Onko salasana huono salasana?

Siis onko "salasana" huono salasana? Tyhmä kysymys, totta kai on.

Älypää-palvelun tietomurtaja vei 127 000 käyttäjätunnusta ja salasanaa, jotka levisivät verkkoon. Typerä ja lapsellinen temppu - mutta entä jos murtaja olisi pitänyt tunnukset omana tietonaan? Älypään palvelussa ei ole mitään tärkeää, mutta luultavasti samoilla tunnuksilla olisi päässyt moneen muuhunkin nettipalveluun.

Mistä voimme tietää, etteikö näin ole käynytkin? Pelottava ajatus.

Onneksi Älypään hakkeroinut henkilö toi itse murron julkisuuteen. Sen ansiosta pääsimme mm. tutkimaan listaa tämän hetken yleisimmistä salasanoista.

Top-20-lista ei tarjoa suuria yllätyksiä - suosituin salasana on edelleen 'salasana'. On tapana nauraa käyttäjille, joihin mikään oppi tietoturvasta ei näytä menevän perille. Vaikka salasanojen vaaroista muistutetaan niin koulussa, työpaikalla kuin julkisuudessakin, ihmiset valitsevat edelleen salasanaksi yksinkertaisia ja helposti arvattavia sanoja.

Mutta asia ei ole ihan näin suoraviivainen. Jos olisi, tämä blogimerkintä olisi jäänyt kirjoittamatta. En olisi itsekään jaksanut toistaa vanhaa liturgiaa hyvistä ja huonoista salasanoista. Sitä on kuultu kyllästymiseen asti.

Vaikka 'salasana' oli aineiston perusteella suosituin salasana, sitä oli ilmeisesti 127 000 nimen aineistossa vain 419 kappaletta eli 0,33 prosenttia. Syksyn 2007 tietomurrossa yleisin salasana oli niin ikään salasana; sen oli valinnut 214 käyttäjää 63 023:sta. Prosentuaalinen osuus on siis pysynyt käytännössä samana. Noin joka 300. käyttäjä valitsee salasanan salasanaksi.

Toiseksi yleisin salsana oli 123456 (304 kpl) ja kolmanneksi yleisin palvelun nimi eli älypää (184 kpl).

On tietysti tyhmää valita salasanaksi salasana, 123456 tai palvelun nimi, mutta huono salasana saattaa olla myös tietoinen valinta. Älypää-palvelussa ei ymmärtääkseni ole mitään erityisen luottamuksellista (en tiedä, en ole koskaan käyttänyt). Vaikka joku pääsisi kirjautumaan toisen käyttäjän puolesta, hän ei pysty aiheuttamaan taloudellista vahinkoa. On parempi käyttää hupipalveluissa huonoa, mutta helposti muistettavaa salasanaa kuin kunnollista, vaikeasti arvattavaa salasanaa - etenkin, jos samaa salasanaa käytetään myös yrityksen omassa verkossa tai muissa tärkeissä palveluissa (niin ei tietenkään pitäisi tehdä).

Huonoja salasanoja on varmasti paljon, mutta tästä aineistosta ei voi vetää sitä johtopäätöstä, että myös työpaikan salasanat olisivat näin huonoja.

Jotain palvelun kohderyhmästä kertoo sekin, että neljänneksi suosituin salasana on kissa ja kahdeksanneksi suosituin hevonen. Olisikohan käyttäjissä paljon tyttöjä? Syksyn 2007 murrossa kissa ja hevonen eivät mahtuneet 20 yleisimmän joukkoon, mutta olivat silti top-50:ssä. Näiden tilastojen perusteella juuri mikään ei näytä muuttuneen salasanojen valinnassa.

Tietomurto on rikos silloinkin, kun se on teknisesti helppoa. Tämä on sattumoisin sama argumentti, jota piraatit käyttävät. Koska netistä lataaminen on helppoa ja tekijöitä on vaikea saada kiinni, kopiointi pitäisi vapauttaa. Tuskin hekään vaativat saman periaatteen soveltamista tietomurtoihin?

Tässä tapauksessa todellinen älypää on ollut palvelun kehittäjä, joka on tallentanut käyttäjien tunnukset ja salasanat selväkielisessä muodossa. Se on vastoin alkeellisimpiakin tietoturvaperiaatteita. Jos palvelun kehittäjä ei ole tätä ymmärtänyt, Sanomien olisi pitänyt havaita asia kun se osti palvelun itselleen. Ei kai suuri mediakonserni muutenkaan ostele sikoja säkissä? Nyt harrastajamainen nettipalvelu aiheutti pörssinoteeratulle mediayhtiölle ikävän mainevahingon.

Kuka sitten palvelusta nykyään vastaakin, sietäisi itse joutua syytteeseen tietoturvalain rikkomisesta. Okei, sellaista ei ole, joten sovellettakoon vaikka henkilötietolakia. Näin laajan rekisterin suojauksesta on PAKKO huolehtia asianmukaisesti -- silloinkin kun kyse on puhtaasta viihdepalvelusta.