Electronic Frontier Finland eli Effi ry haluaa nostaa keskusteluun biometrisen passin tietoturvariskit.
Effin mukaan tietokoneiden turvallisuutta aina vakuutellaan. Kuitenkin tietoturva-aukkoja paikataan pahimmillaan päivittäin ja kuulemme tietomurroista viikoittain.
– Miksi mikroprosessorilla varustettu passi olisi poikkeus?, Effi kysyy tiedotteessaan.
– Suurin ongelma on, ettei biometrinen passi ole pelkkä matkustusasiakirja vaan tietokone, Effin hallituksen jäsen Jukka Ruotsalainen kiteyttää yhdistyksen tiedotteessa.
Effi ry on perustettu vuonna 2001 kansalaisten sähköisten oikeuksien puolustamista varten. Yhdistys pyrkii vaikuttamaan muun muassa sananvapautta ja tekijänoikeutta koskeviin lainsäädäntöhankkeisiin.
Sisäministeriö vakuuttaa heinäkuulle päivätyssä tiedotteessaan, että Suomen passin tietoturva on kunnossa ja että passin sirulle ei tallenneta mitään, mitä passin tietosivulla ei jo ole. Ministeriön tiedotteessa sirupassien salausta kehutaan gsm-tasoiseksi.
Effi ihmettelee, eikö ministeriössä tiedetä, että gsm-puhelimissa käytetty salaus murtuu tavallisella pöytätietokoneella alle sekunnissa.
– Toivottavasti sisäministeriö on väärässä suojauksen laadun suhteen, muotoilee oikeustieteen tutkija Ville Oksanen.
Hollantilaisen yliopiston (Radbound Universiteit Nijmegen) turvallisuuden tutkimusryhmä SoS on tutkimuksissaan todentanut, että sirupassin ja lukulaitteiden välistä liikennettä on mahdollista salakuunnella ja että passin tiedot voi etälukea passin haltijan tietämättä.
Effin mukaan tietokoneiden turvallisuutta aina vakuutellaan. Kuitenkin tietoturva-aukkoja paikataan pahimmillaan päivittäin ja kuulemme tietomurroista viikoittain.
– Miksi mikroprosessorilla varustettu passi olisi poikkeus?, Effi kysyy tiedotteessaan.
– Suurin ongelma on, ettei biometrinen passi ole pelkkä matkustusasiakirja vaan tietokone, Effin hallituksen jäsen Jukka Ruotsalainen kiteyttää yhdistyksen tiedotteessa.
Effi ry on perustettu vuonna 2001 kansalaisten sähköisten oikeuksien puolustamista varten. Yhdistys pyrkii vaikuttamaan muun muassa sananvapautta ja tekijänoikeutta koskeviin lainsäädäntöhankkeisiin.
Sisäministeriö vakuuttaa heinäkuulle päivätyssä tiedotteessaan, että Suomen passin tietoturva on kunnossa ja että passin sirulle ei tallenneta mitään, mitä passin tietosivulla ei jo ole. Ministeriön tiedotteessa sirupassien salausta kehutaan gsm-tasoiseksi.
Effi ihmettelee, eikö ministeriössä tiedetä, että gsm-puhelimissa käytetty salaus murtuu tavallisella pöytätietokoneella alle sekunnissa.
– Toivottavasti sisäministeriö on väärässä suojauksen laadun suhteen, muotoilee oikeustieteen tutkija Ville Oksanen.
Hollantilaisen yliopiston (Radbound Universiteit Nijmegen) turvallisuuden tutkimusryhmä SoS on tutkimuksissaan todentanut, että sirupassin ja lukulaitteiden välistä liikennettä on mahdollista salakuunnella ja että passin tiedot voi etälukea passin haltijan tietämättä.
Vastaukset 2
Vanhimmat
Huolestuttaa kyllä. Ja copypatattu:
"Brittitutkija luki biopassia kannettavalla
MikroPC.net - ma 4.9.2006 klo 9:14
Brittiläistutkija luki kannettavallaan 1,5 miljoonaa paikallisen biometrisen passin radiolähetettä. Miehen kokoama laitteisto lukee lähetettä, joka perustuu myös Suomen biopassin ISO14443-standardiin.
RFIDIOt-nimellä (RFID IO tools) kulkeva hanke on selvittänyt erilaisten radiotaajuiseen etätunnistustekniikkaan perustuvien tunnisteiden lukemista tietokoneohjelmalla toukokuusta lähtien. Rfid-tekniikka (radio frequency identification) on biopassien lisäksi esimerkiksi pääkaupunkiseudun ja Tampereen matkakorttijärjestelmien käytössä.
Raportin tutkimuksistaan Isossa-Britanniassa asuva Adam Laurie lähetti tietoturvapostituslistalle eilen. Mies julkaisi sivuillaan myös 27 megatavun mittaisen listan biopassin lukutapahtumista. Kaikki kortti-id:t olivat 08-alkuisia ja id-tunnus vaihtui joka lukukerralla, kertoo raportti. Laurie käytti kahden eri valmistajan lukulaitetta ja Python-kielellä laadittuja ohjelmanpätkiä.
Luetut niin sanotut tagit olivat muun muassa Mifare- ja EM4-merkkisiä. Mifare on Philips Austria GmbH:n tuotenimi. Suomessa tasan kaksi viikkoa sitten käyttöön tulleen biometrisen passin rfid-sirun valmistaja on sisäasiainministeriön mukaan Philips. Yhtiön verkkosivujen referenssiosio listaa suomalaisasiakkaiksi esimerkiksi Advantecin, Reslink Solutionsin, ToP Tunnisteen ja UPM Raflatacin. Ratkaisuja on käytössä esimerkiksi varastonhallinnassa, työnohjauksessa, työajanseurannassa ja kirjastojärjestelmissä.
Osana tutkimuksiaan Laurie käytti myös sveitsiläisen laskettelukeskuksen rfid-korttia muutaman vuoden takaa. Rinnepassit on valmistanut sikäläinen Televerbier SA -yritys. Myös Lontoon liikennelaitoksen Oyster-matkakorttien tietoformaatti on saksalaisen ACG:n lukijoilla ja linux-kannettavalla selvitetty.
Tietoturva-asiantuntija Laurie on sama henkilö, joka keväällä selvitti British Airwaysin sallineen lentovarausten ja matkustajan tietojen katselun ainoastaan maihinnousukortin kantaosan varaustunnus ja matkustajan sukunimi syöttämällä. BA-yhtiö tukki tietosuoja-aukon toukokuun alussa. Laurie uskoo uuden rfid-tutkimustiedon auttavan biopassissa käytetyn algoritmin selvittämistä merkittävästi."
Tuommoisen vehkeenhän voisi tehdä, ja postata suomalaisten passitiedot nettiin, niin menee uusiksi koko systeemi. Hyvä idis!