Yksivaiheisen tunnistautumisen puutteet ja monivaiheisen tunnistautumisen vaihtoehdot yritysjärjestelmissä

Abstract

Informaatioteknologian kehittyminen on lisännyt liiketoimintamahdollisuuksia, mutta samanaikaisesti kasvattanut tietoturvariskien määrää. Tietoturvavahingot voivat aiheuttaa yrityksille erilaisia vahinkoja ja jopa tuhota koko tietojärjestelmän. Ensimmäinen keino tietoturvauhkia vastaan on käyttäjien todentaminen ennen kuin he pääsevät sisään tietojärjestelmiin. Yleisimmin yritysjärjestelmiin kirjaudutaan sisään yksivaiheisella tunnistautumisella käyttämällä salasanaa ja käyttäjätunnusta. Yksivaiheisen tunnistautumisen on kuitenkin havaittu olevan turvallisuudeltaan riittämätön nykypäivän uhkia vastaan. Suositeltavaa olisi ottaa käyttöön monivaiheinen tunnistautuminen, joka lisää turvallisuutta. Tässä tutkielmassa selvitettiin, miksi yksivaiheinen tunnistautuminen on puutteellinen, ja mitä riskejä etenkin käyttäjätunnuksella ja salasanalla kirjautumiseen liittyy. Lisäksi tutkittiin, mitkä monivaiheisen tunnistautumisen keinot voisivat olla yrityksille potentiaalisimmat huomioiden turvallisuus- ja käytettävyysnäkökulman. Salasanojen ja käyttäjätunnusten huomattiin aiheuttavan riskejä etenkin kognitiivisen kuormituksen ja käyttäjien heikon salasanahallinnan vuoksi. Potentiaalisimmiksi monivaiheisen tunnistautumisen keinoiksi tunnistettiin älykortin tai biometriikan yhdistäminen salasanan kanssa. Näistä älykorttipohjainen todennusjärjestelmä saattaa olla vielä parempi, koska se ei ole niin herkkä olosuhteille. Tutkielma toteutettiin systemaattisena kirjallisuuskatsauksena. Aineistona käytettiin pääosin vertaisarvioituja tieteellisiä artikkeleita, joita on etsitty JYKDOK-tietokannasta sekä Google Scholar -hakupalvelusta.

The development of information technology has increased business opportunities, but at the same time it has increased the number of security risks. Security breaches can cause various types of damage to companies and even destroy an entire information system. The first way to deal with security threats is to authenticate users before they have access to information systems. The most common way of logging into enterprise systems is through a single-factor authentication using a password and a username. However, single-factor authentication has been found to be insufficiently secure against current threats. The use of multi-factor authentication is recommended to increase security. This thesis explained why single-factor authentication is inadequate and what the risks are, especially when logging in with a username and password. It also analysed which multi-factor authentication methods could be the most potential for enterprises, considering security and usability aspects. Passwords and usernames were found to cause risks due to cognitive load and poor password management by users. Smart card-password and biometrics-password combinations were identified as the most potential multi-factor authentication methods. Of these, a smart card-based authentication system may be even better, as it is less sensitive to circumstances. The research was conducted as a systematic literature review. The sources used were mainly peer-reviewed scientific articles searched in the JYKDOK database and Google Scholar.