Sampo Pankin epäturvallinen nettipankki vakoilee käyttäjiään

Vihdoin ja viimein Sampo Pankki sai nettipankkinsa toimimaan, sen oltua koko pääsiäisen ajan suljettuna. Koko sotkun syynä on se, että Sampo Pankki on nyt yhdistynyt Danske Banken kanssa ja asiakasrekisterit ja pankkitoiminnot sun muut pitää saattaa ajantasalle. Samalla on luvattu parantaa nettipankin tietoturvaa viimeaikaistenkin nettipankkihyökkäysten (esim1, esim2) vuoksi luultavasti.

No mitä oli seurauksena?

Sampo Pankin nettipankissa on cross-site scripting haavoittuvuus. Tämä avaa uusia hyökkäysmahdollisuuksia esimerkiksi tietojen, kuten pankkitunnusten ja turvalukujen, kalasteluun. Sivu, jolle asiakas menee, vaikuttaa aivan selvästi olevan Sampo Pankin nettisivu, vaikka todellisuudessa se voi olla mikä tahansa sivu netissä. Nettipankin käyttäjä voi helposti täyttää kirjautumistietojaan siis hakkerin sivulle ja avata nettipankkinsa ties kenelle.

Esimerkkisivu 1:

Esimerkkisivu 2:


Esimerkkisivu 3:

Tämän vakavan tietoturva-aukon lisäksi kyseinen nettipankki käyttää outoa java-viritystä, joka ilmeisesti urkkii käyttäjän tietokoneesta tietoja ja lähettää niitä pankille! Pankille lähtevät tiedot käyttäjän mm. BIOSista, näppäimistön ja äänikortin merkistä, prosessorityypistä jne. Saman rajapinnan kautta, jota Sampo Pankin nettipankki käyttää, olisi myös mahdollista lähettää pankille tietoja mm. työaseman ja toimialueen nimestä. Miksi ja mihin näitä tietoja kerätään? Miksei asiakkaille selkeästi kerrota tästä asiasta?

Tietoturvaviritys ihmetyttää myös. Ainakaan kirjautumisen suhteen ei ole mitään olennaista parannusta tullut, sisään pääsee yhä kirjautumaan (puolitiehen vain tosin) käyttäjänumerolla ja 4-numeroisella salasanalla! Tämän jälkeen järjestelmä kysyy vasta kertakäyttöisen avainluvun, mutta senkin kertomalla, mikä avainluku kortilta pitää lukea! Vertaa tätä vaikkapa Nordean verkkopankkiin, johon pääsee sisään vain osaamalla piiloitetun käyttäjänumeron ja kertakäyttöisen avainluvun (jonka järjestysnumeroa ei kerrota!). Ei hyvältä vaikuta Sampo Pankin viritys.

Lisäksi, kun Sampo Pankin nettipankkiin on päässyt sisälle, voi vaihtaa omia yhteystietojaan, eikä tässä vaiheessa kysytä mitään turvalukuja. Näin ollen, jos pahantekijä pääsee koneelle ollessasi siellä pankkitunnuksilla kirjautuneena (tai arvaten vaikkapa tuon kertakäyttöisen luvun), hän voi muuttaa yhteystietojasi ja tilata uudet tunnukset kätevästi postitse! On käsittämätöntä, että niinkin tärkeä asia kuin asiakkaan yhteystietojen muuttaminen voi onnistua Sampo Pankissa ilman turvalukua.

Yhteys tietokoneeltasi Sampo Pankin nettipankkiin on salattu SSL/TLS tekniikalla. Mutta avainkokojen puolesta en menisi sanomaan järjestelmää mitenkään "huipputurvalliseksi". Kuten kuvasta näkyy, salaus on 128bit RC4 ja 1024bit RSA (jo murretulla SHA-1 tiivistefunktiolla). Sampo Pankin käyttämässä RC4:ssä ja sen 128bit avainkoossa ei ole riittävää turvamarginaalia ja 1024bit RSA ei anna kuin n. "80bittiä suojaa", eikä sen käyttöä muutenkaan enää suositella salauksen heikkouden vuoksi. SHA-1 ei ole SSL/TLS:ssä vaihtoehtoa valitettavasti, joten tässä tapauksessa se voi vaarantaa tietoliikenteen ja avaimet manipuloinnille jne. Mielestäni salauksen tulisi ehdottomasti olla AES-256 ja 4096bit RSA/Diffie-Hellmann. Tai edes 3DES ja 2048bit RSA, jotta salauksen vahvuuteen voisi luottaa.

Sampo Pankin sivuilla olevat tietoturvaohjeet ovat puolestaan varsin suppeat, mutta sisällöltään toki ihan asialliset. Parannettavaa kuitenkin on selvästi Sampo Pankilla, katso vaikka vertailun vuoksi Nordean tietoturvaohjeet.

Miten nettipankki sitten pitäisi käyttäjää ajatellen turvata järkevästi? No, paras ratkaisu lienisi käyttää älykortinlukijaa ja älykorttia yhdessä paperilla olevien kertakäyttöisten turvalukujen kanssa. Nettiyhteys tulisi ehdottomasti olla vahvemmin kryptattu ja käyttäjille pitäisi olla kattavammat ohjeet tietokoneensa suojaamiseen ja etenkin kaikenlaisten huijausviestien varalle tulisi antaa riittävästi varoitusta. Pankin asiakkailleen sponsoroima hyvä virustentorjuntaohjelmisto olisi tietysti plussaa. :-)

Kun kokeilin säätää nettipankin asetuksia, tuli lisäksi tuollainen kryptinen virheilmoitus... Heh.

Sampo Pankin tietoturva vaikuttaa todella huonolta. Mistähän hyvästä tuonkin kehittäjille on palkkaa maksettu...?

Kaikesta huolimatta on syytä muistaa, että suurin tietoturvaongelma on käyttäjä itse. Käyttäjä, joka ei päivitä tietokonettaan, ei pidä ajantasaista tehokasta virustentorjuntaa, suorittaa kaikenlaisia ohjelmia ja tiedostoja joita ei varmuudella tiedä turvalliseksi, sekä antaa tunnuksensa miltei kenelle tahansa niitä kyselevälle, en edelleenkin se heikoin lenkki turvallisuuden ketjussa. Mutta, kaikkea ei voi laittaa käyttäjän viaksi eikä vastuulle. Pankilla tulee myöskin olla velvollisuutensa huolehtia nettipankkinsa tietoturvasta eikä vierittää vastuuta 100% kuluttajan niskaan.