Arkipäivän tietoturvaa: salasanahygienia ja KeePass Artikkelin on kirjoittanut Otto Kekäläinen. Edellisissä Turvallisuus-lehden numerossa on esitelty erilaisia ohjelmia salauskäyttöön, joissa kaikissa turvallisuuden perustana on ollut salasana. Salasanat ovat kuitenkin ihmisille oikeastaan ihan luonnottomia. Eihän ihminen voi muistaa merkin tarkkuudella pitkiä koodijonoja, eikä pysty unohtamaan vanhaa salasanaa pyydettäessä. Ihminen on paljon parempi tunnistamaan kuin muistamaan. Salasanojen suhteen pitää noudattaa tiettyjä luonnottomaltakin tuntuvia periaatteita, mutta se onkin helppoa, kun käytössä on sopiva työkalu. Salasanahygienia? Kaikki tuntevat käsihygienian: kädet pestään saippualla aina ennen ruokailua jne. Samalla tavalla kuin käsien peseminen ehkäisee tautien tarttumista, voidaan salasanahygienialla ehkäistä omien käyttäjätunnusten ja salasanojen väärinkäyttöä. Salasanahygienia voi tuntua turhalta kun hyötyä ei näe heti, mutta se on tärkeää varsinkin nykyisessä digiyhteiskunnassa, jossa niin paljon on kiinni salasanoista. Opettele siis noudattamaan seuraavia salasanahygienian periaatteita. 1. Säilytä salasanat turvallisesti Salasanat tulisi säilyttää paikassa, johon vain sinä itse pääset. Paras tapa olisi tietysti säilyttää kaikki salasanat päänsä sisällä, mutta koska nykypäivänä ihmisillä on lukuisia salasanoja ja PIN-koodeja muistettavanaan, ei kaiken muistaminen ole yksinkertaisesti mahdollista. Yksi hyvä paikka säilyttää salasanoja on lompakko. Lompakossa säilytetään rahaa, joten ihmiset ovat tottuneet pitämään huolta lompakostaan. Salasanat voi koodata paperilla pienellä yksinkertaisella kikalla, että vain itse osaa lukea niitä: käytä kaikissa salasanoissa yhteistä alkua jonka muistat, esimerkiksi Ma55i, ja kirjoita paperille vain salasanan loppuosa. Näin jos paperilla lukee hu8kkp, tiedät itse että oikea salasana on Ma55ihU8kkP. Lompakossa olevasta listasta tulee muistaa pitää myös kopiota, jotta lompakon hukkaamisen myötä ei hukkaa myös salasanoja. Kopiolle täytyy luonnollisesti keksiä myös turvallinen säilytyspaikka. Tähänkin voi soveltaa raha-analogiaa ja laittaa listan kassakaappiin. Lompakon lisäksi matkapuhelin on jatkuvasti mukana. Matkapuhelimille on jopa saatavilla ohjelmia, jotka on tarkoitettu nimenomaan salasanojen säilytykseen. Ohjelmien periaate on, että yhdellä pääsalasanalla suojataan salasanaluettelo, jolloin ulkoa muistettavien salasanojen määrä supistuu yhteen. Muilta osin matkapuhelimessa oleva luettelo ei ole juuri paperia parempi, koska salasanat joutuu edelleen tihrustamaan näytöltä ja näpyttelemään itse käsin tietokoneeseen, kun kirjautuu johonkin sisään. Suositeltavin vaihtoehto on salasanojen säilytysohjelman käyttö tietokoneessa. Esimerkki tällaisesta ohjelmasta on KeePass. Sen käyttö on erittäin helppoa, koska pääsalasanan syöttämisen jälkeen voi salasanaluettelosta helposti kopioida sekä käyttäjätunnuksen, että salasanan leikepöydälle ja sitä kautta viedä mihin tahansa toiseen tietokoneohjelmaan, joka vaatii salasanaa, ilman että itse joutuu näpyttelemään mitään. KeePass on saatavina useille eri käyttöjärjestelmille, kuten Windows, MacOS X, Linux ja useat älypuhelimet. Ohjelman kryptografiset toteutukset ja muu toiminta on luotettavaa, koska lähdekoodi on avointa ja se on ilmainen vapaan lisenssinsä vuoksi. KeePass on myös suomennettu. Myös Internet-selaimissa on salasanojen tallennusmahdollisuus ja esimerkiksi Firefoxissa voi asettaa myös pääsalasanan, jolla suojataan salasanaluettelo. Toiminto on hyvä lisä KeePassin ohella käytettäväksi, mutta kaikki salasanathan eivät liity verkkopalveluihin ja osassa verkkopalveluitakin selaimen salasanamuistin käyttö on estetty verkkopalvelun itsensä toimesta. 1 of 5 04.04.2011 14:36
KeePass-ohjelmalla voi pitää luetteloa salasanoistaan turvallisesti. 2. Käytä eri salasanoja eri järjestelmissä On vaarallista käyttää samaa salasanaa tai PIN-koodia useissa eri järjestelmissä. Mikäli yhden järjestelmän salasana joutuu vääriin käsiin, päästään sen avulla aiheuttamaan mittavaa haittaa käyttäjätunnuksen omistajalle useissa tietojärjestelmissä. Koska useimmat tietoturvapolitiikat tai käyttöehdot kieltävät saman salasanan käyttämisen useasti, voi itse vahingon lisäksi käyttäjätunnuksen omistajalle tulla lisäseuraamuksia esimerkiksi siitä, ettei vakuutusyhtiö suostu korvaamaan heidän mielestään käyttäjän huolimattomuudesta johtuvaa vahinkoa. Yleisin syy käyttää samaa salasanaa eri paikoissa on käyttäjän laiskuus tai huonomuistisuus. Molempiin auttaa KeePass. Lisäksi KeePassissa on salasanan automaattinen salasanaluomistoiminto, jonka avulla on helppo noudattaa käytäntöä, että jokainen uusi salasana on aina täysin erilainen kuin mikään aikaisempi. KeePassin avaamisessa pitää antaa pääsalasana. Se onkin ainoa salasana minkä tarvitsee muistaa KeePassin käyttöönoton jälkeen. 3. Käytä riittävän monimutkaisia salasanoja Yleensä ihmisillä on nykyisin niin monimutkaiset salasanat, että toinen ihminen ei jaksa kokeilla riittävän montaa vaihtoehtoa löytääkseen toisen käyttäjän salasanaa. Salasanojen kokeilu voidaan kuitenkin suorittaa tietokoneella, joka järjestelmästä riippuen voi kokeilla jopa miljardeja vaihtoehtoja päivässä. Salasanan vahvuus pitäisi olla tietokonekielellä ilmaistuna vähintäänkin 58 bittiä, eli todennäköisyys arvata salasana on yksi sadasta 2 of 5 04.04.2011 14:36
tuhannesta biljoonasta (100 000 000 000 000 000). Tällöin tietokone löytäisi salasanan 50 prosentin todennäköisyydellä 50 tuhannella biljoonalla yrityksellä ja jos tietokone kokeilee miljardi salasanaa päivässä, menisi yrityksiin 395 tuhatta vuotta. Ihmiskielellä ilmaistuna riittävän monimutkainen salasana on vähintään yhdeksän merkkiä pitkä ja sisältää sekä pieniä kirjaimia, isoja kirjaimia, numeroita ja erikoismerkkejä. Lisäksi salasanan tulee olla mahdollisimman sattumanvaraisesti valittu. Salasanojen murto-ohjelmat eivät nimittäin yritä salasanoja järjestyksessä aaa, aab, aac vaan ne aloittavat käymällä läpi sanakirjan, sitten ne ottavat sanakirjasta sanoja ja yhdistävät niiden alkuun tai loppuun numeroita jne. Salasana Kissa-koira99 täyttää merkki- ja pituusvaatimukset, mutta se ei ole kovin sattumanvarainen koska iso kirjain on alussa, sanakirjasta löytyviä sanoja ja numero lopussa kaikki tyypillisiä piirteitä ihmisten keksimissä salasanoissa ja siksi todennäköisesti juuri sitä mitä salasanojen murto-ohjelmat kokeilevat ensin. Tässäkin tietokoneohjelmasta on hyötyä. KeePass sisältää toiminnon, joka kertoo käyttäjän salasanan vahvuuden ja auttaa luomaan satunnaisia vahvoja salasanoja. KeePass kertoo kuinka vahva salasanasi on, ja sillä voi luoda hyviä salasanoja myös automaattisesti. 4. Vaihda salasana säännöllisesti Mikäli jokin tietokoneohjelma yrittää kokeilla eri salasanavaihtoehtoja käyttäjän salasanan löytämiseksi, joutuu se aloittamaan työn alusta aina kun käyttäjä vaihtaa salasanansa. Jos esimerkiksi Matin salasana on ijhg%68km ja jokin tietokoneohjelma yrittää löytää tämän kokeilemalla miljardia vaihtoehtoa päivässä, on löytymistodennäköisyys kahden vuoden sisällä alle kolme miljoonasta. Näin ollen jos Matti vaihtaa salasanaansa kahden vuoden välein, on salasanan löytymistodennäköisyys pysyvästi lottovoiton tasoa. Mikäli salasana on riittävän hyvä, sopiva salasanan vaihtoväli on yksi tai kaksi vuotta. Jos esimerkissä Matin salasanan olisi huono, kuten vaikkapa matti69, löytäisi samainen tietokone Matin salasanan päivässä vajaan prosentin todennäköisyydellä. Vaikka Matti vaihtaisi salasanansa joka päivä, paljastuisi se varmuudella silti viiden kuukauden sisällä. Tässä mielessä riittävän monimutkainen salasana on ratkaisevaa, eikä pakotettu salasanan vaihto muutaman viikon tai kuukauden välein ole tehokas tapa parantaa tietoturvaa. Pikemminkin päinvastoin, koska salasanan vaihtamiseen liittyy aina vaivannäköä ja omat riskinsä. Jos joku on kurkkinut olkasi yli tai muuten epäilet, että salasanasi on paljastunut, kannattaa se vaihtaa ylimääräisen kerran. Hyvin tehdyt tietojärjestelmät kertovat sinulle sisäänkirjautumisen yhteydessä koska 3 of 5 04.04.2011 14:36
kirjauduit sisälle edellisen kerran ja mahdollisesti, miltä tietokoneelta vierailu tuli. Jos järjestelmä kertoo sinun olleen sisällä edellisen kerran juuri silloin kun olit lomalla, osaat päätellä, että jotain on vinossa. Salasanojen iän seurannassakin voi hyödyntää KeePassia. Se näyttää jokaisesta siihen tallennetusta salasanasta päivämäärän jolloin se on otettu käyttöön. 5. Älä koskaan kerro salasanaasi kenellekään Kenelläkään ei ole mitään syytä tietää salasanaasi. Älä siis ikinä paljasta salasanaasi edes ylläpitäjälle, vaikka hänellä olisi kuinka hyvä syy udella salasanaasi. Kaikissa tietojärjestelmissä ylläpitäjä voi aina nollata tai vaihtaa käyttäjän salasanan, jos jostain syystä on tarvetta käyttää jonkin yksittäisen käyttäjän tunnuksia. Yleisin syy tietomurtoihin on se, että käyttäjä on syystä tai toisesta mennyt paljastamaan salasanansa. Ethän sinä lankea kenenkään manipulointiin? 6. Lähetä salasanasi oikealle kohteelle ja vain suojatussa yhteydessä Kun olet aikeissa kirjautua johonkin järjestelmään, tarkista että kohde on oikea. Esimerkiksi verkkopankkiin mennessäsi tarkista osoiteriviltä, että siinä on oikea osoite. Parhaan varmuuden saat kun avaat sivuston kirjoittamalla osoitteen itse tai valitsemalla sen omista kirjainmerkeistäsi sen sijaan, että napsauttaisit osoitteen auki esimerkiksi saamastasi sähköpostiviestistäsi. Tarkista myös, että yhteys on salattu. Internetissä kaikki tietoliikenne on helposti kenen tahansa matkan varrella olevan salakuunneltavissa, ellei se ole kunnolla salattu. Verkkosivustojen osalta tarkista, että osoite alkaa https://www... ja että selaimessasi on asianmukaiset salauksesta kertovat merkit näkyvissä. Kirjain S tulee sanasta secure. Jos käyttää sähköpostin lukemiseen erillistä ohjelmaa, kannattaa tarkistaa sen asetuksista, että saapuva posti haetaan salatulla IMAP-yhteydellä (usein nimeltään IMAPS) ja viestit lähetetään salatulla SMTP-yhteydellä. Tiedostonsiirrot kannattaa hoitaa SFTP-yhteydellä. Lisäksi kannattaa tarkistaa myös minkälaisia yhteyksiä esimerkiksi IP-puhelinohjelmisto tai verkkotulostin käyttää. Salausjärjestelmien käyttöön liittyy myös aina kysymys siitä, onko yhteys salattu oikealla avaimella? Jos yhteys on salattu siten, että salausavain on salakuuntelijan tiedossa tai jopa salakuuntelijalta saatu, ei riitä että tarkistaa salauksen olemassaolon. Salausavaimen oikeellisuuden tarkistaminen vaatii valitettavasti melko paljon asiantuntemusta. Jos pankin verkkosivuille mennessä selainohjelma esimerkiksi ilmoittaa, että varmenne on myönnetty väärälle palvelimelle, voi asian selvittämisen aloittaa soittamalla pankille ja kysyä, ovatko he itse tietoisia asiasta. Kaikkia salatun yhteyden käyttöön liittyviä yksityiskohtia ei voi tässä listata, mutta toisaalta lukijan ei tarvitse niitä yleensä tietääkään. Tärkeintä on periaatteen ymmärtäminen ja että käyttäjällä soi hälytyskellot, mikäli jokin kielii siitä, että yhteys ei ole salattu tai yhteyden toinen puoli on jokin muu kuin mikä sen pitäisi olla. Avoimuus lisää luotettavuutta Miten käyttäjä uskaltaa tallentaa kaikki tärkeät salasanansa yhteen tietokoneohjelmaan? Mistä tietää, ettei tietokoneohjelma lähetä luetteloa jollekin kräkkerille? Tai voiko käyttäjä luottaa siihen, että luettelo on oikeasti kunnolla salattu, ettei sitä pysty avaamaan vaikka se joutuisi vääriin käsiin? KeePass on julkaistu vapaalla lisenssillä ja se perustuu avoimeen lähdekoodiin. Tämän ansiosta kuka tahansa riittävän osaava henkilö voi tarkistaa miten ohjelma toimii ja siten varmentaa, että se tekee mitä sen kuuluukin. Avoin kehitysmalli mahdollistaa myös sen, että mikäli joku maailmassa keksii alkuperäistä tekijää paremman tavan toteuttaa jokin asia, voi tämä lähettää parannuksensa otettavaksi mukaan ohjelmaan. Pitkässä juoksussa kaikki hyötyvät, kun tietokoneohjelman teossa noudatetaan tieteellistä ja avointa toimintatapaa. KeePassin kotisivuilla olevan sitaatin mukaan yksi maailman kuuluisimmista tietoturva-asiantuntijoista, Bruce Schneier on todennut, että avoimuus on turvallisuuden edellytys. Lähde ja lisenssi Tämä artikkeli on alun perin julkaistu Turvallisuus-lehdessä 1/2010. Copyright Otto Kekäläinen ja Turvallisuus-lehti 2010. 4 of 5 04.04.2011 14:36
Artikkeli on julkaistu VALO-CD:llä tekijän ja Turvallisuus-lehden toimituksen luvalla. Artikkelissa mainittu ohjelma on asennettavissa VALO-CD:ltä. 5 of 5 04.04.2011 14:36