Edellisessä artikkelissa tarkastelimme asiakirjojen sähköistä allekirjoittamista ja erityisesti menetelmien kultastandardia eli kansallisen viranomaisen myöntämää henkilökorttia. Allekirjoittamisessa on kaksi keskeistä elementtiä: uniikin kryptografisen avaimen ja henkilön yhdistäminen toisiinsa, sekä itse allekirjoitustapahtuman dokumentointi jälkikäteen todennettavalla tavalla. Viranomainen on luonut avaimen ja varmistanut luovuttavansa sen tunnistamalleen henkilölle. Henkilökortissa käytettävä teknologia varmistaa, ettei yksilöllistä avainta voi kopioida tai muutoin väärinkäyttää. Vahva sähköinen tunnistautuminen toimii olennaisesti samalla menettelyllä ilman allekirjoitustapahtumaa.

Asiointipalvelujen tuottajien näkökulmasta henkilökortin erityinen vahvuus on viranomaisen huolehtivan avainten jakelusta tunnistamilleen kansallisen väestörekisterin henkilöille. Toisaalta tämä ei ole aina olennainen näkökulma: yhtiön kannalta tunnistautumisen olennainen näkökulma ei ole epäillä, onko kymmenen vuotta talossa työskennellyt henkilö se kuka sanoo olevansa. Olennaista on varmistaa esimerkiksi etäyhteydellä tietojärjestelmään pyrkivän tahon olevan sama henkilö, joka perinteisesti on työskennellyt toimistolla. Yhtiön on tässä pyrkimyksessä tyypillisesti joustavampaa käyttää olennaisesti samaa teknologiaa kuin viranomainen, mutta hallinnoida henkilöstön käytössä olevia avaimia omatoimisesti. Sisäisesti hallinnoidussa järjestelmässä kadonnut tai rikkoutunut turvalaite — jollaisesta henkilökortin siru on esimerkki — voidaan korvata ilman viranomaistyötä ja siihen liittyvää viivettä. Tai henkilöstön jäsenillä voi olla koko ajan kaksi rinnakkain käytettävissä olevaa turvalaitetta. Turvalaite voi PIN-koodilla suojattuna joko korvata pelkän salasanan, tai sitä voi käyttää lisävarmenteena salasanan rinnalla. Tärkein teknologinen kehitysaskel aiempaan on avoin ja kypsä standardi: FIDO2. Standardin ansiosta laitteet ovat kohtuuhintaisia, eivät vaadi erillisten ohjelmistojen asentamista, ja useamman valmistajan laitteita voi käyttää rinnakkain.

FIDO2-laitteiden parhaat puolet suhteessa biometriikkaan kuten sormenjälkilukijoihin ja tunnistautumisappeihin ovat toimintavarmuus ja tietoturvan taso. Kehittyneimpiä biometrisiä sensoreita on epäilemättä hyvin vaikea huiputtaa, mutta ongelmana on jo perusteellisten ja riippumattomien selvitysten puuttuminen yleisesti saatavilla olevista sensoreista. Kokonaan tai pääasiassa ohjelmistoon nojaavat ratkaisut ovat haavoittuvaisia paitsi ohjelmiston itsensä myös käyttöjärjestelmän turvallisuusarkkitehtuurin puutteille. Turvalaite on nimensä mukaisesti käyttötarkoitukseensa suunniteltu työkalu. Tältä osin on kuitenkin hyvä huomata, ettei pelkkä FIDO2 takaa ehdotonta turvatasoa. Perustason L1, johon useimmat laitteet kuuluvat, rima on kohtalainen. Taso L2, joka on markkinoilla olevien tuotteiden korkein, soveltuu vaativimpiin kohteisiin. Ylimmät tasot L3 ja L3+ ovat ilmeisen vaativia saavuttaa, koska näihin kuuluvia tuotteita ei havaintojemme mukaan ole kaupallisesti saatavilla. Siihen, tulisiko valittavalla turvalaitteella olla L1+ tai L2-tason sertifiointi, vaikuttavat mahdollisten hyökkääjien motivaation aste, kysymys tullaanko laitteella korvaamaan salasanat vai onko se lisävarmenne, sekä suojeltavan järjestelmän muut turvamekanismit. Esimerkiksi osassa kannettavia tietokoneita on fyysinen TPM 2.0 -siru, joka on rinnastettavissa L1+ -tasoon. Erillisen turvalaitteen etuna on toki, ettei se ole kiinteä osa suojattavaa päätelaitetta. Näin sitä ei myöskään varasteta päätelaitteen mukana, ellei käyttäjä ole huolimaton. Toisaalta erillistä turvalaitetta voi käyttää rinnakkain useammassa päätelaitteessa, eikä sitä tarvitse uudelleenohjelmoida päätelaitteen vaihtuessa uudempaan.

Lähes yhtä valitettavaa kuin tietoturvan pettäminen on ettei käyttäjä pysty tunnistautumaan. Älypuhelimet ovat käyttötarkoitustensa suuren ja yhä kasvavan määrän vuoksi ”single point of failure”: jos älypuhelin ei toimi, ongelma ei rajoitu kyvyttömyyteen tunnistautua, vaan käyttäjä on samaan aikaan esimerkiksi ottamaan yhteyttä tekniseen tukeen. Turvalaite on mekaanisesti ja elektronisesti älypuhelinta vähemmän vikaherkkä eikä tarvitse omaa akkua, joten vikaantuminen on harvinaista. Yhdistettynä jo vakiintuneeseen standardiin tämä tarkoittaa myös turvalaitteen olevan tietotekniikaksi hyvin pitkäikäinen kumppani. Olisimme hyvin pettyneitä, jos nykyiset laitteet eivät olisi yhä käyttökelpoisia 2028.

FIDO2-turvalaite soveltuu toki hyvin myös yksittäisille käyttäjille, jotka haluavat oma-aloitteisesti suojata tilinsä suosituimmissa verkkopalveluissa. FIDO2-laitetta voi käyttää vähintään lisävarmenteena kirjauduttaessa mm. Google-, Facebook-, Microsoft-, SalesForce- ja GitHub-tileille. Yksi laite tukee tyypillisesti noin kymmenen tilin suojaamista kerrallaan. Microsoftin Enterprise-ekosysteemeissä järjestelmänvalvoja voi sallia FIDO2-laitteet joko pääasiallisena tunnistautumisvälineenä tai lisävarmenteena. Ne voi erikseen ottaa käyttöön Windows 11 -kirjautumisissa (tarkemmin Hello for Business -tunnistautumisessa, Kuva 1).

Kuva 1. Windows-kirjautuminen USB-väylään liitetyllä turvalaitteella (HyperFIDO Pro Mini). Sormenpään kokoisessa laitteessa on kryptoprosessori sekä pieni määrä muistia ja suojattua tallennustilaa. Laite on suojattu omalla PIN-koodillaan.

Me Werdiassa olemme ohjelmistojen asiantuntijoita, jo yli 20 vuoden kokemuksella. Kehitämme Microsoft-teknologioilla asiakkaillemme räätälöityjä appeja ja ohjelmistoja sekä tarjoamme niihin liittyvää konsultointia. Tunnistautumisteknologia kuuluu osaamiseemme.

Sisällön ajantasaisuus tarkistettu: 4. elokuuta 2023