Artikkelit

Päivitetty 01.11.2026

Ohjelmistot ovat keskeisessä roolissa kaikissa käyttämissämme verkkoon yhteydessä olevissa laitteissa, kuten tietokoneissa ja älylaitteissa, esimerkiksi älypuhelimissa, tableteissa ja älytelevisioissa.

Laitteiden ohjelmistot koostuvat käyttöjärjestelmästä, joka ohjaa laitteen toimintaa (esimerkiksi Windows, Linux, Android ja iOS), sekä sovellusohjelmista, jotka on suunniteltu toimimaan kyseisessä käyttöjärjestelmässä.

Tämän päivän verkkomaailmassa ohjelmistot muuttuvat jatkuvasti, ja ajan myötä niistä voi löytyä tietoturvahaavoittuvuuksia, joita hyökkääjät voivat hyödyntää. Päivittämätön ohjelmisto voi siten muodostaa tietoturvariskin.

Ohjelmistohaavoittuvuus tarkoittaa tietoturva-aukkoa tai heikkoutta ohjelmistossa. Hyökkääjä voi hyödyntää tällaista haavoittuvuutta esimerkiksi päästäkseen käsiksi järjestelmään tai tietoihin, suorittaakseen haitallista ohjelmakoodia tai aiheuttaakseen järjestelmän toimintahäiriöitä.

Tämän vuoksi käyttöjärjestelmän ja sovellusohjelmien pitäminen ajan tasalla on erittäin tärkeää tietoturvasta huolehdittaessa.

Laita automaattiset käyttöjärjestelmä- ja sovelluspäivitykset päälle, mikäli mahdollista. Jos automaattiset päivitykset eivät ole käytössä, tarkista säännöllisesti, onko päivityksiä saatavilla, ja asenna ne mahdollisimman pian.

Päivitykset auttavat parantamaan tietoturvaa ja suojaamaan yksityisyyttä, mutta ne voivat myös parantaa järjestelmän vakautta, korjata ohjelmistovirheitä ja parantaa yhteensopivuutta. Älypuhelimissa päivitykset voivat lisäksi parantaa laitteen toimintaa ja resurssien käyttöä sekä joissain tapauksissa myös akunkestoa.

Eli päivitykset ovat tärkeitä, koska ne voivat paikata tietoturva-aukkoja, korjata käyttöjärjestelmän ja sovellusten toimintaa sekä auttaa suojaamaan henkilökohtaisia tietoja.

Päivitetty 01.11.2026

Hyvällä salasanalla on ainakin seuraavia ominaisuuksia:

• Salasana on riittävän pitkä: Pyri vähintään 16 merkkiin. Mitä pidempi salasana on, sitä vaikeampi sitä yleensä on arvata tai murtaa.
• Salasana sisältää erilaisia merkkejä: Satunnaisesti luodussa salasanassa kannattaa käyttää pieniä ja isoja kirjaimia, numeroita sekä erikoismerkkejä. Näin mahdollisten arvattavien vaihtoehtojen määrä kasvaa. Kaikkien näiden merkkityyppien käyttäminen ei kuitenkaan yksin tee salasanasta vahvaa – pituus, satunnaisuus ja yksilöllisyys ovat tärkeämpiä.
• Salasana on yksilöllinen: Käytä jokaisella tilillä omaa salasanaa. Älä käytä samaa salasanaa useassa palvelussa. Älä myöskään luovuta salasanaasi muille.
• Salasana on vaikeasti arvattava: Älä käytä salasanoissa helposti arvattavia tietoja, kuten nimeäsi, syntymäaikaasi tai muita henkilökohtaisia tietoja. Vältä myös yleisiä ja helposti arvattavia salasanoja.
• Suosi salasanalauseita silloin, kun salasana pitää muistaa ulkoa: Useammasta sanasta muodostuva pitkä ja vaikeasti arvattava salasanalause voi olla helpompi muistaa kuin yksittäinen monimutkainen salasana.
• Käytä salasananhallintaohjelmistoa: Erillinen salasananhallintaohjelmisto voi luoda pitkiä ja satunnaisia salasanoja sekä säilyttää ne turvallisesti, jolloin sinun ei tarvitse muistaa jokaista salasanaa erikseen. Salasanojen hallintaohjelmisto suojataan yleensä pääsalasanalla ja palvelusta riippuen myös esimerkiksi sormenjäljellä tai muulla vahvalla tunnistautumisella.

Selainten omat salasananhallintaominaisuudet ovat nekin parempi vaihtoehto kuin salasanojen uudelleenkäyttö tai niiden säilyttäminen esimerkiksi paperilla tai suojaamattomassa tiedostossa. Erillinen salasananhallintaohjelmisto tarjoaa kuitenkin yleensä enemmän ominaisuuksia salasanojen hallintaan ja käyttöön eri laitteilla.

Tärkeintä on, että jokaisella palvelulla on oma, riittävän pitkä ja vaikeasti arvattava salasanansa.

Päivitetty 02.11.2026

Hyvä ja yksilöllinen salasana pienentää riskiä, mutta ei yksin riitä suojaamaan käyttäjätiliä. Salasana voi joutua vääriin käsiin esimerkiksi tietojenkalastelun, tietovuodon tai haittaohjelman seurauksena.

• Tietojenkalastelu (phishing): käyttäjä voidaan huijata antamaan salasanansa aidolta näyttävälle huijaussivustolle.
• Tietovuodot: palveluun tallennettuja tietoja ja salasanoja voi joutua vääriin käsiin tietomurron seurauksena. Sama salasana voi olla vaarassa myös muissa palveluissa, jos sitä on käytetty uudelleen.
• Haittaohjelmat: jotkin haittaohjelmat voivat esimerkiksi yrittää varastaa käyttäjän kirjautumistietoja.

Monivaiheinen tunnistautuminen (MFA) lisää kirjautumiseen ylimääräisen suojakerroksen. Vaikka salasana joutuisi vääriin käsiin, hyökkääjä ei välttämättä pääse tilille ilman tarvittavaa lisätunnistautumista.

Tunnistautumistekijät voidaan jakaa kolmeen pääryhmään:

• Jotain mitä tiedät: esimerkiksi salasana tai PIN-koodi
• Jotain mitä sinulla on: esimerkiksi älypuhelin tai fyysinen tietoturva-avain
• Jotain mitä olet: esimerkiksi sormenjälki tai kasvojentunnistus

MFA tarkoittaa, että kirjautumisessa käytetään vähintään kahta eri tunnistautumistekijää.

Esimerkiksi:

• Salasana + tekstiviestillä lähetetty koodi
• Salasana + tunnistautumissovelluksen koodi
• Salasana + fyysinen tietoturva-avain
• PIN-koodi + sormenjälki tai kasvojentunnistus

Ota monivaiheinen tunnistautuminen käyttöön aina, kun palvelu tarjoaa sen. Se on erityisen tärkeää esimerkiksi sähköposti-, sosiaalisen median, pilvipalvelu- ja muiden tärkeiden käyttäjätilien suojaamisessa.

Kaikki MFA-menetelmät eivät kuitenkaan ole yhtä turvallisia. Tekstiviestillä lähetettyä koodia pidetään yleensä heikompana vaihtoehtona kuin tunnistautumissovellusta tai fyysistä tietoturva-avainta. Tekstiviesteihin liittyy esimerkiksi SIM-kortin kaappauksen riski.

Tunnistautumissovellus, kuten Google Authenticator tai Proton Authenticator, on yleensä turvallisempi vaihtoehto. Fyysinen tietoturva-avain tarjoaa vielä vahvemman suojan erityisesti tietojenkalastelua vastaan.

Jos vaihtoehtoja on useita, suosi vahvinta saatavilla olevaa menetelmää. Tärkeintä on kuitenkin ottaa MFA käyttöön – myös heikompi MFA on yleensä parempi kuin pelkkä salasana.

02.11.2026

Kyllä, päääsyavaimet ovat jo alkaneet osin tai kokonaan korvaamaan salasanoja helppokäyttöisyyden ja paremman turvallisuuden takia. Ainakin suuret teknologiayhtiöt kuten Apple, Google ja Microsoft tukevat jo pääsyavaimia tileissään vaihtoehtona tai jopa salasanojen korvaajina. Ja pääsyavain tuki laajenee koko ajan edellä mainituista syistä.

Pääsyavaimet (passkeys) ovat siis nykyaikainen, salasanaton tapa kirjautua käyttäjätileille ja verkkosivuille.

Pääsyavaimet perustuvat yksityiseen ja julkiseen avainpariin (asymmentric authentication).

Yksityinen avain pysyy laitteessa ja vain julkinen avain lähetetään palvelimelle.

Kun luot pääsyavaimen ja kirjaudut käyttäen pääsyavainta:

• Laitteesi luo julkisen ja yksityisen avainparin
• Julkinen avain tallennetaan verkkosivun palvelimelle
• Yksityinen avain pysyy laitteessa
• Kirjautumisvaiheessa verkkosivu lähettää satunnaisdatan (random challenge)
• Laitteesi allekirjoittaa satunnaisdatan käyttäen yksityistä avainta
• Allekirjoitettu vastaus lähetetään takaisin palvelimelle
• Palvelin tarkistaa allekirjoituksen käyttäen julkista avainta
• Jos ok, tunnistautuminen onnistunut käyttäen pääsyavainta

Toisin sanoen käyttäjä ja palvelin eivät jaa mitään yhteistä salasanaa. Tämä tekee pääsyavaimista vastustuskykyisen tietojenkalastelulle (Phishing), kun salasanaa ei voida saada selville.

Laitteessa, kuten älypuhelin, pitää olla aktivoituna joku seuraavista, jotta kirjautuminen käyttäen pääsykoodia onnistuu:

• sormitunnistus
• kasvojen tunnistus
• PIN koodi

Näillä voit avata laitteen lukituksen ja kirjautua tilille jonne avainkoodi on aktivoitu.

26.10.2026

1. Johdanto

Kun luot käyttäjätilin uuteen verkkopalveluun, voit yleensä valita useasta kirjautumistavasta. Voit luoda palveluun oman käyttäjätilin, käyttää olemassa olevaa Google-, Apple- tai Microsoft-tiliä tai kirjautua puhelinnumerollasi.

Nämä vaihtoehdot voivat olla käteviä, mutta niillä on erilaisia tietoturvaan ja yksityisyyteen liittyviä vaikutuksia. Minkä vaihtoehdon valitsisit?

Tässä artikkelissa käsitellään eri kirjautumistapojen hyötyjä ja riskejä, sitä, mitä valinnassa kannattaa huomioida, sekä sitä, miten voit suojata käyttäjätilisi hyvillä tietoturvakäytännöillä.

Artikkelin lopussa IT-Digiturva antaa suosituksensa näiden kirjautumistapojen käyttöön.

2. Mitä eri vaihtoehdot tarkoittavat?

Kun rekisteröidyt uuteen verkkopalveluun, voit yleensä valita useasta vaihtoehdosta.

Oman käyttäjätilin luominen

Luot käyttäjätilin suoraan palveluun ja valitset sille salasanan. Tämä voi olla turvallinen vaihtoehto, kun käytät vahvaa ja yksilöllistä salasanaa sekä otat käyttöön lisäsuojausmenetelmiä, kuten MFA:n tai passkeyn.

Kirjautuminen olemassa olevalla tilillä

Voit kirjautua esimerkiksi Google-, Apple- tai Microsoft-tililläsi. Tilin tarjoaja vahvistaa henkilöllisyytesi uudelle palvelulle, joten sinun ei yleensä tarvitse luoda uutta salasanaa.

Uusi palvelu ei tavallisesti saa tietää olemassa olevan tilisi salasanaa. Sen sijaan käyttäjätilisi yhdistetään olemassa olevaan tiliin, jonka avulla voit kirjautua palveluun myöhemminkin.

Kirjautuminen puhelinnumerolla

Joissakin palveluissa voit luoda käyttäjätilin puhelinnumerollasi. Palvelu lähettää sinulle väliaikaisen vahvistuskoodin, yleensä tekstiviestillä (SMS). Koodin syöttäminen vahvistaa, että sinulla on pääsy kyseiseen puhelinnumeroon.

Mitä tietoja jaetaan?

Jaettavat tiedot riippuvat kirjautumistavasta ja palvelusta. Olemassa olevan tilin kautta voidaan jakaa esimerkiksi nimesi, sähköpostiosoitteesi tai yksilöllinen tilitunniste. Puhelinnumerolla kirjaututtaessa puhelinnumerosi yhdistetään yleensä käyttäjätiliin.

Mitä salasanalle tapahtuu?

• Oma käyttäjätili: Luot palvelua varten uuden salasanan.
• Kirjautuminen olemassa olevalla tilillä: Käytät yleensä olemassa olevaa tiliäsi uuden salasanan luomisen sijaan.
• Puhelinnumerolla kirjautuminen: Käytät yleensä salasanan sijaan väliaikaista vahvistuskoodia.

3. Mitä tietoturvahyötyjä eri vaihtoehdoilla on?

Olemassa olevan tilin käyttäminen voi olla helppoa ja nopeaa. Sinun ei myöskään tarvitse muistaa yhtä montaa salasanaa, mikä voi vähentää houkutusta käyttää samaa salasanaa eri palveluissa. Salasanojen uudelleenkäyttö on yleinen tietoturvaongelma, sillä jokaisella palvelulla pitäisi olla oma yksilöllinen salasanansa.

Toinen hyöty on se, että jos olemassa oleva tilisi on suojattu hyvin esimerkiksi MFA:lla tai passkeylla, voit hyötyä näistä suojausmenetelmistä myös kirjautuessasi sillä muihin palveluihin.

Olemassa olevan tilin käyttäminen voi siis olla järkevä vaihtoehto, kun tarvitset käyttäjätilin vähemmän tärkeään palveluun tai aiot käyttää palvelua vain satunnaisesti.

Myös erillisen käyttäjätilin luominen voi olla turvallista. Tärkeintä on käyttää hyviä tietoturvakäytäntöjä, kuten vahvaa ja yksilöllistä salasanaa sekä MFA:ta tai passkeyta, jos ne ovat saatavilla.

Kirjautumistavan turvallisuus ei siis riipu vain valitsemastasi vaihtoehdosta, vaan myös siitä, kuinka hyvin suojaat tiliäsi.

4. Mitä tietoturvariskejä eri vaihtoehtoihin liittyy?

Olemassa olevan tilin käyttäminen muihin palveluihin kirjautumiseen sisältää myös riskejä.

Yksi tili voi antaa pääsyn useisiin palveluihin

Jos käytät samaa päätiliä, kuten Google-, Apple- tai Microsoft-tiliä, kirjautumiseen useissa palveluissa, tilistä tulee erityisen tärkeä. Jos joku saa tilisi haltuunsa, myös palvelut, joihin kirjaudut kyseisellä tilillä, voivat vaarantua.

Päätilin käyttöoikeuden menettäminen

Jos menetät pääsysi päätiliisi, et välttämättä pysty kirjautumaan myöskään palveluihin, joissa käytät kyseistä tiliä kirjautumiseen. Siksi on tärkeää suojata päätili hyvin ja varmistaa, että tilin palauttamiseen tarvittavat menetelmät toimivat.

Puhelinnumeroon ja tekstiviestikoodeihin liittyvät riskit

Myös puhelinnumerolla kirjautumiseen liittyy riskejä. Puhelinnumero on liitetty matkapuhelinliittymääsi. SIM-kortti tai eSIM yhdistää numeron matkapuhelinverkkoon ja mahdollistaa puhelujen ja tekstiviestien vastaanottamisen.

Kun kirjaudut puhelinnumerollasi, palvelu lähettää kyseiseen numeroon väliaikaisen vahvistuskoodin, yleensä tekstiviestillä. Koodin syöttäminen osoittaa, että sinulla on sillä hetkellä pääsy kyseiseen numeroon.

Tekstiviestillä lähetettyihin vahvistuskoodeihin voi kohdistua tietojenkalastelu (phishing) -hyökkäyksiä, joissa hyökkääjä yrittää huijata sinua luovuttamaan koodin hänelle.

Toinen riski on SIM swapping eli puhelinnumeron siirtäminen hyökkääjän hallitsemaan SIM-korttiin. Tällöin hyökkääjä voi saada vastaanotettua numeroosi lähetetyt tekstiviestit.

Päätilin heikko suojaus

Jos päätilisi suojaus on heikko, riskit kasvavat, kun samaa tiliä käytetään kirjautumiseen useissa palveluissa. Heikko salasana tai saman salasanan käyttö useissa palveluissa lisää tietoturvariskiä.

Mitä useampi palvelu on riippuvainen samasta tilistä tai puhelinnumerosta, sitä tärkeämpää on suojata se hyvin.

5. Entä yksityisyys?

Tietoturva ei ole ainoa huomioitava asia. Myös yksityisyys on tärkeää kirjautumistapaa valittaessa.

Mitä tietoja jaetaan?

Kun kirjaudut uuteen palveluun olemassa olevalla tililläsi, palvelulle voidaan jakaa kyseiseen tiliin liittyviä tietoja. Näitä voivat olla esimerkiksi nimesi, sähköpostiosoitteesi, profiilikuvasi tai muu tilitunniste. Jaettavat tiedot riippuvat tilin tarjoajasta, palvelusta ja asetuksistasi.

Mitä uusi palvelu tietää sinusta?

Uusi palvelu saa tietoja luomastasi käyttäjätilistä ja siitä, miten käytät kyseistä palvelua. Tarkista, mitä tietoja palvelu pyytää ja miten se kertoo käyttävänsä tietojasi.

Mitä olemassa olevan tilin tarjoaja tietää?

Kun kirjaudut muihin palveluihin olemassa olevalla tililläsi, tilin tarjoaja voi saada tietoa siitä, missä palveluissa käytät sen kirjautumispalvelua.

Tietoja voidaan käyttää eri tavoin tarjoajan tietosuojakäytännön ja asetusten mukaan. Esimerkiksi tietoja toiminnastasi voidaan käyttää sisällön personointiin tai mainontaan.

Mieti ennen kirjautumista

Ennen kuin valitset kirjautumistavan, mieti, mitä tietoja jaat palvelulle ja mitä tietoja olemassa olevan tilisi tarjoaja voi saada toiminnastasi.

Helppokäyttöisyys on hyödyllistä, mutta myös yksityisyyteen liittyvät kompromissit kannattaa ymmärtää.

6. Suojaa tili tai puhelinnumero, jolla kirjaudut

Jos käytät olemassa olevaa tiliäsi tai puhelinnumeroasi kirjautumiseen muihin palveluihin, niiden suojaaminen on erityisen tärkeää.

Tilin suojaaminen

Jos käytät kirjautumiseen olemassa olevaa tiliä:

• Käytä MFA:ta tai passkeyta, jos ne ovat saatavilla.
• Jos käytät salasanaa, varmista, että se on vahva ja yksilöllinen. Älä käytä samaa salasanaa muissa palveluissa.
• Pidä tilin palautusmenetelmät ajan tasalla ja suojaa ne hyvin.
• Tarkista säännöllisesti yhdistetyt sovellukset ja laitteet. Poista ne, joita et enää käytä tai joita et tunnista.

Puhelinnumeron suojaaminen

Puhelinnumeroa itsessään ei voi suojata salasanalla. Sen sijaan sinun on suojattava niitä asioita, joiden kautta numeroa hallitaan, kuten matkapuhelinliittymää, SIM-korttia tai eSIMiä sekä puhelinta.

• Suojaa matkapuhelinliittymäsi operaattorin tarjoamilla suojausominaisuuksilla.
• Suojaa SIM-kortti tai eSIM sekä puhelimesi PIN-koodilla tai muilla käytettävissä olevilla suojausmenetelmillä.
• Käsittele tekstiviestillä saatuja vahvistuskoodeja varovasti. Älä koskaan jaa niitä henkilölle, joka pyytää niitä yllättäen.
• Tiedosta SIM swapping -hyökkäysten riski.
• Pidä puhelin ja sen suojausasetukset ajan tasalla.

Kirjautumiseen käytettävän tilin tai puhelinnumeron hyvä suojaaminen vähentää myös niihin tukeutuvien palvelujen riskejä.

7. Mitä tapahtuu, jos menetät käyttöoikeuden?

On tärkeää miettiä, mitä tapahtuu, jos menetät pääsyn tiliin tai puhelinnumeroon, jolla kirjaudut palveluihin.

Jos menetät pääsyn päätiliisi, sinulla voi olla vaikeuksia päästä myös palveluihin, joihin olet kirjautunut kyseisellä tilillä.

Jos menetät puhelinnumerosi tai vaihdat sen, myös niiden palvelujen käyttö voi vaikeutua, joissa numeroa käytetään kirjautumiseen tai tilin palauttamiseen.

Käyttäjätilin palauttaminen

Tarkista jo ennen ongelmatilannetta, miten voit palauttaa käyttäjätilisi, jos et pysty kirjautumaan sisään. Palvelusta riippuen palauttamiseen voidaan käyttää palautussähköpostiosoitetta, puhelinnumeroa, varakoodeja tai muuta palautusmenetelmää.

8. Minkä kirjautumistavan valitsisit? – IT-Digiturvan suositus

Yhtä kaikissa tilanteissa parasta kirjautumistapaa ei ole. Valinta riippuu siitä, kuinka tärkeä käyttäjätili on ja kuinka usein käytät sitä.

Vähemmän tärkeät tai satunnaisesti käytettävät palvelut

Hyvin suojatun olemassa olevan tilin käyttäminen voi olla kätevä vaihtoehto. Varmista, että tili on suojattu hyvillä tietoturvakäytännöillä, kuten MFA:lla tai passkeylla.

Tärkeät ja usein käytettävät käyttäjätilit

IT-Digiturva suosittelee luomaan tärkeisiin palveluihin erillisen käyttäjätilin suoraan kyseiseen palveluun sen sijaan, että kirjautuisit toisen palveluntarjoajan tilillä.

Erillisellä käyttäjätilillä on oma kirjautumistapansa, kuten yksilöllinen salasana ja MFA tai passkey. Suojaa tili hyvin ja pidä sen palautusmenetelmät ajan tasalla.

Näin käyttäjätili ei ole yhtä riippuvainen päätilistäsi, ja päätilin käyttöoikeuden menettämisen vaikutukset voivat jäädä pienemmiksi.

Entä puhelinnumerolla kirjautuminen?

Puhelinnumerolla kirjautuminen voi olla kätevää, mutta se riippuu puhelinnumerostasi ja usein myös tekstiviesteistä. Tärkeiden käyttäjätilien kohdalla IT-Digiturva suosittelee erillistä käyttäjätiliä sen sijaan, että luottaisit pelkästään puhelinnumeroon.

Valitsitpa minkä tahansa kirjautumistavan, käytä hyviä tietoturvakäytäntöjä ja varmista, että pystyt palauttamaan tilisi, jos jokin menee pieleen.

9. Yhteenveto

Kaikille sopivaa yhtä parasta kirjautumistapaa ei ole. Jokaisella vaihtoehdolla on omat hyötynsä ja riskinsä, joten huomioi sekä helppokäyttöisyys että tietoturva, kun luot käyttäjätiliä.

Valitsitpa minkä tahansa vaihtoehdon, hyvät tietoturvakäytännöt ovat välttämättömiä. Suojaa tilisi, käytä MFA:ta tai passkeyta, jos ne ovat saatavilla, ja varmista, että pystyt palauttamaan tilisi, jos jokin menee pieleen.

Tärkeintä ei ole vain se, minkä kirjautumistavan valitset, vaan myös se, kuinka hyvin suojaat sitä.

Päivitetty 05.10.2026

Varmenteet ovat turvallisen viestinnän perusta internetissä ja organisaatioiden sisäisissä verkoissa. Niiden avulla tunnistetaan järjestelmiä, palveluita, käyttäjiä ja laitteita sekä rakennetaan luottamus, jota turvallinen tiedonsiirto edellyttää.

Tässä oppaassa käydään läpi, miten varmenteet ja avainparit toimivat, mikä on Certificate Signing Requestin (CSR) rooli, miten luottamusketju toimii sekä miten yleiset tiedostomuodot, kuten .crt, .key, .pem ja .pfx, liittyvät toisiinsa.

Mikä on varmenne?

Digitaalinen varmenne on digitaalinen vastine passille tai henkilöllisyystodistukselle.

Siinä missä passi todistaa henkilöllisyytesi fyysisessä maailmassa, varmenne tunnistaa järjestelmän, palvelun, käyttäjän tai laitteen digitaalisessa maailmassa. Se sisältää tunnistetietoja, joita muut järjestelmät voivat tarkastella ja todentaa.

Varmenne sisältää myös julkisen avaimen, joka toimii kyseisen digitaalisen identiteetin julkisena osana. Varmenne voi esimerkiksi väittää:

”This public key belongs to api.example.com.”

Varmennuksen aitouden varmistamiseksi Certificate Authority (CA) eli varmentaja validoi pyynnön ja allekirjoittaa varmenteen – samalla tavoin kuin luotettu passiviranomainen myöntää ja vahvistaa fyysisen passin.

Keskeiset käsitteet

• Varmenne: Digitaalinen identiteettiasiakirja, joka sisältää tunnistetietoja ja julkisen avaimen.
• Julkinen avain: Kryptografisen identiteetin julkinen osa, jonka voi jakaa vapaasti.
• Yksityinen avain: Salainen todiste siitä, että avaimen haltija hallitsee vastaavaa julkista avainta. Sitä ei koskaan jaeta.
• CA:n allekirjoitus: Luotettu allekirjoitus, jonka avulla asiakas voi varmistaa, että CA on myöntänyt varmenteen eikä sitä ole muutettu.

Varmenteita käytetään yleisesti HTTPS/TLS-yhteyksissä, palvelimen ja asiakkaan autentikoinnissa, turvallisessa palveluiden välisessä viestinnässä sekä Mutual TLS (mTLS) -ratkaisuissa.

Julkiset ja yksityiset avaimet

Varmenteet perustuvat julkisen avaimen kryptografiaan. Kryptografinen avainpari koostuu kahdesta matemaattisesti toisiinsa liittyvästä avaimesta: julkisesta ja yksityisestä. Yksityistä avainta ei käytännössä voida johtaa julkisesta avaimesta.

• Julkinen avain: Sisältyy varmenteeseen ja voidaan jakaa kaikille. Muut järjestelmät käyttävät sitä esimerkiksi digitaalisten allekirjoitusten tarkistamiseen ja turvallisten yhteyksien muodostamiseen.
• Yksityinen avain: Pidetään ehdottoman salassa. Sitä käytetään esimerkiksi digitaalisten allekirjoitusten luomiseen ja sen todistamiseen, että vastaava yksityinen avain on hallussa.

Tärkein asia: Varmenne kertoo maailmalle, kuka väität olevasi, ja sisältää julkisen avaimesi. Yksityinen avain antaa kryptografisen todisteen siitä, että todella hallitset kyseistä identiteettiä.

Certificate Signing Request (CSR)

Ennen kuin CA myöntää varmenteen, sitä pyydetään Certificate Signing Requestin (CSR) avulla.

CSR sisältää varmenteelle pyydettävät tunnistetiedot (esimerkiksi verkkotunnuksen ja organisaation) sekä julkisen avaimesi. Tämän jälkeen allekirjoitat CSR:n digitaalisesti yksityisellä avaimellasi.

Yksityistä avainta ei koskaan sisällytetä CSR:ään. Allekirjoitus ainoastaan todistaa CA:lle, että hallussasi on lähettämääsi julkista avainta vastaava yksityinen avain. CA validoi pyynnön ja päättää tämän jälkeen, mitä tunnistetietoja myönnettyyn varmenteeseen sisällytetään.

Myöntämisprosessi

1. Luo avainpari — Luodaan yksityinen ja julkinen avain

Luot yksityisen avaimen (server.key) ja sitä vastaavan julkisen avaimen.

openssl genrsa -out server.key 2048

2. Luo CSR — Pakataan julkinen avain ja tunnistetiedot

Pakkaat julkisen avaimen ja tunnistetiedot CSR:ään (server.csr) ja allekirjoitat sen yksityisellä avaimellasi.

openssl req -new -key server.key -out server.csr

3. Lähetä CA:lle — Yksityinen avain pysyy paikallisesti

Lähetät server.csr-tiedoston Certificate Authoritylle. Yksityinen avain pysyy suojatusti omassa järjestelmässäsi.

4. Validointi ja myöntäminen — CA myöntää allekirjoitetun varmenteen

CA validoi pyynnön ja myöntää hyväksynnän jälkeen varsinaisen varmenteen (server.crt).

Luottamusketju

Palvelin esittää harvoin vain yhtä varmennetta. Koska käyttöjärjestelmät ja selaimet luottavat rajattuun joukkoon Root CA -varmenteita, niiden ja palvelimen varmenteen välissä käytetään Intermediate CA -varmentajia.

┌────────────────────────────────────────────────────────────┐
│                         Root CA                             │
│     Trusted; stored locally in OS / browser trust store    │
└──────────────────────────────┬─────────────────────────────┘
                               │ signs
                               ▼
┌────────────────────────────────────────────────────────────┐
│                    Intermediate CA                          │
│           Issued by root; signs end-entity certs            │
└──────────────────────────────┬─────────────────────────────┘
                               │ signs
                               ▼
┌────────────────────────────────────────────────────────────┐
│                  Päätevarmenne                     │
│                Palvelimesi varmenne: server.crt          │
└────────────────────────────────────────────────────────────┘

Todistaakseen identiteettinsä palvelin esittää tyypillisesti varmenneketjun, joka sisältää sen päätevarmenteen sekä tarvittavat välivarmenteet.

Jos tarvittava välivarmenne puuttuu, asiakas ei välttämättä pysty muodostamaan luottamusketjua ja voi ilmoittaa varmenteen validointivirheestä.

Tiedostoina luottamusketju toimitetaan yleensä yhtenä ketjutettuna tiedostona:

fullchain.pem
(Päätevarmenne + välivarmenteet)

Yleiset varmennetiedostomuodot

Kryptografiassa tiedostopäätteet ovat suurelta osin käytäntöjä. .pem-tiedosto voi sisältää varmenteen tai yksityisen avaimen, ja .crt-tiedosto voi olla tekstiä (PEM) tai binäärimuodossa (DER). Pelkkä tiedostopääte ei siis luotettavasti kerro, mitä tiedosto sisältää.

Jos olet epävarma tiedoston sisällöstä, tarkista sen sisältö.

1. .crt / .cer — Varmenne

Sisältää yleensä varmenteen tiedot:

• Subject / kohde
• Julkinen avain
• Myöntäjä
• Voimassaoloaika
• CA:n allekirjoitus

Varmennetiedosto ei normaalisti sisällä yksityistä avainta.

2. .key — Yksityinen avain

Sisältää arkaluonteisen yksityisen avaimesi. Jos hyökkääjä saa tämän tiedoston haltuunsa, hän voi mahdollisesti esiintyä palvelimenasi tai muuten käyttää väärin sen kryptografista identiteettiä.

Varoitus: Käsittele .key-tiedostoja erittäin arkaluonteisina salaisuuksina. Älä koskaan siirrä yksityisiä avaimia salaamattomia kanavia pitkin tai tallenna niitä versionhallintaan.

3. .pem — Privacy-Enhanced Mail

PEM on tekstipohjainen koodaustapa, jota käytetään yleisesti kryptografiselle materiaalille. Se sisältää tyypillisesti Base64-koodattua dataa, jota ympäröivät ASCII-muotoiset BEGIN/END-merkit.

Yksi .pem-tiedosto voi sisältää varmenteen, yksityisen avaimen tai kokonaisen varmenneketjun.

Esimerkki varmenteesta PEM-muodossa:

-----BEGIN CERTIFICATE-----
MIIE...[Base64 encoded data]...
-----END CERTIFICATE-----

Esimerkki yksityisestä avaimesta PEM-muodossa:

-----BEGIN PRIVATE KEY-----
MIIE...[Base64 encoded data]...
-----END PRIVATE KEY-----

DER vs. PEM:

DER on binäärikoodaus. PEM sisältää yleensä Base64-koodattua DER-dataa, jonka ympärillä ovat BEGIN/END-merkit.

Jos avaat kryptografisen tiedoston tekstieditorissa ja näet luettavan BEGIN/END-rakenteen sijaan raakaa binääridataa, tiedosto saattaa olla DER-muodossa.

4. .pfx / .p12 — PKCS#12

PKCS#12-arkisto on säilö, joka voi sisältää useita kryptografisia objekteja — tyypillisesti varmenteen, yksityisen avaimen ja varmenneketjun — yhdessä tiedostossa.

Se on yleensä suojattu salasanalla, ja sitä käytetään laajasti Windows/IIS-ympäristöissä sekä avainparien turvalliseen siirtämiseen.

Tietojen purkaminen .pfx-tiedostosta OpenSSL:n avulla

Pura vain varmenne:

openssl pkcs12 -in server.pfx -clcerts -nokeys -out certificate.pem

Pura salaamaton yksityinen avain:

openssl pkcs12 -in server.pfx -nocerts -nodes -out private-key.key

Huom: OpenSSL:n uudemmissa versioissa -nodes-valitsimen sijaan käytetään -noenc-valitsinta.

Ole erittäin varovainen purkaessasi salaamatonta yksityistä avainta.

Varmennetiedostojen tarkastaminen OpenSSL:n avulla

Kun saat varmennetiedoston etkä ole varma, mitä se sisältää, voit tarkastaa sen OpenSSL:n avulla.

Tarkasta varmenne:

openssl x509 -in certificate.pem -text -noout

Komento näyttää esimerkiksi kohteen, myöntäjän, voimassaoloajan, julkisen avaimen ja laajennukset muuttamatta tiedostoa.

Tarkasta yksityinen avain:

openssl pkey -in private-key.pem -text -noout

Komento näyttää tietoja yksityisestä avaimesta. Käsittele tulostetta varoen, sillä se voi sisältää arkaluonteista avainmateriaalia.

PKCS#12-tiedostot, kuten .pfx ja .p12, voi tarkastaa ilman niiden sisällön purkamista:

openssl pkcs12 -in server.pfx -info -noout

Näistä komennoista on hyötyä erityisesti silloin, kun tiedoston nimi tai pääte ei kerro selvästi, mitä kryptografista materiaalia tiedosto sisältää.

Sisäiset CA:t ja itse allekirjoitetut varmenteet

Kaikki varmenteet eivät tule julkisilta CA:ilta.

• Itse allekirjoitetut varmenteet: Varmenne on allekirjoitettu omalla yksityisellä avaimellaan CA:n sijaan. Selaimet ja muut asiakkaat eivät yleensä luota siihen, ellei sitä ole erikseen lisätty luottamusvarastoon. Näitä käytetään yleisesti paikallisessa kehityksessä, testauksessa, laboratorioissa ja muissa hallituissa ympäristöissä.
• Sisäiset (private) CA:t: Organisaatiot voivat luoda omia Root CA -varmentajia sisäisen liikenteen, Kubernetes-klustereiden, VPN-yhteyksien ja muiden sisäisten palveluiden suojaamiseen. Organisaatio jakaa sisäisen Root CA:n hallinnoiduille päätelaitteille, jolloin nämä järjestelmät voivat luottaa sisäisen CA:n myöntämiin varmenteisiin.

Mutual TLS (mTLS)

Tavallinen TLS tarjoaa yksisuuntaisen autentikoinnin: asiakas todentaa palvelimen.

Mutual TLS:ssä (mTLS) autentikointi tapahtuu molempiin suuntiin.

Client                                  Server
  │                                       │
  │─────── 1. Connects & requests TLS ───>│
  │                                       │
  │<────── 2. Sends Server Certificate ───│
  │       (Asiakas todentaa palvelimen)        │
  │                                       │
  │<────── 3. Requests Client Cert ───────│
  │                                       │
  │─────── 4. Sends Client Certificate ──>│
  │       (Palvelin todentaa asiakkaan)        │
  │                                       │
  │<────── 5. Server verifies Client ─────│
  │       (TLS-yhteys muodostetaan)    │

mTLS:n avulla palvelut voivat todentaa asiakkaat ja rajoittaa yhdessä valtuutussääntöjen kanssa yhteydet vain hyväksytyille asiakkaille.

Sitä käytetään yleisesti Zero Trust -arkkitehtuureissa ja service mesh -ympäristöissä palveluiden välisen liikenteen salaamiseen ja osapuolten molemminpuoliseen todentamiseen.

Automaatio ja elinkaaret

Varmenteet vanhenevat. Historiallisesti varmenteet olivat usein voimassa useita vuosia. Nykyään ala siirtyy yhä enemmän lyhytkestoisempiin varmenteisiin, ja 90 päivän varmenteet ovat yleisiä automatisoiduissa julkisten CA:iden työnkuluissa. Tämä ei kuitenkaan tarkoita, että jokainen varmenne olisi voimassa 90 päivää; voimassaoloaika riippuu CA:sta, varmenteen tyypistä ja myöntämiskäytännöstä.

Tämä kehitys tekee manuaalisesta uusimisesta yhä epäkäytännöllisempää.

ACME-protokollan kaltaiset ratkaisut — joita käyttävät esimerkiksi Let’s Encrypt ja cert-manager — mahdollistavat varmenteiden automaattisen myöntämisen ja uusimisen, mukaan lukien verkkotunnuksen validoinnin ja uusien varmenteiden hankkimisen ennen vanhenemista.

Työkalut, kuten cert-manager, voivat automatisoida myös avainten ja CSR:ien luonnin sekä varmenteiden käyttöönoton.

Pikaopas

Päivitetty 04.10.2026

Useimmat ihmiset käyttävät digitaalisia varmenteita huomaamattaan aina, kun he käyttävät verkkosivustoa HTTPS-yhteyden kautta.

Kun näet esimerkiksi tällaisen osoitteen:

https://example.com

https tarkoittaa, että HTTP-liikenne kulkee TLS:n (Transport Layer Security) suojattuna.

Yksinkertaisesti ajateltuna suhde voidaan esittää näin:

HTTPS
  ↓
HTTP TLS:n yli
  ↓
TLS-kättely
  ↓
Palvelimen todentaminen
+
Avainten muodostaminen
  ↓
Suojattu yhteys

Tärkeää on erottaa nämä käsitteet toisistaan:

• HTTPS tarkoittaa HTTP-liikennettä, joka on suojattu TLS:llä.
• TLS on protokolla, joka muodostaa ja suojaa yhteyden.
• Varmenne auttaa todentamaan palvelimen identiteetin.
• Istuntoavaimet suojaavat varsinaisen viestinnän.

Käytännön esimerkki

Oletetaan, että avaat osoitteen:

https://example.com

Selaimesi ei yksinkertaisesti oleta, että yhteyden toisessa päässä oleva palvelin todella on example.com.

Hyvin yksinkertaistettuna prosessi näyttää tältä:

1. Selain muodostaa yhteyden example.com-palvelimeen
              ↓
2. Palvelin lähettää varmenteensa
              ↓
3. Selain tarkistaa varmenteen
              ↓
4. TLS-kättely muodostaa yhteydelle tarvittavat avaimet
              ↓
5. HTTPS-liikenne alkaa

Varmenteen avulla selain voi tarkistaa, että palvelimen esittämä varmenne on voimassa kyseiselle verkkotunnukselle ja että varmenneketju voidaan todentaa luotettuun Certificate Authorityyn (CA) asti.

TLS puolestaan suorittaa tarvittavat kryptografiset toiminnot palvelimen todentamiseksi ja yhteyden suojaamiseen käytettävien avainten muodostamiseksi.

Voit tarkastella näitä tietoja itse useimmissa selaimissa valitsemalla HTTPS-osoitteen vieressä olevan lukko-/sivustotietokuvakkeen ja avaamalla yhteys- tai varmennetiedot.

Näet yleensä esimerkiksi:

• varmenteen verkkotunnukset
• myöntäjän
• voimassaoloajan
• julkiseen avaimeen liittyviä tietoja
• varmenneketjun

Mitä TLS tekee?

TLS on tietoturvaprotokolla, jonka avulla voidaan muodostaa suojattu yhteys asiakkaan ja palvelimen välille.

Kun esimerkiksi selaimesi muodostaa yhteyden verkkosivustoon, TLS yhdessä varmenteen tarkistamisen kanssa auttaa tarjoamaan:

• Palvelimen todentamisen — asiakas voi tarkistaa palvelimen identiteetin varmenteen perusteella
• Luottamuksellisuuden — siirrettävä data suojataan luvattomalta lukemiselta
• Eheyden — liikenteeseen tehdyt muutokset voidaan havaita

TLS-yhteyden muodostaminen sisältää useita kryptografisia toimintoja.

Yksi tärkeä osa prosessia on palvelimen lähettämä digitaalinen varmenne. Varmenne sisältää tietoja, joiden avulla palvelin voidaan todentaa TLS-kättelyn yhteydessä.

Kättelyn jälkeen TLS käyttää istuntoavaimia (session keys) selaimen ja palvelimen välisen HTTP-datan suojaamiseen.

Mihin varmennetta käytetään?

Kaikkein yksinkertaisimmillaan varmenne auttaa selainta tarkistamaan, että yhteyden toisessa päässä oleva palvelin on se, joka se väittää olevansa.

Palvelimen varmenne sisältää tietoja palvelimen identiteetistä, kuten verkkotunnuksesta, sekä palvelimen julkisen avaimen.

Varmenteen on allekirjoittanut Certificate Authority (CA). Tämän avulla selain voi tarkistaa, kuuluuko varmenne sellaiseen varmenneketjuun, johon se luottaa.

Yksinkertaisesti sanottuna varmenne muodostaa luotetun yhteyden identiteetin ja julkisen avaimen välille.

Kun esimerkiksi avaat:

https://example.com

palvelin lähettää varmenteensa selaimelle.

Selain voi tämän jälkeen tarkistaa esimerkiksi:

• Onko varmenne voimassa example.com-osoitteelle?
• Onko varmenne edelleen voimassa?
• Johtaako varmenneketju Certificate Authorityyn, johon selain luottaa?
• Voidaanko varmenneketju todentaa oikein?

Jos tarvittavat tarkistukset onnistuvat, varmennetta voidaan käyttää osana palvelimen todentamista TLS-kättelyn aikana.

Julkinen ja yksityinen avain

Palvelimen varmenne sisältää palvelimen julkisen avaimen (public key). Palvelimella on lisäksi siihen liittyvä yksityinen avain (private key), joka pidetään salassa.

Julkinen avain voidaan jakaa avoimesti. Yksityinen avain on pidettävä sen omistajan hallussa.

TLS-kättelyn aikana kryptografisia menetelmiä käytetään palvelimen todentamiseen ja yhteisten istuntoavainten (session keys) muodostamiseen selaimen ja palvelimen välille.

Yksityistä avainta ei koskaan lähetetä selaimelle.

Yksinkertaistettuna:

Varmenne
    ↓
Sisältää julkisen avaimen
    ↓
Selain tarkistaa varmenteen
    ↓
TLS-kättely
    ↓
Palvelimen todentaminen
+
Avainten muodostaminen
    ↓
Yhteiset istuntoavaimet
    ↓
Suojattu HTTPS-liikenne

Tärkeä ero on, että varmenne ja julkisen/yksityisen avaimen järjestelmä liittyvät ennen kaikkea todentamiseen ja avainten muodostamiseen, kun taas muodostettuja istuntoavaimia käytetään varsinaisen liikenteen suojaamiseen.

Tarkat kryptografiset menetelmät riippuvat käytetystä TLS-versiosta ja neuvotelluista algoritmeista. TLS-kättelyn aikana asiakas ja palvelin suorittavat kryptografisia toimintoja, joiden avulla palvelin voidaan todentaa ja yhteydelle voidaan muodostaa tarvittavat istuntoavaimet.

Tämän artikkelin kannalta riittää seuraava malli:

Varmenne
    ↓
Yhdistää identiteetin julkiseen avaimeen
    ↓
TLS todentaa palvelimen
ja muodostaa istuntoavaimet
    ↓
Istuntoavaimet suojaavat viestinnän

HTTPS on vain yksi käyttötapaus

Verkkosivustot ovat todennäköisesti tutuin esimerkki, mutta varmenteita käytetään paljon muuallakin kuin HTTPS-yhteyksissä.

Samoja perusperiaatteita käytetään esimerkiksi:

• mTLS (mutual TLS) — sekä asiakas että palvelin todentavat toisensa varmenteiden avulla
• Sovellusten tunnistautuminen — sovellus voi todistaa identiteettinsä toiselle palvelulle
• Laitteiden tunnistautuminen — laitteet voivat käyttää varmenteita identiteettinsä todentamiseen
• Digitaaliset allekirjoitukset — varmenteiden avulla voidaan yhdistää julkinen avain tiettyyn identiteettiin

Digitaalisissa allekirjoituksissa on tärkeää erottaa varmenne itse allekirjoituksesta.

Varmenne voi yhdistää identiteetin julkiseen avaimeen, kun taas vastaavaa yksityistä avainta käytetään digitaalisen allekirjoituksen luomiseen.

Tämän vuoksi varmenteet ovat tärkeitä monilla modernin IT:n alueilla, eivät vain verkkoselaimissa.

Mitä varmenne ei tee?

On myös hyödyllistä ymmärtää, mitä varmenne ei tee.

Varmenne ei:

• salaa kaikkea dataa itsessään
• sisällä palvelimen yksityistä avainta
• takaa, että verkkosivusto on luotettava
• takaa, että verkkosivusto ei sisällä haittaohjelmia, huijauksia tai muita tietoturvaongelmia

Esimerkiksi haitallinen tai phishing-sivusto voi käyttää HTTPS-yhteyttä ja sillä voi silti olla voimassa oleva varmenne.

Voimassa oleva varmenne tarkoittaa ensisijaisesti sitä, että varmenteen ja identiteetin tarkistukset ovat onnistuneet kyseisen luottamusjärjestelmän vaatimusten mukaisesti.

Se ei tarkoita, että verkkosivusto itsessään olisi turvallinen tai luotettava.

Perusmalli

Tässä vaiheessa tärkeintä on muistaa seuraavat suhteet:

HTTPS
  ↓
HTTP TLS:n yli
  ↓
TLS todentaa osapuolet
ja muodostaa suojatun yhteyden
  ↓
Varmenteet auttavat todentamaan identiteetin
  ↓
Avainten muodostaminen tuottaa istuntoavaimet
  ↓
Istuntoavaimet suojaavat HTTP-liikenteen

Ja varmenteen osalta:

Varmenne
    ↓
Identiteetti + julkinen avain
    ↓
Certificate Authorityn allekirjoittama
    ↓
Käytetään osana todentamista

Varmenne sisältää palvelimen julkisen avaimen, mutta ei vastaavaa yksityistä avainta. Yksityinen avain on pidettävä salassa sen omistajalla.

Tämän pohjalta voidaan siirtyä seuraavaan kysymykseen:

Mitä varmenteen sisällä oikeastaan on?

Mikä on yksityinen avain?

Mikä on CSR?

Ja miksi käytössämme on tiedostoja kuten:

.pfx
.p12
.crt
.key
.pem
.csr

Näitä aiheita käsitellään seuraavassa artikkelissa:

Varmenteet ja varmennetiedostot

Seuraavassa artikkelissa tarkastelemme, mitä varmenteet ja avaimet oikeastaan sisältävät, miten ne luodaan, miten ne liittyvät toisiinsa ja miksi sama varmennettu identiteetti voi esiintyä eri tiedostomuodoissa.

13.09.2026

Päästä päähän -salaus (End-to-End Encryption, E2EE) suojaa viestejä niin, että normaalitilanteessa vain viestin lähettäjä ja vastaanottaja voivat lukea sen. Viesti salataan lähettäjän laitteella ja puretaan vastaanottajan laitteella. Viestipalvelin toimii lähinnä viestin välittäjänä: se voi toimittaa salatun viestin eteenpäin, mutta ei normaalisti pysty lukemaan sen sisältöä.

Päästä päähän -salauksellakaan ei kuitenkaan voi piilottaa kaikkea. Esimerkiksi metatiedot, kuten se, kenen kanssa viestitellään ja milloin, voivat edelleen olla näkyvissä. Salaus ei myöskään auta, jos itse laite on murrettu tai jos viesteistä on olemassa suojaamaton varmuuskopio.

Pelkkä salaus ei myöskään vielä kerro, kenen kanssa oikeasti kommunikoidaan. Man-in-the-Middle-hyökkäyksessä (MITM) hyökkääjä yrittää saada molemmat osapuolet uskomaan, että hyökkääjän salausavain kuuluu toiselle osapuolelle. Tällöin hyökkääjä voi mahdollisesti purkaa viestejä, lukea niitä ja salata ne uudelleen ennen niiden välittämistä eteenpäin. Molemmat osapuolet voivat samalla kuvitella keskustelevansa suoraan toistensa kanssa.

Tässä kohtaa turvanumerot (security numbers tai safety numbers) tulevat mukaan. Jotkin päästä päähän -salausta käyttävät viestisovellukset, kuten WhatsApp ja Signal, tarjoavat yksilöllisen numeron tai koodin, joka perustuu keskustelun osapuolten identiteettiavaimiin.

Käyttäjät voivat verrata tätä numeroa tai koodia keskenään ja varmistaa, että heidän käyttämänsä identiteettiavaimet ovat juuri ne, joita niiden pitäisi olla. Tämä kannattaa tehdä esimerkiksi skannaamalla toisen henkilön QR-koodi kasvokkain tai vertaamalla koodia jonkin muun luotettavan viestintäkanavan kautta. Näin hyökkääjän on paljon vaikeampi vaihtaa avaimia omiin avaimiinsa huomaamatta.

Turvanumeron tarkistaminen ei itsessään estä MITM-hyökkäystä. Sen tarkoitus on ennen kaikkea auttaa havaitsemaan odottamattomat muutokset identiteettiavaimissa.

Jos turvanumero muuttuu yhtäkkiä, siihen voi olla täysin harmiton syy, kuten uuden puhelimen käyttöönotto tai sovelluksen uudelleenasennus. Muutos voi kuitenkin tarkoittaa myös sitä, että identiteettiavain on vaihtunut. Siksi muutos kannattaa tarkistaa ennen kuin uuteen avaimeen luotetaan.

Jotkin sovellukset ilmoittavat tällaisista muutoksista automaattisesti ja voivat esimerkiksi pyytää käyttäjää vahvistamaan muutoksen ennen viestinnän jatkamista. Käytännössä turvanumeroista ei kuitenkaan ole paljon hyötyä, jos käyttäjät eivät koskaan tarkista niitä.

Lyhyesti sanottuna päästä päähän -salaus suojaa viestin sen siirtyessä lähettäjältä vastaanottajalle, kun taas turvanumeron tarkistaminen auttaa varmistamaan, että salattu yhteys on todella oikean henkilön kanssa. Näin voidaan pienentää onnistuneen Man-in-the-Middle-hyökkäyksen riskiä.

Sama peruskysymys tulee vastaan myös silloin, kun kommunikoimme turvallisesti verkossa: mistä tiedämme, kenen kanssa oikeasti kommunikoimme? Viestisovelluksissa turvanumeroiden avulla voidaan tarkistaa, että käytössä on juuri oikean henkilön identiteettiavain. Verkkoyhteyksissä HTTPS, TLS ja digitaaliset varmenteet toimivat yhdessä salauksen ja palvelimen identiteetin varmistamisen kanssa.

Seuraavassa luvussa katsotaan tarkemmin HTTPS:ää, TLS:ää ja varmenteita sekä sitä, miten nämä osat toimivat yhdessä turvallisen yhteyden muodostamiseksi.

06.09.2026

WhatsAppin ja Signalin kaltaiset viestisovellukset käyttävät päästä päähän -salausta yksityisten keskustelujen suojaamiseen. Tämä tarkoittaa, että viestit on suunniteltu näkymään vain lähettäjälle ja vastaanottajalle. Vahva salaus ei kuitenkaan suojaa käyttäjiä kaikilta kyberturvallisuusuhilta. Rikolliset voivat sen sijaan yrittää hyökätä käyttäjätileihin tai laitteisiin tai huijata käyttäjiä esimerkiksi sosiaalisen manipuloinnin avulla.

Tilien kaappaaminen ja sosiaalinen manipulointi

Yksi suurimmista riskeistä on käyttäjätilin kaappaaminen. Rikolliset voivat yrittää ottaa WhatsApp- tai Signal-tilin hallintaansa ja käyttää sitä sen jälkeen yhteydenottoihin uhrin ystäviin, perheenjäseniin tai työtovereihin. Koska viestit tulevat tutulta tililtä, vastaanottaja saattaa luottaa niihin helpommin.

Hyökkääjät käyttävät usein sosiaalista manipulointia eli pyrkivät huijaamaan ihmisiä luovuttamaan tietoja tai tekemään jotain, mikä vaarantaa heidän turvallisuutensa. He voivat esimerkiksi esiintyä ystävänä, lähettää kutsun ryhmään, pyytää skannaamaan QR-koodin tai väittää, että käyttäjän tilissä on ongelma.

Tietojenkalastelu ja vahvistuskoodihuijaukset

Tietojenkalastelu eli phishing on toinen merkittävä uhka. Rikolliset voivat lähettää viestejä, jotka näyttävät tulevan viestisovelluksen palvelusta, ja pyytää käyttäjää antamaan vahvistuskoodin, PIN-koodin tai muita turvallisuuteen liittyviä tietoja.

Vahvistuskoodeja ei saa koskaan antaa toiselle henkilölle. Jos rikollinen saa tällaisen koodin haltuunsa, hän voi joissakin tilanteissa rekisteröidä uhrin puhelinnumeron toiselle laitteelle ja saada tilin hallintaansa.

SIM-kortin vaihtamiseen perustuvat hyökkäykset

SIM-kortin vaihtaminen eli SIM-swap on yksi mahdollinen tapa kaapata käyttäjätili. Tässä hyökkäyksessä rikollinen yrittää saada matkapuhelinoperaattorin siirtämään uhrin puhelinnumeron rikollisen hallussa olevalle SIM-kortille.

Jos hyökkääjä saa tämän jälkeen tekstiviestillä lähetettävät vahvistuskoodit, hän saattaa pystyä rekisteröimään uhrin viestisovelluksen toiselle laitteelle. Siksi oman puhelinnumeron suojaaminen ja ylimääräisten turvaominaisuuksien käyttäminen ovat tärkeitä.

Esiintyminen toisena henkilönä ja huijaukset

Kun rikollinen on saanut tilin haltuunsa, hän voi esiintyä tilin oikeana omistajana. Hän voi esimerkiksi vaihtaa profiilin nimeä tai kuvaa ja lähettää yhteyshenkilöille viestejä, joiden tarkoituksena on saada nämä luottamaan häneen.

Suomen Kyberturvallisuuskeskus on varoittanut, että kaapattuja viestitilejä voidaan käyttää huijauksiin. Yksinkertainen viesti, kuten kuulumisten kysyminen, voi olla alkuna pidemmälle sosiaalisen manipuloinnin yritykselle.

Haitalliset linkit

Rikolliset voivat myös lähettää linkkejä, jotka johtavat tietojenkalastelusivustoille tai muuhun haitalliseen sisältöön. Viestit voivat näyttää siltä, että ne ovat tulleet ystävältä tai muulta tutulta henkilöltä.

Odottamattomien linkkien avaamisessa kannattaa olla varovainen, erityisesti jos viesti yrittää luoda kiireen tunnetta tai pyytää salasanaa, vahvistuskoodia tai muita yksityisiä tietoja.

Luvattomasti yhdistetyt laitteet

Viestisovelluksissa käyttäjätili voidaan yhdistää myös muihin laitteisiin. Jos rikollinen onnistuu yhdistämään tilille tuntemattoman laitteen, hän voi joissakin tilanteissa päästä käyttämään tiliä ilman, että käyttäjän puhelin olisi hänen hallussaan.

Käyttäjien kannattaa tarkistaa säännöllisesti tilille yhdistetyt laitteet ja poistaa kaikki laitteet, joita he eivät tunnista.

Viestisovelluksen tueksi tekeytyminen

Yksi huijaustapa on esiintyä viestisovelluksen tukipalveluna. Esimerkiksi Suomen Kyberturvallisuuskeskus on varoittanut huijauksesta, jossa rikolliset tekeytyvät Signal-tueksi ja yrittävät saada käyttäjiltä heidän 64-merkkisen palautusavaimensa Signal Secure Backups -varmuuskopioihin.

Signal Secure Backups -varmuuskopiot on suojattu päästä päähän -salauksella, ja palautusavain on vain käyttäjän hallussa. Signal ei voi käyttää avainta käyttäjän puolesta. Siksi palautusavainta ei saa koskaan antaa henkilölle, joka väittää olevansa Signal-tuen edustaja.

Tämä esimerkki osoittaa, että myös turvallisiksi suunnitellut viestisovellukset voivat joutua sosiaalisen manipuloinnin kohteeksi. Salausta ei tarvitse murtaa, jos käyttäjä saadaan huijattua paljastamaan tärkeitä turvallisuustietoja.

Miten voit suojautua?

Viestitilien turvallisuutta voi parantaa useilla tavoilla:

• Älä koskaan jaa vahvistuskoodeja, PIN-koodeja, salasanoja tai palautusavaimia kenellekään.
• Ota käyttöön kaksivaiheinen tunnistautuminen tai muut tarjolla olevat tilin lisäsuojausominaisuudet.
• Käytä vahvaa PIN-koodia ja pidä se salassa.
• Tarkista säännöllisesti tiliin yhdistetyt laitteet ja poista tuntemattomat laitteet.
• Ole varovainen odottamattomien linkkien, QR-koodien ja ryhmäkutsujen kanssa.
• Huolehdi siitä, että puhelinnumerosi pysyy omassa hallinnassasi.
• Rajoita mahdollisuuksien mukaan sitä, kuka voi nähdä henkilötietojasi tai ottaa sinuun yhteyttä.
• Jos ystävän tili alkaa yhtäkkiä toimia oudosti, varmista asia jotain muuta viestintäkanavaa käyttäen.

Näillä toimilla voidaan vaikeuttaa merkittävästi rikollisten yrityksiä ottaa tili haltuun tai käyttää sitä huijauksiin.

Johtopäätös

WhatsApp ja Signal käyttävät vahvaa salausta viestien suojaamiseen, mutta käyttäjät voivat silti joutua kyberturvallisuusuhkien kohteeksi. Suurimmat riskit liittyvät usein sosiaaliseen manipulointiin, tietojenkalasteluun, tilien kaappaamiseen ja luvattomaan käyttöön eivätkä itse salauksen murtamiseen. Siksi valppaana pysyminen ja sovellusten tarjoamien turvaominaisuuksien käyttäminen ovat olennaisia tilien suojaamisessa.

Lyhyt yhteenveto

Viestisovellusten tärkeimpiä riskejä ovat tilien kaappaaminen, tietojenkalastelu, SIM-korttihuijaukset, toisena henkilönä esiintyminen, haitalliset linkit ja luvattomasti yhdistetyt laitteet. Riskiä voi vähentää suojaamalla vahvistuskoodit ja palautusavaimet, ottamalla käyttöön lisäturvaominaisuuksia sekä tarkistamalla säännöllisesti tiliin yhdistetyt laitteet.

Lähteet

Traficom / Kyberturvallisuuskeskus. Pikaviestitilit kiinnostavat rikollisia, ota haltuun tärkeimmät suojautumiskeinot (2026).

Traficom / Kyberturvallisuuskeskus

Traficom / Kyberturvallisuuskeskus. Signal Support -teemaista kalastelua liikkeellä (2026).

Signal Support -teemaista kalastelua liikkeellä

25.08.2026

Tekoälyn (AI) käyttö on yleistynyt viime aikoina merkittävästi sekä yksityis- että yrityskäytössä. Tämä kehitys on tuonut mukanaan myös uusia haasteita tietoturvan näkökulmasta, erityisesti peruskäyttäjille.

Huijausviestit

Tekoälyn avulla voidaan tuottaa nopeasti aiempaa uskottavampia sähköposteja, tekstiviestejä ja muita viestejä. Viestien kieliasu voi olla erittäin sujuvaa, jolloin huijauksen tunnistaminen pelkkien kirjoitusvirheiden tai epäluonnollisen kielen perusteella on vaikeampaa.

Tietojen jakaminen tekoälypalveluihin

Käyttäjä voi vahingossa syöttää tekoälypalveluun luottamuksellisia tietoja, kuten henkilötietoja, työasioita, salasanoja tai muita arkaluonteisia tietoja. Tällöin käyttäjä antaa tietoja ulkopuolisen palveluntarjoajan käsiteltäväksi, eikä hän välttämättä ymmärrä täysin, miten tietoja käsitellään, säilytetään tai käytetään. Luottamuksellisten tietojen päätyminen vääriin käsiin voi johtaa esimerkiksi yksityisyyden loukkaamiseen, huijauksiin, identiteetin väärinkäyttöön tai työpaikan luottamuksellisten tietojen paljastumiseen.

Käyttäjän tulisi siis aina harkita tarkkaan, mitä tietoja hän jakaa verkossa, riippumatta siitä, onko kyseessä tavallinen verkkopalvelu vai tekoälypalvelu.

Tekoälyn tuottaman tiedon luotettavuus

Tekoälyn tuottama tieto voi vaikuttaa uskottavalta, vaikka se sisältäisi virheitä tai olisi kokonaan virheellistä. Käyttäjän voi olla vaikea tunnistaa tällaisia virheitä, etenkin jos hänellä ei ole aiheesta aiempaa tietoa tai asiantuntemusta. Toisaalta oma osaaminen ja aiheeseen liittyvä asiantuntemus auttavat arvioimaan tekoälyn tuottaman tiedon luotettavuutta ja tunnistamaan mahdollisia virheitä.

Tämän vuoksi tekoälyn tuottamiin vastauksiin tulee suhtautua kriittisesti ja tärkeät tiedot tulisi mahdollisuuksien mukaan tarkistaa luotettavista lähteistä.

Tekoälypalveluiden turvallinen käyttö

Tekoälypalveluita käyttäessä on hyvä noudattaa samoja perusperiaatteita kuin muidenkin verkkopalveluiden kanssa. Tekoälypalveluihin ei tulisi syöttää tarpeettomasti henkilötietoja, salasanoja, työasioita tai muuta luottamuksellista tietoa.

Käyttäjän kannattaa myös suhtautua kriittisesti tekoälyn tuottamiin vastauksiin eikä pitää niitä automaattisesti oikeina. Erityisesti tärkeät tiedot on hyvä tarkistaa luotettavista lähteistä. Oma osaaminen ja asiantuntemus auttavat arvioimaan tekoälyn tuottaman tiedon luotettavuutta ja tunnistamaan mahdollisia virheitä.

Lisäksi sähköposteihin ja viesteihin tulee suhtautua kriittisesti, sillä tekoälyn avulla tuotetut huijausviestit voivat olla aiempaa uskottavampia.

Yhteenveto

Tekoäly tarjoaa käyttäjälle monia hyödyllisiä mahdollisuuksia, mutta sen käyttöön liittyy myös uusia tietoturvaan, yksityisyyteen ja tiedon luotettavuuteen liittyviä riskejä. Peruskäyttäjän kannalta keskeistä on harkita, mitä tietoja tekoälypalveluihin ja muihin verkkopalveluihin jakaa, suhtautua kriittisesti saamiinsa viesteihin ja arvioida tekoälyn tuottaman tiedon luotettavuutta.

Tekoälyä ei tarvitse välttää, mutta sen käyttö edellyttää käyttäjältä harkintaa, lähdekriittisyyttä ja oman osaamisen hyödyntämistä.

12.08.2026

Selainlaajennukset ovat pieniä ohjelmistolisäosia, jotka lisäävät verkkoselaimeen uusia ominaisuuksia ja toimintoja. Niiden avulla voit mukauttaa selainta omiin tarpeisiisi ilman, että itse selainohjelmaa tarvitsee muuttaa.

Vaikka laajennukset voivat olla hyödyllisiä, niitä kannattaa asentaa vain silloin, kun niille on todellinen tarve. Jokainen ylimääräinen laajennus voi lisätä selaimen tietoturvariskejä.

Yleisiä käyttötarkoituksia ovat esimerkiksi:

• Mainosten, seurantatyökalujen ja haitallisten sisältöjen estäminen (esim. uBlock Origin).
• Salasanojen hallinta ja vahvojen salasanojen automaattinen täyttäminen
• Kieliopin ja oikeinkirjoituksen tarkistaminen
• Verkkosivujen kääntäminen

Selainlaajennukset ja tietoturva

Selainlaajennukset integroituvat verkkoselaimeen (esim. Chromeen, Edgeen tai Firefoxiin) ja toimivat osana selainta. Vaikka ne ovat hyödyllisiä ja laajasti käytettyjä, ne voivat myös muodostaa tietoturvariskin.

Laajennukset voivat pyytää käyttöoikeuksia selaimen toimintoihin ja tietoihin. Myönnetyistä käyttöoikeuksista riippuen ne voivat päästä käsiksi esimerkiksi selaushistoriaan, evästeisiin, verkkosivujen sisältöön tai kirjautumistietoihin. Kaikki laajennukset eivät kuitenkaan tarvitse laajoja käyttöoikeuksia. Myönnä käyttöoikeuksia vain silloin, kun ne ovat laajennuksen toiminnan kannalta tarpeellisia.

Siksi on tärkeää asentaa vain luotettavia laajennuksia ja tarkistaa huolellisesti, mitä käyttöoikeuksia niille myöntää.

Selainlaajennusten tietoturvavinkit kotikäyttäjille

1. Asenna vain tarvitsemasi laajennukset

• Pidä asennettujen selainlaajennusten määrä mahdollisimman pienenä.
• Poista laajennukset, joita et enää käytä.

2. Lataa laajennukset vain virallisista kaupoista

Asenna laajennuksia ainoastaan selaimesi virallisesta laajennuskaupasta, kuten:

• Google Chrome Web Store
• Microsoft Edge Add-ons
• Mozilla Firefox Add-ons
• Safari Extensions (App Store)

3. Tarkista laajennuksen kehittäjä

Ennen laajennuksen asentamista:

• Tarkista, kuka on kehittänyt laajennuksen.
• Suosi tunnettuja ja hyvämaineisia kehittäjiä.
• Ole varovainen, jos kehittäjästä on saatavilla vain vähän tietoa.

4. Tarkista pyydetyt käyttöoikeudet

Lue huolellisesti, mitä käyttöoikeuksia laajennus pyytää ennen asentamista.

Kysy itseltäsi esimerkiksi:

• Tarvitseeko mainosten estolaajennus todella pääsyn kaikkiin tietoihini?
• Tarvitseeko laskinlaajennus oikeuden lukea kaikkia vierailemiani verkkosivustoja?

Jos pyydetyt käyttöoikeudet vaikuttavat tarpeettoman laajoilta, harkitse toisen laajennuksen käyttöä.

5. Hallitse käyttöoikeuksia

Useimmissa nykyaikaisissa selaimissa voit hallita laajennusten käyttöoikeuksia myös asennuksen jälkeen.

Voit esimerkiksi sallia laajennuksen toimivan:

• Vain napsautettaessa
• Tietyillä verkkosivustoilla
• Kaikilla verkkosivustoilla

Anna laajennukselle vain ne käyttöoikeudet, joita se todella tarvitsee.

6. Lue käyttäjäarvostelut huolellisesti

Arvosteluista voi saada hyödyllistä tietoa, mutta pelkkiin tähtiarvioihin ei kannata luottaa. Kiinnitä huomiota erityisesti:

• Tuoreisiin arvosteluihin
• Ilmoituksiin virheistä tai tietosuojaongelmista
• Valituksiin, jotka liittyvät viimeisimpiin päivityksiin

7. Pidä laajennukset ajan tasalla

• Päivitykset korjaavat usein tietoturva-aukkoja.
• Ota selaimesi automaattiset päivitykset käyttöön aina, kun se on mahdollista.

8. Poista käyttämättömät laajennukset

Vaikka et käyttäisi laajennusta aktiivisesti, se voi silti käyttää selaimen tietoja ja lisätä tietoturvariskiä.

Käy asennetut laajennukset läpi muutaman kuukauden välein ja poista tarpeettomat.

9. Tarkkaile muutoksia ja poikkeavaa toimintaa

Laajennuksen turvallisuus voi muuttua ajan myötä esimerkiksi omistajanvaihdoksen tai uuden kehittäjän vuoksi. Lisäksi laajennus saattaa alkaa pyytää uusia käyttöoikeuksia päivityksen yhteydessä.

Poista käytöstä tai poista kokonaan laajennus, jos huomaat esimerkiksi:

• Odottamattomia mainoksia
• Selaimen uudelleenohjauksia
• Selaimen hidastumista
• Uusien välilehtien avautuvan automaattisesti
• Laajennuksen pyytävän epätavallisia käyttöoikeuksia päivityksen jälkeen

10. Suojaa henkilötietosi

Älä pidä selaimessa tarpeettomia tai epäluotettavia laajennuksia. Jos et luota selaimeesi asennettuihin laajennuksiin, poista ne ennen kuin käytät verkkopankkia tai muita palveluja, joissa käsitellään arkaluonteisia tai henkilökohtaisia tietoja.

11. Ole varovainen tekoälylaajennusten kanssa

Yhä useammat selainlaajennukset hyödyntävät tekoälyä esimerkiksi tekstin kirjoittamiseen, kääntämiseen tai yhteenvetojen tekemiseen.

Älä syötä tekoälylaajennuksiin salasanoja, henkilötunnuksia, maksukorttitietoja, yrityksen luottamuksellisia tietoja tai muita arkaluonteisia tietoja, ellei niiden käsittelyyn ole erikseen hyväksyttyä käyttötapaa.

12. Työ- ja henkilökohtainen käyttö kannattaa erottaa toisistaan

Jos käytät työpaikan tietokonetta tai selainta, asenna selainlaajennuksia vain työnantajan tai organisaation ohjeiden mukaisesti. Työympäristössä laajennukset voivat vaikuttaa myös organisaation tietoturvaan.

13. Käytä tietoturvaohjelmistoja

Pidä käyttöjärjestelmä, verkkoselain ja mahdolliset tietoturvaohjelmistot ajan tasalla. Hyödynnä myös käyttöjärjestelmän sisäänrakennettuja tietoturvaominaisuuksia. Säännölliset päivitykset korjaavat tietoturva-aukkoja ja vähentävät haittaohjelmien sekä muiden tietoturvauhkien aiheuttamia riskejä.

Yhteenveto

Selainlaajennukset voivat tehdä verkkoselaimen käytöstä sujuvampaa, turvallisempaa ja tehokkaampaa. Samalla ne voivat kuitenkin muodostaa tietoturvariskin, jos ne ovat epäluotettavia, tarpeettomia tai niille on myönnetty liian laajat käyttöoikeudet.

Turvallisen käytön tärkeimmät periaatteet ovat:

• Asenna vain sellaisia laajennuksia, joille on todellinen tarve.
• Lataa laajennukset aina selaimen virallisesta laajennuskaupasta.
• Tarkista laajennuksen kehittäjä, käyttäjäarvostelut ja pyydetyt käyttöoikeudet ennen asentamista.
• Pidä selain ja laajennukset ajan tasalla.
• Poista käyttämättömät tai epäilyttävät laajennukset.

Kun noudatat näitä perusohjeita, voit hyödyntää selainlaajennusten tarjoamia ominaisuuksia turvallisemmin ja vähentää samalla tietoturva- ja tietosuojariskejä.

Päivitetty 12.08.2026

Älypuhelimissa käytetään yleensä kahta erilaista PIN-koodia, ja molemmat ovat tärkeitä tietoturvan kannalta:

• Kirjautumis-PIN / pääsykoodi (käytetään puhelimen lukituksen avaamiseen)
• SIM-PIN (suojaa SIM-korttia)

On erittäin suositeltavaa asettaa molemmat PIN-koodit ja varmistaa, että ne ovat erilliset ja yksilölliset. Älä koskaan käytä samaa koodia molempiin.

Turvallinen älypuhelimen käyttö

Turvallisemman käytön varmistamiseksi sinun tulisi:

• Asettaa puhelimeen kirjautumis-PIN-koodi
• Ottaa käyttöön biometrinen tunnistautuminen, kuten sormenjälki tai kasvojentunnistus (jos mahdollista)
• Vaihtaa SIM-kortin oletus-PIN, joka on usein jotain yksinkertaista, kuten 0000 tai 1234

Hyvä tietoturvakäytäntö on käyttää vähintään 6-numeroista PIN-koodia sekä puhelimessa että SIM-kortissa ja varmistaa, että koodit ovat erilaiset.

Miksi vahvat PIN-koodit ja biometria ovat tärkeitä

Älypuhelimia käytetään laajasti herkkiin palveluihin, kuten:

• verkkopankkiin
• vahvaan sähköiseen tunnistautumiseen
• sähköpostin palautukseen
• maksusovelluksiin
• viranomais- ja terveyspalveluihin
• kaksivaiheiseen tunnistautumiseen (SMS-viestit tai sovellukset)

Jos joku pääsee käsiksi avattuun puhelimeesi, hän voi mahdollisesti:

• nollata sähköpostin salasanat palautuslinkkien avulla
• käyttää tunnistautumiskoodeja
• nähdä tallennetut salasanat
• kirjautua digitaalisiin palveluihin

Heikko PIN-koodi voi siksi toimia porttina identiteettivarkaudelle ja tilien täydelliselle kaappaukselle.

SIM-PIN-suojaus

SIM-PIN on erillinen puhelimen lukituskoodista, mutta tärkeä tietoturvakerros. Sen tarkoitus on estää SIM-kortin käyttö ilman PIN-koodia.

Kun SIM-PIN on käytössä:

• SIM-kortti ei toimi toisessa puhelimessa ilman PIN-koodin syöttämistä
• Puhelin pyytää PIN-koodin aina, kun laite käynnistetään tai SIM-kortti asetetaan laitteeseen
• Väärän PIN-koodin toistuva syöttäminen lukitsee SIM-kortin, jolloin tarvitaan PUK-koodi sen avaamiseen

Ilman SIM-PIN-koodia SIM-korttia voidaan käyttää vapaasti missä tahansa puhelimessa. Tämä voi aiheuttaa riskejä, jos SIM joutuu vääriin käsiin:

• SMS-viestien ja puheluiden vastaanottaminen
• kertakäyttöisten kirjautumiskoodien (SMS-pohjainen kaksivaiheinen tunnistautuminen) vastaanottaminen
• puhelinnumeroon sidottujen palvelujen salasanojen palautus

Tämä voi mahdollistaa pääsyn esimerkiksi:

• sähköpostitileihin
• sosiaalisen median tileihin
• pilvipalveluihin ja muihin puhelinnumeroon sidottuihin palveluihin

Yhteenveto

Vahvan ja yksilöllisen vähintään 6-numeroisen PIN-koodin käyttäminen sekä puhelimessa että SIM-kortissa, yhdessä biometrisen tunnistautumisen kanssa, parantaa merkittävästi digitaalista turvallisuutta. Se auttaa suojaamaan sekä laitteesi että henkilökohtaisen identiteettisi ja verkkotilisi.

Päivitetty 12.08.2026

SIM-swapping eli SIM-kortin vaihtohuijaus on vakava tietoturvauhka, jossa hyökkääjä saa puhelinnumeron siirrettyä omaan SIM-korttiinsa esiintymällä numeron oikeana omistajana. Tämän seurauksena hyökkääjä saa puhelinverkon näkökulmasta hallinnan uhrin puhelinnumeroon.

Kun hyökkääjä saa puhelinnumeron hallintaansa, hän voi vastaanottaa esimerkiksi:

• SMS-varmennuskoodit
• salasanan palautusviestit
• puhelut ja tekstiviestit numeroon
• sähköpostitilien palautuskoodit

Tämä tekee SIM-swappingista erityisen vaarallisen, sillä monet palvelut käyttävät puhelinnumeroa tunnistautumiseen tai tilien palauttamiseen. SIM-swapping voi mahdollistaa SMS-pohjaisen kaksivaiheisen tunnistautumisen (SMS 2FA) sekä tilipalautusten kaappaamisen.

Tämän vuoksi tekstiviestipohjaista tunnistautumista pidetään heikompana kuin autentikaattorisovelluksia tai fyysisiä turva-avaimia.

SIM-swapping tapahtuu usein sosiaalisen manipuloinnin avulla. Hyökkääjä ottaa yhteyttä mobiilioperaattoriin ja esiintyy puhelinnumeron oikeana omistajana väittäen esimerkiksi kadottaneensa puhelimensa, SIM-korttinsa lakanneen toimimasta tai hankkineensa uuden puhelimen. Jos asiakaspalvelu uskoo hyökkääjää, puhelinnumero siirretään uudelle SIM-kortille hyökkääjän hallintaan.

Hyökkäystä helpottaa se, että rikollisilla voi jo ennestään olla uhrin henkilötietoja, kuten nimi, osoite, syntymäaika, puhelinnumero, vuotaneita salasanoja tai henkilötunnukseen liittyviä tietoja. Näitä tietoja voidaan saada esimerkiksi tietomurroista, tietojenkalastelusta, haittaohjelmista tai sosiaalisesta mediasta kerätyistä tiedoista.

SIM-swappingin estäminen vaatii sekä käyttäjän omia varotoimia että mobiilioperaattorin tarjoamia suojauskeinoja. Käyttäjän kannattaa suojata mobiilioperaattorin asiakastili vahvalla salasanalla ja mahdollisella kaksivaiheisella tunnistautumisella.

Lisäksi tekstiviestipohjaisesta kaksivaiheisesta tunnistautumisesta kannattaa luopua aina kun mahdollista, sillä se on altis SIM-swapping-hyökkäyksille. Turvallisempi vaihtoehto on käyttää autentikaattorisovelluksia, kuten Google Authenticatoria, Authya tai Proton Authenticatoria, jotka tuottavat vahvistuskoodit suoraan laitteella ilman puhelinnumeroon perustuvaa tunnistautumista.

Erityisen tärkeille tileille, kuten sähköpostille, voidaan suositella fyysisiä turva-avaimia, kuten YubiKeytä, sillä ne tarjoavat erittäin vahvan suojan esimerkiksi SIM-swappingia ja tietojenkalastelua vastaan. Useimmille käyttäjille autentikaattorisovellus on kuitenkin jo riittävän turvallinen vaihtoehto ja selvästi parempi kuin tekstiviestivarmennus.

Käyttäjän kannattaa myös rajoittaa henkilötietojen julkista näkyvyyttä. Sosiaalisessa mediassa ei tulisi jakaa esimerkiksi syntymäaikaa, osoitetta, puhelinnumeroa tai tietoja, joita voitaisiin käyttää turvakysymysten vastauksina. Hyökkääjät hyödyntävät tällaisia tietoja identiteetin väärentämisessä ja sosiaalisessa manipuloinnissa.

Mahdolliseen SIM-swapping-hyökkäykseen kannattaa reagoida nopeasti. Jos puhelin menettää äkillisesti verkkoyhteyden ilman selvää syytä, kyse voi olla siitä, että puhelinnumero on siirretty toiselle SIM-kortille. Tällöin mobiilioperaattoriin tulisi ottaa välittömästi yhteyttä ja tärkeiden tilien salasanat vaihtaa mahdollisimman nopeasti.

Turvallinen käytännön toimintamalli on käyttää SIM-korttia pääasiassa puheluihin ja mobiilidataan, säilyttää salasanat salasananhallintasovelluksessa, hyödyntää mobiilioperaattorin tarjoamia suojauskeinoja, käyttää autentikaattorisovelluksia kaksivaiheiseen tunnistautumiseen sekä tallentaa tilien palautuskoodit turvalliseen offline-sijaintiin.

Kun tekstiviestivarmennuksesta luovutaan kokonaan ja siirrytään käyttämään vain turva-avaimia tai autentikaattorisovelluksia, SIM-swappingin vaikutukset pienenevät merkittävästi, koska kirjautumiskoodit eivät enää ole riippuvaisia puhelinnumerosta.

Päivitetty 09.08.2026

Kaikissa käyttäjätileissä, myös sosiaalisen median tileissä, kannattaa perehtyä turvallisuus- ja yksityisyysasetuksiin. Rajoita tietojesi näkyvyyttä ja vältä tarpeettomien henkilötietojen, kuten kotiosoitteen, puhelinnumeron tai syntymäajan, julkista jakamista.

Tuntemattomiin kaveripyyntöihin kannattaa suhtautua varovasti. Ne voivat olla peräisin huijareilta tai mainosboteilta, joten turvallisin vaihtoehto on olla hyväksymättä tuntemattomien lähettämiä pyyntöjä. Myös kuvien jakamista kannattaa harkita tarkkaan, sillä kerran verkkoon julkaistujen kuvien poistaminen voi olla vaikeaa.

Jos haluat pienentää tilien kaappaamisen, tietovuotojen, seurannan ja pitkäaikaisen altistumisen riskiä, seuraavat käytännöt auttavat suojaamaan tietojasi.

Salasananhallintaohjelma

Yksi tärkeimmistä suojauskeinoista on salasananhallintaohjelma. Sen avulla voit luoda pitkät ja yksilölliset salasanat jokaiseen palveluun ilman, että niitä tarvitsee muistaa itse. Hyviä vaihtoehtoja ovat esimerkiksi Proton Pass, KeePassXC ja Bitwarden.

Käytä jokaisessa palvelussa eri salasanaa. Salasanojen kannattaa olla vähintään 16–20 satunnaista merkkiä pitkiä.

Tilien perussuojaus

Ota monivaiheinen tunnistautuminen (MFA) käyttöön kaikissa tärkeissä palveluissa, erityisesti sähköpostissa, salasananhallinnassa ja sosiaalisen median tileissä.

Turvallisin vaihtoehto on fyysinen turva-avain, kuten YubiKey. Seuraavaksi paras vaihtoehto on tunnistautumissovellus. SMS-koodeja kannattaa käyttää vain, jos turvallisempia vaihtoehtoja ei ole saatavilla.

Sähköpostin suojaus

Sähköposti toimii usein muiden tilien palautuskanavana, joten sen suojaaminen on erityisen tärkeää. Käytä vahvaa ja yksilöllistä salasanaa sekä MFA:ta.

Säilytä palautuskoodit offline-tilassa ja pidä palautussähköpostiosoitteet ja puhelinnumerot ajan tasalla. Tarkista myös säännöllisesti sähköpostin edelleenlähetyssäännöt.

Tietosuoja-asetukset ja sosiaalinen media

Rajoita sosiaalisen median profiilien näkyvyyttä. Tee profiilista yksityinen, piilota ystävä- ja seuraajalistat ja rajoita sitä, kuka voi löytää sinut sähköpostiosoitteen tai puhelinnumeron perusteella.

Poista tarpeeton yhteystietojen synkronointi ja tarkan sijainnin jakaminen sekä rajoita mainosten personointia. Varmista lisäksi, että käytössä on vahva salasana ja kaksivaiheinen tunnistautuminen.

Myös puhelimen sovellusten käyttöoikeudet kannattaa tarkistaa säännöllisesti. Estä sijainnin, mikrofonin ja kameran käyttö sovelluksilta, jotka eivät niitä tarvitse, ja rajoita tarpeettomia Bluetooth- ja taustatoimintoja. Käyttöoikeudet voi olla hyvä tarkistaa esimerkiksi kerran kuukaudessa.

Identiteettien erottelu

Eri sähköpostiosoitteiden käyttäminen eri tarkoituksiin vähentää tietovuotojen, profiloinnin ja seurannan vaikutuksia. Voit käyttää eri osoitteita esimerkiksi pankkipalveluihin, henkilökohtaiseen viestintään, verkkokauppoihin, sosiaaliseen mediaan ja uutiskirjeisiin.

Alias-palvelut voivat auttaa suojaamaan varsinaista sähköpostiosoitettasi.

Selaimen tietosuoja ja turvallisuus

Yksi tapa parantaa selaamisen yksityisyyttä on käyttää niin sanottua yksityisyyttä painottavaa selainta (esimerkiksi Firefoxia tai Bravea). Ota käyttöön HTTPS-Only-tila, DNS over HTTPS, kolmannen osapuolen evästeiden esto ja tiukka seurantasuojaus, jos selain niitä tukee.

Tyhjennä selaushistoria ja välimuisti säännöllisesti. Voit myös määrittää selaimen poistamaan selaushistorian automaattisesti selaimen sulkeutuessa, jos ominaisuus on käytettävissä.

Käytä erillistä salasananhallintaohjelmaa selaimen oman salasanojen hallinnan sijaan. Pidä myös selaimen lisäosien määrä mahdollisimman pienenä ja käytä vain luotettavia ja yleisesti käytettyjä lisäosia.

Laitteiden turvallisuus

Pidä käyttöjärjestelmät, selaimet, sovellukset, salasananhallinta ja reitittimen laiteohjelmisto ajan tasalla. Päivitykset korjaavat usein tietoturva-aukkoja, joita hyökkääjät voivat muuten hyödyntää.

Käytä laitteissa riittävän vahvaa lukituskoodia. Vältä lyhyitä nelinumeroisia PIN-koodeja ja piirtolukituksia. Parempi vaihtoehto on pitkä PIN tai kirjaimia ja numeroita sisältävä salasana.

Verkkoturvallisuus

Vältä julkisten Wi-Fi-verkkojen käyttöä arkaluontoisiin asioihin. Käytä tarvittaessa mobiilidataa ja varmista, että yhteys on suojattu HTTPS:llä. Luotettavaa VPN-palvelua voi käyttää lisäsuojana.

Suojaa kotireititin vaihtamalla oletusylläpitosalasana, pitämällä laiteohjelmisto ajan tasalla ja käyttämällä WPA3-salausta tai vähintään WPA2/WPA3-salausta. Poista WPS käytöstä ja erota IoT-laitteet vierasverkkoon, jos mahdollista.

Tietojenkalastelun torjunta

Tietojenkalastelu on yksi yleisimmistä tavoista varastaa käyttäjätunnuksia. Muista perussäännöt:

• Älä kirjaudu tärkeille palveluille sähköpostissa tai viestissä olevan linkin kautta.
• Tarkista verkkotunnus huolellisesti.
• Älä reagoi kiireen tai pelottelun luomaan paineeseen.
• Varmista epäilyttävät pyynnöt toisen viestintäkanavan kautta.
• Kirjoita tärkeiden palveluiden osoitteet selaimeen itse tai käytä tallennettuja kirjanmerkkejä.

Palautumissuunnitelma

Säilytä tärkeät palautumistiedot turvallisesti ja mahdollisuuksien mukaan offline-tilassa. Näitä voivat olla esimerkiksi MFA:n varakoodit, salasananhallintaohjelman palautusavain, tilien palautus- tai hätäpalautuskoodit, tärkeät hätäyhteystiedot ja salausavainten palautuskoodit.

Säilytykseen sopivat esimerkiksi paperikopio turvallisessa paikassa tai salattu USB-muistitikku, jota ei säilytetä jatkuvasti kytkettynä tietokoneeseen.

Lisäsuojaus korkean riskin käyttäjille

Jos turvallisuusvaatimukset ovat tavallista korkeammat, harkitse lisäsuojauksia. Näitä voivat olla esimerkiksi fyysiset turva-avaimet, työ- ja henkilökohtaisten laitteiden erottaminen, erillinen selain pankkiasiointiin, vähäinen sosiaalisen median näkyvyys sekä salattu viestintä.

Tärkeimmät toimet tiivistettynä

• Käytä salasananhallintaohjelmaa.
• Käytä jokaisessa palvelussa yksilöllistä salasanaa.
• Ota MFA käyttöön tärkeissä palveluissa.
• Suojaa sähköpostisi erityisen hyvin.
• Pidä laitteet ja ohjelmistot ajan tasalla.
• Käytä mainos- ja seurannanestoa.
• Rajoita sovellusten käyttöoikeuksia.
• Opettele tunnistamaan tietojenkalastelu.
• Pidä tärkeät palautustiedot turvallisesti tallessa.

Verkkoturvallisuus ei synny yhdestä asetuksesta tai työkalusta. Paras suoja muodostuu useista pienistä, johdonmukaisista käytännöistä, jotka vähentävät sekä teknisiä että inhimillisiä riskejä.

11.08.2026

Viestisovellukset ovat nykyään olennainen osa arkipäiväistä viestintää. Niillä lähetetään viestejä, kuvia ja videoita, ja niiden kautta käydään myös ääni- ja videopuheluita. Perinteiseen tekstiviestintään verrattuna viestisovellukset tarjoavat paljon enemmän ominaisuuksia ja voivat myös tarjota paremman suojan viestien sisällölle.

Tietoturvan kannalta yksi tärkeimmistä ominaisuuksista on päästä päähän -salaus. Sen tarkoituksena on suojata viestin sisältö niin, että vain viestinnän osapuolet voivat lukea sen. Salaus ei kuitenkaan tarkoita, että kaikki viestintään liittyvät tiedot olisivat näkymättömiä palveluntarjoajalle.

Salaus ei suojaa kaikkea

Viestien sisällön lisäksi palvelut voivat käsitellä erilaisia metatietoja. Niihin voi palvelusta riippuen liittyä esimerkiksi tietoja käyttäjätilistä, laitteesta tai palvelun käytöstä. Siksi viestisovelluksen yksityisyyttä arvioitaessa kannattaa kiinnittää huomiota myös siihen, mitä tietoja palvelu kerää ja kuinka niitä käsitellään.

Myös varmuuskopiot ovat tärkeä osa kokonaisuutta. Vaikka viestit olisivat keskustelun aikana päästä päähän -salattuja, varmuuskopioiden suojaus voi toimia eri tavalla. Jos keskusteluissa käsitellään arkaluontoisia tietoja, kannattaa miettiä, tarvitseeko niitä ylipäätään säilyttää pilvipalvelussa.

Suurin riski voi olla käyttäjä itse

Teknisesti vahva salaus ei estä huijauksia. Viestisovelluksissa liikkuu esimerkiksi tietojenkalasteluviestejä, haitallisia linkkejä ja tiedostoja sekä viestejä, joissa yritetään saada käyttäjä luovuttamaan vahvistuskoodeja tai muita tietoja.

Siksi yllättäviin viesteihin kannattaa suhtautua samalla tavalla kuin sähköposteihin: jos jokin vaikuttaa epäilyttävältä, linkkiä ei kannata avata eikä tietoja luovuttaa. Erityisen tärkeää on muistaa, että vahvistuskoodeja ei pidä koskaan antaa toiselle henkilölle, vaikka viestin lähettäjä väittäisi olevansa esimerkiksi ystävä, sukulainen tai palveluntarjoajan edustaja.

Myös oma puhelin pitää suojata

Viestisovelluksen turvallisuus ei auta paljon, jos itse puhelin on suojaamaton. Vahva pääsykoodi, laitteen automaattinen lukitus, biometrinen tunnistus sekä käyttöjärjestelmän ja sovellusten pitäminen ajan tasalla ovat yksinkertaisia mutta tehokkaita keinoja parantaa turvallisuutta.

Myös sovellusten käyttöoikeuksia kannattaa tarkistaa. Kaikille sovelluksille ei ole tarpeellista antaa pääsyä esimerkiksi yhteystietoihin, sijaintiin tai muihin laitteen tietoihin.

Turvallisuus on kokonaisuus

Viestisovellusta valittaessa ei kannata tuijottaa vain yhtä ominaisuutta. Päästä päähän -salaus on tärkeä suoja, mutta yhtä olennaisia ovat palvelun tietosuojakäytännöt, metadatan käsittely, varmuuskopioiden suojaus, tilin turvallisuus ja käyttäjän oma toiminta.

Lopulta turvallinen viestintä on monen asian summa. Kun käytössä on ajantasainen sovellus, hyvin suojattu puhelin ja harkitseva käyttäjä, voidaan suurin osa tavallisista viestinnän tietoturvariskeistä torjua melko yksinkertaisilla keinoilla.

Lopuksi

Nykyisin käytössä on useita erilaisia viestisovelluksia, kuten WhatsApp, Signal, Telegram ja Threema. Niiden ominaisuudet, tietoturvaratkaisut ja tietosuojakäytännöt poikkeavat toisistaan, joten sovellusta valittaessa kannattaa tutustua sen ajantasaisiin suojaus- ja yksityisyysasetuksiin.

Mikään sovellus ei kuitenkaan yksin takaa täydellistä tietoturvaa. Turvallinen viestintä on kokonaisuus, jossa yhdistyvät tekniset suojausominaisuudet, hyvin suojattu laite ja käyttäjän oma harkinta.

Päivitetty 09.08.2026

Hyvä tietoturva ja asianmukaiset käytännöt kiteytyvät viime kädessä ihmiseen. Aivan kuten autoilussa suurin riskitekijä on kuljettaja – eli se, joka istuu ratin ja penkin välissä – myös tietoturvassa suurin riskitekijä voi olla laitteen käyttäjä.

Jotta tietoturvariskejä saadaan pienennettyä ja huijauksia vähennettyä, on tunnistettava erityisesti inhimilliset, ei-tekniset riskitekijät. Tietojenkalasteluun ja huijauksiin voi altistua kuka tahansa, vaikka käyttäjä olisi ottanut käyttöön monia teknisiä turvakeinoja. Tietoturvatieto auttaa, mutta se ei välttämättä muuta tapaa, jolla ajattelemme, tunnemme ja toimimme tietyissä tilanteissa.

Tässä on keskeisiä ei-teknisiä syitä, miksi huijauksiin altistutaan

• Tunteiden hyödyntäminen. Tietojenkalasteluviestit on suunniteltu herättämään kiireellisyyttä, pelkoa, uteliaisuutta tai innostusta. Esimerkiksi viestit kuten ”Tilisi lukitaan tunnin kuluttua” tai ”Olet voittanut palkinnon” luovat paineen tunteen tehdä asialle jotain. Tunnepaineen alla ihmiset reagoivat usein nopeasti, jolloin harkinta pettää.
• Aikapaine ja kuormitus. Kun ihmiset ovat kiireisiä, tekevät useita asioita samaan aikaan tai ovat stressaantuneita, järkevä ajattelu ja harkinta voivat pettää. Nopea klikkaaminen tuntuu helpommalta kuin yksityiskohtien tarkistaminen. Esimerkiksi matkan varaaminen kiireessä voi johtaa epäluotettavalle verkkosivustolle.
• Luottamus auktoriteetteihin ja tuttuuteen. Verkkohyökkääjät esiintyvät usein luotettavina tahoina, kuten pankkeina, kollegoina, esimiehinä tai tunnettuina brändeinä. Koska ihmiset on kasvatettu luottamaan auktoriteetteihin ja tuttuihin nimiin, jopa asiantuntevat käyttäjät voivat noudattaa ohjeita automaattisesti.
• Tavat ja rutiinit. Ihmiset käsittelevät päivittäin kymmeniä tai jopa satoja sähköposteja ja viestejä. Tämä luo ”autopilottikäyttäytymistä”: avaa → silmäile → klikkaa. Tietojenkalastelu voi onnistua, kun se sulautuu näihin normaaleihin päivärutiineihin.
• Asenne. Ajatellaan, että ”tämä ei tapahdu minulle” tai ”tiedän jo riittävästi”. Ei uskota, että huijaus osuu kohdalle.
• Liiallinen luottamus teknologiaan ja väsymys voivat johtaa virheelliseen ajatteluun. Saatetaan nimittäin olettaa, että tekniset alustat – kuten sähköpostipalvelut, viestintäsovellukset tai some-alustat – suodattavat huijausviestit automaattisesti pois. Jatkuva varoittelu eri uhista voi aiheuttaa osalle ihmisistä tietoturvaväsymystä. Tällöin he saattavat siirtyä automaattimoodiin, jossa klikkaavat linkkejä tai vastaavat viesteihin ilman syvällistä analyysiä.

Inhimillisten tekijöiden aiheuttamaa riskiä voidaan pienentää yksinkertaisilla muistisäännöillä:

• Suhtaudu kriittisesti kaikkiin viesteihin, erityisesti jos niissä kehotetaan toimimaan nopeasti tai kiireellisesti.
• Älä tee päätöksiä kiireessä, esimerkiksi matkan varaamista, verkkokauppaostoksia tai laskujen maksamista.
• Luota vaistoihisi: jos jokin tuntuu vähänkään epäilyttävältä, älä klikkaa linkkiä tai siirry verkkosivustolle. Varmista aina lähettäjän tai verkkosivuston luotettavuus ennen toimimista.
• Mieti ensin, toimi sitten.

Tietoturvassa kaikkea ei voida ratkaista teknologialla. Yksi tehokkaimmista turvakeinoista onkin pysähtyä hetkeksi ja harkita ennen toimimista.

08.08.2026

Oletko koskaan käyttänyt julkista Wi-Fi-verkkoa esimerkiksi kahvilassa, hotellissa tai lentokentällä ja miettinyt, kuinka turvallinen yhteytesi oikeastaan on? VPN eli virtuaalinen yksityisverkko (Virtual Private Network) on yksi keino parantaa verkkoyhteyden yksityisyyttä ja tietoturvaa.

VPN:n avulla laitteesi ja VPN-palvelimen välille muodostetaan salattu yhteys. Samalla oma IP-osoitteesi voidaan peittää verkkopalveluilta, jolloin palvelut näkevät yleensä VPN-palvelimen IP-osoitteen oman IP-osoitteesi sijaan.

On kuitenkin hyvä huomata, että suuri osa verkkoliikenteestä on nykyään jo salattua esimerkiksi HTTPS-yhteyden avulla. VPN ei siis ole ainoa suoja verkkoliikenteelle, eikä se tee käyttäjästä täysin anonyymiä.

VPN toimii yksinkertaisesti näin

• Kun yhdistät VPN-palveluun, laitteesi muodostaa salatun yhteyden VPN-palvelimeen.
• Internet-liikenteesi kulkee VPN-palvelimen kautta.
• Kun VPN toimii normaalisti, verkkopalvelut näkevät oman IP-osoitteesi sijaan VPN-palvelimen IP-osoitteen.
• VPN-palveluntarjoaja voi kuitenkin nähdä osan yhteyden metatiedoista, joten palveluntarjoajan luotettavuus ja tietosuojakäytännöt ovat tärkeitä.

Syitä käyttää VPN:ää

VPN:ää voidaan käyttää monista eri syistä. Yleisimpiä ovat esimerkiksi:

• VPN vähentää internet-palveluntarjoajan näkyvyyttä selaustoimintaasi, koska verkkoliikenteesi kulkee salatun VPN-yhteyden kautta.
• VPN tarjoaa lisäsuojakerroksen käyttäessäsi julkisia tai muuten epäluotettavia Wi-Fi-verkkoja.
• Verkkopalvelut näkevät oman IP-osoitteesi sijaan VPN-palvelimen IP-osoitteen, kun VPN toimii normaalisti.
• VPN voi parantaa yksityisyyttä ja tietoturvaa erityisesti tilanteissa, joissa verkkoyhteyden turvallisuudesta ei ole varmuutta.

Tärkeä huomio VPN-palvelun valinnasta

On tärkeää valita luotettava VPN-palveluntarjoaja, koska VPN-palveluntarjoaja välittää verkkoliikenteesi internetiin. Palveluntarjoajien tietosuojakäytännöt, tiedonkeruu ja tietoturvan taso vaihtelevat.

Myös ilmaisten VPN-palveluiden kohdalla kannattaa tutustua huolellisesti käyttöehtoihin ja tietosuojakäytäntöön ennen palvelun käyttämistä. Ilmainen palvelu ei välttämättä tarkoita huonoa palvelua, mutta sen toimintaperiaatteet ja rahoitusmalli kannattaa selvittää.

VPN ei suojaa kaikelta

VPN ei suojaa viruksilta tai haittaohjelmilta. VPN:n tärkeimpiä tehtäviä ovat verkkoliikenteen suojaaminen ja yksityisyyden parantaminen. Haittaohjelmilta suojautumiseen tarvitaan muita keinoja, kuten käyttöjärjestelmän ja sovellusten pitäminen ajan tasalla, harkintaa epäilyttävien linkkien ja tiedostojen kanssa sekä tarvittaessa virustorjuntaohjelmisto.

VPN ei myöskään tee käyttäjästä täysin anonyymiä. Esimerkiksi verkkosivustot voivat tunnistaa ja seurata käyttäjää myös evästeiden, kirjautumistietojen ja selaimen muiden tunnisteiden avulla.

Yhteenveto

VPN voi olla hyödyllinen työkalu yksityisyyden ja tietoturvan parantamiseen. Se salaa laitteen ja VPN-palvelimen välisen yhteyden ja peittää oman IP-osoitteen verkkopalveluilta. VPN ei kuitenkaan ratkaise kaikkia internetin turvallisuuteen liittyviä ongelmia eikä korvaa muita tietoturvan perusasioita.

VPN-palvelua valittaessa kannattaa kiinnittää huomiota erityisesti palveluntarjoajan luotettavuuteen, tietosuojakäytäntöihin ja siihen, mitä tietoja palvelu kerää käyttäjistään.

Päivitetty 06.08.2026

Reititin on kodin tietoturvan keskeinen osa, sillä kaikki kodin internetiin yhdistetyt laitteet – kuten älypuhelimet, tabletit, tietokoneet, älytelevisiot ja muut IoT-laitteet – käyttävät internetyhteyttä sen kautta.

Reititin hallinnoi liikennettä kotiverkon ja internetin välillä sekä suojaa kotiverkon laitteita käyttämällä NAT-toimintoa (Network Address Translation). Internetiin näkyy ainoastaan reitittimen IP-osoite, eivät yksittäisten laitteiden osoitteet. Tämä vaikeuttaa ulkopuolisten mahdollisuuksia kohdistaa verkkohyökkäyksiä kodin laitteisiin.

Reititin mahdollistaa myös palomuurin ja muiden tietoturvaominaisuuksien käytön. Se voi estää haitallista verkkoliikennettä ja suojata koko kotiverkkoa, vaikka siihen olisi liitetty useiden eri valmistajien laitteita, joiden tietoturvataso vaihtelee.

Reititin on turvallinen vain, jos se on riittävän uusi ja valmistajan tuen piirissä. Tällöin se saa säännöllisiä tietoturvapäivityksiä. Vanhentunut reititin on merkittävä tietoturvariski, sillä sen kautta voidaan vaarantaa kaikki kotiverkon laitteet. Hyökkääjä voi esimerkiksi vakoilla verkkoliikennettä, ohjata käyttäjiä väärennetyille tietojenkalastelusivuille (phishing) tai levittää haittaohjelmia verkkoon. Lisäksi haavoittuvia reitittimiä ja niihin liitettyjä laitteita voidaan käyttää osana bottiverkkoa (botnet), jolloin niitä hyödynnetään käyttäjän tietämättä esimerkiksi palvelunestohyökkäysten toteuttamiseen.

Muistilista turvallisempaan kotiverkkoon

Monia seuraavista asetuksista voidaan muuttaa reitittimen hallintaliittymässä. Tarkemmat ohjeet löytyvät reitittimen käyttöohjeesta.

Tärkeimmät toimenpiteet

• Vaihda reitittimen oletussalasana vahvaksi ja yksilölliseksi salasanaksi.
• Poista reitittimen etähallinta käytöstä, ellet tarvitse sitä.
• Varmista, että reititin on riittävän uusi ja saa automaattisia tietoturvapäivityksiä.

Lisäsuojausta tarjoavat asetukset

Jos et ole varma näiden asetusten muuttamisesta, pyydä apua henkilöltä, joka tuntee reitittimien asetukset.

• Ota käyttöön WPA3-salaus tai vähintään WPA2/WPA3-yhteensopiva suojaus. WPA3 on suositeltavin vaihtoehto, jos kaikki verkon laitteet tukevat sitä.
• Luo erillinen vierasverkko vierailijoille ja tarvittaessa myös IoT-laitteille, kuten älytelevisioille. Näin mahdollisesti heikommin suojatut laitteet eivät pääse suoraan samaan verkkoon esimerkiksi tietokoneiden kanssa.
• Poista WPS- ja UPnP-toiminnot käytöstä. WPS mahdollistaa laitteen liittämisen Wi-Fi-verkkoon ilman salasanan syöttämistä, mutta sen käyttöä ei suositella tietoturvasyistä. UPnP puolestaan sallii laitteiden avata palomuurin portteja automaattisesti, mikä voi lisätä tietoturvariskejä.
• Vaihda langattoman verkon nimi (SSID) sellaiseksi, ettei siitä voi päätellä esimerkiksi nimeäsi, osoitettasi tai reitittimen mallia.
• Käynnistä reititin uudelleen säännöllisesti. Tämä voi auttaa asentamaan päivityksiä ja katkaisemaan mahdolliset haitalliset yhteydet.

Päivitetty 04.08.2026

Pankkiasioiden hoitaminen verkossa on nykyään arkipäivää, ja oikein toimittaessa se on turvallista. Samalla verkkohuijaukset kehittyvät jatkuvasti, ja rikolliset käyttävät yhä uskottavampia keinoja pankkitunnusten ja muiden henkilötietojen kalasteluun.

Muista tärkein sääntö: pankki ei koskaan pyydä pankkitunnuksiasi, tunnuslukujasi tai vahvistamaan kirjautumista tekstiviestillä, sähköpostilla, puhelimitse tai viestisovelluksen kautta.

Näillä ohjeilla pidät rahasi ja tietosi paremmin turvassa.

1. Kirjaudu verkkopankkiin turvallisesti

Älä siirry verkkopankkiin hakukoneen hakutulosten kautta. Kirjoita pankin verkkosivun osoite aina itse selaimen osoiteriville tai käytä pankin virallista mobiilisovellusta.

Kun olet kirjoittanut osoitteen oikein ensimmäisen kerran, tallenna se selaimen kirjanmerkkeihin ja käytä sitä jatkossa aina.

2. Tunnista huijausyritykset

Huijausviestit voivat näyttää hyvin aidoilta. Kiinnitä huomiota erityisesti seuraaviin merkkeihin.

Linkit kirjautumiseen tai tietojen päivittämiseen

Jos saat viestin, jossa pyydetään kirjautumaan pankkiin, päivittämään tietoja tai peruuttamaan maksu linkin kautta, älä avaa linkkiä. Pankit eivät lähetä tällaisia kirjautumispyyntöjä tekstiviestillä, sähköpostilla, puhelimitse tai viestisovellusten kautta. Kyseessä on huijaus.

Odottamattomat vahvistuspyynnöt

Älä koskaan hyväksy tunnistautumista tai maksua, jota et ole itse juuri sillä hetkellä aloittanut. Lue aina huolellisesti, mitä pankin tunnistautumissovellus pyytää sinua vahvistamaan.

Kiireen tai paniikin luominen

Huijarit yrittävät usein painostaa toimimaan nopeasti esimerkiksi väittämällä, että tilisi suljetaan, maksu on epäonnistunut tai tietosi vanhenevat. Kiire on yksi yleisimmistä huijauksen tunnusmerkeistä.

3. Hyödynnä pankin turvaominaisuuksia

Pankit tarjoavat useita keinoja lisätä turvallisuutta:

• Käytä ensisijaisesti pankin virallista mobiilisovellusta.
• Aseta korteillesi ja tileillesi vuorokausikohtaiset nosto- ja maksurajat. Näin mahdollinen väärinkäyttö aiheuttaa pienemmän vahingon.
• Rajaa kortin käyttöalue esimerkiksi vain Suomeen. Tarvittaessa voit laajentaa käyttöaluetta helposti esimerkiksi ulkomaanmatkan ajaksi.
• Tarkista aina, että tunnistautumissovelluksessa näkyvä tapahtumatunniste tai kirjautumiskoodi vastaa sitä tapahtumaa, jonka olet itse aloittanut.

4. Huolehdi myös omasta laitteestasi

Kun käytät verkkopankkia tietokoneella, kirjaudu sisään aina omalla käyttäjätililläsi. Vältä yhteiskäyttöisiä tietokoneita ja julkisia laitteita.

Tietoturvaa parantaa myös se, että käytät erillistä selainta pelkästään pankkiasiointiin. Lisäksi ajantasainen tietoturvaohjelmisto on suositeltava, erityisesti Windows-tietokoneilla.

Jos epäilet huijausta

Toimi nopeasti:

• Katkaise puhelu tai muu yhteys heti, jos epäilet huijausta.
• Ota välittömästi yhteyttä pankkisi sulkupalveluun, jos olet luovuttanut tietojasi tai kirjautunut epäilyttävän linkin kautta.
• Tee rikosilmoitus poliisille, jos olet joutunut huijauksen uhriksi.

Muista tärkein

Pankkitunnuksesi eivät ole vain verkkopankkiin kirjautumista varten. Niillä vahvistetaan henkilöllisyytesi ja allekirjoitetaan sähköisesti esimerkiksi viranomais- ja yrityspalveluissa.

Säilytä pankkitunnuksiasi yhtä huolellisesti kuin passiasi tai omaa allekirjoitustasi – älä koskaan luovuta niitä kenellekään.

Päivitetty 03.08.2026

Suomessa on käytössä useita vahvan tunnistautumisen menetelmiä, joiden avulla voidaan tunnistautua turvallisesti pankkien, viranomaisten, terveydenhuollon, vakuutusyhtiöiden ja muiden verkkopalveluiden käyttäjäksi.

Vahvalla tunnistautumisella tarkoitetaan henkilöllisyyden luotettavaa todentamista digitaalisissa palveluissa. Sen tarkoituksena on varmistaa, että palveluun kirjautuva henkilö on todella se, joka hän väittää olevansa.

Vahva tunnistautuminen perustuu vähintään kahteen toisistaan riippumattomaan tunnistautumistekijään.

Ennen kuin vahvaa tunnistautumista voidaan käyttää, henkilön henkilöllisyys on ensin varmennettava luotettavasti esimerkiksi pankissa, teleoperaattorilla tai viranomaisen toimesta. Tämän jälkeen henkilöllisyys voidaan todentaa esimerkiksi PIN-koodilla, sormenjäljellä, kasvojentunnistuksella tai rekisteröidyllä mobiililaitteella.

Tunnistautumistekijät jaetaan yleensä kolmeen ryhmään:

• Jotain, jonka tiedät – esimerkiksi salasana tai PIN-koodi.
• Jotain, joka sinulla on – esimerkiksi älypuhelin, mobiilivarmenne tai henkilökortin kansalaisvarmenne.
• Jotain, mikä olet – esimerkiksi sormenjälki tai kasvojentunnistus.

Vahva tunnistautuminen perustuu aina vähintään kahden tunnistautumistekijän yhdistelmään, mikä tekee siitä huomattavasti turvallisemman kuin pelkkä käyttäjätunnuksen ja salasanan käyttö.

Vahvan tunnistautumisen menetelmät Suomessa

Suomessa käytetään pääasiassa kolmea vahvan tunnistautumisen menetelmää:

• Pankkitunnukset
• Mobiilivarmenne (SIM-korttiin perustuva tunnistautuminen)
• Henkilökortin kansalaisvarmenne (esimerkiksi Hightrust.id-sovelluksen avulla)

Pankkitunnukset

Pankkitunnukset ovat Suomessa ylivoimaisesti käytetyin vahvan tunnistautumisen menetelmä.

Kun avaat pankkitilin, pankki varmistaa henkilöllisyytesi virallisesta henkilöllisyystodistuksesta, kuten passista tai henkilökortista. Tämän jälkeen pankki myöntää pankkitunnukset, joita voidaan käyttää sekä verkkopankkiin että tuhansiin muihin julkisiin ja yksityisiin verkkopalveluihin.

Kirjautuminen tapahtuu syöttämällä tunnukset ja vahvistamalla tunnistautuminen pankin mobiilisovelluksella tai muulla vahvistusmenetelmällä. Useimmat pankit tukevat lisäksi biometrisiä tunnisteita, kuten sormenjälkeä tai kasvojentunnistusta.

Pankkitunnukset ovat turvallinen tunnistautumistapa, kun niitä käytetään vain pankin tai muun luotettavan palvelun virallisella verkkosivustolla tai mobiilisovelluksessa.

Älä koskaan syötä pankkitunnuksiasi sähköpostin, tekstiviestin tai muun viestin sisältämän linkin kautta avautuvalle sivulle. Huijaussivusto voi varastaa tunnuksesi, mikä voi johtaa identiteettivarkauteen ja taloudellisiin menetyksiin.

Mobiilivarmenne

Mobiilivarmenne on viime vuosina yleistynyt nopeasti, ja sitä voidaan käyttää moniin viranomaispalveluihin sekä vakuutus-, terveydenhuolto- ja rahoitusalan palveluihin kirjautumiseen.

Ennen mobiilivarmenteen käyttöönottoa teleoperaattori varmistaa henkilöllisyytesi. Mobiilivarmenne tallennetaan turvallisesti SIM-kortille, joten tunnistautuminen onnistuu ilman pankkitunnuksia.

Koska mobiilivarmenne toimii pankkitunnuksista riippumatta, se tarjoaa turvallisen vaihtoehdon vahvaan tunnistautumiseen.

Henkilökortin kansalaisvarmenne

Kolmas vahvan tunnistautumisen menetelmä perustuu henkilökortin sirulle tallennettuun kansalaisvarmenteeseen.

Ennen henkilökortin myöntämistä viranomainen varmistaa henkilöllisyytesi. Tämän vuoksi henkilökortin sirulla oleva kansalaisvarmenne on luotettavasti sidottu henkilöllisyyteesi.

Tämän tunnistautumistavan käyttö edellyttää:

• Voimassa olevaa henkilökorttia, jossa on kansalaisvarmenne.
• Hightrust.id-sovellusta, joka lukee henkilökortin sirun älypuhelimen NFC-lukijan avulla.

Kun kansalaisvarmenne on luettu ensimmäisen kerran, tunnistautuminen voidaan jatkossa vahvistaa puhelimen omilla suojausmenetelmillä, kuten:

• PIN-koodilla
• sormenjäljellä
• kasvojentunnistuksella

Toistaiseksi kansalaisvarmenteeseen perustuvaa tunnistautumista voidaan käyttää pääasiassa julkishallinnon verkkopalveluissa.

Miksi käyttää vaihtoehtoja pankkitunnuksille?

Sekä mobiilivarmenne että henkilökortin kansalaisvarmenne vähentävät tarvetta käyttää pankkitunnuksia muissa verkkopalveluissa kuin verkkopankissa.

Mitä harvemmin pankkitunnuksia käytetään eri palveluihin, sitä pienempi on riski, että ne päätyvät tietojenkalastelun tai huijaussivuston kautta vääriin käsiin.

Suositus

Suosittelemme käyttämään pankkitunnuksia ensisijaisesti vain verkkopankkiin kirjautumiseen.

Viranomaispalveluissa sekä muissa verkkopalveluissa kannattaa mahdollisuuksien mukaan käyttää mobiilivarmennetta tai henkilökortin kansalaisvarmennetta.

Jos käytössäsi ovat vain pankkitunnukset, varmista aina ennen tunnusten syöttämistä, että käytät palvelun virallista verkkosivustoa tai mobiilisovellusta.

Yhteenveto

Suomen vahvan tunnistautumisen järjestelmä tarjoaa useita turvallisia vaihtoehtoja henkilöllisyyden todentamiseen verkossa.

Vaikka pankkitunnukset ovat edelleen yleisin tunnistautumistapa, mobiilivarmenne ja henkilökortin kansalaisvarmenne vähentävät tarvetta käyttää pankkitunnuksia kaikissa verkkopalveluissa. Oikean tunnistautumismenetelmän valinta parantaa tietoturvaa, pienentää tietojenkalastelun riskiä ja auttaa suojaamaan digitaalista identiteettiäsi.

Päivitetty 30.8.2026

Yksilöllisten käyttäjätunnusten merkityksestä ei usein puhuta läheskään samassa mittakaavassa kuin salasanojen merkityksestä. Turhankin usein samaa käyttäjätunnusta tai sähköpostiosoitetta käytetään eri palveluissa. Tämä on kätevää, mutta yksityisyyden ja tietoturvan näkökulmasta se ei ole välttämättä paras ratkaisu.

On hyvä huomioida, että käyttäjätunnus ei välttämättä ole sama asia kuin sähköpostiosoite. Joissakin palveluissa käyttäjätunnuksena voidaan käyttää itse valittua nimimerkkiä, kun taas toisissa palveluissa sähköpostiosoite toimii käyttäjätunnuksena tai kirjautumistunnuksena.

Erityisesti oman nimen tai muun henkilöllisyyden helposti paljastavan sähköpostiosoitteen käyttäminen useissa eri palveluissa voi helpottaa eri käyttäjätilien yhdistämistä toisiinsa. Jos sama tunniste löytyy useista palveluista, ulkopuolisen on helpompi päätellä, mitkä tilit mahdollisesti kuuluvat samalle henkilölle.

Mikäli mahdollista, käytä eri palveluissa yksilöllisiä käyttäjätunnuksia tai nimimerkkejä. Vältä tunnistettavan sähköpostiosoitteen käyttämistä käyttäjätunnuksena mahdollisimman monissa eri palveluissa.

Yksilöllinen käyttäjätunnus ei yksin estä tilien yhdistämistä eikä suojaa käyttäjätiliä tietomurrolta. Se voi kuitenkin vaikeuttaa eri palveluissa olevien tilien yhdistämistä samaan henkilöön. Jos esimerkiksi jonkin palvelun käyttäjätiedot joutuvat tietomurron kohteeksi, yksilöllinen käyttäjätunnus ei samalla tavalla paljasta, että samaa tunnusta käytetään myös muissa palveluissa.

Erityisesti tärkeissä ja kriittisissä palveluissa käyttäjätunnusten yksilöllisyyteen kannattaa kiinnittää huomiota. Tällaisia ovat esimerkiksi sähköpostipalvelut, pilvipalvelut sekä Apple-, Google- ja Microsoft-tilit.

Google- ja Microsoft-tileissä on kuitenkin hyvä huomioida, että sähköpostiosoitteet, aliasosoitteet ja tilin käyttäjätunnukset voivat liittyä toisiinsa eri tavoin. Esimerkiksi Microsoft-tiliin voidaan liittää useita sähköpostiosoitteita eli aliaksia, jotka kuuluvat samaan Microsoft-tiliin ja joita voidaan käyttää esimerkiksi kirjautumiseen.

Mikäli palvelu mahdollistaa erillisen käyttäjätunnuksen käyttämisen, sitä kannattaa suosia tunnistettavan sähköpostiosoitteen sijaan. Google- ja Microsoft-tileissä kannattaa myös välttää tarpeettomasti käyttämästä samaa tunnistettavaa sähköpostiosoitetta tai aliasosoitetta käyttäjätunnuksena mahdollisimman monissa muissa palveluissa.

Sähköpostialiasten käyttö on käytännöllinen tapa parantaa yksityisyyttä ja helpottaa eri palveluihin liittyvien sähköpostiosoitteiden hallintaa ilman, että sinun tarvitsee luoda kokonaan uusia sähköpostitilejä.

Esimerkiksi SimpleLogin ja Firefox Relay ovat palveluja, joiden avulla voit luoda palvelukohtaisia sähköpostialiaksia. Näin voit käyttää eri palveluissa eri sähköpostiosoitteita ja hallita niitä keskitetysti.

Lyhyesti

Käytä eri palveluissa mahdollisuuksien mukaan yksilöllisiä käyttäjätunnuksia ja vältä saman tunnistettavan sähköpostiosoitteen käyttämistä kaikkialla. Hyödynnä sähköpostialiaksia silloin, kun haluat vähentää palveluiden välistä yhdistettävyyttä ilman uusien sähköpostitilien perustamista.