Selain siirtyy seuraavalle sivulle ja antaa tarkat ohjeet jatkotoimenpiteistä. Käyttäjän tulee ottaa puhelin käteensä ja odottaa sinne saapuvaa viestiä.

Viesti ei ole tavallinen tekstiviesti, vaan aukeaa suoraan puhelimen näytölle. Turvallisuuden kannalta tärkeää on varmistua, että viestissä näkyvä lähettäjä ja tapahtumatunniste vastaavat selaimessa näkyviä tietoja.

Vaikka kuvakaappaukset näyttävät jonkin verran iPhonen natiivisovellukselta, kyse ei ole varsinaisesta sovelluksesta, vaan iPhonen tavasta näyttää SIM-kortilla toimiva sovellus. Käyttöliittymä on eri puhelimissa vähän eri näköinen, mutta varmenne toimii lähes missä tahansa GSM-puhelimessa.

Puhelimen päässä käyttäjälle kerrotaan, mitä tietoja hänestä välitetään palveluntarjoajalle. Tavallisissa kirjautumisissa käyttäjästä välitetään sähköinen asiointitunnus, joka on kuin henkilötunnus, mutta ei paljasta ikää eikä sukupuolta. Tarkkaa henkilöllisyyttä ei aina tarvita; palveluntarjoajan olisi mahdollista tehdä myös anonyymi tunnistautuminen, jossa vaikkapa varmistettaisiin, että henkilö on täysi-ikäinen, mutta muuta tietoa ei välitettäisi.

Lopulta käyttäjä syöttää mobiilivarmenteensa salaisen tunnusluvun. Tunnusluku ei poistu laitteelta, vaan SIM-kortti tarkistaa, onko tunnusluku oikein ja lähettää kirjautumistiedon takaisin palvelimelle.

Hetken raksutettuaan verkkoselain näyttää tunnistautuneen käyttäjän tiedot. Painetaan Hyväksy-nappia ja ollaan palvelussa.

Monta näyttöä, mutta käytännössä tarvittiin siis puhelinnumero ja itse määritettävä tunnusluku sekä muutama lakisääteinen entterin painallus välissä.

Kirjautumisen voisi tehdä myös pelkällä puhelimella.

If:n sivut toimivat huonosti puhelimessa, mutta kun siitä on selvitty, tunnistuspalvelu on sovitettu puhelimen näytölle. Ulkoasu on varsin pelkistetty, mutta sivu sentään toimii myös vanhoissa Nokioissa.

Toisessa vaiheessa on tällä kertaa vähemmän ohjeita, sillä puhelin on jo valmiiksi kädessä. Yksi tekninen haaste on, että tunnistusviestin saavuttua puhelimeen useimmilla puhelinkäyttöjärjestelmillä ei pääse enää takaisin selaimeen varmistamaan, että tapahtumatunnus todella täsmää.

Yhteenvetonäkymä näytetään samaan tapaan kuin tietokoneella kirjauduttaessa, ja palvelu on valmis käytettäväksi.

Entä puhelun aikainen tunnistautuminen?

En tiedä, onko näitä palveluita vielä käytössä missään, mutta kuten mobiilivarmenteen tietosivuilla mainostetaan, sen avulla voitaisiin ratkaista tietosuojaongelmat esimerkiksi lääkärille soitettaessa. Käytännössä puhelimeen vastaavalla henkilöllä olisi tällöin käytössään tunnistautumispalvelun kaltainen verkkosivu, johon hän syöttäisi asiakkaan puhelinnumeron. Asiakas saisi tunnistuspyynnön puhelimeensa kesken puhelun ja tunnistaisi itsensä lennosta.

Tällöin tapahtuman tunnistekoodi tulisi ainakin periaatteessa sanoa ääneen puhelimessa, jotta käyttäjä voisi verrata sitä tunnistuspyyntöviestissä näkyvään ja varmistua, että pyyntö on oikea.

Eikö tässä ole aika houkutteleva paikka kalasteluun?

Saattaa olla. Jos puhelimeen tulee yhtäkkiä tunnistautumispyyntö, jota ei ole itse tilannut, siihen ei pitäisi tietenkään mennä vastaamaan.

Tätä tarkoitusta varten speksiin on määritelty kuvakaappauksissa vilahtanut erityinen häirinnänestokoodi. Pari vuotta sitten minua huvitti ajatus, että jos en elämässäni vaikka mitää muuta saisi aikaan, ainakin voisin olla mukana istuttamassa miljoonan suomalaisen päähän häirinnänestokoodi-sanahirviötä. No, ihan vielä se ei ole onneksi levinnyt.

Tunnistautumispalvelussa on puhelinnumerokentän alla toinen kenttä, johon häirinnänestokoodin voi syöttää. Jos käyttäjä on kytkenyt koodin käyttöön, tunnistuspyyntöä ei voi lähettää puhelimeen ilman oikean koodin syöttämistä. Näin ulkopuoliset eivät voi lähettää puhelimeen kalastelumielessä tunnistuspyyntöjä.

Operaattorit ovat päättäneet, ettei koodia kytketä oletusarvoisesti päälle. Tässä on potentiaalisesti se huono puoli, että ne henkilöt, jotka eniten koodin suojasta hyötyisivät, eivät myöskään tule kytkeneeksi sitä käyttöön. Koodin voi kytkeä päälle tekstiviestillä, mahdollisesti myös puhelimen SIM-valikosta.

Oma lukunsa on koodin nimitys. Sen on alun perin ajateltu suojaavan tarpeettomien pyyntöjen aiheuttamalta häiriöltä, ei niinkään tuovan turvaa. Jokin turvakoodi-henkinen sana voisi viestiä paremmin, minkä tyyppisestä asiasta on kyse.

Luonteeltaan koodi on salasanan kaltainen, mutta jos sitä kutsuu salasanaksi, käyttäjien tekee kovasti mieli syöttää luukkuun mobiilivarmenteensa tunnusluku.

Elisan tunnistuspalveluun on näemmä sittemmin tullut tuki myös ruotsille ja englannille. Ruotsiksi koodi on suomen tapaan muodossa störningsspärrkod, mutta englanniksi se on  saanut muodon security code. Tämä on sikäli ironista, että ainakin yllä kuvatussa Soneran SIM-kannassa tunnusluku/säkerthetskod on englanniksi myös security code.

Mitä seuraavaksi tapahtuu?

Toivoa sopii, että palvelu pääsisi käyttöön Viron tapaan. Suomessa on monta tilannetta, jossa olisi tarpeen tunnistautua sähköisesti nykyistä vaivattomammin. Alku näyttää kyllä valitettavan hitaalta.

Yksi ongelma lienee raha. Operaattorit kokevat tarjoavansa käyttäjille lisäpalvelua, joten ne haluaisivat siitä mieluusti maksun. Tällä hetkellä Elisa tarjoaa varmennetta ilmaiseksi tutustumistarjouksena vuoden loppuun asti – kuten on tehnyt palvelun julkaisusta saakka. Sonera taas ei enää ilmoita palvelulle mitään hintaa.

Operaattorit yrittävät tietty rahastaa myös palvelua käyttäviä yrityksiä. Yksi hyöty yritykselle on, että yksi mobiilivarmennesopimus riittää monen pankkisopimuksen sijaan. Kestää sittenkin aikansa ennen kuin yritykset voivat luopua pankkitunnistautumisesta, joten mobiilivarmennetuki on vain ylimääräinen kulu.

Kuluttajaa vaivaa sama hankaluus. Vaikka mobiilivarmenteen ottaisi käyttöön, pankille pitää yhä maksaa verkkopankkitunnuksista. Joidenkin uutisten mukaan tunnistautumispalvelujen tarjoaminen ei ole kaikille pankeillekaan mikään kultakaivos vaan ennemmin riesa.

Minä avaisin kyllä heti tilin pankissa, joka tarjoaa kunnollisen mobiilisovelluksen ja mahdollistaa tunnistautumisen mobiilivarmenteella.