Salasanojen siirtäminen salasananhallintaan

Moduuli 7: Yhteistyö, sovellukset ja tietoturva · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat siirtää salasanat turvallisesti selaimestasi, lapuilta ja taulukkolaskentatiedostoista salasananhallintaan, joka sopii uuteen ratkaisuusi, mukaan lukien tiimille tarkoitetut jaetut kassakaapit.

Keskeiset käsitteet: salasananhallinta, kassakaappi, pääsalasana, palautusavain, selaimeen tallennetut salasanat (Google, Edge, Apple), vienti csv-muodossa, jaettu kassakaappi tai kokoelma, itse isännöinti, avoin lähdekoodi, salaus omalla laitteella (zero-knowledge), passkey-avainten säilytys

Unohdettu osa

Lähes jokaisesta inventaariosta puuttuvat salasanat. Ne eivät ole pilvipalvelussa, jonka irtisanot, joten kukaan ei tule ajatelleeksi niitä. Silti ne liittyvät usein olennaisesti juuri siihen. Bakkerij De Korrelilla selviää läpikäynnin jälkeen:

• suurin osa salasanoista on tallennettu Chromeen, henkilön Google-tilin kautta;
• pankin, tukkukaupan ja verkkokaupan salasanat ovat taulukkolaskentatiedostossa wachtwoorden.xlsx Google Drivessa;
• wifi-salasana ja hälytysjärjestelmän koodi roikkuvat lapulla;
• kaksi kollegaa käyttää samaa salasanaa kaikkialla.

Jos Google-tili poistuu, Chromeen tallennetut salasanat katoavat mukana. Ja pilvessä oleva taulukkolaskentatiedosto salasanoineen on yksi ensimmäisistä asioista, joita murtautuja etsii. Siirtyminen on siis hyvä hetki korjata tämä.

Mitä salasananhallinta tekee

Salasananhallinta on salattu kassakaappi salasanoille, jossa on sovellus puhelimeen ja tietokoneeseen sekä laajennus selaimeen. Muistat vain yhden vahvan pääsalasanan; hallinta luo jokaiselle sivustolle pitkän, uniikin salasanan ja täyttää sen puolestasi.

Tärkeää on, missä salaus tapahtuu. Tunnetuissa hallintaohjelmissa kassakaappi salataan omalla laitteellasi avaimella, joka johdetaan pääsalasanastasi. Palveluntarjoaja säilyttää vain salatun kassakaapin eikä pysty lukemaan salasanojasi. Tätä kutsutaan usein termillä "zero-knowledge". Seuraus: jos unohdat pääsalasanasi etkä sinulla ole palautusavainta, ei edes palveluntarjoaja pysty auttamaan.

Hyvä hallintaohjelma täyttää tiedot myös vain oikealle osoitteelle. Pankkisi väärennetty sivusto ei siis saa mitään, vaikka se näyttäisi täsmälleen samalta. Tämä on ylimääräinen suoja tietojenkalastelua vastaan.

Minkälaisia vaihtoehtoja on?

Tämä ei ole paremmuusjärjestys. Yhden hengen yritykselle KeePassXC omassa pilvessä olevalla kassakaappitiedostolla voi olla erinomainen ratkaisu. Kahdentoista hengen tiimille jaetuilla kassakaapeilla varustettu hallintaohjelma on käytännöllisempi. Käytä myös tässä oppitunnin 2.1 viittä kysymystä (toimipaikka, omistaja, konesali, alikäsittelijät, avain). Salasananhallinnassa viimeinen kysymys painaa eniten: kuka hallitsee avainta? Jos se olet vain sinä, sillä on vähemmän merkitystä, missä salattu kassakaappi sijaitsee kuin tavallisten tiedostojen kohdalla.

Siirtäminen: vienti, tuonti ja välitön hävittäminen

Lähes jokainen selain ja hallintaohjelma osaa viedä salasanat csv-tiedostona. Se on tavallinen tekstitiedosto, jossa jokaisella rivillä on sivusto, käyttäjätunnus ja salasana, salaamattomana. Kuka tahansa tiedoston avaava voi lukea kaiken. Siksi:

1. Tee se tietokoneella, johon luotat, älä jaetulla kauppakoneella.
2. Vie tiedosto omalle tietokoneellesi, älä synkronoituun kansioon tai pilveen. Muuten salaamaton tiedosto on muutamassa sekunnissa palvelimella, versiohistoriassa ja roskakorissa.
3. Tuo se heti uuteen hallintaohjelmaan.
4. Tarkista pistokokein, että tiedot täsmäävät (kirjaudu muutamalle sivustolle).
5. Poista csv-tiedosto heti, ja tyhjennä myös tietokoneen roskakori.
6. Poista sen jälkeen käytöstä salasanojen tallentaminen selaimeen, jotta ei synny toista, vanhentunutta kopiota.

Salasanoja sisältävän taulukkolaskentatiedoston siirrät syöttämällä tiedot käsin hallintaohjelmaan (tai tuomalla ne csv-muodossa, samoja sääntöjä noudattaen). Poista taulukko sen jälkeen, myös roskakorista ja vanhan pilven versiohistoriasta. Vaihda tärkeimmät tiedostossa olleet salasanat, sillä et tiedä, kuka on nähnyt tiedoston vuosien varrella.

Kiinnitä huomiota myös passkey-avaimiin (oppitunti 7.3). Google- tai Apple-tiliisi tallennettua passkey-avainta ei aina voi viedä. Luo tärkeille sivustoille uuteen hallintaohjelmaasi uusi passkey-avain tai varmista, että tiedät salasanan ja toisen vaiheen, ennen kuin lopetat vanhan tilin käytön.

Jakaminen tiimissä

Jotkin salasanat kuuluvat organisaatiolle, eivät yksittäiselle henkilölle: pankki, tukkukauppa, somekanavat, wifi. Käytä näille jaettua kassakaappia tai kokoelmaa hallintaohjelmassa:

• Luo kassakaappi ryhmittäin: "Myymälä", "Hallinto", "Ylläpito". Kaikkien ei tarvitse nähdä kaikkea.
• Älä koskaan jaa salasanaa chatissa tai sähköpostitse. Ei edes "nopeasti vain".
• Kun joku lähtee, poista hänet jaetuista kassakaapeista ja vaihda salasanat, joihin hänellä oli pääsy ja jotka hän on voinut muistaa tai kopioida.

Pääsalasana ja se päivä, kun jokin menee pieleen

Pääsalasana on ainoa avain. Valitse pitkä lause, jossa on neljästä kuuteen satunnaista sanaa, etkä käytä sitä missään muualla. Ota myös hallintaohjelmassa itsessään käyttöön kaksivaiheinen tunnistautuminen.

Järjestä palautus etukäteen:

• Säilytä hallintaohjelman tarjoama palautusavain tai hätäkäyttöoikeus paperilla, turvallisessa paikassa.
• Sovi organisaatiossa etukäteen, kuka saa pääsyn, jos omistaja kuolee tai sairastuu pitkäaikaisesti. Monissa hallintaohjelmissa on tähän tarkoitettu hätäkäyttötoiminto.
• Tärkeimpien tiliesi varmuuskoodit kuuluvat tänne myös, tai paperille (oppitunti 7.3). Ei kassakaappiin, johon pääsee vain niillä tileillä.

Käytännössä: näin se näkyy palveluntarjoajalla

WebOkén Nextcloudissa ei ole erillistä salasananhallintaa; käytät haluamaasi salasananhallintaa. Jos käytät KeePassXC:tä, voit tallentaa salatun kassakaappitiedoston Nextcloudiisi, jolloin se on työpöytäsovelluksen kautta kaikilla tietokoneillasi ja palautettavissa versiohistorian avulla. Tiedosto on tällöin salattu pääsalasanallasi ennen kuin se saapuu palvelimelle. WebOkén Nextcloudin tietoturvaa käsittelevä ohje suosittelee itsekin salasananhallintaa ja mainitsee sen hyvänä paikkana varmuuskoodeillesi.

Muilla eurooppalaisilla pilvipalveluilla toimii vastaavalla tavalla: salasananhallinta on yleensä erillinen palvelu tai sovellus pilvesi rinnalla.

Yhteenveto

• Vanhan tilisi selaimeen tallennetut salasanat katoavat mukana, kun lopetat kyseisen tilin käytön. Siirrä ne etukäteen.
• Salasananhallinta salaa tiedot omalla laitteellasi; pääsalasana on ainoa avain.
• Csv-vienti on salaamaton: ei koskaan synkronoituun kansioon, tuo heti, hävitä heti.
• Käytä ryhmäkohtaisia jaettuja kassakaappeja organisaation salasanoille, ja vaihda ne kun joku lähtee.
• Järjestä palautus ja hätäkäyttöoikeus etukäteen, paperilla.

Tietovisa

Tehtävä

Tehtävä E7.4: Salasanat kartoitettuna ja siirtosuunnitelma. Selvitä, missä organisaatiosi salasanat nyt sijaitsevat (selain henkilöittäin, taulukkolaskentatiedostot, laput, jaetut tilit), valitse salasananhallinta oppitunnin 2.1 viiden kysymyksen avulla, ja kirjoita siirtosuunnitelma: kuka vie mitäkin, millä tietokoneella, milloin csv-tiedosto poistetaan, ja mitä jaettuja kassakaappeja perustetaan.

Lue lisää

Näiden artikkeleiden ohjeet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on vastaavaa.

• Nextcloud-opas 3.1: Miten WebOké suojaa Nextcloudiasi?
• Nextcloud-opas 3.3: Authenticator-sovelluksen käyttöönotto ja varakoodien tallentaminen
• NCSC (Alankomaiden kansallinen kyberturvallisuuskeskus), Beginnen met cybersecurity: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/