja Nordeassa vain kaksiportainen. Kelan palveluissa toisen henkilön tietoja käyttäjälle antanut tapahtumasarja ei siis Sampo Pankin mukaan olisi mahdollinen siellä. Tiedä häntä, Sampo Pankin rekordit tietojärjestelmäasioissa eivät viime kuukausilta ole kovinkaan mairittelevia.
Nordea pitää verkkopankkien turvallisuutta on "lähestulkoon aukottomana" ja että it-asiantuntijat arvioivat, että todennäköisyys tällaiselle sattumalle on korkeintaan 1:15 miljoonaan. Kuulemma pitäisi kutstua tätä "käänteiseksi lottovoitoksi".
No eipä kutsuta vielä, sillä tuollaisilla todennäköisyyksillä kikkaileminen ei merkitse mitään, jos järjestelmä pettää. Lisäksi tietysti olisi hyvä tietää tarkoittavatko it-asiantuntijat todennäköisyyksillä kaikkia kirjautumisia vai vain yhden käyttäjän tiedoilla kirjautumista. Tämä tosin on sivuseikka kokonaisuuden kannalta.
Olennaisin asia tässä on se, että löytyykö tunnistautumisjärjestelmästä sellainen virhe, joka ylipäätänsä antaa mahdollisuuden tunnistautua toisena henkilönä verkkopalveluihin?
Siitähän tässä on kyse eikä siitä, montako kertaa pitää naputtaa jotain numerosarjoja, että pystyy murtamaan toisen tilit. Verkkopankkien hälytysten pitäisi toimia, jos joku yrittää arvaamalla päästä sisään, joten testaileminen toisten numeroilla ei kannata.
Jos nimittän järjestelmässä on sen toimintaan liittyvä virhe tai aukko, silloin se mahdollistaa vastaavan tapahtumasarjan toistumisen. Toisaalta on syytä kysyä, olisiko nyt nähty tapahtumasarja (käytetään toisen pankin tunnuksia toisessa verkkopankissa tunnistautumiseen) pitänyt pystyä ennalta estämään? Ilmeisesti, mutta ei välttämättä ole tullut edes mieleen koko asia. Mitä muuta on mahdollisesti unohtunut?
Tekstit
3 kommenttia:
On tuo vain niin käsittämätöntä. Ja pelottavaa. Pitääkö sitä palata aikaan villasukkienvarsien. Laskunmaksu ei taida enää onnistua kuin kalliimman kautta jos siihen siirtyisi.
Tässä on viikonloppu ollut aikaa hakkereilla naputtaa tunnuslukuja jos toisiakin ja pankkiherrat taas kieltää kaiken.
Mitä seuraavaksi.
Niinpä. Tuo vähättely on kaikesta typerintä. Mitä ilmeisimmin tuossa on kyse varsin epätodennäköisestä tapahtumasarjasta, joten ainakaan vielä ei kannata sulkea verkkopankkien tunnuksia ja ryhtyä käymään perinteisen kaavan mukaan pankin konttorin tiskillä.
Jos pankeissa on yhtään ajateltu tietoturvaa (kuten lähtökohtaisesti näyttäisi olevan), niin sattumanvarainen numeroiden naputtelu verkkopankkien kirjautumiseen ei kovin pitkälle johda. Täytyy olla jotain kättä pidempää kuten voimassa olevia tunnuksia jne.
Huolestuttavin asia tuossa on minusta se, että itse järjestelmä saattaa sisältää esimerkiksi jonkin loogisen virheen, joka tietyillä edellytyksillä antaa mahdollisuuden tunnistautua toiseksi henkilöksi. Tai ainakin tämän mahdollistavan ominaisuuden, joka olisi pitänyt ehkä oivaltaa estää tai pitäisi vastaisuudessa pystyä estämään.
Mutta huolestuttavaa tuo on...
Niin. Tuli vielä mieleen, että itse ei kenenkään kannata ryhtyä kokeilemaan väärässä verkkopankissa tunnistatumista ihan huvin vuoksi. Se ei ole leikin asia.
Lähetä kommentti