Millainen on hyvä salasana ja kuinka usein se tulisi vaihtaa?

Tuomas Karhula | Frendy

Monessa yrityksessä vaaditaan, että salasanat pitää vaihtaa tiheästi. Tämä tietoturvasääntö aiheuttaa ehkä eniten työarjen turhautumia ja on vieläpä melko turhaa.

Kolme kuukautta on melko normaali salasananvaihtoväli, mutta tietoturvaharhassa jotkut saattavat vaatia salasanan vaihtoa kuukauden välein. Microsoft ja NIST ovat molemmat jo todenneet, ettei tiheä salasanojen vaihtaminen paranna yritysten tietoturvaa.

Vaihtamisen sijaan on olemassa paljon parempiakin tapoja suojata salasanoja. Aloitetaan kuitenkin hyvästä salasanasta.

Hyvä salasana on riittävän monimutkainen, mutta muistettava

Moni uskoo sitkeästi, että salasanan tulisi olla mahdollisimman monimutkainen ollakseen turvallinen – väärin! Tämä uskomus tekee niistä myös äärimmäisen hankalasti muistettavia, joka taas näkyy tietoturvan paranemisen sijaan käyttäjien verenpaineessa. Miksi yksinkertaisempikin salasana riittää? Koska matematiikka.

Salasana ”Rki&€ja1” on sinällään hyvä salasana sääntöjen mukaan, mutta aika hankala muistaa. Se ei kuitenkaan juuri eroa salasanan ”tokjasik” tietoturvasta. Viimeisimmän murtamiseen menee tietokoneelta ehkä tunteja – ensimmäisen ehkä päiviä. Onko sillä väliä? No ei.

Koneellisesti järkevässä ajassa murtumattoman ja helposti muistettavan salasanan saa aikaan esimerkiksi näin: ”Maamamemaostaaan123” (MAAnantaina MAmma MEni MAnsikoita OSTAmAAN). Tällainen tapa hankaloittaa salasanan murtamista, mutta helpottaa muistamista.

Hyvä salasana on riittävän monimutkainen, mutta muistettava. Pidempi on aina parempi. Hyvä salasana EI löydy yleisimmin käytettyjen salasanojen listalta. Jos salasana halutaan murtaa, on listassa merkki kerrallaan arvaamisen lisäksi muutama muukin tapa, joista ensimmäinen on kokeilla kaikkia yleisimpiä salasanoja. Jopa 91 % kaikista sanasanoista löytyy listalta, ja nämä ovat koneelle todella nopea käydä läpi. Lue myös: Miten salasana murretaan?

Miten suojautua salasanojen väärinkäytöltä?

Nyt on siis tiedossa, millainen on hyvä salasana. Hyvän salasanan lisäksi salasanaturvallisuutta voi lisätä seuraavin keinoin:

  • Yksilölliset salasanat joka paikassa. Ei käytetä samoja salasanoja missään. Sen sijaan kehitetään vaikkapa hyvä muistisääntö lisäämällä sivuston/järjestelmän nimestä vaikka pari merkkiä alkuun ja loppuun.
  • Käyttämällä ryhmätunnusten sijasta henkilökohtaisia tunnuksia.
  • Käyttämällä DNS-suodatusta estetään tunnetuille haitallisille sivustoille pääsy ja ehkäistään tilanteita, joissa käyttäjä vahingossa luovuttaa käyttäjätunnukset rikollisille
  • Monivaiheisella tunnistautumisella estetään vääriin käsiin joutuneen käyttäjätunnuksen käyttö. Lue lisää: MFA – kirjautumisen hankaloittaja vai tietojen pelastaja?
  • Tarvittaessa voidaan käyttää salasananhallintasovelluksia, kuten esimerkiksi Keepass yksityiseen käyttöön ja SecretServer yrityskäyttöön.

Hyvä salasana pähkinänkuoressa

Hyvässä salasanassa on riittävästi merkkejä (18), erikoismerkkejä, numeroita, kirjaimia ja isoja kirjaimia. Joka palvelulle on oma ja uniikki salasanansa, joka on ennen kaikkea helposti muistettava. Eli esimerkiksi näin:

  • Ota kaksi satunnaista sanaa, jotka muistat: RaakaToimi
  • Lisää neljä satunnaista numeroa (esim. Lätkän MM 1995)
  • Lisää erikoismerkki: _ (tai – tai . tai #…)
  • Erikoismerkin jälkeen kunkin palvelun alkukirjaimet: ilt (Iltalehti), pos (Posti)

Tadaa! Hyvä salasana joka paikkaan RaakaToimi1995_ilt (Iltalehteen)

Niin ja siitä vaihtamisvälistä. Kun käytetään riittävän pitkiä, mutta helposti muistettavia salasanoja, niitä ei tarvitse vaihtaa kerran kuussa – tarvittaessa riittää.

Heräsikö kysymyksiä?

Ota meihin yhteyttä ja kysy lisää tai