Kännykän sormenjäljen kaappaaminen

[JJJ62]

Teoreettinen kysymys:
Pystyykö joku välikäsi kaappaamaan kännykän sormenjälkitunnistimen netissä?

 

[JJJ62]

Taitaa olla niin, että tapauksia ei ainakaan toistaiseksi ole havaittu.
Pankit sitä suosittelee mutta itse pitäisin vanhaa tunnuslukutaulukkoa
turvallisempana. Siinä on sentään vaihtuvat tunnukset kun taas sormenjälki pysyy aina samana.

 

[=JP=]

Jos nyt tarkoitat sormenjäljellä tunnistautumista jonkin pankin vahvaan tunnistautumissoftaan, niin paljon turvallisempi se on kuin vanhat fyysiset taulukot. Ei se sitä sun sormenjälkeä käytä itse tunnistautmiseen, siellä taustalla lasketaan algoritmeilla koodit. Siinä sentään vaaditaan se sun sormenjälki, kun taas fyysinen taulukko on kenen tahansa luettavissa ja esim. helposti varastettavissa.

 

[Pakana]

kun taas fyysinen taulukko on kenen tahansa luettavissa ja esim. helposti varastettavissa.

Itseasiassa suurin ongelma on se että se on helposti kopioitavissa.

 

[TeknoR]

Itseasiassa suurin ongelma on se että se on helposti kopioitavissa.

Sen takia sitä ei pidetä kuin pöytälaatikossa. Kuka sen sieltä kopioi? Kuvitellaan että itse ainoana käytät sitä ja et päästä ulkopuolisia asuntoosi.

 

[tjkoo]

Sen takia sitä ei pidetä kuin pöytälaatikossa. Kuka sen sieltä kopioi? Kuvitellaan että itse ainoana käytät sitä ja et päästä ulkopuolisia asuntoosi.

Murtovaras tai postin työntekijä joka sen listan sinulle tulostaa / postittaa / kuljettaa, noin esimerkiksi.

Lisäksi jos se on vain pöytälaatikossa niin miten hoidat pankkiasiat reissussa?

 

[djmake]

Sen takia sitä ei pidetä kuin pöytälaatikossa. Kuka sen sieltä kopioi? Kuvitellaan että itse ainoana käytät sitä ja et päästä ulkopuolisia asuntoosi.

Edes ulkopuolinen ei omassa asunnossa kyllä pengo laatikoita enkä yleensä edes jätä ketään ulkopuolista yksin. Jos jätän, jäävät myös kamerat päälle.
Oikeassa joka tapauksessa olet. Vain ja ainoastaan kotona oleva tunnuslukutaulukko oli turvallisempi vs pelkällä sormenjäljellä toimivat. Suomessa ongelmaa tuskin on mutta on maita, jossa ei viedä vain puhelinta vaan myös omistaja. Sormenjälki saadaan silloin kysymättä, mahdollinen lisävahvistuksen koodi tms pakottamalla.

Mitä aloituspostaukseen tulee niin harva on niin kiinnostava henkilö, että sormenjäljellä olisi merkitystä vaikka sen saisi vain vähäisellä vaivan näöllä puhelimesta. Muutoinkin ilman foliohattua suurin riski on käyttäjä, joka asentaa ajattelematta mitä tahansa ja antaa mitä tahansa lupia sovelluksille.

Murtovaras tai postin työntekijä joka sen listan sinulle tulostaa / postittaa / kuljettaa, noin esimerkiksi.

Lisäksi jos se on vain pöytälaatikossa niin miten hoidat pankkiasiat reissussa?

Murtovarkaan tapauksessa joku tunnuslukutaulukko on todella pieni murhe, moni muu on paljon suurempi. Eikä pelkällä taulukolla tee mitään ellei "fiksusti" käyttäjätunnuksia ja salasanoja kirjoiteta postit-lapulle koneen viereen.

Postin työntekijä taas ei todellakaan tulostele tuollaisia, pankki hoitaa sen puolen. Ja jos kirje on yhtään avatun oloinen, ei uutta listaa edes oteta käyttöön. Suoraan kun ei toimi.
Lisäksi sama kuin edellä. Pelkällä listalla ei tee mitään.

Ja toki, aikanaan oli välillä pakko kuljettaa tuota listaa mukana, tosin läppärin kanssa kuva listasta salatulla usbitikulla tms oli aika varma. Eikä listaa todellakaan ollut järkevää kuljettaa aina lompakossa.
Nykyinen tapa on tottakai merkittävästi helpompi, se on täysin totta. Mutta riski kaikki puhelimessa vs pakolliset avaimet fyysisesti eri paikassa tuottaa erilaisen tuloksen. Valitettavasti vaan siellä reissulla ollessa voit rikkoa puhelimen eikä vielä olla tilanteessa, jossa ilman tunnuslukuja saat 100% varmasti kaiken tarpeellisen toimimaan.

 

[MrB]

Postin työntekijä taas ei todellakaan tulostele tuollaisia, pankki hoitaa sen puolen.

Luultavasti joku ulkoistettu tulostuspalvelu jossakin. Tuskin pankit enää noita itte tee. Voi hyvin olla Postilta ostettu.

 

[=JP=]

Suurimmasta osasta pankeista saa sen fyysisen palikan, jota voi pitää kotona jos niin haluaa edelleen...

 

[tjkoo]

Postin työntekijä taas ei todellakaan tulostele tuollaisia, pankki hoitaa sen puolen. Ja jos kirje on yhtään avatun oloinen, ei uutta listaa edes oteta käyttöön.

Posti tai Strålfors ne tulostaa, ei pankeilla ole ollut omaa tulostusta varmaan vuosikymmeneen.

 

[djmake]

Luultavasti joku ulkoistettu tulostuspalvelu jossakin. Tuskin pankit enää noita itte tee. Voi hyvin olla Postilta ostettu.

Posti tai Strålfors ne tulostaa, ei pankeilla ole ollut omaa tulostusta varmaan vuosikymmeneen.

En ala väittämään vastaan kun hetken asiaa itsekin ajatellen pankit ovat ulkoistaneet muutakin. Mutta kiinnostaisi, onko ne ulkopuoliset jossain selkeästi nimetty vai onko toimijoiden osalta kyse valistuneesta arvauksesta?

Pankkia tarvitaan silti joka tapauksessa, pelkkä lista on muuten täysin turha. Enkä myöskään usko sitä, että mikä tahansa rivityöntekijä työskentelee arkaluontoisen materiaalin parissa. Ei toki takaa rehellisyyttä mutta oletusarvoisesti tiloja myös valvotaan niin, että mahdollisuudet väärinkäytöksiin minimoidaan.
Yksittäiseen postinjakajaan en välttämättä liikaa luota, se tavallaan tulikin jo esille. Mutta ottaako tunnuslukutaulukon kanssa riskin? Hyöty vs riski on pahasti riskin puolella.

Tunnuslukutaulukkoa tai sormenjäljen haltuun saamista suurempi riski on pankkikorttien toimittaminen. Pin on osalla itse valittavissa, monella verkkopankista katsottavissa, kortin uusiutuessa pysyy samana jne. Kuitenkin jostain käsittämättömästä syystä viimeksi laatikkoon tipahti kortti ja tunnusluku samalla postin jakokerralla. Pankin vastaus "me lähetetään ne eri päivinä, ei pitäisi tulla samaan aikaan". Ei varmasti mutta jo toinen kerta itsellä noin.
Sikäli liittyy tunnuslukutaulukkoon ja sormenjälkeen että myös korttien toimitus olisi turvallisempaa jos uusi olisi pakko jollakin olemassa olevalla tunnistustavalla aktivoida.

 

[Pakana]

Tunnuslukutaulukkoa tai sormenjäljen haltuun saamista suurempi riski on pankkikorttien toimittaminen. Pin on osalla itse valittavissa, monella verkkopankista katsottavissa, kortin uusiutuessa pysyy samana jne. Kuitenkin jostain käsittämättömästä syystä viimeksi laatikkoon tipahti kortti ja tunnusluku samalla postin jakokerralla. Pankin vastaus "me lähetetään ne eri päivinä, ei pitäisi tulla samaan aikaan". Ei varmasti mutta jo toinen kerta itsellä noin.
Sikäli liittyy tunnuslukutaulukkoon ja sormenjälkeen että myös korttien toimitus olisi turvallisempaa jos uusi olisi pakko jollakin olemassa olevalla tunnistustavalla aktivoida.

Ainakin mulle on tullut jo pitkään uusi kortti niin että tunnusluku ei muutu, eli mitään erillistä tunnuslukukuorta ei tule.. Sitä en kyllä muista miten tuo tunnusluku alunperin saapui.

Se tunnusluku listahan aktivoidaan käyttämällä jokin viimeisista luvuista vanhalla listalla, samantyyppinen systeemi voisi olla kortissakin, mutta teknisestihän nuo ovat täysin eri tuotteet.

 

[djmake]

Ainakin mulle on tullut jo pitkään uusi kortti niin että tunnusluku ei muutu, eli mitään erillistä tunnuslukukuorta ei tule.. Sitä en kyllä muista miten tuo tunnusluku alunperin saapui.

Kahdella tavalla muistan tulleeni. Toinen on reilun puolen postikortin kokoinen "lappu" kaksinkertaisesta paperista, pin sisäpuolella ja pinnalla se valoa vasten lukemisen estävä "sekasotkupainatus"
Toinen versio on kirjekuori, jossa tarra/teippi peittämässä tunnusluvun (saattoi olla siinä tarrassa) ja toteutus se, että irroittamisesta jää jäljet.

Eikä se tunnusluku itselläkään muuttunut. Tuli sama luku, joka oli vanhassa kortissa. Eii turhaa ja täysin käsittämätöntä.

Se tunnusluku listahan aktivoidaan käyttämällä jokin viimeisista luvuista vanhalla listalla, samantyyppinen systeemi voisi olla kortissakin, mutta teknisestihän nuo ovat täysin eri tuotteet.

Näin juuri. Vaikka eri tuote, joku vastaava metodi voisi olla olemassa.

 

[=JP=]

Liekkö turvallisuussyistä vaiko teknisistä syistä tuo PIN koodi on koodattu suoraan korttiin ja vaihtaminen vaatii uuden kortin. Olisi kätevää, jos sen voisi verkkopankissa vaihtaa halutessaan, tietyin rajoituksin, ettei älypäät ala laittamaan niitä "0000" koodeja, että muistaa...

 

[tjkoo]

Liekkö turvallisuussyistä vaiko teknisistä syistä tuo PIN koodi on koodattu suoraan korttiin ja vaihtaminen vaatii uuden kortin. Olisi kätevää, jos sen voisi verkkopankissa vaihtaa halutessaan, tietyin rajoituksin, ettei älypäät ala laittamaan niitä "0000" koodeja, että muistaa...

Ainakin OP:ssa voi verkkopankista valita itse haluamansa tunnusluvun, voisin kuvitella että myös vaihtaminen onnistuu.

 

[MrB]

Liekkö turvallisuussyistä vaiko teknisistä syistä tuo PIN koodi on koodattu suoraan korttiin ja vaihtaminen vaatii uuden kortin. Olisi kätevää, jos sen voisi verkkopankissa vaihtaa halutessaan, tietyin rajoituksin, ettei älypäät ala laittamaan niitä "0000" koodeja, että muistaa...

Edellisessä työpaikassa oli firman Eurocard ja siellä olis voinu portaalissa vaihtaa pin-koodin. Eikä se missään sanonu että siitä syntyis uusi kortti. Samalla lailla se koodi valittiin itte korttia tilatessa

 

[djmake]

Ainakin OP:ssa voi verkkopankista valita itse haluamansa tunnusluvun, voisin kuvitella että myös vaihtaminen onnistuu.

Edellisessä työpaikassa oli firman Eurocard ja siellä olis voinu portaalissa vaihtaa pin-koodin. Eikä se missään sanonu että siitä syntyis uusi kortti. Samalla lailla se koodi valittiin itte korttia tilatessa

Ainakin OP:n mobiili nopealla selaamisella ainoastaan näyttää koodin, vaihtomahdollisuutta ei ole. S-pankki kertoo postittavansa uuden kortin jos vaihtaa, veloitus 10€

Norwegian antaa mahdollisuuden vaihtaa mutta sielläkin:

Jos valitset uuden PIN-koodin, uusi kortti postitetaan sinulle alla olevaan osoitteeseen:

En tarkistanut hinnastoa mutta ainakin jossakin kohdassa oli ilmainen eikä nytkään suoraan hintaa tarjonnut. Luonnollisesti en vaihtaa halunnut.

Joissakin maissa on mahdollisuus vaihtaa koodi automaatilla, sitä en tiedä, miksi meillä ei näin ole.

 

[Infy]

Luuri tallentaa sormenjäljen salattuun hardis piiriin. Mitään ohjelmointirajapintaa sen sieltä ulos saamiseksi ei ole. Kun avaat puhelimen sormenjäljellä, tuo piiri kertoo käyttöjärjestelmälle vastaako skannattu sormi sillä tallessa olevia vai ei.

Luurin softa ja rauta on ihmisen suunnittelimia ja sisältää totetusvirheitä. Ei voi 100% varmasti sanoa, ettei jotain haavoittuvuutta tai takaporttia hyväksikäyttäen saisi sormenjälkeä sieltä ulos.

 

[allapo]

Sormenjälki myös huono suojaustoimenpide jos uhri on fyysisesti vaarassa tai joutuu uhriksi rikostapauksessa.
Sitähän voi sormenjälkeä käyttää huumattuna, pakotettuna tai pahimmassa tapauksessa irroitettuna.

 

[JJJ62]

Tällaistakin on näköjään kehitteillä:

Piditkö sormenjälkeä varmana suojana puhelimelle? Nyt loppui ruudun pyyhkiminen

Murtokeino ei ole helppo eikä erityisen varmatoiminen, mutta sitäkin kuumottavampi.

www.tivi.fi

 

[TeknoR]

Tällaistakin on näköjään kehitteillä:

Piditkö sormenjälkeä varmana suojana puhelimelle? Nyt loppui ruudun pyyhkiminen

Murtokeino ei ole helppo eikä erityisen varmatoiminen, mutta sitäkin kuumottavampi.

www.tivi.fi

eikös tuossa sekoiteta kaksi asiaa toisiinsa. Sormenjälki ja pyyhkäisykuvio.

Onnea vaan "kuunteluun" jos esim sormenjäljen lukija on sivunäppäimessä.

 

[Kilkenblad]

eikös tuossa sekoiteta kaksi asiaa toisiinsa. Sormenjälki ja pyyhkäisykuvio.

Onnea vaan "kuunteluun" jos esim sormenjäljen lukija on sivunäppäimessä.

Ei. Kuten artikkelissa todettiin niin sormenjälkiä kuunnellaan ihan normaalin puhelimen käytön aikana, ei pelkästään näytön avauksen yhteydessä.

 

[djmake]

Sormenjälki myös huono suojaustoimenpide jos uhri on fyysisesti vaarassa tai joutuu uhriksi rikostapauksessa.
Sitähän voi sormenjälkeä käyttää huumattuna, pakotettuna tai pahimmassa tapauksessa irroitettuna.

Tämä on aivan totta ja oikeastaan helpoin väärinkäytettävä jos laite ja omistaja on samassa paikassa.Toisaalta myös kasvojen tunnistus on varsin suojaton tällaisissa. Silmien räpäyttäminen luurin tms pyynnöstä on toki haastava jos olet huumattu / hengetön, muutoin ei. Ja salasanankin suurin osa antaa riittävällä uhkailulla.
Harvalla on kuitenkaan normaalisti kovin merkittävästi kiinnostavaa dataa puhelimessa. Ja monessa tapauksessa riittäisi, jos puhelimen / osan softista saisi tavalla tai toisella aikalukittua. Joku pikkurikollinen ei pankkitilille pääsyä jäisi odottamaan jos puhelimissa olisi yleisesti tiedossa ja selvästi näkyvillä olevana ominaisuutena "pankkisovellukset lukittu, avaus mahdollinen x tunnin päästä".

Joskus uutisoitiin poliisin voivan ottaa rikostutkinnan yhteydessä väkisin sormenjäljen puhelimen avaamiseen. Salasanaa taas ei voida väkisin ottaa. Siitä en muista lukeneeni, miten kasvojen tunnistuksen kanssa.

Aloituksen mukaiseen nämä eivät kuitenkaan liity koska sitä sormenjälkeä ei puhelimesta ulos oteta / saada. Hyvä kysymys olisi oikeastaan se, mitä normaalin ihmisen sormenjäljellä edes tekee?