Viime vuonna internetissä kiersi uutisia, jotka väittivät, että suuret teknologiayritykset yhdistävät voimansa poistaakseen salasanat. Jotkin startupit jopa julistivat, että salasanat ovat vanhentuneita ja aikansa eläneitä.
Viime vuonna internetissä kiersi uutisia, jotka väittivät, että suuret teknologiayritykset kuten Apple, Google ja Microsoft yhdistävät voimansa poistaakseen salasanat. Jotkin startupit jopa julistivat, että salasanat ovat vanhentuneita ja aikansa eläneitä. Kuukausien identiteetinhallinnan tutkimisen jälkeen aloin kyseenalaistaa näiden väitteiden paikkansapitävyyttä ja käytännöllisyyttä.
Ensi silmäyksellä vastaus näyttää ilmeiseltä: salasanoja käytetään kirjautumiseen ja henkilöllisyyden varmistamiseen. Kuitenkin, jos mietit sitä, että salasanat eivät voi oikeasti varmistaa, kuka olet, pidän eri näkemystä:
Todellisuudessa salasanan tarkoitus on anonyymisti todistaa omistajuus jonkin asian suhteen: käyttäjätilin, laitteen tai oven pääsyn.
Aiemmin mainitut yritykset ovat ehdottaneet erilaisia “salasanankorvaajia”. Monet väittävät olevansa turvallisempia vaihtoehtoja, jotka eliminoivat tarpeen muistaa monimutkaisia, staattisia salasanoja autentikoinnin aikana. Useimmat näistä vaihtoehdoista eivät kuitenkaan ole täysin käytännöllisiä salasanojen täydellisen poistamisen kannalta.
FIDO (Fast Identity Online) -autentikointi, kuten virallisessa dokumentaatiossa selitetään, hyödyntää julkisen avaimen kryptografiatekniikoita rekisteröitymiseen ja kirjautumiseen (on syytä huomata, että WebAuthn on keskeinen osa FIDO2-spesifikaatioita). Päällisin puolin prosessi näyttää houkuttelevalta:
%3btext-align:center%3b%7d%23mermaid-0 .edgeLabel p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 .edgeLabel rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 .labelBkg%7bbackground-color:rgba(232%2c 232%2c 232%2c 0.5)%3b%7d%23mermaid-0 .cluster rect%7bfill:%23ffffde%3bstroke:%23aaaa33%3bstroke-width:1px%3b%7d%23mermaid-0 .cluster text%7bfill:%23333%3b%7d%23mermaid-0 .cluster span%7bcolor:%23333%3b%7d%23mermaid-0 div.mermaidTooltip%7bposition:absolute%3btext-align:center%3bmax-width:200px%3bpadding:2px%3bfont-family:arial%2csans-serif%3bfont-size:12px%3bbackground:hsl(80%2c 100%25%2c 96.2745098039%25)%3bborder:1px solid %23aaaa33%3bborder-radius:2px%3bpointer-events:none%3bz-index:100%3b%7d%23mermaid-0 .flowchartTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-0 rect.text%7bfill:none%3bstroke-width:0%3b%7d%23mermaid-0 .icon-shape%2c%23mermaid-0 .image-shape%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3btext-align:center%3b%7d%23mermaid-0 .icon-shape p%2c%23mermaid-0 .image-shape p%7bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bpadding:2px%3b%7d%23mermaid-0 .icon-shape rect%2c%23mermaid-0 .image-shape rect%7bopacity:0.5%3bbackground-color:rgba(232%2c232%2c232%2c 0.8)%3bfill:rgba(232%2c232%2c232%2c 0.8)%3b%7d%23mermaid-0 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-pointEnd'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 0 L 10 5 L 0 10 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='8' markerWidth='8' markerUnits='userSpaceOnUse' refY='5' refX='4.5' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-pointStart'%3e%3cpath style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 0 5 L 10 10 L 10 0 z'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='11' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-circleEnd'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5' refX='-1' viewBox='0 0 10 10' class='marker flowchart-v2' id='mermaid-0_flowchart-v2-circleStart'%3e%3ccircle style='stroke-width: 1%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' r='5' cy='5' cx='5'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='12' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-0_flowchart-v2-crossEnd'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cmarker orient='auto' markerHeight='11' markerWidth='11' markerUnits='userSpaceOnUse' refY='5.2' refX='-1' viewBox='0 0 11 11' class='marker cross flowchart-v2' id='mermaid-0_flowchart-v2-crossStart'%3e%3cpath style='stroke-width: 2%3b stroke-dasharray: 1%2c 0%3b' class='arrowMarkerPath' d='M 1%2c1 l 9%2c9 M 10%2c1 l -9%2c9'/%3e%3c/marker%3e%3cg class='root'%3e%3cg class='clusters'/%3e%3cg class='edgePaths'%3e%3cpath marker-end='url(%23mermaid-0_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_A_B_0' d='M198.734%2c35L202.901%2c35C207.068%2c35%2c215.401%2c35%2c223.068%2c35C230.734%2c35%2c237.734%2c35%2c241.234%2c35L244.734%2c35'/%3e%3cpath marker-end='url(%23mermaid-0_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_B_C_1' d='M459.938%2c35L464.104%2c35C468.271%2c35%2c476.604%2c35%2c484.271%2c35C491.938%2c35%2c498.938%2c35%2c502.438%2c35L505.938%2c35'/%3e%3cpath marker-end='url(%23mermaid-0_flowchart-v2-pointEnd)' style='' class='edge-thickness-normal edge-pattern-solid edge-thickness-normal edge-pattern-solid flowchart-link' id='L_C_D_2' d='M683.781%2c35L687.948%2c35C692.115%2c35%2c700.448%2c35%2c708.115%2c35C715.781%2c35%2c722.781%2c35%2c726.281%2c35L729.781%2c35'/%3e%3c/g%3e%3cg class='edgeLabels'%3e%3cg class='edgeLabel'%3e%3cg transform='translate(0%2c 0)' class='label'%3e%3cforeignObject height='0' width='0'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg class='edgeLabel'%3e%3cg transform='translate(0%2c 0)' class='label'%3e%3cforeignObject height='0' width='0'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg class='edgeLabel'%3e%3cg transform='translate(0%2c 0)' class='label'%3e%3cforeignObject height='0' width='0'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' class='labelBkg' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='edgeLabel'%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3cg class='nodes'%3e%3cg transform='translate(103.3671875%2c 35)' id='flowchart-A-0' class='node default'%3e%3crect height='54' width='190.734375' y='-27' x='-95.3671875' style='' class='basic label-container'/%3e%3cg transform='translate(-65.3671875%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='130.734375'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eRekister%c3%b6inti alkaa%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(354.3359375%2c 35)' id='flowchart-B-1' class='node default'%3e%3crect height='54' width='211.203125' y='-27' x='-105.6015625' style='' class='basic label-container'/%3e%3cg transform='translate(-75.6015625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='151.203125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eK%c3%a4ytt%c3%a4j%c3%a4n hyv%c3%a4ksynt%c3%a4%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(596.859375%2c 35)' id='flowchart-C-3' class='node default'%3e%3crect height='54' width='173.84375' y='-27' x='-86.921875' style='' class='basic label-container'/%3e%3cg transform='translate(-56.921875%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='113.84375'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eUusi avain luotu%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3cg transform='translate(787.1953125%2c 35)' id='flowchart-D-5' class='node default'%3e%3crect height='54' width='106.828125' y='-27' x='-53.4140625' style='' class='basic label-container'/%3e%3cg transform='translate(-23.4140625%2c -12)' style='' class='label'%3e%3crect/%3e%3cforeignObject height='24' width='46.828125'%3e%3cdiv style='display: table-cell%3b white-space: nowrap%3b line-height: 1.5%3b max-width: 200px%3b text-align: center%3b' xmlns='http://www.w3.org/1999/xhtml'%3e%3cspan class='nodeLabel'%3e%3cp%3eValmis%3c/p%3e%3c/span%3e%3c/div%3e%3c/foreignObject%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/g%3e%3c/svg%3e)
Yksinkertaista, eikö? Valitettavasti tielle tulee merkittävä este: yhteensopivuus. Verrattuna perinteiseen yhdistelmään “tunniste ja salasana”, FIDO-autentikointi edellyttää:
Mikäli mitään näistä vaatimuksista ei täytetä, FIDO-autentikointi on saavuttamattomissa, mikä pakottaa turvautumaan muihin menetelmiin.
Lisäksi, vaikka kaikki ehdot täyttyvät, mikä kvalifioituu “käyttäjäystävälliseksi varmennusmekanismiksi” laitteella? Tällä hetkellä se voi sisältää biometriset menetelmät, kuten sormenjälki- tai kasvojentunnistus, johon liittyy varayhteys kuten PIN-koodi, eli salasana. Lopulta palataan lähtöruutuun.
Teknisesti se ei ole “salasanankorvaaja” vaan pikemminkin turvallisempi ja käyttäjäystävällisempi autentikointi- tai varmennusprosessi, joka suojataan salasanalla.
Vaikka nimi sisältääkin termin “salasana”, kertakäyttösalasanat (OTP) eivät ole perinteisiä salasanoja, koska ne ovat dynaamisia. On olemassa kaksi yleistä OTP-tyyppiä:
TOTP:t eivät välttämättä ole niin yleisesti tunnettuja nimellä. Esimerkiksi kun verkkosivusto kehottaa sinua asettamaan MFA:n ja käyttämään sovellusta kuten Google Authenticator tai Duo QR-koodin skannaamiseen, käytät todennäköisesti TOTP:tä. Olet ehkä myös huomannut, että verkkosivusto usein näyttää pitkän “varmuuskoodin” ja kehottaa sinua tallentamaan sen, koska se näytetään vain kerran. Jotkin verkkosivustot jopa kannustavat käyttäjiä tulostamaan sen paperille. Pohjimmiltaan tämä varmuuskoodi toimii kuten pitkä salasana.
Mitä tulee SMS/Sähköposti OTP:ihin, ne voivat olla kalliita ja epäluotettavia:
Termi “biometrinen” tarkoittaa pelkkien biometristen menetelmien käyttämistä verkkotunnistautumiseen. Itse asiassa siinä on perustavanlaatuinen ero muihin menetelmiin verrattuna: biometrinen autentikointi siirtää alkuperäisen tehtävän “jonkin omistajuuden todistamisesta” siihen, että “todistat, kuka olet”. Tietosuojaongelmien vuoksi biometrisiä menetelmiä käytetään ensisijaisesti paikallisessa tunnistautumisessa.
Kuten olemme nähneet, “salasanankorvaajat” piilottavat olennaisesti salasanat tai käyttävät salasanoja varavaihtoehtoina. Tässä on yhteenveto salasanojen eduista keskustelumme perusteella:
Mutta jokaisella kolikolla on kaksi puolta. Vaikka salasanoilla on omat etunsa, pelkästään niihin luottaminen autentikointiin aiheuttaa merkittäviä haavoittuvuuksia. Ne voivat olla haastavia loppukäyttäjille hallita, ja jos verkkosivustojen omistajat eivät noudata kunnollisia tietoturvakäytäntöjä, salasanat ovat helppoja vaarantaa. Vaarallisia tietoturvakäytäntöjä ovat muun muassa:
En halua väheksyä mitään yllä mainituista autentikointimenetelmistä. Päinvastoin, kun työskentelen Logton kehittämisen parissa, olen kehittänyt syvää kunnioitusta näitä merkittäviä autentikointimenetelmiä ja niiden taustalla olevia henkilöitä kohtaan.
Kuitenkin, 100%:n turvallisuuden saavuttaminen on saavuttamaton tavoite. Mihin voimme pyrkiä, on hyökkäysten mahdollisuuden vähentäminen. Yksi tehokas lähestymistapa on yhdistää salasanapohjainen autentikointi kertakäyttöisiin salasanoihin nykyisen laitteen tai ympäristön perusteella, mikä lisää ylimääräisen varmennuskerroksen ja on otettu laajalti käyttöön. Hyödyntämällä eri tunnistusmenetelmien vahvuuksia, voimme luoda kerroksellisen lähestymistavan, joka tarjoaa vahvempaa suojelua.
Lopuksi, sen sijaan, että keskityttäisiin muotitermeihin kuten “salasanankorvaaja”, kun salasanoja ei oikeasti eliminoida, olisi arvokkaampaa keskittyä löytämään tasapaino tietoturvan ja käyttäjäkokemuksen välillä. Tämä tarkoittaa eri tunnistusmenetelmien vahvuuksien ja rajoitusten ymmärtämistä sekä niiden toteuttamista tavalla, joka varmistaa sekä käyttäjädatan turvallisuuden että saumattoman käyttäjäkokemuksen.