Mikä on oikeasti vahva salasana

Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 9 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat selittää, miksi pituus ja ainutkertaisuus ovat tärkeämpiä kuin erikoiset merkit, ja mitä nykyinen NIST-ohjeistus salasanoista sanoo.

Keskeiset käsitteet: pituus, entropia, salasanalause, sanakirjahyökkäys, raaka voima (brute force), uudelleenkäyttö, pakollinen vaihtaminen

Miten salasana murretaan

Kun puhutaan "salasanan murtamisesta", moni ajattelee jonkun arvaavan salasanaa kirjautumissivullasi. Näin käykin joskus, mutta se ei ole suurin uhka. Hyvä kirjautumissivu hidastaa tai estää väliaikaisesti useiden väärien yritysten jälkeen. Arvaaminen etuovesta käy siis hitaasti.

Vaarallisempaa on offline-murtaminen. Verkkosivusto ei (jos kaikki on kunnossa) säilytä itse salasanaasi, vaan tiivisteen (hash): eräänlaisen sormenjäljen, josta salasanaa ei voi suoraan laskea takaisin. Jos verkkokaupan tietokanta vuotaa, hyökkääjällä on nuo sormenjäljet omilla koneillaan. Siellä ei ole mitään hidastetta. Hän kokeilee niin monta salasanaa kuin laitteistonsa pystyy ja vertaa jokaista tulosta vuotaneeseen sormenjälkeen.

Tähän hän käyttää kahta menetelmää:

• Sanakirjahyökkäys: ensin kaikki, mitä ihmiset usein valitsevat. Listoja, joissa on miljoonia oikeita salasanoja aiemmista vuodoista, sanakirjojen sanoja, nimiä, paikkoja, vuosilukuja. Mukana kiinteät säännöt: iso kirjain alkuun, vuosiluku perään, huutomerkki loppuun, a muuttuu muotoon @, o muuttuu muotoon 0.
• Raaka voima (brute force): sen jälkeen kaikki mahdolliset merkkiyhdistelmät, lyhyestä pitkään.

Salasana kuten Zomer2026! vaikuttaa vahvalta: iso kirjain, numeroita, välimerkki, kymmenen merkkiä. Mutta se on juuri se kaava, joka on noissa säännöissä: sana, vuosiluku, merkki. Tällainen salasana paljastuu jo ensimmäisellä kierroksella, kauan ennen kuin raaka voima edes alkaa.

Pituus voittaa erikoiset merkit

Salasanan vahvuus riippuu siitä, kuinka monta mahdollisuutta hyökkääjän pitää kokeilla. Tämä luku lasketaan näin: mahdollisten merkkien määrä korotettuna pituuden potenssiin.

Tavallisella näppäimistöllä on 95 merkkiä, joita voit kirjoittaa (isot ja pienet kirjaimet, numerot, välimerkit ja välilyönti). Satunnaisella 8 merkin salasanalla on tällöin 95 potenssiin 8 mahdollisuutta: noin 6,63 × 10^15. Tämä vaikuttaa paljolta, mutta nopealla laitteistolla ja heikolla tallennustavalla se käydään läpi päivissä.

Jokainen lisämerkki kertoo määrän 95:llä. Uusi merkkityyppi (esimerkiksi välimerkkien lisääminen pelkkiin kirjaimiin) kertoo pohjan vain vähän. Siksi pituus tuo paljon enemmän kuin monimutkaisuus.

Tuo viimeinen sarake on entropia: mittari sille, kuinka arvaamaton jokin on, ilmaistuna bitteinä. Tavallisessa kielessä: jokainen lisäbitti kaksinkertaistaa hyökkääjän työn. Salasana, jossa on 65 bittiä, vaatii siis noin 4 000 kertaa enemmän työtä kuin 53-bittinen.

Tärkeää: nämä luvut pätevät vain, jos salasana on valittu täysin satunnaisesti. Itse keksimäsi salasana ei lähes koskaan ole satunnainen. Bakkerij2026! on kolmetoista merkkiä pitkä, mutta kaavaltaan se on jokaisella murtolistalla.

Salasanalause

Mitä salasanalause tarkoittaa? Se on salasana, joka koostuu useista erillisistä sanoista, esimerkiksi viidestä tai kuudesta. Etu: pitkä, mutta silti helppo muistaa ja kirjoittaa. Alankomaiden NCSC suosittelee valitsemaan neljästä kuuteen sanaa, joilla ei ole mitään tekemistä keskenään, ja toteaa, että pitkä pelkistä pienistä kirjaimista koostuva lause on turvallisempi kuin lyhyt salasana, jossa on kaikenlaisia merkkejä.

Salasanalause on vahva vain, jos sanat on valittu satunnaisesti:

• Hyvä tapa: generaattori (salasanojen hallintaohjelmassasi) tai nopat yhdessä sanalistan kanssa. Tunnettu viiden nopan menetelmä käyttää 7 776 sanan listaa, koska 6 potenssiin 5 on tasan 7 776. Tällaisen listan tekijät suosittelevat useimpiin käyttötarkoituksiin kuutta sanaa.
• Huono tapa: tuttu lause, kappale laulusta, sananlasku tai jotain itsestäsi. minärakastankoiraanibobbya on pitkä, mutta sanat liittyvät toisiinsa ja ovat arvattavissa sinut tuntevalle tai some-tilejäsi lukevalle.

Salasanalause on silti salasana. Käytät sitä vain yhdessä paikassa etkä jaa sitä muille.

Ainutkertaisuus on tärkeämpää kuin monimutkaisuus

Vahvinkaan salasana ei auta, jos käytät sitä kahdessakymmenessä paikassa. Oppitunnilla 1.4 näit credential stuffingin: vuotanutta sähköpostiosoitetta ja salasanaa kokeillaan automaattisesti sähköpostiin, kirjanpitoon, verkkokauppoihin ja someen. Jos se vuotaa heikoimmasta näistä kahdestakymmenestä palvelusta, kaikki kaksikymmentä ovat auki.

Uudelleenkäyttö on siksi käytännössä suurin heikkous. Eikä "pieni vaihtelu" lasketa ainutkertaiseksi. Example!Mail ja Example!Shop ovat hyökkääjälle, jolla on yksi vuotanut salasana, arvattavissa muutamalla yrityksellä.

Ratkaisu ei ole muistaminen vaan tallentaminen: salasanojen hallintaohjelma luo jokaiselle palvelulle pitkän, satunnaisen salasanan ja muistaa sen puolestasi. Tästä kerrotaan oppitunnilla 2.2. Sinun tarvitsee muistaa enää muutama asia: hallintaohjelman pääsalasana ja mahdollisesti tietokoneesi salasana.

Mitä NIST-ohjeistus sanoo

Yhdysvaltalainen NIST (National Institute of Standards and Technology) julkaisee tunnetuimman kirjautumisohjeistuksen: SP 800-63B. Neljäs versio vahvistettiin lopullisesti 31.7.2025. Monet organisaatiot ympäri maailmaa noudattavat sitä. Tärkeimmät kohdat salasanoista:

• Jos salasana on ainoa kirjautumistapa, vähintään 15 merkkiä. Jos se on osa kaksivaiheista tunnistautumista, vähintään 8.
• Palvelun pitää sallia vähintään 64 merkin salasanat.
• Ei koostumussääntöjä: palvelu ei saa vaatia "vähintään yksi iso kirjain, yksi numero ja yksi välimerkki".
• Ei säännöllistä pakollista vaihtamista. Vaihdetaan vain, jos on viite siitä, että salasana on vuotanut.
• Uudet salasanat tarkistetaan yleisesti käytettyjen ja vuotaneiden salasanojen listaa vasten.
• Liittäminen (paste) ja salasanojen hallintaohjelmat sallitaan.
• Ei turvakysymyksiä ("ensimmäisen lemmikkisi nimi") eikä salasanavihjeitä.

Miksi pakollista vaihtamista ei enää suositella

Vuosien ajan piti töissä valita uusi salasana kolmen kuukauden välein. Ajatus oli: varastettu salasana toimii silloin vain lyhyen aikaa. Käytännössä ihmiset tekevät näin: Zomer2026! muuttuu muotoon Herfst2026!, sitten Winter2026!. Hyökkääjä, jolla on vanha salasana, arvaa uuden muutamalla yrityksellä. Ja se, jonka täytyy jatkuvasti keksiä uusi salasana, valitsee lyhyempiä ja kirjoittaa ne muistilapulle.

Pakollinen vaihtaminen tekee siis salasanoista ennustettavampia. Vaihda kuitenkin heti, jos siihen on syy: ilmoitus vuodosta, outo kirjautuminen, lähtevä kollega joka tiesi salasanan, tai jos olet vahingossa syöttänyt sen johonkin.

Käytännössä: salasanakäytäntö yhdelle A4-arkille

Pienelle yritykselle kuten Bakkerij Example riittää lyhyt käytäntö:

1. Jokaisella tilillä on oma, henkilökohtainen salasana. Ei jaettua kirjautumista osoitteelle info@example.com, jonka salasanan tietää viisi ihmistä.
2. Salasanat luo salasanojen hallintaohjelma: satunnaisia, vähintään 15 merkkiä, tai salasanalause, jossa on vähintään viisi satunnaista sanaa, jotka joudut kirjoittamaan.
3. Ei koskaan samaa salasanaa kahdessa paikassa.
4. Kaksivaiheinen tunnistautuminen käyttöön sähköpostiin, kirjanpitoon, pankkiin, webhotelliin ja verkkotunnuksen rekisteröintiin (oppitunti 2.3).
5. Vaihda vain, kun siihen on syy, ja silloin heti.
6. Älä koskaan lähetä salasanoja sähköpostitse, chatissa tai jätä niitä muistilapulle näytön viereen.

Myös webhotellipaneelisi noudattaa tätä linjaa. WebOké-ympäristössä voit esimerkiksi luoda satunnaisen salasanan DA-salasanalle ja sähköpostilaatikoille; muissa paneeleissa tätä painiketta kutsutaan usein nimellä "Genereer" tai "Generate". Anna generaattorin aina luoda vähintään 15 merkkiä; usein voit valita pituuden itse.

Yhteenveto

• Hyökkääjät murtavat salasanoja pääasiassa offline-tilassa, vuodon jälkeen, listojen ja sääntöjen avulla. Ennustettavat kaavat paljastuvat heti.
• Pituus ja todellinen satunnaisuus tuovat paljon enemmän kuin erikoiset merkit. Jokainen entropiabitti kaksinkertaistaa työn.
• Satunnaisesti valituista sanoista koostuva salasanalause on pitkä mutta silti muistettavissa.
• Ainutkertaisuus on tärkeämpää kuin monimutkaisuus: uudelleenkäyttö muuttaa yhden vuodon kahdeksikymmeneksi vuodoksi.
• NIST SP 800-63B-4: vähintään 15 merkkiä ainoana tekijänä, ei koostumussääntöjä, ei säännöllistä vaihtamista, mutta tarkistus vuotaneita salasanoja vasten.

Tietovisa

Tehtävä

Tehtävä A2.1: Laskemista ja arviointia. Et syötä omaa salasanaasi mihinkään. Osa 1: laske, kuinka monta mahdollisuutta salasanalauseella ja satunnaisella salasanalla on (saat sanojen ja merkkien määrät), kumpi kahdesta on vahvempi ja kuinka monta kertaa. Osa 2: arvioi kuusi keksittyä esimerkkisalasanaa: ennustettava, liian lyhyt, uudelleenkäytetty vai vahva. Ohjelma tarkistaa vastaukset ja antaa jokaiseen perustelun.

Lue lisää

WebOké-artikkelien vaiheet koskevat WebOké-ympäristöä; muilla palveluntarjoajilla toiminta on vastaavanlaista.

• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• Miten vaihdan sähköpostiosoitteeni salasanan tai rajoitukset?
• Alankomaiden NCSC, vinkkejä vahvan salasanan keksimiseen: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Alankomaiden NCSC, neljä askelta salasanojesi turvaamiseksi: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (englanniksi): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (englanniksi, nopilla luotava sanalista): https://www.eff.org/dice