Salasanojen hallintaohjelman valinta ja käyttö

Moduuli 2: Salasanat ja kirjautuminen · Lukuaika: 9 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat valita ja ottaa käyttöön salasanojen hallintaohjelman, suojata pääsalasanan ja jakaa salasanoja turvallisesti tiimissä.

Keskeiset käsitteet: salasanojen hallintaohjelma, pääsalasana, holvi, päästä päähän -salaus, jaettu holvi, hätäkäyttöoikeus, selaimen salasanojen hallintaohjelma

Mitä salasanojen hallintaohjelma tekee

Oppitunnilla 2.1 näit, että jokainen tili tarvitsee oman, pitkän ja satunnaisen salasanan. Kukaan ei muista niitä kahdeksaakymmentä. Salasanojen hallintaohjelma on ohjelmisto, joka muistaa ne puolestasi. Se:

• luo jokaiseen palveluun vahvan, satunnaisen salasanan;
• säilyttää kaikki salasanat salattuina holvissa;
• täyttää ne oikealle verkkosivustolle, ja vain sinne;
• varoittaa usein heikoista, toistuvista tai vuotaneista salasanoista;
• voi monissa tuotteissa säilyttää myös kaksivaiheisen tunnistautumisen koodit ja passkeyt (oppitunnit 2.3 ja 2.4).

Sinun tarvitsee muistaa enää yksi: pääsalasana, jolla avaat holvin. Alankomaiden kyberturvallisuuskeskus NCSC suosittelee salasanojen hallintaohjelmaa vakiokäytännöksi myös pienille organisaatioille, ja selkeitä sopimuksia siitä, mitä ohjelmaa käytetään ja mihin tileihin sen käyttö on pakollista.

Salasanojen hallintaohjelmien tyypit

Yhtä parasta tyyppiä ei ole. Alankomaiden NCSC erottaa toisistaan selaimen hallintaohjelman ja erillisen sovelluksen sekä verkossa (pilvessä) toimivan ja paikallisen (offline) ohjelman. Käytännössä vastaan tulee nämä muodot:

Tunnettuja erillisiä hallintaohjelmia ovat Proton Pass, 1Password, Bitwarden ja KeePassXC, selainten ja käyttöjärjestelmien omien hallintaohjelmien lisäksi. Oppaassa Salasanojen hallintaohjelma käytännössä vertailemme 23:a salasanojen hallintaohjelmaa helppouden, turvallisuuden ja yksityisyyden (EU ja tietosuoja-asetus (GDPR)) kannalta sekä kerromme yrityksen kotimaan, hinnan ja arvostelut (katso Lue lisää). Suosituksemme siellä: Proton Pass, tai 1Password, jos haluat kaikkein helpoimman. Jos epäröit, valitse alla olevien kysymysten perusteella.

Kysymyksiä valinnan tueksi

• Toimiiko se kaikilla laitteillasi ja selaimillasi, myös kollegoiden?
• Voitko jakaa holveja kansiokohtaisin oikeuksin ja poistaa jonkun holvista?
• Onko holvi päästä päähän salattu, ja mikä on salattu ja mikä ei (esimerkiksi verkkosivustojen osoitteet)?
• Voitko suojata holvin kaksivaiheisella tunnistautumisella tai passkeyllä?
• Onko käytössä hätäkäyttöoikeus tai palautusjärjestely, ja miten se tarkalleen toimii?
• Voitko viedä tietosi ulos, jos haluat vaihtaa ohjelmaa?
• Ilmaisversioissa: millä ohjelma ansaitsee rahansa?

Päästä päähän -salaus: entä jos toimittaja hakkeroidaan?

Hyvässä pilvipohjaisessa hallintaohjelmassa holvisi salataan omalla laitteellasi avaimella, joka johdetaan pääsalasanastasi. Toimittaja saa vain salatun paketin. Tätä kutsutaan päästä päähän -salaukseksi (joskus "zero knowledge"). Toimittaja ei pysty lukemaan salasanojasi, eikä siksi myöskään palauttamaan pääsalasanaasi.

Jos toimittaja hakkeroidaan, hyökkääjä voi varastaa salatut holvit. Sen jälkeen hän voi yrittää murtaa niitä offline-tilassa, kuten oppitunnilla 2.1. Pääsalasanasi on silloin ainoa suojasi. Siksi:

• Pääsalasana on pitkä ja ainutlaatuinen: salalause, jossa on vähintään viisi, mieluummin kuusi satunnaista sanaa.
• Et käytä sitä missään muualla.
• Toimittajan tietovuodon jälkeen vaihdat pääsalasanasi sekä tärkeimpien tiliesi salasanat. Vanha, varastettu holvi on nimittäin salattu vanhalla pääsalasanalla.

Holvin kaksivaiheinen tunnistautuminen auttaa, jos joku tietää pääsalasanasi ja yrittää kirjautua verkkosivuston kautta. Se ei auta varastetun holvitiedoston murtamista vastaan. Myös Alankomaiden NCSC muistuttaa: hallintaohjelman 2FA ei ole syy heikkoon pääsalasanaan.

Pääsalasanan suojaaminen

Jos unohdat pääsalasanan, hyvässä hallintaohjelmassa se on usein lopullista: toimittaja ei voi palauttaa sitä. Järjestä siis tämä etukäteen:

• Kirjoita pääsalasana paperille ja säilytä paperia kotona turvallisessa paikassa. Alankomaiden NCSC:n mukaan se on hyvä ratkaisu, kunhan et kirjoita viereen, mihin salasana kuuluu.
• Luo hallintaohjelman tarjoama palautuspaketti tai hätäkoodi, tulosta se ja säilytä paperin kanssa.
• Kirjoita pääsalasana vain hallintaohjelman omaan sovellukseen tai laajennukseen, ei koskaan verkkosivustolle, joka pyytää sitä.
• Ota käyttöön automaattinen lukitus muutaman minuutin käyttämättömyyden jälkeen.

Miksi automaattinen täyttö auttaa tietojenkalastelua vastaan

Salasanojen hallintaohjelma liittää jokaisen salasanan verkkosivuston osoitteeseen. Osoitteessa https://omapankki.example se täyttää salasanasi. Näköissivustolla, kuten https://ornapankki.example (rn eikä m) tai https://omapankki-turvallinen.example, se ei tee mitään, koska näitä osoitteita ei ole tallennettu kohteeseen.

Ihminen ei usein huomaa eroa merkkien rn ja m välillä. Hallintaohjelma vertaa merkkejä eikä väsy tai kiirehdi. Se on todellinen suoja, mutta vain jos annat sen toimia:

Eikö hallintaohjelma yhtäkkiä täytä mitään sivustolla, jossa se on aina ennen täyttänyt? Älä kierrä sitä kopioimalla salasanaa käsin. Katso ensin osoitetta tosi tarkkaan. Juuri tällä hetkellä hallintaohjelma varoittaa sinua.

Joskus täyttämättä jättämiselle on myös hyvä syy: palvelu on siirtynyt uuteen osoitteeseen. Tarkista asia silloin muuta kautta, esimerkiksi kirjoittamalla itse osoite, jonka jo tunsit.

Jakaminen tiimissä

Pienessä yrityksessä on aina tilejä, joita käytetään yhdessä: verkkokauppa osoitteessa verkkokauppa-alusta.example, tili palvelussa pikakuriiri.example, yrityksen sosiaalinen media. Parasta on, että jokaisella on oma tili (moduuli 7). Jos se ei onnistu, käytä jaettua holvia:

• Tee holvit tai kansiot aiheittain ("Verkkokauppa", "Talous", "Sosiaalinen media") ja anna pääsy vain niille, jotka sitä tarvitsevat.
• Älä koskaan jaa salasanoja sähköpostilla, chatissa tai taulukossa. Jolla on pääsy jaettuun holviin, näkee salasanan siellä.
• Lähteekö joku yrityksestä? Poista hänet holvista ja vaihda salasanat, jotka hän pystyi näkemään. Pelkkä holvista poistaminen ei riitä: hän on voinut kirjoittaa ne ylös tai tallentaa ne.
• Järjestä hätäkäyttöoikeus: mitä tapahtuu, jos sinä omistajana sairastut tai et ole käytettävissä? Monissa hallintaohjelmissa on toiminto, jolla luotettu henkilö saa pääsyn odotusajan jälkeen. Tai säilytät palautustiedot suljetussa kirjekuoressa toisella henkilöllä.

Käytännössä: vaihto yhdessä iltapäivässä

1. Valitse hallintaohjelma ja asenna se tietokoneelle ja puhelimeen selainlaajennuksen kanssa.
2. Luo pääsalasana (salalause), kirjoita se ylös ja säilytä palautuspaketti.
3. Ota holvissa käyttöön kaksivaiheinen tunnistautuminen.
4. Tuo salasanat, jotka selaimesi on jo tallentanut. Vientitiedosto on usein salaamaton: poista se heti tuonnin jälkeen, myös roskakorista.
5. Aloita tärkeimmistä tileistä ja anna jokaiselle uusi, satunnainen salasana: sähköpostilaatikkosi (info@example.com), webhotellisi (hosting) ja verkkotunnusrekisteröintisi, pankkisi ja kirjanpitosi (esimerkiksi osoitteessa tilisofta.example).
6. Päivitä loput sitä mukaa, kun kirjaudut niihin muutenkin. Toistuvien salasanojen varoitukset auttavat sinua.

Käytätkö WebOké-ympäristön palvelua, kuten sähköpostilaatikkoa tai Nextcloudia, puhelimesi sovelluksilla? Siihen luot joskus erillisen sovellussalasanan (katso tietopankin artikkeli 436). Senkin säilytät hallintaohjelmassa oikean kohteen yhteydessä. Muilla palveluntarjoajilla tämä toimii samaan tapaan.

Yhteenveto

• Salasanojen hallintaohjelma luo, säilyttää ja täyttää ainutlaatuiset salasanat; sinä muistat vain pääsalasanan.
• Tyypit: selaimeen tai järjestelmään sisäänrakennettu, erillinen pilvisovellus, paikallinen, avoin lähdekoodi tai itse ylläpidetty. Valitse laitteiden, jakamisen, salauksen ja palautuksen perusteella.
• Päästä päähän -salauksessa pääsalasanasi on viimeinen puolustus, jos toimittaja hakkeroidaan.
• Jos hallintaohjelma ei täytä salasanaa, tarkista osoite äläkä kopioi salasanaa.
• Jaa salasanat jaetun holvin kautta ja vaihda ne, kun joku lähtee.

Tietovisa (quiz)

Tehtävä

Tehtävä D2.2: Salasanojen hallintaohjelman käyttöönotto. Valitse salasanojen hallintaohjelma, luo pääsalasana ja palautuspaketti, ota holvissa käyttöön kaksivaiheinen tunnistautuminen ja anna viidelle tärkeimmälle tilillesi uusi, ainutlaatuinen salasana. Rastita tarkistuslista ja vastaa pohdintakysymyksiin. Et kirjoita salasanaa mihinkään.

Lue lisää

WebOkén artikkelien ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on samankaltaista.

• DirectAdmin-ohje 3.7: Turvalliset salasanat ja mitä teet, jos salasana on vuotanut
• Luo sovellussalasana (tarvitaan yhdistämiseen sovelluksiin ja laitteisiin)
• Nextcloud-opas 3.5: Sovellussalasanat: milloin ja miten
• Traficomin Kyberturvallisuuskeskus, ohjeita salasanoihin ja tunnistautumiseen: https://www.kyberturvallisuuskeskus.fi/
• ENISA, Euroopan unionin kyberturvallisuusvirasto: https://www.enisa.europa.eu/
• Salasananhallinta ja pääsyavaimet: näin hoidat kirjautumisen turvallisesti
• Salasanojen hallinta käytännössä 1.1: Miksi salasanamanageri, ja mitä tästä oppaasta opit
• Salasanojen hallinta käytännössä 1.2: Proton Pass, 1Password vai selain: mikä sopii sinulle?
• Salasanojen hallinta käytännössä 1.3: Pääsalasanasi: luo, säilytä äläkä koskaan hukkaa sitä
• Salasanojen hallinta käytännössä 1.4: Kaikki tunnetut salasanojen hallintaohjelmat vertailussa: maa, ominaisuudet, arvostelut ja pisteet