Vahva sähköinen tunnistautuminen: pankkitunnukset ja varmenne

Kun kirjaudut verkkokauppaan, todistat hallitsevasi tiliä, jonka olet itse joskus luonut. Kun tunnistaudut pankkitunnuksilla Kelan palveluun, todistat olevasi tietty henkilö. Ruudulla nämä näyttävät samalta, molemmissa kirjoitetaan tunnus ja koodi, mutta seuraukset ovat eri luokkaa. Ensimmäisessä tapauksessa nimi on se, jonka kirjoitit lomakkeeseen. Toisessa se on se, joka lukee passissasi.

Tämä on suomalaisen digiarjen erityispiirre, jota kansainväliset tietoturvaoppaat eivät käsittele. Meillä on käytössä valtakunnallinen tunnistusjärjestelmä, jonka välineillä tehdään päivittäin sitovia oikeustoimia. Tässä artikkelissa käydään läpi mistä välineet tulevat, miten tunnistus teknisesti kulkee, mitä se todistaa ja mitä siitä seuraa, jos väline päätyy vääriin käsiin. Tunnistustapahtuman käytännön kulku käyttäjän näkökulmasta on kuvattu artikkelissa pankkitunnukset tunnistusvälineenä.

Kirjautuminen todistaa tilin, tunnistautuminen todistaa henkilön

Tavallisessa palvelussa tili syntyy siinä hetkessä, kun täytät lomakkeen. Palvelu ei tiedä nimestäsi mitään muuta kuin sen, mitä kirjoitit. Se riittää keskustelupalstalle ja verkkokauppaan, koska väärän nimen käyttämisestä ei seuraa palvelulle vahinkoa.

Vahva sähköinen tunnistautuminen lähtee toisesta päästä. Ennen kuin saat välineen, sinut on tunnistettu kertaalleen kunnolla: joko kasvokkain passista tai poliisin myöntämästä henkilökortista, tai toisella jo myönnetyllä vahvalla välineellä. Tätä kutsutaan ensitunnistamiseksi. Vasta sen jälkeen väline kytketään henkilötunnukseesi.

Tunnistamisen tasoista on säädetty myös EU:ssa. eIDAS-asetus määrittelee kolme varmuustasoa, matalan, korotetun ja korkean, ja se velvoittaa jäsenvaltiot hyväksymään toisten maiden ilmoittamat tunnistusvälineet julkisissa palveluissaan. Käytännössä tämä tarkoittaa, että suomalaisella välineellä voi asioida myös eräissä toisten EU-maiden viranomaispalveluissa ja toisin päin. Taso ei näy sinulle ruudulla, mutta se määrää sen, mihin väline yleensä kelpaa.

Koko järjestelmän arvo on tuossa yhdessä kasvokkaisessa hetkessä. Kaikki myöhempi nojaa siihen. Kun tunnistaudut Verohallinnon palveluun, palvelu ei tarkista sinua vaan luottaa siihen, että pankki teki tunnistamisen aikanaan oikein ja että väline on edelleen sinun hallussasi.

Kolme välinettä ja se, kuka ne myöntää

Suomessa käytössä olevat välineet ovat erilaisia tekniikaltaan mutta samanarvoisia käytössä.

Pankkitunnukset ovat yleisin väline, koska ne on jo lähes kaikilla. Mobiilivarmenne on kätevä siksi, että sen tunnusluku näppäillään puhelimeen eikä selaimeen, jolloin väärennetty verkkosivu ei saa sitä. Henkilövarmenne toimii ilman pankkisuhdetta ja ilman puhelinliittymää, mikä tekee siitä ainoan välineen osalle ihmisistä.

Välineen saaminen ei ole kaikille itsestään selvää, ja se kannattaa sanoa ääneen. Pankki voi kieltäytyä myöntämästä tunnuksia, henkilökortin hankkiminen maksaa ja edellyttää käyntiä poliisilla, ja mobiilivarmenne vaatii omissa nimissä olevan liittymän. Ilman yhtäkään välinettä sähköinen asiointi ei onnistu lainkaan, jolloin asiat hoidetaan puhelimitse, paperilla tai valtuutetun avulla. Tästä syystä viranomaispalveluissa on edelleen oltava myös muu asiointitapa.

Kannattaa hankkia kaksi välinettä, jos se on mahdollista. Puhelimen rikkoutuminen tai katoaminen sulkee muuten kaiken sähköisen asioinnin kerralla, ja korvaavan välineen saaminen vie päiviä.

Luottamusverkosto: miksi sama väline toimii kaikkialla

Yksittäinen palvelu ei tee sopimusta jokaisen pankin kanssa erikseen. Se ostaa tunnistamisen tunnistusvälityspalvelulta, joka on yhteydessä välineiden myöntäjiin. Myöntäjät ja välittäjät muodostavat lailla säädetyn luottamusverkoston, ja Liikenne- ja viestintävirasto Traficom valvoo sitä sekä pitää rekisteriä palveluntarjoajista.

Rakenne selittää sen, mitä ruudulla näkyy. Kun painat asiointipalvelussa tunnistautumispainiketta, päädyt ensin sivulle, jossa valitset pankkisi, ja vasta sitten oman pankkisi sivulle. Valintasivu kuuluu välityspalvelulle. Julkishallinnon palveluissa vastaava rooli on Suomi.fi-tunnistuksella, jota ylläpitää Digi- ja väestötietovirasto.

Tästä seuraa kaksi asiaa. Hyvä puoli on, että yksi väline riittää satoihin palveluihin ja että palveluiden ei tarvitse kerätä tunnuksiasi. Huono puoli on se, että olet tottunut siirtymään kolmen eri verkkotunnuksen kautta yhden kirjautumisen aikana. Se on juuri se tottumus, jota huijaukset käyttävät hyväkseen, koska outo osoite ei enää herätä epäilystä.

Näin tunnistus etenee askel askeleelta

1. Asiointipalvelu ohjaa sinut tunnistusvälityspalveluun. Palvelu kertoo samalla, mitä tietoja se pyytää.
2. Valitset välineen eli pankkisi, mobiilivarmenteen tai varmennekortin.
3. Siirryt välineen myöntäjän omaan näkymään. Tässä kohtaa osoiterivillä pitää olla oman pankkisi tai operaattorisi verkkotunnus. Tämä on ainoa kohta, jonka sinun kannattaa tarkistaa itse.
4. Syötät tunnukset ja vahvistat. Tunnusluku menee vain myöntäjälle, ei asiointipalvelulle.
5. Myöntäjä ilmoittaa välityspalvelulle onnistuneesta tunnistuksesta ja luovuttaa yksilöivät tiedot, käytännössä nimen ja henkilötunnuksen.
6. Välityspalvelu välittää tiedon asiointipalvelulle, joka avaa sinulle istunnon oikeana henkilönä.
7. Tapahtumasta jää kirjaus sekä myöntäjälle että palvelulle. Kirjausta käytetään myöhemmin selvitettäessä, mitä on tapahtunut.

Huomaa, mitä ketjussa ei tapahdu. Asiointipalvelu ei saa pankkitunnuksiasi eikä pääse tilillesi. Pankki ei kerro sille saldoasi eikä tilitapahtumiasi. Tunnistautuminen kuluttajaluottopalveluun ei siis anna sille näkyvyyttä raha-asioihisi, vaan tiedot pyydetään erikseen ja niihin annetaan erillinen suostumus.

Mitä tunnistautuminen todistaa ja mitä se ei todista

Tunnistautuminen todistaa yhden asian: että kyseisellä hetkellä käytettiin sinun välinettäsi ja siihen kuuluvaa tunnuslukua. Palvelun kirjaus kertoo ajan, tavan ja sen, että tapahtuma onnistui.

Vahva tunnistautuminen ei todista, että sinä olit näppäimistön ääressä. Se todistaa, että sinun välineelläsi tehtiin toimi.

Ero on käytännössä merkittävä. Kun asiaa selvitetään jälkikäteen, tapahtumakirjaus on vahvin olemassa oleva näyttö, ja sen kumoaminen on hankalaa. Siksi väärinkäytöstä ilmoittaminen viipymättä on ratkaisevaa: ilmoitus on se tapahtuma, joka katkaisee ketjun ja jonka jälkeen käyttö ei enää ole sinun vastuullasi samalla tavalla.

Tunnistautuminen ei myöskään ole sama asia kuin allekirjoitus, vaikka ne usein seuraavat toisiaan. Allekirjoitus on erillinen toimenpide, jossa sitoudut nimenomaiseen asiakirjaan. Ero on selitetty artikkelissa sähköinen allekirjoitus.

Mitä välineelläsi voi tehdä sinun nimissäsi

Tämä lista kannattaa lukea kerran ajatuksella, koska se selittää, miksi tunnusluvusta pidetään niin suurta melua.

• Asioida Verohallinnon, Kelan ja kunnan palveluissa sekä lukea sinulle tulleet viranomaisviestit
• Katsoa omat terveystietosi, reseptisi ja laboratoriotuloksesi
• Hakea kulutusluottoa tai pikavippiä ja avata tili toiseen pankkiin
• Tehdä puhelinliittymä-, sähkö- ja vakuutussopimuksia
• Ostaa verkkokaupasta osamaksulla tai laskulla
• Allekirjoittaa sopimuksia sähköisesti
• Antaa valtuutuksia, joilla joku muu voi asioida sinun puolestasi

Valtuutukset kannattaa tarkistaa itse silloin tällöin, ja se onnistuu Suomi.fi-palvelussa, kuten artikkelissa Suomi.fi-viestit ja valtuudet kerrotaan. Vertailun vuoksi: pelkkä vuotanut henkilötunnus ei riitä näihin, koska se on tunniste eikä todiste. Sen väärinkäytön rajat on käyty läpi artikkelissa henkilötunnus vuoti. Tunnistusväline sen sijaan riittää lähes kaikkeen, ja siinä on koko ero.

Tunnusluku on vain sinun, ja siitä on säädetty laissa

Laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista asettaa haltijalle velvollisuuksia. Välinettä on säilytettävä huolellisesti, sitä ei saa luovuttaa toiselle, ja katoamisesta tai epäillystä väärinkäytöstä on ilmoitettava myöntäjälle viipymättä. Vastuu oikeudettomasta käytöstä arvioidaan tapauskohtaisesti, ja ilmoituksen tekemisen ajankohta on siinä keskeinen. Tämä artikkeli ei anna oikeudellista neuvontaa, mutta velvollisuuksien olemassaolo kannattaa tietää.

Käytännössä ongelma ei ole varastettu väline vaan puhelu. Huijari soittaa pankin, poliisin tai teknisen tuen nimissä, kertoo että tililläsi on epäilyttävää toimintaa ja pyytää sinua tunnistautumaan tai lukemaan tunnusluvun. Sen jälkeen hän tekee itse toimen samalla hetkellä toisessa selaimessa. Pankki ei koskaan pyydä tunnuslukua puhelimessa eikä pyydä sinua tunnistautumaan sen puolesta. Tämän huijaustyypin kulku on eritelty artikkelissa pankkihuijaus.

Toinen tunnusmerkki kannattaa opetella erikseen. Tunnistautumista pyydetään aina siihen, mitä olet itse aloittamassa. Jos joku pyytää sinua tunnistautumaan sillä perusteella, että näin peruutetaan maksu, palautetaan rahat tai estetään väärinkäyttö, kyse on huijauksesta. Peruutus ei koskaan vaadi tunnistautumista, ja lause on rakennettu käyttämään hyväksi kiirettä ja pelkoa. Sama pätee viesteihin, joissa pyydetään uusimaan tai vahvistamaan tunnukset linkin kautta.

Sama koskee läheisiä. Toisen puolesta asiointi hoidetaan valtuutuksella, ei lainaamalla tunnuksia. Se ei ole muodollisuus: lainatuilla tunnuksilla tehty toimi näyttää jälkeenpäin täsmälleen samalta kuin sinun itse tekemäsi.

Näin toimit, jos väline on väärissä käsissä

Järjestys on tässä tärkeämpi kuin nopeus, ja ensimmäinen kohta on aina sama.

1. Sulje väline sen myöntäjän kautta. Pankkitunnukset suljetaan pankin sulkupalvelusta, mobiilivarmenne operaattorilta ja henkilövarmenne varmenteen myöntäjän sulkupalvelusta. Numerot löytyvät myöntäjän omilta sivuilta, ja pankkien numero on usein myös korttisi kääntöpuolella.
2. Soita, vaikka et olisi varma. Sulkeminen on maksutonta ja peruttavissa, väärinkäyttö ei ole.
3. Tee rikosilmoitus poliisille. Ilmoitus tarvitaan myöhemmissä selvityksissä, ja sen voi tehdä myös verkossa.
4. Selvitä, mitä nimissäsi on ehditty tehdä. Katso viranomaisviestit, tarkista luottotietosi ja harkitse vapaaehtoista luottokieltoa, jos epäilet luoton hakemista.
5. Käy läpi muut tunnuksesi. Jos annoit tietoja huijaussivulle, jatka artikkelin annoin tunnukset huijarille ohjeella.
6. Tilaa uusi väline. Ensitunnistaminen tehdään uudelleen, joten varaudu asioimaan konttorissa tai toimipisteessä henkilöllisyystodistuksen kanssa.

Ennakkoon kannattaa tehdä kaksi asiaa. Hanki toinen tunnistusväline ensimmäisen rinnalle, jotta yhden katoaminen ei pysäytä asiointia. Ja pidä tavallisten palveluiden suojaus omalla tasollaan kuntoon, koska sähköpostitilin kaappaus on usein se ensimmäinen askel, joka johtaa muuhun. Menetelmien vertailu löytyy artikkelista kaksivaiheinen tunnistautuminen.