Turvalliset tunnistautumisprotokollat
Tunnistautuminen on maksuliikenteen luottamuksen perusta. Tämä alue käsittelee sekä loppukäyttäjän vahvaa tunnistamista että palveluntarjoajien välistä koneellista tunnistautumista avoimen pankkitoiminnan rajapinnoissa.
Kaksi tunnistautumisen tasoa
Maksupalveluissa tunnistaminen tapahtuu kahdella tasolla. Ensimmäinen taso on maksajan tunnistaminen: kun henkilö kirjautuu verkkopankkiin tai hyväksyy maksun, PSD2 edellyttää vahvaa asiakkaan tunnistamista (Strong Customer Authentication, SCA). Se perustuu vähintään kahteen toisistaan riippumattomaan tekijään kolmesta luokasta: tieto (esim. PIN-koodi), hallussapito (esim. puhelin tai turva-avain) ja biometrinen ominaisuus (esim. sormenjälki).
Toinen taso on palveluntarjoajien välinen tunnistautuminen. Kun maksutoimeksiantopalvelu tai tilitietopalvelu käyttää pankin rajapintaa, sen on todistettava henkilöllisyytensä ja toimilupansa. Euroopassa tämä tehdään eIDAS-asetuksen mukaisilla hyväksytyillä varmenteilla, ja valtuutus hoidetaan tyypillisesti OAuth 2.0 -pohjaisesti. Finanssialalla käytetään lisäksi OpenID Foundationin FAPI-profiileja, jotka kiristävät OAuthin turvallisuusvaatimuksia.
Suomessa pankkien tunnistusvälineillä on erityinen asema, koska niitä käytetään vahvana sähköisenä tunnistamisena myös julkisissa ja yksityisissä verkkopalveluissa. Sama tunnistusväline voi siis toimia sekä maksun hyväksymisessä että henkilöllisyyden todentamisessa, mikä tekee käyttäjäkokemuksesta sujuvan mutta korostaa välineen suojaamisen merkitystä.
Etämaksutapahtumissa tunnistautumiskoodin on oltava sidottu tiettyyn summaan ja maksunsaajaan. Jos kumpi tahansa muuttuu, koodi mitätöityy. Vaatimus perustuu delegoidun asetuksen (EU) 2018/389 artiklaan 5.
Tunnistautumisvirta maksutoimeksiannossa
Esimerkki uudelleenohjaukseen (redirect) perustuvasta mallista, joka on Euroopassa yleisin. Upotetussa ja irrotetussa (decoupled) mallissa vaiheet poikkeavat osin.
Palveluntarjoajan tunnistus
Maksutoimeksiantopalvelu muodostaa mTLS-yhteyden pankin rajapintaan ja esittää eIDAS-varmenteensa. Pankki tarkistaa toimiluvan ja roolin.
Toimeksiannon luonti
Palvelu lähettää maksutoimeksiannon tiedot: summa, valuutta, maksunsaajan nimi ja IBAN sekä viite.
Valtuutuspyyntö
Pankki palauttaa valtuutusosoitteen. FAPI-profiilissa pyyntö välitetään suojatusti (esim. PAR) ja sidotaan PKCE-arvolla.
Maksajan SCA
Maksaja tunnistautuu omassa pankissaan kahdella tekijällä ja näkee hyväksyttävän summan ja maksunsaajan.
Valtuutuskoodin vaihto
Palvelu vaihtaa kertakäyttöisen valtuutuskoodin lyhytikäiseen pääsytunnisteeseen, joka on sidottu asiakasvarmenteeseen.
Toteutus ja tila
Pankki toteuttaa maksun ja palauttaa tilan. Palvelu ilmoittaa lopputuloksen kauppiaalle allekirjoitetulla viestillä.
Missä vahvaa tunnistautumista tarvitaan
PSD2 määrittää tilanteet, joissa SCA vaaditaan, sekä poikkeukset, joita palveluntarjoaja voi soveltaa riskiperusteisesti.
Maksutilille kirjautuminen
SCA vaaditaan, kun maksaja käyttää maksutiliään verkossa.
Sähköisen maksun aloitus
Jokainen maksaja-aloitteinen sähköinen maksu edellyttää lähtökohtaisesti SCA:ta.
Riskialttiit toimenpiteet
Esimerkiksi uuden maksunsaajan lisääminen tai tunnistusvälineen vaihtaminen.
Luotetut maksunsaajat
Poikkeus, jossa maksaja on itse merkinnyt maksunsaajan luotetuksi pankissaan.
Tapahtumariskianalyysi
Poikkeus, jota voi soveltaa, kun palveluntarjoajan petosaste pysyy säädetyissä rajoissa.
Pienet etämaksut
Pienarvoisten maksujen poikkeus kumulatiivisin summa- ja lukumäärärajoin.
Tunnistautumisen uhkat ja vastatoimet
Tunnistautumiseen kohdistuvat hyökkäykset ovat siirtyneet teknisistä murroista yhä enemmän käyttäjän harhauttamiseen. Kontrollien on katettava molemmat.
| Riski | Kuvaus | Hallintakeino |
|---|---|---|
| Tietojenkalastelu | Käyttäjä ohjataan väärennetylle sivulle syöttämään tunnuksensa. | Sovelluspohjainen hyväksyntä, selkeä maksun yksityiskohtien näyttäminen ja käyttäjien valistus. |
| Istunnon kaappaus | Hyökkääjä käyttää varastettua pääsytunnistetta. | Varmenteeseen sidotut tunnisteet (mTLS) ja lyhyet voimassaoloajat. |
| Valtuutuskoodin sieppaus | Uudelleenohjauksessa koodi päätyy väärälle osapuolelle. | PKCE, tarkasti rekisteröidyt paluuosoitteet ja PAR. |
| SIM-vaihto | Puhelinnumero siirretään hyökkääjälle tekstiviestikoodien sieppaamiseksi. | Laitteeseen sidotut sovellusavaimet tekstiviestien sijaan. |
| Sosiaalinen manipulointi | Maksaja houkutellaan itse hyväksymään petollinen maksu. | Maksunsaajan varmennus, varoitukset ja käyttäytymiseen perustuva seuranta. |
- Delegoitu asetus (EU) 2018/389
- SCA-vaatimukset, poikkeukset ja turvallisen viestinnän periaatteet.
- OAuth 2.0 (RFC 6749) ja PKCE (RFC 7636)
- Valtuutuksen perusprotokolla ja koodinvaihdon suojaus.
- FAPI
- OpenID Foundationin finanssialan turvaprofiilit, jotka edellyttävät mm. lähettäjään sidottuja tunnisteita.
- eIDAS
- Asetus (EU) N:o 910/2014 ja sen muutokset: hyväksytyt varmenteet ja luottamuspalvelut.
Kysymyksiä: turvalliset tunnistautumisprotokollat
Onko tekstiviestikoodi riittävä SCA-tekijä?
Tekstiviesti voi toimia hallussapitotekijänä, mutta sitä pidetään heikompana kuin laitteeseen sidottua sovellusavainta, koska puhelinnumero voidaan kaapata. Monet pankit ovat siirtyneet sovelluspohjaisiin hyväksyntöihin.
Miksi palveluntarjoajat tarvitsevat eIDAS-varmenteita?
Pankin on voitava luotettavasti todentaa, että rajapintaa käyttävä taho on valtuutettu maksulaitos tai tilitietopalvelu. Hyväksytty varmenne sisältää tiedon toimiluvasta ja rooleista, joten pankki voi tarkistaa ne koneellisesti jokaisessa yhteydessä.
Mitä tarkoittaa irrotettu (decoupled) tunnistautuminen?
Irrotetussa mallissa maksaja ei siirry selaimessa pankin sivulle, vaan hyväksyy maksun erikseen esimerkiksi pankin mobiilisovelluksessa. Malli on käyttäjälle sujuva, mutta edellyttää luotettavaa tilan välitystä palveluiden välillä.
Poistaako SCA petokset kokonaan?
Ei. SCA vaikeuttaa merkittävästi tunnusten varastamiseen perustuvia petoksia, mutta ei estä tilanteita, joissa maksaja itse harhautetaan hyväksymään maksu. Tästä syystä sääntely painottaa nyt myös maksunsaajan varmennusta ja tapahtumaseurantaa.
Aiheeseen liittyvät
Muut teknologia-alueet ja tietopankin oppaat, jotka syventävät tätä kokonaisuutta.
Digitaalinen maksujenkäsittely
Maksun elinkaari aloituksesta selvitykseen: maksunvälittäjät, maksunkäsittelijät, tilisiirtopohjaiset maksut ja täsmäytys.
Lue lisää → Teknologia-alueTransaktioinfrastruktuuri
SEPA-maksujärjestelmät, TIPS ja RT1, ISO 20022 -sanomat, idempotenssi, saatavuus ja häiriönsietokyky.
Lue lisää → OpasAvoimen pankkitoiminnan verkostot Pohjoismaissa ja Baltiassa
Miten PSD2:n tilitietopalvelut ja maksutoimeksiantopalvelut toimivat käytännössä, millaisia rajapintastandardeja alueen pankit käyttävät ja miksi pankkitunnisteet ovat koko ekosysteemin keskiössä.
Lue opas →Puuttuuko jotain olennaista?
Ehdota aihetta tai lähetä korjaus. Päivitämme sisältöä sääntelyn ja standardien muuttuessa.