Salasana on heikoin lenkki

Teksti: Jani Järvinen |

Tietokoneen peruskäyttäjäkin tarvitsee jopa puolen tusinaa salasanaa. Kiusaus käyttää helppoja tai samoja salasanoja on suuri. Tämä on merkittävä uhka koko tietojärjestelmän turvallisuudelle.

Koneen käynnistäminen, sisäänkirjautuminen, verkkoresurssien käsittely ja tulostaminen saattavat kaikki vaatia oman salasanansa. Ylläpitäjien ja sovelluskehittäjien kontolla on helposti parikymmentä salasanaa, sillä mukaan tulevat palvelinten, tietokantojen, hallintaohjelmien ja etäkäytön salasanat.

Monella yrityksellä on tietoturvapolitiikka, joka esimerkiksi määrää, että salasanat on vaihdettava kerran kuussa, niiden pituus on oltava vähintään kahdeksan merkkiä, ja ne eivät saa olla samoja kuin kahdella edellisellä kerralla. Vaikka salasanoja pyritäänkin näillä keinoin parantamaan, on huonoja salasanoja silti liian helppo keksiä. Lemmikin, tyttären tai kotikadun nimi ovat kaikki suosittuja salasanoja, mutta valitettavasti hyvin helposti arvattavia.

Järjestelmästä vastaavien onkin koulutettava käyttäjiä salasanojen riskeistä ja oikeanlaisesta muodostamisesta. Lisäksi käyttäjän vaihtaessa salasanaa, tulisi sen vahvuus tarkistaa erityisellä ohjelmalla, jottei se murtuisi kevyesti Internetissä laajasti tarjolla olevilla salasanan murto-ohjelmilla. Järjestelmätuen tulisi myös säännöllisesti testata niitä murto-ohjelmilla, ja ohjata huonon salasanan valinneita varmemmalle tielle.

”Ylläpidosta päivää”

Käyttäjän salasanan selville saamiseksi ei aina tarvita edes salasanan murtamiseen tarkoitettuja ohjelmistoja. Usein yksinkertainen puhelinsoitto saattaa riittää. Kun soittaja esiintyy ylläpitäjän nimikkeellä, pahaa-aavistamaton käyttäjä saattaa kertoa salasanansa sen kummempia miettimättä. Tätä kutsutaan sosiaaliseksi salasanojen selvittämiseksi.


Advanced NT security explorer kaivaa esiin muun muassa pääkäyttäjän salasanan. (Kuva)

Keinoja salasanojen selvittämiseen on toki muitakin. Jos murtautujalla on tiedossaan vähänkin enemmän henkilökohtaisia tietoja hyökkäyksen uhrista, salasana saattaa olla helposti arvattavissa. Myös työpisteen tutkiminen saattaa olla palkitsevaa, sillä monen pitkän, usein vaihtuvan salasanan muistaminen on käytännössä mahdotonta. Moni kirjoittaakin salasanat paperilapulle muistin tueksi ja teippaa sen näppäimistön alle.

Salasanojen selvittäminen on mahdollista myös puhtaasti teknisin keinoin. Käyttöjärjestelmät esimerkiksi antavat ylläpitäjille enemmän oikeuksia kuin tavallisille käyttäjille. Ylläpitäjät eivät välttämättä suoranaisesti näe käyttäjien salasanoja, mutta voivat vaihtaa ne mieleisikseen.

Salasanoja voidaan myös järjestelmällisesti kerätä pitämällä yllä rekisteröitymistä vaativaa Internet-palvelua. Monet käyttävät samaa salasanaa eri palveluissa, joten käyttäjälistaa tutkimalla voi löytää avoimen tien tärkeäänkin järjestelmään. Vaikka salasana olisi ainutkertainen, saattaa käyttäjä tarjota ensimmäisenä mieleen tulevaa salasanaa, joten erityisesti epäonnistuneet kirjautumiset lokissa paljastavat arvokkaita salasanoja.

Murto-ohjelmia netistä

Salasanoja voidaan selvittää myös erilaisin ohjelmistoin. Ne voivat olla perinteisiä salasanan murto-ohjelmia tai vaikkapa verkkoliikenteen seuraajia. Myös eräät virukset ja troijalaiset nuuskivat salasanoja ja lähettävät niitä edelleen luojilleen.

Internetin hakupalveluiden avulla on helppo löytää ohjelmistoja, jotka osaavat murtaa erilaisten tiedostojen tai järjestelmien salasanoja. Hakukoneet löytävät toistakymmentätuhatta tärppiä haulle ”password crackers”. Esimerkiksi Windows-käyttöjärjestelmien salasanojen selvittämiseen on tarjolla omat ohjelmistonsa, kuten myös bios-salasanojen selvittämiseen. Samaten ohjelmistoja löytyy muun muassa zip-, Word-, Excel- ja pdf-tiedostojen salausten purkuun.

Useimmat näistä ohjelmista toimivat siten, että ne kokeilevat kaikki mahdolliset salasanakombinaatiot yksi kerrallaan (brute-force attack). Osa näistä ohjelmista käy läpi jokaisen bitin, jolloin niille on merkityksetöntä, millaisia erikoismerkkejä salasanassa on. Salasana #4a (00100011 00110100 01100001) tulee todennäköisesti vastaan hieman ennen kuin salasana HEI (01001000 01000101 01001001).

Vaikka jo muutaman kirjaimen salasanassa on kymmeniätuhansia vaihtoehtoja, ei miljoonienkaan vaihtoehtojen kokeilu ole nykymikroille ongelma. Esimerkiksi zip-tiedostojen salasanojen selvittämiseen tarkoitettu Zip key -ohjelma kokeilee helposti puoli miljoonaa avainta sekunnissa.

Älykkäät sanakirjat

Jos salasana on riittävän pitkä, on erilaisia vaihtoehtoja yleensä niin paljon, että on tehokkaampaa käyttää sopivaa sanalistaa, jossa on tavanomaisia nimiä, sanoja ja ilmauksia. Tätä tapaa kutsutaan usein sanakirjahyökkäykseksi.

Näitä kokeilemalla on helppo uskoa, että esimerkiksi etunimet, kaupunkien, ohjelmistojen, jalkapalloseurojen tai tietokoneiden nimet ja niiden mukaelmat eivät ole todellisia salasanoja. Ne aukeavat sangen nopeasti.


Salasana voidaan urkkia selville monin eri keinoin. Sosiaaliset keinot tuovat nopeimmin tulosta. (Kuva)

Nykyiset älykkäät murto-ohjelmat tehostavat sanakirjahyökkäystä lisäämällä sanojen alkuun tai loppuun 1–3 erikoismerkkiä. Lisäksi ne käyvät sanoista läpi myös erikoismerkeillä muokatut versiot, eli kokeilevat sanat, joissa esimerkiksi o-kirjain on kirjoitettu nollalla. Näille ohjelmille salasana ”taistelija” on yhtä helppo kuin ”+a1s+3l1ja”. Ohjelmat kokeilevat muutamasta sadasta tuhannesta sanasta jopa yli sata erilaista kirjoitustapaa.

Kehittyneet sanakirjat sisältävät myös lukuisia numeroilla luotuja sanaleikkejä kuten 2fast4u tai ib6ub9. Näppäimistöltä helposti naputettavat merkkijonot, kuten qwerty ja mju76yhn tutkitaan yleensä ensimmäisten joukossa.

Murto-ohjelmia voidaan käyttää sekä hyvään että pahaan. Koska erilaisia työkaluja on helppo löytää, niitä käytetään usein varmistamaan, että yrityksen käyttäjien salasanat ovat hyvälaatuisia. Toinen hyväksyttävä käyttötarkoitus on unohtuneen salasanan selvittäminen. Edellisen budjettikierroksen salatun Excel-taulukon avain unohtuu helposti, jos sitä ei kirjoita muistiin, mitä taas ei pitäisi tehdä.

Tulevaisuuden käyttäjätunnistus

Salasanat ovat vielä pitkälti perinteisiä, näppäimistön kautta annettavia kirjain- ja numeroyhdistelmiä. Tulevaisuudessa ne saatetaan kuitenkin tallentaa toimikortille, tai koneisiin voi tulla esimerkiksi sormenjälkeen tai ääninäytteeseen perustuva tunnistus. Näillä välineillä salasana annetaan yleensä vain kertaalleen, ja pääsy kaikkiin sallittuihin resursseihin on avoinna. Mikäli tunnistus tehdään silmän verkkokalvolta, voi näytön päällä oleva kamera jatkuvasti valvoa, että koneen ääressä on hyväksytty käyttäjä.

Parempia tunnistusmenetelmiä odoteltaessa on hyväksyttävä pitkät salasanat ja niiden säännöllinen vaihtaminen. Tietokoneiden jatkuva tehostuminen takaa sen, ettei mikään salasana suojaa ikuisesti.


Älä käytä näitä

Daniel V. Klein tutki runsas kymmenen vuotta sitten noin 15000 salasanan tiiviyttä tavanomaisille murtoyrityksille. Vuodessa hän onnistui avaamaan neljänneksen salasanoista. Nykytietokoneiden teholla tähän kuluisi vuorokausi.

Pahinta oli, että 2,7 prosenttia salasanoista avautui silloisellakin kalustolla minuuteissa, koska salasana oli käyttäjän tunnus tai nimi suoraan tai hieman muutettuna. Ohjelma kokeili 130 mukaelmaa näistä, kuten Jjarvinen, nenivraj ja Jani123.

1,8 prosenttia paljastuneista salasanoista oli jokin näppäimistöltä helposti naputeltava kuvio, kuten qwerty, q2w3e4 tai aaaaa. Näistä käytiin läpi myös erilaiset yhdistelmät shift- ja control-näppäimen kanssa.

Ensimmäisten päivien aikana murtuivat myös salasanat, jotka oli muodostettu naisten, miesten, julkimoiden, lemmikkien tai paikan nimistä sekä sukunimistä ja urheilutermeistä. Näistä kokeiltiin myös erilaiset muunnokset, jotka saatiin korvaamalla kirjaimia numeroilla, kuten 0=o, 1=l, 2=z, 3=e, 4=h ja 5=s.

Nopeasti löytyivät myös pelien, mytologian, sarjakuvien, elokuvien ja Shakespearin hahmoihin samoin kuin tieteiskirjallisuuden terminologiaan tai yksittäisten kiinalaisten merkkien translitterointiin perustuvat salasanat.

Kolmannes paljastuneista salasanoista löytyi 24400 sanan sanakirjan perusteella, mutta sen läpikäynti varioimalla sanoja 70 eri tavalla kesti pitkään.


Vahva salasana

Salasanan joutuminen jonkun toisen tietoon avaa käyttäjän postilaatikon, kotihakemistot, ja mikä ehkä kiusallisinta, antaa mahdollisuuden esiintyä tunnuksen haltijan nimissä ja käyttää hänen resurssejaan. Se saattaa myös tarjota hakkerille oven laajempaan järjestelmään.

Hyvä salasana on riittävän pitkä, vähintään kahdeksan merkkiä. Lyhyet salasanat murtuvat kohtuullisella työllä. Prosessoritehot mikroissa ovat jo sitä luokkaa, että kuuden merkin pituinen salasana on jo murrettavissa järjellisessä ajassa.

Salasana ei saa olla johdettu omasta nimestä tai käyttäjätunnuksesta. Se ei ole rekisterikilpi, vaimon tyttönimi tai muu, jonka tunkeilija saisi helposti selville. Sitä ei myöskään ole rakennettu minkään järjellisen sanan pohjalta.

Hyvässä salasanassa on sekaisin pieniä ja suuria kirjaimia, numeroita sekä erikoismerkkejä. Mikäli järjestelmä sallii laajennetun ascii-merkistön eli merkit, jotka saadaan numeronäppäimistöltä pidettäessä alt-näppäintä pohjassa ("·LLì"), kannattaa niitä käyttää. Monet salasanan purkuohjelmat käyvät nämä läpi vain erikseen pyydettäessä.

Hyvä keino salasanan muistamiseen on keksiä jokin tarina, jonka sisällöstä merkkinjono muodostuu. Esimerkiksi "Viikon viidentenä päivänä koppa Olvia maistuu namille" muodostaa salasanan "V#5p24Omn".

Liiallisuuksiin menevä erikoismerkkien käyttö voi kuitenkin kääntyä itseään vastaan silloin, kun näppäimistö vaihtuu toisenkieliseksi vaikkapa ulkomaanmatkan takia. Kaikkia erikoismerkkejä ei nimittäin löydy kaikista näppäimistöistä, helposti ainakaan.