Ma ei mäleta peast milline on ID-kaardi käitumise spetsifikatsioon, aga minu meelest võib seda kaardihoidjas olemise ajal vabalt päringutega pingida kuni viimaks parool õige on, see võib võtta nädalaid aga sellega pole ju kiiret. Kui kaart läheb lukku, siis saab põhimõtteliselt teha ID-kaardist küberründe relva. Valime näiteks kuupäeva XX.YY.ZZZZ. Levitame Superprogrammi2.3 arvutites. Päeval XX.YY.ZZZZ see aktiveerub kasutajaarvutis ning kui nüüd kasutaja tahab pangaülekannet teha, siis pingime kaardi surnuks. Sellest tulenev segadus ning majanduslik kahju peaks olema võrdne e-panga 2-3 nädalaks väljalülitamisega. Kõige halvemal juhul muutub lühikese ajaga kümneid tuhandeid ID-kaarte kasutuks. Huvitav kas Eesti riik ja KMA oleks selleks üldse valmis?

ID-kaart on dot-comi aegne tehnoloogia, mis pole disainitud reaalsete olude jaoks. Selle kasutamine põhineb eeldusel, et kasutaja omab kontrolli oma arvuti üle, mis ei kehtinud toona ega hakka ka kunagi kehtima. Seni kuni ID-kaarte ei disainita töötama vaenulikes oludes, on selle tehnoloogia kasutamine enesepettus ning riskide liigutamine ühest kohast teise nende vähendamise asemel. Neljakohalise muutuva numbrikombinatsiooni (muutumatu edu tõenäosus 10**(-4)) asendamine ID-kaardi PIN-i arvamise või sniffimisega (min. edu 10**(-8) umbes 5% kasutajate jaoks/ max edu 10**(-3)--1.0 95% kasutajate jaoks) toob kaasa turvalisuse olulise languse, mida ei kompenseeri ka fakt, et ID-kaardi kaaperdamiseks peab kaart olema ründaja kontrolli all olevas arvutis.

Teiseks peaks selliste tehnoloogijate kasutuselevõtmisel mõtlema autonoomsusele. Kas sellised lahendused on robustsed massilistele teenusetõkestusrünnetele? Mis saab siis kui see õnnetu avaliku võtme struktuur ise füüsiliselt hävitatakse/hävib? Kui kaua läheb aega süsteemi taastamisele. Kui me seome riiklikud ja avalikud teenused ühe avaliku võtme struktuuriga, siis on meil tulemuseks monokultuurne keskond, mis on ohtlik. (Nagu seda ühe operatsioonisüsteemi domineerimine on näidanud).

Veelgi huvitavam oleks teada millisele opeartsioonisüsteemile selline lahendus luuakse? Kas ainult Windows Vista/XP + IE7? Või kaetakse ära kõik kolm enamlevinut platvormi Windows/Linux/Mac OSX ja neli enamlevinut brauserit IEx/Firefox/Opera/Safari?

Iseensest pole mul ID-kaardi kasutamise vastu midagi, aga see eeldab ekraani ja sõrmistikuga kaardilugejat, mis ei ole mitte odav lõbu nii 1000 EEK. Ilmselt oleks mobiil-ID kasutamine tunduvalt turvalisem kui see tähendab telefonikaardi SIM-ile autentimisvõtmete juurde keevitamist, mida saab telefonist endast kasutada, sisestades vastava parooli ja mingi arvuti ekraanile kuvatava 4-8 kohalise numbri. See lahedus on turvalisem eeldusel, et tegu pole nutitelefoniga (Viimase korral tekib jälle see mitteusaldatava tarkvara küsimus).

Kui viitsid, siis proovi mu küsimustele vastata :)

swen - igal lahendusel on oma risk. ka unikaalsete PINide puhul jääb meil man-in-the-middle. kui sa tahad tegutseda IDkaardi vastu siis on hetkel ainus realistlik võimalus see, et suudad käia pankadele välja alternatiivse lahenduse teostamise plaani ning selle neile atraktiivseks muuta. jõudu!

Ytle parem ausalt välja, et 01.01.09 enam siin ilma id-kaardita kommenteerida ei saa ;-)

Rünne Edu tõenäosus

Yhekordsed PIN-id ID-kaart

Keylogger sama sessiooni 100% 100% kaaperdamine

Keylogger järgmise sesiooni kaaperdamine 0.01 % 100% (eeldusel, et ID-kaard pannakse samasse arvutisse)

Parooli ära arvamine 0.01 % 0.0001-100% (sõltuvalt kasutajast)

Cross-cite authentication 0% 1-100% (sõltuvalt sellest kui tõsiselt kasutaja ID-kaardiga nurjunud autentimisse suhtub)*

Denial of service 0% 100% ** attack

Social attack 0-10% 0-5% *

Kokkuvõte: Tüüpilisemate rünnete puhul on ID-kaardi turvalisus ühekordsetest PIN-idest suurusjärgu võrra nõrgem. ID-kaart annab suurema turvagarantii ainult social attack-ide puhul, mis on hetkel domineerivad. Samas oleks nende vältimiseks majanduslikult otstarbekam suunata raha kasutajate harimiseks (Ilmselt saavutaksime me väga hea edu tõenäosuse <0.01-1% trükkides ühekordsete paroolide lehele suurelt, et mitte kunagi ei tohi sisestada kuhugi rohkem kui 1 parooli). Teiseks võiks populariseerida PIN kalkulaatoreid.

Ning kolmanda olulise alternatiivina näen ma mobiil-ID rakenduste kasutamist mitte nuti-telefonides. Mobiili puhul on meil tegemist limiteeritud (usaldatava) riistvaraga, mille korral on kasutajal võimalik kontrollida arvutusplatvormi. Kui meil on telefon-arvuti, siis on selle mittekompromiteeritavuse tagamine tunduvalt raskem, aga siiski võimalik. Teiseks on telefon igal inimesel personaalne nii, et põhimõtteliselt on võimalik hoolika käitumisega tagada usaldatavus. Võimalikud probleemid on loomulikult:

1. Suurem füüsiliste rünnete oht. Telefonide varastamine on üsna tavaline. Samas on ID-kaart inimestel enamasti rahakotis, mille varastamine on sama tavaline.

2. See kuidas interneti-sessiooni autentimine läbi telefoni peaks käima on veidi müstiline. Seega pole ilmselt võimalik saavutada krüptograafilist turvalisust, aga suurusjärk 10**(-6)--10**(-8)=0.0001-0.000001% on saavutatav. See on samas suurusjärgus Bingo Loto või miljonimänguga nii, et peaks pankadele küll sobilik olema. Kusjuures kui iga autentimise korral saadetakse telefonile SMS-s, siis on sellisel meetmel oluline edaspidiseid ründeid vältiv iseloom. 3. Hind ja kättesaadavus kasutajale pole võrreldavad ühekordsete PIN-idega. Aga ega see hind nii müstiline enamuse e-panga kasutajate jaoks pole kelle on suure tõenäosusega mobiiltelefon.

Seega ma pole tehnofoob, lihtsalt mulle ei meeldi kui hype nimel turvataset nõrgendavaid lahendusi pakutakse.

----------------

* Enamus meist lööb parooli teist korda sisse kui esimene katse ebaõnnestub ning kehitab sellepeale õlgu. ** ID-kaardi töökõlbmatuks muutmiseks peab arvuti tegema 9 päringut ID-kaardile (arvan et see võtab ca 2-3 minutit aega) Ühekordsete paroolide väljapetmine on tõesti suurim oht, mida ma nende juures näen. Samas peaks kasutajate koolitamisega olema võimalik viia selle ründe tõenäosus 0.1-1% piiresse * ID-kaardi ja selle PIN-ide väljapetmine on natuke keerulisem, sest see eeldab osalist kontrolli ID-kaardi üle. Aga selle PIN-ide sisestamine vastavatesse internetivormi lahtritesse on olulisemalt tõenäolisem, sest neid on vaid 2 mitte 80-nd. Usutavasti võib seda tüüpi petuskeemid, kus tööotsijalt võetakse ID-kaard ja PIN-id tööle munserdamiseks järgmise 5 aasta jooksul.

neist asjust võiks tegelt edasi rääkida laiemalt, krati-saates või nii. kui see sulle sobib, siis vahest meilid mulle miskit kontakti?