Monivaiheinen tunnistautuminen (MFA) on yksi nykyhetken tärkeimmistä tietoturvatoimenpiteistä, ja sen merkitys kasvaa jatkuvasti. Tilimurtojen ja sitä kautta tietoturvaloukkausten määrä on noussut viime vuosina voimakkaasti, ja valtaosa hyökkäyksistä kohdistuu käyttäjätileihin, joiden suojaus perustuu pelkkään salasanaan. 

Organisaatiot, palveluntarjoajat ja viranomaiset – kuten NIST ja CISA korostavat monivaiheisen tunnistautumisen käyttöä kaikilla tileillä, joissa käsitellään henkilökohtaisia tai arkaluontoisia tietoja. NIST kehittää yleisiä kyberturvallisuusstandardeja (kuten viitekehyksiä), joita CISA käyttää aktiivisesti suojellessaan Yhdysvaltain kriittistä infrastruktuuria kyberuhkilta.

Tässä asiantuntijaoppaassa käymme läpi, mitä monivaiheinen tunnistautuminen tarkoittaa, miten se eroaa kaksivaiheisesta tunnistautumisesta (2FA), miten MFA otetaan käyttöön vaiheittain ja millaiset monivaiheisen tunnistautumisen menetelmät ovat turvallisimpia. Artikkeli perustuu tarkkaan valittuihin luotettaviin tietoturvalähteisiin ja tietoturva-asiantuntijan neuvoihin.

Mitä monivaiheinen tunnistautuminen tarkoittaa?

MFA tarkoittaa monivaiheista tunnistautumista (englanniksi Multi-Factor Authentication)

Monivaiheinen tunnistautuminen on tunnistautumistapa, jossa käyttäjän henkilöllisyys varmistetaan kahdella tai useammalla toisistaan riippumattomalla tavalla, eli todisteella. Nämä todisteet eli autentikaatiotekijät jaetaan kolmeen päätyyppiin:

1. Jotain mitä tiedät
   -kuten salasana, PIN-koodi tai tunnusluku

2. Jotain mitä omistat
   – esimerkiksi puhelin, autentikaattorisovellus tai fyysinen turva-avain

3. Jotain mitä olet
   – kuten biometrinen tunniste (sormenjälki tai kasvotunniste)

MFA:n keskeinen idea on se, että hyökkääjän täytyy murtaa useampi eri turvakerros, mikä tekee tilikaappauksista huomattavasti vaikeampia ja taitoja ja vaivannäköä vaativimpia.

MFA ja 2FA – Mikä ero niillä on?

Kaksivaiheinen tunnistautuminen (2FA) on monivaiheisen tunnistautumisen yksinkertaisin muoto. 2FA käyttää aina kahta autentikaatiotekijää. Esimerkiksi:

• salasana + kertakäyttökoodi

• salasana + push-ilmoitus

• salasana + tekstiviestivarmennus

Monivaiheinen tunnistautuminen (MFA) voi käyttää kahta tai useampaa tekijää. Käytännössä:

• MFA on laajempi käsite

• 2FA on MFA:n alamuoto

Hakukäyttäytymisessä termi kaksivaiheinen tunnistautuminen on edelleen suositumpi, mutta monivaiheinen tunnistautuminen on teknisesti oikeampi, standardien mukainen ja tällä hetkellä volyymissa nousussa.

Miksi monivaiheinen tunnistautuminen on tärkeää vuonna 2026 ja tulevaisuudessa

Hyökkäykset salasanoja vastaan ovat kehittyneet merkittävästi:

• salasanoja vuotaa jatkuvasti datamurroissa

• automatisoidut kirjautumisyritykset (credential stuffing) ovat räjähdysmäisessä kasvussa

• phishing ja SMS-huijaukset ohittavat helposti heikot todennustavat, ja tekoälyllä tehtäviä huijausviestejä on lähes mahdoton tunnistaa.

• puhelinnumerot voidaan kaapata SIM-swapping -hyökkäyksillä. SIM swapping -hyökkäyksen tavoitteena on varastaa uhrin puhelinnumero siirtämällä se hyökkääjän hallitsemaan uuteen SIM-korttiin esim. uhrin henkilötietoja käyttämällä ja tekeytymällä häneksi.

Microsoftin mukaan vahva MFA estää yli 99 % automaattisista tilikaappausyrityksistä.

CISA kuvaa monivaiheista tunnistautumista yhdeksi tehokkaimmista tavoista estää tietomurtoja.

MFA on edullinen, helppo toteuttaa ja antaa huomattavan suojan ilman monimutkaisia tietoturvajärjestelmiä.

Monivaiheisen tunnistautumisen vaiheet – Miten MFA otetaan käyttöön?

Alla on turvallisin ja standardien mukaisesti monivaiheisen tunnistautumisen vaiheet, eli MFA käyttöönotto vaiheittain:

Vaihe 1: Valitse turvallinen todennustapa monivaiheiselle tunnistautumiselle

Turvallisimpia vaihtoehtoja ovat:

• autentikaattorisovelluksen luomat TOTP-koodit (esim. Authy, Microsoft Authenticator)

• push-ilmoitukset numerovahvistuksella

• FIDO2- ja U2F-turva-avaimet (esim. YubiKey)

• biometrinen tunnistus laitteen lukituksessa

Heikoin vaihtoehto on tekstiviestikoodi, sillä se on altis SIM-swapping-hyökkäyksille.

Vaihe 2: MFA aktivointi palvelun asetuksista

Useimmat palvelut tarjoavat:

• asetusosion

• valinnan eri vahvistusmenetelmille

• QR-koodin, joka yhdistää autentikaattorisovelluksen

• mahdollisuuden useisiin rinnakkaisiin monivaiheisen tunnistautumisen menetelmiin

Esimerkiksi Google, Microsoft ja Apple suosittelevat ensisijaisesti sovelluspohjaista varmistusta.

Vaihe 3: Ota palautuskoodit talteen

CISA ja NIST korostavat palautuskoodien merkitystä. Tämä vaihe jää usein tekemättä, tai koodit säilytetään huolettomasti. Usein asia monimutkaistuu mobiililaitteen rikkoutuessa tai kadotessa. Palautuskoodit takaavat henkilökohtaiselle tilille pääsyn seuraavissa tilanteissa:

• puhelin tai muu mobiililaite rikkoutuu tai laite häviää

• autentikaattorisovellus ei enää toimi

Koodit tulee tallentaa offline-ympäristöön, ei sähköpostiin tai pilveen. Hyvä tallennuspaikka on esim. erillinen vihko jossa säilytät muita salasanojasi. Vihko tulee olla tarkasti varjellussa paikassa väärinkäytösten estämiseksi.

Vaihe 4: Testaa MFA toimivuus ja käyttö useilla laitteilla

Ennen täyttä käyttöönottoa on tärkeää varmistaa:

• että kirjautuminen toimii eri laitteilla

• että varamenetelmät toimivat oikein

• että käyttäjä ei lukitse itseään ulos

Yrityksissä tämä vaihe sisältyy osaksi tietoturvaprosessia.

Yleisimmät MFA-menetelmät ja niiden vahvuudet

TOTP-koodit (sovelluspohjaiset)

– hyvät: turvallinen, offline-toiminta
– huonot: riippuvainen laitteesta

Push-ilmoitukset

– hyvät: helppokäyttöinen
– huonot: push bombing -hyökkäykset, jos numerovahvistusta ei ole käytössä. Push Bombing on sosiaaliseen manipulointiin perustuva kyberhyökkäystapa, joka pyrkii ohittamaan Monivaiheisen tunnistautumisen (MFA) uuvuttamalla käyttäjän, jolloin käyttäjä vahingossa hyväksyy tunkeutujan hyväksymispyynnöt.

FIDO2/U2F-turva-avaimet
– erittäin vahva menetelmä
– kestää phishingin, eli tietojen kalastelun uhkan, koska avain on sidottu tiettyyn verkkotunnukseen

Biometrinen tunnistautuminan
– nopea ja yksinkertainen
– ei riitä yksinään, mutta toimii hybridimenetelmänä

SMS-koodit
– yleinen
– heikoin (SIM-huijaus, sieppaus)

MFA yrityksille – Parhaat käytännöt

Organisaatioiden tulee dokumentoida ja määritellä:

• hyväksytyt MFA-menetelmät

• palautusprosessit

• käyttäjäroolit ja käyttöoikeudet

• lokitus ja epäilyttävien kirjautumisten seuranta

• koulutus phishingin tunnistamiseen

Yrityksille suositellaan riskiperusteista tunnistautumista (Risk-Based Authentication), jossa MFA:n vaativuus kasvaa riskitason mukaan. Tunnistautumiseen liittyvät tietoturvatoimenpiteet tulee dokumentoida ja päivittää säännöllisesti yrityksessä ja niille tulee määrittää vastuuhenkilö. Monesti monivaiheisen tunnistautumisen laiminlyönti selviää tietoturva-auditoinnissa, jossa määritetään tietoturvan nykytila yrityksen tai organisaation eri osa-alueilla.

MFA autentikointi ja sen yleisimmät haasteet, sekä  ratkaisut

Puhelin kadonnut jolloin autentikointi ei toimi
käytä palautuskoodeja tai varalaitetta.

Push-ilmoitusten väärinkäyttö (push bombing)
ota käyttöön numerovahvistus tai FIDO2-avain.

SIM-swapping
älä käytä SMS-koodipohjaista MFA:ta.

Monivaiheinen tunnistautuminen tulevaisuudessa: Passkeys ja salasanojen jälkeinen aikakausi

Passkeys on FIDO2-standardiin perustuva teknologia, joka mahdollistaa kirjautumisen:

• ilman salasanaa

• biometrialla

• laitteella, joka varmentaa kirjautumisen avainparin avulla

Google, Apple ja Microsoft tukevat passkeys-teknologiaa, ja se tulee todennäköisesti korvaamaan perinteiset salasanat suurimmassa osassa palveluista.

Yhteenveto – Monivaiheinen tunnistautuminen, eli MFA

Monivaiheinen tunnistautuminen on yksi tehokkaimmista keinoista suojata tilejä, käyttäjätietoja ja yrityksen järjestelmiä. MFA:n käyttöönotto on helppoa ja edullista, mutta hyöty on merkittävä: se estää suurimman osan tilimurroista ja phishing-hyökkäyksistä.

Turvallisimmat menetelmät ovat autentikaattorisovellusten koodit, push-ilmoitukset numerovahvistuksella ja FIDO2-turva-avaimet. Yrityksille MFA on osa kokonaisvaltaista tietoturvaa ja olennainen osa jokapäiväistä digitaalista työskentelyä.