Kela jätti tutkintapyynnön poliisille
20.5.2008 15:17 Kela ilmoittaa, että sen asiointipalvelusta ei toistaiseksi ole löytynyt tietoturvaongelmaa, vaan syyn epäillään olevan muualla. Siksi Kela on tehnyt tutkintapyynnön viranomaisille. Kelan mukaan verkkopalveluja voi käyttää turvallisesti.
Kela sulki maanantaina internetissä viikko sitten avatun sairaanhoitokorvaustietojen kyselyn. Syynä oli laitoksen mukaan se, että helsinkiläinen nainen oli lauantaina saanut omalle tietokoneelleen toisen henkilön luottamukselliset tiedot. Tieto tästä tuli Kelaan maanantaina Helsingin Sanomain toimittajalta, johon nainen oli ottanut yhteyttä.
Kelassa on tutkittu asiaa maanantaista alkaen eikä teknisiä puutteita ole toistaiseksi todettu. Sairaanhoitokorvausten kysely on kuitenkin pois käytöstä, kunnes asia on tutkittu.
Helsingin Sanomain mukaan tapaus sattui, kun helsinkiläinen oli kirjautumassa kannettavalla tietokoneella Kelan sähköiseen asiointipalveluun. Palvelu avasi hänen omien etuustietojensa sijasta toisen henkilön sairaanhoitokorvausten tiedot.
Kelan mukaan vastaavaa ei ole tapahtunut aikaisemmin, vaikka sen sähköiset asiointipalvelut ovat olleet käytössä vuodesta 2004 alkaen. Kelan sähköisiä asiointipalveluja on laajennettu vuosittain suunnitelmallisesti perusteellisten testausten jälkeen.
Viime vuonna Kelan internetsivuilla oli 7,5 miljoonaa käyntiä ja 1,3 miljoonaa tunnistetun henkilöasiakkaan asiointitapahtumaa. Asiointeihin kuuluu tällä hetkellä omien tietojen katsomisen lisäksi myös eräiden etuuksien hakemispalveluja sekä muutostietojen ilmoittamista.
Kalevi Nikulainen toimitus@digitoday.fi
Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.
- Digitodayn tuoreimmat uutiset.
- 25.5. Robottikäsivarsi hinasi Dragonin asemalle
- 25.5. Googlen Android-kauppa sai uusia rahastuskeinoja
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- 25.5. Diablo III:n julkaisija hekumoi myyntiä ja pahoittelee bugeja
- 25.5. Lumialla voi katsella videoklippejä
- 25.5. Applen Cook kieltäytyy optioiden osingoista
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 25.5. Tämä käkikello muni Pebblen Kickstarter- pesään
- 25.5. Facebook Camera ottaa ja jakaa kuvia iPhonessa
- 24.5. IPhoneen uusi alihankkija
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 24.5. Yle siirtää seuraavaksi Pasilan teräväpiirtoon
- 24.5. Nokia luopuu isosta massatapahtumasta
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 24.5. Blackberryn joukot harvenevat
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 24.5. Motorola Mobilityn johdossa on nyt myyntimies
- Uusimmat
- 48h luetuimmat kaikista uutisista.
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- 25.5. Lumialla voi katsella videoklippejä
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 25.5. Googlen Android-kauppa sai uusia rahastuskeinoja
- 24.5. Nokia luopuu isosta massatapahtumasta
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 24.5. IPhoneen uusi alihankkija
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- Luetuimmat
- 48h suositelluimmat kaikista uutisista.
- Suositelluimmat
- 48h kommentoiduimmat kaikista uutisista.
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 25.5. Lumialla voi katsella videoklippejä
- 25.5. Applen Cook kieltäytyy optioiden osingoista
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 24.5. IPhoneen uusi alihankkija
- 24.5. Nokia luopuu isosta massatapahtumasta
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- Kommentoiduimmat
Kevyt ja nopea
Oletko jo tutustunut m.digitoday.fi-mobiilisivustoon?
Uutispäivä
Vuorokauden kaikki uutiset yhdellä sivulla.
Uusimmat uutiset
- IBM pitää iPhonen Siriä tietoturvariskinä 15:40
- Adoben flash saa saattohoitoa Windows 8:ssa 09:17
- Googlen Larry Page: Facebook pitää käyttäjiä panttivankeina 07:00
- Anonymous löysi reitin jenkkiministeriön palvelimelle 22:24
- ”Apple ei anna kehittää virustorjuntaa iPhoneen” 16:55
- Uutuustuotteen lupaus verkkopelaajille: ei enää ärsyttäviä salasanoja 13:55
- Mobiilikonnat entistä ovelampia: Esimerkkinä uusi Angry Birds 14:24
- Äärijuutalaisten nettikokous täyttää kaksi stadionia 07:00
- Lisää
Poiminnat
Digiyesterday
Kolme vuotta sitten
Espanja koululaisten tietokoneilla kriisiä vastaan
27.05.2009 Espanjan koululaiset tulevat saamaan tietokoneen omakseen 5. luokalta alkaen. Se on yksi toimenpide maan parlamentin hyväksymässä "Escuela 2.0"-ohjelmassa, jolla halutaan nostaa maan koulujen tietoteknistä tasoa - ja toimia myös talouskriisiä vastaan.
Taloussanomat
- Asuntopula ja 24 600 tyhjää asuntoa, mikä kaupunki? 06:01
- Suomikin oli hukkua liian vahvaan valuuttaan 06:09
- Yritysguru: Facebook tappaa Piilaakson 10:17
- Muhkean muovinen Nissan Juke 06:05
- Facebookissa vihainen vastaanotto – IMF-johtaja pehmensi Kreikka-lausuntojaan 09:18
- Yllätys? Aurinkohan säteilee täällä Saksan malliin 06:09
- Ainakin 2000 saa potkut RIMiltä 09:44
- Jos Kreikka lähtee, Saksa kärsii 11:08
- Suomi löysi taas Nokian älypuhelimet 06:01
- Autonvuokrauksessa hurjat eurohintaerot 06:09
- » Taloussanomat.fi
Kommentit (19)
Jos Kelan palvelu ei osaa seurata käyttäjän sessiota (esimerkiksi cookie-pohjaisesti) vaan luottaa käyttäjän IP-osoitteeseen (joka voi olla sama kymmenilletuhansille käyttäjille NATtien ja välityspalvelimien takia) niin vika on vain ja ainoastaan Kelan kädettömissä byrokraateissa ja tätä kädettömyyttä ansiokkaasti hyödyntäneessä softantoimittajassa.
Poliisi tutkikoon ja todetkoon syyksi virkamiehen törkeän huolimattomuuden niin maailma olisi taas vähän parempi...
Siihen riittää yksi ihmisen pieni virhe tai ->
Jotenkin tuntuu vähän hullulta, että nainen -> media -> kela mitähän kaikkea tossa nykyisen sensaatioahakuisen median välissä on tapahtunut.
SSL-tekniikka on kyllä tiedossa. Sitä voidaan käyttää tiedonsiirron suojaamiseen palvelimen ja asiakkaan välillä, palvelimen tunnistamiseen asiakkaalle (Kelan palvelin tosiaan on Kelan palvelin eikä huijaus), sitä voitaisiin myös käyttää asiakkaan tunnistamiseen palvelimelle mutta näitä ns. client-sertifikaatteja on käytössä todella harvassa paikassa.
Yksi ihmisen pieni virhe toki riittää tuommoisen bugin aikaansaamiseen. Se, että näiden käyttäjien välillä ei ole (julkisuuteen tihkuneiden, kiistämättä rajallisten ja epäluotettavien tietojen mukaan) mitään muuta yhteistä kuin heidän käyttämänsä IP-osoite, kuitenkin antaa syytä huoleen. Vaikka SSL-yhteyksiä harvemmin viedään välityspalvelimien kautta (koska päästä-päähän -luottamuksellisuus tällöin menetetään), voi NATin (Network Address Translation) takia silti esimerkiksi kokonainen yritys, taloverkko tai vastaava organisaatio näyttää kaikki käyttävän yhtä julkista IP:tä palvelimen näkökulmasta. Myös esim. mobiiliverkoissa käytetään etenkin maailmalla usein NATtia, Suomen tämänhetkistä tilannetta en tiedä.
Jos taas luotetaan suoraan jollain kyseenalaisella konstilla käyttäjän selaimelta ronkittuun IP-osoitteeseen, ollaan vielä vaarallisemmilla vesillä. Moisen ronkinnan kun pystyy huijaamaan erittäin helposti, eikä sekään poista sitä, että esim. NATtien takia useampi käyttäjä voi edelleen näyttää tulevan samasta osoitteesta (vaikkapa 10.0.0.10, 192.168.1.128 ynnä muita koti-ADSL-modeemien oletusosoitteita).
Nainen -> media -> Kela -polusta olen kanssasi samaa mieltä, oikea kuvio olisi ollut nainen -> Kela ja jos tämä ei olisi auttanut niin nainen -> tietosuojavaltuutettu -> kela tai nainen -> viestintävirasto -> kela. Mikä tahansa näistä olisi ollut mediaa parempi. :)
Enkä yhtään ihmettelisi vaikka Sammon uusi "turvaratkaisu" perustuisi IP-osoitepohjaiseen autentikointiin.
Enkä yhtään ihmettelisi vaikka Sammon uusi "turvaratkaisu" perustuisi IP-osoitepohjaiseen autentikointiin.
Paitsi, että toinen asiakas käytti Nordean varmennetta... No, kaipa se Sampo osaa sotkea omat ja muidenkin pankkien asiakkaat keskenään.
Tai ehkä on, mutta vain kukaan ei aiemmin ole ilmoittanut asiasta medialle.