Sammon java-viritys herättää kysymyksiä
Tietoturvasta kiinnostuneet Tietokoneen lukijat ovat olleet huolestuneina yhteydessä ja kyselleet, onko aivan viisasta ajaa asiakaspään javaa verkkopankkia varten, ja miksi näin ylipäätään on tarpeen tehdä. Sampo / Danske Bank perustelee tätä aiempaa kehittyneemmällä tietoturvalla, mutta kaikki eivät ole perusteluita nielleet.
Sammon nettipankkiuudistuksen vaiheista tänään ja aiemmin on kerrottu uutisissamme.
Yritin tänään jo selvitellä asiaa, mutta useista jututtamistani tietoturva-asiantuntijoista kukaan ei halunnut kommentoida asiaa omalla tai organisaationsa nimellä. Moni tekee yhteistyötä pankkien kanssa, ja jotkut muuten vain eivät halua ärsyttää vaikutusvaltaisia toimijoita. Suomessa on kova luottamus nettipankkeihin, joiden tunnuksia käytetään monenlaisessa asioinnissa.
Olen siis eri tahojen taustatietojen varassa. Sen verran selvisi, että Danske Bankin (ja nyt siis Sammon) käyttämä sisäänkirjautumispalikka hyödyntää JNI:tä (Java Native Interface), joka Wikipedian artikkelin perusteella mahdollistaa ohjelmakoodin ajamisen javan “hiekkalaatikon” ulkopuolella, siis täysin ilman javan tietoturva-arkkitehtuuria. Sen kerrotaan olevan hyvin vaativa sovelluskehittäjille.
JNI is sometimes referred to as the “escape valve” for Java developers because it allows them to add functionality to their Java Application that the Java API can’t provide. It can be used to interface with code written in other languages, like C++. It is also used for time-critical calculations or operations like solving complicated mathematical equations, since native code can be faster than JVM code.
The JNI is not trivial and requires a considerable effort to learn, and some people recommend that only advanced programmers should use the JNI. However, the capability for Java to communicate with C++ and assembly removes any limitations on what function Java programs can perform.
* * * JNI needs great caution and is generally avoided by Java developers. For example, most Java JDBC database communicate directly with a socket rather than use existing C side APIs.
Toivokaamme, että integrointityön toteuttavat Tietoenatorin tytäryhtiön Primasoftin koodaajat tekevät siellä huolellista työtä. Tietoenator on iso ja tunnettu it-talo, miksi emme siis vain luottaisi heidän laadunvalvontaansa.
Netissä kiertää erilaisia hurjia huhuja. Asiakkaiden tileillä kerrotaan näkyneen miljoonia euroja liikaa tai tuhansia euroja liian vähän.
Yhden asiaa läheltä seuranneen lähteen mukaan Primasoftissa integrointityötä tehneet koodaajat ovat itse vetäneet johtopäätökset ja availleet varatilejä käteiselle eri pankkeihin.
Virallisesti Sampo ei tietenkään myönnä tai kommentoi nettifoorumeiden tarinoita tai nimettömiä lähteitä.
Joka tapauksessa JNI-sovellus pääsee Wikipediasta lukemani perusteella ajamaan tietokoneella oikeastaan mitä tahansa, jos käyttäjä antaa appletille oikeudet. Oikeudet on annettava, jos haluaa pankissa asioida. Sammon mobiilipankkia tosin pystyy ainakin toistaiseksi käyttämään pelkällä salausta tukevalla tekstiselaimella.
Sammon nettipankki lähettää koneelle reilun 800 kilotavun kokoisen InterfaceWeb.jar-paketin, joka sisältää muun muassa JNI:n kautta ajettavan binäärin Linuxille, Macille ja Windowsille.
Sammon nettipankin java-appletti on kooltaan yli 800 kt.
Appletin toimintaa analysoineet asiantuntijat kertovat, että se selvittää useita tietoja pc:n suorittimesta, äänikortista ja muista yksityiskohdista lähtien. Minulle ei ole selvinnyt, mihin kaikkia noita tietoja tarvitaan.
Ovatko verkkopankki ja rahat vaarassa? Tuskin. Danske Bank, Citibank sekä lukuisat kansainväliset isot rahalaitokset ovat käyttäneet näitä java-appletteja sisäänkirjautumissivuillaan jo pitkään.
Jututtamani tietoturva-asiantuntija sanoi, että “javan turvallisuushistoria on ollut surkea, mutta ongelmat ovat olleet asiakaspäässä”. Toisin sanoen palvelinpään vakavia haavoittuvuuksia ei ole niinkään tiedossa. Jos siis kotikoneen java saadaankin haavoittuvuuden takia korkattua, palvelimen ei sen takia pitäisi olla vaarassa. Nettipankeissa arvokas tieto on aina palvelimen päässä.
Asiantuntijan mukaan java-appletin etu on se, että turvallisuustilanteen muuttuessa toteutusta voidaan vaihtaa nopeasti, esimerkiksi asiakasnumeron ja tunnuksen kirjoittamisesta graafiseen tietojen syöttämiseen hiirellä jne. Monia java-appletteja käytetään juuri keylogger-haittaohjelmien riskin vähentämiseen.
Ensimmäinen tietoturva-asiantuntija arveli, että java-appletin etu on myös poikkeuksellisuus. Kun juuri tällaista sisäänkirjautumissysteemiä ei ole kovin monilla, kynnys rakentaa räätälöity hyökkäys juuri tätä kilkettä vastaan on korkeampi. Pelkkä html-sisäänkirjautumislomake voi olla phishing-huijareille houkuttelevampi kohde.
Nyt vain kaikki tutkimaan tuota java-pakettia, jos rahkeet riittävät. Ehkä tätä myöten selviää, mihin tanskalaiset asiakaspään javaa oikein tarvitsevat.
Kyllä Javan tietoturva hakkaa mennen tullen Microsoftin kyhäelmät. Onneksi niitä ei ole otettu verkkopankkeihin enemmälti käyttöön. 
