Salasana ja kaksivaiheinen tunnistautuminen

Moduuli 8: Turvallisesti ja huoletta · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, millainen on vahva postilaatikon salasana, mitä laitteillesi pitää tehdä salasanan vaihdon jälkeen, miten todennussovelluksen koodi syntyy ja mitä webmailin kaksivaiheinen tunnistautuminen suojaa ja mitä ei.

Keskeiset käsitteet: postilaatikon salasana, salasananhallintaohjelma, kaksivaiheinen tunnistautuminen, TOTP, jaettu salaisuus, QR-koodi, palautuskoodi, kellon heitto, IMAP ja SMTP ilman toista vaihetta

Miksi postilaatikko on tärkein tilisi

Postilaatikkosi on verkkoelämäsi avainnippu. Lähes jokainen palvelu lähettää salasanan palautuslinkin sähköpostiisi. Se, jolla on pääsy postilaatikkoosi, voi siis ottaa haltuunsa myös verkkokauppasi, kirjanpitosi ja sosiaalisen median tilisi. Hän voi myös lähettää viestejä nimissäsi asiakkaille, jotka luottavat sinuun. Siksi varastettua postilaatikkoa käytetään usein laskupetoksiin tai roskapostin lähettämiseen. Jälkimmäinen tuo ongelmia koko verkkotunnuksellesi: muut palvelimet alkavat hylätä viestejäsi.

Kaksi asiaa pitää tunkeilijan ulkona: hyvä salasana ja toinen vaihe kirjautumisessa.

Vahva salasana on ennen kaikkea pitkä ja ainutlaatuinen

Postilaatikon salasana kuuluu yhdelle sähköpostiosoitteelle. Se ei ole sama kuin asiakastilisi tai palvelupakettisi hallintapaneelin salasana (oppitunti 1.3).

Mikä tekee salasanasta vahvan? Ei sanan perään lisätty huutomerkki, vaan pituus ja satunnaisuus. Hyökkääjät kokeilevat vuotaneita salasanoja sekä listoja yleisistä sanoista ja kaavoista. "Zomer2026!" löytyy tällaiselta listalta; neljän satunnaisen sanan sarja tai kaksikymmentä satunnaista merkkiä ei löydy. Yhtä tärkeää on, että salasana on ainutlaatuinen. Jos verkkokaupasta, jossa käytit samaa salasanaa, vuotaa tietoja, rikolliset kokeilevat sitä myös postilaatikkoosi.

Käytännöllinen ratkaisu on salasananhallintaohjelma: ohjelma, joka luo jokaiselle palvelulle pitkän satunnaisen salasanan ja muistaa sen. Sinun tarvitsee muistaa vain yksi vahva pääsalasana.

Vaihdon jälkeen: päivitä kaikki laitteet

Vaihdat salasanan webmailissa kohdassa Asetukset > Salasana tai palvelupakettisi hallintapaneelissa, jos et enää muista vanhaa. Siitä hetkestä alkaen uusi salasana on voimassa kaikkialla: webmailissa, puhelimessasi ja sähköpostiohjelmassasi.

Tässä menee usein pieleen. Sanne de Vries vaihtaa maanantaina osoitteen sanne@example.com salasanan. Kannettavan tietokoneensa hän päivittää heti. Vanhan keittiötabletin hän unohtaa. Tabletti yrittää muutaman minuutin välein kirjautua vanhalla salasanalla. Useiden epäonnistuneiden yritysten jälkeen palvelimen palomuuri huomaa yhteyden, joka kokeilee jatkuvasti väärää salasanaa, ja estää IP-osoitteen. Koska tabletti ja kannettava jakavat kotona saman IP-osoitteen, Sanne ei yhtäkkiä pääse sähköpostiinsa myöskään kannettavalla, eikä joskus edes verkkosivustolleen.

Päivitä siksi vaihdon jälkeen heti kaikki laitteet: puhelin, tabletti, tietokoneen sähköpostiohjelma sekä mahdollinen tulostin tai skanneri, joka lähettää sähköpostia.

Kaksivaiheinen tunnistautuminen: jotain mitä tiedät ja jotain mitä sinulla on

Kaksivaiheisessa tunnistautumisessa (webmailissa nimeltään Kaksivaiheinen tunnistautuminen) tarvitset kirjautuessa kaksi asiaa: salasanasi (jotain mitä tiedät) ja puhelimesi antaman koodin (jotain mitä sinulla on). Joku, joka saa salasanasi tietojenkalastelun tai tietovuodon kautta, ei silloin vielä pääse sisään.

Koodi tulee todennussovelluksesta, esimerkiksi salasananhallintaohjelmasi sovelluksesta tai erillisestä sovelluksesta tällaisia koodeja varten. Menetelmän nimi on TOTP, time-based one-time password, ja se on kuvattu RFC 6238:ssa. Näin se toimii:

1. Kun otat toiminnon käyttöön, webmail luo jaetun salaisuuden: satunnaisen merkkijonon. Näet sen salaisena avaimena ja QR-koodina.
2. Skannaat QR-koodin sovelluksella. Nyt sekä palvelin että puhelimesi tuntevat saman salaisuuden.
3. 30 sekunnin välein molemmat laskevat salaisuudesta ja nykyisestä ajasta kuusinumeroisen koodin.
4. Kirjautuessa palvelin vertaa koodiasi omaan tulokseensa.

Tästä seuraa kaksi asiaa. Sovellus ei tarvitse internetyhteyttä: se laskee vain salaisuuden ja kellon avulla. Lisäksi kellon on oltava oikeassa. Jos puhelimesi kello on muutaman minuutin edellä tai jäljessä, se laskee eri aikajaksolla, eikä koodi täsmää. Aseta puhelimesi aika automaattiseksi.

Kolmas seuraus: QR-koodi on itse salaisuus. Jolla on siitä valokuva tai kuvakaappaus, voi luoda samat koodit. Älä siis koskaan jaa sitä äläkä tallenna sitä kuvana.

Kuvassa näet näkymän, jossa otat kaksivaiheisen tunnistautumisen käyttöön. Siinä ovat salainen avain, palautuskoodit ja QR-koodi.

Palautuskoodit ja kadonnut puhelin

Käyttöönoton yhteydessä saat myös neljä palautuskoodia. Kukin toimii kerran sovelluksen koodin sijaan. Ne ovat vara-avaimesi, jos puhelimesi rikkoutuu, varastetaan tai vaihtuu. Säilytä ne muualla kuin puhelimessasi: salasananhallintaohjelmassa tai paperilla laatikossa.

Jos käytät palautuskoodin, ota kaksivaiheinen tunnistautuminen heti uudelleen käyttöön uudella puhelimellasi. Saat samalla uudet palautuskoodit. Jos palautuskoodeja ei enää ole, sähköpostipalvelusi tarjoaja voi poistaa postilaatikkosi toisen vaiheen käytöstä tarkistettuaan henkilöllisyytesi.

Omalla tietokoneellasi voit kirjautuessa valita, ettei webmail kysy koodia uudelleen 30 päivään. Jaetulla tietokoneella et tee niin koskaan.

Mitä kaksivaiheinen tunnistautuminen ei suojaa

Tämä on tärkein sudenkuoppa, ja moni ei tunne sitä. Webmailin kaksivaiheinen tunnistautuminen koskee vain webmailia. Sähköpostiohjelmasi ja puhelimesi sähköpostisovellus kirjautuvat IMAPin (nouto) ja SMTP:n (lähetys) kautta, ja ne kysyvät vain salasanaa. Hyökkääjä, jolla on salasanasi, voi siis edelleen lukea viestejäsi ja lähettää niitä nimissäsi sähköpostiohjelman avulla.

Siksi kaksivaiheinen tunnistautuminen on lisäsuoja eikä korvaa salasanaa. Salasanan on edelleen oltava pitkä ja ainutlaatuinen. Asiakastilisi kaksivaiheinen tunnistautuminen määritetään erikseen; se on eri tili, jolla on oma suojauksensa.

Suurissa palveluissa, kuten Gmail tai Outlook.com, asia toimii hieman eri tavalla: toinen vaihe koskee usein koko tiliä, ja sähköpostiohjelma tarvitsee erillisen sovellussalasanan tai oman kirjautumistapansa. Ajatus on sama: salasana ja lisäksi jotain mitä sinulla on.

Käytännössä: näin se toimii webmailissa

Salasanan vaihdat kohdassa Asetukset > Salasana, ja kaksivaiheisen tunnistautumisen otat käyttöön kohdassa Asetukset > Kaksivaiheinen tunnistautuminen. Siellä valitset Ota käyttöön, annat webmailin täyttää kentät, skannaat QR-koodin, tarkistat koodin ja tallennat. Vaiheet löytyvät Roundcube-käsikirjasta (10.3, 10.4 ja 10.5). Muissa webmaileissa on vastaavat asetukset, usein kohdassa Security.

Yhteenveto

• Postilaatikkosi on avain muihin tileihisi: suojaa se pitkällä, ainutlaatuisella salasanalla salasananhallintaohjelmasta.
• Salasanan vaihdon jälkeen päivität kaikki laitteet; vanhaa salasanaa käyttävä laite voi saada IP-osoitteesi estetyksi.
• TOTP luo 30 sekunnin välein koodin jaetusta salaisuudesta ja ajasta; puhelimesi kellon on oltava oikeassa, ja QR-koodi on itse salaisuus.
• Säilytä neljä palautuskoodia muualla kuin puhelimessa; kukin koodi toimii kerran.
• Webmailin kaksivaiheinen tunnistautuminen suojaa vain webmailia, ei sähköpostiohjelmasi IMAPia ja SMTP:tä.

Tietovisa (quiz)

Tehtävä

Tehtävä A8.1: Harjoittele todennussovelluksella. Napsauta painiketta saadaksesi harjoitussalaisuuden. Saat harjoitustilin QR-koodin. Skannaa se haluamallasi todennussovelluksella (tai kirjoita näytetty avain) ja syötä sovelluksen näyttämä kuusinumeroinen koodi. Ohjelma laskee samalla harjoitussalaisuudella ja ajalla, onko koodisi oikein; myös edellisen tai seuraavan aikajakson koodi hyväksytään, joten pieni kellon heitto ei haittaa. Vihreä: koodi on oikein. Punainen: koodi ei ole oikein; tarkista silloin puhelimesi kello ja se, että käytät sovelluksessa oikeaa riviä. Harjoitussalaisuus ei liity postilaatikkoosi, sillä ei ole arvoa ja se poistuu 24 tunnin kuluessa. Poista harjoitustili sen jälkeen sovelluksestasi.

Lue lisää

Kun webmailin vaiheita kuvataan, ne koskevat WebOkén webmailia; muissa webmaileissa toiminta on samankaltaista.

• Roundcube Webmail 10.3: Kaksivaiheisen tunnistautumisen käyttöönotto
• Roundcube Webmail 10.4: Kirjautuminen kaksivaiheisella tunnistautumisella
• Roundcube Webmail 10.5: Sähköpostilaatikon salasanan vaihtaminen
• Sähköpostiosoitteen salasanan tai rajoitusten muuttaminen
• Salasananhallinta ja pääsyavaimet: näin hoidat kirjautumisen turvallisesti
• Ilmainen kurssi: Turvallisesti verkossa yrittäjille 2.1: Mikä on oikeasti vahva salasana
• Ilmainen kurssi: Turvallisesti verkossa yrittäjille 2.3: Kaksivaiheinen tunnistautuminen: koodit, sovellukset ja tekstiviestit
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (englanniksi): https://www.rfc-editor.org/rfc/rfc6238