Pelkkä salasana ei riitä. Hyväkin salasana voidaan arvata, varastaa tai murtaa. Jos joku tietää salasanasi, hän pääsee tilillesi. Kaksivaiheinen tunnistautuminen (2FA) pysäyttää tämän. Se vaatii salasanan lisäksi toisen varmennusvaiheen ja todistaa, että olet se, joka väität olevasi, vaikka salasanasi olisi vuotanut.
Tässä artikkelissa kerrotaan, miten 2FA toimii, missä sitä kannattaa käyttää lomakkeissa, mitkä 2FA-tavat ovat turvallisimpia ja miten sen voi ottaa käyttöön niin, ettei se vaikeuta aitojen käyttäjien elämää.
Mitä opit: mitä kaksivaiheinen tunnistautuminen on ja miksi se on tärkeä, mitkä 2FA-tyypit ovat olemassa, miten jokainen tapa toimii, mitkä lomakkeet tarvitsevat 2FA-suojan ja miten valitset omaan käyttöösi sopivan tavan.
Mitä kaksivaiheinen tunnistautuminen on?
Kaksivaiheinen tunnistautuminen vaatii kaksi erillistä todistetta ennen kuin pääsy sallitaan. Tekijät jaetaan yleensä näin:
- Jotain, minkä tiedät: salasana tai PIN-koodi
- Jotain, mitä sinulla on: puhelin, turva-avain tai tunnistautumissovellus
- Jotain, mitä olet: biometrinen tunniste, kuten sormenjälki tai kasvojen tunnistus
2FA-kirjautuminen etenee yleensä näin:
- Käyttäjä syöttää käyttäjätunnuksen ja salasanan
- Järjestelmä tarkistaa, että salasana on oikein
- Järjestelmä pyytää toista tekijää (esim. "Syötä puhelimeesi tullut koodi")
- Käyttäjä antaa toisen tekijän (esim. syöttää "123456")
- Järjestelmä tarkistaa toisen tekijän
- Käyttäjälle annetaan pääsy
Jos joku varastaa salasanan, hän ei silti pääse tilille ilman toista tekijää. Siksi 2FA toimii niin hyvin.
Miksi 2FA on välttämätön lomakkeiden tietoturvassa
Salasanoja varastetaan jatkuvasti
Tietomurroissa vuotaa miljoonia salasanoja joka vuosi. Jos salasanasi oli jossain vuotaneessa tietokannassa, hyökkääjillä on se. Vahva salasana auttaa, mutta se on silti vain salasana.
Salasanahyökkäykset ovat yleisiä
Hyökkääjät käyttävät raakaa voimaa (miljoonia yhdistelmiä), sanakirjahyökkäyksiä (yleisiä salasanoja) ja tunnuksilla yrittämistä (credential stuffing, eli muista vuodoista saatuja salasanoja). Nämä hyökkäykset onnistuvat, jos salasanan lisäksi ei ole mitään muuta.
Tietojenkalastelu kohdistuu salasanoihin
Hyökkääjät lähettävät väärennettyjä kirjautumissivuja, jotka näyttävät sivustoltasi. Käyttäjät syöttävät tunnuksensa väärälle sivulle. Jos sivustosi vaatii vain salasanan, hyökkääjä pääsee sisään. Jos 2FA on pakollinen, hyökkääjä ei pärjää pelkällä salasanalla.
Tilin kaappaukset tulevat kalliiksi
Jos joku pääsee asiakkaan tilille, hän voi vaihtaa salasanan, nollata tilin, tehdä luvattomia ostoksia tai varastaa tietoja. 2FA tekee luvattomasta pääsystä paljon vaikeampaa.
Kaksivaiheisen tunnistautumisen tyypit
Tekstiviestikoodit (SMS)
Näin se toimii: käyttäjä syöttää käyttäjätunnuksen ja salasanan. Järjestelmä lähettää hänen puhelimeensa tekstiviestillä 6-numeroisen koodin. Käyttäjä syöttää koodin tekstiviestistä.
Plussat: helppo käyttäjälle. Toimii kaikilla puhelimilla (sovellusta ei tarvita).
Miinukset: tekstiviestin voi siepata tai ohjata muualle. Ei ole turvallisin tapa. Tekstiviestien lähettäminen maksaa.
Sopii: asiakkaille tarkoitettuihin palveluihin, joissa käytön helppous painaa enemmän kuin huipputurva.
Tunnistautumissovellukset
Näin se toimii: käyttäjä asentaa tunnistautumissovelluksen, kuten Google Authenticatorin. Kirjautuessa sovellus luo aikaan sidotun koodin (yleensä 6 numeroa, joka vaihtuu 30 sekunnin välein). Käyttäjä syöttää tämän koodin.
Plussat: erittäin turvallinen. Ei voi siepata. Käyttäjälle ilmainen.
Miinukset: käyttäjän on asennettava sovellus. Jos puhelin katoaa, pääsy katoaa, ellei käyttäjällä ole varakoodeja.
Sopii: korkean turvatason palveluihin (hallintapaneelit, talouden tilit, arkaluonteiset tiedot). Käyttäjä sietää enemmän vaivaa.
Laitteelliset turva-avaimet
Näin se toimii: käyttäjällä on fyysinen avain (esimerkiksi USB-tikku). Kirjautuessa järjestelmä pyytää avainta. Käyttäjä liittää avaimen laitteeseen tai napauttaa sillä laitetta. Avain todistaa omistajuuden.
Plussat: erittäin turvallinen. Sitä ei voi murtaa etänä. Toimii monella verkkosivustolla.
Miinukset: käyttäjien on ostettava avaimet (30-50 dollaria). Avaimen voi hukata tai unohtaa. Tuki ei ole vielä laaja.
Sopii: korkeimman turvatason tilanteisiin (valtionhallinto, armeija, arvokkaat tilit). Teknisesti taitavien käyttäjien käyttöön.
Push-ilmoitukset
Näin se toimii: käyttäjä yrittää kirjautua. Järjestelmä lähettää hänen puhelimeensa push-ilmoituksen: "Haluatko hyväksyä tämän kirjautumisen?" Käyttäjä napauttaa ilmoituksessa "Hyväksy".
Plussat: erittäin käyttäjäystävällinen. Koodia ei tarvitse kirjoittaa. Kestää tietojenkalastelua (käyttäjä näkee, mistä kirjautuminen tulee).
Miinukset: vaatii tietyn sovelluksen tai järjestelmän. Ei toimi, jos puhelin ei ole saatavilla.
Sopii: mobiili edellä rakennettuihin sovelluksiin ja kuluttajasovelluksiin, joissa käyttökokemus on ratkaiseva.
Sähköpostikoodit
Näin se toimii: käyttäjä syöttää käyttäjätunnuksen ja salasanan. Järjestelmä lähettää koodin hänen sähköpostiosoitteeseensa. Käyttäjä syöttää koodin sähköpostista.
Plussat: toimii ilman puhelinta. Kaikkien käytettävissä.
Miinukset: sähköpostin voi murtaa. Käyttäjän on tarkistettava sähköposti, mikä on hitaampaa kuin muut tavat. Vähemmän turvallinen kuin tunnistautumissovellus.
Sopii: matalan turvatason palveluihin tai varavaihtoehdoksi, kun muita tapoja ei ole käytettävissä.
Biometrinen tunnistus (sormenjälki, kasvot)
Näin se toimii: käyttäjän laite (puhelin tai tietokone) käyttää sisäänrakennettuja biometrisiä antureita. Käyttäjä skannaa sormenjäljen tai kasvot hyväksyäkseen kirjautumisen tai toiminnon.
Plussat: erittäin kätevä. Erittäin turvallinen. Yksilöllinen jokaiselle.
Miinukset: vaatii laitteen, jossa on biometrinen anturi. Biometristen tietojen tallennus herättää yksityisyyshuolia.
Sopii: mobiilisovelluksiin ja moderneille laitteille. Yleistyy, kun biometriset anturit muuttuvat vakiovarusteeksi.
Mitkä lomakkeet tarvitsevat 2FA:n?
Korkean arvon lomakkeet (2FA pakollinen)
- Kirjautumislomakkeet (hallintapaneeli, asiakastili, sähköposti)
- Salasanan nollauslomakkeet
- Tilin asetusten muutokset (erityisesti sähköposti tai salasana)
- Maksu- tai talouslomakkeet
- Tietojen poisto tai muut arkaluonteiset toiminnot
Keskitason lomakkeet (2FA suositeltava)
- Tilin luonti (estää tilin kaappauksen alusta asti)
- Lomakkeet, jotka muokkaavat käyttäjän tietoja tai asetuksia
- Vain ylläpidon lomakkeet
Vähäisen arvon lomakkeet (2FA valinnainen)
- Yhteydenottolomakkeet (keräävät vain julkisia tietoja)
- Uutiskirjeen tilaus (lomake ilman tiliä)
- Kyselylomakkeet
Nyrkkisääntö: jos lomake voi muuttaa käyttäjän tiliä, antaa pääsyn arkaluonteisiin tietoihin tai tehdä peruuttamattomia toimia, käytä 2FA:ta.
2FA käyttöön ilman liikaa vaivaa
Tee 2FA ensin valinnaiseksi ja pakolliseksi arkaluonteisissa toiminnoissa
Anna käyttäjien rekisteröityä ilman 2FA:ta. Vaadi 2FA kuitenkin, kun he yrittävät päästä arkaluonteisille alueille, vaihtaa maksutietoja tai vaihtaa salasanan.
Tarjoa useita 2FA-tapoja
Joillakin on puhelin, toisilla ei. Jotkut suosivat tunnistautumissovelluksia, toiset turva-avaimia. Kun tapoja on useita, jokainen voi käyttää 2FA:ta.
Tarjoa varakoodit
Jos 2FA on pakollinen ja käyttäjä kadottaa puhelimensa tai tunnistautumissovelluksensa, hän ei pääse tililleen. Tarjoa varakoodit (käyttöönotossa luodut kertakäyttöiset koodit), jotta käyttäjä pääsee kirjautumaan, jos pääasiallinen 2FA-tapa katoaa.
Muista luotetut laitteet
Kun käyttäjä on suorittanut 2FA:n laitteella kerran, voit halutessasi "muistaa" laitteen, jolloin 2FA:ta ei tarvitse tehdä joka kerta. Tämä vähentää vaivaa, mutta epäilyttävät kirjautumiset tuntemattomilta laitteilta pysyvät suojattuina.
Käytä riskiperusteista 2FA:ta
Jos käyttäjä kirjautuu tavallisesta paikasta tavalliseen aikaan tutulla laitteella, 2FA ei välttämättä ole tarpeen. Jos käyttäjä kirjautuu toisesta maasta kolmelta yöllä uudella laitteella, vaadi 2FA. Näin turvallisuus ja käytettävyys pysyvät tasapainossa.
Palautus- ja varasuunnitelmat
Käyttäjät kadottavat puhelimia, unohtavat sovelluksia ja lukitsevat itsensä ulos. Tee suunnitelma:
- Varakoodit: luo 2FA:n käyttöönotossa 10 kertakäyttöistä koodia, joita voi käyttää, jos pääasiallinen tapa ei ole käytettävissä
- Tilin palautus: anna käyttäjien todistaa henkilöllisyytensä turvakysymyksillä tai sähköpostilla, jotta he pääsevät takaisin tilille
- Tukiprosessi: kouluta tukihenkilöt varmistamaan henkilöllisyys ja auttamaan ulos lukittuneita käyttäjiä
2FA:n hyökkäystavat ja miten niiltä suojaudutaan
SIM-kortin kaappaus (SIM swapping)
Hyökkääjä saa operaattorin siirtämään uhrin puhelinnumeron uudelle SIM-kortille. Sen jälkeen hän saa tekstiviestillä lähetetyt 2FA-koodit omaan puhelimeensa.
Suojautuminen: käytä tekstiviestin sijaan tunnistautumissovelluksia tai turva-avaimia. Tekstiviesti on altis SIM-kortin kaappaukselle.
2FA-koodien kalastelu
Hyökkääjä tekee väärennetyn kirjautumissivun, joka pyytää 2FA-koodia. Käyttäjä syöttää koodin. Hyökkääjä käyttää koodin heti kirjautuakseen oikealle tilille.
Suojautuminen: käytä tapoja, jotka näyttävät asiayhteyden (push-ilmoitus kertoo "kirjautuminen osoitteessa www.example.com"), tai turva-avaimia (jotka tarkistavat verkkosivuston verkkotunnuksen). Koodipohjaiset tavat ovat tälle alttiita.
Kadonneet tai varastetut laitteet
Jos laite, jossa 2FA-sovellus on, katoaa tai varastetaan, hyökkääjä voi päästä sen avulla tileille.
Suojautuminen: vaadi laitteen avaamiseen PIN-koodi tai biometrinen tunnistus. Vaadi PIN-koodi myös tunnistautumissovelluksen avaamiseen. Käytä varakoodeja ja tilin palautusvaihtoehtoja.
Mitä 2FA:ssa kannattaa tarkistaa
Katso, mitä 2FA-tapoja tilisi tarjoavat, ja ota käyttöön vahvin saatavilla oleva. Tunnistautumissovellus on turvallisempi kuin tekstiviestillä tai sähköpostilla tulevat koodit. Säilytä varakoodit turvallisessa paikassa, jotta pääset tarvittaessa takaisin tilille.
Lue lisää tietoturvaominaisuuksista ja 2FA-vaihtoehdoista tilisi asetuksista tai hinnoittelusivulta.