Identiteetin suojaus (kerro miten väärässä olen)

[AimoE]

Ensin oli "Sign in with Google" -tyyppinen kirjautuminen, jonka avulla IT-jäteille kertyy arvokasta tietoa asiakkaidensa yhteysverkostoista. Vältin sitä niin paljon kuin pystyin.

Sitten tuli passkey, jonka markkinoinnissa jotkut IT-jätit kehuvat, että salasanoja ei enää tarvita. Todellisuudessa passkey tekee salasanan tarpeettomaksi vain silloin, kun sen ottaa käyttöön korporaatio tms. iso asiakas, jolla on keino käyttäjien vahvaan tunnistamiseen.

Yksityiset Internet-käyttäjät eivät suostu tunnistautumaan vahvasti missään missä laki ei sitä vaadi, joten yleisessä käytössä IT-jätit vaativat, että tilillä täytyy kaappausten varalta olla salasanan lisäksi vaihtoehtoisia tunnistautumistapoja kuten toinen sähköpostiosoite, puhelinnumero, tai fyysinen avainlaite ennen kuin passkeyn voi ottaa käyttöön. Kaikilla näillä vaihtoehdoillakin on vahvistuksenaan salasana, PIN-koodi, tms. tunnistautumistapa.

Passkeyn infrastruktuuri perustuu arkkitehtuuriin, jossa käyttäjien ja verkkopalveluiden välissä on välityspalvelu, joka rekisteröi verkkopalveluiden ja niiden käyttäjien väliset yhteydet eri tunnistautumistapojen tarkkuudella. Eri IT-jäteillä on eri välityspalvelut, mutta niitä ei ole monta, ja ne ovat kaikki amerikkalaisia.

Ainoa tapa, jolla yksityinen henkilö voi rajoittaa sitä, miten kattavasti jokin IT-jätti näkee hänen yhteysverkostonsa, on jättää ottamatta käyttöön vaihtoehtoisia tunnistautumistapoja. Käytännössä niitä on kuitenkin pakko olla, joten seuraava yritys on jakaa verkosto osiin, joilla ei ole yhteyksiä keskenään. Jokainen osaverkko kuitenkin täytyy ankkuroida eri joukkoon tunnistautumistekijöitä. Vaikka yksityinen henkilö onnistuisikin hankkimaan tarpeeksi monta puhelinta, SIM-korttia, avainlaitetta tai IT-jäteille tuntematonta sähköpostiosoitetta, niin osaverkkojen täysi eristäminen toisistaan käy aika ylivoimaiseksi kaikessa skitsoudessaan.

Käytännössä olemme IT-jättien armoilla. Amerikkaan kertyy koko ajan enemmän tietoa, jonka avulla verkkopalveluiden käyttäjiä voidaan yksilöidä tarkkuudella, joka lähestyy vahvaa tunnistusta sitä lähemmäksi mitä enemmän verkkoa käytämme.

[qwertyy]

Itse kyllä myös karttanut tuota Googlen kanssa kirjautumista. Varmaankin olen väärässä, mutta tuntuu todella epäilyttävältä tavalta kirjautua ja itsellä ainakin olisi pelko, että milloin se phishing sivusto osuu kohdalle.

Välillä miettinyt noita Yubicon avaimia, että laittaisiko niitä. Se kait on ruotsalaislähtöinen yritys? No toki onkait valtaosa tekniikoista, mitä se hyödyntää silti jostain jenkkilän suunnalta lähtöisin.

[Jere Sumell]

Mielenkiintoinen aihe.

Itsekin sen "virheen" -tehnyt, että FB -tunnuksilla muutamaan palveluun olen rekannut itseni sisään.

Noissa kirjautuminen G:n, FB:n tai Apple:n tileillä palveluihin se ongelma, että sitten jos lopettaa jonkun noista kolmesta millä rekisteröitynyt alunperin, myös katoaa loggausmahdollisuus niihin palveluihin, joihin rekannut itsensä alunperin.

Vähän ajankohtaisia tuulia mitä seuraan, niin vasta viime vuosina Suomessakin julkinen keskustelu alkanut vasta viriämään, että EU:n Suomi sen pienenä osana täällä pohjoisen itänurkassa pitäisi olla vähemmän riippuvainen Atlantin takaisesta vallasta ainakin sen suhteen missä meidän tietoja on säilössä.

Suomen EU-mepeistä taitaa kokoomuksen Henna Virkkunen olla näistä ajankohtaisista digiviestintä -asioista ainakin ryhmissä mukana Brysselissä, ja käsittääkseni on ihan myös terveellä pohjalla edistämssä Euroopan Unionin alueen itsenäisempää otetta meistä kerättävän ja säilytettävän datan osalta maantieteellisesti, mitä koen EU-alueen asiat puoluerajojen kannatuksen ylittävänä asiana ja toimijoina suomalaiset EU-politiikan ytimessä.

Vilkutan siis vihreää valoa EU:n suuntaan tavis-suomalaisen näkökulmasta.

EU-tasolla käsittääkseni on jonkinlainen oma identiteettilompakon tyyppinen kehitteillä ja Suomella kansalaisille, mikä voisi jossain kohtaa ehkä korvata nämä yksityisten teknojättifirmojen tunnistautumis-ongelmat. Korjatkaa ja täydentäkää jos olen hakoteillä.

[AimoE]

EU-tasolla käsittääkseni on jonkinlainen oma identiteettilompakon tyyppinen kehitteillä ja Suomella kansalaisille, mikä voisi jossain kohtaa ehkä korvata nämä yksityisten teknojättifirmojen tunnistautumis-ongelmat. Korjatkaa ja täydentäkää jos olen hakoteillä.

EUDI Wallet -hanke kehittää konseptia, jolle tulee monia erilaisia toteutuksia. Viranomaiskäyttöön tulee lompakko, joka vaatii vahvan tunnistautumisen. Tuleeko rinnalle kaupallisia lompakoita, jotka eivät ollenkaan vaadi vahvaa tunnistautumista, on minulle vielä jäänyt epäselväksi. Lompakon ajatus on kyllä se, että kussakin tilanteessa sieltä näytetään vain se tieto, joka on tarpeellinen. Eli vaikka lompakon omistaja on tunnistettu vahvasti, lompakon ei ole tarkoitus paljastaa todellista identeettiä kaikille. Mutta jos kaikki lompakot vaativat omistajan vahvan tunnistuksen, niin ei se lompakko silloin korvaa vaikkapa Yubikeytä.

Saa nähdä.

[AimoE]

Kaivelin hieman lisää tuota EUDI-lompakon tarkoitusta, ja tuli selväksi, että maksupalveludirektiivi sitoo EUDI-lompakon asiakkaan vahvaan tunnistukseen. EUDI-lompakon jälkeen on tulossa yrityslompakko, eli yrityksen vahva tunnistus. Maksudirektiivin kannalta lompakot tarvitaan rahanpesun ja huijausten torjuntaan.

Tuli myös mieleen, että yksityisten henkilöiden väliset verkostot kiinnostavat some-jättejä ehkä enemmän yhden henkilön monet identiteetit. Yhteystiedoille on rahakkaat markkinat.

Edit: löysin ajatuksia herättävän artikkelin, joka liitttyy EUDI-lompakkoon, mutta käsittelee asiaa paljon laajemmin: Who’s Really Afraid of Digital Identity?

[Mistofelees]

Odotan päivää, jolloin puhelimelle kirjautuminen pitää tehdä kaksivaiheisen tunnistautumisen kautta ja Google lähettää koodin tekstarina.

Jo nyt joka hiivatin nakkikioski vaatii kaksivaiheista tunnistautumista,

[Snufkin]

Mä kirjaudun oikeastaan kaikkialle (mihin ei ole vahvaa tunnistautumista) erillisellä käyttäjätunnuksella ja 16-24 merkkisellä salasanalla. Sitten muutamaan paikkaan tuollainen 2FA tunnistautuminen vielä erikseen. Ei tämä tapa ole muuttunut 20 vuoteen, mitä nyt salasanojen pituus kasvaa koko ajan. Nykyään minimi tuo 16 merkkiä.

[_Pete_]

Jo nyt joka hiivatin nakkikioski vaatii kaksivaiheista tunnistautumista,

Kiitos siitä kuuluu:

https://www.finlex.fi/fi/lainsaadanto/2009/617

[Hajakenttä]

En ole ikänä käyttänyt samaa tunnusta ja tunnussanaa kanteen eri tunnistukseen, juuri näistä syistä. Vaikka olenkin vanhanaikainen olen aina tiennyt kuinka kokonaiskuva muodostetaan useista lähteistä saatavilla tiedonpalasilla. Juuri siinä tietosopan hämmennyksessä olen työskennellyt koko aikuisen ikäni (nimim. meritilannekuva/ilmatilannekuva). En kyllä ole käyttäjänä missään somessakaan (jos ei tämäkin ole sellainen). Joskus nuinoin oli meillä täällä Ubuntu porukalla Diaspora kokeilussa, mutta sekin osoittautui tarpeettomaksi ja epäkäytännölliseksi. Googlen kautta tunnistautumista tarjotaan usein. En sitä ikinä hyväsy muuhun kuin juuri Googleen. Joskus epäilyttää tuo kännykkä, kun se on aina kirjautuneena Googlen tililille, kun tuota Androidia on aika vaikea muuten käyttää. Ubuntun KeePassXC salaisuuspankkia olen käyttänyt. Kun sillä olen tehnyt aina tunnussanat erikseen joka palvelulle niin siitä sen hyvin näkee kuinka valtava määrä niitä kertyy. Itse pankkihan on omalla kiintolevyllä ja ulkoisella muistilla varmuuskopio, mutta ei missään pilvessä. Jos sattuu talo palamaan niin se siitä sitten.

Monella suulla Brysselissä ja Arkadianmäelläkin huudetaan kovasti, että kotimaan tiedot pitää säilyttää kotimaassa, tai ainakin Euroopassa, eikä misään Amerikanmantereella, eikä Kiinassa. Ja samaan aikaan huutaa isot mielenosoitukset ympäri maata, että datakeskuksia ei saa perustaa. Ja mielenosoittajilla on joka toisella kännytkkä kädessä ja kova tahto olla esillä somessa. Missä niiden data sitten säilytetään? Tuollako eteisen komeron ylähyllyllä?

Pyysit kertomaan miten väärässä olet. Et ole väärässä. Jäteille kertyy sirpaletietoa ja tekoäly kokoaa sen. Vuosia sitten saatoimme vielä uskoa, että minun, maan matosen, tietoreppu on niin tyhjänpäiväinen, että ei se ketään kiinnosta ja sen kokoamiseen joutuisi palkkaamaan ison joukon koodaajia, että ei lyö leiville. Kaukana takana on se aika.

[off topic] En malta olla sanomatta: Jos joku pelkää menettävänsä viimeisetkin sähkönsä niille datakeskuksille, niin vanhana sähkömiehenä voin kertoa, että ne hurjat megavattimäärät ovat niitä maksimitehoja, ja vielä vähän reserviä päälle, joihin laitoksen pitää varautua, jotta pääsulakkeet kestävät. Todellisuudessa käyttötehot ovat vain murto-osia siitä, paljonhan nekin silti ovat. Lisäksi niitä huipputehoja sattuu vain harvoin ja vielä harvemmin samanaikaisesti niille useammalle. [/off topic]

[AimoE]

Jo nyt joka hiivatin nakkikioski vaatii kaksivaiheista tunnistautumista,

Kiitos siitä kuuluu:

https://www.finlex.fi/fi/lainsaadanto/2009/617

Tuota noin, nyt menee puurot ja vellit sekaisin. Laki vahvasta tunnistautumisesta koskee viranomaisissa asiointia, ja sen lisäksi joitakin erityisiä aloja, kuten pankit ja vakuutuslaitokset. Nakkikiskalla tms. kaupantekopaikalla ei vaadita vahvaa tunnistautumista, ellei pankkisääntelystä jotain muuta johdu. Kauppiasta ei kiinnosta pätkääkään asiakkaan identiteetti silloin kun maksut ovat pieniä.

Kaksivaiheinen tunnistus on ihan eri asia kuin vahva tunnistautuminen. Kaksivaiheinen tunnistus on otettu käyttöön suojaamaan some-käyttäjiä tilien kappauksilta. Sitä voidaan käyttää myös vahvan tunnistautumisen lisävahvistuksena, mutta varsinainen kohde on some, jossa tilit ovat semi-anonyymejä; tilien luontiin ei vaadita vahvaa tunnistautumista.

Etsipä tuolta lakitekstistä sanaa 'vaihe'. Eipä löydy, ei yksittäin eikä yhdyssanan osana.

PS.
EU suunnittelee digitaalista euroa, eli digitaalista käteistä, joka ei maksutilanteessa vaadi henkilön tunnistusta. Suomeksi: https://www.suomenpankki.fi/fi/raha-ja-maksaminen/digitaalinen-euro/