7 käyttäjäystävällistä tapaa toteuttaa verkkopalveluun kirjautuminen

22 helmi 2017 • Teknologia ja digitaalinen kehitys

Päivitetty elokuussa 2026. Artikkeli on julkaistu alunperin helmikuussa 2017, ja menetelmät sekä turvallisuusarviot on päivitetty vastaamaan nykytilaa.

Salasana on yhä yleisin tapa kirjautua verkkopalveluun, ja samalla se on heikoin. Salasanoja unohdetaan, kierrätetään palvelusta toiseen ja kalastellaan, ja jokainen näistä on palveluntarjoajan ongelma yhtä lailla kuin käyttäjän. Alle on koottu seitsemän vaihtoehtoa käyttäjätunnuksen ja salasanan yhdistelmälle sekä se, mihin kukin niistä sopii.

Lyhyt vastaus: jos rakennat kirjautumista tänään, aloita passkeystä. Se on tämän listan ainoa menetelmä, joka on rakenteeltaan kalastelunkestävä, koska tunnus on sidottu palvelun verkkotunnukseen eikä sitä voi syöttää väärennetylle sivulle. Muut menetelmät ovat käyttökelpoisia rinnalla, varareittinä tai silloin, kun käyttäjäkunta ei vielä ole passkeyn ulottuvilla.

Hyvä käyttäjäkokemus rakennetaan oletuksella, että loppukäyttäjän kärsivällisyys on mitätön ja hän on olemukseltaan laiska ja ärsyyntynyt.

Verkkopalvelua suunniteltaessa käyttäjän tunnistaminen on harvoin pelkkä tekninen valinta. Se ratkaisee, kuinka moni aloittaa käytön ja kuinka moni jää oven taakse. Siksi kirjautumistapa kannattaa valita samalla vakavuudella kuin mikä tahansa muu palvelun ydintoiminto.

Toisen palvelun kautta kirjautuminen

Toisen palvelun tunnuksilla kirjautuessaan käyttäjä todentaa itsensä Googlelle, Applelle tai Microsoftille, ja palvelu luottaa siihen todennukseen. Taustalla on OpenID Connect -protokolla, joka on rakennettu OAuth 2.0:n päälle. Käyttäjä säästyy uudelta tunnukselta ja palvelu saa käyttöönottoon esitäytettyjä tietoja.

Verkkopalvelun omistajalle tämä alentaa kirjautumiskynnystä. Käyttäjä hyväksyy sen, kunhan liitos ei kerää profiilista enempää kuin palvelu tarvitsee eikä julkaise mitään hänen puolestaan. Kolme asiaa kannattaa ratkaista ennen käyttöönottoa: mitä tapahtuu, jos käyttäjä menettää pääsyn taustatiliinsä, miten sama ihminen tunnistetaan, jos hän kirjautuu ensin Googlella ja seuraavalla kerralla Applella, ja kuka omistaa asiakassuhteen, kun tunnistus on ulkoistettu.

Facebook-kirjautuminen oli tämän mallin esimerkki kymmenen vuotta sitten. Nykyään painopiste on Applen, Googlen ja Microsoftin tunnuksissa.

Tekstiviestisalasana

Tekstiviestisalasana on kertakäyttökoodi, jonka palvelu lähettää käyttäjän puhelinnumeroon. Käyttäjä syöttää numeronsa, saa tekstiviestillä esimerkiksi kuusinumeroisen koodin ja on sen jälkeen sisällä. Malli on tuttu WhatsAppin ja vastaavien sovellusten käyttöönotosta, ja sen etu on kiistaton: käyttäjän ei tarvitse muistaa mitään.

Turvallisuus on kuitenkin arvioitu uudelleen. Yhdysvaltain standardointi-instituutti NIST luokittelee tekstiviestin rajoitetuksi todennusmenetelmäksi ohjeessaan SP 800-63B, koska puhelinnumero on siirrettävissä toiselle SIM-kortille ja koodin voi kalastella samalla tavalla kuin salasanan. Hyökkäys ei siis vaadi murtautumista palveluun vaan puhelinliittymän haltuunottoa.

Tekstiviestikoodi on parempi kuin pelkkä salasana mutta heikoin nykyisistä kaksivaiheisista menetelmistä. Jos se otetaan käyttöön, se kannattaa tarjota varareittinä eikä ensisijaisena tapana. Samalla lähettävän viestipalvelun toimintavarmuudesta tulee osa palvelun käyttökokemusta.

Kertakäyttölinkit

Kertakäyttölinkki eli magic link on sähköpostiin lähetettävä kirjautumislinkki, jota klikkaamalla istunto avautuu. Malli on sama kuin salasanan palautuksessa sillä erotuksella, ettei käyttäjän tarvitse asettaa uutta salasanaa. Kertakäyttölinkin turvallisuus nojaa oletukseen, että käyttäjä on jo kirjautunut yhteen palveluun: omaan sähköpostiinsa.

Oletus on samalla mallin heikkous. Sähköpostitilin haltuunotto avaa kaikki kertakäyttölinkeillä toimivat palvelut, ja linkkejä voi kalastella aivan kuten koodejakin. Linkin voimassaoloaika kannattaa pitää minuuteissa, kertakäyttöisyys varmistaa palvelimella ja kirjautuminen sitoa samaan selaimeen, josta pyyntö lähti.

Laajennuksena tähän on sähköpostiosoitteiden sallimislista. Palvelun omistaja määrittää, mitkä osoitteet tai verkkotunnukset voivat kirjautua, eikä rekisterin ulkopuolinen osoite pääse sisään. Tämä toimii palveluissa, joiden käyttäjäkunta tiedetään etukäteen eikä uusia käyttäjiä hyväksytä ilman erillistä hyväksyntää.

Sovelluksen kautta todentaminen

Sovelluksella todentamisessa erillinen sovellus vahvistaa kirjautumisen. Tuttuja esimerkkejä ovat pankkien tunnuslukusovellukset ja yleiskäyttöiset todennussovellukset, jotka näyttävät 30 sekunnin välein vaihtuvan kertakäyttökoodin. Se on standardoitu nimellä TOTP. Fyysisiä avainlukulistoja ei tarvitse kantaa mukana, ja koodi syntyy laitteessa ilman verkkoyhteyttä.

Menetelmä on selvästi tekstiviestiä turvallisempi, koska koodi ei kulje puhelinverkon kautta eikä numeron kaappaus riitä. Kalastelulta se ei silti suojaa: käyttäjä voi syöttää koodin väärennetylle sivulle yhtä hyvin kuin oikealle. Push-hyväksyntään perustuvissa sovelluksissa vastaava riski on hyväksymisväsymys, jossa käyttäjä painaa hyväksy-painiketta vain päästäkseen eroon ilmoituksista.

Varjopuolena on erillisen sovelluksen hankkiminen ja käyttöönotto, minkä takia tähän ei kannata siirtyä kertasysäyksellä. Vaihtoehtoisia kirjautumistapoja kannattaa tarjota useampi kuin yksi ja huolehtia siitä, että käyttäjä pääsee takaisin sisään myös laitteen vaihtuessa.

Mobiilivarmenne

Mobiilivarmenne on operaattorin myöntämä henkilövarmenne, joka sijaitsee SIM-kortilla. Käyttäjä tunnistautuu puhelinnumerolla ja omalla PIN-koodillaan. Mobiilivarmenne kuuluu Suomen vahvan sähköisen tunnistamisen luottamusverkostoon, jota Liikenne- ja viestintävirasto Traficom valvoo, eli se on pankkitunnusten rinnakkainen vaihtoehto samoihin käyttötapauksiin.

Käyttöönotto vaatii käyttäjältä rekisteröitymisen operaattorille, ja se on tämän mallin selvin kynnys: pankkitunnukset ovat useimmilla valmiina, mobiilivarmenne ei. Palvelun näkökulmasta näiden välillä ei kuitenkaan tarvitse valita. Vahva tunnistautuminen ostetaan tavallisesti yhden tunnistusvälittäjän kautta, jolloin sekä pankkitunnukset että mobiilivarmenne tulevat samalla integraatiolla.

Vahva tunnistautuminen oikea valinta silloin, kun palvelussa käsitellään henkilötietoja, sopimuksia tai rahaa. Parempia tapoja löytyy, jos halutaan vain tietää, kuka käyttäjä on.

Sormenjälkitunnistus

Sormenjälki, kasvot tai muu biometrinen tunniste avaa laitteen ja laitteeseen tallennetun tunnuksen. Tärkein asia biometriikassa on tämä. Sormenjälki ei kulje palvelulle asti: tunnistemalli säilyy laitteen suojatussa piirissä, ja palvelu saa tietää ainoastaan, että laite hyväksyi käyttäjän.

Biometriikka toimii siis avaajana. Käytännössä se avaa passkeyn, todennussovelluksen tai tallennetun istunnon, ja turvallisuus riippuu siitä, mitä se avaa, ei sormenjäljestä itsestään.

Käyttäjäkokemuksena biometriikka on tämän listan paras, koska kirjautuminen kestää sekunnin eikä vaadi muistamista. Palvelun on silti tarjottava vaihtoehtoinen reitti sisään. Sormi voi olla kipsissä, laite voi vaihtua, eivätkä kaikki käyttäjät halua antaa biometrista tunnistetta lainkaan.

Passkey eli salasanaton kirjautuminen

Passkey on salasanan korvaava tunnus. Se koostuu laitteeseen tallennetusta salaisesta avaimesta ja palvelulle annetusta julkisesta avaimesta. Käyttäjä kirjautuu avaamalla laitteensa sormenjäljellä, kasvoilla tai PIN-koodilla. Salaista avainta ei lähetetä palvelulle, eikä sitä voi varastaa palvelun tietokannasta, koska sitä ei ole siellä. Taustalla ovat W3C:n WebAuthn-standardi ja FIDO Alliancen määrittelyt, ja Apple, Google ja Microsoft sitoutuivat tukemaan niitä yhteisellä ilmoituksella vuonna 2022.

Ratkaiseva ero muihin menetelmiin on kalastelunkestävyys. Passkey on sidottu siihen verkkotunnukseen, jolle se on luotu, joten sitä ei voi käyttää väärennetyllä sivulla edes silloin, kun käyttäjä erehtyy. Mikään muu tämän listan menetelmä ei anna samaa suojaa.

Käyttöönotossa ratkaistavia asioita on kaksi: miten käyttäjä luo passkeyn ensimmäisellä kerralla ja miten hän pääsee sisään laitteen vaihtuessa. Molemmat hoituvat sillä, että passkey synkronoituu käyttäjän salasanojenhallintaan tai käyttöjärjestelmän tiliin ja että palvelu sallii samalle tilille useamman passkeyn.

Verkkopalveluun kirjautuminen – Tulevaisuus?

Suunta on selvä. Salasana väistyy, ja tilalle tulee laitteeseen sidottu tunnus, jonka käyttäjä avaa biometriikalla. Sama muutos näkyy sääntelyssä. EU:n eIDAS 2 -asetus velvoittaa jäsenvaltiot tarjoamaan kansalaisilleen eurooppalaisen digitaalisen identiteettilompakon, jolla henkilöllisyyden ja yksittäisten tietojen todistaminen onnistuu ilman, että palvelu näkee enempää kuin tarvitsee.

Toinen kehityssuunta on tunnistamisen keskittyminen. Käyttäjätieto on arvokasta, ja Apple, Google ja Microsoft ohjaavat käyttäjiä omiin ekosysteemeihinsä myös kirjautumisen kautta. Palveluntarjoajan kannattaa tietää, mitä se ulkoistaa. Passkey on avoin standardi, jonka voi toteuttaa ilman riippuvuutta yhteen toimijaan, kun taas yhden alustan kirjautuminen sitoo asiakassuhteen tuon alustan ehtoihin.

Tietosuoja-asetus GDPR on ollut sovellettavana toukokuusta 2018 alkaen, ja se koskee myös kirjautumisdataa. Tunnistetiedot ovat henkilötietoja, ja niitä kerätään herkästi enemmän kuin palvelu tarvitsee. Olisiko siis aika tarkistaa, miten sinä tunnistat käyttäjäsi ja mitä keräät samalla?Olisiko siis aika tarkistaa, miten sinä tunnistat käyttäjäsi?