Uppfært 10.09.2015 – Svar barst frá Auðkenni við fyrirspurn okkar og er það neðst í færslu.
—-
Við hér á Lappari.com fáum reglulega fyrirspurnir frá lesendum okkar í gegnum formið okkar hér og þeim reynum við að svara eftir besta megni.
Spurningu dagsins er: Hversu öruggt er að hafa rafræn skilríki í snjallsímanum þínum ??
Byrjum á því að stoppa aðeins og skilgreina hvað Rafræn skilríki sé en samkvæmt www.skilriki.is þá er hún þessi
Rafræn skilríki (electronic certificate): Vottorð á rafrænu formi sem tengir sannprófunargögn við vottorðshafa og staðfestir hver hann er. Í umfjöllun um þætti dreifilyklaskipulags er oftast átt við dreifilyklaskilríki. Í skilríkjum er dreifilykill vottorðshafa ásamt öðrum gögnum, dulritað með einkalykli vottunarstöðvar.
Þetta segir okkur að þegar búið að virkja rafræn skilríki á SIM kortinu mínu þá sé búið að tengja þetta SIM kort við mig sem persónu enda þarf notandi að mæta með ökuskírteini, vegabréf eða nafnskírteini þegar gengið er frá þessu. Til viðbótar þá þarf notandi að velja sér 6-8 stafa PIN númer. Má segja að þetta sé tveggjaþátta auðkenni þar sem notendi þarf bæði að hafa símann (með réttu SIM) og að vita PIN númerið.
Rafræn skilríki í símanum er töluverð breyting frá að vera með kortalesara í tölvu og auðkenni sig með t.d. Debitkortinu eins og hefur verið hægt síðan 2009. Fæstir sem ég þekkja eru með þennan kortalesara í vasanum sem er ólíkt því sem er með farsímana okkar, hann virðist alltaf fylgja okkur.
Usability vs. Security
En aftur að spurningu lesandans, hvað gerist óprútnir aðilar komast í símann og ætla að nota hann til að opna eitthvað sem krefst innskráningar með rafrænum skilríkjum:
- Viðkomandi þarf að vita PIN númer til að opna símtækið (ertu ekki pottþétt með símann læstann?)
- Viðkomandi þarf að vita PIN númer sem valið var þegar sótt var um rafræn skilríki
Sá sem vill komast í og nota skilríki þarf sem sagt bara að vita eitt PIN númer til að komast áfram ef síminn er ólæstur en að mínu mati er þetta ekki örugg leið til að verja upplýsingar. Við þetta bætist fjölbreytileiki símtækja en sem dæmi þá eru pósar vottaðir meðan fæst símtæki eru það.
Hvað með allar öryggisholurnar og keyloggera sem hægt er að setja upp á Android símtækjum ásamt því að Rootaðir/Jailbrake´aðir símar eru eins og opin bók á almennings bókasafni?
Hvað ef við lánum, gleymum, týnum símanum og þegar við fáum hann aftur þá er búinn að setja upp forrit eins og mSpy?
Hvað geta notendur gert til að verja sig betur?
- Ekki búa til tengilið sem heitir PINMUNDUR og geyma PIN númerið þitt þar.
- Það ættu allir að vera með læsingu á símtækinu þannig að það þurfi PIN (eða þumall) bara til að opna tækið.
- Ekki vera með sama PIN númer til að opna símtækið og þú notar á rafrænu skilríkin.
- Ef þú getur valið 8 stafa PIN þá skaltu endilega gera það því yfirleitt þýðir lengd leyniorðs bara lengri tíma sem tekur að hakka.
- Ef síminn þinn styður fjarleit (Find My Phone) þá skaltu virkja hana því ef síminn tínist þá er hægt að finna hann eða í versta falli þurrka öll gögn af símtækinu.
- Ekki nota Jailbrake´aði iPhone eða Root´a Android síma almennt.
- Ekki nota hvaða lyklaborðforrit sem er á símtækið, lestu vel umfjallanir notenda áður
Við getum því ekki svarað lesandanum á þann veg að rafræn skilyrði séu 100% örugg en reynslan er einmitt sú að með auknu notagildi kemur aukið óöruggi. Að setja þetta í farsíma eykur tvímælalaust notagildið en ógnar öruggi notenda á sama tíma.
Ég leyfi mér að vitna í Friðjóns Guðjohnsen sem prófaði einmitt mSpy til að finna PIN númerið á rafrænu skilríkjunum.
Eftir að við setjum rafræn skilríki í farsímann þá erum við því miður búin að opna okkur fyrir ákveðinni öryggishættu. Ef einhver kemst í símann hjá okkur getur hann átt við hann þannig að hann sjái PIN númerið sem notað er. Ef hann kemst svo aftur í símann þá getur hann notað rafrænu skilríkin nákvæmlega eins og við. Þá getur hann skráð sig inn í heimabankan þinn, skoðað sjúkrasöguna þína og skattframtalið, kosið fyrir þig í íbúakosningum… skráð sig inn á allar síður sem taka við þessum rafrænum skilríkjum. Sem þú.
Þessi einhver þarf ekki að vera ofursnjall hakkari. Það er til hugbúnaður, t.d. mspy hugbúnaðurinn sem leyfir hverjum sem er að gera þetta. Hugbúnaðurinn er t.d. ætlaður fyrir foreldra sem vilja njósna sérstaklega vel um barnið/unglinginn. Bilun? Já en þetta er hægt. Raunar njósnar þessi hugbúnaður um þig álíka vel og NSA getur gert.
Ég prófaði þetta sjálfur, setti þetta upp og eitt af því sem njósnahugbúnaðurinn fann var einmitt PIN númerið á rafrænu skilríkjunum!
Rafræn skilríki í farsíma eru samt ekki alslæm og líklega skásta lausnin sem okkur stendur til boða í dag en notendur, opinberar stofnanir, fyrirtæki og aðrir ættu samt að hafa í huga að þetta er ekki…. reynar alls ekki 100% örugg leið til að auðkenna notendur.
—
Fyrirspurn Lappara 12.11.2014:
Hæ Auðkenni
Langar ykkur að svara þessu á einhvern veg?
http://www.lappari.com/2014/11/hversu-orugg-eru-rafraen-skilriki-i-snjallsimum/
Svar Auðkenni 10.09.2015:
Sæll Jón og afsakaðu seint svar.
Þessi grein hjá lappari.com er býsna málefnaleg og óvenju góð.Það er alltaf vandfarinn meðalvegur milli Usability vs. Security. Reynsla okkar með skilríkin á debetkortunum sýndi að þar var öryggisstigið það mikið og ferlið það flókið að of margir notendur komust ekki í gegnum flækjustigið.
Algengur misskilningur er að skilríkin séu vistuð í símtækinu sjalfu og því auðvelt að hakka sig inn á þau en staðreyndin er að þau eru á SIM kortinu í mjög vel varinni geymslu og þó einhver utanaðkomandi hakki sig inn á símann sjálfan er hann ekki kominn að þeim. Aftur á móti er lítið mál fyrir aðila sem hefur hakkað sig inn á síma að sjá PIN númer viðkomandi. Á móti kemur að sá aðili þarf físískt að fá sjálft símtækið í hendurnar til að misnota skilríkin.
Svo má deila um flækjustig PIN númera og hversu örugg þau eru.
Hættan á of flóknu PIN er sú að fólk skrifi það niður sem eykur hættu á misnotkun.Kær kveðja,
Sveinbjörn Grétarsson
