Pikaisesti ajateltuna vahva digitaalinen tunnistautuminen on nerokas idea: voidaan tunnistaa verkkoyhteyden takana oleva käyttäjä yhtä vahvasti kuin fyysisellä todistuksella paikan päällä, jolloin voidaan tehdä etänä merkittäviäkin oikeustoimia. Lainsäädäntö on kirjoitettu pitkälti niin, että vahvaan tunnistautumiseen voi epäilyksettä luottaa. Esimerkiksi eIDAS-asetus antaa sähköiselle allekirjoitukselle saman oikeusvoiman kuin notaarin tai todistajien vahvistamalle paperiallekirjoitukselle.
Vahvasta luottamuksesta ja turvallisuuslupauksista huolimatta saa mediasta lukea viikottain kuinka jonkun säästötili on tyhjennetty tai varoitetaan taas uudesta huijauksesta. Osa on varomattomuutta mutta osaan voi haksahtaa kokenutkin käyttäjä. Tekoälyn käyttö huijauksissa on nouseva trendi. Miten tässä näin on käynyt, miten varmennetusta digiasioinnista on tullut tällainen riski?
Ydinongelma on siinä, että perusoletukset vahvan tunnistautumisen taustalla eivät aina toteudu käytännössä. Tunnistautumiseen tarvittavien tekijöiden oletetaan olevan vain henkilön itsensä hallussa, mutta sosiaalisella manipuloinnilla ihminen houkutellaan luovuttamaan nämä hyökkäjän käyttöön tietämättään. Pahimmillaan hyökkääjä on voinut hankkia ketjutetun tunnistautumisvälineen kuten mobiilivarmenteen omaan käyttöönsä.
Taustalla vaikuttaisi olevan ajatusvirhe siitä, että vahva tunnistautuminen olisi analogista henkilöllisyyden todentamiseen passilla tai henkilökortilla. Pelkkä passi tai henkilökortti ei ole sama kuin todennettu henkilöllisyys vaan lisäksi tarvitaan visuaalinen tunnistus, vertailu asiakirjan valokuvaan. Vahvassa tunnistautumisessa ei ole vastinetta visuaaliselle tunnistamiselle.
Toisena heikkoutena on suorastaan epäinhimillinen vaatimus jatkuvasta huolellisuudesta. Tätä pahentaa se, että ihmisiä painostetaan pitämään puhelinta aina mukana ja toisaalta asentamaan puhelimeen mobiilipankki tai ‑varmenne. Kun aiemmin tärkeitä asioita on voinut hoitaa vain konttorissa virka-aikaan, nyt se käy helposti milloin ja missä tahansa.
Mitä sitten pitäisi korjata?
Ensinnäkin luottamusta vahvaan tunnistautumiseen olisi heikennettävä. Tärkeissä asioissa pitäisi edellyttää muitakin elementtejä ja etenkin ensiasioinnissa vaatia fyysistä asiointia. Luottamus olisi alennettava vastaavalle tasolle kuin brittien kaasulasku.
Toiseksi, vahvojen tunnistautumisvälineiden ketjuttamisesta olisi luovuttava. Tunnistautumisvälineen voisi saada vain fyysisellä tunnistaumisella.
Kolmanneksi, tunnistautumisvälineiden voimassaoloa olisi rajoitettava. Niiden ei pitäisi olla voimassa kovin pitkään taustalla olevaa fyysistä todistusta pidempään (esim. 6 kk yli voimassaoloajan). Käyttämättömien tunnistautumisvälineiden tulisi kuoleentua esim. 12-18 kk jälkeen.
Neljänneksi, ei-välttämätöntä vahvaa tunnistautumista olisi vähennettävä. Mitä useammin ja useammassa paikassa tunnistautumista edellytetään sitä helpompi on langeta erilaisiin huijauksiin. Esimerkiksi PSD2-direktiivin vaatimus vahvasta tunnistautumisesta on luonut markkinan väärennetyille sivustoille, joiden tarkoituksena on vain saada uhri kassalle tunnistautumaan. Käyttäjätunnus/salasana on aivan riittävä moneen paikkaan etenkin lisävarmennuksin, myös viranomaisasioinnissa.
Digiunelma on sirpaleina törmättyään reaalimaailman ilmiöihin. Olisi edesvastuutonta jatkaa digipainostusta ilman ilmeisten ongelmakohtien ratkaisua. Digiä ei ehkä pidä eikä voi nähdä fyysisen asioinnin korvaajana vaan pikemminkin sen täydentäjänä.
Marko Santala
Kirjoittaja on Effin jäsen.