Digitalisaatio - hyvät ja huonot puolet

[Paapaa]

No tuohan kivasti selittäisikin Nordean palvelunestohyökkäykset kun pankkipalvelut on pilvessä eli internetissä. Nuo wanhat mainframe-koneet kun eivät netissä suoraan ole niin niihin ei DDOS-hyökkäykset niin pure.

No ei. No ei kai pilvipalvelu tarkoita sitä, että siellä oleva palvelin olisi julkinetissä? Ei tietenkään ole. Ihan samalla tavalla ne tietokannat on poissa internetistä eikä niihin päästä suoraan käsiksi yhtään mistään. Ei pilvi eroa omasta konesalista tuossa mielessä yhtään mitenkään. Kumpikin voidaan erottaa netistä ihan samalla tavalla ja kumpaankin toisaalta pitää jotenkin päästä käsiksi jotta se data näkyy lopulta asiakkaalla. Eli kummassakin tarvitaan jokin julkinettiin näkyvä palvelin, joka sitten ottaa yhteyttä sinne kantaan tai mikropalveluihin tai mainframeen tai mihin tahansa. Pilvipalvelu on ihan samanlainen konesali kuin oma, paitsi että joku muu ylläpitää sitä.

 

[ravallo]

Eikös IBM:llä ole jo vuosikymmeniä(?) ollut systeemit noiden Z -arkkitehtuurien virtualisointiin? Eli voi olla että siellä konesalissa jyllää joku oikea Z-sarjan mainframe tai sitten ei, mutta koodi on kuitenkin jotain aikanaan Z-sarjalle kirjoitettua legacya.

Norpallahan oli se iso Temenos core banking -uudistus, mikä ainakin noin periaatteessa on nimenomaan sellainen jossa tarkoituksena on pistää lopuksi mainframesta virrat pois ja siirtyä modernimpaan menoon, mutta sitten käytännössä mun kokemuksen mukaan sinne jää aina jotain reunajärjestelmiä ja rippeitä joita ei olekaan kustannustehokasta tuoda uuteen integraatioon (varsinkaan kun se on pakettijärjestelmä joka joustaa sen minkä se joustaa), ja niiden takia siitä legacysta ei päästä kokonaan irti.

Mä en tunne Temenosta yhtään, eikä toi core banking (eli perus lainat, rahatili- ja rahaliikenne) oo muutenkaan mulle tuttu alue kun itse tusasin vähän toisella alueella, joten en osaa sanoa miten tuo pelaa.

 

[Vaateri]

voin olla tietysti väärässäkin.

Tämä oli ainoa osuma viestissäsi. Ja siinä myöhemmässä myös.

 

[munse]

Tuntuu, että viime aikoina Mobiilivarmennetta on hehkutettu tietoturvallisempana vaihtoehtona verkkopankkitunnuksille. Pääargumentti on ollut, että pankkitunnuksista poiketen Mobiilivarmenteessa ei ole (suoraa) riskiä sille, että voro pääsee käsiksi rahoihisi.

Mutta eihän tämä pidä paikkaansa. Esimerkiksi Nordnetiin on mahdollista kirjautua Mobiilivarmenteella. Ja tyypillisesti siellä on suuremmat varat kuin "varsinaisessa" pankissasi.

 

[ojisama]

Tuntuu, että viime aikoina Mobiilivarmennetta on hehkutettu tietoturvallisempana vaihtoehtona verkkopankkitunnuksille. Pääargumentti on ollut, että pankkitunnuksista poiketen Mobiilivarmenteessa ei ole (suoraa) riskiä sille, että voro pääsee käsiksi rahoihisi.

Mutta eihän tämä pidä paikkaansa. Esimerkiksi Nordnetiin on mahdollista kirjautua Mobiilivarmenteella. Ja tyypillisesti siellä on suuremmat varat kuin "varsinaisessa" pankissasi.

Osa turvallisuudesta tullee siitä, että et niin vain huijauksen seurauksena siirrä mobiilivarmennetta toisen henkilön käyttön(?)

 

[pulatunnus]

Tuntuu, että viime aikoina Mobiilivarmennetta on hehkutettu tietoturvallisempana vaihtoehtona verkkopankkitunnuksille. Pääargumentti on ollut, että pankkitunnuksista poiketen Mobiilivarmenteessa ei ole (suoraa) riskiä sille, että voro pääsee käsiksi rahoihisi.

Mutta eihän tämä pidä paikkaansa. Esimerkiksi Nordnetiin on mahdollista kirjautua Mobiilivarmenteella. Ja tyypillisesti siellä on suuremmat varat kuin "varsinaisessa" pankissasi.

Sähköisellä tunnistatumisella ei sinänsä ole rajaa miten isoja taloudellisia vahinkoja sillä voi tehdä. Eli se ei ole se juttu.

 

[ravallo]

IS: Pankkikonserni Nordealla on ollut viime vuosina vakavia ongelmia järjestelmiensä testaamisessa erilaisten hätätilanteiden varalta

Joku tanskalaislehti väittää saaneensa käsiinsä Norpan asiakirjan muutaman vuoden takaa jossa on todettu että siellä on vakavia ongelmia toipua häiriötilanteista, eli jos jossain datakeskuksessa tulee ongelma, yliheitto varajärjestelmille ei onnistu. Sitä ei asiakirjan mukaan oltu testattu koskaan 2010-2020 -välisenä aikana.

Vaikea lukea rivien välistä mikä toi tilanne oikeasti on ollut ja miten vakava riski, mutta tuollaistahan se on jos kokonaisuus on järjestelmäspagettia...

 

[takomo]

Osa turvallisuudesta tullee siitä, että et niin vain huijauksen seurauksena siirrä mobiilivarmennetta toisen henkilön käyttön(?)

Mahdollisuus delegoida vahva tunnistautuminen on ihan fundamentaali systeemiheikkous. Jääkö tästä välttämättä edes jälkeä seurattavaksi?
Ts. kun pääset pankkiin, voit luoda mobiilivarmenteen pelkkään pankkitunnisteeseen nojautuen - ja mobiilivarmenteella voi varmaan jostain saada pankkitunnisteet?

Kyllä tämän pitäisi toimia niin, että sähköisen tunnistautumisvälineen voi saada vain fyysisellä tunnistautumisella.