Yksinkertainen järjestelmä ihmisten tunnistamiseen hetun sijaan

Silmiini sattui tämä uutinen siitä, miten Trump aikoo korvata henkilötunnukset jollain paremmalla systeemillä ihmisten tunnistamisessa. Olen samaa mieltä, kannattaisi korvata. Myös Suomessa. Niin johan loppuisi identiteettivarkaudet ja muut kiusanteot kuin seinään. Olen sanonut samaa jo kauan aikaa ja tarjonnut huomattavan yksinkertaista ja tehokasta järjestelmää tämän tilalle:

1. Henkilö kirjoittaa salasanan esim. VRK:n tietoihinsa.
2. Salasanaa ei tallenneta ikinä sinne eikä muuallekaan, vaan ainoastaan VRK:n tietoihin tallennetaan suolattu kryptografinen tiiviste ko. salasanasta (josta ei voi salasanaa palauttaa).
3. Henkilö asioi paikassa X, esim. puhelimitse tms. jolloin häneltä kysytään ko. salasana.
4. Edelleenkään, salasanaa, eikä tässä tapauksessa edes sen tiivistettä ei tallenneta paikan X järjestelmiin (eksplisiittinen kielto asiasta), vaan paikan X järjestelmästä lähetetään vain yksinkertainen tietopyyntö (salattuna) VRK:lle:"Onko henkilön Y salasana Z oikea K/E?" ja VRK vastaa vain Kyllä tai Ei.
5. VRK:n systeemi laskee siis ko. salasanasta ja suolasta tiivisteen ja katsoo, vastaako se heidän järjestelmässään olevaa tiivistettä ja jos vastaa, salasana on oikea ja henkilö tunnistettu. Jos ei, salasana on väärä ja henkilö on huijari.
6. Järjestelmään jäisi aina lokitieto siitä, mikä taho ja milloin on tunnistautumisen tehnyt ja onko se ollut onnistunut. Näin ollen asiakas ja palveluntarjoaja voisivat tarpeen vaatiessa todistaa, onko tunnistamista tehty tai onko siinä sössitty jollain tapaa...ei enää selittelyitä ja sössöttämistä siitä, onko henkilö vaikkapa tilannut palvelun X vaiko eikö ole. Mikään sopimus tai juttu ei olisi juridisesti pätevä ilman, että ko. tunnistautuminen on todistettavasti tehty piste. Johan loppuu puhelinmyyjienkin harrastama palvelukusetus ja palveluiden peruminen jälkikäteen kuin seinään: Et vain kerro salasanaasi niin kauppoja ei voi syntyä!

Koska identiteettivaras ei tiedä ko. henkilön ko. salasanaa, hän ei voi esiintyä ko. henkilönä. Vaikka koko VRK:n kryptografisten tiivisteiden tietokanta vaarantuisi, se ei ole ongelma, koska tiivisteistä ei voi palauttaa salasanoja ja salasanat voi vaihtaa vaikka heti. Yksinkertaista ja toimivaa.

Ja henkilö voi vaihtaa salasanansa VRK:ssa vaikka joka päivä tai jokaisen sen käyttökerran jälkeen, jos jostain syystä uskoo, että myyjä tms. jolle hän on tuon salasanan kertonut, olisi sen tallettanut muistiin jonnekin. Koska salasana tarkistetaan aina reaaliaikaisesti ja vain ja ainoastaan reaaliaikaisesti, se voidaan vaihtaa koska tahansa vaarantamatta jo tehtyjä tunnistautumisia mitenkään. Salasanan ei edes tarvitse olla monimutkainen, päinvastoin, se voi olla hyvinkin yksinkertainen.

Tämä ei tietenkään korvaa vahvaa tunnistautumista missään, se on selvä, mutta sopisi mainiosti päivittäiseen tunnistamiseen esimerkiksi puhelimitse hoidettavissa asioissa ja liikkeissä kaikenlaisia (nettiliittymät jne.) sopimuksia tehdessä, sekä lisävarmennuksena esim. pankin tiskillä tai apteekeissa tai lääkäriasemilla jne. Missä tahansa, koska systeemi on niin kevyt ja simppeli, eikä vaadi mitään teknistä osaamista, eikä ylimääräisiä laitteita ihmisille. Käyttöliittymänä voi toimia vaikka VRK:n nettisivuilla oleva lomake tai kevyt asiakasohjelma, joka estää kuitenkin samasta osoitteesta tehdyt massakyselyt jne. hyökkäykset.

PS. Kun kerran tästä aiheesta puhutaan, niin pitäisi myös säätää niin, että vahvaan tunnistautumiseen kelvollisia tunnisteita (mobiilivarmenne, henkilökortti, passi, jne.) ei saisi tehdä, eikä antaa muuta kuin vain ja ainoastaan VRK:n tai poliisin toimesta ja vain ja ainoastaan suoraan ko. paikkojen toimipisteissä asioidessa. Nykyiselläänhän ihmisten passit saa R-Kioskilta ja mobiilivarmenteen operaattorien myyntipisteiltä herraties kenen helppoheikin takaa. Ei näin! Luonnollisesti VRK / poliisin pitäisi tunnistaa ihminen papereiden jne. lisäksi esimerkiksi iiriskuvasta tms.

PPS. Lukekaapa myös aikaisempi kirjoitukseni jo 8 vuoden takaa "Matkapuhelin maksamisen ja tunnistamisen välineenä".