Salasanojen hallintaohjelmien valinta ja käyttö

Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 9 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat valita ja ottaa käyttöön salasanojen hallintaohjelman, suojata pääsalasanan ja jakaa salasanoja turvallisesti tiimissä.

Keskeiset käsitteet: salasanojen hallintaohjelma, pääsalasana, kassakaappi (holvi), päästä päähän salaus, jaettu holvi, hätäkäyttöoikeus, selaimen salasanojen hallinta

Mitä salasanojen hallintaohjelma tekee

Oppitunnilla 2.1 opit, että jokainen tili tarvitsee oman, pitkän ja satunnaisen salasanan. Kukaan ei muista niitä kahdeksaakymmentä ulkoa. Salasanojen hallintaohjelma on ohjelmisto, joka hoitaa sen puolestasi. Se:

• luo jokaiselle palvelulle vahvan, satunnaisen salasanan;
• säilyttää kaikki salasanat salattuna holvissa;
• täyttää ne oikealle verkkosivustolle, ja vain sille;
• varoittaa usein heikoista, kaksinkertaisista tai vuotaneista salasanoista;
• voi monessa tuotteessa säilyttää myös kaksivaiheisen tunnistautumisen koodit ja tallentaa passkeyt (oppitunnit 2.3 ja 2.4).

Sinä muistat enää vain yhden: pääsalasanan, jolla avaat holvin. Alankomaiden NCSC suosittelee salasanojen hallintaohjelmaa vakiokäytännöksi myös pienille organisaatioille, selkeillä sopimuksilla siitä, mitä hallintaohjelmaa käytetään ja millä tileillä se on pakollinen.

Salasanojen hallintaohjelmien tyypit

Yhtä parasta tyyppiä ei ole. Alankomaiden NCSC erottaa selaimeen sisäänrakennetun hallinnan, erillisen sovelluksen sekä pilvipohjaisen (online) ja paikallisen (offline) vaihtoehdon. Käytännössä törmäät näihin muotoihin:

Tunnettuja erillisiä hallintaohjelmia ovat Bitwarden, 1Password, KeePassXC ja Proton Pass, selaimiin ja käyttöjärjestelmiin sisäänrakennettujen lisäksi. Tämä ei ole suositus: valitse alla olevien kysymysten perusteella.

Kysymyksiä valintaa varten

• Toimiiko se kaikilla laitteillasi ja selaimillasi, myös kollegojesi?
• Voitko jakaa holveja kansiokohtaisin oikeuksin, ja poistaa jonkun holvista jälkikäteen?
• Onko holvi salattu päästä päähän, ja mikä on salattu ja mikä ei (esimerkiksi verkkosivustojen osoitteet)?
• Voitko suojata holvin kaksivaiheisella tunnistautumisella tai passkeyllä?
• Onko olemassa hätäkäyttöoikeutta tai palautusjärjestelyä, ja miten se toimii tarkalleen?
• Voitko viedä tietosi ulos, jos haluat vaihtaa toiseen palveluun?
• Ilmaisversioissa: mikä on ansaintamalli?

Päästä päähän salaus: entä jos toimittaja hakkeroidaan?

Hyvässä pilvipohjaisessa hallintaohjelmassa holvisi salataan omalla laitteellasi avaimella, joka johdetaan pääsalasanastasi. Toimittaja saa vain salatun paketin. Tätä kutsutaan päästä päähän salaukseksi (joskus "zero knowledge"). Toimittaja ei pysty lukemaan salasanojasi, eikä se siis pysty myöskään palauttamaan pääsalasanaasi puolestasi.

Jos toimittaja hakkeroidaan, hyökkääjä voi varastaa salatut holvit. Hän voi sitten yrittää murtaa ne offline-tilassa, kuten oppitunnilla 2.1 kerrottiin. Pääsalasanasi on sillä hetkellä ainoa suojasi. Siksi:

• Pääsalasana on pitkä ja ainutlaatuinen: vähintään viiden, mieluummin kuuden satunnaisen sanan salasanalause.
• Et käytä sitä missään muualla.
• Toimittajan vuodon jälkeen vaihdat sekä pääsalasanasi että tärkeimpien tiliesi salasanat. Vanha, varastettu holvi on nimittäin salattu vanhalla pääsalasanalla.

Holvin kaksivaiheinen tunnistautuminen auttaa sellaista vastaan, joka tietää pääsalasanasi ja yrittää kirjautua sisään verkkosivuston kautta. Se ei auta varastetun holvitiedoston murtamista vastaan. Alankomaiden NCSC sanoo saman: hallintaohjelman 2FA ei ole syy käyttää heikkoa pääsalasanaa.

Pääsalasanan suojaaminen

Pääsalasanan unohtaminen on hyvässä hallintaohjelmassa usein lopullista: toimittaja ei voi palauttaa sitä. Järjestä siis tämä etukäteen:

• Kirjoita pääsalasana paperille ja säilytä sitä kotona turvallisessa paikassa. Alankomaiden NCSC pitää tätä hyvänä ratkaisuna, kunhan et kirjoita viereen, mihin se liittyy.
• Luo hallintaohjelmasi tarjoama palautuspaketti tai hätäkoodi, tulosta se ja säilytä sitä paperin kanssa.
• Kirjoita pääsalasana vain hallintaohjelman omaan sovellukseen tai laajennukseen, ei koskaan verkkosivustolle, joka sitä pyytää.
• Kytke päälle automaattinen lukitus muutaman minuutin käyttämättömyyden jälkeen.

Miksi automaattinen täyttö auttaa tietojenkalastelua vastaan

Salasanojen hallintaohjelma yhdistää jokaisen salasanan verkkosivuston osoitteeseen. Osoitteessa https://mijnbank.example se täyttää salasanasi. Osoitteessa, joka muistuttaa sitä, kuten https://rnijnbank.example (rn kirjaimen m sijaan) tai https://mijnbank-veilig.example, se ei tee mitään, koska nämä osoitteet eivät ole tallennettuna kohteeseen.

Ihminen ei usein huomaa eroa merkkijonojen rn ja m välillä. Hallintaohjelma vertaa merkkejä eikä väsy tai hätäile. Tämä on todellinen suoja, mutta vain jos annat sen toimia:

Jos hallintaohjelmasi ei yhtäkkiä täytä mitään sivustolla, jossa se aina ennen täytti? Älä kierrä sitä kopioimalla salasana käsin. Tarkista ensin huolellisesti osoite. Juuri tällä hetkellä hallintaohjelma varoittaa sinua.

Joskus on myös pätevä syy, miksei täyttöä tapahdu: palvelu on muuttanut uuteen osoitteeseen. Tarkista se silloin jotain toista kautta, esimerkiksi kirjoittamalla itse osoite, jonka jo tiesit.

Jakaminen tiimissä

Pienessä yrityksessä on aina tilejä, joita käytetään yhdessä: verkkokauppa osoitteessa webwinkelplatform.example, tili palvelussa koeriersdienst.example, yrityksen some-tilit. Parasta on, jos jokaisella on oma tili (moduuli 7). Jos se ei onnistu, käytä jaettua holvia:

• Luo holveja tai kansioita aiheittain ("Verkkokauppa", "Talous", "Some") ja anna pääsy vain niille, jotka sitä tarvitsevat.
• Älä koskaan jaa salasanoja sähköpostilla, chatissa tai taulukkolaskentaohjelmassa. Kenellä on pääsy jaettuun holviin, näkee salasanan siellä.
• Joku lähtee? Poista hänet holvista ja vaihda salasanat, jotka hän pystyi näkemään. Pelkkä holvista poistaminen ei riitä: hän on voinut kopioida tai tallentaa ne.
• Järjestä hätäkäyttöoikeus: mitä tapahtuu, jos sinä, omistaja, sairastut tai et ole käytettävissä? Monissa hallintaohjelmissa on toiminto, jolla luotettu henkilö saa pääsyn odotusajan jälkeen. Tai säilytä palautustiedot sinetöidyssä kirjekuoressa toisella henkilöllä.

Käytännössä: vaihto yhdessä iltapäivässä

1. Valitse hallintaohjelma ja asenna se tietokoneelle ja puhelimeen, mukaan lukien selainlaajennus.
2. Luo pääsalasana (salasanalause), kirjoita se muistiin, säilytä palautuspaketti.
3. Ota holvissa käyttöön kaksivaiheinen tunnistautuminen.
4. Tuo salasanat, jotka selaimesi on jo tallentanut. Vientitiedosto on usein salaamaton: poista se heti tuonnin jälkeen, myös roskakorista.
5. Aloita tärkeimmistä tileistä ja anna jokaiselle uusi, satunnainen salasana: sähköpostisi (info@example.com), webhotellisi ja verkkotunnuksen rekisteröinti, pankkisi ja kirjanpitosi (esimerkiksi osoitteessa boekhoudpakket.example).
6. Päivitä loput sitä mukaa kun kirjaudut niihin. Kaksinkertaisten salasanojen varoitukset auttavat sinua.

Käytätkö WebOké-ympäristön palvelua, kuten sähköpostia tai Nextcloudia, sovelluksilla puhelimessasi? Niitä varten luodaan toisinaan erillinen sovelluskohtainen salasana (katso Tietopankki 436). Säilytä sekin hallintaohjelmassa, oikean kohteen yhteydessä. Muilla palveluntarjoajilla toiminta on vastaavaa.

Yhteenveto

• Salasanojen hallintaohjelma luo, säilyttää ja täyttää yksilölliset salasanat; sinä muistat vain pääsalasanan.
• Tyyppejä: selaimeen tai järjestelmään sisäänrakennettu, erillinen sovellus pilvellä, paikallinen, avoin lähdekoodi tai itse ylläpidetty. Valitse laitteiden, jakamisen, salauksen ja palautuksen perusteella.
• Päästä päähän salauksessa pääsalasanasi on viimeinen puolustuslinja, jos toimittaja hakkeroidaan.
• Jos hallintaohjelma ei täytä tietoja, tarkista osoite kopioimisen sijaan.
• Jaa jaetun holvin kautta ja vaihda salasanat, kun joku lähtee.

Tietovisa (quiz)

Tehtävä

Tehtävä D2.2: Salasanojen hallintaohjelman käyttöönotto. Valitse salasanojen hallintaohjelma, luo pääsalasana ja palautuspaketti, ota käyttöön kaksivaiheinen tunnistautuminen holvissa ja anna viidelle tärkeimmälle tilillesi uusi, yksilöllinen salasana. Merkitse tarkistuslista tehdyksi ja vastaa pohdintakysymyksiin. Et täytä salasanaa missään.

Lue lisää

WebOké-artikkeleiden vaiheet koskevat WebOké-ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• Sovellussalasanan luominen (tarvitaan yhdistettäessä sovelluksiin ja laitteisiin)
• Nextcloud-opas 3.5: Sovellussalasanat: milloin ja miten
• Alankomaiden NCSC, Miten valitsen salasanojen hallintaohjelman?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Alankomaiden NCSC, Neljä askelta salasanojesi turvallisemmaksi tekemiseen: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken