Monen suomalaisen verkkopalvelun kirjautumissivulta puuttuu nykyään yksi vanha tuttu. Salasanaa ei kysytä lainkaan. Käyttäjä valitsee pankkinsa, avaa pankkisovelluksen ja vahvistaa tunnistautumisen siellä.

Tähän on totuttu melko nopeasti. Harva jää kirjautuessaan miettimään, miksi palvelu luottaa käyttäjän omaan pankkiin tai mitä tavalliselle salasanalle samalla tapahtui. Muutos ei tullut yhdellä suurella järjestelmäpäivityksellä. Salasanakenttiä vain alkoi kadota palvelu kerrallaan.

Taustalla on hyvin käytännöllinen syy. Salasana jättää tietoturvasta liian suuren osan ihmisen muistin varaan, eikä ihmisen muisti ole siihen järin hyvä väline.

Salasana oli helppo rakentaa, käyttäjälle se oli huonompi ratkaisu

Jokaiselle käyttäjätilille pitäisi tehdä oma pitkä salasana. Se pitäisi myös muistaa vielä puolen vuoden päästä, vaikka palvelua käyttäisi vain satunnaisesti.

Käytännössä näin ei toimita. Sama salasana päätyy helposti sähköpostiin, verkkokauppaan ja moneen muuhun paikkaan. Jos yhden palvelun asiakastiedot vuotavat, varastettuja tunnuksia kokeillaan muuallakin. Hyökkääjän ei tarvitse tietää, missä kaikissa palveluissa salasanaa on käytetty. Kokeileminen voidaan automatisoida.

Tilannetta ei juuri auta se, että vanhan salasanan loppuun lisätään numero tai huutomerkki. Ihmiselle tunnus näyttää uudelta, mutta hyökkääjän käyttämälle ohjelmalle muutos on varsin ennalta arvattava.

Tietojenkalastelu kiertää koko muistiongelman. Uhrille näytetään kirjautumissivu, joka näyttää oikealta. Jos osoiterivin pientä eroa ei huomaa, tunnukset tulevat kirjoitetuksi suoraan huijarin lomakkeelle. Tässä voi erehtyä huolellinenkin käyttäjä, varsinkin jos viesti onnistuu luomaan kiireen tunnun.

Salasanojen kierrättämisestä ja kalastelusta on varoitettu pitkään. Silti salasana säilyi verkon perusratkaisuna, koska sen korvaaminen kaikkialla olisi ollut raskasta. Tilalle tarvittiin tunnistustapa, jonka ihmiset jo osasivat ja johon he luottivat valmiiksi.

Pankkien järjestelmä sopi tähän melkein sellaisenaan.

Pankki vahvistaa henkilöllisyyden palvelun puolesta

Pankkien oli ratkaistava luotettava verkkotunnistaminen paljon ennen kuin tavalliset verkkopalvelut alkoivat käyttää tätä samaa mallia. Pankkitilille ei voinut antaa pääsyä pelkällä käyttäjän itse keksimällä salasanalla.

Pankkitunnistautumisessa tarvitaan käyttäjän hallussa oleva laite. Tapahtuma vahvistetaan pankin sovelluksessa tunnusluvulla tai biometrisellä tunnisteella. Varastettu käyttäjätunnus ei vielä yksin riitä kirjautumiseen.

Toinen etu löytyy pankin asiakassuhteesta. Pankki on tarkistanut asiakkaan henkilöllisyyden jo tiliä avattaessa. Kun toinen verkkopalvelu pyytää vahvaa tunnistamista, sen ei tarvitse tehdä samaa tarkistusta alusta asti. Pankki kertoo palvelulle, että käyttäjän henkilöllisyys on vahvistettu.

Palvelu ei saa missään kohtaa käyttäjän pankkitunnuksia nähtäväkseen. Varsinainen hyväksyntä tapahtuu pankin omassa sovelluksessa, ja ulkopuolinen palvelu vastaanottaa vain tunnistamiseen tarvittavan vahvistuksen.

Erillistä salasanaa ei silloin luoda palvelun tietokantaan. Jos tietokanta myöhemmin vuotaa, sieltä ei voi varastaa sellaista kirjautumistietoa, jota sinne ei koskaan tallennettu.

Pankkitunnukset avasivat ensin verkkopankin, nyt niillä hoidetaan muutakin

Pankkitunnistautuminen levisi verkkopankeista viranomaispalveluihin. Veroasioiden tai virallisten asiakirjojen käsittelyssä käyttäjän henkilöllisyydestä pitää olla tavallista suurempi varmuus.

Vakuutusyhtiöille sama malli poisti tarpeen lähettää asiakkaille erillisiä tunnuksia. Käyttäjä pääsee omiin tietoihinsa pankin tekemän vahvistuksen jälkeen, eikä kaappiin tai sähköpostiin jää taas yhtä uutta salasanaa säilytettäväksi.

Maksupalveluissa pankkitunnistautuminen on viety vielä pidemmälle. Osassa niistä se ei ole yksi kirjautumisvaihtoehto muiden joukossa, vaan koko palvelun lähtökohta.

Tämän Zimplerin pankkitunnistautumista käsittelevän kuvauksen perusteella uusi asiakas valitsee ensin pankkinsa, kirjautuu sinne omilla pankkitunnuksillaan ja vahvistaa maksun. Sama pankin kautta tehtävä tarkistus hoitaa rekisteröitymistä, kirjautumista ja asiakkaan tunnistamista. Käyttäjän ei tarvitse perustaa tavallista tiliä tai muistaa Zimpleriä varten omaa salasanaa.

Ruotsalainen Zimpler on Finansinspektionenin valvoma maksulaitos. Sen palvelu toimii kuitenkin muiden verkkopalvelujen taustalla, joten käyttäjä ei välttämättä ajattele asioivansa erillisen maksuyhtiön kanssa. Hän valitsee pankin, hyväksyy tapahtuman ja jatkaa siitä eteenpäin.

Tässä pankkitunnistautumisen muutos näkyy ehkä selvimmin. Pankin rakentamaa järjestelmää ei käytetä enää vain pankin oven avaamiseen. Siitä on tullut henkilöllisyyden tarkistus myös aivan toisenlaisten palvelujen sisällä.

Vähemmän salasanoja ei poista huijauksia

Pankkitunnistautumiseen siirtyvä palvelu poistaa yhden mahdollisen salasanavuodon. Käyttäjän ei tarvitse keksiä uutta tunnusta, eikä yrityksen tarvitse säilyttää sitä omissa järjestelmissään.

Huijarit eivät ole kuitenkaan tämän vuoksi kadonneet. Kalastelusivut jäljittelevät nyt pankkien kirjautumisnäkymiä, ja käyttäjää voidaan yrittää saada hyväksymään tapahtuma omassa pankkisovelluksessaan. Sovellus voi olla täysin aito. Sen näyttämä pyyntö on silti voinut alkaa huijarin toiminnasta.

Vahvistusruudun lukeminen ratkaisee paljon. Jos pankkisovellus pyytää hyväksymään kirjautumisen tai maksun, jota käyttäjä ei itse aloittanut, pyyntöä ei kuulu vahvistaa. Tuttu logo ei tässä auta.

Tietoturvan heikko kohta on samalla siirtynyt. Ennen verkossa oli ehkä kymmeniä keskenään samanlaisia salasanoja. Nyt suurempi vastuu kasaantuu yhden vahvasti suojatun pankkitunnuksen ympärille.

Se on useimmiten parempi asetelma. Yhden asian merkitys kuitenkin kasvaa: pankkisovelluksen hyväksymispainiketta ei voi painaa vanhasta tottumuksesta. Sen takana saattaa olla paljon muutakin kuin oman tilin saldon tarkistaminen.