Miksi salasanoja vuotaa

Ilmaus ”salasanani hakkeroitiin” antaa ymmärtää, että joku yritti arvata sähköpostiosoitteeseesi sopivaa salasanaa. Todellisuudessa hakkeroidaan lähes aina palvelu: verkkokauppa, foorumi tai kuljetuspalvelu. Sieltä viedään koko tietokanta - miljoonia rivejä kerralla - ja salasanasi on siinä vain yksi niistä.

Huolellinen palvelu ei tallenna salasanaa. Se tallentaa tiivisteen - yksisuuntaisen sormenjäljen, joka lasketaan jokaiselle käyttäjälle omalla satunnaisella suolalla ja tarkoituksella hitaalla algoritmilla: silloin salasanojen murtaminen varastetusta tietokannasta on kallista. Kaikki eivät kuitenkaan toimineet näin. Joissain salasanoja säilytettiin selväkielisinä, joissain käytettiin nopeaa tiivistettä, josta näytönohjain voi kokeilla miljardeja vaihtoehtoja sekunnissa.

Sen jälkeen kyse ei ole hakkeroinnista vaan matematiikasta. Käyttäjätunnuksesi on lähes kaikkialla sama - sähköpostiosoitteesi. Jos myös salasanasi toistuu, varastetun tietokannan sähköposti-salasana-pari toimii myös sähköpostissasi, verkkokaupassa ja pelitililläsi.

Siksi vuodolla on toinen elämä. Botit kokeilevat valmiita tunnuspareja sadoilla sivustoilla - tätä kutsutaan tunnistetietojen täyttöhyökkäykseksi. Se onnistuu harvoin, prosentin murto-osassa yrityksistä, mutta kun pareja on miljoonia, kyse on kymmenistä tuhansista toisten tileistä. Ketjun katkaisee vain toinen todennustekijä: koodi tai avain, jota tietokannassa ei ollut.

Tästä seuraa harmillinen johtopäätös: pituus ja erikoismerkit vaikuttavat tuskin lainkaan siihen, vuotaako salasana - vain siihen, kuinka kauan sen murtamiseen tiivisteestä kuluu. Vuodolta ei suojaa monimutkaisuus vaan yksilöllisyys. Erillinen asia on tapa vaihtaa salasana 3 kuukauden välein: näyttöä siitä, että se pienentäisi riskiä, ei ole kertynyt, mutta ihmiset vaihtavat niitä ennakoitavasti lisäämällä vanhaan salasanaan numeron. Vuonna 2017 yhdysvaltalainen standardointilaitos NIST poisti suosituksistaan vaatimuksen vaihtaa salasana määräajoin.

Vuodolla on pitkä säilyvyysaika: tietokanta voi kiertää vuosia ennen kuin se ilmestyy julkiseen arkistoon - LinkedInin koko varastettu aineisto julkaistiin 4 vuotta hakkeroinnin jälkeen. Siksi viesti ”tietosi olivat vuodossa” voi koskea palvelua, jonka olet jo kauan sitten unohtanut.

Ensireaktiosi tällaiseen viestiin voi olla, että ryntäät vaihtamaan kaiken ja luovutat puolivälissä. Hyödyllisempää on edetä järjestyksessä: ensin sähköposti, sitten palvelut, joissa on sama salasana.