Kaksivaiheinen tunnistautuminen: mikä menetelmä kannattaa valita

Salasana yksin on huono todiste, koska sen voi varastaa kaukaa ja käyttää huomaamatta. Kaksivaiheinen tunnistautuminen lisää toisen todisteen, jonka pitää tulla eri lähteestä kuin ensimmäinen. Ajatus on yksinkertainen, mutta menetelmien väliset erot ovat suuria ja niitä käsitellään julkisuudessa harvoin.

Tässä artikkelissa erotellaan tekijätyypit, verrataan viittä yleistä menetelmää kolmella kriteerillä ja annetaan konkreettinen järjestys, jossa tilit kannattaa suojata. Lopussa on ohje siihen, mitä tehdä kun puhelin katoaa.

Kolme tekijätyyppiä: tieto, hallussapito, ominaisuus

Tunnistustekijät jaetaan kolmeen luokkaan sen mukaan, mihin todiste perustuu.

Jokin, jonka tiedät. Salasana, PIN-koodi, turvakysymyksen vastaus. Voidaan varastaa kopioimalla, ja kopio toimii yhtä hyvin kuin alkuperäinen.

Jokin, joka sinulla on. Puhelin, turva-avain, sirukortti. Varastaminen vaatii pääsyn esineeseen tai sen sisältöön, mikä on paljon vaikeampaa etänä.

Jokin, jota olet. Sormenjälki, kasvot, ääni. Käytännössä tätä käytetään lähes aina laitteen avaamiseen, ei suoraan palvelulle todistamiseen.

Kaksivaiheisuus tarkoittaa kahta eri luokkaa. Salasana ja turvakysymys ovat molemmat tietoa, joten ne eivät muodosta kahta vaihetta vaikka palvelu niin väittäisi. Salasana ja puhelimessa oleva koodi ovat tieto ja hallussapito, eli oikea yhdistelmä. Monivaiheinen tunnistautuminen (MFA) on sama asia yleisemmin ilmaistuna: vähintään kaksi luokkaa.

Toinen vaihe kannattaa valita sen mukaan, minkä hyökkäyksen haluat estää. Kaikki menetelmät estävät varastetun salasanan, mutta vain osa estää kalastelun.

Viisi menetelmää ja miten ne toimivat

Tekstiviestikoodi. Palvelu lähettää numeroon koodin. Toimii kaikilla puhelimilla eikä vaadi sovellusta. Koodi kulkee operaattoriverkon kautta, ja sen saa se, jolla numero on hallussa.

Aikaperustainen kertakoodi (TOTP). Sovellus ja palvelu jakavat käyttöönotossa yhteisen salaisuuden. Molemmat laskevat siitä ja kellonajasta saman kuusinumeroisen koodin, joka vaihtuu 30 sekunnin välein. Koodi ei kulje verkossa mitenkään, joten operaattori tai verkko ei ole osa hyökkäyspintaa. Menetelmä on määritelty IETF:n standardissa RFC 6238.

Push-hyväksyntä. Palvelu lähettää puhelinsovellukseen ilmoituksen, jonka hyväksyt tai hylkäät. Kätevin arjessa, koska mitään ei tarvitse näppäillä.

Fyysinen turva-avain. USB- tai NFC-avain, joka allekirjoittaa kirjautumisen. Avain tarkistaa verkkotunnuksen itse, joten se ei suostu allekirjoittamaan väärälle sivulle.

Pääsyavain. Sama kryptografia kuin turva-avaimessa mutta ilman erillistä esinettä: avain on puhelimessa tai tietokoneessa. Tarkempi kuvaus löytyy artikkelista pääsyavaimet.

Ratkaiseva ero kulkee kolmen ensimmäisen ja kahden viimeisen välillä. Koodin tai hyväksynnän voi antaa väärälle vastaanottajalle. Allekirjoitusta ei voi, koska laite tarkistaa verkkotunnuksen ennen kuin allekirjoittaa.

Priorisointi ja vertailu: näin valitset ja missä järjestyksessä

Tämä osio on Selitetty.comin oma suositus. Siinä on kaksi osaa: menetelmien vertailu ja tilien suojausjärjestys.

Menetelmävertailu

Sääntö tästä: valitse kalastelunkestävä menetelmä siellä missä se on tarjolla, ja kertakoodisovellus muualla. Tekstiviesti otetaan käyttöön vain, jos palvelu ei tarjoa muuta.

Tilien suojausjärjestys

1. Sähköposti. Tämä on aina ensimmäinen, ja syy on mekaaninen. Lähes jokaisen muun palvelun ”unohditko salasanasi” lähettää palautuslinkin sähköpostiisi. Se tarkoittaa, että sähköpostitilin haltija voi nollata kaikkien muiden tiliesi salasanat riippumatta siitä, kuinka vahvoja ne ovat. Sähköposti ei siis ole yksi tili muiden joukossa vaan pääavain kaikkiin muihin. Jos suojaat vain yhden tilin, suojaa tämä.
2. Puhelimen ja tietokoneen käyttäjätili (Apple, Google, Microsoft). Näiden kautta hallitaan laitteita, varmuuskopioita ja usein myös synkronoituja pääsyavaimia.
3. Pankki ja maksuvälineet. Suomessa vahva tunnistautuminen on jo lähtökohtaisesti käytössä, joten työ on usein tehty puolestasi. Tarkista silti, mitkä laitteet ovat rekisteröitynä.
4. Salasanaohjelman pääkäyttäjätili. Jos käytät salasanojen hallintaohjelmaa, sen holvi kokoaa kaiken muun yhteen paikkaan.
5. Sosiaalinen media ja viestisovellukset. Näiden kaappausta käytetään lähipiirin huijaamiseen sinun nimissäsi.
6. Verkkokaupat ja tilaukset, joissa on maksutiedot.
7. Kaikki loput, kun ehdit.

Järjestys perustuu siihen, kuinka monta muuta tiliä yhden tilin menetys avaa. Sama logiikka kannattaa muistaa myös silloin, kun harkitset mihin osoitteeseen rekisteröidyt.

SIM-kortin kaappaus ja miksi tekstiviesti on heikoin

Tekstiviestikoodin heikkous ei ole viestin salaamattomuus vaan puhelinnumeron siirrettävyys. SIM-kortin kaappauksessa (SIM swap) hyökkääjä esiintyy sinuna operaattorille ja pyytää numeron siirtoa uudelle kortille tai uudelle liittymälle. Onnistuessaan hän saa kaikki koodisi, etkä sinä saa mitään: oma liittymäsi lakkaa toimimasta.

Toinen heikkous on tavallisempi. Kalastelusivu pyytää ensin salasanaa ja sitten tekstiviestikoodia, ja välittää molemmat oikealle palvelulle reaaliajassa. Käyttäjä kokee kirjautuvansa normaalisti. Tämä toimii täsmälleen samoin kertakoodisovelluksen koodeille, joten TOTP ei ole tässä suhteessa tekstiviestiä parempi.

Tekstiviesti on siitä huolimatta arvokas. Se estää kokonaan sen yleisimmän hyökkäyksen, jossa toisesta palvelusta vuotanutta salasanaa kokeillaan automaattisesti sadoissa palveluissa. Kyseinen automaatio ei soita operaattorille eikä rakenna välityssivua. Tekstiviestivarmennus on paljon lähempänä turva-avainta kuin pelkkää salasanaa.

Suojaus SIM-kaappausta vastaan: pyydä operaattorilta liittymän numeronsiirtoon lisäsuoja tai salasana, jos sellainen on tarjolla, ja siirry pois tekstiviestistä siellä missä muu vaihtoehto on olemassa. Epäilyttävistä yhteydenotoista ilmoittamista käsitellään artikkelissa huijausviestit Suomessa.

Hyväksyntäväsytys ja numeron vahvistus

Push-hyväksynnällä on oma heikkoutensa. Hyväksyntäväsytyksessä (MFA fatigue) hyökkääjällä on jo salasanasi ja hän kirjautuu toistuvasti, jolloin puhelimeesi tulee ilmoitus toisensa jälkeen. Ennemmin tai myöhemmin joku painaa hyväksy vahingossa, yöllä tai päästäkseen eroon ilmoituksista. Hyökkäys ei murra mitään teknisesti, se väsyttää ihmisen.

Vastalääke on numeron vahvistus (number matching). Kirjautumisruudulla näkyy kaksinumeroinen luku, joka pitää näppäillä puhelimeen. Nyt pelkkä hyväksy-painallus ei riitä, ja koska hyökkääjän ruudulla oleva numero ei ole sinun näkyvissäsi, satunnainen hyväksyntä ei onnistu. Useimmat isot palvelut ovat ottaneet tämän käyttöön oletuksena.

Käytännön sääntö: jos et itse juuri kirjautunut, hylkää pyyntö ja vaihda salasana. Toistuvat hyväksyntäpyynnöt tarkoittavat, että salasanasi on jo jonkun muun hallussa. Silloin kannattaa käydä läpi myös tietovuoto ja mitä tehdä.

Varakoodit ja kun puhelin katoaa

Varakoodit ovat kertakäyttöisiä koodeja, jotka palvelu antaa toisen vaiheen käyttöönoton yhteydessä. Ne ovat ainoa keino päästä sisään, kun puhelin on rikki, varastettu tai tyhjennetty. Useimmat ihmiset ohittavat ne käyttöönotossa ja huomaavat puutteen vasta hätätilanteessa.

Näin varaudut etukäteen:

1. Ota varakoodit talteen heti, kun otat toisen vaiheen käyttöön. Tallenna ne salasanaohjelmaan tai tulosta paperille ja säilytä lukitussa paikassa kotona.
2. Rekisteröi kaksi menetelmää tärkeimpiin tileihin, esimerkiksi kertakoodisovellus ja turva-avain, tai kaksi turva-avainta.
3. Varmista kertakoodisovelluksen varmuuskopio. Osa sovelluksista synkronoi koodit tilille, osa ei. Jos ei, puhelimen menetys tarkoittaa kaikkien koodien menetystä kerralla.
4. Kirjaa ylös, missä palveluissa toinen vaihe on käytössä. Muuten et tiedä mitä palauttaa.

Jos puhelin katoaa nyt eikä varakoodeja ole: kirjaudu tileihin laitteelta, johon olet jo kirjautunut, ja rekisteröi uusi tunnistusmenetelmä ennen kuin istunto vanhenee. Operaattorilta saa uuden SIM-kortin samalla numerolla, mikä palauttaa tekstiviestikoodit. Muissa tapauksissa jäljelle jää palvelun oma palautusprosessi, joka on hidas ja vaatii henkilöllisyyden todistamista.

Muista myös, että toinen vaihe ei korvaa ensimmäistä. Se on lisäys vahvan salasanan päälle, ei sen tilalle, koska monissa palveluissa toinen vaihe kysytään vain uudelta laitteelta.