Paavo Pesusieni, Mikki Hiiri, Adolf Hitler... – Kyberturvallisuuskeskus kommentoi väärennettyjä koronapasseja - Tietoturva - Ilta-Sanomat

Paavo Pesusieni, Mikki Hiiri, Adolf Hitler... – viranomainen kertoo, mitä väärennetyistä korona­­passeista nyt tiedetään

Väärennettyä koronatodistusta ei pidä missään nimessä ostaa.

Mikki Hiiri on yksi tahoista, joille on tehty väärennetty koronatodistus. Viranomaisen mukaan allekirjoitusavaimet eivät ole kuitenkaan vuotaneet.

28.10. 13:29

Verkossa on tavattu useita väärennettyjä EU-maiden koronapassien väärentämisen mahdollistavia istutettavia qr-koodeja. Näitä on tehty muun muassa Mickey Mousen (Mikki Hiiri), Sponge Bobin (Paavo Pesusieni) sekä Adolf Hitlerin nimissä useita.

Lue lisää: Verkossa kiertää Adolf Hitlerille tehty korona­passi, jonka lukija­sovellus hyväksyy – salaiset avaimet vääriin käsiin

Koronapassi käyttää epäsymmetristä salausta, jossa passin myöntävä taho todentaa passin aitouden salaisella alle­kirjoitus­avaimellaan. Tämä näkyy käytännössä koronapassin qr-koodina, jonka lukusovellus hyväksyy. Salainen avain ei ole luettavissa qr-koodista.

Jos salainen allekirjoitusavain vuotaa, sen käyttäjä pystyy luomaan koronapassien qr-koodeja mielivaltaisesti.

Väärennetyillä passeilla vaikuttaa olevan myöntäjätahoja ainakin 4 EU-maassa: Saksassa, Ranskassa, Puolassa ja Pohjois-Makedoniassa. On myös esitetty väitteitä, joiden mukaan digitaalinen allekirjoitusalusta mahdollistaisi koronapassien luomisen muiden maiden nimissä. Väitettä on mahdoton vahvistaa.

Osa väärennetyistä todistuksista on lakannut toimimasta torstaiaamupäivän aikana Suomen Koronatodistuksen lukusovellus -puhelinapplikaatiolla.

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen johtavan asiantuntijan Taneli Kaivolan mukaan kyse on nykytiedon valossa yksittäisistä väärennöksistä, ei laajamittaisesta avainten vuotamisesta.

– Tiedossamme on, että verkossa leviää rokotuspasseja hyvinkin mielenkiintoisilla nimillä. Meidän näkökulmastamme näyttää siltä, että tapaukset ovat yksittäisiä. Tiedossamme ei ole suurempaa tietoturvaongelmaa tai että todistusten tekemisen mahdollistavia avaimia olisi vuotanut, Kaivola sanoo.

Kaivolan mukaan väärennettyjä passeja on tullut vastaan 4 tai 5 myöntäjäorganisaatiolta. Siitä ei ole tietoa, onko passit valmistanut yksi vai useampi taho. Suomen allekirjoituksella varustettuja väärennettyjä koronapasseja ei ole nähty.

Suomen Koronatodistuksen lukijasovellus ei kuitenkaan näytä käyttäjälleen, missä maassa passi on myönnetty. Sovelluksen käyttäjä näkee vain passin esittäjän nimen, kun passi menee läpi lukusovelluksesta. Ulkomaisilla avaimilla tehdyt passit toimivat myös Suomessa, ellei niitä erikseen peruta.

THL on aiemmin kertonut voivansa tarvittaessa perua allekirjoituksia, jotka Suomen lukusovellus hyväksyy. IS Digitodayn tietojen mukaan parhaillaan selvitetään myös kevyempiä vastatoimia, joilla väärennöksiä voidaan estää perumatta kokonaisten maiden avaimia. Tämä on mahdollista, jos väärennökset ovat yksittäistapauksia.

Lue lisää: Väärennetty koronapassi leviää verkossa

Kaivola muistuttaa, että myönnettyjen todistusten joukossa on äärimmäisen vähän väärennöksiä.

– En näe tätä erityisen suureksi ilmiöksi. Väärennettyjä koronatodistuksia on tiedossa kourallinen, kun taas myönnettyjä on miljoonia.

Kaivolalla on selkeät terveiset väärennetyn koronapassin ostamista harkitseville.

– Missään tapauksessa ei kannata ostaa sellaista. Se on ongelmallista laillisuuden suhteen, etkä välttämättä saa koronapassia, vaikka olet maksanut rikolliselle taholle. Riski on myös olemassa, että se lakkaa toimimasta.

Osion tuoreimmat

Luitko jo nämä?