Törmäsin Digitodayn artikkeliin, jossa kerrotaan, miten suomalaisista pankeista useat ovat "kieltäneet/estäneet" käyttämästä luottokorttiaan nettipalveluissa tietoturvaongelmien vuoksi. Kortin käyttö monissa palveluissa on kielletty, koska palvelut eivät kysy luottokortin takana olevaa 3- tai 4-numeroista varmistuslukua, vaan kaupat on voinut tehdä pelkällä luottokortin numerolla ja voimassaoloajalla. Mielenkiintoista.On totta, että tuon numerosarjan kysyminen pitäisi tehdä, koska pelkkä luottokortin numero on sellaisenaan esimerkiksi Luottokunnan lähettämässä luottokortin laskussa - ja siten helposti selvitettävissä esimerkiksi uhrin roskista penkomalla. Kun Luottokunta estää luottokortin tietojen varmistamisen heiltä kun kauppa ei pysty tuota Ccv2-numerosarjaa antamaan, kauppias ei yleensä suostu tekemään kauppoja, koska kortti voi olla vaikka väärennetty. Homma ikäänkuin toimii siis.
Tai sitten ei toimi. Sinnikäs pahantekijä voi kokeilla eri numerosarjoja ja löytää oikean. Ei helppoa ja varmasti hälytyskellot alkavat soida jos samaa luottokorttinumeroa koetetaan jatkuvasti varmistaa Luottokunnasta. Toisaalta, aina löytyy nettikauppoja ja muitakin, joissa suostutaan myymään tavaraa ilman, että tuota ccv2-numerosarjaa tarvitsee antaa. Tietysti troijalaisella voi myös napsia tuonkin numerosarjan talteen uhrin (tai yrityksen!) tietokoneelta kun sitä kirjoitetaan. Eli ei tuo ccv2-kysyminen mikään ihmetemppu ole.
Toinen asia on, että esimerkiksi Nordean kautta otettu luottokortti ja sillä netissä tehty ostos voidaan - ja yleensä Suomessa näin tehdäänkin - varmentaa nettipankkitunnuksilla. Ostaja siirtyy myyjän sivuilta luottokunnan sivuille näpyttämään luottokorttinsa numeron ja tämän jälkeen vielä nettipankin kautta tunnistamaan itsensä nettipankkitunnuksilla...vasta sitten myyjälle ilmoitetaan, että kaikki on ok ja kauppa on voinut syntyä. Varsin turvallista, mutta toisaalta varsin monimutkaista.
Ensinnäkin, tuo edellä kuvaamani nettipankkitunnusten käyttö ei sinällään lisää ostajan turvaa lainkaan, koska varastettua luottokorttia voi siitä huolimatta käyttää vaikkapa netissä sellaisissa kaupoissa, joissa kyseistä varmistusta ei tehdä. Nettipankkitunnusten käyttö siis suojaa lähinnä tuotteen myyjää - ei sinua! Toiseksi, nettipankkitunnusten käyttö on julmetun hidasta ja monimutkaista, kun ostajan pitää kaivaa esille nettipankkitunnukset ja näpytellä vielä nekin, jotta saa ostoksensa tehtyä. Ei hyvä.
Miten suuri sitten on riski luottokortilla maksamisessa? Mitkä ne riskit ovat ja miten niitä voi pienentää?
No, tiedetään, että suurinosa luottokorttien väärinkäytöksistä on seurausta siitä, että luottokorttitiedot ovat vuotaneet niistä yrityksistä joiden kaupoista luottokortilla on ostettu. Tietysti, vaikka tietomurtoa yrityksen päässä ei tapahtuisikaan, jos yritys itsessään on epäluotettava niin luottokorttitietojasi voidaan käyttää väärin siellä. Tähän asiakas ei voi itse oikeastaan mitenkään vaikuttaa, paitsi välttämällä luottokortilla maksamista kaikissa ei-luotettavissa liikkeissä ja nettisivuilla.
Pitäisi pyrkiä myös rajoittamaan tiedon antamista eteenpäin. Tarkoitan tällä sitä, että Luottokunnalta tulevat laskut, joista löytyy luottokorttisi tietoja, pitäisi hävittää luotettavasti, eikä laittaa roskikseen. Lisäksi nettiyhteydet, joiden kautta ostat, pitäisi olla salattuja SSL/TLS tekniikalla sinne palvelimelle saakka, josta ostoksesi teet, jottei luottokorttietojasi voida napsia nettiliikenteestäsi selkokielisenä. Ja heti jos edes epäilee, että luottokorttitiedot ovat vuotaneet, luottokortti pitäisi ilmoittaa sulkupalveluun.
Jos minä saisin päättää miten luottokorttisysteemi toteutettaisiin, olisi vastaus varsin yksinkertainen. Käytettäisiin vain ja ainoastaan EMV-siruilla varustettuja kortteja, jotka käyttäjä laittaisi tietokoneeseensa liitettävään kortinlukijaan. Kortinlukijassa pitäisi itsessään olla näppäimistö PIN-koodin syöttämiseen, sekä pieni näyttö joka näyttäisi ostoksen kokonaissumman ennen PIN-koodin syöttämistä. Eli siis tämmöinen systeemi, joita jo useilla kassoillakin näkee. Näillä härveleillä luotu tieto (digitaalisesti allekirjoitettu tieto tehdystä ostoksesta) sitten annettaisiin kauppiaalle, joka ei siis näkisi lainkaan luottokortin numeroa, vaan pelkästään tiedon siitä, että todellista, hyvää korttia on veloitettu ostoksesta sovittu summa. Tämmöinen systeemi olisi täysin immuuni urkkijoille, mokaamiselle ja troijalaisillekin. Mutta tietysti hintava. Ehkä joku päivä...
Tai sitten ei toimi. Sinnikäs pahantekijä voi kokeilla eri numerosarjoja ja löytää oikean. Ei helppoa ja varmasti hälytyskellot alkavat soida jos samaa luottokorttinumeroa koetetaan jatkuvasti varmistaa Luottokunnasta. Toisaalta, aina löytyy nettikauppoja ja muitakin, joissa suostutaan myymään tavaraa ilman, että tuota ccv2-numerosarjaa tarvitsee antaa. Tietysti troijalaisella voi myös napsia tuonkin numerosarjan talteen uhrin (tai yrityksen!) tietokoneelta kun sitä kirjoitetaan. Eli ei tuo ccv2-kysyminen mikään ihmetemppu ole.
Toinen asia on, että esimerkiksi Nordean kautta otettu luottokortti ja sillä netissä tehty ostos voidaan - ja yleensä Suomessa näin tehdäänkin - varmentaa nettipankkitunnuksilla. Ostaja siirtyy myyjän sivuilta luottokunnan sivuille näpyttämään luottokorttinsa numeron ja tämän jälkeen vielä nettipankin kautta tunnistamaan itsensä nettipankkitunnuksilla...vasta sitten myyjälle ilmoitetaan, että kaikki on ok ja kauppa on voinut syntyä. Varsin turvallista, mutta toisaalta varsin monimutkaista.
Ensinnäkin, tuo edellä kuvaamani nettipankkitunnusten käyttö ei sinällään lisää ostajan turvaa lainkaan, koska varastettua luottokorttia voi siitä huolimatta käyttää vaikkapa netissä sellaisissa kaupoissa, joissa kyseistä varmistusta ei tehdä. Nettipankkitunnusten käyttö siis suojaa lähinnä tuotteen myyjää - ei sinua! Toiseksi, nettipankkitunnusten käyttö on julmetun hidasta ja monimutkaista, kun ostajan pitää kaivaa esille nettipankkitunnukset ja näpytellä vielä nekin, jotta saa ostoksensa tehtyä. Ei hyvä.
Miten suuri sitten on riski luottokortilla maksamisessa? Mitkä ne riskit ovat ja miten niitä voi pienentää?
No, tiedetään, että suurinosa luottokorttien väärinkäytöksistä on seurausta siitä, että luottokorttitiedot ovat vuotaneet niistä yrityksistä joiden kaupoista luottokortilla on ostettu. Tietysti, vaikka tietomurtoa yrityksen päässä ei tapahtuisikaan, jos yritys itsessään on epäluotettava niin luottokorttitietojasi voidaan käyttää väärin siellä. Tähän asiakas ei voi itse oikeastaan mitenkään vaikuttaa, paitsi välttämällä luottokortilla maksamista kaikissa ei-luotettavissa liikkeissä ja nettisivuilla.
Pitäisi pyrkiä myös rajoittamaan tiedon antamista eteenpäin. Tarkoitan tällä sitä, että Luottokunnalta tulevat laskut, joista löytyy luottokorttisi tietoja, pitäisi hävittää luotettavasti, eikä laittaa roskikseen. Lisäksi nettiyhteydet, joiden kautta ostat, pitäisi olla salattuja SSL/TLS tekniikalla sinne palvelimelle saakka, josta ostoksesi teet, jottei luottokorttietojasi voida napsia nettiliikenteestäsi selkokielisenä. Ja heti jos edes epäilee, että luottokorttitiedot ovat vuotaneet, luottokortti pitäisi ilmoittaa sulkupalveluun.
Jos minä saisin päättää miten luottokorttisysteemi toteutettaisiin, olisi vastaus varsin yksinkertainen. Käytettäisiin vain ja ainoastaan EMV-siruilla varustettuja kortteja, jotka käyttäjä laittaisi tietokoneeseensa liitettävään kortinlukijaan. Kortinlukijassa pitäisi itsessään olla näppäimistö PIN-koodin syöttämiseen, sekä pieni näyttö joka näyttäisi ostoksen kokonaissumman ennen PIN-koodin syöttämistä. Eli siis tämmöinen systeemi, joita jo useilla kassoillakin näkee. Näillä härveleillä luotu tieto (digitaalisesti allekirjoitettu tieto tehdystä ostoksesta) sitten annettaisiin kauppiaalle, joka ei siis näkisi lainkaan luottokortin numeroa, vaan pelkästään tiedon siitä, että todellista, hyvää korttia on veloitettu ostoksesta sovittu summa. Tämmöinen systeemi olisi täysin immuuni urkkijoille, mokaamiselle ja troijalaisillekin. Mutta tietysti hintava. Ehkä joku päivä...
Pitää muistaa että mikään ei ole niin varmaa kuin epävarmaa. Nimittäin tuon sinun visiosi mukaisen veloitustavan varjopuoli piilee siinä että tuossa olikohan tämän vuoden alussa EMW sirun salaus on onnistuttu purkamaan. Askel siis tulevaisuudessa toteutuvaan väärinkäyttöön onkin lähempänä kuin arvaatkaan.
VastaaPoista