Hyppää pääsisältöön

Älä luota pelkkään salasanaan

Facebookin vahvan tunnistautumisen käyttöönotto

Wired-lehden toimittaja Mat Honan joutui taannoin melkoisen myllytyksen kohteeksi. Hänen GMail-, Apple- ja Twitter-salasanansa murrettiin ja niille tallennetut tiedot pyyhittiin. Siihen ei tarvittu kovin kummallisia välineitä, vaan hiukan kekseliäisyyttä ja vähän liian avulias asiakaspalvelija, joka suostui lähettämään salasanan uuteen eli murtautujan sähköpostiin.

Honan kirjoitti kokemuksesta pitkän jutun, joka tiivistyy yhteen opetukseen: salasanojen aika on ohi. Niihin ei voi luottaa, koska ihmiset ovat liian laiskoja ja aina jostain löytyy tuholaisia, jotka murtautuvat toisten tileille silkkaa pahantahtoisuuttaan.

***

Selvästikin tarttis tehrä jotain, mutta mitä? Aivan ensimmäisenä kannattaa ottaa käyttöön vahva tunnistautuminen, jos järjestelmä vain tukee sitä. Sen ideana on, että käyttäjä tunnistautuu useammalla kuin yhdellä tavalla.

Tällaisia palveluita ovat muun muassa Facebook, GMail, Dropbox, Hotmail ja PayPal (joskaan se ei toimi a) juuri nyt tai b) Suomessa). Jos käytät niitä, suosittelen tutustumaan käyttöohjeisiin saman tien.

Yleisin lisätunniste on tasaisin väliajoin eli muutaman sekunnin välein muuttuva turvaluku. Sen voi löytää avaimenperässä roikkuvasta killuttimesta, järjestelmän lähettämästä tekstiviestistä tai älypuhelimessa toimivasta ohjelmasta. Toteutuksesta riippuu, pyydetäänkö moninkertaista tunnistautumista jokaisen kirjautumisen yhteydessä vai vain uutta konetta käytettäessä.

Onko vahvan tunnistautumisen käyttäminen hankalampaa kuin pelkkään salasanaan turvautuminen? Kyllä on. Onko se vaivan arvoista? Ehdottomasti. Ainakin sähköpostissa ja Dropboxin tapaisella verkkolevyllä on helposti tietoja, joiden vuotamisesta voi olla rahallista haittaa.

Tämäkään järjestelmä ei ole idioottivarma, sillä RSA:n avaimenperävermeestä löydettiin kesällä aukko ja puhelinnumeron – ja sitä kautta tekstiviestien määränpään – voi aina kaapata. Arkisia harmeja tulee siitä, kun yrittää kännykällä tunnistautua GMailiin, etsiä koodigeneraattori ohjelmavalikosta, painaa kuusinumeroinen luku mieleensä, vaihtaa takaisin selaimeen ja… äsch, miten se koodi oikein menikään ja ei perhana, nyt se ehti jo vaihtua. Mutta olen valmis kärsimään hieman, jos se estää tuhmaa amerikkalaisteiniä pääsemästä käsiksi sähköposteihini.

Parhaan ystäväni nimi on OIRW)Ujfksdfy32768_A::;;:""="D

Samalla vaivalla kannattaa panna kuntoon Applen ja kumppanien vaatimat turvallisuuskysymykset, joilla salasanat voi nollata. Yleensä niissä tiedustellaan asioita, joita ei ole erityisen vaikea selvittää joko googlailemalla tai urkkimalla ihan muuten vaan.

Olen alkanut vastata niihin 30-merkkisillä satunnaissalasanoilla, jotka kirjaan muistiin salatussa muodossa. En pääse niihin kovin helposti käsiksi, mutta eipä ole tarvekaan. Tärkeämpää on, ettei joku muu pääse arvailemaan ensimmäisen kissani nimeä.

***

Jos salasanat kerran ovat läpeensä mätiä, eikö josstain löytyisi parempaa vaihtoehtoa? Toki. Android-puhelimet tarjoavat jo nykyään kasvontunnistusta, joka on periaatteessa ihan tosi hieno ajatus, mutta toteutuksessa on eräitä puutteita. Sen voi nimittäin kiertää näyttämällä valokuvaa.

Omissa testeissäni totesin kasvontunnistuksen myös siitä hankalaksi, että sekä Suomen kesän että Suomen talven vaatimat varusteet eli aurinkolasit ja myssy vetävät tunnistusalgoritmin solmuun.

Vielä kunnianhimoisempi suunnitelma on Stanfordin yliopiston tutkijalla Hristo Bojinovilla. Hänen ryhmänsä on kehittänyt salasanajärjestelmän, joka perustuu implisiittiseen oppimiseen. Sen paras puoli on, että käyttäjä ei opi salasanaa tietoisesti, josta seuraa, että sitä ei voi myöskään likistää ulos hänestä uhkailemalla, lahjomalla tai kiduttamalla.

Lihasmuistin tapaista järjestelmää voi testata itse netissä köyhän miehen Guitar Heroa muistuttavalla kilkkeellä. Salasanan opiskelu kestää tunnin ja tunnistautuminen viitisen minuuttia. Spark-radio-ohjelman haastattelussa Bojinov sanoi, ettei järjestelmä ole lähelläkään valmis, ja joka tapauksessa se sopisi parhaiten johonkin muuhun kuin Facebook-kirjautumisen varmistamiseen.

Tätä salasanaa ei voi oppia ulkoa

Tärkeintä on kuitenkin se, että toivoa on. Kunhan nyt ensin jokainen oppii, ettei käytä salasananaan 'SALASANA'-fraasia koskaan eikä missään. Eihän?

Kommentit