Vahva tunnistautuminen: mitä se tarkoittaa ja milloin sitä tarvitaan

Vahva tunnistautuminen on tapa todistaa sähköisesti, kuka olet – niin luotettavasti, että pankki, viranomainen tai verkkokauppa voi varmistaa henkilöllisyytesi ilman, että asioit paikan päällä. Suomessa se tarkoittaa käytännössä pankkitunnuksia, Mobiilivarmennetta tai henkilökortin varmennekorttia. Tässä oppaassa käydään selkeästi läpi, mitä vahva tunnistautuminen tarkoittaa, miten se eroaa pelkästä salasanasta, mitkä välineet Suomessa kelpaavat ja missä tilanteissa sitä vaaditaan – pankkiasioinnista ja verkkomaksuista aina julkisiin palveluihin ja nettikasinoiden ikärajan varmistamiseen.

Mitä vahva tunnistautuminen tarkoittaa?

Sähköinen tunnistaminen tarkoittaa prosessia, jossa henkilöllisyytesi todennetaan verkossa. Kaikki tunnistaminen ei kuitenkaan ole yhtä luotettavaa. Vahva sähköinen tunnistaminen on lainsäädännössä määritelty taso, joka perustuu vähintään kahteen toisistaan riippumattomaan tekijään ja täyttää laissa asetetut turvallisuusvaatimukset. Suomessa asiasta säädetään laissa vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista (617/2009).

Keskeinen ero tavalliseen kirjautumiseen on se, että vahva tunnistautuminen yhdistää henkilöllisyytesi todennettuun viralliseen identiteettiin – esimerkiksi henkilötunnukseen. Kun tunnistaudut pankkitunnuksilla, palvelu voi luottaa siihen, että olet juuri se henkilö, jonka pankki on aikanaan tunnistanut asiakkaakseen. Juuri tämä tekee vahvasta tunnistautumisesta kelvollisen esimerkiksi sopimusten tekemiseen ja maksujen vahvistamiseen.

Kaksi tekijää kolmesta

Vahva tunnistautuminen rakentuu aina vähintään kahden erillisen tekijän varaan, jotka kuuluvat kolmeen eri ryhmään. Tekijöiden on oltava toisistaan riippumattomia, eli yhden paljastuminen ei saa vaarantaa toista:

• Jotain, jonka tiedät – esimerkiksi salasana, PIN-koodi tai käyttäjätunnus.
• Jotain, joka sinulla on – esimerkiksi puhelin, vaihtuvan tunnusluvun laite, SIM-kortti tai sirullinen henkilökortti.
• Jotain, joka olet – biometrinen tunniste, kuten sormenjälki tai kasvojentunnistus.

Esimerkiksi mobiilipankissa yhdistyvät usein puhelin (jotain, joka sinulla on) ja PIN-koodi tai sormenjälki (jotain, jonka tiedät tai olet). Juuri tästä syystä pelkkä salasana ei koskaan riitä vahvaksi tunnistautumiseksi – se edustaa vain yhtä tekijää.

Vahva vai heikko tunnistautuminen?

Arjessa törmäät jatkuvasti myös kevyempään tunnistautumiseen. Kun kirjaudut vaikkapa uutissivustolle tai keskustelufoorumille sähköpostiosoitteella ja salasanalla, kyse on heikosta tunnistautumisesta: se perustuu vain yhteen tekijään, eikä se varmista oikeaa henkilöllisyyttäsi. Jos salasana vuotaa, kuka tahansa voi esiintyä sinuna.

Vahva tunnistautuminen on suunniteltu kestämään tällaiset tilanteet. Koska se vaatii vähintään kaksi tekijää, varastettu salasana ei yksin riitä. Tämän vuoksi vahvaa tunnistautumista vaaditaan nimenomaan silloin, kun kyse on rahasta, henkilötiedoista tai sitovista oikeustoimista. Monissa palveluissa käytetään myös termiä kaksivaiheinen tunnistautuminen (2FA), mutta kaikki kaksivaiheinen kirjautuminen ei täytä vahvan tunnistautumisen lain vaatimuksia – esimerkiksi tekstiviestikoodi salasanan lisäksi parantaa turvallisuutta, mutta ei sellaisenaan tee kirjautumisesta lain tarkoittamaa vahvaa tunnistautumista.

Suomen vahvan tunnistautumisen välineet

Suomessa vahva tunnistautuminen hoituu kolmella pääasiallisella välineellä. Ne kaikki toimivat samoissa palveluissa, joten voit yleensä valita itsellesi sopivimman tunnistustavan.

Pankkitunnukset

Pankkitunnukset ovat Suomen yleisin vahvan tunnistautumisen väline. Saat ne omasta pankistasi, ja niiden myöntäminen edellyttää, että pankki on tunnistanut sinut henkilökohtaisesti. Käytännössä tunnistautuminen tapahtuu käyttäjätunnuksella ja vaihtuvalla tunnusluvulla tai yhä useammin pankin mobiilisovelluksen vahvistuksella, jossa hyväksyt kirjautumisen sormenjäljellä tai PIN-koodilla. Jos haluat kerrata, miten verkkopankkiin kirjautuminen käytännössä etenee, kannattaa tutustua pankkikohtaiseen ohjeeseen.

Pankkitunnukset ovat henkilöasiakkaalle tyypillisesti maksuttomat, ja ne kelpaavat lähes kaikkiin suomalaisiin sähköisiin palveluihin. Niitä kannattaa suojata erityisen huolellisesti, sillä samoilla tunnuksilla hoidetaan sekä pankkiasiat että viranomaisasiointi.

Mobiilivarmenne

Mobiilivarmenne on puhelinliittymään sidottu tunnistusväline, jonka tarjoavat teleoperaattorit Telia, DNA ja Elisa. Varmenne tallennetaan SIM-kortille, ja tunnistautuessasi saat puhelimeen pyynnön, jonka vahvistat henkilökohtaisella PIN-koodilla. Mobiilivarmenne ei siis vaadi erillistä sovellusta eikä tunnuslukulistaa – riittää, että puhelin on mukanasi.

Mobiilivarmenne otetaan käyttöön operaattorin myymälässä, jossa koulutettu työntekijä varmistaa henkilöllisyytesi, tai jo olemassa olevilla vahvoilla tunnuksilla verkossa. Se on kätevä vaihtoehto etenkin niille, jotka haluavat tunnistautua ilman pankin tunnuslukuja.

Varmennekortti eli kansalaisvarmenne

Kansalaisvarmenne on poliisin myöntämällä henkilökortilla oleva siruun tallennettu varmenne, jonka takana on Digi- ja väestötietovirasto (DVV). Tunnistautuminen tapahtuu asettamalla kortti kortinlukijaan ja syöttämällä PIN-koodi. Varmennekortti vaatii siis fyysisen kortinlukijan, mikä tekee siitä hieman kankeamman kuin puhelimella toimivat vaihtoehdot.

Kansalaisvarmenteen etu on sen korkea luotettavuustaso: se on tällä hetkellä Suomen ainoa vahvan tunnistautumisen väline, joka yltää EU:n korkeimmalle varmuustasolle ja toimii myös eIDAS-kehyksen mukaisesti yli rajojen.

Luottamusverkosto ja lainsäädäntö

Suomen vahvan tunnistautumisen tarjoajat – pankit ja operaattorit – toimivat yhdessä niin sanotussa luottamusverkostossa (Finnish Trust Network, FTN). Verkoston ansiosta eri palvelut voivat tarjota kaikki tunnistustavat ilman, että jokaisen pitää sopia erikseen jokaisen pankin kanssa. Verkosto muodostettiin vuonna 2017, ja sen tarkoituksena on tehdä tunnistautumisesta yhtenäistä ja luotettavaa.

Toimintaa valvoo Liikenne- ja viestintävirasto Traficom, jonka yhteydessä toimiva Kyberturvallisuuskeskus ylläpitää tunnistuspalveluiden tarjoajien rekisteriä. Lainsäädännöllinen perusta on laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista (617/2009). Laki tunnettiin alun perin nimellä, joka viittasi sähköisiin allekirjoituksiin, mutta se uudistettiin vuonna 2016 (533/2016) vastaamaan EU:n eIDAS-asetusta (910/2014), joka yhtenäistää sähköisen tunnistamisen ja luottamuspalvelut koko EU:n alueella.

Varmuustasot: matala, korotettu ja korkea

EU:n eIDAS-asetus jakaa tunnistusvälineet kolmeen varmuustasoon sen mukaan, kuinka luotettavasti ne todentavat henkilöllisyyden:

• Matala – antaa rajallisen varmuuden henkilöllisyydestä, ja yhden tekijän tunnistautuminen voi riittää. Tämä ei ole vahvaa tunnistautumista.
• Korotettu – vähentää väärinkäytön riskiä merkittävästi ja edellyttää vahvempia suojauksia. Suomen pankkitunnukset ja Mobiilivarmenne toimivat tällä tasolla.
• Korkea – tarjoaa korkeimman luotettavuuden ja on suunniteltu kestämään myös taitavat hyökkäykset. Suomessa vain DVV:n myöntämä varmennekortti yltää tällä hetkellä tälle tasolle.

Käytännössä valtaosa suomalaisten arjen tunnistautumisista tapahtuu korotetulla tasolla, joka riittää pankki- ja viranomaisasiointiin. Korkeaa tasoa tarvitaan lähinnä erityisen arkaluonteisissa tai rajat ylittävissä tilanteissa.

Milloin vahvaa tunnistautumista tarvitaan?

Vahvaa tunnistautumista vaaditaan aina, kun palvelun on voitava varmistua henkilöllisyydestäsi lain tai turvallisuuden vuoksi. Yleisimmät tilanteet ovat seuraavat.

Pankkiasiointi ja verkkomaksut

Verkkopankkiin kirjautuminen, tilitietojen katselu ja maksujen vahvistaminen vaativat vahvan tunnistautumisen. Sama koskee monia verkkomaksuja: kun maksat kortilla verkkokaupassa, sinua pyydetään usein vahvistamaan maksu pankkitunnuksilla tai pankin sovelluksella. Tämä perustuu EU:n maksupalveludirektiiviin (PSD2), josta kerrotaan tarkemmin alla. Myös avoimeen pankkiyhteyteen perustuvat maksutavat, kuten Trustly-pankkimaksu, nojaavat juuri vahvaan tunnistautumiseen.

Julkiset palvelut ja Suomi.fi

Valtaosa julkisista verkkopalveluista käyttää Suomi.fi-tunnistusta, joka edellyttää vahvaa tunnistautumista. Näin kirjaudut esimerkiksi OmaVero-palveluun, Kelan asiointiin ja Omakanta-terveystietoihin. Arkaluonteisten tietojen – kuten terveys- ja verotietojen – käsittely edellyttää, että palvelu voi olla varma henkilöllisyydestäsi.

Sopimukset ja sähköiset allekirjoitukset

Vahvaa tunnistautumista käytetään myös sitovien sopimusten tekemiseen ja asiakirjojen sähköiseen allekirjoittamiseen. Esimerkiksi vakuutuksen ottaminen, lainan hakeminen tai tilin avaaminen verkossa hoituvat tunnistusvälineillä, koska allekirjoituksesta tulee tällöin oikeudellisesti pätevä.

Nettikasinot ja ikärajan varmistaminen

Rahapelien ja monien finanssipalveluiden tarjoajilla on rahanpesulain mukainen velvollisuus tunnistaa asiakkaansa. Siksi nettikasinot ja vedonlyöntisivustot pyytävät vahvaa tunnistautumista etenkin kotiutuksia tehtäessä – samalla varmistuu myös 18 vuoden ikäraja. Osa niin sanotuista pikakasinoista, kuten Brite-kasinot, hoitaa koko pelaajan tunnistamisen pankkitunnuksilla ilman erillistä rekisteröitymistä. Tunnistautuminen on näin myös osa vastuullista pelaamista, koska se estää alaikäisten ja toisen henkilön nimissä tapahtuvan pelaamisen.

Maksamisen vahva tunnistaminen (PSD2 ja SCA)

Verkkomaksamisessa vahvasta tunnistautumisesta käytetään termiä vahva asiakkaan tunnistaminen (Strong Customer Authentication, SCA). Se perustuu EU:n toiseen maksupalveludirektiiviin (PSD2) ja sitä täydentävään tekniseen sääntelyyn (delegoitu asetus (EU) 2018/389). Tavoite on vähentää maksupetoksia varmistamalla, että maksun tekee todella tilin tai kortin haltija.

Pääsääntö on, että vahva tunnistaminen vaaditaan, kun asiakas kirjautuu maksutililleen verkossa, käynnistää sähköisen maksutapahtuman tai tekee etäkanavassa toimen, johon liittyy petosriski. Myös tällöin tunnistaminen perustuu vähintään kahteen tekijään kolmesta (tieto, hallinta, ominaisuus). Fyysisessä kaupassa kortilla maksettaessa vahva tunnistaminen toteutuu PIN-koodilla.

Milloin tunnistautumista ei aina vaadita

Sääntelyssä on määritelty poikkeuksia, joiden ansiosta arjen pienet maksut sujuvat ilman jatkuvaa vahvistamista. Yleisimpiä ovat:

• Lähimaksut enintään 50 euroon asti. Yksittäinen lähimaksu voi mennä läpi ilman tunnistautumista, mutta tunnistautuminen on tehtävä viimeistään, kun viiden peräkkäisen maksun raja tai 150 euron yhteissumma edellisestä tunnistautumisesta täyttyy. Esimerkiksi Google Pay -lähimaksun 50 euron raja perustuu juuri tähän sääntöön.
• Pienet verkko-ostokset (tyypillisesti enintään noin 30 euroa) voivat olla vapautettuja tunnistautumisesta tietyin rajoituksin.
• Omien tilien väliset siirrot saman pankin sisällä.
• Luotetut maksunsaajat ja säännölliset toistuvat maksut, jotka olet aiemmin vahvistanut.
• Matkalippu- ja pysäköintiautomaatit, joissa maksu on käytännössä välttämätöntä hoitaa nopeasti.

On hyvä muistaa, että maksupalveluntarjoaja voi silti aina pyytää vahvan tunnistautumisen, jos se epäilee petosta.

Turvallisuus ja yleisimmät huijaukset

Vahva tunnistautuminen on turvallista, mutta sen ympärillä liikkuu paljon huijauksia. Rikolliset eivät yleensä yritä murtaa itse tekniikkaa, vaan houkutella sinut tunnistautumaan heidän puolestaan. Tyypillisessä huijauksessa saat tekstiviestin tai sähköpostin, jossa pyydetään kirjautumaan pankkitunnuksilla väärennetylle sivulle tai vahvistamaan maksu puhelun aikana.

Suojaa itseäsi näin:

• Älä koskaan anna pankkitunnuksia tai tunnuslukuja toisen henkilön pyynnöstä – ei edes, vaikka soittaja esittäytyisi pankin tai poliisin edustajaksi.
• Tarkista aina, mitä olet hyväksymässä: pankin sovellus kertoo, kirjaudutko sisään vai vahvistatko maksua ja kuinka suurta summaa.
• Siirry palveluun aina itse kirjoittamalla osoite selaimeen, älä viestin linkin kautta.
• Pidä huolta puhelimestasi ja sen lukituksesta, sillä se on usein yksi tunnistautumisen tekijöistä.

Jos pohdit tarkemmin yksittäisen maksutavan turvallisuutta, voit lukea esimerkiksi erillisen oppaan siitä, onko PayPal turvallinen valinta verkkomaksamiseen.

Näin otat tunnistusvälineen käyttöön

Tunnistusvälineen hankkiminen on yleensä yksinkertaista, mutta se vaatii aina henkilöllisyyden varmistamisen jossain vaiheessa:

• Pankkitunnukset: sovi aika omaan pankkiisi tai hae tunnuksia verkossa, jos olet jo asiakas. Pankki varmistaa henkilöllisyytesi ja antaa käyttäjätunnuksen sekä tunnusluvut tai aktivoi mobiilisovelluksen.
• Mobiilivarmenne: käy operaattorin myymälässä henkilöllisyystodistuksen kanssa tai aktivoi varmenne verkossa olemassa olevilla vahvoilla tunnuksilla.
• Varmennekortti: hae poliisilta henkilökorttia, jossa on siru. Tarvitset lisäksi kortinlukijan ja kortin mukana toimitettavat PIN-koodit.

Monelle kannattaa ottaa käyttöön vähintään kaksi eri välinettä, jotta asiointi onnistuu silloinkin, kun esimerkiksi puhelin on hukassa tai tunnusluvut loppuvat.

Yleisiä virheitä ja hyviä käytäntöjä

• Tunnuslukujen säilyttäminen väärin: älä tallenna tunnuslukuja puhelimen muistiinpanoihin tai lähetä niitä viesteissä.
• Vain yhden välineen varassa oleminen: jos ainoa tunnistusvälineesi lakkaa toimimasta, voit jäädä ulos palveluista. Varaväline helpottaa arkea.
• Tunnistautuminen kiireessä: lue aina, mitä vahvistat – huijaukset perustuvat usein juuri hätiköintiin.
• Vanhentuneet yhteystiedot: pidä puhelinnumero ja sähköposti ajan tasalla pankissa ja operaattorilla, jotta saat tärkeät vahvistukset ja hälytykset.

Usein kysytyt kysymykset (UKK)

Onko vahva tunnistautuminen sama asia kuin kaksivaiheinen tunnistautuminen?

Ei aivan. Molemmat perustuvat useampaan kuin yhteen tekijään, mutta vahva tunnistautuminen on lain määrittelemä taso, joka yhdistää henkilöllisyytesi viralliseen identiteettiin ja täyttää tarkat turvallisuusvaatimukset. Tavallinen kaksivaiheinen kirjautuminen, kuten salasana ja tekstiviestikoodi, parantaa turvallisuutta mutta ei välttämättä täytä vahvan tunnistautumisen vaatimuksia.

Tarvitsenko pankkitunnukset vai riittääkö Mobiilivarmenne?

Molemmat toimivat samoissa palveluissa ja ovat varmuustasoltaan korotettuja, joten voit valita kumman tahansa. Pankkitunnukset ovat yleisimmät, kun taas Mobiilivarmenne on kätevä niille, jotka haluavat tunnistautua pelkällä puhelimella ilman tunnuslukulistaa. Kahden eri välineen käyttö tuo lisää varmuutta asioinnin jatkuvuuteen.

Miksi pienikin verkko-osto vaatii joskus vahvan tunnistautumisen?

Verkkomaksamisen vahva tunnistaminen perustuu PSD2-sääntelyyn, jonka tavoitteena on estää petoksia. Vaikka pienille lähimaksuille ja osalle verkko-ostoista on poikkeuksia, maksupalveluntarjoaja voi aina pyytää tunnistautumisen – esimerkiksi silloin, kun peräkkäisten maksujen summa tai määrä ylittää sallitun rajan tai kun maksuun liittyy epäilyttäviä piirteitä.

Voiko vahvan tunnistautumisen tehdä ilman pankkitunnuksia?

Kyllä. Pankkitunnusten vaihtoehtoja ovat Mobiilivarmenne, jonka saat teleoperaattorilta, sekä poliisin myöntämän henkilökortin varmennekortti. Kaikki kolme kelpaavat vahvaksi tunnistautumiseksi suomalaisissa palveluissa.

Mitä teen, jos minulla ei ole suomalaisia pankkitunnuksia?

Jos olet ulkomaalainen tai sinulla ei ole suomalaisia tunnistusvälineitä, voit käyttää joissakin palveluissa oman maasi eIDAS-yhteensopivaa tunnistusvälinettä tai viranomaisten tarjoamaa erillistä tunnistautumispalvelua. Käytettävissä olevat vaihtoehdot riippuvat palvelusta, joten kannattaa tarkistaa asia suoraan kyseisestä palvelusta.