Kaksivaiheinen tunnistautuminen: mitä se on, mikä tapa valita ja miten otat sen käyttöön

Monivaiheisella tunnistautumisella (MFA) tarkoitetaan sitä, että henkilöllisyytesi varmistetaan kahdella tai useammalla tavalla. Kaksivaiheinen tunnistautuminen (2FA) on sen yleisin muoto, kertoo Traficom. Tavat perustuvat kolmeen periaatteeseen: johonkin, mitä tiedät (salasana, PIN-koodi), johonkin, mitä omistat (puhelin, johon tulee muuttuva koodi), ja johonkin, mitä olet (sormenjälki). Kahden kolmesta pitää toteutua. Vaikka rikollinen saisi selville käyttäjätunnuksesi ja salasanasi, hän ei pääse palveluun ilman lisätunnistetta.

Nimet vaihtelevat: Google puhuu kaksivaiheisesta vahvistuksesta, Microsoft kaksivaiheisesta tarkistamisesta ja Apple kaksiosaisesta todennuksesta. Kyse on samasta suojasta, ja usein se ei ole oletuksena päällä, vaan se pitää ottaa itse käyttöön.

Käytät sitä jo verkkopankissa

Kun kirjaudut verkkopankkiin tai maksat verkossa, käytät vahvaa tunnistamista. Finanssivalvonnan mukaan se yhdistää vähintään kaksi kolmesta: tiedon (salasana, PIN-koodi), hallussapidon (puhelin, tunnuslukulaite) ja yksilöivän ominaisuuden (sormenjälki). Pelkillä korttitiedoilla ei ole voinut maksaa verkkokaupassa 14.9.2019 alkaen. Samoja välineitä, kuten pankkitunnuksia ja mobiilivarmennetta, käytetään Suomi.fi-tunnistuksessa viranomaisten palveluihin.

Rajoitus kannattaa muistaa. Jos huijari saa sinut itse antamaan koodin tai hyväksymään kirjautumisen, toinen vaihe ei auta. Kyberturvallisuuskeskus tietää tapauksia, joissa kalastelusivu on pyytänyt myös monivaiheisen tunnistautumisen koodin ja uhri on antanut sen, ja rikolliset kehittävät jatkuvasti keinoja kiertää monivaiheista tunnistautumista.

Tavat heikoimmasta vahvimpaan

• Tekstiviesti tai puhelu: helppo ja yleinen, mutta Googlen mukaan tekstiviestillä tai puhelimitse saadut koodit voivat paljastua, jos puhelinnumerosi hakkeroidaan. Liittymän kaappauksessa rikollinen saa koodit suoraan itselleen. Microsoft on alkanut poistaa tekstiviestit asteittain henkilökohtaisten Microsoft-tilien todennus- ja palautusmenetelmänä.
• Todennussovellus: sovellus näyttää numerosarjan, joka vaihtuu noin 30 sekunnin välein. Google Authenticator ja vastaavat sovellukset toimivat myös ilman internet- tai mobiiliyhteyttä.
• Kehote puhelimessa: Google suosittelee Google-kehotteita, koska napauttaminen on helpompaa kuin koodin syöttäminen ja kehotteet voivat suojata SIM-kortin vaihtamiselta ja muilta puhelinnumeroon perustuvilta hyökkäyksiltä.
• Pääsyavain (Googlella avainkoodi): kirjaudut sormenjäljellä, kasvoilla tai laitteen näytön lukituksella. Applen mukaan pääsyavaimia ei voi saada haltuun tietojen kalastelun avulla, ja Googlen mukaan avainkoodeja ei voi jakaa, kopioida tai antaa vahingossa toiselle. Kun kirjaudut avainkoodilla, Google ohittaa toisen vaiheen, koska avainkoodi vahvistaa laitteen olevan hallussasi.
• Fyysinen suojausavain: USB-, NFC- tai Bluetooth-laite, joka yhdistetään kirjautuvaan laitteeseen. Google ja Apple kertovat suojausavainten antavan lisäsuojaa tietojenkalastelua vastaan.

Näin otat sen käyttöön

• Apple-tili: Asetukset > [nimesi] > Kirjautuminen ja suojaus, ja ota kaksiosainen todennus käyttöön. Uudella laitteella tarvitset salasanan lisäksi kuusinumeroisen vahvistuskoodin, joka näkyy luotetuissa laitteissasi tai tulee luotettuun puhelinnumeroon. Useimmilla tileillä se on jo käytössä; jos otit sen juuri käyttöön, voit perua sen kahden viikon kuluessa.
• Google-tili: avaa Google-tilisi, valitse Suojaus ja sisäänkirjautuminen ja kohdasta Miten kirjaudut Googleen Laita päälle Kaksivaiheinen vahvistus. Google voi alkaa luottaa uuteen puhelinnumeroon vasta seitsemän päivän kuluttua.
• Microsoft-tili: kirjaudu osoitteessa account.microsoft.com/security, valitse Hallitse, miten kirjaudun sisään ja valitse Lisäsuojaus- ja Kaksivaiheinen tarkistaminen -kohdassa Ota käyttöön.
• Muut palvelut: Traficomin sivulla on linkit muun muassa Facebookin, Instagramin, WhatsAppin, Signalin ja TikTokin ohjeisiin. Traficom neuvoo suojaamaan aina palvelut, joissa on henkilö- tai maksutietoja.

Älä lukitse itseäsi ulos

• Ota käyttöön useampi kuin yksi tapa. Microsoftin mukaan pääsyoikeuden palauttaminen voi kestää 30 päivää, jos yhteydenottotapa ei ole käytettävissä, joten se suosittelee liittämään tiliin kolme suojaustietoa.
• Tallenna varakoodit. Googlen kahdeksannumeroiset varakoodit kannattaa tulostaa tai ladata ja säilyttää turvallisessa paikassa; Traficom ehdottaa kertakäyttöisille koodeille salasanojen hallintaohjelmaa.
• Todennussovelluksen koodien siirtäminen uuteen puhelimeen voi olla vaikeaa. Varmuuskopioi tiedot, jos sovellus sen sallii, tai käytä kahta eri tapaa.
• Valitse Älä kysy uudelleen tällä laitteella vain laitteella, jota käytät säännöllisesti etkä jaa kenenkään kanssa.
• Älä koskaan anna koodia kenellekään. Google ei soita sinulle koodin vahvistamiseksi, eikä Apple koskaan pyydä kaksiosaisen todennuksen koodia tai poistamaan suojausominaisuuksia käytöstä.
• iPhonessa voit lisäksi ottaa käyttöön varastetun laitteen suojauksen (Asetukset > Face ID ja pääsykoodi > Varastetun laitteen suojaus, iOS 17.3 tai uudempi). Se estää pääsykoodisi tietävää varasta tekemästä tärkeitä muutoksia tiliisi, mutta se on otettava käyttöön ennen kuin puhelin katoaa.

Saitko koodin tai kehotteen, jota et pyytänyt?

Jos laitteeseesi tulee varmistuspyyntö, vaikka et itse ole kirjautumassa, joku muu yrittää todennäköisesti päästä tilillesi, kirjoittaa Traficom: vaihda silloin palvelun salasana. Älä hyväksy kehotetta äläkä anna koodia. Applen mukaan se ei koskaan pyydä sinua napauttamaan kaksiosaisen todennuksen valintaikkunassa Hyväksy tai antamaan koodia millekään verkkosivustolle. Googlen kehotteessa näkyvät kirjautuvan laitteen tiedot ja sijainti, ja voit estää kirjautumisen napauttamalla Ei.

Jos pelkäät liittymän kaappausta, valitse tapa, joka ei riipu puhelinnumerosta. Kyberturvallisuuskeskus neuvoo välttämään käyttäjätilien liittämistä puhelinnumeroon ja suosittelee esimerkiksi biometrisiä tunnisteita tai luotettavaa pääsyavainsovellusta, ja RIKUn mukaan operaattorilta kannattaa pyytää oma salasana tai PIN-koodi liittymän muutoksiin.

Ota toinen vaihe käyttöön tänään sähköpostissasi. Varastettu salasana jää silloin pelkäksi salasanaksi.