Miten voit parantaa sa­la­sa­no­jen tur­val­li­suut­ta?

Salasanat ovat avaimet di­gi­taa­li­seen iden­ti­teet­tiim­me. Vahva salasana on en­sim­mäi­nen puo­lus­tus­lin­ja verk­ko­ri­kol­li­sia vastaan. Ti­las­to­jen mukaan 36 % brit­ti­läi­sis­tä vas­taa­jis­ta käyttää samaa salasanaa 5–10 eri si­vus­tol­la, ja 35 % myönsi vaih­ta­van­sa sa­la­sa­nan­sa päi­vit­täin tai useita kertoja viikossa.

Mitkä ovat salasanan tur­val­li­suut­ta koskevat vaa­ti­muk­set?

Monet ihmiset käyttävät edelleen sa­la­sa­noi­naan heikkoja tai helposti ar­vat­ta­via yh­dis­tel­miä. Sa­la­sa­no­jen korkean tur­val­li­suus­ta­son var­mis­ta­mi­sek­si on otettava huomioon useita tekijöitä. Tur­val­li­sen salasanan va­lit­se­mi­nen ja sa­la­sa­nan­hal­lin­taoh­jel­man käyttö voidaan katsoa sa­la­sa­no­jen tur­val­li­suu­den pe­rus­pi­la­reik­si.

Mikä tekee sa­la­sa­nois­ta tur­val­li­sia?

Vaikka tur­val­li­set salasanat eivät yksinään tarjoa täy­del­lis­tä suojaa verk­ko­ri­kol­lis­ten hyök­käyk­siä vastaan, tur­val­li­sen salasanan luominen on silti rat­kai­se­van tärkeää tiliesi suo­jaa­mi­sek­si. Käyttäjät voivat tarkistaa va­lit­se­man­sa salasanan tur­val­li­suu­den seu­raa­vien kri­tee­rien pe­rus­teel­la:

• Pituus: Salasanan pi­tuu­del­la on rat­kai­se­va merkitys, sillä pidemmät salasanat ovat eks­po­nen­ti­aa­li­ses­ti vai­keam­pia murtaa kuin lyhyemmät. Vahvan salasanan tulisi olla vähintään 12–16 merkkiä pitkä.

• Mo­ni­mut­kai­suus: Tur­val­li­ses­sa sa­la­sa­nas­sa tulisi olla isoja ja pieniä kirjaimia, numeroita sekä eri­kois­merk­ke­jä, kuten @, # tai $. Tämä mo­ni­puo­li­suus vai­keut­taa salasanan ar­vaa­mis­ta sekä ihmisille että au­to­maat­ti­sil­le työ­ka­luil­le.

• Ar­vaa­mat­to­muus: Vältä yk­sin­ker­tai­sia kuvioita tai tun­nis­tet­ta­via sanoja sa­la­sa­nois­sa, sillä ky­ber­ri­kol­li­set käyttävät usein sa­na­kir­ja­hyök­käyk­siä, joissa testataan yleisiä sa­la­sa­no­ja.

• Ai­nut­laa­tui­suus: Älä käytä samaa salasanaa useissa pal­ve­luis­sa ja alus­toil­la. Käytä sen sijaan ai­nut­laa­tuis­ta salasanaa jo­kai­ses­sa verk­ko­pal­ve­lus­sa.

• Sään­nöl­li­set päi­vi­tyk­set: Eri­tyi­ses­ti kriit­tis­ten pal­ve­lui­den osalta sa­la­sa­no­jen sään­nöl­li­nen päi­vit­tä­mi­nen voi vähentää aiempien tie­to­tur­va­louk­kaus­ten ai­heut­ta­maa hy­väk­si­käy­tön riskiä.

Oikean sa­la­sa­nan­hal­lin­taoh­jel­man va­lit­se­mi­nen

Sa­la­sa­nan­hal­lin­taoh­jel­mat ovat käteviä työkaluja mo­ni­mut­kais­ten sa­la­sa­no­jen luomiseen ja tur­val­li­seen säi­lyt­tä­mi­seen. Kun valitset sopivaa sa­la­sa­nan­hal­lin­taoh­jel­maa, varmista, että se tukee päästä päähän -salausta ja sisältää omi­nai­suuk­sia, kuten tie­to­mur­to­hä­ly­tyk­set tai tie­to­tur­va­tar­kas­tuk­set. Sään­nöl­li­set päi­vi­tyk­set ovat toinen merkki luo­tet­ta­vas­ta sa­la­sa­nan­hal­lin­taoh­jel­mas­ta.

Viime vuosien mer­kit­tä­vim­mät sa­la­sa­na­vuo­dot

Luo­vu­tam­me päi­vit­täin valtavia määriä ar­ka­luon­toi­sia tietoja yri­tyk­sil­le ja tek­no­lo­gian käyttöön, ja usein ainoana suojana ovat salasanat – suojaus, jota ei il­mei­ses­ti oteta riittävän vakavasti. Tämä käy ilmi vii­me­ai­kai­sen verk­ko­his­to­rian lu­kui­sis­ta tie­to­mur­rois­ta. Verk­ko­ri­kol­li­set ovat tois­tu­vas­ti päässeet käsiksi kir­jau­tu­mis­tie­toi­hin esi­mer­kik­si hait­taoh­jel­mien, phishing-säh­kö­pos­tien tai brute force -hyök­käys­ten avulla ja va­ras­ta­neet käyt­tä­jien luot­ta­muk­sel­li­sia tietoja. Alla on yh­teen­ve­to mer­kit­tä­vim­mis­tä ta­pauk­sis­ta:

• LinkedIn (2012, 2016): LinkedIn joutui hak­ke­roin­nin kohteeksi vuonna 2012, minkä seu­rauk­se­na yli 6,5 miljoonaa salattua salasanaa va­ras­tet­tiin. Vuonna 2016 dark webissä ilmestyi vielä 117 miljoonaa tämän hak­ke­roin­nin yh­tey­des­sä va­ras­tet­tua kir­jau­tu­mis­tun­nus­ta.
• Yahoo (2013, 2014): Yksi kaikkien aikojen suu­rim­mis­ta tie­to­tur­va­louk­kauk­sis­ta kohdistui Yahooon. Vuosina 2013–2014 vaarantui yhteensä kolme miljardia tiliä, mukaan lukien käyt­tä­jä­tun­nuk­set, salasanat ja tur­va­ky­sy­myk­set.
• Adobe (2013): Yli 150 miljoonaa Adoben käyt­tä­jä­ti­liä va­ras­tet­tiin tie­to­mur­ron yh­tey­des­sä, ja monet sa­la­sa­nois­ta olivat huonosti salattuja.
• Facebook (2019): Facebook paljasti, että miljoonia käyt­tä­jien sa­la­sa­no­ja oli tal­len­net­tu sel­vä­kie­li­se­nä si­säi­sil­le pal­ve­li­mil­le. Vaikka tiedot eivät vuotaneet ul­koi­ses­ti, tapaus korosti tur­val­lis­ten käy­tän­tö­jen tarvetta jopa yri­tys­ta­sol­la.
• Col­lec­tion #1-#5 (2019): Tam­mi­kuus­sa 2019 yli kaksi miljardia säh­kö­pos­tio­soi­tet­ta ja salasanaa eri lähteistä, mukaan lukien tunnetut ja aiemmin tun­te­mat­to­mat tie­to­vuo­dot, jul­kais­tiin osana tätä valtavaa tie­to­vuo­toa.
• Twitter/X (2022): Tur­val­li­suus­rik­ko­mus paljasti yli 5,4 miljoonan tilin hen­ki­lö­tie­dot, mukaan lukien pu­he­lin­nu­me­rot ja säh­kö­pos­tio­soit­teet, virheen vuoksi.
• RockYou (2024): RockYou2024 oli mas­sii­vi­nen tie­to­vuo­to, jota pidetään yhtenä suu­rim­mis­ta koskaan jul­kais­tuis­ta. Se käsitti yli 9,9 miljardia salasanaa, jotka oli koottu eri lähteistä.

Nämä ta­pah­tu­mat ko­ros­ta­vat ky­ber­tur­val­li­suu­den rat­kai­se­vaa mer­ki­tys­tä. GMX:n 1 050 henkilön kes­kuu­des­sa tekemän edustavan kyselyn tulokset ovat sitäkin häm­mäs­tyt­tä­väm­piä: 64 % vas­taa­jis­ta ilmoitti käyt­tä­vän­sä samaa salasanaa joissakin tai jopa kaikissa verk­ko­ti­leis­sään, kun taas vain 21 % käyttää eri salasanaa jo­kai­ses­sa tilissä. Vuoden 2019 GMX-tutkimus paljasti myös, että 9 % ei ollut koskaan edes vaihtanut pää­säh­kö­pos­ti­ti­lin­sä salasanaa, mikä jättää heidät erittäin haa­voit­tu­vai­sik­si.

Kuinka tarkistaa salasanan tur­val­li­suus

Sa­la­sa­no­jen tur­val­li­suu­den tar­kis­ta­mi­nen on keskeinen vaihe di­gi­taa­lis­ten tilien suo­jaa­mi­ses­sa lu­vat­to­mal­ta käytöltä tai tie­to­vuo­to­jen jälkeen. Käytössä on erilaisia me­ne­tel­miä ja työkaluja, joilla voi tarkistaa, onko sa­la­sa­noi­hi­si päästy käsiksi, täyt­tä­vät­kö ne nykyiset tur­val­li­suuss­tan­dar­dit vai ovatko ne liian heikkoja.

Verk­ko­pal­ve­lut tie­to­vuo­to­jen tar­kis­ta­mi­seen

• Have I Been Pwned (HIBP): Yksi tun­ne­tuim­mis­ta ja luo­tet­ta­vim­mis­ta alus­tois­ta on Have I Been Pwned (HIBP). Täällä voit tarkistaa, onko säh­kö­pos­tio­soit­tee­si tai sa­la­sa­na­si joutunut tunnetun tie­to­vuo­don kohteeksi. Syöt­tä­mäl­lä säh­kö­pos­tio­soit­tee­si saat luettelon si­vus­tois­ta, joilta tietoja on vuotanut ja joilta tietosi ovat saat­ta­neet joutua va­ras­te­tuik­si. Sivusto mah­dol­lis­taa myös suoran sa­la­sa­na­tar­kis­tuk­sen, ja varmistaa ni­met­tö­myy­den eri­tyis­ten ha­jau­tus­tek­nii­koi­den avulla.
• Google Security Check: Google tarjoaa in­tegroi­dun sa­la­sa­na­tar­kis­tuso­mi­nai­suu­den Chromessa. Selain ilmoittaa sinulle, jos jokin tal­len­ne­tuis­ta sa­la­sa­nois­ta­si on ollut osal­li­se­na tie­to­mur­ros­sa. Lisäksi voit suorittaa kattavan tur­val­li­suus­tar­kis­tuk­sen Google-tilisi kautta, joka tunnistaa myös heikot tai uudelleen käytetyt salasanat.
• Sa­la­sa­nan­hal­lin­taoh­jel­mien tur­val­li­suuso­mi­nai­suu­det: Monet ny­ky­ai­kai­set sa­la­sa­nan­hal­lin­taoh­jel­mat tarjoavat toiminnon tal­len­net­tu­jen sa­la­sa­no­jen tar­kis­ta­mi­seen. Nämä työkalut etsivät heik­kouk­sia, pääl­lek­käi­siä sa­la­sa­no­ja ja tun­net­tu­ja tie­to­tur­va­louk­kauk­sia. Näin saat selkeän yleis­ku­van siitä, mitkä salasanat vaativat päi­vit­tä­mis­tä.

Salasanan vahvuuden tes­taa­mi­nen

Tie­to­vuo­to­jen tar­kis­ta­mi­sen lisäksi on tärkeää arvioida sa­la­sa­no­je­si vahvuus. Tähän on olemassa lukuisia työkaluja, jotka arvioivat salasanan pituuden, mo­ni­mut­kai­suu­den ja entropian (sa­tun­nai­suu­den). Nämä palvelut si­mu­loi­vat myös, kuinka kauan salasanan mur­ta­mi­nen brute-force-hyök­käyk­sel­lä kestäisi. Esi­mer­kik­si salasana 123456 voidaan murtaa alle se­kun­nis­sa, kun taas vahvempi salasana, kuten X$4g8JwQ!a_%j, kestäisi hyök­käyk­siä useita vuosia.

Ma­nu­aa­li­nen tarkastus ja seuranta

Jos tiedät, että tie­to­tur­va­louk­kaus on kohdannut tiettyä alustaa, tarkista, onko sinulla tiliä ky­sei­sel­lä alustalla. Vaihda sa­la­sa­na­si vä­lit­tö­mäs­ti, etenkin jos olet käyttänyt niitä myös muilla verk­ko­si­vus­toil­la. On myös hyö­dyl­lis­tä seurata ky­ber­tur­val­li­suusuu­ti­sia tai alustoja kuten Reddit (esim. ali­foo­ru­mi [r/netsec]), jotta pysyt ajan tasalla uusista tie­to­tur­va­louk­kauk­sis­ta. Tur­val­li­suusau­kot il­moi­te­taan siellä usein ai­kai­sem­min kuin vi­ral­lis­ten kanavien kautta, jolloin voit ryhtyä en­nal­taeh­käi­se­viin toi­men­pi­tei­siin ajoissa. Lisäksi HIBP:n kaltaiset työkalut tarjoavat säh­kö­pos­ti­muis­tu­tuk­sia, jotka hä­lyt­tä­vät sinua, kun säh­kö­pos­tio­soit­tee­si ilmestyy uuteen tie­to­vuo­toon.