Turvallisuusopas

Yleiset salasanavirheet, jotka kannattaa välttää

Vältä salasanojen uudelleenkäyttöä, ennustettavia kaavoja, turvatonta tallennusta, heikkoa palautusta ja väärää luottamusta visuaaliseen monimutkaisuuteen.

Yhteenveto

Useimmat salasanavirheet johtuvat ennustettavista inhimillisistä tavoista: uudelleenkäyttö, lyhyys, henkilökohtaiset tiedot, tutut korvaukset, turvaton tallennus ja heikot palautusasetukset. Paikallinen generaattori auttaa vain, jos tulosta käytetään ja tallennetaan oikein.

Virhe 1: Uudelleenkäyttö

Salasanojen uudelleenkäyttö mahdollistaa yhden tietomurron vaikuttavan moneen tiliin. Luo jokaiselle palvelulle yksilöllinen arvo.

Virhe 2: Ennustettava monimutkaisuus

P@ssw0rd! näyttää monimutkaiselta, mutta noudattaa yleistä kaavaa. Satunnaisuus on parempi kuin koristelu.

Virhe 3: Turvaton tallennus

Älä tallenna oikeita salasanoja kuvakaappauksiin, taulukkolaskentaan, keskusteluviesteihin, sähköpostiluonnoksiin, tiketteihin, lähdekoodiin tai komentorivihistoriaan. Käytä salasananhallintaohjelmaa tai salaisuuksien hallintaa.

Virhe 4: Palautuksen huomiotta jättäminen

Hyökkääjät voivat kohdistaa hyökkäyksensä palautussähköpostiin, puhelinnumeroon, varmuuskoodeihin tai luotettuihin laitteisiin. Tarkista palautusasetukset tärkeiden salasanojen vaihtamisen jälkeen.

Käytännön suositukset

• Käytä 16–32 satunnaista merkkiä.
• Pidä jokainen salasana yksilöllisenä.
• Käytä MFA:ta tai avaimia (passkeys).
• Säilytä tunnistetiedot turvallisesti.
• Vaihda salasanat epäillyn altistumisen jälkeen.

Yksityiskohtainen ohjeistus

Tämä opas keskittyy välttämään jokapäiväisiä salasanatottumuksia, jotka johtavat tietoturvaloukkauksiin. Se on kirjoitettu käyttäjille, jotka haluavat käytännöllisen tarkistuslistan teorian sijaan, joten käytännön tavoitteena ei ole luoda dramaattista tietoturvaväitettä. Tavoitteena on valita salasanatapa, joka kestää jokapäiväistä käyttöä: kirjautumislomakkeet, salasananhallintaohjelmat, mobiilinäppäimistöt, tilin palautus, jaetut laitteet ja satunnaiset palvelut, joilla on omituisia validointisääntöjä. Turvallinen suositus on hyödyllinen vain, jos oikea henkilö pystyy noudattamaan sitä johdonmukaisesti.

Turvallisin lähtökohta on satunnaisuus ja yksilöllisyys. Satunnaisuus tarkoittaa, että arvo valitaan suuresta avaruudesta kryptografisesti sopivalla satunnaislähteellä, eikä sitä keksitä syntymäpäivästä, lemmikin nimestä, näppäimistökaavasta tai lempilainauksesta. Yksilöllisyys tarkoittaa, että samaa salasanaa ei käytetä missään muualla. Pitkä mutta uudelleenkäytetty salasana voi vaarantua nopeasti yhden asiaankuulumattoman tietomurron jälkeen, kun taas yksilöllinen satunnainen salasana rajoittaa vahingon siihen tiliin, jossa sitä käytettiin.

Tässä aiheessa käytännöllinen esiasetus on yksilölliset satunnaiset salasanat, turvallisempi tallennus ja palautushygienia. Voit soveltaa tätä esiasetusta 20 merkin salasanageneraattorilla ja tallentaa lopullisen arvon luotettuun salasananhallintaohjelmaan. PwdGen luo arvot paikallisesti selaimessa Web Cryptolla; luotua salasanaa ei lähetetä PwdGen-palvelimelle. Tämä paikallinen suunnittelu vähentää palvelinpuolen altistumista, mutta se ei suojaa kaikilta uhilta. Haitallinen selainlaajennus, vaarantunut laite, tietojenkalastelusivu tai turvaton leikepöydän käsittely voivat silti paljastaa salaisuuden sen luomisen jälkeen.

Yleisimmät vältettävät ongelmat ovat uudelleenkäyttö, ennustettavat muokkaukset, jakaminen keskusteluissa, kuvakaappausten tallentaminen, palautusasetusten huomiotta jättäminen ja oletus, että pituus yksinään korjaa inhimilliset tavat. Nämä ongelmat ovat tärkeitä, koska hyökkääjät harvoin tarvitsevat raa’alla voimalla murtaa jokaista mahdollista salasanaa, kun inhimilliset tavat antavat heille oikotien. Tunnistetietojen täyttö (credential stuffing), tietojenkalastelu, vuotaneet salasanalistat ja tilin palautuksen väärinkäyttö ovat usein realistisempia kuin puhdas matemaattinen haku. Siksi paras neuvo yhdistää salasanan laadun ja tilikohtaiset hallintakeinot, kuten MFA, avaimet, varmuuskoodien tallennus ja palautussähköpostin tai -puhelinnumeron säännöllinen tarkistus.

Käytä tätä tarkistuslistaa suosituksen soveltamisessa:

• Älä käytä salasanoja uudelleen.
• Älä rakenna salasanoja henkilökohtaisista tiedoista.
• Älä tallenna niitä selkokielisinä muistiinpanoina.
• Älä jätä huomiotta palautusmenetelmiä ja MFA:ta.

Jos verkkosivusto hylkää ihanteellisen asetuksen, älä pakota salasanaa heikompaan kaavaan käsin. Säädä yhtä muuttujaa kerrallaan. Jos symbolit hylätään, pidä isot kirjaimet, pienet kirjaimet ja numerot käytössä ja lisää pituutta. Jos enimmäispituus on pieni, käytä suurinta hyväksyttyä pituutta ja varmista, että arvo on yksilöllinen. Jos salasana on luettava ääneen, tulostettava tai kirjoitettava televisio- tai reitittimen näytöllä, harkitse hämmentävien merkkien poissulkemista ja pituuden lisäämistä pienemmän aakkoston kompensoimiseksi.

Lopuksi muista salasananeuvojen rajat. Vahva salasana on yksi puolustuskerros, ei takuu. Se ei voi tehdä tietojenkalastelusivusta turvallista, korjata haittaohjelmia tai korvata palvelua, joka tallentaa tunnistetiedot huonosti. Hyödyllinen tapa on tylsä mutta kestävä: luo yksilöllinen arvo, tallenna se turvallisesti, suojaa palautuspolku ja vaihda se nopeasti, jos epäilet altistumista.

Turvallinen seuraava askel

Tämän oppaan lukemisen jälkeen tee yksi pieni tilien tarkistus sen sijaan, että yrität korjata kaikkea kerralla. Valitse tili, joka aiheuttaisi eniten ongelmia, jos se kaapattaisiin, varmista, että sen salasana on yksilöllinen, ja tarkista palautussähköposti, palautuspuhelinnumero, MFA-menetelmä ja varmuuskoodien tallennus. Jos jokin osa tästä ketjusta on heikko, paranna sitä ennen kuin siirryt pienemmän riskin tileihin. Tämä järjestys pitää työn hallittavana ja suojaa tilejä, joita hyökkääjät todennäköisimmin käyttävät ponnahduslautana. Yleisten salasanavirheiden välttämisessä paras lopputulos on toistettava tapa: luo paikallisesti, tallenna huolellisesti ja vältä uudelleenkäyttöä.

Usein kysytyt kysymykset

Mikä on suurin salasanavirhe?

Salasanojen uudelleenkäyttö on yksi suurimmista virheistä, koska yksi tietomurto voi avata useita tilejä.

Ovatko korvaukset kuten P@ssw0rd turvallisia?

Ei. Hyökkääjät tuntevat yleiset korvaukset ja testaavat niitä varhain.

Onko salasanojen kirjoittaminen muistiinpanoihin turvallista?

Se on yleensä riskialtista. Käytä sen sijaan luotettua salasananhallintaohjelmaa tai salaisuuksien hallintaa.