Mitä tarkoittaa uutinen, että suomalaisten pankkien sähköinen tunnistusjärjestelmä (TUPAS) ei ole riittävän turvallinen

Ai kukaan ei tajua?

Uutinen tarkoittaa juuri sitä mitä siinä sanotaan eli asiakasrajapinta toimii OK, siihen ei ole mitään moitetta, mutta siitä eteenpäin eli siinä varsinaisessa protokollassa on puutteita. Ei välttämättä ongelmallisia, mutta systeemi ei ole sellainen kuin EU-tasolla on sovittu.

En tajua. Onko verkkopankkitunnistautuminen tuollainen?

Mikä on "pankin kertakäyttöinen salasana"

Joissakin EU-maissa verkkopankkitunnistautuminen ei ole ollut luotettava, esim. pankkiin on voinut kirjautua aina samalla käyttäjätunnuksella ja salasanalla (kuten sähköpostiin).

Nyt EU pyrkii tapansa mukaan korjaamaan kaikki maailman asiat täydellisiksi ja tyypillisesti mennään sen heikoimman lenkin mukaan niin että asiansa hyvin hoitaneetkin maat saavat kärsiä.

Senpä vuoksi mm. Suomi, jossa ei ole ollut ongelmia verkkopankkitunnistautumisen tietoturvassa, joutuu nyt päivittämään omat ratkaisunsa ja Itä-Euroopan kehitysmaat tekevät ehkä jotain tai sitten ovat tekemättä.

Luottaisitko enemmän romanialaiseen vai suomalaiseen verkkopankkiin?

Vierailija kirjoitti:

Mikä on "pankin kertakäyttöinen salasana"

Avainluku

Siinä on ollut se vika, ettei järjestelmän kautta ole ollut tarpeeksi lobbaajia ja rahavirtaa päättäjien tai heidän lähipiirinsä suuntaan.

Uusi järjestelmä on tietysti sellainen, josta joku taustataho saa kerättyä itselleen hyvät rahat kansalaisilta.

Veikkaan, että halutaan suomalaiset mobiilivarmenteen käyttäjiksi. Nokia! Suomalaiset insinöörit! Mobiili! Alkavat vauvoja tekemään kun opit mamma käyttämään kännykkää! Se on sataprosenttisen turvallinen ja luotettava!

Ja juu, taustatahot. Sitten valtio voi valvoa jne.

Ei täytä vahvaa tunnistautimista.

Tarvii kaksvaiheisen tunnistuksen.

Jos minä nyt menen netissä ottamaan käyttööni operaattorini tarjoaman mobiilivarmenteen, käyttäjän tunnistus voidaan tehdä - yllätys, yllätys - myös sillä pankin TUPAS-varmenteella. Ilmeisesti se henkilöllisyys ja sen varmentaminen on sen jälkeen ehdottoman turvallista.

Eli siis suomeksi nyt ehdottoman turvallisina mainostetut pankkien tunnuslukulaitteet eivät EU:n mielestä olekaan riittävän turvallisia ja pankit joutuvat päivittämään ne vieläkin turvallisimmiksi? Niinkö?

Vierailija kirjoitti:

Eli siis suomeksi nyt ehdottoman turvallisina mainostetut pankkien tunnuslukulaitteet eivät EU:n mielestä olekaan riittävän turvallisia ja pankit joutuvat päivittämään ne vieläkin turvallisimmiksi? Niinkö?

Kuluttajan käyttämät laitteet ja sovellukset ovat turvallisia tässä mielessä. (Ne voivat olla turvattomia jossakin toisessa mielessä). Mutta esimerkiksi Kela ei saisi näillä kriteereillä luottaa pankilta välittyvään TUPAS-tietoon sinusta. Tai siis heidän ei kuuluisi olettaa että sinä olet sinä vaikka pankki niin väittää. Sen sijaan kun kirjaudut verkkopankkiin nykykriteerein pankilla on oikea luottamus olettaa että sinä olet sinä.