Luotatko henkilötunnuksen kysyjään?

Tässä taannoin sain yllättävän puhelun. Henkilö joka sanoi olevansa eräästä valtion virastosta rupesi tiedustelemaan henkilötietojani, koko nimeäni ja henkilöturvatunnustani, kertomatta mitä asia koskee. Kaava on tuttu, mutta tällä kertaa en osannut odottaa puhelua, joten tilanne vaikutti tavallistakin arveluttavammalta.

Jos joku tuntematon soittaisi sinulle ja pyytäisi saada henkilöturvatunnuksesi, antaisitko sen hänelle, vain koska hän väittää olevansa jostain julkisesta virastosta - kelasta, vakuutusyhtiöstä tai kuljetusliikkeestä? Näin me kuitenkin teemme, eikä meille tarjota mahdollisuutta tunnistaa puhelun toista puolta, ennen kuin annamme heille tiedot joilla oman elämämme saisi pirstaleiksi.

En tiedä mikä muiden kokemus on, mutta itse saan sen verran paljon huijausviestejä ja puheluita, että olen nykyään kovin varuillani. Osa huijausyrityksistä on jopa melko hyviä ja kohdennettuja. Osuessaan sopivaan hetkeen, kun on vähän kiire, väsynyt, tai juuri asioinut saman viraston tai firman kanssa, saattaa puolustus pettää.

Miten ongelman voisi sitten ratkaista? #

Ongelma on samankaltainen kuin sähköisessä viestinnässä. Siinä asia ratkaistaan sähköisellä allekirjoituksella, menetelmällä jossa molemmilla osapuolilla on epäsymmetriset salausavaimet. (Epäsymmetrisessä salausavaimessa toinen puoli avainta voi luoda viestin ja toinen puoli voi avata sen. Allekirjoituksen tapauksessa jokaisen viestin avausavain on julkinen, mutta kirjoitusavain salainen). Näin voidaan varmistua että vain salaisen avaimen haltija on voinut kirjoittaa viestin. Tämä on kuitenkin liian raskas protokolla puhelimessa tehtäväksi, ilman apuvälineitä ainakin.

On yleisesti tunnettu ongelma, että henkilöturvatunnuksella voi tehdä liian paljon. Syntymäaika ei ole kovin salassapidettyä tietoa, ja jäljelle jäävistä merkistä välimerkki on johdettavissa suoraan syntymäajasta, yksi merkki tulee tarkastussummasta, joten koko “salasanassa” on vain kolme oikeasti salaista numeroa. Koko henkilöllisyys on siis kolminumeroisen pin-koodin takana, eikä sitä voi vaihtaa. Tämä on vuonna 2026 auttamatta liian vähän. Paras siis olisi ettei hetua käytettäisi salasanana missään, eikä tunnistautumiseen ollenkaan, vaan siihen olisi oma koodinsa.

Viranomaisten kohdalla hetun tilalle voisi ottaa käyttöön vaihdettavissa olevan asiointikoodin. Usein firmojen asiakkuuksien kohdalla tällainen on jo esimerkiksi asiakas- tai tilausnumero. Tilausnumero on parempi, koska se muuttuu usein, joten riski sen vuotamisesta on pienempi. Tällä tavoin henkilö voisi tunnistautua virastolle tai yritykselle. Jos tällaista ehdottaisi digitaaliseen tunnistautumiseen, saisi pöyristyneitä katseita. Saman avaimen käyttäminen kahdesti on cryptografiassa faux pas. Silti ratkaisu olisi paljon nykyistä parempi.

Vähentääkseen riskiä tunnuksen paljastamisesta väärälle taholle, pitäisi varmistua toisen puolen henkilöllisyydestä. Jos henkilö itse soittaa virastoon tai firmaan, riittää yleensä että numeron näppäilee oikein ja puhelimessa vastataan oikean putiikin nimellä. Kuitenkin kun virasto tai yritys soittaa henkilölle, puhelinnumero ja nimi eivät riitä tunnistamiseen.

Voisi toivoa että soittajan voisi tunnistaa vaikka puhelinnumerosta. Tässä on kuitenkin useita merkittäviä ongelmia. Suurimmat ovat että yleensä yritykset ja virastot eivät julkaise numeroita joista he itse soittavat, korkeintaan jonkin numeron josta heille voi soittaa, muttei aina sitäkään. Toinen on vakavampi. Valitettavasti Suomessakin soittajan puhelinnumeron väärentäminen on mahdollista. Olen saanut useita puheluita hämmentyneiltä ihmisiltä, jotka ovat kertoneet soittaneensa takaisin numeroon josta heille oli yritetty soittaa hetkä aiemmin. Puhelinoperaattori vahvisti, että tällainen huijauskampania oli menossa, eivätkä he voineet tehdä asialle mitään. Yksinkertaistaen vika on siinä, että puhelinverkon sisällä oleviin laitteisiin luotetaan sokeasti, eikä niiden viestien aitoutta tarkisteta. Huijari voi siis sopivalla laitteella esittää soittavansa vaikka presidentin numerosta, eikä puhelinverkko tarkista omistaako huijari numeroa oikeasti.

Mikä oli saamani puhelun laita? Miten tilanne ratkaistiin? #

Sovimme että soittaja lähettää minulle sähköpostiviestin viraston sähköpostiosoitteesta. Viestiin hän liitti numeron johon voin soittaa takaisin. Tarkistin saapuneen viestin domainin kuuluvan oikealle virastolle ja mukana olleen puhelinnumeron, joka täsmäsi sitä josta puhelun olin saanut. Soitin siis takaisin numeroon ja saimme asian hoidetuksi.

Kävi ilmi että kun olin viimeksi asioinut viraston kanssa, virasto ei ollut merkinnyt asiaa loppunkäsitellyksi, joten muutama päivä myöhemmin sain tämän yllättävän soiton, missä asian tilaa kyseltiin uudestaan. Erikoista oli, että jos en olisi suostunut tunnistautumaan, olisi asiani merkitty käsitellyksi, vaikka soittaja ei olisikaan varmistunut siitä että oli edes tavoittanut oikeaa henkilöä.

Tämäkin ratkaisu oli puutteellinen #

Sähköpostikaan ei valitettavasti ole täydellinen tunnistustapa. Sähköpostiprotokollassa on sama ongelma kuin puhelinprotokollassa, eli viestin todellista lähtöosoitetta ei välttämättä tarkisteta. Asia on kuitenkin aiheuttanut menneinä vuosina niin paljon harmia roskaposti- ja huijauskampanioina, että isot sähköpostitarjoajat, kuten Google, Microsoft ja Amazon tarkistavat nykyään lähettäjätiedon oikeellisuuden ennen viestien välittämistä, eivätkä myöskään hyväksy viestejä palvelimilta, joita eivät ole päässeet luotettujen listalle. Tämä on parantanut sähköpostin luotettavuutta, mutta keskittänyt myös valtaa isoille toimijoille.

Mainittakoon että mm. sähköpostien salaukseen ja allekirjoitukseen on ollut jo vuosikymmeniä olemassa Pretty Good Privacy (PGP) ja sen ilmainen korvaaja GNU Privacy Guard (GPG). Tämä perustuu samaan standardiin jota mm. Proton Mail käyttää käyttäjiensä sähköpostien end-to-end salaamiseen.

Google on noteerannut numeronväärennysten ongelman, niinpä Google julkaisi hiljattain ratkaisunsa onggelmaan. Vihdoin tehdään jotain tämän puhelinjärjestelmäheikkouden laastaroimiseksi. Toimiakseen se kuitenkin tarvitsee ajantasaisen Android-käyttöjärjestelmän ja toimivan internetyhteyden, jotta tunnistetieto voidaan välittää automaattisesti. Tämäkin toki siirtää lisää valtaa Googlelle. Toistaiseksi järjestelmä toimii vain tiettyjen pankkien kanssa, joista vain Revolut toimii myös Suomessa. Vaikka muutos onkin oikeaan suuntaan, vaihtokauppa ei ole ilmainen ja maksuvälineenä toimii oma yksityisyytemme.

Viestiprotokollat:

• SMTP tuli käyttöön 11/1981 – 44 vuotta sitten
• GSM tuli käyttöön 12/1991 – 34 vuotta sitten

Sähköpostin salaus ja allekirjoitusmenetelmät:

• PGP julkaistiin 1991 – 35 vuotta sitten
• GPG julkaistiin 9/1999 – 26 vuotta sitten