Tuosta passin lukuohjelmasta vielä:
On aivan oikein ja viisasta miettiä tietoturvaa kaikkien sellaisten ohjemistojen kannalta, joissa käsitellään henkilökohtaisia tietoja. Kuten mm.
@Jani82 on maininnut, tiettyjen henkilötietojen haltuun saaminen antaa rikollisille mahdollisuuden identiteettivarkauteen, jolla pystyy aiheuttamaan kohteelle vähimmillään harmia, pahimmillaan suuriakin taloudellisia vahinkoja. Siksi yleiseen huolettomuuteen ei nykyisessä digitaalisessa maailmassamme ole syytä.
Tässä koronapassin tapauksessa ei kuitenkaan mielestäni ole erityistä syytä huolestua. Korostan, että käytännössä kaikki, mitä tässä kirjoitan, on parhaimmillaankin vain arvailua, joissain kohdin sentään jossain määrin valistunutta sellaista. Kuitenkin ymmärrän jonkin verran sovelluskehityksestä myös tietoturvan osalta, vaikka en sille puolelle erikoistunut olekaan. Alallani kuitenkin tuohonkin asiaan joutuu näppinsä sotkemaan, joten jonkinmoinen käsitys kuitenkin asiasta on. Palstalta löytyy varmasti useita minua paremmin asiaa tuntevia, joten korjata tietysti saa jos höpisen päättömiä. Ja jos asia ei yhtään kiinnosta, niin hyppää herran jestas seuraavaan viestiin, tulossa on melkoinen wall of text.
Ensin tuo itse passi. Se siis sisältää henkilötietojen osalta ainakin nimen, syntymäajan ja kansalaisuuden. Nämä tiedot eivät periaatteessa riitä identiteettivarkauden tekemiseen. Muussa tapauksessahan vaikkapa verotietojen julkaisun yhteydessä lähtisi miljonääreiltä massit kukkarosta hyvin pikaisesti. Esimerkiksi henkilötunnuksen loppuosaa tai osoitetietoja tuolla tuskin mukana liikkuu. Näiltä osin olisin siis rauhallisin mielin.
Varsinaisen pihvin osalta sitten löytyy tieto rokotuksista, sairastetusta taudista sekä tuoreesta testituloksesta, mikäli näiden osalta on tietoja käytettävissä. Päivänselvää on, että kyse on henkilökohtaisista terveystiedoista, mutta näilläkään ei nähdäkseni päästä vahinkoa kenellekään tekemään.
Sitten se lukijapuoli. Lukijasovelluksen osalta kerroinkin jo aiemmassa viestissäni olettavani, että sovellus ei pääse mihinkään terveydenhuollon tietokantoihin (Suomessa Kanta-palvelu), vaan kaikki sen saama tieto on koronatodistuksessa, jota lukijalle näytetään. Kuten aiemmassa viestissäni myöskin kirjoitin, koronatodistuksen QR-koodi ei kaiken järjen mukaan sisällä mitään muuta kuin ne tiedot, jotka koronatodistuksessa ovat luettavissa myös tekstimuotoisina. Tällöin siis lukijasovellus saa vain nämä kyseiset tiedot, joten varsinaiseen identiteettivarkauteen tai vastaavaan ei pahantahtoinenkaan sovelluskehittäjä pysty. Ns. virallisten tahojen tuottamien sovellusten osalta luotan siihen, että ne eivät dataa mihinkään lähetä, vaan ainoastaan tarkistavat, että luettu passi on kelvollinen.
Mikäänhän ei tietenkään estä mustahattuista hakkerinretkua tekemästä lukijasovellusta, joka tallentaa passin tiedot, lähettää ne palvelimelle, ja koostaa niistä tietokannan. Tämän sovelluksen voi sitten pistää Googlen ja Applen kauppoihin ladattavaksi, ja toivoa, että mahdollisimman moni portsari, jäähallin lipuntarkastaja sekä oopperan vahtimestari sen käyttöönsä lataa. Tällöin olisi mahdollista koostaa tietyn henkilön tekemisistä kohtalaisen tarkkakin kuva, lähinnä kuitenkin ei-välttämättömien ajanvietteiden osalta. Ristiinvertailulla sitten voisi löytyä vaikkapa jotain kiristykseen kelpaavaa: Pertti perhana on yllättävän usein kulmapubissa samaan aikaa kuin naapurirapun Lissu, mahtaako Pertin rouvaa asia kiinnostaa, ja maksaisikohan Pertti pari kymppiä jos tieto asiasta ei emännälle asti kulkisi? Miksipä tämä ei olisi mahdollista.
Tämän pahan pojan onnistuminen vaatisi kuitenkin sen, että sovellus leviäisi erittäin laajaan käyttöön, eikä kukaan huomaisi sen tietoa laitteesta ulos lähettävän. Tai jos huomaisi, tämä ei tulisi julkisuuteen. Pidän tätä erittäin epätodennäköisenä, koska uskon valtaisan enemmistön ottavan luotetut lukijasovellukset käyttöön, koska se vaan on järkevää. Epämääräisen sovelluksen laaja käyttöönotto melkeinpä pitäisi olla tarkoituksellista, enkä oikein niin suureen portsarien salaliittoon jaksa uskoa. Lisäksi maailma on puolillaan ihmisiä, jotka tutkivat sovelluksien toimintaa ja julkistavat epäilyttävät tulokset. Osa harrastuspohjalta, mutta osa ihan työkseenkin.
Eli yhteenvetona: tietoturvaa on hyvä miettiä kaikissa tilanteissa, joissa henkilökohtaisia tietoja millään sähköisellä laitteella käsitellään, mutta omilla vähillä tiedoillani olen aika rauhassa koronapassin osalta.
www.hs.fi
www.mtvuutiset.fi
/img-s3.ilcdn.fi/29bf23696bfb4d6f974a644c3bca03c833e2a1f9007e07e073c9ecb5ed06233e.jpg)
www.iltalehti.fi