Kan fyra siffror bevisa din identitet? För de flesta banker anses det alldeles tillräckligt, åtminstone om du till exempel ska ta ut kontanter i en uttagsautomat. Idag är det kortköp och inte kontantuttag som är det vanligaste användningsområdet för den standardiserade PIN-koden, och principen att verifiera användarens identitet med hjälp av en sifferkod har även spridit sig vidare till andra områden.
Artikeln publicerades i tidskriften SIS 1922-2022 – 100 år av standarder .
ISO 9564 är en serie standarder som rör PIN-koders hantering och säkerhet. I över 50 år har koden varit en vedertagen metod för att verifiera användarens identitet vid en elektronisk pengaöverföring, vanligtvis ett kontantuttag i maskin eller ett köp med betal- och kreditkort. Standarden publicerades i sin ursprungsversion 1991 och har sedan dess reviderats åtskilliga gånger, senast 2017. En ytterligare version är under arbete.
I nuläget består den av tre delar, där den första delen (ISO 9564-1) täcker grunderna till säker PIN-användning i kortbaserade system och de två andra (ISO 9564-2 och ISO 9564-4) rör godkända algoritmer för kryptering av koder respektive PIN-hantering vid e-handel.
Läs även: När plastpengarna kom till Sverige
PIN, en förkortning för Personal Identification Number, är ett numeriskt lösenord på minst fyra siffror. Även om ISO 9564 medger koder på upp till tolv siffror är en fyrsiffrig PIN-kod den absolut vanligaste varianten, vilken ger användaren 10 000 möjliga sifferkombinationer.
Koden matas in i en knappsats som enligt standarden måste innehålla siffrorna 0-9. I praktiken följer knappsatsens utformning ITU Telecommunication Standardizing Sectors (ITU-T) rekommendationer. Många knappsatser har även bokstäver, vilka dock ligger utanför standardens ramar och saknar teknisk betydelse.
Få vårt nyhetsbrev, varannan vecka, direkt i mejlen.
STARTADE MED KONTANTUTTAG
Alltsedan PIN-kodens tillkomst under 1960-talet och under nästkommande decennier var den nära förknippad med kontantuttag i maskin. Hela banksektorn genomgick en aldrig tidigare skådad teknisk utveckling under 1970-talet, inom både it och automatisk kontanthantering.
Under 1980- och 1990-talen började dessa tekniska landvinningar även märkas för den breda allmänheten. Som ett ovanligt tidigt exempel på denna utveckling såg uttagsautomaterna dagens ljus redan 1967 och blev tidigt omfamnade i västvärlden. De första automaterna hanterade maskinläsbara checkar och inte plastkort. Checkarna matchades med särskilda lösenkoder, genom vilka användaren verifierade sin identitet.
Läs även: Teknik för nytta och nöje
Under det tidiga 1970-talet utfärdades de första plastkorten med magnetremsor där information kunde lagras. Riktigt utbredda blev uttagsautomaterna i Sverige under slutet av decenniet, då landets storbanker genomförde rikstäckande installationer av Bankomater respektive Minuten-automater.
Nymodigheten automatiserade ett av de vanligaste bankärendena: enkla kontantuttag över disk. Utöver att spara tid och pengar för bankerna skapade automaterna stor kundnytta då gemene man inte längre behövde anpassa sig till bankernas öppettider för något så grundläggande som tillgång till kontanter. De innebar också trygghet eftersom ingen längre var tvungen att bära med sig några större mängder pengar i plånboken. Men där ett säkerhetshål täpps igen öppnas ett annat: en kod på fyra siffror kan enkelt få fötter.
INGEN ABSOLUT SÄKERHET
PIN-standarden syftar till att skydda koden från obehörig åtkomst under dess livscykel. Därigenom minimeras risken för bedrägerier, vilka förstås kan innebära kapitalförluster och olägenheter för både bankerna och deras kunder.
I ursprungsstandarden från 1991 är hållningen pragmatisk då den fastslår att absolut säkerhet inte är praktiskt möjlig att uppnå. Standarden ska i stället på ett effektivt sätt minska möjligheterna till bedrägeri och säkerhetsbrister, och om de ändå äger rum ska sannolikheten att de avslöjas vara hög.
Standarden medger att en PIN-kod tillkommer på tre olika sätt. Antingen genom att kunden väljer sin kod själv, genom slumpgenerering eller genom att den baseras på något annat nummer kopplat till kunden (till exempel ett bankkontonummer) som sedan krypteras. Säkerheten måste förstås vara hög vid alla steg under PIN-koden livscykel – och stegen är många: tillkomst, utfärdande, aktivering, inmatning, överföring och validering. Den centrala delen under kodens livscykel är förstås att den hålls hemlig och inte sprids. Här ligger ett stort ansvar på användaren. PIN-koden ska skyddas vid inmatning och bör vara svår att lista ut.
Precis som vid val av andra lösenord är det dock inte alla som tar dessa uppmaningar på största allvar. Kända årtal, fyra likadana siffror, stigande och fallande nummersekvenser eller siffror i rad på knappsatsen (2580) är alla vanliga alternativ när användaren själv får välja. Likaså personliga nummer kopplade till födelsedagar och liknande. Bristande fantasi vid val av PIN-kod gör sannolikheten att någon obehörig gissar rätt långt större än en på 10 000.
ANDRA ANVÄNDNINGSOMRÅDEN
Uttagsärenden var länge det huvudsakliga användningsområdet för PIN-koderna, något som förstås har ändrats i takt med att kortköp blivit allt vanligare och att samhället blivit mindre och mindre kontantbaserat. Lösningar som direktöverföringar, PayPal, Swish och e-plånböcker har gjort att uttagsautomaterna och faktiskt även kortköpen blivit färre och färre.
Idag efterfrågas PIN-koder dessutom alltmer sällan vid mindre kortköp. Verifieringsmetodens princip lever ändå vidare i andra typer av inloggningsaktiviteter. Exempel på detta är mobiltelefonernas SIM-kort och låsskärmar samt BankID.
En standard är en gemensam lösning på ett återkommande problem. Syftet med standarder är att skapa enhetliga rutiner för att generera största möjliga nytta inom ett visst område. Som svenskt standardiseringsorgan har SIS tagit fram tusentals standarder och verkat för användningen av dessa.
Till Svenska Institutet för Standarder hundraårsjubileum 2022 har vi på Centrum för Näringslivshistoria uppmärksammar de ett antal banbrytande standarder. Läs mer på www.naringslivshistoria.se.
