Vuoden luetuimmat jutut: Salasanasi on todennäköisesti murrettavissa minuuteissa – Näin luot salalauseen, jota on nykyteknologialla liki mahdotonta hakkeroida

Artikkeli on julkaistu ensimmäisen kerran marraskuussa 2018

Ihmisillä voi nykyään olla käytössään jopa satoja verkkopalveluita, joihin he tarvitsevat käyttäjätunnuksen ja salasanan, sanoo tietoturva-asiantuntija Teemu Väisänenhttps://www.hs.fi/haku/?query=teemu+vaisanen Viestintäviraston kyberturvallisuuskeskuksesta.

Jos ylipäänsä käyttää nettiä, käyttäjätilejä on helposti vähintään kymmeniä: some- ja sähköpostitilejä, suoratoistopalveluita, työohjelmistoja, pelejä, uutissivustoja ja vaikka mitä sovelluksia, joihin ei välttämättä edes muista luoneensa tiliä.

Kaikkiin palveluihin pitäisi myös olla eri salasanat, koska jos verkkohyökkäyksien tekijät saavat yhden palvelun käyttäjätunnuksen ja salasanan selville, niillä yritetään todennäköisesti kirjautua myös toisiin palveluihin.

Salasanoista onkin kehittynyt digitaalisen maailman riippakiviä: kymmenien tai yli sadan erilaisen salasanan muistaminen on niin valtava urakka, että se on melko mahdotonta – etenkin kun osa palveluista vaatii taisin väliajoin salasanan vaihtamista.

Mutta ilmankaan salasanoja ei voi olla.

Sen takia ihmiset käyttävät usein tietoturvauhkista huolimatta eri palveluissa samoja salasanoja, jotka ovat vielä monesti lyhyitä ja tavallisia kuten Koira123 ja 69Auto – ja toisissa palveluissa niistä mahdollisesti hiukan eri muotoja kuten Koira12345 tai 70Auto.

”Tuollainen tilanne valitettavasti on”, Väisänen sanoo.

Maailman yleisimmät salasanat vuonna 2017

1. 123456

2. password

3. 12345678

4. qwerty

5. 12345

6. 123456789

7. letmein

8. 1234567

9. football

10. iloveyou

Lähde: Splashdata

Tietokoneiden nykyisillä laskentatehoilla tällaiset salasanat ovat murrettavissa minuuteissa.

Mitä siis pitäisi tehdä? Tässä jutussa kerrotaan, miten voi välttää yleisimmät ongelmat salasanojen kanssa ja miten voi luoda salasana, joka on nykyteknologialla käytännössä mahdoton murtaa.

Juttuun on haastateltu Väisäsen lisäksi myös muita tietoturva-asiantuntijoita, joiden vinkkeihin teksti perustuu.

1. Harkitse salasanojenhallintaohjelmaa

Salasanojenhallintaohjelma on tietokoneohjelma, jonne voi tallentaa salasanoja ja jonka avulla voi esimerkiksi luoda täysin sattumanvaraisia salasanoja.

On parempi käyttää salasanojenhallintaohjelmia kuin olla käyttämättä niitä, kuuluu tietoturva-alan nyrkkisääntö.

Niitä on erilaisia, mutta kaikissa pääperiaate on se, että omaan ”salasanaholviinsa” pääsee kirjautumaan yhdellä pääsalasanalla. Eli sen sijaan että pitäisi muista kymmeniä tai satoja salasanoja, riittää että muistaa yhden.

Ongelma on tietysti se, jos verkkorikolliset saavat tämän pääsalasanan selville. Silloin heillä voi olla pääsy kaikkiin muihinkin salasanoihin, minkä estämiseen salasananhallintaohjelmissa tosin on erilaisia turvamenetelmiä. Pääsalasanaa ei kannata kuitenkaan säilyttää missään sähköisessä muodossa, vaan opetella se ulkoa ja painaa pysyvästi mieleensä.

Tai säilyttää enintään paperinen muistilappu kotona.

Viestintäviraston kyberturvallisuuskeskus ei ole virallisesti testannut ja antanut suosituksia eri salasananhallintaohjelmista, mutta yleisesti tunnetuimmat ja käytetyimmät ovat lähtökohtaisesti turvallisimpia.

Tällaisia salasananhallintaohjelmia ovat muun muassa Dashlane, F-Secure Key, Keepass, Keychain, Password Safe, Lastpass ja 1Password.

Salasananhallintaohjelmiinkaan ei kannata silti tallentaa aivan kaikkia salasanoja, mutta palataan siihen jutussa myöhemmin.

2. Muut tavat säilyttää salasanoja

Salasanoja ei kannata koskaan tallentaa omalle koneelle, jos ne eivät ole suojatussa muodossa.

Tähän on esimerkiksi nämä kolme syytä:

1. Jos haittaohjelma saastuttaa koneen, automatiikka etsii ja poimii tehokkaasti erilaiset salasanalistat.

2. Tiedosto voi helposti epähuomiossa tallentua myös johonkin pilvipalveluun, koska nykyiset käyttöjärjestelmät hyödyntävät niitä.

3. Lista voi hävitä pysyvästi, kun koneen kovalevy hajoaa.

Salasanojen kirjaaminen paperille on perinteisten tietoturvaoppien mukaan ehdottomasti huono vaihtoehto. Pahimmillaan se tarkoittaa tietokoneessa kiinni olevaa post-it-lappua avokonttorissa, jolloin tietoturva on olematon.

Lopulta vain mielikuvitus on rajana, miten paperimuistiinpanoja hyödyntää, joten se voi olla toimivakin tapa. Mutta ongelma on usein viimeistään se, kuinka käyttökelpoisia monimutkaiset listaukset ovat – varsinkin jos listaa joutuu vielä pitämään mukanaan, jotta on tarvittaessa pääsy tarkistamaan salasanat.

Palveluihin kirjautuessa on myös usein tarjolla ”Muista minut” -vaihtoehto tai selain ehdottaa salasanan tallentamista. Nämä eivät ole keinoja tallentaa salasanoja pysyvästi, ja tietoturvan kannalta niissä on kyse eri asioista.

”Muista minut” -valinta ei tallenna itse salasanoja yhtään minnekään, vaan asettaa selaimeen evästeen, joka kertoo, että käyttäjä on jo tunnistettu.

Salasanan tallentamisessa on puolestaan kyse lähtökohtaisesti joko siitä, että salasana tallennetaan vain kyseiseen koneeseen ja nettiselaimeen, tai sitten se synkronoituu selainvalmistajan pilveen, jolloin kirjautuminen onnistuu automaattisesti muiltakin laitteilta.

3. Mitä tietomurroissa tapahtuu?

Valtavat tietomurrot ovat yleisiä internetissä. Esimerkiksi lokakuussa hakkerit pääsivät käsiksi noin 30 miljoonan Facebook-käyttäjän tileihinhttps://www.hs.fi/teknologia/art-2000005862777.html ja Google ilmoitti löytäneensä Google+ -palvelustaan bugin, jonka vuoksi satojentuhansien käyttäjien yksityiset profiilitiedot olivat olleet sovelluskehittäjien luettavissa.

Aiemmin syksyllä lentoyhtiö British Airways joutui suuren tietomurron kohteeksihttps://www.hs.fi/ulkomaat/art-2000005818159.html, kesällä puolestaan lippuja myyvä Ticketmasterhttps://www.hs.fi/teknologia/art-2000005735911.html. Listaa voisi jatkaa loputtomiin, esimerkiksi suosituista nettipalveluista Adobesta, Linkedinista, Dropboxista ja Ebaysta on kaikista vuotanut miljoonittain käyttäjätietoja.

Tyypillisesti tällaisissa tietomurroissa salasanat päätyvät ulkopuolisille salatussa muodossa, niin sanottuina tiivisteinä, joiden ansiosta palvelun ylläpitäjäkään ei tiedä käyttäjän salasanaa.

Tiivisteitä murretaan automatiikalla, jolloin esimerkiksi mikä tahansa kahdeksanmerkkinen salasana on käytännössä murrettavissa minuuteissa, koska nykytietokoneet pystyvät tekemään miljoonia laskutoimituksia sekunnissa.

Jos käyttämäsi palvelu joutuu tietomurron kohteeksi, vaihda saman tien salasanasi – myös kaikissa muissa palveluissa joissa on käytössä sama salasana.

Osoitteessa www.haveibeenpwned.comhttp://www.haveibeenpwned.com/ voi käydä tarkistamassa, onko omia tietoja päätynyt ulkopuolisille laajoissa tietomurroissa. Maksuttomassa palvelussa voi myös tilata itselleen automaattisen hälytyksen, jos näin käy tulevaisuudessa.

Usein käyttäjätunnukset ja salasanat päätyvät hakkereille ja verkkorikollisille kuitenkin tietojenkalastelun yhteydessä, jolloin käyttäjä itse tulee huijatuksi ja antaneensa vahingossa tietonsa.

Tällaiset tietojenkalasteluhuijaukset ovat kehittyneet huomattavasti viime aikoina. HS kertoo lähipäivinä toisessa artikkelissa, miten tietojenkalasteluyritykset tunnistaa ja miten niiltä voi suojautua.

4. Ota aina käyttöön kaksivaiheinen tunnistautuminen, jos se on mahdollista

Monet palvelut tarjoavat kaksi- tai monivaiheista tunnistautumista. Se kannattaa ottaa aina käyttöön, jos sellainen on tarjolla.

Kaksivaiheinen tunnistautuminen tarkoittaa sitä, että käyttäjätilille ei voi kirjautua ainoastaan käyttäjätunnuksella ja salasanalla. Niiden lisäksi tarvitsee myös jonkin muun varmenteen, että todella on tilin haltija.

Tavallisesti tällainen varmenne on joko mobiilisovelluksen pyytämä vahvistus tai tekstiviestillä kännykkään lähetettävä kertakäyttöinen kirjautumiskoodi. Se ajaa siis saman asian kuin verkkopankkien avainlukulistat, jotka ovat tutuin esimerkki kaksivaiheisesta tunnistautumisesta.

Monivaiheisen tunnistautumisen toiminta riippuu siitä, millaista palvelua käyttää ja millaisella laitteella. Esimerkiksi juuri pankit vaativat vahvaa tunnistautumista joka kerta, toiset palvelut saattavat kysyä sitä vaikkapa kerran viikossa tai kuukaudessa.

Monesti kaksivaiheista tunnistautumista vaaditaan, kun kirjautuu johonkin palveluun ensimmäistä kertaa jollakin laitteella. Tällainen varmennepyyntö voi myös tulla, jos esimerkiksi kirjautuu palveluun omalla tietokoneellaan jollain toisella kuin yleensä käyttämällään nettiselaimella tai käyttää yksityisen selailun tilaahttps://www.hs.fi/teknologia/art-2000005738228.html.

Pieni ylimääräinen näppäily, kliksuttelu ja lupien antaminen voi tuntua ärsyttävältä manööveriltä, mutta se kannattaa tehdä, koska monivaiheinen tunnistautuminen estää tehokkaasti ulkopuolisten pääsyn tileillesi.

Esimerkiksi Microsoftilla, Googlella ja Facebookilla on kaikilla käytössä monivaiheinen tunnustautuminen.

5. Suojele erityisen hyvin kriittisimmät käyttäjätilit

Kaikista tärkeimpiä käyttäjätilejä ovat ne, joilla voi kirjautua muihin palveluihin tai joihin voi palauttaa unohtuneen salasanan. Näiden käyttäjätilien kautta ulkopuolisilla on mahdollisuus päästä käsiksi muihinkin tileihisi.

Otetaan esimerkki:

Käytät Gmail-osoitettasi kirjautuessasi eri palveluihin. Se on samalla siis käyttäjätunnuksesi. Kun et muistakaan salasanaa, lähes kaikki palvelut tarjoavat mahdollisuuden klikata sisäänkirjautumisen sijasta myös kohtaa ”Unohtuiko salasana”.

Sen valitsemalla saa yleensä uuden salasanan sähköpostiin tai linkin, jonka kautta kirjautuminen onnistuu. Tällä tavalla ulkopuolinen voisi käydä kaikki tilisi läpi ja päästä kirjautumaan niihin, vaikka hänellä ei olisi mitään hajua muista salasanoistasi.

Samaa reittiä voi hyödyntää myös itse. Joihinkin palveluihin voi halutessaan luoda palautuslinkkien avulla joka kerta uuden salasanan. Silloin niitä ei tarvitse edes yrittää muistaa, riittää kun sähköpostin salasana on mielessä.

Moniin palveluihin voi myös kirjautua suoraan esimerkiksi Google- tai Facebook-tililtä, joten myös ne ovat sähköpostin salasanan lisäksi erittäin kriittisiä. Samoin on Applen käyttämä Apple ID, jonka avulla pääsee käyttäjän Applen tuotteisiin.

Kaikista tärkeintä on luoda tällaisille keskeisimmille palveluille mahdollisimman turvallinen salasana. Nämä ovat myös salasanoja, jotka voi olla lähtökohtaisesti hyvä jättää tallentamatta salasananhallintapalveluihin.

Jokaiselle arjessaan nettiä käyttävällä olisi siis hyvä olla muutama salasana, jotka löytyvät vain hänen omasta päästään – tai enintään kotoa siltä muistilapulta, joka sijaitsee jossain aivan muualla kuin tietokoneen tai älylaitteen vieressä.

Millainen siis on hyvä salasana?

6. Mitä pidempi salasana, sitä parempi

Lähes kaikki ovat kuulleet ohjeen siitä, kuinka salasanassa kuuluu olla isoja ja pieniä kirjaimia, numeroita sekä erikoismerkkejä.

Tämä ohje on vanhentunut. Isoja ja pieniä kirjaimia, numeroita sekä erikoismerkkejä tarvitaan lähinnä siksi, että monet palvelut eivät hyväksy salasanoja ilman niitä. Merkittävin ja ratkaiseva asia on salasanan pituus.

Periaatteessa jokainen lisämerkki parantaa salasanan turvallisuutta eksponentiaalisesti, sanoo Väisänen.

Näin tapahtuu, koska mitä enemmän merkkejä on peräkkäin, sitä useammassa eri järjestyksessä ne voivat keskenään olla.

Eli kun salasana on riittävän pitkä, ei tarvita välttämättä mitään muuta kikkailua, jotta se olisi matemaattisesti vahva, eli hyvä salasana. Tämä sääntö pätee hyvin pitkälle, kunhan salasanan merkit eivät toista jotain tavanomaista sarjaa kuten 1234abcd.

Väisäsen suositus on, että salasana on vähintään 15 merkkiä pitkä. Kaikki tietoturva-asiantuntijat eivät halua antaa tarkkoja merkkisuosituksia, ”koska silloin ihmiset valitsevat vain juuri sen minimimitan täyttäviä salasanoja”.

Peräkkäin olisi hyvä olla ainakin muutama sana, jolloin minimimitta täyttyy luontevasti – ja kyseessä on oikeastaan jo lause.

Sen takia voisi olla paikallaan luopua kokonaan sanan salasana käytöstä ja korvata se termillä salalause. Salalause on myös helpompi muistaa kuin pitkä rimpsu sattumanvaraisia merkkejä peräkkäin.

Jos on käyttänyt lyhyitä salasanoja, eikä ole valmis opettelemaan salalauseita tai käyttämään salasanojenhallintaohjelmia, niin vähintä mitä voi tehdä, on edes toistaa salasanaa niin monta kertaa, että siitä tulee tarpeeksi pitkä.

Musti123-salasanasta voisi siis muokata salasanan Musti123Musti123Musti123, jos ei ole valmis mihinkään muuhun, Väisänen kehottaa.

7. Sanakirjahyökkäys iskee salalauseisiin

Pitkä salalausekaan ei vielä yksin riitä.

Yksi tietomurroista käytettävistä menetelmistä on niin kutsuttu sanakirjahyökkäys, jossa automatiikka käy salasanojen tiivisteitä läpi hyödyntämällä sanakirjoja tai vaikkapa aiemmissa tietomurroissa selvinneiden kymmenien miljoonien erilaisten salasanojen listoja.

Sanakirjahyökkäyksessä automatiikka löytää perusmuodossa olevia sanoja ja niiden yhdistelmiä.

Lisäksi se kokeilee sanojen kanssa tyypillisesti esimerkiksi erilaisia numeroita ja osaa huomioida ihmisten yleisesti käyttämät kikat, kuten I-kirjaimen korvaamisen 1:llä ja A-kirjaimen numerolla 4.

Automatiikka voi tunnistaa myös valtavan kirjon tunnettuja sanontoja ja fraaseja tai kokeilla läpi vaikka kaikki Raamatun lauseet erilaisina yhdistelminä.

Tästä syystä myöskään muutoin pitkät ja hyvänoloiset salasanat eivät välttämättä ole oikeasti toimivia, jos niitä käyttää vain hiukan muunneltuina eri palveluissa. Kun yksi tällainen salasana joutuu rikollisen käsiin, on mahdollista, että muutkin salasanat selviävät turhan helposti.

Älä siis käytä salasanassa esimerkiksi kyseisen palvelun nimeä.

8. Taivuta sanoja, käytä murreta tai slangia ja tee kirjoitusvirheitä

Suomi on harvinainen kieli, joten sanakirjahyökkäyksiltä on paremmin turvassa, kun suosii suomea.

Vielä parempia salalauseista kuitenkin syntyy, kun lisäksi taivuttaa sanoja. Sen jälkeen kannattaa muuttaa ainakin osa sanoista murteelle tai slangille, eli omalle puhekielelle.

Lopuksi kannattaa vielä lisätä joukkoon kirjoitusvirhe tai pari tai vaikkapa sananmuunnos, niin salasana alkaa olla nykyteknologialle jo mahdoton murrettava.

Sen lisäksi salasanaa voi hyvin höystää erikoismerkeillä ja numeroilla.

Jokaiseen palveluun salalauseen rakentamista ei tarvitse kuitenkaan viedä näin pitkälle, Väisänen sanoo.

”Vähemmän tärkeille tileille voi luoda satunnaisia, yksilöllisiä salalauseita, joita pystyy helposti generoimaan. Voi siis käyttää esimerkiksi samaa sanalinjaa, jos sitä muokkailee monipuolisesti.”

9. Viimeistele salalauseesi sattumanvaraisuudella

Ihmiset kuitenkin muodostavat usein salalauseita itselleen läheisistä asioista. Ne on silloin tietysti helpompi muistaa, mutta usein tällaiset tiedot voivat myös olla helposti löydettävissä esimerkiksi ihmisten sosiaalisen median profiileista.

Samalla ne ovat myös potentiaalisesti helpommin murrettavissa. Hyökkääjät voivat esimeriksi käyttää työkaluja, joilla voi luoda salasanalistoja, joissa on yhdistelty eri tavoin käyttäjistä löytyviä tietoja. Automatiikka sitten muodostaa näistä tiedoista erilaisia salasanoja ja kokeilee niitä murroissa.

Älä siis käytä salalauseessa esimerkiksi syntymäaikaasi, omaa, puolison tai lemmikkien nimiä tai kaupunkia, jossa asut.

Tästä syystä myös monissa palveluissa käytössä olevat turvakysymykset ovat huonoja. Ei tarvitse ulkopuoliselta välttämättä hirveästi vaivaa vastata oikein sellaisiin tyypillisiin turvakysymyksiin kuin, mikä on lempivärisi tai mikä on äitisi tyttönimi.

Niihin ei siksi koskaan pitäisi vastata totuudenmukaisesti. Se taas luo yhden ongelman lisää: kuinka muistaa omat vastauksensa turvakysymyksiinsä?

Väisänen suosittelee salasanan sattumanvaraisuuden varmistamiseksi esimerkiksi sitä, että ottaa jonkin kirjan, availee sen sivuja summanmutikassa ja vaikka nopalla heittämällä valitsee, monenneko sanan kultakin sivulta valitsee salasanaansa.

Sitten muokkaa näistä sanoista lopullisen, riittävän pitkän salalauseen yllä olevilla ohjeilla ja ottaa sen käyttöön niissä muutamassa kaikkein tärkeimmässä palvelussa.

”Silloin on käytössä salasana, jota on nykyteknologialla käytännössä mahdoton murtaa”, hän sanoo.

Myös Viestintävirastolla on tarjolla oma salasanageneraattori, jolla voi kokeilla, miten hyödyntää sattumanvaraisuutta salalauseen valitsemisessa. Se löytyy osoitteesta www.pidempiparempi.fihttp://www.pidempiparempi.fi.

Mutta turvallinenkin salasana on huono, jos sitä ei saa helposti muistettua ja kirjoitettua nopeasti kirjautuessa, Väisänen painottaa.

10. Voidaanko salasanoista päästä joskus eroon?

”Riittääkö salasana ikinä oikeasti osoittamaan sen, että kirjautuja on se henkilö, jolla on oikeus päästä palveluun? Tämä on periaatteellinen kysymys”, Väisänen sanoo.

”Rikolliset pystyvät saamaan tunnukset ja salasanat käsiinsä monin eri tavoin, joten jos tilin omistajaa ei varmisteta mitenkään muuten, on pelkän salasanan käyttäminen verkkopalveluissa erittäin huono idea.”

Jatkuvasti kehitetään uusia tekniikoita, joilla voisi korvata perinteiset salasanat, kuten kasvojen- ja silmientunnistushttps://www.hs.fi/teknologia/art-2000005834009.html, kävelytyylistä tai sijaintitiedoista tunnistaminen sekä sormenjäljen tunnistus, jolla monet jo käyttävät nykyään täysin rutiininomaisesti pääsykoodin sijaan kännyköitään avatessa.

”Mutta näitäkin teknologioita on onnistuttu hakkeroimaan. Tämä on jatkuvaa kissa ja hiiri -leikkiä. Silti niiden käyttäminen on parempi juttu kuin luottaa pelkästään salasanoihin.”