Itse en pidä mobiilivarmennetta erityisen turvallisena – onkin aika järkyttävää, että sitä voidaan käyttää henkilöllisyyden todentamiseen.
Mobiilivarmennedialogi pomppaa automaattisesti kännykän näytölle, kun joku on käynyt syöttämässä henkilön puhelinnumeron tunnistuspalveluun. Ihminenhän oppii helposti noudattamaan tuttua kaavaa:
ilmoitus pomppaa ruudulle, painan ok, syötän koodin. Tätä kun toistaa riittävästi, niin jossain vaiheessa huomaa, että hyväksyi juuri ilmoituksen, vaikka ei ollut juuri sillä hetkellä tunnistautumassa minnekään. Tässä suhteessa esimerkiksi sellainen pankin mobiilitunnistautuminen on parempi, jossa kirjautumisesta ei automaattisesti pomppaa mitään ilmoitusta, vaan käyttäjän tulee itse avata se mobiilisovellus. Tietenkään mobiilivarmenneorganisaatiossa ei tätä ymmärretä: hehän sivuillaan jopa kehuvat, että mobiilivarmenne on kaikkein nopein tapa tunnistautua, "koska se ei edellytä erillisen tunnistussovelluksen avaamista".
Toinen hölmöys mobiilivarmenteessa on puhelinnumeron käyttö käyttäjätunnuksena – siis numeron, joka löytyy vaikka kuinka monesta rekisteristä ja on usein ihan julkisesti saatavilla. Järkevämpää olisi käyttää esimerkiksi jotain käyttäjän valitsemaa tekstiä, joka sitten tunnistautumispalvelun taustajärjestelmässä yhdistettäisiin siihen puhelinnumeroon.
Kolmas ongelma on tietenkin riski kännykän varastamisesta vaikkapa jostain pukukopin kaapista. Tunnusluku on helppo etukäteen selvittää esimerkiksi kurkkaamalla olan yli. Nythän tuota mobiilivarmennetta ollaan uudistamassa, eli tulevaisuudessa voi tunnistautua sormenjäljellä tai kasvoilla – tietoturvan kannalta tämäkin on aivan järkyttävän huono idea.
Neljäs haaste on vaara siitä, että operaattori myöntää mobiilivarmenteen siten, että joku kesähessu ylimalkaisesti kurkkaa asiakkaan henkkareita myymälässä. Kyllä, luotan enemmän pankkitoimihenkilöön kuin kännykkäoperaattorin myyj... siis teiniviiksiseen Business Account Manageriin.
No, palataan Nordnettiin. Eikö ketään kauhistuta se, että Nordnet tarjoaa sivuillaan
unohdin salasanani -lomakkeen? Ei se kauheasti lohduta, että käyttää jotain superpitkää salasanaa tai "kaksivaiheista" mobiilivarmennetta, jos identiteettivaras voi kätevästi tilata uuden salasanan postilaatikkoon. Ai niin, osoitetiedonhan tulee vastata Väestörekisterikeskuksen tietoja. Kylläpäs nyt identiteettirosmon puntti tutisee – tai sitten vaihtoehtoisesti hän käy tarkistamassa uhrin postilaatikon ennen kuin asukas ehtii töistä kotiin.
Summa summarum: En pidättelisi hengitystä sen suhteen, että Nordnet saa mitään järkevää 2FA-tunnistautumista aikaiseksi.
Tai en tiedä kaikista, mutta ainakaan Nordnet eikä Nordea noita tarjoa eikä tietääkseni muutkaan paikalliset. Pitäisi varmaan viimein vihdoin hommata se joku muu tyyliin lynx tai degiro...
