FiComin lausunto tulkintamuistiosta vahvan ja heikon sähköisen tunnistuspalvelun eriyttämisestä
Liikenne- ja viestintävirasto on pyytänyt FiComilta lausuntoa muistioluonnoksesta, joka koskee vahvan ja heikon sähköisen tunnistuspalvelun eriyttämistä. Muistiossa esitellyt näkemykset ovat lähtökohtaisesti kannatettavia, mutta FiCom kiinnittää vielä erityisesti huomiota seuraavaan:
On ensiarvoisen tärkeää, että tunnistusmenetelmien käyttäjät ja tunnistukseen luottavat osapuolet voivat selkeästi erottaa vahvan ja heikon sähköisen tunnistuksen toisistaan. Heikon tunnistuksen tarjonta ei saa heikentää teknisesti vahvan sähköisen tunnistusjärjestelmän toteutusta. Loppukäyttäjän on tiedettävä, onko kyse vahvasta sähköisestä tunnistautumisesta vai palveluun kirjautumisesta.
Virasto arvioi muistioluonnoksessaan, että vahvassa ja heikossa tunnistusmenetelmässä on aina mahdollista käyttää erilaista tiedossa oloon perustuvaa todentamistekijää (esimerkiksi PIN-koodi tai muu salasana). Saman todentamistekijäluokan todentamistekijöiden käyttö olisi siis hyväksyttävää. Tunnistusvälineen tarjoajan tulisi muistioluonnoksen mukaan kuitenkin teknisesti estää saman todentamistekijän (sama PIN-koodi tai salasana) käyttö silloin, kun heikkoa ja vahvaa tunnistusta tarjotaan esimerkiksi samalla tunnistussovelluksella.
Linjauksen tavoite on hyvä, mutta uhkana on arjen tietoturvan vaarantuminen. Nykyään kansalaisilla on eri palveluihin lukuisia erilaisia salasanoja, mikä on ongelma sekä tietoturvan että käytettävyyden kannalta. Sähköisten palveluiden käyttäjillä on haasteita salasanojensa muistamisessa, joten muistaakseen esimerkiksi saman tunnistamismenetelmän kaksi erillistä tunnuslukua kuluttaja voi joutua turvautumaan muistilappuihin tai muihin tietoturvaa vaarantaviin apukeinoihin. Jokaisella kansalaisella tulisi olla omaan käyttöönsä parhaiten soveltuva tunnistautumistapa, jolloin erilaisiin salasanoihin perustuvia järjestelmiä ei tarvitsisi enää luoda.
Esimerkiksi nykyisen Mobiilivarmanteen aikana on opittu, että kaksi tunnuslukua on hankalampi kuin yksi. Maksukorteissa on vain yksi todennustekijä, tunnusluku, eikä sekaannuksia ole. Tilimaksujen vahvistuksia, verkkopankkikirjautumisia sekä lain mukaisia vahvoja tunnistamisia voi nykyäänkin tehdä ongelmattomasti samalla todennustekijällä huolimatta tapahtumien eriluonteisuudesta tai niihin kohdentuvasta sektorikohtaisesta sääntelystä ja vaatimuksista.
Liikenne- ja viestintäviraston tulee samaan tietoon perustuvan todentamistekijän käyttöä linjatessaan huomioida myös käytännön kokemukset sekä loppukäyttäjien arjen tietoturva.