Biometrinen tunnistautuminen ja vahva asiakastunnistaminen (SCA) digitaalisissa transaktioissa

Vahvan asiakastunnistamisen perusteet

Toinen maksupalveludirektiivi (PSD2) edellyttää vahvaa asiakkaan tunnistamista (Strong Customer Authentication, SCA), kun maksaja käyttää maksutiliään verkossa, käynnistää sähköisen maksutapahtuman tai tekee etäkanavassa toimenpiteen, johon voi liittyä petoksen riski. Vahva tunnistaminen perustuu vähintään kahteen tekijään kolmesta luokasta:

Tieto – jotain, minkä vain käyttäjä tietää, kuten PIN-koodi tai salasana.
Hallussapito – jotain, mitä vain käyttäjällä on, kuten laite tai siihen sidottu sovellus.
Biometrinen ominaisuus – jotain, mitä käyttäjä on. PSD2:n 4 artiklan 30 kohta määrittelee tämän luokan osaksi vahvaa tunnistamista.

Tekijöiden on oltava toisistaan riippumattomia: yhden tekijän vaarantuminen ei saa heikentää muiden luotettavuutta. Tekniset yksityiskohdat on määritelty komission delegoidussa asetuksessa (EU) 2018/389, jota kutsutaan yleisesti SCA-sääntelystandardiksi (RTS). Sen 5 artikla edellyttää etämaksuissa dynaamista linkitystä: tunnistautumiskoodin on oltava sidottu tiettyyn summaan ja maksunsaajaan.

Biometriikasta on tullut vahvan tunnistamisen arkea, koska älypuhelimen sormenjälki- tai kasvontunnistus on käyttäjälle nopea ja tuttu. Teknisesti olennaista on kuitenkin ymmärtää, mitä biometrinen tunnistus todella todistaa ja miten se yhdistetään hallussapitotekijään.

EBA:n tulkinta tunnistautumistekijöistä

Euroopan pankkiviranomainen (EBA) julkaisi 21.6.2019 lausunnon vahvan asiakastunnistamisen tekijöistä. Lausunnossa annetaan esimerkkejä siitä, mitkä menetelmät voivat täyttää kunkin tekijäluokan vaatimukset ja mitkä eivät.

Tekijäluokka	Esimerkkejä, jotka voivat täyttää vaatimuksen	Esimerkkejä, jotka eivät täytä vaatimusta
Biometrinen ominaisuus	Sormenjälki, kasvojen geometria, ääni, iiris- ja verkkokalvotunnistus, näppäilydynamiikka sekä käyttäytymispiirteet, kuten kulma, jossa laitetta pidetään	EMV 3-D Secure -protokollan kautta välitetty tieto sellaisenaan
Hallussapito	Sovelluksen tai selaimen sitominen laitteeseen turvasirun tai yksityisen avaimen avulla, kertakäyttöisten koodien generaattorit sekä laitteen tuottamat allekirjoitukset	Pelkkä laitteeseen asennettu sovellus ilman luotettavaa sidontaa, kortin painetut tiedot
Tieto	Salasana, PIN-koodi, muistettu pyyhkäisykuvio	Sähköpostiosoite tai käyttäjätunnus

Lausunnosta on syytä nostaa esiin kaksi käytännön kannalta tärkeää huomiota. Ensinnäkin pelkkä sovelluksen asentaminen laitteeseen ei vielä tee siitä hallussapitotekijää; hallussapito on voitava todentaa luotettavasti, esimerkiksi laitteeseen sidotun salausavaimen avulla. Toiseksi muistettu pyyhkäisykuvio luetaan tietotekijäksi, vaikka se syötetään kosketusnäytöllä.

Miten laitekohtainen biometriikka toimii

Nykyaikaisissa puhelimissa ja tietokoneissa biometrinen tunnistus tapahtuu tavallisesti kokonaan laitteen sisällä. Biometrinen malli eli sormenjäljestä tai kasvoista muodostettu vertailutieto tallennetaan laitteen suojattuun laitteistoon, kuten erilliseen turvaprosessoriin tai TPM-piiriin. Malli ei poistu laitteesta, eikä palveluntarjoaja saa sitä käyttöönsä.

Kun käyttäjä tunnistautuu, laite vertaa havaittua ominaisuutta tallennettuun malliin. Onnistunut vertailu ei sinänsä lähetä palveluntarjoajalle mitään biometristä tietoa, vaan se avaa käyttöön yksityisen avaimen, joka on tallennettu samaan suojattuun ympäristöön. Avaimella allekirjoitetaan palveluntarjoajan lähettämä haaste, ja palveluntarjoaja tarkistaa allekirjoituksen etukäteen rekisteröidyllä julkisella avaimella.

Tässä mallissa yksi käyttäjän ele yhdistää kaksi tekijää: biometrinen tunnistus toimii biometrisenä tekijänä ja laitteeseen sidottu yksityinen avain hallussapitotekijänä. Tekijöiden riippumattomuus perustuu siihen, että avaimen käyttö edellyttää sekä fyysistä laitetta että onnistunutta biometristä vertailua.

Biometrinen vertailu on aina todennäköisyyteen perustuvaa. Tunnistimen asetuksissa tasapainotetaan väärien hyväksyntöjen ja väärien hylkäysten välillä: tiukka raja vähentää väärinkäytön riskiä mutta lisää tilanteita, joissa oikea käyttäjä ei tule tunnistetuksi. Lisäksi biometriikkaan voidaan yrittää kohdistaa huijausyrityksiä, kuten jäljennettyjä sormenjälkiä tai valokuvia. Nykyaikaisissa tunnistimissa käytetään näitä vastaan niin sanottua esityshyökkäysten tunnistusta (presentation attack detection), joka pyrkii erottamaan elävän käyttäjän jäljitelmästä. Koska biometrinen tunnistus voi epäonnistua, laitteet tarjoavat yleensä varamenetelmäksi PIN-koodin tai salasanan. Palveluntarjoajan on tärkeää tietää, että tällöin avain avataan tietotekijällä eikä biometrisellä tekijällä. Tämä ei heikennä vahvaa tunnistamista, kunhan kaksi riippumatonta tekijää täyttyy.

Arkkitehtuurihuomio

Palveluntarjoaja ei näe, millä menetelmällä käyttäjä avasi avaimen. Siksi on tärkeää tarkistaa allekirjoituksen mukana tuleva tieto käyttäjän varmennuksesta sekä tarvittaessa laitteen ominaisuuksia kuvaava varmenne (attestation).

FIDO2 ja WebAuthn

FIDO2 on avointen standardien kokonaisuus, joka koostuu W3C:n Web Authentication -määrittelystä (WebAuthn) ja FIDO Alliancen Client to Authenticator Protocol -protokollasta (CTAP). WebAuthn määrittelee, miten verkkopalvelu ja selain keskustelevat tunnistautumisesta, ja CTAP sen, miten selain tai käyttöjärjestelmä keskustelee tunnistimen, kuten puhelimen tai turva-avaimen, kanssa.

FIDO2:n keskeiset turvallisuusominaisuudet ovat:

Julkisen avaimen salaus. Palvelimelle tallennetaan vain julkinen avain. Tietomurto palvelimella ei paljasta mitään, millä käyttäjänä voisi tunnistautua.
Sidonta alkuperään. Avainpari luodaan tiettyä verkkopalvelua varten, ja selain sitoo allekirjoituksen palvelun alkuperään. Tämän vuoksi tunnistautumista ei voi kierrättää väärennetyn sivuston kautta, mikä tekee menetelmästä kalastelunkestävän.
Käyttäjän varmennus. Tunnistimen vastaukseen sisältyy tieto siitä, varmennettiinko käyttäjä esimerkiksi biometrisesti tai PIN-koodilla (user verification).
Varmenne laitteesta. Rekisteröinnin yhteydessä tunnistin voi toimittaa varmenteen (attestation), jonka avulla palveluntarjoaja voi arvioida tunnistimen tyyppiä ja suojaustasoa.

FIDO2-käytössä on kaksi vaihetta. Rekisteröinnissä tunnistin luo palvelua varten uuden avainparin ja palauttaa julkisen avaimen, jonka palveluntarjoaja liittää käyttäjän tiliin. Tunnistautumisessa palveluntarjoaja lähettää satunnaisen haasteen, tunnistin allekirjoittaa sen yksityisellä avaimella ja palveluntarjoaja tarkistaa allekirjoituksen. Rekisteröinti kannattaa tehdä vasta, kun käyttäjä on tunnistettu vahvasti jollakin olemassa olevalla menetelmällä, jotta uusi tunnistusväline ei päädy väärälle henkilölle.

Pääsyavaimet (passkeys) ja hallussapitotekijä

Pääsyavaimet (passkeys) ovat FIDO-pohjaisia tunnistetietoja, jotka on suunniteltu korvaamaan salasanoja. Niistä on kaksi päätyyppiä:

Laitteeseen sidotut pääsyavaimet, joiden yksityinen avain ei koskaan poistu yhdestä laitteesta tai turva-avaimesta.
Synkronoidut pääsyavaimet, jotka kopioidaan käyttäjän laitteiden välillä alustan pilvipalvelun kautta.

Laitteeseen sidottu avain vastaa selvästi EBA:n kuvausta hallussapitotekijästä, jossa sovellus tai selain on sidottu laitteeseen yksityisen avaimen avulla. Synkronoitujen pääsyavaimien kohdalla tilanne on monimutkaisempi, koska sama avain voi olla käytettävissä useassa laitteessa. Se, täyttääkö synkronoitu pääsyavain hallussapitotekijän vaatimukset, on tulkintakysymys, jonka maksupalveluntarjoaja arvioi oman riskiarvionsa perusteella ja tarvittaessa yhdessä valvojan kanssa. Usein synkronoitua avainta täydennetään laitesidonnalla tai muilla riskisignaaleilla.

Dynaaminen linkitys ja maksun vahvistaminen

Pelkkä tunnistautuminen ei riitä etämaksuun. SCA-sääntelystandardin 5 artiklan mukaan maksajan on oltava tietoinen summasta ja maksunsaajasta, tunnistautumiskoodin on oltava niihin sidottu, ja summan tai maksunsaajan muuttuminen mitätöi koodin.

WebAuthnin avulla dynaaminen linkitys voidaan toteuttaa niin, että palveluntarjoaja muodostaa haasteen, johon on sidottu maksun tiedot, kuten summa, valuutta ja maksunsaaja. Kun tunnistin allekirjoittaa haasteen, allekirjoitus koskee juuri tätä maksua. Jos joku yrittää käyttää allekirjoitusta toisella summalla tai toiselle maksunsaajalle, tarkistus epäonnistuu.

W3C:n Secure Payment Confirmation -määrittely laajentaa tätä ajatusta: selain näyttää käyttäjälle maksun tiedot omassa, verkkosivusta riippumattomassa näkymässään ennen allekirjoitusta, ja maksun tiedot sisällytetään allekirjoitettavaan aineistoon. Korttimaksuissa vastaavia periaatteita sovelletaan EMV 3-D Secure -kehyksen yhteydessä. Lue lisää tunnistautumisvirroista teknologia-alueelta Turvalliset tunnistautumisprotokollat.

Mitä maksupalveluasetus muuttaa

Tuleva maksupalveluasetus (PSR) siirtää vahvan tunnistamisen säännöt suoraan sovellettavaan asetukseen. Huhtikuussa 2026 julkaistun kompromissitekstin perusteella muutokset koskevat erityisesti saavutettavuutta ja ulkoistusta:

Maksupalveluntarjoajien on tarjottava useita maksuttomia tunnistautumistapoja, jotka soveltuvat myös henkilöille, joilla on vamma, rajalliset digitaidot tai ei älypuhelinta.
Tunnistautuminen ei saa riippua yhdestä ainoasta laitteesta tai teknologiasta, ellei käyttäjä ole siihen suostunut.
Kahden biometrisen tekijän yhdistelmä hyväksytään, jos niiden riippumattomuus voidaan osoittaa valvovalle viranomaiselle.
Maksupalveluntarjoajan on tehtävä kirjallinen sopimus teknisen palveluntarjoajan kanssa, joka toteuttaa vahvan tunnistamisen sen puolesta.

Lopulliset velvoitteet ja soveltamisajankohdat riippuvat asetuksen virallisesta hyväksynnästä ja julkaisusta. Laajempi katsaus uudistukseen on oppaassa PSD3 ja avoin pankkitoiminta.

Tietosuoja, saavutettavuus ja toteutuksen tarkistuslista

GDPR:n 9 artiklan mukaan biometriset tiedot ovat erityisiä henkilötietoryhmiä silloin, kun niitä käsitellään henkilön yksilöimiseksi. Laitekohtaisessa mallissa, jossa vertailu tehdään käyttäjän laitteessa eikä palveluntarjoaja vastaanota biometristä mallia, palveluntarjoajan oma biometristen tietojen käsittely jää vähäiseksi tai puuttuu kokonaan. Arvio on kuitenkin tehtävä tapauskohtaisesti, ja laajamittaisessa käsittelyssä suositellaan tietosuojaa koskevaa vaikutustenarviointia. Katso myös opas Rahoitustietojen tietosuoja avoimessa pankkitoiminnassa.

Saavutettavuus on yhtä tärkeä suunnittelukysymys. Kaikki käyttäjät eivät pysty tai halua käyttää biometriikkaa, ja biometrinen tunnistus voi epäonnistua esimerkiksi vamman tai ympäristöolosuhteiden vuoksi. Siksi jokaiselle biometriselle polulle tarvitaan tasavertainen vaihtoehto.

Sido avaimet laitteeseen ja tarkista käyttäjän varmennusta koskeva tieto jokaisessa tunnistautumisessa.
Sisällytä summa, valuutta ja maksunsaaja allekirjoitettavaan haasteeseen ja näytä ne käyttäjälle ennen hyväksyntää.
Määrittele kanta synkronoituihin pääsyavaimiin ja dokumentoi riskiarvio.
Tarjoa vähintään yksi tunnistautumistapa, joka ei edellytä älypuhelinta.
Suunnittele hallittu palautumispolku laitteen katoamisen tai vaihtamisen varalle.
Tee tietosuojaa koskeva vaikutustenarviointi ja kirjaa, missä biometrinen vertailu tapahtuu.
Laadi kirjalliset sopimukset tunnistautumisen teknisten palveluntarjoajien kanssa.

Lähteet ja lisälukemista

Vastuuvapaus

Opas on laadittu huolellisesti julkisten lähteiden pohjalta, mutta sääntely ja palveluiden ominaisuudet muuttuvat. Tarkista ajantasaiset tiedot aina virallisista lähteistä ja palveluntarjoajien omasta dokumentaatiosta. Korjausehdotukset: support@brevixoo.com.