Elektroninen Kela-kortti kaikille tunnistautumiseen

3.1.2015 · Aihe: _ 

Radiouutisissa kerrottiin muutama päivä sitten, että Suomi pyrkii yhtä hyvään julkiseen verkkoasioitiin kuin Viro. Avainasemassa on tunnistautuminen verkossa. Siinä ei kuitenkaan voida mennä yhteen tunnistautumistapaan, kuten Virossa on epäortodoksisesti tehty, vaan sähköisen henkilökortin, pankkitunnusten käytön ja muiden vastaavien tapojen on voitava kilpailla keskenään!

Mitä ihmettä! Toivottavasti ymmärsin väärin. Pitäisikö myös raideleveyksien kilpailla keskenään?

Mitä tuo kilpailu tarkoittaa? Kumpi valitsee tunnistautumistavan, asiakas vai palvelujen tarjoaja? Jos asiakas valitsee, palvelun tarjoajalla pitää olla käytössää kaikki tunnistautumistavat, eli on maksettava moninkertaisesti. Jos taas palvelujen tarjoaja valitsee, asiakkaalla on oltava käytössään kaikki tavat. Jos ei päätetä, että kumpi valitsee, sekä asiakkailla että palvelujen tarjoajilla on oltava käytössään kaikki tavat. Kilpailu on joskus hyvä asia, mutta se on perusteltu vain, jos se tuottaa hyötyä.

Entä kumpi maksaa, koska eri tavat ovat erihintaisia? Jos palvelun tarjoaja maksaa, suurin osa tyytyy pankkien tarjoamaan tunnistukseen, koska se ei vaadi asiakkaalta mitään. Se on kuitenkin tolkuttoman kallis. Pankit veloittavat tietääkseni 80 senttiä kerta. Jollekin verohallinnolle tästä tulisi monen miljoonan euron lasku vuosittain.

Noin vuonna 2001, kun käsittelin tätä asiaa peruspalveluministerinä, Suomeen puuhattiin elektronista henkilökorttia, joka kortinlukijan kanssa toimii tietokoneessa tunnistimena. Minulla on sellainen väestörekisterin hallinnoima kortti, koska Helsingin kaupunki käyttää sitä luottamusmiesten tunnistautumisessa. Kätevä, eikä ilmeisesti investointina, kortti + lukija, ole mikään kohtuuttoman kallis. Kalliimmaksi tulisi maksaa joka kerran niistä pankkitunnisteiden käytöstä.

Silloin vuonna 2001 VM ilmoitti, että tässä ei tehdä mitään massahankintaa, vaan markkinat hoitavat. Jokainen hankkii sen omalla rahallaan. Huusin kuin palosireeni, mutta ei auttanut. Siinä kävi niin kuin jokaisen piti ymmärtää, että tulisi käymään. Kukaan ei hankkinut korttia ja lukijaa, koska ei ollut mitään palveluja, joita sillä olisi voinut käyttää, eikä kukaan tehnyt mitään palveluja, koska juuri kenelläkään ei ollut korttia eikä lukijaa.

Tästä ei päästä eteenpäin kuin tekemällä kollektiivinen päätös jostain tunnistautumistavasta tai emme pääse vuosiin eteenpäin. Suosisin elektronista henkilökorttia. Valtio voisi hankkia sen kaikille suomalaisille, koska hankkiihan valtio kaikille kela-kortinkin. Maksaisi paljon vähemmän kuin se, että jokainen valtion viranomainen joutuu varautumaan lukuisiin kilpaileviin tunnistautumistapoihin.

Kommentit

80 Vastausta artikkeliin “Elektroninen Kela-kortti kaikille tunnistautumiseen”

  1. JTS kirjoitti 3.1.2015 kello 20:13

    Syyllisten kärkipaikalla on Sisäministeriön silloinen kansliapäällikkö, josta e-tunnistautuminen oli tapa saada rahaa omiin kassoihin ja asiakkaita poliisin palvelupisteisiin.

    Pankit taas halusivat silloin rahaa Tupas-tunnustamisesta.

    Eduskunnan liikenne- ja viestintävaliokunnan sankarit sillonkin hoitivat mökkiteidensä siltarumpuja eikä muu kiinnostanut.

    Kortti oli ihan hyvä. Kortinlukijoita taas ei myynyt kukaan.

    Kukaan ei ajatellut käyttöä kokonaisuutena eikä eteenkään käyttäjän näkökulmasta. Viranomainen ajoi omaa asiaansa, ei kansalaisten.

    Lopputulos kallis hyödytön palvelu. Veronmaksaja kiittää.

    Sitten tässä ihmetellään miksi Suomi putosi e-palveluiden kehityksestä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 50

  2. Jarmo Heimo kirjoitti 3.1.2015 kello 20:19

    Erittäin hyvä puheenvuoro! Kilpailutuksen tarkoitus on muutenkin pahasti hämärtynyt julkisella sektorilla. Sen pitäisi aina tuottaa oikeasti edullisempia ratkaisuja kuin suorahankinta. Muuten se on turha toimenpide.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 22

  3. Make kirjoitti 3.1.2015 kello 20:26

    Pankkien tunnistautumishinnat ovat neuvoteltavissa ja huonot on sopimukset, jos lähellekään 80 senttiä pitää maksaa. Kallista se kaikissa tapauksissa on.

    Eduskunnassa parhaillaan käsittelyssä tähän liittyvä lakiehdotus joka muuttaa asiaa, mutta lisää myös identiteettivarkausriskejä. Tuskin kukaan kansanedustaja osaa ajatella kuitenkaan loppukäyttäjää – valitettavasti. Etenemme huonoon suuntaan. Osmon ehdotus olisi parempi.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  4. Matti Sarjakoski kirjoitti 3.1.2015 kello 21:56

    Mielestäni turvallinen ja luotettava tunnistautumisen pitäisi olla kansalaisen perusoikeus. Siitä ei saisi erikseen veloittaa, eikä tunnistautumisesta sinänsä saisi rakentaa ainakaan yhteiskunnan tukemaa rahastusmekanismia.

    Nykytilanteessa en lähtisi romuttamaan nyt käytössä oleva hst-infrastruktuuria. Päin vastoin, sen käyttöä tulisi edesauttaa kaikin käytettävissä olevin keinoin, vaikkapa hintaa alentamalla. Sama teknologiahan on käytössä myös viranomaispuolella sekä sote-puolella.

    Kelan, aptreekkkien yms pitäisi Kela-kortin tilalla hyväksyä myös kansalaisen sähköinen hst-kortti. Nykyteknologiolla siihen ei pitäisi olla mitään (teknistä) estettä.

    En kuitenkaan usko yhden tunnistautumismekanismin politiikkaan. Joitakin vaihtoehtoja pitää olla, monestakin syystä. Esimerkiksi teleoperaattoreiden puuhaama mobiilivarmenne olisi ok jos se rakennetaisiin riittävän turvalliseksi ja sen käytöstä ei syntyisi rahastusmekanismia. Pankkitunnisteiden ongelmat lienevät hyvin tiedossa ja siksi niiden tilalle pitäisi saada korvaavat luotettavammat mekanismit.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 10

  5. Juho Laatu kirjoitti 3.1.2015 kello 22:11

    Valtion tavoite on kai parantaa yhteiskunnan toimivuutta yleisesti (tai ei kai useinkaan ole, mutta pitäisi olla). Tuollainen tunnistautumispalvelu kannattaisi siksi rakentaa valtion toimesta joka tapauksessa.

    Kilpailu toimisi hyvin niin, että valtio ei pakottaisi järjestelmää kenellekään, eikä pakottaisi suomalaisia sen käyttäjäksi valtion asiossa, mutta antaisi sen menestyä, jos se olisi hyvä ja menestyisi. Jos se olisi susi (valtion ollessa kyseessä tämä riski on kohtalainen), järjestelmä kuihtusi pois ilman sen isompaa dramatiikkaa. Valtio voisi halutessaan perustaa uuden pienen, mutta nyt vähän viisaamman projektin.

    Parhaimmillaan yritykset ja kukaties jopa pankit siirtyisivät käyttämään tuota valtion tarjoamaa palvelua. Valtio itse voisi käyttää omissa palveluissaan sekä tuota omaansa, että joitain vaihtoehtoisia järjestelmiä. Jos järjestelmä olisi toimivin, muista voisi jopa ajan myötä luopua, kun käyttäjät luopuisivat niistä.

    Tuollaisen tunnistautumispalvelun ylläpito olisi valtiolle (joka joutuu pitämään kansalaisista rekistereitä joka tapauksessa) jokseenkin halpaa. Tunnistautuminen voisi olla vaikka ilmaista kaikille käyttäjille tai firmoille. Tai sitten katettaisiin kuluja yrityksiltä kerätyilä pienillä maksuilla.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  6. Janne kirjoitti 3.1.2015 kello 22:35

    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 25

  7. teekkari kirjoitti 3.1.2015 kello 22:57

    Elektronisessa henkilökortissa, jonka käyttö vaatii erillisen kortinlukijan, ei ole useassa tapauksessa yhtään mitään järkeä; en ainakaan itse halua työpöydälleni yhtään ylimääräistä johdon päässä roikkuvaa härveliä. Puhumattakaan jengistä, jolla ei työpöytää ole lainkaan. Siis nämä tulevaisuuden uutta Nokiaa rakentavat tietotyöläiset, joiden työpaikka on lähikahvilassa, olohuoneessa, tai ihan missä tahansa. Siis se porukka, jolle tätä sähköistä yhteiskuntaa ollaan rakentamassa.

    Mutta eikö meillä jo ole maistraatin (vai väestörekisterikeskuksen?) ylläpitämä tunnistautumisrajapinta, joka yhdistää pankkien tarjoamat tunnistautumistavat ja sähköisen henkilökortin yhdeksi palveluksi? Ainakin itse olen omasta mielestäni törmännyt tällaiseen palveluun useassakin eri yhteydessä.

    Tällainen valtion ylläpitämän verkkopalvelun nyt pitäisi olla sekä asiakkaan että myyjän kannalta paras vaihtoehto: myyjän ei tarvitse olla yhteydessä kuin tähän yhteen (julkiseen) palveluntarjoajaan, eikä asiakkaan tarvitse välittää mitä tunnistautumiskeinoa käyttää, kun kaikki käy. Sitten vain joku avoin minimispeksi kehiin minkä pitää täyttyä että saa oman menetelmänsä liitettyä julkiseen rajapintaan, ja kilpailu käyntiin.

    Tai sitten jokaiselle oikeus käydä kytkemässä rajapinnasta omalta kohdaltaan pois päältä kaikki ei-hyväksyttävät tunnistautumiskeinot (tai käänteinen opt-in vaihtoehto): tällöin tunnistautumisen vahvuus jäisi jokaisen oman harkinnan varaan, ja teoriassa vaikka monessa verkkopalvelussa jo nyt käytössä oleva facebook-tunnistautuminen voisi riittää.

    Argumentti pankkien tunnistuspalveluiden kalleudesta on aika heikko: kyllähän EU on saanut teleoperaattoritkin luopumaan törkeästä roaming-rahastuksesta, ei pankkitunnistautumisen hinnoittelun saaminen järkevälle tasolle pitäisi lainsäädännöllisesti olla yhtään vaikeampaa.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 23

  8. Tavallinen Teknikko kirjoitti 3.1.2015 kello 22:58

    Minulle myönnettiin kuvallinen Kela-kortti vuonna 1997 ja tuolla olen osoittanut henkilöllisyyteni vuoden 2014 loppuun asti. Tuona aikana on hyristy kansalaisen id-kortista (Lipposen kortti oli nr1), henkilökortista (id-kortti) ja sormenjälkipassista. Että noin hyvin on mennyt, työkkärissä, sossussa, muissa viranomaisissa, pankissa, postissa ja kotimaan lennolla kuvallinen kela-korttini. Tosin henkikirjoittaja kesällä ei olisi myöntänyt minulle virkatodistusta, mutta kun vetosin passin ja henkilökortin myöntämisen viipeeseen, viranomainen armahti minut ja kirjoitti minulle virkatodistuksen – heti.

    PS. Vosiko passiin yhdistää kaikkia noita em. viranomaisten omia tunnistuvinkeitä siten, että yksi tunnistusväline riittäisi heille kaikille yhteensä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  9. teekkari kirjoitti 3.1.2015 kello 23:11

    Ja tietysti jos oikeasti halutaan digitaalista yhteiskuntaa kehittää, pitäisi julkisen avoimen rajapinnan olla vähintään EU:n laajuinen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 8

  10. Anonyymi kirjoitti 3.1.2015 kello 23:20

    Mitä sellaista kortti + lukija tuo mikä ei hoituisi vain tunnuksella ja salasanalla (ja mahdollisesti avainlukulistalla kuten pankeissa tehdään)? Kortin toimintamekaniikkahan on suurinpiirtein se, että henkilön identifioiva salasana on talletettu bitteinä kortille josta kortinlukija sen lukee. Lisää vaikeutta vain seuraa jos jokaisen sähköistä tunnistautumista käyttävän täytyy sitä varten hommata kotiinsa kortinlukija.

    Tietysti kortti voi olla olemassa niin että sitä voi käyttää esimerkiksi kivijalkavirastoissa asioidessa, mutta kotikäytössä homman pitäisi toimia ilman mitään lisälaitteistoa.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 13

  11. Juha kirjoitti 3.1.2015 kello 23:22

    Vetuma on ollut jo olemassa vuosia ratkomassa tuota useiden tunnistustapojen käyttöä.

    Viraston ei tarvitse rakentaa integraatiota erikseen joka vaihtoehtoon vaan kerran vetumaan. Sitä on käytettykin paljon.

    Uuden tunnistustavan lisääminen tehdään vain vetumaan eikä kaikkiin palveluihin.

    Pitäisi pohtia voisiko vetuman avata myös yksityisten palveluiden tunnistukseen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  12. Pekka Pessi kirjoitti 3.1.2015 kello 23:24

    Janne:
    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

    Niiden kanssa pitäisi käyttää NFC-korttia tai Bluetooth-lukijaa?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 4

  13. Pekka Pessi kirjoitti 3.1.2015 kello 23:35

    Muuten, apteekit ovat sähköisen reseptin myötä siirtyneet sähköiseen Kela-korttiin. Tämä tarkoittaa sitä, että apteekkari voi hakea henkilötunnuksen perusteella asiakkaan sähköiset reseptit ja tiedon siitä, onko asiakas sairausvakuutuksen piirissä vai ei.

    (Ruotsinkielisille on tarjolla elektroninen resepti ja elektroninen Kela-kortti. Eppii.)

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  14. Raimo K kirjoitti 3.1.2015 kello 23:41

    Itse asiassa virallisessa henkilökortissa on jo kaikki tarvittava (ja se käy myös matkustusasiakirjana ja Kela-korttina). Mihin tarvitaan muuta?

    Käsitykseni mukaan Virossa kaikki toimii juuri sillä henkilökortilla, mitään pankkitunnuksia ei tarvita, käyttäkööt pankit niitä – ja kortinlukija ei ole erityisen kallis ja jos ei sellaista katso tarvitsevansa, sitä ei ole pakko hankkia.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 7

  15. Matti Sarjakoski kirjoitti 3.1.2015 kello 23:47

    Janne:
    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

    Tämä on yksi syy miksi olisi hyvä että olisi vaihtoehtoja korttipohjaiselle tunnistatumiselle, esimerkiksi mobiilivarmenne.

    Erillisiä mobiililaitteidenkin lisälaitteena toimivia lukijalaitteita ja -ohjelmistoja on markkinoilla. Esimerkiksi Espanjalaisille id-kortille viafirma.com. Teknologia käsittääkseni kutakuinkin sama kuin meidän hst-kortissa.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  16. -J- kirjoitti 3.1.2015 kello 23:48

    Janne:
    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

    NFC:llä tai korttiin painetulla QR-koodilla, voisin kuvitella.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  17. Kalle kirjoitti 4.1.2015 kello 0:50

    Sähköinen tunnistus sössittiin Suomessa pahimman kerran. Sen lisäksi, että pankkien järjestelmät ovat kalliita, ne eivät ole kovin turvallisia.

    Ehkä ei ole järkevää pakottaa pankkeja mukaan yteiseen systeemiin, mutta onko liikaa vaadittu, että eri viranomaiset pelaisivat yhdellä kortilla? Tori antaisi mahdollisuuden edetä siihen suuntaan, mutta on toivottavaa, ettei korttia anneta amatöörien tehtäväksi. Esimekiksi LVM:ssä ei kaikilta osin ymmärretä toimintaympäristöä, vaan ollaan aivan liian sinisilmäisiä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  18. Anomuumi kirjoitti 4.1.2015 kello 1:05

    Toivelista:

    Tunnistaja on oltava mahdollista tunnistaa.

    Käyttäjän on kyettävä kontrolloimaan, mitä tietoja jaetaan. Esim. jos joku kysyy ajo-oikeuksia, minun ei tarvitse kertoa nimeäni ja sotuani, vaan voin pelkästään osoittaa olevani henkilö, jolla on B-kortti. (Kuva tai jokin biometrinen tapa tietenkin tarvitaan tähän.)

    On pystyttävä luomaan kertakäyttöisiä identiteettejä, joihin voi lisätä oikeuksia ym. henkilötietoja anonyymisti.

    Infra toteutettava mahdollisimman hankalasti sormeiltavalla tavalla. Ei tehdä lelua poliiseille.

    EU tekemään ja toteuttamaan. Ainakin standardi.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 23

  19. Sakke kirjoitti 4.1.2015 kello 8:47

    Onko identiteettivarkauksia koskeva lainsäädäntömme asian vakavuuden edellyttämällä tavalla järjestetty? Yhteiskunnan digitalisoitumisen lisääntyminen tekee asiasta vuosi vuodelta tärkeämmän.

    Maailma, jossa et enää henkilökohtaisesti tapaa esim. pankissa, apteekissa tai kaupoissa ketään, joka oppisi sinut (juuri sinuna itsenäsi) tuntemaan, et ehkä suurkaupungin kerrostaloissa tunne edes naapureitasikaan (tai he sinua!), on aika ankea paikka sellaiselle, joka on sen elektronisen tunnistautumiskorttinsa (tavalla tai toisella) kadottanut/menettänyt, tai jonka ao. kortin tietoja, ts. henkilöllisyyttä peräti väärinkäytetään.

    Elektroniset järjestelmät ovat (aina?) aika haavoittuvaisia, minkä olemme mm. viime päivinä voineet havaita. Miten tunnistautumiskorttijärjestelmästä voisi tehdä sellaisen, että sitä ei voi käyttää väärin? Yksi, ‘vahvaksi’ tehty ja uskottu järjestelmä, jonka joku (kuitenkin) kaikesta huolimatta kykenee joskus murtamaan, voi olla seurauksiltaan ikävämpi kuin sellainen, jossa kaikki, siis ‘koko elämä’ ja merkittävä osa sen edellytyksistä, ei ole “yhden kortin varassa”.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 6

  20. ij kirjoitti 4.1.2015 kello 9:47

    Janne:
    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

    Se voisi toimia, mikäli korttiin lisätään NFC-lukukelpoisuus. Sitten vielä ohjelmistot käytössä oleville puhelin- ja tablettikäyttöjärjestelmille.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  21. PenaK kirjoitti 4.1.2015 kello 10:13

    Hyvä puheenvuoro! Tunnistautumisen (ja tunnistamisen) pitäisi olla kansalaisen perusoikeuksia ja valtion pitäisi tarjota se maksutta asukkailleen. Onhan kummallista, että nyt luotettavin tunnistautumistapa on pankkien ylläpitämä.

    Raha taitaisi ratkaista asian: valtion kehittämä tunnistautumistapa (mikä lieneekin, luultavasti monta erilaista?) on maksuton käyttäjille ja yksityisten ylläpitämien (pankit, operaattorit yms.) tapojen käyttäjiltä perittäisiin maksu joka kerrasta, kun niitä käyttää.

    Voisiko tunnistautumisen liittää nykyiseen henkilökorttiin, onhan siinä jo Kela-korttikin ja Schengen-alueen passitiedot mukana? Ja valtio hyväksyisi virallisiksi muitakin, yksityisten ylläpitämiä (pankit, puhelinoperaattorit yms.)

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  22. Raimo K kirjoitti 4.1.2015 kello 10:25

    Kalle:
    Sähköinen tunnistus sössittiin Suomessa pahimman kerran. Sen lisäksi, että pankkien järjestelmät ovat kalliita, ne eivät ole kovin turvallisia.
    ‘snip’

    No itse asiassa pankkien järjestelmä, jossa on vaihtuvat tunnusluvut paperilla, on erittäin turvallinen – jos vain pidät tunnusluvuistasi huolta.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 9

  23. willimies kirjoitti 4.1.2015 kello 10:45

    Tavallinen Teknikko:
    Minulle myönnettiin kuvallinen Kela-kortti…

    Kuvallisen kela- kortin ongelma oli se, että sen sai kenen tahansa kuvalla. Aika monella oli pikkuveljen kuva kortissa tai ennemminkin pikkuveljellä oli isoveljen tiedot kortissaan.

    Se on aika sääli, että nykyisin nuoret eivät saa armoa missään asiassa ja kaikki ongelmat seuraavat hautaan saakka. Syrjäytämme aika tehokkaasti ihmisiä sillä, että tieto on ikuista. Vielä 90- luvulla torspoilun, rankankin sai anteeksi ja se ei noussut esteeksi normaalissa elämässä

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 4

  24. ij kirjoitti 4.1.2015 kello 11:24

    -J-: NFC:llä tai korttiin painetulla QR-koodilla, voisin kuvitella.

    Pelkkä QR-koodi on visuaalinen ja kopioitavissa helposti. Tunnistautuminen vaatii 2-suuntaista dataliikennettä. Siksi NFC tai fyysinen kontakti älysiruun.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  25. spottu kirjoitti 4.1.2015 kello 11:46

    Janne:
    Miten tuo kortti+lukija toimii iPadin tai puhelimen kanssa?

    Niinpä. Palveluiden käyttö on nykyaikana niin mobiilia että erillinen kortti+lukija on auttamattomasti vanhentunut ratkaisu. Sama ongelma on nykyisessä HST-kortissa jopa desktop-ympäristössä kun käyttisvalmistajat suosivat omia ratkaisujaan.

    Kilpailuttamisessa on tässä tapauksessa puolensa, kunhan vältetään avoimen piikin ansat. Käytännössä siis julkispalveluiden tunnistuspalvelun rungon tulee olla valtion hallinnassa ja pankkien, mobiilioperaattorien yms. siihen nähden alihankkijasuhteessa. Tunnistuspalvelussa olisi valittavissa vain edullisimmat, kilpailuttamalla valitut tunnistusoperaattorit, ja niiden lisäksi valtion hintahäirikköoperaattori joka samalla määrittelee peruspalvelutason eli viime kädessä paperikirjeenä toimitettavan tunnuslukulistan. Nykyisestä Vetuma-käytännöstä poiketen tunnistuspalveluun liittyjä tekisi vain yhden sopimuksen tunnistuspalvelun kanssa.

    Tietysti valtion olisi mahdollista ilkeillä, ja määritellä mobiilivarmenteesta lakisääteinen peruspalvelu joka mobiilioperaattorin tulee tarjota transaktiokustannuksiltaan maksutta tunnistautumisen molemmille osapuolille mobiililiittymäsopimuksen yhteydessä. Tämä olisi luultavasti kokonaiskustannuksiltaan edullisin ratkaisu.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  26. Jari Mustonen kirjoitti 4.1.2015 kello 14:43

    Täällä puidaan kaiken maailman teknisiä ongelmia joita liittyy kortinlukijoihin. Mielestäni tämä teknisten onglmie puiminen on aivan turhaa. Enneminkin pitäisi ensin lausua ääneen millaisia vaatimuksia tunnistautumiselle on.

    Tämän jälkeen voimme miettiä, että onko kortti tarpeellinen ja milainen lukijan sitten muka tulisi olla.

    Mitä tähän tekniikkaan tulee, niin tässä oma ratkaisuni: Käytetään nykyisenkaltaisia tavallisia kuvallisia kortteja. Lukijana toimii päätelaitteessa oleva kamera, jolle korttia tai passia näytetään. Kuva syötetään hahmontunnistusalgoritmile (tms.) ja voila: Olemme saaneet fyysiseen dokumenttiin perustuvan tunnistautumisen ilman minkäänlaisia investointeja uusiin kojeisiin tai laitteisiin tai siruihin tai mihinkään muuhunkaan rahanieluun.

    Mikäli taas joku laite on ihan pakko saada, niin suosittelen tutustumaan miten Nordean yritysten verkkopankki toimii. Kortinlukija ei ole varsinaisesti yhteydessä tietokoneeseen vaan homma hoisetaan seuraavasti:
    1. Verkkosivu auki
    2. Käyttäjätunnus verkkosivulle
    3. Verkkosivu näyttää KOODIn
    4. Kortti lukijaan
    5. PIN lukijaan
    6. KOODI lukijaan
    7. Lukija näyttää PALUUKOODIn
    8. PALUUKOODI verkkosivulle
    9. Olet sisällä!

    Että sen verran noista ipad-yhteensopivista lukijoista ja Bluetoothista ja NFC-hifistelyistä: Ne ovat aivan turhia.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  27. Aaltonen kirjoitti 4.1.2015 kello 14:49
  28. Korhonen kirjoitti 4.1.2015 kello 15:19

    Applen laitteissa ei ole kolmansille osapuolille suunnattua rajapintaa NFC-ominaisuuksille. Tilanne on ollut tämä jo jonkun aikaa, eikä Applen suunnitelmista ole ulkopuolisille tietoa.

    Palveluiden käyttö mobiililaitteilla on jo niin merkittävää, että mikään tarjottu ratkaisu joka vaatii vain tietokoneeseen kytkettävän kortinlukijan tulee olemaan fiasko.

    Eikö julkisella puolella ollut joku hanke, missä eri tunnistautumistavat keskitetään yhden palvelun taakse. Tällöin eri organisaatioiden ei kunkin tarvitse integroitua yksitellen jokaiseen TUPAS-kikkareisiin vaan riittää naittaa palvelunsa tähän yhteen systeemiin. Sopimukset pankkien kanssa tapahtuvat myös keskitetysti. Tässä olisi se etu, että rinnalla voisivat kulkea sekä nykyiset että kaikki lukuisat tulevaisuuden tunnistautumismenetelmät ilman että siitä aiheutuisi lisävaivaa palvelun tuottajille tai käyttäjille.

    Lainsäätäjälle luulisi olevan mahdollista asetella TUPAS:lle joku peruspalvelun status ja määritellä hintakatto mitä pankki saa siitä periä. Todellisia kustannuksia vastaava oikea summa on ehkä 2 senttiä per tunnistautuminen. Siinä saisi valtion kustantamaa HST-korttia hinkata huolella kunnes tultaisiin voiton puolelle.

    Yksi ikävä skenaario tulee mieleen: jostain syystä kuvitellaan ratkaistavan tunnistamisongelma uudella järjestelmällä, poistetaan TUPAS:lta se “vahvan tunnistautumisen” status ja jostain syystä uusi tapa ei yleistykään. Silloin Suomi jäisi entistä kauemmas jälkeen. TUPAS on mitä on, mutta ainakin se toimii.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  29. Juri Pakaste kirjoitti 4.1.2015 kello 16:56

    Korttihan vastaisi puhelinvarmennetta, SecurID-tikkua tai salasanalistaa nykyisissä järjestelmissä: salasana on jotain mitä käyttäjä tietää, kortti on jotain mitä käyttäjällä on hallussaan. Kolmas mahdollinen varmenne olisi jotain mitä käyttäjä on, eli biometrinen tunniste.

    Ainakin kaksi tällaista olisi hyvä vaatia luotettavaan tunnistautumiseen, mutta olisi mukava jos tunnistautumisessa olisi vaihtoehtoja kortinlukijoille. Ylimääräisellä laitteistolla on taipumus päätyä historialliseksi painolastiksi joka vaikeuttaa päivityksiä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  30. Tapio kirjoitti 4.1.2015 kello 17:07

    Vähän ihmettelen, mikä tässä on ongelma.

    Olen parina viime vuonna etäasioinut useiden viranomaisten kanssa pankkitunnuksia ja kertakäyttöisiä salasanoja käyttäen ja myös asioinut kasvokkain heidän kanssaan ajo-, KELA- tai hlökorttia näyttäen, jolloin naama kai toimii vaikeasti kopioitavana salasanana.

    Vetuma näyttää toimivan hyvin.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  31. TL kirjoitti 4.1.2015 kello 18:37

    -J-: NFC:llä tai korttiin painetulla QR-koodilla, voisin kuvitella.

    QR koodi on vain 2 ulotteinen viivakoodi, niitä voi luoda helposti itse. Samoin NFC:n välittämän datan voi lukea. Paras keino iPadeille yms. on yksilöidä itse laite, esim. pankkitunnistautumisella, tai valtion virastossa, jolloin mitään
    erillistä korttia ei jatkossa tarvitse. Oman salatunnuksen tarvitsisi toki edelleen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  32. spottu kirjoitti 4.1.2015 kello 20:30

    Tapio: Vähän ihmettelen, mikä tässä on ongelma.

    Lyhyesti: Pankkien oligopoli, joka yhdessä julkishallinnon hälläväliä-asenteen kanssa johtaa kohtuuttomiin kustannuksiin veronmaksajille. Onneksi nykyään on edes mobiilivarmenne luomassa kilpailua.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  33. Raimo K kirjoitti 4.1.2015 kello 21:00

    Siis: Kela-kortti on jo elektroninen, samoin henkilökortti. Mitä vielä halutaan?
    Pankkitunnuksilla tunnistautuminen toimii myös hyvin ja on turvallinen.

    Se mitä puuttuu, on elektroninen asiointi, sitähän tässä pitäisi kehittää eikä sekaantua lillukanvarsiin. Päätöksiä!

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  34. Vesa kirjoitti 4.1.2015 kello 21:05

    Kortit ja niiden lukijat, tunnusluvut, nfc:t ja muut ovat kohta historiaa. Liian turvattomia, tai kankeita ja helppoja väärinkäytöksille.

    Biometrinen tunnistaminen on nykypäivää ja ennen kaikkea tulevaisuutta. Suomessa sormenjälkiä on jo pitkään kerätty passirekisteriin. Siitä vaan käyttöön kaikkeen tunnistamiseen. Kännyköissäkin alkaa jo olemaan sormenjälkitunnistimet.

    Ja sanottakoon nyt samalla, että poliisin pitää saada rekisteriin käyttöoikeus rikosten selvittämiseksi. Eikö tämän nyt pitäisi olla kaiklle rehellisille itsestään selvää. Tästä vaikka direktiivi vireille.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  35. Krtek kirjoitti 4.1.2015 kello 21:16

    Nykyinen pankkitunnussysteemi on ihan ok. Pankkien hintojaa saa alaspäin siten, että VM menee pankkien puheille ja sanoo, että tästä lähin tunnistautuminen maksaa 10 snt/kerta tai tehdään valtion id-kortti ja säädetään se pakolliseksi.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  36. K-Veikko kirjoitti 4.1.2015 kello 21:25

    Pankkitunnistautumisen vahvuus on siinä, että käyttäjä on asettanut rahallisen vakuuden henkilöllisyytensä oikeellisuudesta. – Tilin saldon verran rahaa. – Kuinka moni käyttäjä mahtaisikaan ja miten helpolla, lainata pankkitunnuksiaan kaverille!

    Teknisesti on helppo toteuttaa “idioottivarmoja” ratkaisuja, mutta heikoin lenkki on aina tuo “idiootti” siellä käyttäjän päässä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 15

  37. Janne Viskari kirjoitti 4.1.2015 kello 21:37

    Joulun alla valiokuntakäsittelystä valmistuneessa lakiesityksessä esitetään säädettäväksi vahvan tunnistamisen toimijoiden välinen luottamusverkosto, joka tarjoittaa, että toimijoiden tulisi jatkossa välittää verkkopalveluihin myös toistensa liikkeellelaskemia tunnisteita. Verkkopalvelun tarjoajalle riittää, että tekee sopimuksen minkä tahansa tunnistuspalvelun tarjoajan kanssa ja sinne kelpaavat kaikkien luottamusverkoston jäsenten tunnisteet. Kilpailu tarkoittaa siis tässä yhteydessä sitä, että olisi mahdollista syntyä markkinaehtoisesti useita erilaisia tunnistamisvälineitä (vaikkapa kontaktillinen siru, NFC-tunniste, mobiilivarmenne), jotka toimisivat toistensa kanssa ristiin, ja olisivat kytkettynä henkilön yhteen ja samaan sähköiseen identiteettiin. Kansallisessa palveluarkkitehtuuriohjelmassa tätä myös laajennetaan roolipohjaiseksi, jolloin omalla sähköisellä identiteetillä tulee mahdolliseksi asioida julkisissa palveluissa myös esim. huoltajan, edunvalvojan tai yrityksen nimenkirjoittajan roolissa. Myöhemmässä vaiheessa mahdollistuu myös sähköisten valtakirjojen antaminen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  38. Lea Viljanen kirjoitti 4.1.2015 kello 22:09

    Ei nyt herra jestas enää tällä vuosikymmenellä mitään järjestelmiä, jotka vaativat erillisen lukijalaitteen ja sen ohjelmiston asentamista.

    Ihmiset ovat nykyään liikkuvia, eivät he halua kantaa mukanaan jotain kortinlukulaitetta että saisivat verkko-ostokset tehtyä.

    En usko, että Suomessa pystytään ihan yhteen järjestelmään siirtymään, mutta jos edes kaksi:
    1) Pankkien tunnistuspalvelu, joka on aika kökkö ja usein jopa bisneksen este, mutta on kaikille tuttu ja toimii.
    2) Mobiilivarmenne, joka on mahdollinen siksi että lähes kaikilla on jo tähän kykenevä kännykkä taskussa, SIM-kortti pitää vain vaihtaa.

    Itse hankin HST-kortin vuonna 2000 ja totesin että pieleen meni kun kaksi IT-alan ammattilaista ähertää päivän saadakseen lukijan ja ohjelmiston asennettua. No, tuli sillä sentään muuttoilmoitus tehtyä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 13

  39. Evert The NeveRest kirjoitti 4.1.2015 kello 22:31

    Salailu ja salailun varmistaminen ovat menneet vainoharhaisuuden asteelle. Otanpa esimerkin.

    Lääkäri määräsi minut verikokeeseen. Hän kirjoitti lähetteen tietojärjestelmään. Minä sain puhelinnumeron, josta sain tilata ajan.

    Soitin ajanvaraukseen. Sain ajan ja kysyin pitääkö olla syömättä miten monta tuntia ennen koetta?

    Virkailija vastasi, että hän ei voi kertoa, koska hänellä ei ole oikeuksia nähdä, mitä verikokeella mitataan.

    Sanoin TÄH! Verikokeeni on valtiosalaisuus. Puolestani sen voisi julkaista valtakunnan uutisissakin.

    Sain tiedot tuloksista ihan puhelimessa ilman tunnistautumista. Henkilö joka kertoi ne, taisi olla sama henkilö, jolta kokeesta yritin kysellä.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 10

  40. aivoitus kirjoitti 4.1.2015 kello 22:43

    Tunnistautumiseen ei tarvitse kaikille sähkövimpaimia. Pankit sentään ovat tajunneet, että paperinen salasanalista riittää. Jos kaikille vaaditaan joku uusi sähkövimpain tunnistautumiseen, se ei tule onnistumaan ainakaan Suomen valtion käytettävissä olevalla tietoteknisilla kyvyillä.

    Paperitulosteilla pääsee yllättävän pitkälle – digitaalinen allekirjoitus, henkilötiedot ja biometriset tunnisteet (kuva, sormenjälki) voidaan laittaa koodattuna paperille, jonka voi luotettavasti aidoksi todistaa digitaalisella allekirjoituksella.

    Ongelma on lähinnä viranomaisten kyky ja halu kehittää palvelujaan ja järjestelmiään. Ei tarvita uuta mega projektia, jossa jokaiselle kansalaiselle toimitetaan joku laite ja lisenssi suljettuun järjestelmään, jota voidaan sitten korjailla vuosikymmeniä… yksinkertaisempi systeemi voisi toimia paremmin.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  41. Liian vanha kirjoitti 4.1.2015 kello 22:47

    Viro sai kortin levitettyä kaikille tekemällä siitä pakollisen oikein lain voimalla

    Eli Viro ei tässä luottanut markkinoiden voimaan vaan sääntelyyn.

    Suomessa oli vuonna 2001 valtionvarainministerinä Sauli Niinistö, joka tuki pankkeja asiassa.

    Eikä nykyään tarvita kortinlukijaa, pc-ssä on USB reikiä, mihin voi työntää tunnistamistikun, jos mekaaniseen ratkaisuun tunnistamisessa päädytään.

    Tavallinen Kela-korttikin luetaan apteekissa ja sairaalassa viivakoodilla , ei siis tarvita elektronista korttia.
    Nykyään ilmoittautuminenkin toimii viivakoodia lukemalla.

    Kun tilanne on karannut käsistä niin yhteen järjestelmään tuskin päästään.Niinpä parasta olisi tyytyä järjestelmään, jossa asiakas voi valita ja kulut peritään asiakkaalta

    Euro ohjaa asiakkaat halvimman palvelun piirin

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  42. Tapio Peltonen kirjoitti 4.1.2015 kello 22:58

    Hei, tännekö sai esittää niitä toiveita kansallisesta sähköisestä tunnistautumisjärjestelmästä?

    Saisiko sellaisen palvelun, että maistraatti (tms taho) allekirjoittaisi (vaikka maksua vastaan) jollain “valtion virallisella avaimella” oman julkisen GPG-avaimeni ja vaikka nimeni ja naamakuvani. Sitten mun oma GPG-avain toimisi suoraan teknisesti vahvana sähköisenä allekirjoituksena missävaan ja viranomaisten pitäisi suoraan hyväksyä minut minuksi ilman pilipali käsinkirjoitettuja allekirjoituksia niin kauan kuin allekirjoitan viestini omalla avaimellani enkä ole perunut avaintani.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  43. Kalle kirjoitti 4.1.2015 kello 23:03

    Onko KELA muuten oikea paikka yleensäkään hankkia mitään korttia = identiteettiä? Tulisiko siitä vain uusi tapa hankkia väärä suomalainen identiteetti?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  44. spottu kirjoitti 4.1.2015 kello 23:58

    spottu: Kilpailuttamisessa on tässä tapauksessa puolensa, kunhan vältetään avoimen piikin ansat.

    Ja onhan se, kuten lakiesityksessä HE 272/2014 vp todetaan:

    Sähköisen tunnistuspalvelun tarjoajan lähettäessä sähköiseen tunnistusvälineeseen liittyvää tietoa toiselle sähköisen tunnistuspalvelun tarjoajalle edelleen välitettäväksi, välitettävästä tunnistetiedosta tulee suorittaa lähettäjälle korvaus. Välitettävästä tunnistetiedosta perittävä korvaus voi olla enintään 10 senttiä. Korvauksen tasoa tullaan arvioimaan vuosittain.

    Konkreettisesti, Vetuma (Valtori) on sähköisen tunnistuspalvelun tarjoaja, ja maksaa toiselle tunnistuspalvelun tarjoajalle, siis pankille tai mobiilioperaattorille max 10 senttiä tunnistustapahtumaa kohden. Tämä on nykytasolla ihan sopuhinta, ja kuten lakiehdotuksessa sanotaan, vuosittain arvioitava asia.

    Valtorin tekemät tekniset ratkaisut mahdollistavat uusien tunnistuspalveluntarjoajien tulon markkinoille kunhan liittymisestä ja tietoturva-auditoinnista ei tule epätarkoituksenmukaisen raskas ja kallis konsulttivetoinen rahastusoperaatio.

    Alkuperäisen väitteensä osalta:

    Tästä ei päästä eteenpäin kuin tekemällä kollektiivinen päätös jostain tunnistautumistavasta tai emme pääse vuosiin eteenpäin.

    Osmo on minusta oikeassa sikäli että (julkis)palveluntarjoajan kannalta sopimus- ja teknisiä osapuolia pitääkin olla vain yksi, mutta se on jo de facto valittu eli Valtori Vetuma-palveluineen.

    2000-luvun alusta maailma on kuitenkin muuttunut sikäli että suoranaisesta tietoturvahysteriasta on päästy eroon, eli pankkien TUPAS kelpaa myös viranomaisille, mobiilioperaattorit tarjoavat mobiilivarmennettaan joka sekin kelpaa viranomaisille, eli suuren yleisön tunnistevälinemarkkinoilla on kaksi blokkia ja kymmenkunta toimijaa joka mahdollistaa aidon kilpailun. Valtori tarvitsee nyt vain selkänojakseen lain joka mahdollistaa sopimusbyrokratian selkeyttämisen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 5

  45. Markku af Heurlin kirjoitti 5.1.2015 kello 0:21

    Raimo K: No itse asiassa pankkien järjestelmä, jossa on vaihtuvat tunnusluvut paperilla, on erittäin turvallinen – jos vain pidät tunnusluvuistasi huolta.

    Käsittääkseni tämä myös on hyvin edellinen, sillä omat apnkkikuluni ovat muutama tai ehkä 10 euro /kk. (pitää tarkistaa)

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  46. Markku af Heurlin kirjoitti 5.1.2015 kello 8:39

    Markku af Heurlin: Käsittääkseni tämä myös on hyvin edellinen, sillä omat apnkkikuluni ovat muutama tai ehkä 10 euro /kk. (pitää tarkistaa)

    Tarkistin: 3,02 e /kk. Ja käytän tunnuksia päivittäin.

    En tiedä, mitä pankit veloittavat muusta käytöstä muilta toimijoilta, esimö AKE:lta, kun pankkitunnuksin teen käytöstäpoistoilmoituksen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  47. Raimo K kirjoitti 5.1.2015 kello 10:06

    Janne Viskari:
    ‘snip’
    Kansallisessa palveluarkkitehtuuriohjelmassa tätä myös laajennetaan roolipohjaiseksi, jolloin omalla sähköisellä identiteetillä tulee mahdolliseksi asioida julkisissa palveluissa myös esim. huoltajan, edunvalvojan tai yrityksen nimenkirjoittajan roolissa. Myöhemmässä vaiheessa mahdollistuu myös sähköisten valtakirjojen antaminen.

    Siis myöhemmässä vaiheessa… ja se myöhempi vaihekin on jo ajat sitten mennyt. Näistä on puhuttu jo vuosia.

    Mitä lienee maksanut ja maksaa jatkossakin – eikä mitään tapahdu.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  48. Raimo K kirjoitti 5.1.2015 kello 10:11

    Lea Viljanen:
    Ei nyt herra jestas enää tällä vuosikymmenellä mitään järjestelmiä, jotka vaativat erillisen lukijalaitteen ja sen ohjelmiston asentamista.

    Ihmiset ovat nykyään liikkuvia, eivät he halua kantaa mukanaan jotain kortinlukulaitetta että saisivat verkko-ostokset tehtyä.
    ‘snip’

    No kyllä verkko-ostoksiin jonkinlainen laite pitää olla, että pääsee verkkoon… vaikka kuinka liikkuvainen olisi.

    Tunnistautumiseen riittää – sus siunakkoon – luottokortin numero.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  49. Mika kirjoitti 5.1.2015 kello 10:25

    Jos se tupas kelpaa niin valtio voisi ihan hyvin jakaa omat itse tulostamansa salasalalistat paperilla ja laittaa postiin, osoitekin tuntuu olevan tiedossa ainakin verohallinnolla. Jännäpaikka onkin siinä että maksaako se valtion tuottamana enemmän kuin 80 senttiä per tunnistautuminen.

    Kortit ja mobiilivarmenteet yms saa unohtaa, jos kansalaiselta vaaditaan jotain aktiivisuutta siihen että pitää tunnistautua julkisiin palveluihin niin minun ja monen muunkin osalta voitte tunnistautumishaaveet unohtaa. Aina unohtuu että kansasta kolmasosa on niitä joita asia ei kiinnosta, ja kolmasosa niitä jotka ei ymmärrä ongelmaa tai tarvetta ja loput niitä jotka ei ymmärrä mistään mitään.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 4

  50. Tiedemies kirjoitti 5.1.2015 kello 11:28

    Tuota noin: Miksi ihmeessä siinä kilpailussa on jotain ongelmaa? Miksi ihmeessä se ei voi mennä niin, että kansalainen itse päättää millä tunnistautuu? Eihän sen palveluntarjoajan tarvitse sitä tunnistautumispalvelua tarjota, vaan tunnistautumispalvelun tarjoaa joku taho jonka kanssa asiakkaalla on sopimus sen tunnistautumisen suhteen. Niinkuin pankeilla ja asiakkailla on nyt. Tämän rinnalle voi aivan hyvin tarjota vaikka mitä vastaavia palveluita.

    En tajua tätä suomalaista mielenmaisemaa yhtään.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  51. spottu kirjoitti 5.1.2015 kello 13:16

    Harvemmin tulee lainsäätäjää kehuttua mutta tämä lakiehdotus HE 272/2014 vp vaikuttaa kyllä poikkeuksellisen hyvältä. Esimerkiksi kohta:

    Luottamusverkostossa on tunnistettavissa kaksi erilaista tunnistuspalveluiden tarjoamisen roolia, jotka on määritelty sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annetun lain 2 pykälän 1 momentin 4 kohdassa. Tunnistuspalvelun tarjoajalla voi olla rooli, jossa se laskee liikkeelle tunnistusvälineitä loppukäyttäjille tai jossa se edelleen välittää toisen tunnistuspalvelun tarjoajan tekemiä käyttäjien tunnistustapahtumia sähköisten palveluiden tarjoajille tai sillä voi olla molemmat roolit.

    heijastaa suoraan sitä vuosien varrella arkkitehtuureissa tapahtunutta kehitystä jossa on ihan kelpo standardeja (SAML, OAuth, OpenID) tunnistusvälineriippumattomaan autentikointiin ja auktorisointiin, ja joiden implementointi luultavasti onnistuu paremmin sellaisilta jotka tekevät sitä päätyökseen eikä varsinaisen liiketoiminnan sivutuotteena.

    Ilmeisesti pankit saivat lobattua ensitunnistautumisen kohtuulliset kustannukset pois lakiesityksestä:

    Ensitunnistamisen ketjuttamisen vaatimusta ja etenkin sen hinnoittelua pidettiin ongelmallisena useissa lausunnoissa. Lausuntopalautteen perusteella ensitunnistamisen hinnoittelun kohtuullisuutta koskeva vaatimus poistettiin esityksestä.

    mutta tuo on lopulta mobiilioperaattoreille aika pieni hidaste, suurin osa pankeista (paitsi ei tietenkään viivytystaistelua käyvä Nordea) on päässyt mobiilioperaattorien kanssa sopimukseen järkevästä kustannustasosta. Tähän lainsäätäjän pitää tulevaisuudessa palata jos markkinoille yrittää joku uusi ja mullistava tunnistusvälineitä tarjoava operaattori jonka markkinoilletulon etabloituneet toimijat pyrkivät yhteisvoimin estämään.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  52. Elias Aarnio kirjoitti 5.1.2015 kello 16:20

    Hyvä nosto Odelta! Liityn mukaan siihen joukkoon, joka huutaa naama punaisena, että nyt se valtion sähköinen henkilökortti kaikille ja heti!

    Olennaista asiassa on se, että sähköinen tunnistautuminen on sellainen liiketoiminnan perustekijä, jonka hinnan alhaisuus edesauttaa uuden liiketoiminnan kehittämistä. Lisäksi hyvälaatuinen julkinen palvelu motivoi pankkeja kehittämään nykyisiä heikkolaatuisia tunnistuspalveluita paremmiksi niin käytettävyyden kuin tietoturvankin osalta.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  53. pekka kirjoitti 5.1.2015 kello 17:25

    Raimo K: Tunnistautumiseen riittää – sus siunakkoon – luottokortin numero.

    Ei nyt onneksi sentään (ainakaan suomalaisissa tunnetuissa verkkokaupoissa). Kun olet näpytellyt luottokortin tiedot verkkokauppaan, joudut vielä kaivamaan pankkitunnuksesi esiin.

    Pelkkään luottokortin numeron tietämiseen perustuva maksaminen on historiaa (paitsi ehkä jenkkien takapajulassa).

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  54. pekka kirjoitti 5.1.2015 kello 17:28

    Vesa: Kortit ja niiden lukijat, tunnusluvut, nfc:t ja muut ovat kohta historiaa. Liian turvattomia, tai kankeita ja helppoja väärinkäytöksille.
    Biometrinen tunnistaminen on nykypäivää ja ennen kaikkea tulevaisuutta. Suomessa sormenjälkiä

    Sormenjälkikö sitten on mielestäsi turvallinen tunnistautumistapa?
    Mediassa on jatkuvasti uutisia sen ja tämän uuden hiedon sormenjälkisysteemin menestyksellisistä huijauksista.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  55. Pekka Pessi kirjoitti 5.1.2015 kello 17:55

    aivoitus:
    Tunnistautumiseen ei tarvitse kaikille sähkövimpaimia. Pankit sentään ovat tajunneet, että paperinen salasanalista riittää.

    Sähkövimpaimessa on se hyvä puoli, että sillä voi havaita välikäden. Pankkipalveluissa ei voi tietää, syöttääkö paperilistalta luettavan tunnuksen pankille vai nsa:lle vai jollekin mulle kräkkerille, joka on korkannut yhden 70:stä juurisertin haltijasta.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  56. Raimo K kirjoitti 5.1.2015 kello 18:10

    Mika:
    ‘snip’
    Kortit ja mobiilivarmenteet yms saa unohtaa, jos kansalaiselta vaaditaan jotain aktiivisuutta siihen että pitää tunnistautua julkisiin palveluihin niin minun ja monen muunkin osalta voitte tunnistautumishaaveet unohtaa. Aina unohtuu että kansasta kolmasosa on niitä joita asia ei kiinnosta, ja kolmasosa niitä jotka ei ymmärrä ongelmaa tai tarvetta ja loput niitä jotka ei ymmärrä mistään mitään.

    Kyllä tunnistautuminen on aika tärkeää…

    Olihan taannoin (siis ennen näitä nykyisiä kommervenkkejä) tapaus, että eräs espoolainen juristi haki vaimonsa nimissä avioeroa, jonka oikeus myönsikin, kun ko. juristi ei sitä vastustanut. Vaimo oli melko hämmästynyt…

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  57. Juha S. kirjoitti 5.1.2015 kello 22:32

    Ei ole mitään estettä säätää henkilökortti pakolliseksi kaikille ja samalla siihen liitetään sähköinen identiteetti. Samainen ID tulee voida myös irroittaa kortista johonkin toiseen luotettavaan tekniikan laitteeseen kuten nykyisin SIM-kortteihin tai liikkuvan laitteen turvasiruun. Sähköinen allekirjoitus viranomaistoiminteisiin ja pienellä transaktiomaksulla myös yksityisen sektorin käyttöön. Kortinlukijat tms laitteet markkinoilta, kustannus maks. 5 eur/kansalainen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  58. Kalle kirjoitti 5.1.2015 kello 22:46

    Raimo K: No itse asiassa pankkien järjestelmä, jossa on vaihtuvat tunnusluvut paperilla, on erittäin turvallinen – jos vain pidät tunnusluvuistasi huolta.

    Kun tein töitä muutama vuosi sitten tietotekniikan parissa, pankkien järjestelmät olivat teknisesti esimerkki siitä miten asioita ei saa hoitaa. Salaukseksi ostettiin aina se halvin. Toiminnallisesti ne ovat yhä sitä, enkä oikein usko tekniikankaan parantuneen kovin huimin harppauksin.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  59. Raimo K kirjoitti 5.1.2015 kello 23:02

    pekka:
    ‘snip’
    Pelkkään luottokortin numeron tietämiseen perustuva maksaminen on historiaa (paitsi ehkä jenkkien takapajulassa).

    Amerikkalaiselle verkkokaupalle riittää luottokortin numero ja varmistusnumero. Eräs suomalainen kirjakauppa lähettää vain postiennakolla – sekö on edistystä?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  60. Risto kirjoitti 6.1.2015 kello 0:03

    pekka: Ei nyt onneksi sentään (ainakaan suomalaisissa tunnetuissa verkkokaupoissa). Kun olet näpytellyt luottokortin tiedot verkkokauppaan, joudut vielä kaivamaan pankkitunnuksesi esiin.

    Pelkkään luottokortin numeron tietämiseen perustuva maksaminen on historiaa (paitsi ehkä jenkkien takapajulassa).

    Ei nyt sentään (ainakaan), jos pitää itsellään ainakin yhden kortin, johon ei ole liitetty vastaavan pankin muuta asiakkuutta. Ei ole koodeja, joita kysyä.
    (ainakin jotain hyötyä näistä erilaisista kanta-asiakasohjelmista)

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  61. spottu kirjoitti 6.1.2015 kello 0:52

    Lakiehdotuksen HE 272/2014 vp 12 a § on vähän epäselvä:

    Luottamusverkostoon kuuluvan tunnistuspalvelun tarjoajien on noudatettava sellaisia hallinnollisia käytäntöjä, jotka mahdollistavat tunnistuspalveluita tarjoavien ja niitä hyödyntävien sähköisten palveluntarjoajien tarjoamien palveluiden yhteentoimivuuden sekä tarjottava tekniset rajapinnat, jotka luovat edellytykset tunnistuspalveluita tarjoavien ja niitä hyödyntävien toimijoiden väliselle toiminnalle.

    Tuossa minusta puhutaan vain tunnistuspalveluiden tarjoajien ja palveluntarjoajien välisistä yhteyksistä, eikä suoraan velvoiteta tunnistuspalvelun tarjoajia tarjoamaan riittävät tekniset rajapinnat myös toisilleen myöhemmin määriteltyä 10 sentin korvausta vastaan. Kieltäytymismahdollisuus torpedoisi hyvin tehokkaasti Valtorin tapaisten tunnistuspalveluaggregoijien toiminnan ja uusien toimijoiden markkinoilletulon.

    Lain perustelutekstissä todetaan:

    Tunnistuspalvelun tarjoajalla voi olla rooli, jossa se laskee liikkeelle tunnistusvälineitä loppukäyttäjille tai jossa se edelleen välittää toisen tunnistuspalvelun tarjoajan tekemiä käyttäjien tunnistustapahtumia sähköisten palveluiden tarjoajille tai sillä voi olla molemmat roolit.

    Yhteistoiminnasta kieltäytymismahdollisuus tarkoittaisi että jälkimmäisen roolin toimijat voisivat olla olemassa vain niin pitkään kuin se ensimmäisen roolin toimijoille sopii, joka romuttaisi oikeastaan koko lain idean eli tehokkuuteen perustuvan kilpailun helposti oligopoliin johtavilla markkinoilla.

    Jos sanamuoto:

    ..tarjottava tekniset rajapinnat, jotka luovat edellytykset tunnistuspalveluita tarjoavien ja niitä hyödyntävien toimijoiden väliselle toiminnalle.

    tulkitaan s.e. luottamusverkostoon kuuluvan toimijan A tulee tarjota tekniset rajapinnat luottamusverkostoon kuuluvalle toimijalle B jotta toimijalla B on ylipäätään edellytykset toimia asiakkaidensa suuntaan, ei ongelmaa ole.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  62. Raimo K kirjoitti 6.1.2015 kello 9:49

    Kalle: Kun tein töitä muutama vuosi sitten tietotekniikan parissa, pankkien järjestelmät olivat teknisesti esimerkki siitä miten asioita ei saa hoitaa. Salaukseksi ostettiin aina se halvin. Toiminnallisesti ne ovat yhä sitä, enkä oikein usko tekniikankaan parantuneen kovin huimin harppauksin.

    Vanhakin tekniikka toimii.

    Kun nyt olet perehtynyt tähän asiaan, niin kerropa, miten hakkeri kaappaa sinulta taskussasi olevan kertakäyttöisen avainluvun?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  63. spottu kirjoitti 6.1.2015 kello 11:43

    Raimo K: Kun nyt olet perehtynyt tähän asiaan, niin kerropa, miten hakkeri kaappaa sinulta taskussasi olevan kertakäyttöisen avainluvun?

    Ajatuksena oli kai pikemminkin käyttää TUPAS-speksissä pitkään sallittuina kummitelleita turvattomia MD5- ja SHA-1 -algoritmeja väärennetyn vastauksen toimittamiseen (selaimelta) palveluntarjoajalle, joka luulee vastauksen tulevan pankista.

    Näissä teknisissä detaljeissa on yleensä kyse siitä että halutaan minimoida hyökkäyspinta, ja turvattomien algoritmien käyttö on tarpeetonta provosointia vaikka ajateltaisiinkin että oletettu hyökkäysvektori on jossain muualla. Miksi tehdä huonosti kun samalla vaivalla voi tehdä hyvin ilman että loppukäyttäjän käyttäjäkokemus siitä kärsii?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  64. aivoitus kirjoitti 6.1.2015 kello 18:51

    Raimo K: Vanhakin tekniikka toimii.
    Kun nyt olet perehtynyt tähän asiaan, niin kerropa, miten hakkeri kaappaa sinulta taskussasi olevan kertakäyttöisen avainluvun?

    Jos käyttämässisi tietokoneessa on haittaohjelmia, et voi tietää mitä koneellasi on oikeasti tapahtumassa. Kun luulet ostavasi vaikka eurolla krääsää tutusta verkkokaupasta ja koneen ruudulla kaikki näyttää olevan ok, oikeasti haittaohjelma on taustalla tyhjentämässä pankkitiliäsi ja odottaa vain että syötät tunnuslukusi listasta.

    Et voi luottaa että kone tekee mitä odotat, vaan se voi pyytää sinulta sanasana ja näyttää juuri ne asiat ruudulla mitä tarvitaan sinulta sen salasanan saamiseen. Maksutapahtuma voi edetä aivan normaalisti kuten aina ennenkin, mutta koneen ja pankin välinen liikenne on jotain aivan muuta kuin sen pitäisi olla. Pankkien salasanalistan, älykortin ja securid:n murtamiseen kaikkiin käy tämä man-in-a-browser hyökkäys. Parempi huolehtia, että koneellasi ei ole haittaohjelmia, äläkä syötä salasanojasi koneella, jonka tietoturvasta et voi olla varma.

    Koska tyypillisen sähköisten tunnistusvimpainten suojaus murtuu samankaltaisella hyökkäyksellä, on turha niistä maksaakaan enempää kuin siitä paperisesta salasanalistasta.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  65. Anonuumi kirjoitti 6.1.2015 kello 23:03

    aivoitus:

    Koska tyypillisen sähköisten tunnistusvimpainten suojaus murtuu samankaltaisella hyökkäyksellä, on turha niistä maksaakaan enempää kuin siitä paperisesta salasanalistasta.

    Kännykkään jonkinlainen hardwarella toteutettu kova tunnistautumis- ja allekirjoittamisympäristö, jossa esim. näkisi maksettavat laskut?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  66. Sakke kirjoitti 7.1.2015 kello 8:35

    aivoitus:
    Raimo K: Vanhakin tekniikka toimii.
    Kun nyt olet perehtynyt tähän asiaan, niin kerropa, miten hakkeri kaappaa sinulta taskussasi olevan kertakäyttöisen avainluvun?

    Jos käyttämässisi tietokoneessa on haittaohjelmia, et voi tietää mitä koneellasi on oikeasti tapahtumassa. Kun luulet ostavasi vaikka eurolla krääsää tutusta verkkokaupasta ja koneen ruudulla kaikki näyttää olevan ok, oikeasti haittaohjelma on taustalla tyhjentämässä pankkitiliäsi ja odottaa vain että syötät tunnuslukusi listasta.

    Et voi luottaa että kone tekee mitä odotat, vaan se voi pyytää sinulta sanasana ja näyttää juuri ne asiat ruudulla mitä tarvitaan sinulta sen salasanan saamiseen. Maksutapahtuma voi edetä aivan normaalisti kuten aina ennenkin, mutta koneen ja pankin välinen liikenne on jotain aivan muuta kuin sen pitäisi olla. Pankkien salasanalistan, älykortin ja securid:n murtamiseen kaikkiin käy tämä man-in-a-browser hyökkäys. Parempi huolehtia, että koneellasi ei ole haittaohjelmia, äläkä syötä salasanojasi koneella, jonka tietoturvasta et voi olla varma.

    Koska tyypillisen sähköisten tunnistusvimpainten suojaus murtuu samankaltaisella hyökkäyksellä, on turha niistä maksaakaan enempää kuin siitä paperisesta salasanalistasta.

    Miten ihmeessä tavallinen tietokoneen, älypuhelimen tms. käyttäjä voi tietää, onko kaikki hänen koneellaan OK? Mistä hän voi tietää, onko koneessa haittaohjelmia?

    Joskus aiemmin tuo (haittaohjelmien etsiminen, tunnistaminen ja poistaminen) saattoi olla vielä mahdollista tietokoneensa ja sen ohjelmat paremmin tunteville, mutta nykyisin lienee jo pitkään ollut mahdollsta luoda käyttäjälle sellainen lumetodellisuus, jonka oikeaksi/vääräksi selvittäminen ei normaalikansalaiselle ole enää mahdollista, tietoteknisiltä ym. kyvyiltään tai ymmärrykseltään tai järjestelmien edellyttämän ajankäytön osalta vajavaisille se tuskin sitä koskaan on ollut. Näistä, ja monista muistakin ikävistä mahdollisuuksista keskusteltiin jo 15-20 vuotta sitten, varmaan aiemminkin, mutta onko tietoturvamme taso parantunut?

    Vaatimukset tietoturvasta on asetettava järjestelmien ja ohjelmistojen kehittäjille, ei niiden käyttäjille!

    Mistä esim. käyttäjä voi tietää, onko jonkin ohjelmiston jokin päivityspaketti todellakin ‘kotoisin’ oikeasta lähteestä, jos vaikka siltä ehkä parhaassa(?) tapauksessa näyttäisikin? Pahimmillaan saatamme olla kuin kärpäsiä hämähäkin verkossa, jossa lisäpyristelymme saavat meidät kiinni, verkon “vangeiksi”, aiempaakin pahemmin.

    Mitä enemmän meistä on tietoa netin piirissä olevissa eri järjestelmissä, sitä pahemmaksi tilanne voi muuttua, kun niitä kaikkia tietoja aletaan yhdistelemään. Kaikki tuohon kykenevät eivät välttämättä toimi vilpittömin mielin, tai asianmukaisin valtuuksin. Onko yhteiskuntamme edennyt digiaikaan päätä pahkaa, (kuin) päättäjien silmät sidottuina/sokaistuneina? Ovatko edut painaneet ohjelmisojen ja järjestelmien sekä päättäjien vaakakupissa enemmän kuin mahdolliset (ehkä tiedossa olleet) haitat? Onko tilanne OK, jos vaakakupit ovat yhteiskunnan kannalta tasoissa, jos ne eivät sitä ole käyttäjien, ja kaikkien käyttäjäryhmien kannalta?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  67. max kirjoitti 7.1.2015 kello 9:45

    Tiedemies:
    Tuota noin: Miksi ihmeessä siinä kilpailussa on jotain ongelmaa? Miksi ihmeessä se ei voi mennä niin, että kansalainen itse päättää millä tunnistautuu? Eihän sen palveluntarjoajan tarvitse sitä tunnistautumispalvelua tarjota, vaan tunnistautumispalvelun tarjoaa joku taho jonka kanssa asiakkaalla on sopimus sen tunnistautumisen suhteen. Niinkuin pankeilla ja asiakkailla on nyt. Tämän rinnalle voi aivan hyvin tarjota vaikka mitä vastaavia palveluita.

    En tajua tätä suomalaista mielenmaisemaa yhtään.

    Juuri noin. Hiukan asian vierestä nyt kuumana käyvästä DDoS ilmiöstä kohdistuen esimerkiksi pankkeihin. Tarvittaisiin globaalia “tunnistautumispalvelua” joka yksinkertaisesti välittäisi tietoa loppupalveluntarjoajalle (vaikkapa pankille)tikettiä joka kertoo onko sen haltija ihminen vai kone/skripti. Pääsy pankin verkkopalveluun olisi (tänään) vain ihmisillä. “Tunnistautumispalvelu” voisi pyöriä hajautettuna hyödyntäen tyhjäkäyntiaikoja vrt.Seti.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  68. max kirjoitti 7.1.2015 kello 10:03

    Anonuumi: Kännykkään jonkinlainen hardwarella toteutettu kova tunnistautumis- ja allekirjoittamisympäristö, jossa esim. näkisi maksettavat laskut?

    Ei se tarvi olla kännykässä (erikseen) se voi olla siinä samassa liittymässä kuin se toimintakin. Olennaista on kääntää haaste toisinpäin ennen maksua eli vastapuoli/pankki laitetaan piirtämään se lasku (kuten ehdotitkin) vaikkapa käyttäen pohjana aiemmin pankkiin toimitettua iloista kuvaasi perhealbumista. Man-in-the-browser on aseeton. Selaimeen lävähtävä kuva kertoo yksiselitteisesti mitä pankin mielestä olet aikeissa maksaa ja myös kuka pankin mielestä on maksajana (jos sellainen on joskus tulevaisuudessa kyseenalaista).

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  69. Tapio kirjoitti 7.1.2015 kello 11:39

    aivoitus: Kun luulet ostavasi vaikka eurolla krääsää tutusta verkkokaupasta ja koneen ruudulla kaikki näyttää olevan ok, oikeasti haittaohjelma on taustalla tyhjentämässä pankkitiliäsi ja odottaa vain että syötät tunnuslukusi listasta.

    Ilmeisesti tämän takia (monilla) pankeilla on viimeisenä varmistuksena tekstiviestikysely kännykkääsi, jos maksun koko ja/tai saaja on epätavallinen. Raha lähtee tililtäsi vasta vastattuasi viestiin.

    AI-hoitaa kyselyn ja se näyttää toimivan ihan hyvin. Kymppitonnin maksu tunnetun rakennusliikkeen tilille ei välttämättä aiheuta kyselyä, mutta kolmenkympin ostos jostakin oudosta verkkokaupasta tai tilisiirto yksityishenkilölle sellaisen aiheuttaa.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 4

  70. R.Silfverberg kirjoitti 7.1.2015 kello 13:25

    Pankkikoodeilla tunnistautuminen on sikäli varmaa että koodeja joilla pääsee henk. kohtaisiin rahatietoihin käsiksi ei kukaan täysjärkinen anna kenellekään muulle, ei edes omille perheenjäsenilleen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  71. anonyymi kirjoitti 7.1.2015 kello 14:37

    Vesa: Biometrinen tunnistaminen on nykypäivää ja ennen kaikkea tulevaisuutta. Suomessa sormenjälkiä on jo pitkään kerätty passirekisteriin. Siitä vaan käyttöön kaikkeen tunnistamiseen. Kännyköissäkin alkaa jo olemaan sormenjälkitunnistimet.

    Ongelma vain on siinä, että biometrisiä tunnisteita on niin kovin vaikea vaihtaa. Ja semmoisia tilanteita tulee väkisinkin eteen.

    Ja sanottakoon nyt samalla, että poliisin pitää saada rekisteriin käyttöoikeus rikosten selvittämiseksi. Eikö tämän nyt pitäisi olla kaiklle rehellisille itsestään selvää.

    Ei tule antaa. Sen taas pitäisi olla itsestään selvää kaikille älykkäille ihmisille.
    Se, miksi esimerkiksi sormenjälki toimii rikostutkinnassa tunnisteena niin hyvin, johtuu siitä, että sormenjälkien alkuperäiseen keräämiseen ja tunnistamiseen löytyy yleensä joku syy kuten se, että on uhrin läheinen, voi muuten liittyä rikokseen tai löytyy aikaisempi rikosrekisteri. Kukaan ei suuresti hyödy siitä, että saa jostain satunnaisen sormenjäljen ja lavastaa sen rikospaikalle, koska henkilöä tuskin voidaan tunnistaa sillä tämä ei osu noihin kategorioihin.

    Sormenjälkimuotin tekeminen onnistui esimerkiksi Myytinmurtajissa eikä se lopultakaan liene erityisen vaikeata, jos vain löytyy motivaatiota, tai ainakaan, jos muottien tekemiselle ja myymiselle alkaa löytyä markkinoita. Tilanne muuttuu tällaiseksi, mikäli jokaisen sormenjäljet ajetaan tietokantaan, sillä a) satunnaisia sormenjälkiä saa otettua käytännössä jokaiselta julkisen pinnalta ja b) kaikki niistä voidaan tunnistaa. Tällöin niiden käyttämisessä lavastuksessa alkaa olla jo järkeä – varsinkin jos käyttää aina samaa tai samoja. En välttämättä luottaisi siihen, että poliisi tai tuomarit, jotka molemmat ovat tottuneet sormenjälkien merkitsevän jotain, osaisivat ajatella toisin, joten vähintäänkin resursseja tuhlattaisiin tarpeettomasti. Jos taas osaisivat, sormenjälkien tutkinnallinen merkitys taas vähenisi, mikä sekään ei ole erityisen hyvä asia.

    Ja noin ihan periaatteessakaan ei pitäisi kerätä eikä antaa minkään tahon käyttöön tietoja ilman hyvää syytä.

    Juha S.: Kortinlukijat tms laitteet markkinoilta, kustannus maks. 5 eur/kansalainen.

    Saattaisi olla järkevämpää laittaa henkilökorttiin suoraan semmoiset USB-lipokkeet kuin pienissä USB-muisteissa niin ei tarvitsisi miettiä tuommoisia lukijoita ja eliminoitaisiin tarve luottaa taas yhteen ylimääräiseen, pahantekijän helposti vaihdettavissa olevaan laitteeseen.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  72. aivoitus kirjoitti 7.1.2015 kello 16:07

    Sakke: Miten ihmeessä tavallinen tietokoneen, älypuhelimen tms. käyttäjä voi tietää, onko kaikki hänen koneellaan OK? Mistä hän voi tietää, onko koneessa haittaohjelmia?

    Ei voikaan tietää. Asiantuntijatkaan eivät pysty havaitsemaan kaikkia haittaohjelmia.

    Pankitkaan eivät luota että kaikki transaktiot ovat laillisia. Pankit vain laskevat, että kunhan laittoman toiminnan osuus pysyy riittävän pienenä, niin toiminta on edelleen kannattavaa tai laittomuuksien kustannus vieritetään pankin asiakkaille. Laittomuuksien vaikutusta pyritään myös pienentämään analysoimalla maksuliikennettä – oudot ja poikkeavat tapahtumat aiheuttavat ylimääräisiä tarkistuksia. Lopulta joku ihminen saattaa soittaa sinulle ja kysyä oletko oikeasti nyt maksamassa jotain laskua.

    Julkisenkaan puolen ei tulisi liiaksi luottaa verkossa toimimiseen. Ei pidä olla hyväuskoinen hölmö joka luotaa liikaa järjestelmän toimintaan, vaan jo valmiiksi varautua sen väärinkäyttöön.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  73. spottu kirjoitti 7.1.2015 kello 16:16

    Toivottavasti muuten tämä uusi laki johtaa jonkinlaiseen HST-kortin renesanssiin, on nimittäin nichejä joissa fyysiseen viralliseen dokumentaatioon liitetty sähköinen ID on ylivoimainen.

    Henkkariin liittyvää HST-korttia eli jätetä lojumaan jonnekin, lainata kavereille, eikä avainta voi kopioida. Lisäksi se on pankkitunnuksia ja mobiilivarmennetta nopeampi käyttää desktop-ympäristössä kun lukijan voi sijoittaa tarkoituksenmukaisesti.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  74. tavis kirjoitti 7.1.2015 kello 16:19

    Taas kerran: joku (Ode) kirjoittaa vakuuttavasti, miksi kilpailu on tässä asiassa turhaa ja valtion tulee sosialistisella tuotteellaan korvata kilpailu. Kun luen kommentteja, tajuan, että sittenkin kilpailu on parempi. Emmekä edes tiedä, mitä kaikkia uusia ratkaisuja tulevaisuudessa kehittyisi eri tarpeisiin, jos emme näin lannistaisi vapaata kilpailua, tai mitä hyötyjä nykyratkaisuista on tilanteissa, joita emme osaa tulla ajatelleiksi.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  75. Raimo K kirjoitti 7.1.2015 kello 22:58

    tavis:
    Taas kerran: joku (Ode) kirjoittaa vakuuttavasti, miksi kilpailu on tässä asiassa turhaa ja valtion tulee sosialistisella tuotteellaan korvata kilpailu. Kun luen kommentteja, tajuan, että sittenkin kilpailu on parempi. Emmekä edes tiedä, mitä kaikkia uusia ratkaisuja tulevaisuudessa kehittyisi eri tarpeisiin, jos emme näin lannistaisi vapaata kilpailua, tai mitä hyötyjä nykyratkaisuista on tilanteissa, joita emme osaa tulla ajatelleiksi.

    Ja mitähän kilpailu on tässä asiassa meille tuottanut? Tunnistautumisen pankkitunnuksilla.

    Jos valtio haluaa edetä sähköisessä asioinnissa, sillä on tietenkin sekä oikeus että velvollisuus määrätä, miten tunnistautuminen tapahtuu. Ja kunnat voisi määrätä samaan systeemiin.

    Ratkaisut eivät tietenkään ole ikuisia. Se että emme tiedä, mitä ratkaisuja tulevaisuudessa käytetään, ei saa johtaa siihen, että nyt ei tehdä mitään.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 2

  76. AnnaJ kirjoitti 8.1.2015 kello 10:27

    Pankkitunnukset ovat olleet mielestäni ihan toimiva tapa tunnistautua, vaikka voisihan se käytttäjäystävällisempääkin olla.
    Yksi huomio tähän asiaan. Jostain silmiini on osunut tieto, että luottotietonsa menettäneelle nettipankkitunnuksia ei ehkä anneta. En ole varma, voiko tämä pitää paikkaansa?

    Lisäksi on kai ihmisiä, jotka eivät halua olla minkään pankin asiakkaita.

    Näillekin ihmisille pitäisi olla jokin tunnistautumistapa verkossa. Varsinkin kun yhteiskunnan tarjoamat palvelut yhä enemmän siirtyvät verkkoon.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 3

  77. Sepi kirjoitti 11.1.2015 kello 18:34

    En keksi miksi tarvitaan fyysinen laite. Miksei valtio voi vain lähettää verokortin yhteydessä tammikuussa avainlukulistaa jolla ihmiset voivat kirjautua tunnistus-palveluun?

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  78. K-Veikko kirjoitti 12.1.2015 kello 11:41

    “Minä täällä!” ja “Missä olet?”
    – Tässä ehkä yleisimmät sähköisen kommunikoinnin tunnistautumismenetelmät. –
    Pitäisikö näiden lauseiden käyttäminen kieltää kansalaisilta ja hyväksyä vain valtion hyväksymä menetelmä.

    Kun ihminen tunnistautuu toiselle on kyse sananvapauden käyttämisestä. Myös digitaalisessa maailmassa. Tässä keskustelussa helposti unohtuvat perusasiat. Se mistä tunnistautumisessa oikeastaan on kyse. Kyse on siitä oletko sinä sinä; eikä oikea vastaus tuohon riipu mitenkään kolmannesta osapuolesta.

    Olen kohdannut tilanteita, jossa virkailija on ollut erittäin kiinnostunut henkilöllisyystodistuksen muodollisesta pätevyydestä. Vaikkapa passin voimassaolon päättymisestä. Tilanteita, joissa virkailijaa ei mitenkään kiinnosta kysymys olenko minä minä?, joissa tutkitaan yhden järjestelmän tuottaman dokumentin vastaavuutta toisen järjestelmän tuottamaan ohjesääntöön. – Silti ihminen tekee lopultakin (virka)päätöksen, arvovalinnan, toisen ihmisen henkilöllisyydestä, ei kone tai järjestelmä.

    Tunnistautumisen tuottaja vääjäämättä käyttää omaa asemaansa hyväkseen. – Pankki ottaa rahaa, valtio tekee valehenkilöllisyyksiä (kansallisen turvallisuuden nimissä), jne. Vain järjestelmien välinen kilpailu voi minimoida keskitettyjen tunnistajien tuottaman väärän tiedon määrän (* laadun); minimoida yhteiskunnalle, tarkoitan kansalle, aiheutuvan vahingon.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

  79. Jukka kirjoitti 12.1.2015 kello 20:16

    Verottaja on luonut yritysten ja yhteisöjen käyttöön Katso-tunnistepalvelun, joka vastaa toiminnallisuudeltaan verkkopankkien tapaa (tunnuslukulistat ym.):
    http://www.vero.fi/fi-FI/katso_etusivu

    Miksei tätä palvelua voisi laajentaa tarjolle myös yksityishenkilöille, jos joku ei ole tai ei halua olla pankkien tunnistautumispalvelun piirissä? Ja tällä voisi kuvitella hoituvan myös julkishallinnon erilaiset tunnistautumistarpeet virastoissa ja luottamustehtävissä. Toimiva järjestelmä on jo olemassa, se täytyisi vain tarjota ihmisten käyttöön.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 1

  80. spottu kirjoitti 11.10.2016 kello 12:58

    Näyttää suomi.fi tunnistautuminen olevan tuotannossa, ja hyvältä vaikuttaa. Voi olla että näin on ollut jo jonkin aikaa, mutta ainakin minulle tuo on uutinen.

    Kokeilla voi vaikka täällä.

    Nyt voinee virallisesti todeta että protokollien ja toimintamallien vakiintuminen, Shibboleth, SAML 2.0 ja mitä tuolla lieneekään on poistanut Osmon huolenaiheet tunnistautumisen osalta ja asiassa voidaan vihdoin siirtyä eteenpäin varsinaisiin ongelmiin.

    Ratkaisu mahdollistaa myös tunnistuksen laajentamisen marginaaliryhmille jotka eivät ole tai halua olla pankkien tunnistautumispalvelun piirissä, mobiilioperaattoreiden palvelujen varassa, eivätkä halua olla riippuvaisia fyysisestä HST-lukijasta, mutta tuo on jo melkoisen pieni marginaaliryhmä joten käytännön kattavuus tunnistuspalvelulla lähenee 100%.

      (lainaa tätä viestiä vastaukseesi)

    Suosittele: Thumb up 0

Jätä vastaus