Turvallisuusopas
Miksi salasanoja ei kannata käyttää uudelleen
Ymmärrä tunnistetietojen täyttöhyökkäys, salasanan uudelleenkäytön riski, tietomurron seuraukset ja miksi jokaiselle tilille tarvitaan yksilöllinen salasana.
Yhteenveto
Salasanan uudelleenkäyttö on yksi yleisimmistä tavoista, joilla yksittäinen tietomurto johtaa useiden tilien kaappaukseen. Salasana voi olla pitkä ja satunnainen, mutta jos käytät sitä useammassa palvelussa, yhden palvelun vuoto voi paljastaa muut.
Käytä satunnaissalasanojen generaattoria luodaksesi yksilöllinen arvo jokaiselle tilille.
Tunnistetietojen täyttöhyökkäys (credential stuffing)
Hyökkääjät keräävät vuotaneita käyttäjänimi–salasana-pareja tietomurroista, tietojenkalastelusta, haittaohjelmista ja julkisista tietokannoista. Sitten he kokeilevat näitä tunnistetietoja sähköposti-, pankki-, ostos-, sosiaalisen median ja työpalveluissa. Hyökkäys toimii, koska monet käyttävät samoja salasanoja uudelleen.
Miksi yksilöllisyys on tärkeää
Yksilöllisyys rajaa vahingon. Jos yksi palvelu tallentaa salasanat huonosti tai joutuu tietomurron kohteeksi, vuotanut salasana ei saa avata sähköpostiasi, pankkitiliäsi, pilvitallennustasi tai työtiliäsi.
Käytännön suositukset
- Luo eri salasana jokaiselle tilille.
- Priorisoi ensin sähköposti, koska se hallitsee salasanan palautuksia.
- Käytä salasananhallintaa välttääksesi monien arvojen muistamista.
- Ota käyttöön MFA tai passkeys.
- Vaihda uudelleen käytetyt salasanat heti, kun huomaat ne.
Yksityiskohtaiset ohjeet
Tämä opas keskittyy siihen, miksi salasanan uudelleenkäyttö luo tilien kaappausriskin. Se on kirjoitettu käyttäjille, jotka käyttävät yhtä lempisalasanaa monissa palveluissa, joten käytännön tavoite ei ole luoda dramaattista turvallisuusväitettä. Tavoite on valita salasanatapa, joka kestää jokapäiväistä käyttöä: kirjautumislomakkeet, salasananhallinta, mobiilinäppäimistöt, tilin palautus, jaetut laitteet ja satunnaiset palvelut, joilla on omituisia validointisääntöjä. Turvallinen suositus on hyödyllinen vain, jos oikea ihminen pystyy noudattamaan sitä johdonmukaisesti.
Turvallisin lähtökohta on satunnaisuus plus yksilöllisyys. Satunnaisuus tarkoittaa, että arvo valitaan suuresta avaruudesta kryptografisesti sopivalla satunnaislähteellä, eikä sitä keksitä syntymäpäivästä, lemmikin nimestä, näppäimistökuviosta tai lempilainauksesta. Yksilöllisyys tarkoittaa, että samaa salasanaa ei käytetä missään muualla. Pitkä mutta uudelleen käytetty salasana voi pettää nopeasti yhden epäolennaisen tietomurron jälkeen, kun taas yksilöllinen satunnainen salasana rajaa vahingon siihen tiliin, jossa sitä käytettiin.
Tässä aiheessa käytännöllinen esiasetus on yksilölliset satunnaissalasanat jokaiselle tilille, tallennettuna hallintaan. Voit soveltaa tätä esiasetusta 16 merkin salasanageneraattorilla ja tallentaa lopullisen arvon luotettuun salasananhallintaan. PwdGen luo arvot paikallisesti selaimessa Web Cryptolla; luotua salasanaa ei lähetetä PwdGen-palvelimelle. Tämä paikallinen toteutus vähentää palvelinpuolen altistusta, mutta se ei suojaa kaikilta uhilta. Haitallinen selainlaajennus, vaarantunut laite, tietojenkalastelusivu tai turvaton leikepöydän käsittely voi silti paljastaa salaisuuden sen luomisen jälkeen.
Yleisimmät vältettävät ongelmat ovat tunnistetietojen täyttöhyökkäys, vanhat tietomurrot, tietojenkalastelusivut, jaetut tilit ja uudelleen käytetyt palautussalasanat. Nämä ongelmat ovat tärkeitä, koska hyökkääjät harvoin tarvitsevat murtaa jokaista mahdollista salasanaa, kun ihmisten tavat antavat heille oikotien. Tunnistetietojen täyttöhyökkäys, tietojenkalastelu, vuotaneet salasanalistat ja tilinpalautuksen väärinkäyttö ovat usein realistisempia kuin puhdas matemaattinen haku. Siksi paras neuvo yhdistää salasanan laadun tilikohtaisiin hallintakeinoihin, kuten MFA, passkeys, palautuskoodien tallennus ja palautussähköpostin tai -puhelinnumeron säännöllinen tarkistus.
Käytä tätä tarkistuslistaa suosituksen soveltamisessa:
- Aloita sähköposti- ja pankkitileistä.
- Korvaa uudelleen käytetyt salasanat vähitellen.
- Käytä salasananhallintaa välttääksesi monien arvojen muistamista.
- Ota käyttöön tietomurtohälytykset, jos mahdollista.
Jos verkkosivusto hylkää ihanteellisen asetuksen, älä pakota salasanaa heikompaan malliin käsin. Säädä yhtä muuttujaa kerrallaan. Jos symbolit hylätään, pidä isot kirjaimet, pienet kirjaimet ja numerot käytössä ja lisää pituutta. Jos maksimipituus on pieni, käytä suurinta hyväksyttyä pituutta ja varmista, että arvo on yksilöllinen. Jos salasana on luettava ääneen, tulostettava tai kirjoitettava television tai reitittimen näytöllä, harkitse hämmentävien merkkien poistamista ja pituuden lisäämistä kompensoimaan pienempää aakkostoa.
Lopuksi muista salasananeuvonnan rajat. Vahva salasana on yksi puolustuskerros, ei takuu. Se ei voi tehdä tietojenkalastelusivusta turvallista, korjata haittaohjelmaa tai korvata palvelua, joka tallentaa tunnistetiedot huonosti. Hyödyllinen tapa on tylsä mutta kestävä: luo yksilöllinen arvo, tallenna se turvallisesti, suojaa palautuspolku ja vaihda se nopeasti, jos epäilet altistumista.
Turvallinen seuraava askel
Tämän oppaan lukemisen jälkeen tee yksi pieni tilien tarkistus sen sijaan, että yrittäisit korjata kaiken kerralla. Valitse tili, joka aiheuttaisi eniten ongelmia, jos se kaapattaisiin, varmista, että sen salasana on yksilöllinen, ja tarkista palautussähköposti, palautuspuhelinnumero, MFA-menetelmä ja varmuuskoodien tallennus. Jos jokin osa ketjusta on heikko, paranna sitä ennen kuin siirryt pienemmän riskin tileihin. Tämä järjestys pitää työn hallittavana ja suojaa tilejä, joita hyökkääjät todennäköisimmin käyttävät ponnahduslautana. Miksi salasanoja ei kannata käyttää uudelleen -aiheessa paras lopputulos on toistettava tapa: luo paikallisesti, tallenna huolellisesti ja vältä uudelleenkäyttöä.
Usein kysytyt kysymykset
Mitä on tunnistetietojen täyttöhyökkäys (credential stuffing)?
Tunnistetietojen täyttöhyökkäys on, kun hyökkääjät kokeilevat vuotaneita käyttäjänimi–salasana-pareja muissa palveluissa.
Onko uudelleenkäyttö silti riskialtista, jos salasana on vahva?
Kyllä. Vahva uudelleen käytetty salasana voi silti avata useita tilejä, kun yksi palvelu vuotaa sen.
Mitä minun pitäisi tehdä, jos olen käyttänyt salasanaa uudelleen?
Vaihda jokainen tili, jossa sitä on käytetty, aloittaen sähköpostista, pankista, työstä ja salasananhallinnan palautustileistä.