Vähän on joo. Yksityishenkilöillä on vain muutamia kymmeniä. Asian voi tarkistaa varmennehakemistosta laittamalla A* jne /for multiplatform formats/ Olisin itte halunnut omalle servulle mobiililoggatumisen, mutta Soneran tarjous oli /veret pysäyttävä/. Enpä ihmettele yhtään ettei yleisty. Toinen on VRK. Nehän on mokanneet jo HST ja tämä on sitten seuraava. Suurin syy on siinä, että palveluita ei ole tarpeeksi PerusPaavolle, jolloin korttikin yleistyisi ja tulis lumipalloilmiö. Harmittaa, kun tekniikka on hyvä ja toimiva. Esmes varmennetun sähköpostin lähettäminen on aina riski, koska se löytyy puolessa tapauksista roskapostista vaikka sen tarkoitus on lisätä turvallisuutta. No onhan tuo tunnettu fakta, että eletään IT-kehitysmaassa...

Niin ja pyysinhän sieltä ubisecureltakin traileria asennettavaksi fedoraan, mutta siellä myönnettiin, että on tarkoitettu vain >50 CALS. No, ei sitten. Ei oteta mobiilivarmennetta PenttiPerusinsinöörin servulle. Puuuh

Symantec: Pankkien on opastettava asiakkaitaan

Antti Kirves
Julkaistu 20.04.2007 kello: 13:11

- Phishing ei häviä mihinkään, sanoo Symantecin Per Hellqvist.
Kuva: Antti Kirves
Phishing-ongelmat ovat Nordealle ja muille pankeille kova pala purtavaksi. Pelkästä tekniikasta ei ole apua, kun asiakkaita huijataan.

Nordea on viime kuukausina tämän tästä ollut otsikoissa asiakkaiden tietoja kalastelevien rikollisten takia niin Ruotsissa kuin Suomessakin.

Nordean tapauksia tutkinut asiantuntija painottaa, että pankkia ei ole hakkeroitu, vaan sen asiakkaita on käytetty hyväksi ja huijattu antamaan luottamuksellisia tietoja.

Syynä voi olla se, että Nordea on Ruotsin suurin pankki. Nordean turvaratkaisu näyttää myös antavan helpoimman tavan huijata käyttäjiä luovuttamaan tietojaan, sanoo tietoturva-asiantuntija Per Hellqvist Symantecista.

Hellqvistin mielestä avain pankkitietojen kalastelun loppumiseen on käyttäjien opastamisessa.

Pankkien pitää kertoa asiakkailleen selkeästi ja suoraan, millä tavoin ne viestivät heidän kanssaan. Asiakkaille on opetettava uudelleen ja uudelleen, etteivät pankit kysy tunnuksia sähköpostiviesteissä.

Nordeaa ennen Ruotsissa kalasteltiin Eurocardin ja Swedbankin tunnuksia.

Sitten hyökkääjät tajusivat, että mitä isompi kohde ja mitä enemmän sillä on asiakkaita, sitä paremmat mahdollisuudet heillä on huijauksien onnistumiseen.

Brändille koituu suurin vahinko

Pankin tai muun verkossa toimivan yrityksen brändille tekee hallaa aina, kun sitä käytetään tietojen kalastelussa.

Tämä on suurin vahinko Nordealle ja muille kalastelun syöteiksi joutuneille pankeille. Ihmiset eivät enää luota verkkopankkeihin ja -kauppoihin. Luottamuksen uudelleenrakentaminen on hyvin hidasta ja kallista, Hellqvist toteaa.

Myös tietoturva maksaa. Siksi pankit ovat taipuvaisia hyväksymään tietyn huijausriskin.

Pankeille on halvempaa maksaa korvauksia kalastelusta paitsi, jos mukaan lasketaan vahinko brändin tahriintumisesta. En tiedä, miten sitä voitaisiin mitata. Selvää on, että mitä enemmän brändi yhdistetään huijauksiin, sitä vähemmän siihen luotetaan.

Tekniikka auttaa, mutta ei ratkaise

Yhdeksi tekniseksi parannukseksi Hellqvist ehdottaa kuvatunnistautumista. Siinä asiakas valitsee kuvan, jonka hän lataa palveluun. Jos hän vastedes kirjautuessaan näkee valitsemansa kuvan sivulla, hän tietää olevansa oikealla sivulla.

Ruotsissa keskustellaan Hellqvistin mukaan nyt kovasti myös spf:n (Sender Policy Framework) käytöstä. Spf:ää käytetään sähköpostiviestin lähettäjän tunnistamiseen. Tässä pankit voisivat hänen mielestään auttaa asiakkaitaan.

Spf ei kuitenkaan ole aivan ongelmaton vaihtoehto, eikä tekniikasta ei yksin ole muutenkaan pankkiongelmien ratkaisuksi.

Pankit eivät koskaan voi estää pahiksia lähettämästä kalasteluviestejä. Internetissä melkein kuka tahansa voi tehdä melkein mitä tahansa. Verkkopankkiin voi tietysti toivoa lisää tietoturvaa, mutta mitä turvallisempi järjestelmä on, sitä vaikeampi se on käyttää, Hellqvist tuumaa.

Huijausten kieli kehittyy

Ruotsalaiskalastelun teho ei Hellqvistin mukaan ole perustunut ainakaan moitteettomaan kieleen. Meillä hoono soomi on auttanut välttämään kalasteluyrityksiä.

Sama toistuu jokaisessa maassa, jossa kalastelua on havaittu. Ensin tulee erittäin kehno paikallinen kieliversio, joka on ilmeisesti konekäännetty, Hellqvist sanoo.

Kun rikollinen saa näistä ensimmäisistä kalasteluista rahaa, hän panostaa uusiin viesteihin, jotka näyttävät jo paremmilta.

Syntyperäisen kielenpuhujan on helppo nähdä, että kyse on roskasta. Monille, kuten maahanmuuttajille, lukihäiriöisille tai sellaisille, jotka eivät muuten ymmärrä hallinnon kieltä, tilanne on aivan toinen.

Uusimmat Ruotsissa leviävät kalasteluviestit ovat Hellqvistin mukaan jo todella hyvää ruotsia.

Ilmeisesti kalastelijat ostavat jo käännöspalveluja syntyperäisiltä ruotsinpuhujilta. Paljon rahaa menee Baltian maihin, Venäjälle ja Valko-Venäjälle. Niissä maissa on ihmisiä, jotka puhuvat meidän kieliämme.

Työkalupakilla alkuun

Kalasteluoperaatio aloitetaan ostamalla tarkoitukseen tehty parinsadan dollarin työkalu, phishing kit.

Työkalukitissä on kalastelua varten valmiit viestipohjat, joihin lisätään netistä oikean pankin sivuillaan käyttämät kuvat.

Kittejä myymällä rikollinen saa rahaa uusien viestien kielen ja ulkoasun parantamiseen. Viidellä dollarilla saa netistä 29 000 sähköpostiosoitetta, joihin roskapostittaa kalasteluviestejä.

Osa kalastelijoista on täysin ammattimaisia ja he tekevät paljon rahaa. Phishing on todella tehokasta ja tuottoisaa, ja riski on minimaalinen. Siksi kalastelu ei häviä mihinkään, Hellqvist arvelee.

Troijalaisistakin on kiusaa

Verkkopankkien asiakkaita kiusaavat myös haittaohjelmat, kuten Sampo Pankki tällä viikolla varoitti.

Pankkitroijalaisia on laidasta laitaan. Jotkut vakoilevat tekstiä, jota käyttäjä kirjoittaa sellaisille web-sivulle, jotka sisältävät esimerkiksi sanat bank tai credit card.

Hienostuneemmissa pankkitroijalaisissa on listat eri puolilla maailmaa sijaitsevien pankkien verkkotunnuksista, joiden ulospäin suuntautuvaa http-liikennettä haittaohjelmat kuuntelevat.

Pankkitroijalaiset voivat käyttää rootkit-tekniikoita piiloutuakseen ja ne usein päivittävät itsensä.

Ne voivat käyttää myös JavaScript injection -tekniikoita saadakseen käyttäjän selaimen näyttämään oikealla pankin sivulla esimerkiksi väärän kirjautumiskentän, joka toimittaa käyttäjän tunnukset rikolliselle, Hellqvist sanoo.

Hyökkääjä voi myös peittää selaimen url-osoitekentän valeosoitteena toimivalla gif-kuvalla, jolloin käyttäjästä näyttää siltä, että hän on oikealla sivulla. Saman tempun voi tehdä salatusta yhteydestä selaimessa kertovalle riippulukkosymbolille.

Viitaten artikkeliinne 20.4.2007 koskien mobiilivarmennetunnistusta.

Koska artikkelista voi saada virheellisen käsityksen, niin selvyyden vuoksi haluamme tuota esille seuraavaa:

Ubisecuren näkemys ei ole että mobiilivarmenne nyt tahmaa kuten artikkeli oli otsikoitu. Jos artikkelin tarkoitus oli herättää toimijat, niin tämän se varmasti teki. Emme kuitenkaan toivo että artikkelin johdosta vedetään vääriä johtopäätöksiä. Uuden laajan tunnistuspalvelun leviäminen ei tapahdu salamannopeasti mutta myönteinen suunta ja kehitys on mobiilivarmennetunnistuksessa ollut nähtävissä.

Huomionarvoinen seikka on, että suomalaiset operaattorit ovat juuri mobiilivarmennetunnistuksessa luoneet sekä teknisen pohjan että toimintamallit tehokkaalle käyttöönotolle ja hyödyntämiselle esim. mahdollistamalla nk. roamauksen (ensimmäisenä maailmassa). Käytännössä tämä on merkittävä etu hyödyntäjille, kun ko. tunnistusta palveluissaan käyttöönottavat tahot eivät joudu tekemään sopimuksen jokaisen operattorin kanssa erikseen.

Tunnistusmenetelmänä mobiilivarmennetunnistus tarjoaa monia etuja jonka vuoksi myös moni Ubisecuren asiakas on valinnut juuri mobiilivarmennetunnistuksen palveluihinsa. Ubisecuren Ubilogin tuote tarjoaa helpon tavan ottaa käyttöön esim. juuri operaattoreiden tarjoamia mobiilivarmennetunnistusta. Mobiilivarmenne tullee mm. helppokäyttöisyytensä vuoksi yleistymään yhtenä luotettavana tapana tunnistaa vahvasti käyttäjiä.

Tällä hetkellä yritykset etsivät eri käyttötapauksiaan varten joustavia tunnistustapoja, kuten kännykkään perustuvia.

Kansalaisten tunnistamisessa viranomaisten verkkopalveluihin mobiilitunnistaminen on tulossa, ja tarjoaa hyvän vaihtoehdon tavalliselle HST-kortille, joka tarvitsee aina toimiakseen lukijan ja lukijaohjelmiston.

Ystävällisin terveisin

Charles Sederholm
Ubisecure Solutions Oy