Case Balancion: Pihtaavatko pankit tilitietoja, vai suojelevatko asiakkaitaan?
Kotimainen startup-yritys Balancion on kehittänyt webissä pyörivän palvelun, jossa voi analysoida omia taloustietojaan. Balancionin palvelun idea on hieman jenkkiläisen Mintin kaltainen järjestelmä.
Palveluitten tarkoituksena ei ole huolehtia rahaliikenteestä, vaan analysoida tili- ja korttitapahtumia. Näin selviää esimerkiksi, kuinka suuri osa palkasta tulee käytettyä harrastuksiin, päivittäistavaroihin, vakuutuksiin jne. Taloustiedon analysointipalvelut vaikuttavat ensikatsomalta hyvältä idealta, mutta niissä on kaksi fundamentaalista ongelmaa.
Ensimmäinen merkittävä periaatteellinen ongelma Balacionin palvelussa ja Mintissä on niiden webbipalveluluonne. Palvelut sijaitsevat palveluntarjoajan konesalissa ja täällä säilytetään myös data.
En keksi (ehkä henkilökohtaisia terveystietoja lukuun ottamatta) muuta palvelua, johon maksuton ja vapaasti rekisteröidyttävä webbipalvelu sopisi huonommin. Minun henkilökohtaiset tiliotetietoni lillumassa tuntemattoman yrityksen datapilvessä? Ajatuskin on mahdoton. Ja minä sentään käytän Gmailia sähköpostinani.
Balancionin tai Mintin kaltainen kuluanalysaattoriohjelma jos mikä kuuluisi ehdottomasti ajettavaksi vain paikallisella työasemalla.
Toinen ongelma on liian laaja käyttöoikeus. Jos oikein ymmärsin, Balancionia käytettäessä sivustolle kirjaudutaan omilla pankkitunnuksilla, jotka välitetään Balancionin Java-appletille. Tämän jälkeen appletti kirjautuu minuna sisään verkkopankkiin ja hakee sieltä tilien ja luottokorttien tapahtumatiedot. Luvallinen man-in-the-middle siis.
Pankkitunnusten antaminen kolmannelle osapuolelle on älytön tietoturvariski. Olkoot nämä tahot miten hyvin tietoturvakonsulttien auditoimia tahansa.
Mitä tapahtuu, jos ohjelmointivirheen seurauksena pelkkien tilitietojen hakemisen sijasta appletti tekeekin tililtä pienen viitesiirron – tai mahdollistaa tällaisen tekemisen xss-skriptikiddieille? Esimerkiksi Osuuspankin tilitietoja ei pääse katselemaan ilman kaikkien kolmen tiliin liitetyn tunnuksen syöttämistä (käyttäjätunnus, salasana ja vaihtuva numerokoodi). Ei siis mikään ihme, että pankki kerkesi kieltämään asiakkailtaan verkkopankkitunnusten luovuttamisen kolmannelle osapuolelle.
Ymmärränä vallan hyvin pankin kannan. Omien käyttäjätunnusten ja salasanojen luovuttaminen minkään kolmannen osapuolen käyttöön on kerta kaikkisen älytöntä. Mutta tavalliset ihmiset tuntuvat suhtautuvan moiseen aivan liian huolettomasti.
Taannoin törmäsin huijausohjelmaan, jossa urkittiin Facebookin käyttäjätunnusta ja salasanaa. Houkuttimena oli bottiohjelma, joka huolehtii Farmvillen sadonkorjuusta automaattisesti. Uskomattoman moni oli jo mennyt tähän lankaan.
Muita esimerkkejä muiden palveluiden salasanojen ja käyttäjätunnusten pyytämisestä käytännöstä ovat itsessään Facebook ja LinkedIn. Hei, anna meille salasanasi, niin kutsumme kaverisi palveluun.
Yhtä järkevää olisi täyttää ja lähettää seuraavan lomakkeen tiedot:
Onko luottokorttinumerosi ja salasanasi varastettu? Ota selvää! Syötä luottokorttisi numero tähän kenttään ja lähetä se meille. Me kerromme, onko korttisi varastettu vai ei. Lupaamme kautta kiven ja kannon, että emme käytä tietoja väärin!
* * *
No, leikki sikseen.
Balancion on varmasti hoitanut järjestelmänsä tietoturvan hyvällä tavalla ja pirujen maalailuni seinälle on tarkoituksellisesti kärjistettyä. Muistakaamme tietoturvan tärkein tehtävä: palveluiden turvaaminen, ei niiden käytön estäminen.
Innovatiiviselle taloudenhallintapalvelulle on syytä toivoa hyvää. Mutta jotta siihen – tai mieluummin sen omalla koneella ajettavaan versioon – voisi täysin luottaa, tulisi tilitapahtumatiedot saada pankeista fiksummalla tavalla kuin täysillä pankkitunnuksilla sisään ja pankin käyttöliittymän HTML-koodia parsien.
Eikö suomalaisten pankkien kannattaisi tarjota avoimia vain-luku -rajapintoja yksityisasiakkaiden käyttöön? Tällaisen ratkaisun tietoturvaksi riittäisi yksinkertainen käyttäjätunnus / salasana -pari, jossa salasana vanhenisi vaikka parin kuukauden välein ja olisi pakko vaihtaa vahvan tunnistuksen verkkopankkitunnuksilla. Samaten aidossa verkkopankissa voitaisin hallita mitä tietoa lukurajapinnan yli välitetään. Formaatiksi voisi käydä vaikka OFX tai jos oikein halvalla halutaan päästä, myös raaka OVT (EDI) kelpaa.
Innovaatioita oman talouden hallintaan ja valvontaan tulisi varmasti syntymään laajalti.
Ehkä huominen (4.2.2010) tapaaminen OP:lla tuottaa hyvän lopputuloksen, kuten itse uskon. Tämän uskon siksikin, että emme pyri markkinahäiriköksi, vaan tavoittelemme itsenäistä ja riippumatonta asemaa, joka toimii alan täydentäjänä.
