Vuotanut? Tarkistus ja korjaus

Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 10 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat tarkistaa itse, löytyvätkö tietosi tietovuodosta, reagoida vuotoon oikeassa järjestyksessä ja saada kaapatun tilin takaisin sekä siivota jäljet.

Keskeiset käsitteet: Have I Been Pwned, k-anonymiteetti, vuotoilmoitukset, istuntojen peruuttaminen, istuntoeväste, palautustiedot, edelleenlähetyssäännöt

Miten saat tietää, että jotain on vuotanut

Usein et saa tietää sitä. Vuotanut salasana voi olla kuukausia yhdistelmälistalla ennen kuin joku kokeilee sitä. Kiinnitä siksi huomiota näihin merkkeihin:

• Palvelu lähettää sähköpostia, että on tapahtunut tietoturvaloukkaus. Tarkista ensin, onko viesti aito (moduuli 3): mene itse sivustolle linkin klikkaamisen sijaan.
• Saat kirjautumiskoodin tai hyväksymispyynnön, jota et itse ole pyytänyt (oppitunti 2.3).
• Näet ilmoituksen "uusi kirjautuminen tuntemattomasta laitteesta".
• Asiakkaat tai kollegat saavat outoja viestejä "sinulta", tai sinulta puuttuu viesti, jonka olet kyllä lähettänyt.
• Salasanojen hallintaohjelma varoittaa, että salasana esiintyy tietovuodossa.
• Et pääsekään enää kirjautumaan sisään, tai palautustietosi ovat muuttuneet.

Tarkista itse Have I Been Pwned -palvelulla

Have I Been Pwned (haveibeenpwned.com) on tunnettu, ilmainen palvelu, joka kerää tietoja julkisesti tunnetuista tietovuodoista. Voit hakea siellä itse sähköpostiosoitteellasi. Näet silloin, missä vuodoissa osoite esiintyy ja minkä tyyppisiä tietoja niissä oli mukana: pelkkiä sähköpostiosoitteita, vai myös salasanoja, nimiä, puhelinnumeroita tai osoitteita. "Notify me" -toiminnolla saat viestin, jos osoitteesi ilmestyy uuteen vuotoon.

Tee tämä itse, palvelun omalla sivustolla. Tällä kurssilla emme koskaan pyydä sinua syöttämään sähköpostiosoitettasi tai salasanaasi mihinkään.

Palvelussa on myös osa Pwned Passwords, jolla salasanojen hallintaohjelmat ja verkkosivustot tarkistavat, onko salasana koskaan vuotanut. Se toimii k-anonymiteetin avulla: salasanasi muunnetaan omalla laitteellasi tiivisteeksi (hash, eräänlainen sormenjälki), ja palvelulle lähetetään vain sen ensimmäiset 5 merkkiä. Palvelu lähettää takaisin kaikki tunnetut tiivisteet, jotka alkavat niillä 5 merkillä, ja oma laitteesi tarkistaa, löytyykö joukosta täydellinen tiivisteesi. Palvelu ei siis koskaan näe salasanaasi, eikä se edes tiedä, mikä sadoista palautetuista tiivisteistä on sinun.

Kaksi huomautusta:

• Ei listalla ei tarkoita turvallista. Vuoto, joka ei (vielä) ole tiedossa, ei näy siellä. Myös infostealer-haittaohjelmat (oppitunti 1.4) varastavat salasanoja, jotka eivät koskaan päädy julkaistuun vuotoon.
• Listalla olo ei tarkoita, että kaikki on menetetty. Katso, mitä tietoja vuoti ja milloin. Salasana, jota et ole käyttänyt vuosiin, ei ole ongelma; salasana, jota käytät edelleen kaikkialla, on.

Mitä teet ensin vuodon jälkeen

Järjestyksellä on väliä. Tärkein sääntö: ensin sähköpostisi, koska sähköpostisi avulla hyökkääjä voi "unohtuiko salasana" -toiminnolla kaapata lähes kaikki muut tilisi.

Miksi istunnot kannattaa peruuttaa

Kun kirjaudut sisään, selaimesi saa istuntoevästeen: eräänlaisen väliaikaisen pääsylipun, jotta sinun ei tarvitse kirjautua uudelleen joka klikkauksella. Se, jolla on tämä eväste, on kirjautuneena sisään. Ilman salasanaa ja ilman toista vaihetta.

Juuri sitä infostealerit varastavat: ei vain salasanojasi, vaan myös evästeitäsi. Ja hyökkääjä, joka on kirjautunut sisään salasanallasi, saa myös istunnon. Jos vaihdat vain salasanasi, tämä istunto jatkaa toimimistaan monissa palveluissa.

Siksi kannattaa vuodon tai oudon kirjautumisen jälkeen tarkistaa jokaisesta tärkeästä palvelusta aktiivisten istuntojen tai laitteiden yleiskatsaus ja kirjautua ulos kaikesta, mitä et tunnista, tai kaikesta paitsi laitteesta, jolla parhaillaan työskentelet. Monissa palveluissa uusi salasana kirjaa sinut myös ulos kaikkialta; tarkista silti.

Edelleenlähetyssääntö takaovena

Tapaus, joka toistuu usein tällaisena. Bakkerij Examplen kirjanpitäjä klikkaa tietojenkalasteluviestiä ja syöttää sähköpostinsa salasanan. Hyökkääjä kirjautuu osoitteeseen factuur@example.com ja tekee kolme asiaa:

1. Hän luo säännön: jokainen viesti, jonka otsikossa on "lasku", "maksu" tai "IBAN", lähetetään edelleen ulkoiseen osoitteeseen leverancier-administratie.example ja siirretään sen jälkeen roskakoriin.
2. Hän asettaa oman puhelinnumeronsa palautusnumeroksi.
3. Hän kirjautuu ulos.

Kirjanpitäjä huomaa, että jokin on vialla, ja vaihtaa salasanansa. Ratkaistu, hän ajattelee. Mutta sääntö jatkaa toimimistaan. Hyökkääjä lukee viikkojen ajan jokaisen laskun, ja jonain päivänä asiakas saa "muokatun" laskun, jossa on eri IBAN (oppitunti 1.2). Palautusnumeron avulla hän voi myös hakea tilin takaisin myöhemmin.

Tarkista siksi sähköpostitilistä aina:

• säännöt ja suodattimet: etenkin säännöt, jotka lähettävät edelleen tai poistavat;
• edelleenlähetys sähköpostin asetuksista ja webhotellisi hallintapaneelista;
• automaattivastaukset, joita et itse ole luonut;
• sovelluskohtaiset salasanat ja yhdistetyt sovellukset: poista kaikki, mitä et tunnista;
• palautustiedot ja kaksivaiheisen tunnistautumisen laiteluettelo.

Jos tili on todella kaapattu

Jos et pääse enää sisään, käytä vain palvelun virallista palautusmenettelyä. Löydät sen menemällä itse sivustolle, et sähköpostissa tai hakumainoksessa olevan linkin kautta. Varo "palautusapua", johon otat itse yhteyttä some­ssa tai joka lähestyy sinua: usein kyse on huijareista, jotka yrittävät iskeä sinuun toisen kerran.

Tämän jälkeen:

• tee yllä olevan taulukon vaiheet 3-8;
• luo uudet palautuskoodit ja ota käyttöön vahvempi toinen vaihe (oppitunnit 2.3 ja 2.4);
• ilmoita huijausviestistä Kyberturvallisuuskeskukselle (https://www.kyberturvallisuuskeskus.fi/) ja tee rikosilmoitus poliisille, jos vahinkoa on syntynyt;
• kirjoita ylös, mitä tapahtui ja milloin. Jos kyse oli asiakastiedoista, kyseessä voi olla tietoturvaloukkaus (oppitunti 8.2).

Käytännössä: näin se näyttää

WebOkén ympäristössä näet Oma WebOkén kohdassa Kirjautumistiedot kortin Aktiiviset istunnot, josta näkyy jokaisen istunnon selain, järjestelmä, IP-osoite ja alkamisaika. Voit kirjautua ulos yhdestä istunnosta tai kaikkialta paitsi laitteesta, jolla parhaillaan olet. Nextcloudissa kohdassa Security on yleiskatsaus Laitteet ja istunnot, josta voit myös peruuttaa laitteen tai tyhjentää sen etänä. Sähköpostin edelleenlähetys ja suodattimet löytyvät hallintapaneelista ja webmailista. Muilla palveluntarjoajilla toimintaperiaate on samankaltainen: etsi "istunnot", "laitteet", "tietoturva" tai "viimeaikainen toiminta".

Yhteenveto

• Tarkista itse osoitteessa haveibeenpwned.com, löytyykö sähköpostiosoitteesi tunnetusta vuodosta; Pwned Passwords toimii k-anonymiteetin avulla (vain tiivisteen ensimmäiset 5 merkkiä lähetetään).
• Ei listalla ei ole sama asia kuin turvallinen.
• Vuodon jälkeen: ensin sähköpostisi, sitten istuntojen peruuttaminen sekä kaksivaiheisen tunnistautumisen ja palautustietojen tarkistus.
• Salasanan vaihto ei poista edelleenlähetyssääntöjä, sovelluskohtaisia salasanoja tai varastettuja istuntoja.
• Kaapatun tilin saat takaisin vain palvelun virallista reittiä.

Tietovisa

Tehtävä

Tehtävä D2.5: Oma vuototarkistus ja siivouskierros. Tarkista itse osoitteessa haveibeenpwned.com yritystoimintasi sähköpostiosoitteet ja ota käyttöön "Notify me". Käy läpi sähköpostitilisi ja tärkeimpien tiliesi aktiiviset istunnot, edelleenlähetyssäännöt, sovelluskohtaiset salasanat ja palautustiedot, ja siivoa pois kaikki, mitä et tunnista. Merkitse tarkistuslista tehdyksi ja vastaa pohdintakysymyksiin. Et syötä kurssilla sähköpostiosoitetta tai salasanaa.

Lue lisää

WebOkén artikkeleissa kuvatut vaiheet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toimintaperiaate on samankaltainen.

• WebOké-käyttöopas 3.6: Aktiivisten istuntojen tarkastelu ja uloskirjautuminen
• Nextcloud-opas 3.6: Laitteiden ja istuntojen tarkastelu, oikeuksien peruminen tai etätyhjennys
• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• Nextcloudiin kirjautuminen ei onnistu: salasana, koodi tai rajoitus
• Sähköpostilaatikko kaapattu tai roskopostia osoitteestasi: näin siivoat tilanteen
• Have I Been Pwned (hae itse sähköpostiosoitteellasi): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (englanniksi, k-anonymiteetin selitys): https://haveibeenpwned.com/Passwords
• Ilmoita huijausviestistä Kyberturvallisuuskeskukselle: https://www.kyberturvallisuuskeskus.fi/