Helsingin Sanomien kolumnissa tutkija Pekka Pekkala kertoo, miten hänen Skype-salasanansa urkittiin Taiwaniin. Tekstissä annetaan vinkkejä hyvien salasanojen muodostamisesta. Lisää neuvoja löytyy kolumnia seuraavasta keskusteluosuudesta.
Niin hyviä kuin ohjeet ovatkin, ne toistavat kerran opittuja (toivottavasti!) neuvoja turhan suoraviivaisesti. Aivan varmasti T2x823ö+Q on parempi salasana kuin antti tai oman auton rekisterinumero, mutta jos salasana kaapataan olan yli kurkkimalla tai ujuttamalla koneeseen haittaohjelma, salasanan mutkikkuudella ei ole mitään merkitystä. Näissä tilanteissa ainoa lääke on pitää kone puhtaana ja vaihtaa salasanaa riittävän usein. Ja vaikka oma kone olisi täysin puhdas, salasanan kirjoittaminen vieraalla koneella tai nettikahvilassa on suuri riski.
Salasanan hyvyydellä ei liioin ole merkitystä, jos hakkeri murtautuu nettipalveluun ja varastaa salasanojen tietokannan. Näin kävi mm. pari vuotta sitten Älypään tapauksessa.
Ylipäätänsä ohjeet T2x823ö+Q-tyyppisten salasanojen muodostamiseksi liittyvät tilanteisiin, jossa murtautuja saa vapaasti kokeilla miljardeja ja taas miljardeja vaihtoehtoja (ns. brute-force -menetelmä). Verkkopalveluissa tällaista tilannetta on tuskin koskaan, sillä kirjautumisyritykset katkaistaan jo muutaman väärän jälkeen. Vaikka niin ei tapahtuisikaan, jokaiseen yritykseen kuluu niin paljon aikaa (jopa sekunti tai kaksi), ettei miljardien vaihtoehtojen kokeilu ole mitenkään mahdollista. Silloin myöskään salasanan absoluuttisella pituudella ei ole mitään merkitystä.
Ainoa tilanne, jossa verkkopalvelun salasanoja päästään murtamaan kaikessa rauhassa, liittyy tiivisteinä tallennetun salasanatietokannan murtamiseen. Sellaisiakin on tapahtunut. Oikeaoppinen tiivistekanta kuitenkin suolataan, mikä tekee brute-force-kokeilut mahdottomiksi myös näissä tapauksissa.
Pekkalalta varastettu salasana liittyi Skype-tunnukseen. Kolumni ei kerro, oliko se helppo arvata. Ulkomaiset hakkerit saattavat kokeilla yleisiä englanninkielen sanoja ja näppäimistölyhenteitä (kuten 12345, admin, qwerty, käyttäjätunnuksen etunimi tms), joten ne ovat ehdottomasti kaikkein huonoimpia salasanoja. Sen sijaan oman auton rekisterinumero tai lemmikkieläimnen nimi saattavat olla ulkomaiselle hakkerille täysin mahdottomia murrettaviksi, koska he eivät tunne henkilöä.
Tilanne on tietenkin toinen, jos murtoa yrittää oma puoliso tai työkaveri. Kaikki riippuu siitä, mikä on todennäköisin uhkakuva hyökkäykselle.
Pitkä ja mutkikas salasana on vain pieni osa tietoturvaa. Verkkopalveluissa on vähintään yhtä tärkeää, että salasanaa vaihdetaan säännöllisesti ja etenkin se, ettei samaa salasanaa käytetä useassa eri paikassa.
Minä yritän käyttää eri salasanaa kaikissa mahdollisissa palveluissa. Voisitko vielä antaa vinkin, miten kaikki salasanat voi muistaa? Minulla ne on yhdessä tekstitiedossa, mutta tietoturvasyistä en ole kirjoittanut sinne, mihin ne kuuluvat tai mikä on kussakin palvelussa tunnus. Kun jotakin palvelua käyttää esim kerran kaksi vuodessa, on hankalampi muistaa se käyttäjätunnus kuin salasana.
VastaaPoistaYksi hyvä työkalu salasanojen tallentamiseen on Keepass http://keepass.info, avoimen lähdekoodin ohjelma.
VastaaPoistaKeepassista on versiot varsin monelle eri käyttöjärjestelmälle ja puhelinalustalle. Sen etuna on monimutkaisten ja pitkien salasanojen helppo hallinta ja tallennus+salaus vahvalla suojauksella. Mikään ohjelma ei silti poista Petterin esiin tuomia ongelmia, kuten nettikahvilan koneeseessa asennettua keyloggeria, joka tallentaa jokaisen näppäinpainalluksen.
Suurin ongelma on siinä, että ”viralliset” salasanasuositukset ovat turhan hankalia – sekä lisäksi virheellisiä. Ei ole mitään järkeä käyttää vaikeita muistisääntöjä luodakseen salasanaa joka on käsittämätön erikoismerkkihirviö jota ei siltikään pysty muistamaan. Ja jos tällainen erikoismerkkihirviösalasana pitää vielä olla uniikki jokaiseen mahdolliseen palveluun, ei niiden käsittely onnistu sitten millään vaikka olisi apuohjelmia käytettävissä, apuohjelmaa kun täytyy aina jotenkin pitää mukanaan ja asentaa koneelle. Tästä syystä ihmiset käyttävät salasanoja jotka ovat helppo muistaa, eli toisin sanoen helppoja arvata.
VastaaPoistaMinun vinkkini on jakaa salasanat esim. kolmeen ryhmään:
1. Tiukimmat salasanat sellaiseen palveluun joissa käsitellään rahaa: Pankit, uhkapelisivustot, verkkokaupat jne.
2. Palveluihin joissa ei liiku raha, mutta silti yksilöityjä henkilötietoja kuten Facebookit, Twitterit, tietyt sähköpostitilit jne. Tämän ryhmän salasanat kannattaa vaihtaa säännöllisesti.
3. Kolmas ryhmä on keskustelufoorumeiden rekisteröinnit ja muut sellaiset joihin ei edes tarvitse rekisteröityä omalla nimellään.
On harhakäsitys, että salasanan pitäisi sisältää kaikkia merkkejä maan ja taivaan väliltä jotta se olisi suojassa arvauksilta tai brute-force hyökkäyksiltä. Harmaakurkkutiainen on esimerkki loistavasta salasanasta. Sellaista lintua ei ole olemassakaan, joten sanakirjahyökkäykset eivät onnistu, 19 merkkiä tekevät siitä todella vaikean murrettavan pelkällä laskentateholla vaikkei erikoismerkkejä sisälläkään, kaiken lisäksi se on helppo muistaa ja mahdoton kenenkään arvata.
Välttäkää kuitenkin ylesintä salasanaa:
VastaaPoistahttp://www.bloomberg.com/insights/passwords/
"Sen sijaan oman auton rekisterinumero tai lemmikkieläimnen nimi saattavat olla ulkomaiselle hakkerille täysin mahdottomia murrettaviksi, koska he eivät tunne henkilöä."
VastaaPoistaPaitsi jos kuva autosta tai lemmikistä nimen kera näkyvät esimerkiksi kaikille avoimessa Facebook-profiilista.
Lisää luettavaa:
https://www.grc.com/haystack.htm
Steve Gibson esitty podcastissaan "Password Haystack" (http://www.grc.com/sn/sn-303.htm) tavallaan uuden konseptin salasanojen hyvyydessä.
VastaaPoistaJos varaudutaan bruteforcea vasten, ei salasanan tarvitse olla monimutkaisuudessaan koiranoksennuksen näköinen. Riittää, että siinä on yksi erikoismerkki kustakin "luokasta": Yksi iso kirjain, yksi pieni kirjain, yksi numero, 1 muu erikoismerkki. Tämä yksistään pakottaa hyökkääjän testaamaan aina vain suuremman joukon vaihtoehtoja. Tämän lisäksi salasanan pitää olla pitkä. Tähän riittää "padding": Salasanan alkuun, loppuun tai väliin laitetaan toistoa: Olkoot vaikkapa 10kpl välilyöntejä, A-kirjaimia tms. Omaan pädäykseen kannattaa kehitellä "oma kaava", jota ei kerro muille. Näin saadaan salasana pitkäksi, jolloin bruteforceen tarvittava kokeilumäärä kasvaa hurjaksi. Lisäksi salasanassa pitää olla jotain palvelukohtaista yksilöllistä. Se voi olla esim. palvelun nimi -- Näin yhdestä paikasta varastettu salasana ei suoraan toimi muualla.
Tässä siis yksi vinkki, miten salasanasta voi saada helpommin muistettavan mutta silti vaikeasti "kokeilemalla arvattavan".
Monia hyviä kommentteja, kiitos niistä.
VastaaPoistaSosiaalinen media on petollista juuri siksi, että levittää salakavalasti myös salasanoihin ja erityisesti turvakysymyksiin liittyviä tietoja. Näin silloin, kun asialla on teollisuusvakooja tai kohdistettua hyökkäystä tekevä hakkeri, jolla on aikaa ja motiivi perehtyä uhrinsa taustoihin.
Ilkan mainitsema Gibsonin ohje on erinomainen ja korostaa juuri sitä, mikä on oleellista vaikeasti brute-forcella murrettavia salasanoja kehitettäessä.
Yksi hyvä salasana-manageri (saavilla myös Android/Symbian) on lastpass, jossa kaikki kryptataan master-salasanalla ja joka sivulle on helppo luoda oma vahva salasana kantaan, avattavissa email/masterpass combolla.
VastaaPoistaVielä yksi pointti: jokainen on kuullut varoituksen siitä, miten salasanoja ei ainakaan saa säilyttää näytön viereen teipattuna tai näppäimistön alle piilotettuna.
VastaaPoistaOhje on peräisin ajalta, jolloin piti torjua paikallisia käyttäjiä - siis esimerkiksi siivoojaa tai uteliasta kolleegaa.
Tänään suurimman uhkan muodostavat kansainväliset nettirosvot. He eivät näe, mitä monitorin kylkeen on teipattu eivätkä liioin pysty kurkistamaan näppäimistön alle. Itse asiassa muistilappu näytön vieressä voi olla jopa hyvä asia! Ainakin se edistää salasanan vaihtamista, koska vaihto ei kuormita muistia.
Jälleen kerran kyse on siitä, millaisia uhkia vastaan salasanoilla halutaan varautua.
On totta, että uhkat ovat muuttuneet tai pikemminkin eskaloituneet. Mutta ohje siitä, ettei salasanoja saisi tarrata näppäimistön pohjaan pätee kyllä jossain määrin edelleen.
VastaaPoistaJos nyt ryhtyisin murtovarkaaksi, niin en ensimmäisenä etsisi talosta koruja saatikka sitten raskasta viihde-elektroniikkaa, vaan työpöydän laatikosta sellaista pelikortin kokoista lappua josta löytyy pankkitunnukset. Usein vaadittava salasana/asiakastunnus on vaivaa säästääkseen kirjoitettuna samaan lappuseen tai ainakin löytyy samasta vetolaatikosta. Näille tunnuksille keksisin helposti kaikenlaista käyttöä. Tuntuuko tutulta?
Ps. Itse otan aina uusista pankkitunnuksista valokuvan, liitän sen Exceliin ja salaan tiedoston (hyvällä) salasanalla…
Yllättävän monilla ihmisillä olen muuten nähnyt (yleensä) 7-numeroisen asiakasnumeron kirjoitettuna Nordean tunnuslistaan. Eivät taida ressukat tietää, että sen as.numeron avulla saa Nordean seuraavan tunnusnumeron tunnustiedustelusta.
VastaaPoistaKotiin murtautuvaa kiinnostavat pankkikortit tunnuslukuineen, mutta he ovatkin eri asia kuin nettirosvot. Henkilö, joka pääsee fyysisesti koneella tai paikan päälle, on aivan erilainen uhka kuin netissä vaaniva hakkeri.
VastaaPoistaKotiin murtautuvaa tuskin kiinnostaa nettipalveluiden salasanat, vaikka ne olisi teipattu näyttöön kiinni. Ainoa, mikä voi kiinnostaa, on käynnistyssalasana (jos kone napataan mukaan).
@Tero: ei kai se näin voi olla? Että pelkällä asiakasnumerolla saisi tietää seuraavan vapaan tunnuksen? Ohjeissa nimenomaan korostetaan, että tunnusluku ja asiakasnumero on säilytettävä eri paikoissa.
Nordean Solo-asiakastunnuksella saa tietää monesko kertakäyttöinen salasana on seuraava.
VastaaPoistaJos näppäilee solo-palveluun oikean asiakastunnuksen ja siihen liittyvän voimassa olevan tunnuslistan käytetyn tunnuksen, kertoo pavelu "Seuraava vapaa tunnus on 67" tms, viitaten kyseiseen listaan. Näin jos olen unohtanut yliviivata käyttämäni tunnuksen, saan tietää missä kohtaa listaa mennään. Edelleen tarvitsen toki listan jotta voin katsoa mikä on 67. tunnus.
Muistaakseni Nordean palvelu kertoo seuraavan tunnuksen järjestysnumeron vain jos annettu tunnus on kertaalleen käytetty edellinen tunnus. Ei siis satunnaisesti annettu tai tyhjä tunnus.
VastaaPoista"Verkkopalveluissa on vähintään yhtä tärkeää, että salasanaa vaihdetaan säännöllisesti"
VastaaPoistaMiksi ihmeessä?
Varsinkin IT-ylläpidon mielivaltaiset "vaihda kerran kuussa, ei saa olla mikään aiemmasta 25 salasanasta"-säännöt johtavat juurikin niihin post-it-lappuihin.
Vaikka moista pakotusta ei olisikaan, miksi salasanaa pitäisi vaihdella jos kertaalleen on hyvän asettanut?
Nimim. 11 vuotta sama salasana sähköpostilaatikossa.
Salasanojen säännöllinen vaihtaminen on tärkeää juuri siitä syystä, että niitä on nyt paljastettu ja julkaistu. Eli toisin sanoen salasana kannattaa vaihtaa jos on pienikin epäilys siitä, että se on paljastunut. Jos samaa salasanaa käyttää useammassa palvelussa, niin nekin pitää vaihtaa.
VastaaPoistaSiitä olen nim. Zarrin kanssa täysin samaa mieltä, että tällaiset kerran kuussa vaihtamiset ovat täysin turhia ja ainoastaan heikentävät tietoturvaa juuri siksi, että niitä sitten kirjoitellaan muistiin minne sattuu.
Olen joutunut häirikön/häiriköiden kohteeksi. Olen joutunut vaihtamaan kaikki salasanani, sillä kaikkeen mahdolliseen on yritetty tunkeutua.
VastaaPoistaJoku jopa perusti varjoblogin blogilleni, mutta onneksi olin rekisteröinyt blogini nimen Patentti ja rekisterihallituksen kautta (mitä kyseinen bloggaaja vastusti), ja blogini kanssa samanniminen varjoblogi poistettiin, samoin sen loukkaavat kirjoitukset Googlesta. Jokin toimii netissäkin.
Minusta meidän kaikkien tulisi toimia niin, että netti tulisi turvallisemmaksi. Muutenhan ihmiset eivät viitsi kohta käyttää esimerkiksi blogeja tai ne tulevat suljettujen ryhmien blogeiksi tai pelkästään nettihäiriköiden temmellyspaikoiksi.
Eilen kaikkien kuvieni sanottiin yhtäkkiä Facebookissa olevan "abusive material", mutta lähetin viestin ja ongelma oli korjaantunut tänä aamuna. Ainakin äsken pystyin lähettämään pari kuvaa.:)
Ennenhän tällaista "abusive material" -lähettäväksi sivuksi leimaamista ei voinut kumota:
http://forum.developers.facebook.net/viewtopic.php?id=27320
Jotain järjestystä Internetiinkin on pakko saada, muutenhan aika menee häiriköiden jälkien korjaamiseen ja sitä välttävät ihmiset, joilla voisi olla paljon tärkeää sanottavaa. Vapaus muuttuu helposti anarkiaksi.
Voit poistaa tämän viestini, kun olet lukenut sen, jos Sinusta on niin parasta.
Itse muodostan "helpon" salasanan niin että joka palvelussa se poikkeaa hiukan toisessa palvelussa käytetystä.
VastaaPoistaMuodostaminen tapahtuu omalla kohdallani esimerkiksi useasta sanasta/sanan muunnoksesta, vuosiluvusta tai muusta helposti muistettavasta numerosta, tutun nimestä, palvelun nimen osasta joka poikeaa pakosti toisen palvelun nimestä tms. ei muistaminen vaikeaa ole kun opettelee tietyn kaavan eikä salasanan kirjoittaminen kymmensormijärjestelmällä edes ole hidasta.
Nettikahvilassa en yleensä käy juuri siksi ettei tietoni päädy kaikille tutkittavaksi.
Vaikea salasana usein hankaloittaa monia asioita enemmän kuin helposta voi olla haittaa. Perus nettipalveluissa pidän turhana käyttää monimutkaisia, kun alku on sama ja loppu viittaa palveluun on se helppo muistaa. Joka tapauksessa salasanani tietoonsa onkiva tietää tekevänsä väärin, etenkin jos käyttää sitä ja laki antaa periaatteellisen suojan kuten mitä tahansa rikosta vastaan. Aivan samalla tavalla laki suojaa torimyyjää, ettei hänen tuotteitaan ryöstetä. Torimyyjä pitää tuotteensa tarjolla, koska pääosin ihmiset on rehellisiä, eivätkä näpistä. Hän saa paljon enemmän myyntiä, kun ei piilota tuotteita niiden harvojen näpistelijöiden takia. Jos hän saa näpistelijän kiinni, tottakai hän puuttuu asiaan.
VastaaPoistaOmaa nettiyhteyttä ja siihen liittyvää sähköpostia varten salasana on tietokoneeni vieressä yhden kirjan sivulle kirjoitettuna. Yleensä tietokone muistaa sen, eikä itse tarvitse muistaa sitä, mutta tiedän kirjan ja sivunumerokin on minulle helppo, jos välillä tarvitsen sitä. Salasanat, joita joutuu usein käyttämään ovat helppoja, kun etuliite ei muutu. Se helpottaa myös jos joskus ei pitkään aikaan käytä jotain palvelua.