Mobiilivarmenne: näin puhelinliittymä toimii tunnistusvälineenä

Suurin osa tunnistusvälineistä on jotain, mitä pidät kädessäsi: kortti, lista, sovellus. Mobiilivarmenne on poikkeus, koska se on sidottu liittymään. Väline ei ole puhelin eikä sovellus vaan SIM-kortti ja siihen liitetty puhelinnumero. Tämä yksi rakenteellinen valinta selittää lähes kaiken siitä, miten mobiilivarmenne käyttäytyy arjessa.

Väline on Suomessa yksi kolmesta yleisimmästä tavasta tunnistautua sähköisesti, pankkitunnusten ja viranomaisen myöntämän varmennekortin rinnalla. Sen erottaa muista se, että myöntäjä on teleyritys eikä pankki tai valtio.

Se selittää, miksi väline toimii vanhassa peruspuhelimessa. Se selittää, miksi puhelimen rikkoutuminen ei ole ongelma. Ja se selittää, miksi operaattorin vaihtaminen katkaisee sen, vaikka numero säilyisi.

Miksi tunnistusväline voi asua SIM-kortilla

SIM-kortti ei ole pelkkä muistilappu, jossa on liittymän numero. Se on pieni suojattu siru, joka pystyy säilyttämään salaisuuksia ja tekemään laskutoimituksia niin, ettei salaisuus koskaan poistu sirulta. Alun perin ominaisuutta käytettiin siihen, että verkko voi varmistaa liittymän aitouden. Mobiilivarmenteessa samaa kykyä käytetään henkilön tunnistamiseen.

Kortille tallennetaan varmenteen salainen avain. Kun tunnistuspyyntö saapuu, siru laskee vastauksen käyttäen avainta, mutta ei luovuta avainta itseään mihinkään. Sitä ei voi kopioida ulos puhelimesta, eikä puhelimeen asennettu sovellus pääse siihen käsiksi. Tässä mielessä ratkaisu muistuttaa sirullista pankkikorttia enemmän kuin puhelinsovellusta.

Varmenteen myöntää teleyritys, joka toimii varmentajana. Varmenne sitoo julkisen avaimen sinun henkilöllisyyteesi samaan tapaan kuin verkkosivuston varmenne sitoo avaimen verkkotunnukseen. Ero on siinä, mitä todistetaan: sivuston tapauksessa osoite, tässä ihminen.

Rakenteesta seuraa myös se, kuka vastaa mistäkin. Teleyritys vastaa varmenteesta ja sen myöntämisestä, ja se on tässä roolissa rekisteröitynyt tunnistusvälineen tarjoaja, jota Liikenne- ja viestintävirasto Traficom valvoo. Sama yritys myy sinulle myös liittymän, mutta nämä kaksi ovat eri sopimuksia eri sääntelyn alla, vaikka ne käytännössä kulkevatkin yhdessä.

Pyyntö ei kulje tavallisena tekstiviestinä vaan verkon erillisenä palveluviestinä suoraan SIM-kortille. Siksi näkymä avautuu puhelimen ruudulle ilman erillistä sovellusta ja siksi se näyttää samalta laitemerkistä riippumatta.

Kaksi tekijää: kortti ja tunnusluku

Vahva tunnistautuminen vaatii kaksi eri tyyppistä tekijää, ja mobiilivarmenteessa ne ovat selkeät.

Tunnusluku on tässä muutakin kuin muodollisuus. Se on ainoa asia, joka erottaa varkaan sinusta, jos puhelin katoaa. Siksi sen pitää olla eri kuin puhelimen avauskoodi. Jos molemmat ovat samat ja joku näkee, miten avaat puhelimen, kaksi tekijää kutistuu käytännössä yhdeksi.

Tunnistuspyynnössä näkyy myös vahvistuskoodi tai palvelun nimi. Sen tarkoitus on kertoa, mitä olet hyväksymässä. Lue se aina ennen tunnusluvun antamista. Jos ruudulle ilmestyy tunnistuspyyntö, jota et itse aloittanut, älä hyväksy sitä vaan hylkää pyyntö. Pyyntö tarkoittaa, että joku muu yrittää juuri nyt tunnistautua sinun nimissäsi jossakin palvelussa.

Tunnusluku lukkiutuu, jos sen syöttää väärin useita kertoja peräkkäin. Avaaminen tapahtuu operaattorin kautta, ja se on tarkoituksella hankalampaa kuin salasanan nollaus. Katso oma taso ohjeista, koska yritysten määrä ja avaustapa vaihtelevat operaattoreittain.

Käyttöönotto ja henkilöllisyyden varmistaminen

Mobiilivarmennetta ei saa pelkällä liittymällä, koska väline on vahva tunnistusväline ja sen myöntäminen edellyttää henkilöllisyyden varmistamista.

1. Tarkista, että liittymäsi tukee varmennetta. Varmenne vaatii siihen soveltuvan SIM-kortin. Jos kortti on vanha, se vaihdetaan uuteen.
2. Tilaa varmenne operaattoriltasi. Palvelu tilataan siltä yritykseltä, jonka liittymä sinulla on. Ehdot ja tilaustapa löytyvät operaattorin omilta sivuilta.
3. Todista henkilöllisyytesi. Ensimmäisellä kerralla henkilöllisyys varmistetaan joko käymällä paikan päällä voimassa olevan passin tai henkilökortin kanssa, tai tunnistautumalla toisella jo olemassa olevalla vahvalla tunnistusvälineellä. Jälkimmäistä kutsutaan ensitunnistamisen ketjuttamiseksi, ja se on syy siihen, että toisen välineen hankkiminen on selvästi helpompaa kuin ensimmäisen.
4. Aseta tunnusluku. Valitset sen itse. Älä käytä samaa lukua kuin puhelimen avaamiseen tai pankkikortissa.
5. Kokeile heti. Testaa varmennetta jossain tutussa palvelussa, jotta huomaat mahdolliset ongelmat silloin kun ne eivät vielä ole kiireisiä.

Käyttöönotossa kannattaa varautua siihen, että ensimmäisellä kerralla asiaan menee aikaa. Jos sinulla ei vielä ole yhtään vahvaa tunnistusvälinettä, tarvitset käynnin paikan päällä ja mukaasi passin tai poliisin myöntämän henkilökortin. Laki edellyttää ensitunnistamisessa voimassa olevaa passia tai viranomaisen myöntämää henkilökorttia, joten ajokortti ei tähän riitä.

Jos vaiheet tuntuvat vierailta, syy on siinä, että ne kuuluvat vahvan tunnistusvälineen myöntämiseen yleisesti. Sama logiikka pätee kaikkiin välineisiin, ja se on selitetty kokonaisuudessaan artikkelissa vahva tunnistautuminen.

Ero pankkitunnuksiin: käytettävyys ja riippuvuudet

Molemmat ovat vahvoja tunnistusvälineitä ja kelpaavat samoihin palveluihin. Ne kaatuvat kuitenkin eri tavoin, ja juuri siksi kannattaa olla molemmat.

Käytännön ero näkyy parhaiten kahdessa tilanteessa. Kuuluvuusalueen ulkopuolella, esimerkiksi kellarissa tai mökillä, mobiilivarmenne ei toimi lainkaan, koska pyyntö kulkee matkapuhelinverkossa. Toisaalta puhelimen rikkoutuessa mobiilivarmenne palautuu käyttöön heti, kun siirrät kortin toiseen laitteeseen, kun taas sovellukseen perustuva väline on rekisteröitävä uudestaan. Miten pankkitunnusten tunnistusketju etenee, on kuvattu erikseen.

Kolmas ero on siinä, kenen kanssa asioit ongelmatilanteessa. Mobiilivarmenteen tuki tulee operaattorilta, pankkitunnusten tuki pankilta. Jos molemmat välineet ovat käytössä, ne eivät kaadu samaan häiriöön, koska niiden takana on eri yritys ja eri järjestelmä.

Toimivuus ulkomailla verkkovierailussa vaihtelee verkosta ja operaattorista riippuen. Jos olet lähdössä pitkälle matkalle, varmista tilanne omalta operaattoriltasi etukäteen ja huolehdi, että sinulla on toinen tunnistusväline varalla.

Kun liittymä, SIM-kortti tai numero vaihtuu

Tämä on mobiilivarmenteen tärkein käytännön asia, ja se menee moni kerralla ohi.

• Vaihdat puhelimen mutta siirrät saman kortin. Varmenne toimii kuten ennen. Tämä on välineen selkein etu, ja se pätee myös silloin, kun otat käyttöön kokonaan eri käyttöjärjestelmän laitteen. Muista silti tietojen siirto uuteen laitteeseen muiden sovellusten osalta.
• Vaihdat SIM-kortin, esimerkiksi rikkoutuneen tilalle. Vanha varmenne lakkaa, koska avain oli vanhalla kortilla. Uudelle kortille tilataan uusi varmenne, ja tunnusluku asetetaan uudestaan.
• Vaihdat fyysisestä kortista eSIM-liittymään. Kyse on korttivaihdosta, joten sama pätee. Tuki eSIM-liittymän ja mobiilivarmenteen yhdistelmälle vaihtelee, joten tarkista asia operaattoriltasi ennen vaihtoa.
• Vaihdat operaattoria numeronsiirrolla. Numero säilyy, varmenne ei. Varmenteen on myöntänyt vanha operaattori, joten uusi varmenne tilataan uudelta operaattorilta. Tunnistautuminen voi olla poikki siirtymän ajan.
• Vaihdat puhelinnumeron. Varmenne on sidottu numeroon, joten se lakkaa. Tämä koskee myös tilannetta, jossa siirryt työnantajan liittymästä omaan.

Toimintaohje seuraa tästä suoraan: älä anna mobiilivarmenteen olla ainoa vahva tunnistusvälineesi, jos olet vaihtamassa operaattoria. Hanki toinen väline ensin, siirrä sitten. Muuten voit joutua tilanteeseen, jossa uuden välineen hankkimiseen tarvittaisiin väline, jota sinulla ei enää ole, ja ainoaksi keinoksi jää käynti paikan päällä henkilöllisyystodistuksen kanssa.

Kun puhelin katoaa tai varmenne pitää sulkea

Sulkeminen kannattaa osata etukäteen, koska kadonneen puhelimen hetki ei ole hyvä aika opetella asiaa. Ota operaattorisi sulkupalvelun yhteystiedot talteen sellaiseen paikkaan, johon pääset ilman kyseistä puhelinta.

Kadonneen puhelimen kohdalla toimitaan kuten muutenkin: liittymä suljetaan operaattorin sulkupalvelun kautta. Kun liittymä on suljettu, myös mobiilivarmenne on käytännössä poissa käytöstä, koska pyyntöä ei saada perille kortille.

Siihen asti suojana on tunnusluku. Löytäjä tai varas ei pysty tunnistautumaan pelkällä kortilla, ellei hän tiedä tunnuslukuasi. Tämä on eri tilanne kuin tekstiviestillä lähetettävien koodien kanssa, joissa pelkkä pääsy viesteihin voi riittää. Miksi tekstiviestikoodi on heikompi kuin usein luullaan, on käsitelty artikkelissa tekstiviestikoodi ja SIM-kaappaus.

SIM-kaappauksen suhteen mobiilivarmenne on kestävämpi kuin tekstiviestikoodi, mutta ei koskematon. Kaappaaja, joka onnistuu tilaamaan liittymääsi uuden kortin, ei saa vanhaa varmennetta käyttöönsä, koska se jäi vanhalle kortille. Hänen olisi tilattava uusi varmenne, mikä vaatii oman henkilöllisyyden varmistuksensa. Siksi hyökkäys kohdistuu useammin siihen vaiheeseen kuin itse varmenteeseen.

Kenelle mobiilivarmenne sopii ja kenelle ei

Väline sopii erityisen hyvin, jos jokin näistä pätee.

1. Käytät peruspuhelinta tai et halua asentaa pankin sovellusta. Varmenne toimii ilman sovellusta ja ilman sovelluskauppaa.
2. Vaihdat puhelinta usein. Kortti siirtyy, väline seuraa mukana ilman uudelleenrekisteröintiä.
3. Haluat toisen välineen pankkitunnusten rinnalle. Kaksi eri myöntäjää tarkoittaa, ettei yksi asiakkuusongelma katkaise sähköistä asiointiasi kokonaan.
4. Allekirjoitat asiakirjoja sähköisesti. Varmenne kelpaa myös sähköiseen allekirjoitukseen palvelusta riippuen.

Se sopii huonommin, jos liittymäsi on työnantajan nimissä ja voi vaihtua työpaikan mukana, jos asut alueella, jossa kuuluvuus on epävarma, tai jos olet siirtymässä toiselle operaattorille lähiaikoina. Näissä tapauksissa hanki ensin toinen vahva tunnistusväline ja harkitse mobiilivarmennetta vasta sen jälkeen.

Yksi yleinen väärinkäsitys kannattaa vielä oikaista. Mobiilivarmenne ei ole sama asia kuin pankin tai muun palvelun lähettämä tekstiviestikoodi, vaikka molemmat saapuvat puhelimeen. Koodi on numerosarja, jonka kuka tahansa viesteihin pääsevä voi lukea. Mobiilivarmenne on kortin sirulla tehtävä allekirjoitus, jota ei voi lukea eikä välittää eteenpäin. Ero näkyy juuri niissä tilanteissa, joissa se merkitsee eniten.

Hinnat, tilaustavat ja tuetut liittymätyypit vaihtelevat operaattoreittain ja muuttuvat ajan myötä. Tarkista ne aina oman operaattorisi sivuilta, älä toisen käden lähteistä.