Älä kiusaa käyttäjää salasanoilla. Niitä vihataan.

Salasanojen hallintapalvelu Lastpassin käyttäjätutkimuksen mukaan työssäkäyvällä ihmisellä on keskimäärin hallittavanaan 191 salasanaa. Luku saattaa olla yläkanttiin, mutta joka tapauksessa salasanoja tarvitaan jo niin moneen palveluun, että Unohditko salasanasi? -sivu on usein yksi kirjautumista vaativien palveluiden suosituimmista sivuista.

Ihmisille on luontevaa suhtautua omaan kyberturvallisuteensa hyvin optimistisesti. Moni ei usko, että omat satunnaiset tilit ovat hakkeroinnin arvoisia, eikä salasanoihin siksi suhtauduta kovin vakavasti. Viime vuoden yleisin salasana oli 123456. Vaikka 91 prosenttia tietää, ettei samaa salasanaa tulisi ikinä käyttää eri palveluissa, 61 prosenttia toimii juurikin näin. Salasanoja myös jaetaan kavereille ja kollegoille, vaikka tämän tiedetään olevan tyhmää.

Juttu menee niin, että valtaosa ihmisistä on naiiveja, epäjärjestelmällisiä, huolimattomia ja/tai laiskoja eikä pidä salasanoistaan huolta. Tämä aiheuttaa valtavia tietoturvariskejä sekä yrityksille että ihmisille henkilökohtaisella tasolla: Heikoin kohta kyberturvallisuudessa on lähes aina ihminen. Lisäksi salasanojen kanssa pelleily on hiton ärsyttävää, mikä lisää houkutusta laiminlyödä niitä.

Tä55ä E1 0l3 Järk3ä!

Nykyisin yleisesti käytettävä salasanamalli, jossa sekoitetaan isoja ja pieniä kirjaimia, numeroita ja erityismerkkejä – Ti3Dä7häN? – on oikeasti ihan turha. Tämän fiaskon takana on eräs Bill Burr.

Burr julkaisi vuonna 2003 National Institute of Standards and Technologyn NISTin kahdeksansivuisen salasanaoppaan, jonka pohjatyö perustui pitkälti yhteen 80-luvulla – ennen internetiä – tehtyyn tutkimukseen. Tämä täysin epätieteellisen oppaan takia olemme vuosikymmeniä käyttäneet salasanoja, joita ihmisen on vaikea muistaa, mutta jotka koneen on helppo murtaa.

Bill on myöhemmin kertonut, ettei tuona aikana oikeastaan tiennyt salasanoista mitään. Nykyisin hän katuu työtään. “Much of what I did I now regret.”

Tämä tunnettu XKCD:n sarjakuva selittää, miten voisimme yhtä hyvin käyttää ihmisystävällisempää ja tietoturvallisempaa salasanamenetelmää, jos ystävämme Bill olisi tehnyt taustatyönsä paremmin. Nyt valtaväestö on kuitenkin tottunut keksimään sekavia SaL4San0ja, moni palvelu edelleen vaatii niitä, eikä tapaa ole helppo kitkeä pois.

SOS ei pelasta salasanoilta, mutta erilainen SSO voi pelastaa

Single sign-on eli SSO tarkoittaa kertakirjautumista: yksi kirjautuminen avaa ovet useampaan saman palveluntarjoajan hallinnoimaan palveluun. Normaali salasanakin voi siis olla SSO-ratkaisu, mutta salasanan rinnalla voi tarjota muitakin inhimillisempiä vaihtoehtoja.

Qvikillä on tästä esimerkki, joka puhuu puolestaan. Kirjautuminen Tallinkin palveluihin uudistettiin siten, että käyttäjä pääsee sisälle palveluun sähköpostilla, puhelinnumerolla, kanta-asiakasnumerolla, Google-tunnuksilla tai vanhalla kunnon käyttäjänimi–salasana-yhdistelmällä.

“Kunhan käyttäjä tietää itsestään jotakin, hän pääsee etenemään kirjautumisessa”, sanoo Qvikin suunnittelujohtaja Matias Pietilä. “Aiemmin kirjautuminen kulki yleisesti Unohditko salasanasi? -sivun kautta. Nyt käyttäjä voi suoraan tilata kirjautumislinkin sähköpostiinsa tai koodin tekstiviestillä.”

Muutoksen jälkeen Unohditko salasanasi? -sivun kävijämäärä romahti. Seuraava kaavio antaa osviittaa, kuinka suuresta muutoksesta oli kysymys.

Huomaatko eron? Ehkä zoomi auttaa.

“Tunnistautuminen on tärkeä asia, sillä se vaikuttaa sekä uusien asiakkaiden saamiseen että palaavan käytön lisäämiseen”, Pietilä sanoo. “Vaikka kyse on liiketoiminnan kannalta olennaisesta asiasta, juuri tämä osa toteutetaan usein vähän sinne päin.”

Tallinkin tyylinen SSO-kertakirjautuminen sopii erityisesti palveluille, joihin kirjaudutaan vain harvoin tai joissa pysytään pitkään kirjautuneina – kirjautumislinkin tai koodin odottelu ei ehkä kiinnosta monta kertaa päivässä. Sessioiden kestoa voidaan kuitenkin pidentää niin, että kirjautuminen säilyy eikä käyttäjän tarvitse jatkuvasti kirjautua uudelleen.

Tietoturvallisempi vaihtoehto tavallisille salasanoille

Tunnistautuminen perustuu yleisesti kolmeen elementtiin tai näiden yhdistelmiin. Käyttäjä tarvitsee kirjautumistilanteessa joko jotakin, jonka vain käyttäjä tietää (kuten salasana), jotakin jonka käyttäjä omistaa (esim. puhelin tai sirukortti) tai jotain, mikä on osa käyttäjää (sormenjälki tai muu biometrinen tunniste). Heikossa tunnistautumisessa kysytään näistä vain yhtä, vahvassa tunnistautumisessa ainakin kahta.

Tästä erotettuna tunnistautumisen termeihin liittyy myös two-factor kirjautuminen, jossa kirjautuminen perustuu johonkin, joka käyttäjä tietää (esim. käyttäjätunnus) ja johonkin, johon vain kirjautujalla on pääsy, kuten puhelin tai sähköposti.

“Tallinkin kirjautumisen tavoin toteutettu two-factor SSO-ratkaisu ei ole idioottivarma, mutta tavalliseen salasanaan verrattuna se on turvallisempi vaihtoehto”, Pietilä sanoo. “Vahvan tunnistautumisen kriteerejä tämä ei kuitenkaan täytä, eli esimerkiksi finanssialan palveluissa kirjautumistapaa ei voi sellaisenaan käyttää.”

Tietoturvan kannalta heikoin lenkki Tallinkin kirjautumisesimerkissä on sähköposti, vaikka myöskin tekstiviesti tiedonsiirtokanavana voi herättää tietoturvahuolia. Tarvittaessa tietoturvaa voi parantaa käyttämällä push-ilmoituksia ja liittämällä ketjuun vielä biometriikkaa.

Salasanojen hakkerointiin yleisesti käytetty brute force -voimahyökkäys ei Tallinkin SSO-ratkaisuun kuitenkaan tepsi, ellei hyökkääjällä ole pääsyä kohteen puhelimeen tai sähköpostiin. Tämän tyyppiset kertakirjautumisratkaisut parantavat yleistä tietoturvaa myös siten, ettei lepsujen käyttäjien tarvitse jättää heikkoja tai usein käytettyjä salasanojaan hakkeroitavaksi useaan palveluun.

Eikö kuulostakin ihanalta?

Tähän mennessä sinun pitäisi olla vakuuttunut siitä, että kaikkien kirjautumista vaativien palveluiden tulisi tarjota salasanojen lisäksi muitakin ratkaisuja. Heti. Jos kuitenkin haluat vielä kiusata käyttäjiäsi salasanoilla, tässä suunnittelujohtaja Pietilän lisävinkit, joilla saat kirjautumisprosessista mahdollisimman raastavan.

1. Pakota käyttäjä keksimään uniikki käyttäjänimi

Sen lisäksi, että käyttäjän tulee muistaa salasanat useisiin palveluihin, häntä ärsyttää vielä enemmän, jos hänen täytyy myös muistaa eri palveluihin räätälöidyt käyttäjänimet. Eniten ottaa päähän kokeilla eri käyttäjänimi–salasana-yhdistelmiä ja miettiä, mikä mihinkin toimi.

2. Jos käyttäjä uusii salasanansa, määritä hänelle automaattisesti uusi siansaksa–numero-salasana

Älä anna käyttäjälle mahdollisuutta luoda itse suoraan uutta salasanaa. Lähetä hänen sähköpostiinsa sana+kirjain-rimpsu, joka on mahdoton muistaa, ja laita hänet itse kaivelemaan palvelustasi Vaihda salasana -kohta. Tämä saa käyttäjän vähintäänkin huokaisemaan turhautuneesti.

3. Älä hyväksy erikoismerkkejä salasanassa

B!LL Bu#ri1n ansiosta käyttäjät ovat tottuneet luomaan itselleen erikoismerkkejä viliseviä salasanoja. Vaikka näillä ei tietoturvan kannalta merkitystä olisikaan, käyttäjästä tuntuu typerältä, jos vaikea salasanansa ei yhtäkkiä kelpaakaan. Tämä voi sotkea käyttäjän salasanoihin liittyvän logiikan.

4. Jos käyttäjä syöttää kirjautuessaan väärän salasanan, pyyhi pois sekä käyttäjänimi että salasana

Mikään ei ole stimuloivampaa ajankäyttöä kuin salasanan syöttö uudestaan ja uudestaan. Paitsi se, että saa syöttää myös esimerkiksi pitkän sähköpostiosoiteen käyttäjänimen kohtaan uudestaan ja uudestaan. Etenkin mobiililaitteissa tämä herättää varmasti käyttäjän huomion!

5. Unohda ylipäätään kaikki käyttäjän syöttämä tieto parhaasi mukaan

Laita käyttäjä syöttämään kaikki tiedot itsestään aina uudestaan, vaikka palvelussasi olisi jo tämä tieto hänestä. Tässä puhutaan vaikkapa osoite- ja muista henkilötiedoista.

Mitä enemmän käyttäjällä on vertailukohtana palveluita, jotka täyttävät kaikki mahdolliset kentät hänen puolestaan automaattisesti, sitä enemmän hän tulee vihaamaan joutavaa tietojen näpyttelyä.

Kuvitus: Aija Malmioja