Kaksivaiheinen tunnistautuminen (2FA) – Mikä se on ja miksi se on tärkeä?

Kuvittele herääväsi aamulla ja huomaavasi, että joku on murtautunut Instagram-tilillesi ja lähetellyt viestejä ystävillesi. Salasanasi oli vuotanut tietomurrossa, mutta olisit voinut estää tämän yhdellä helpolla lisäaskeleella. Kyse on kaksivaiheisesta tunnistautumisesta (2FA).

Kaksivaiheinen tunnistautuminen – tai kaksivaiheinen vahvistus – tarkoittaa, että pelkän salasanan lisäksi sinun on todistettava henkilöllisyytesi toisella, erillisellä tavalla ennen kuin pääset käsiksi tiliisi. Tämä toinen vaihe voi olla esimerkiksi kertakäyttöinen koodi, puhelimeen tuleva ilmoitus tai fyysinen turva-avain. Näin varmistetaan, että olet aidosti sinä, vaikka salasana olisi joutunut vääriin käsiin.

Miksi kaksivaiheinen tunnistautuminen on niin tärkeä?

Salasanat ovat aina olleet heikoin lenkki tietoturvassa. Vaikka käyttäisit kuinka pitkää ja monimutkaista salasanaa, se voi vuotaa tietomurrossa, joutua tietojenkalastelun (phishing) uhriksi tai se voidaan arvata. Jos käytät samaa salasanaa useissa palveluissa, yhden palvelun murto voi avata hyökkääjälle oven moniin muihinkin tileihin. Tässä identiteettivarkauden riski on todellinen – joku voi esiintyä sinuna ja tehdä ostoksia, hakea luottoja tai varastaa henkilötietojasi.

Googlen tutkimus osoittaa, että kaksivaiheinen tunnistautuminen estää jopa 99 % automatisoiduista hyökkäyksistä (Google Security Blog). Se ei tee tiliäsi murronvarmaksi, mutta se nostaa suojan aivan uudelle tasolle. Erityisesti sähköpostin, pankki- ja sometilien suojaaminen 2FA:lla on nykyään välttämätöntä.

Kaksivaiheisen tunnistautumisen eri menetelmät

2FA:sta puhutaan usein yhtenä ratkaisuna, mutta todellisuudessa menetelmiä on useita, ja niiden turvallisuus vaihtelee. Seuraavassa käymme läpi yleisimmät tavat toteuttaa toinen varmennusvaihe.

Tekstiviesti (SMS)

Palvelu lähettää kertakäyttöisen koodin matkapuhelimeesi. Menetelmä on helppo, mutta se sisältää riskejä: SIM-kortin kaappaus (SIM swapping), tekstiviestien sieppaus ja tietojenkalasteluhuijaukset ovat mahdollisia. Huijarit voivat esimerkiksi soittaa operaattorillesi ja siirtää numerosi toiselle SIM-kortille. Tämän takia SMS ei ole suositeltavin 2FA-muoto, varsinkaan arkaluontoisille tileille. Huijauspuhelut ovat yleistyneet, ja niiden avulla voidaan yrittää huijata 2FA-koodi.

• Hyvää: ei vaadi sovelluksen asentamista, toimii lähes kaikissa puhelimissa.
• Huonoa: altis SIM-kaappaukselle, koodi voidaan kalastella huijaussivustolla.

Sähköposti

Joissakin palveluissa koodi lähetetään sähköpostitse. Tämä on hieman parempi kuin SMS, mutta edelleen altis phishingille ja sähköpostitilin murroille. Jos sähköpostisi on jo vaarantunut, hyökkääjä saa 2FA-koodin samassa paikassa.

Tunnistussovellus (TOTP)

Aikapohjaiset kertakäyttösalasanat (TOTP) ovat yleinen ja turvallisempi vaihtoehto. Sovellus, kuten Google Authenticator, Microsoft Authenticator tai Duo Mobile, generoi koodit laitteessasi ilman internet-yhteyttä. QR-koodin skannauksen jälkeen sovellus näyttää vaihtuvan 6-numeroisen luvun, jonka syötät kirjautumisen yhteydessä. Koodi vanhenee 30 sekunnissa, mikä vaikeuttaa huijaamista.

• Plussaa: ei verkkoyhteyttä, koodit vain hetken voimassa, sovellus ilmainen.
• Miinusta: jos menetät puhelimesi etkä ole tallentanut varmuuskoodeja, pääsy voi estyä.

Push-ilmoitukset

Sovelluspohjaiset push-ilmoitukset, kuten Microsoft Authenticatorin tai Duo Mobilen push, lähettävät puhelimeesi ilmoituksen, jossa hyväksyt kirjautumisen yhdellä napautuksella. Tämä on kätevä ja hyvin turvallinen, koska se vaatii fyysisen pääsyn laitteeseesi ja ilmoittaa myös epäilyttävistä kirjautumisista.

Fyysiset turva-avaimet (U2F/FIDO2)

USB- tai NFC-liitännäinen turva-avain, kuten YubiKey, tarjoaa tällä hetkellä parhaan suojan. Se käyttää julkisen avaimen salausta ja on immuuni tietojenkalastelulle, koska se varmistaa, että yhteys on oikeaan palveluun. Turva-avain on suositeltava vaihtoehto yrityksille ja henkilöille, jotka haluavat huipputason turvaa. Hyökkääjä ei voi saada koodia, koska se ei liiku verkon yli – ainoastaan oikea palvelu pystyy kommunikoimaan avaimen kanssa. Hinta on yleensä 20–50 euroa, ja avain kannattaa hankkia kaksi kappaletta (yksi varalle).

Biometriset tunnistuskeinot

Sormenjälki, kasvontunnistus tai iiriksen skannaus toimivat usein laitteen lukituksena ja voivat olla osa 2FA-prosessia (esim. sormenjälki + salasana). Nämä ovat käteviä, mutta niitä ei kannata käyttää ainoana suojana, koska biometriset tiedot voivat olla vaikeampia vaihtaa vuodon sattuessa.

Miten kaksivaiheinen tunnistautuminen suojaa sinua identiteettivarkaudelta?

Identiteettivarkaus voi alkaa yhdestä murretusta tilistä. Hyökkääjä saattaa kaapata sähköpostisi, tilata tuotteita nimissäsi tai anastaa arkaluonteisia asiakirjoja. Kun otat käyttöön 2FA:n, teet huomattavasti vaikeammaksi urkkia tilejäsi, vaikka salasana olisi paljastunut. Esimerkiksi:

• Sähköpostitilisi murtaminen ei onnistu ilman puhelintasi, vaikka tuntisivat salasanasi.
• Verkkokaupan ostokset tai pankkisiirrot pysähtyvät, koska toista vaihetta ei voida hyväksyä.
• Huijausviestien lähettäminen ystävillesi estyy, koska tili pysyy lukittuna.

Jos haluat lisätä tietoturvaasi kokonaisvaltaisesti, lue oppaamme miten voit suojautua identiteettivarkaudelta.

Kaksivaiheisen tunnistautumisen käyttöönotto askel askeleelta

Useimmat verkkopalvelut tekevät 2FA:n aktivoimisesta helppoa. Alla ohjeet kolmeen suosittuun palveluun – toimi samoin muissa käyttämissäsi palveluissa.

Facebook

1. Kirjaudu Facebook-tilillesi ja avaa Asetukset ja yksityisyys → Asetukset.
2. Valitse vasemmalta Turvallisuus ja kirjautuminen.
3. Vieritä kohtaan ”Kaksivaiheinen tunnistautuminen” ja napsauta Muokkaa.
4. Valitse haluamasi menetelmä: Tekstiviesti (SMS) tai Tunnistussovellus. Suosittelemme tunnistussovellusta, esim. Google Authenticator tai Duo Mobile.
5. Jos valitset tunnistussovelluksen, skannaa näytölle ilmestyvä QR-koodi ja syötä sovelluksen antama koodi vahvistukseksi.
6. Kun olet valmis, tallenna asetukset. Jatkossa sinulta pyydetään koodi aina, kun kirjaudut uudella laitteella.

Google

1. Kirjaudu Google-tilillesi ja siirry osoitteeseen myaccount.google.com.
2. Napsauta Tietoturva-välilehteä.
3. Etsi kohta ”Kirjautuminen Googleen” ja valitse Kaksivaiheinen vahvistus → Aloita.
4. Syötä puhelinnumerosi ja valitse, haluatko vahvistuskoodit tekstiviestillä vai puhelulla. Myöhemmin voit lisätä tunnistussovelluksen tai turva-avaimen.
5. Lataa halutessasi Google Authenticator ja skannaa QR-koodi. Voit myös käyttää muita TOTP-sovelluksia.
6. Vahvista koodilla ja ota 2FA käyttöön.

Instagram

1. Avaa Instagram-sovellus ja siirry profiiliisi.
2. Napauta valikkoa (kolme viivaa) oikeassa yläkulmassa ja valitse Asetukset.
3. Napauta Tili → Kaksivaiheinen tunnistautuminen.
4. Valitse Turvakoodi-sovellus (suositeltava) tai Tekstiviesti.
5. Seuraa näytön ohjeita skannataksesi QR-koodin tai syöttääksesi puhelinnumerosi.
6. Jatkossa sinua pyydetään syöttämään koodi uusilla laitteilla.

Muista pitää tunnistussovellus ja puhelinnumerosi turvassa. Voit ladata sovelluksen varalaitteelle tai tallentaa varmuuskoodit talteen.

Mitä tehdä, jos puhelin katoaa tai 2FA-laite ei toimi?

Kaksivaiheisen tunnistautumisen käyttöönotossa on aina hyvä varautua poikkeustilanteisiin. Useimmat palvelut antavat käyttöösi varmuuskoodeja (backup codes) – tulosta nämä tai tallenna ne salaiseen paikkaan, esimerkiksi lukittuun muistikirjaan. Voit myös lisätä useita toisen vaiheen menetelmiä: vaikka puhelimesi hajoaisi, voit käyttää varapuhelimeen asennettua sovellusta tai turva-avainta. Microsoft Authenticator ja jotkut muut sovellukset mahdollistavat varmuuskopioinnin pilveen, josta voit palauttaa tilit uuteen laitteeseen. Jos olet jo menettänyt pääsyn tiliisi, ota yhteys palvelun asiakastukeen – varaudu todistamaan henkilöllisyytesi.

Usein kysytyt kysymykset

Onko kaksivaiheinen tunnistautuminen pakollinen?

Ei, mutta se on erittäin suositeltavaa kaikille tileille, joilla on henkilökohtaisia tai taloudellisia tietoja. Monet palvelut, kuten Google ja pankit, ohjaavat sinut ottamaan sen käyttöön.

Voiko 2FA:n ohittaa?

Ammattitaitoiset hyökkääjät voivat yrittää phishing-hyökkäyksiä, joissa he huijaavat sinut antamaan 2FA-koodisi. Siksi on tärkeää syöttää koodi vain aidolle kirjautumissivulle ja käyttää tarvittaessa turva-avainta, joka estää phishingin täysin.

Mitä teen, jos puhelimeni, johon olen asentanut tunnistussovelluksen, katoaa?

Käytä varmuuskoodeja, jotka sait 2FA:ta aktivoidessasi. Jos niitä ei ole, ota yhteys palvelun tukeen. Suosittelemme aina aktivoimaan 2FA:n useammalla laitteella ja tallentamaan varmuuskoodit turvallisesti.

Onko tekstiviestitse lähetetty 2FA turvallinen?

Tekstiviesti on parempi kuin ei 2FA:ta lainkaan, mutta se on alttiimpi hyökkäyksille kuin sovelluspohjaiset tai fyysiset tunnisteet. Jos mahdollista, käytä mieluummin tunnistussovellusta tai push-ilmoituksia.

Voinko käyttää samaa tunnistussovellusta monelle eri palvelulle?

Kyllä, useimmat tunnistussovellukset (esim. Google Authenticator, Microsoft Authenticator, Authy) tukevat useita tilejä. Voit lisätä niihin rajattomasti QR-koodeja eri palveluista.

Yhteenveto

Kaksivaiheinen tunnistautuminen on vaivaton ja ilmainen keino moninkertaistaa verkkotiliesi turvallisuus. Se ei poista kaikkia riskejä, mutta hidastaa ja torjuu valtaosan hyökkäyksistä. Aloita aktivoimalla 2FA tärkeimpiin tileihisi – sähköpostiisi, sometilillesi ja pankkipalveluihin – jo tänään. Pieni vaiva voi säästää sinut suurilta ongelmilta.

Oliko tästä hyötyä? Jaa artikkeli ystävällesi, jotta useampi suojaisi tilinsä! Lue seuraavaksi: Miten voin suojautua identiteettivarkaudelta?