Salasana ei ole katoamassa

Johdanto#

Viime vuonna internetissä kiersi uutisia, jotka väittivät, että suuret teknologiayritykset kuten Apple, Google ja Microsoft yhdistävät voimansa poistaakseen salasanat. Jotkin startupit jopa julistivat, että salasanat ovat vanhentuneita ja aikansa eläneitä. Kuukausien identiteetinhallinnan tutkimisen jälkeen aloin kyseenalaistaa näiden väitteiden paikkansapitävyyttä ja käytännöllisyyttä.

Mitä salasana tekee?#

Ensi silmäyksellä vastaus näyttää ilmeiseltä: salasanoja käytetään kirjautumiseen ja henkilöllisyyden varmistamiseen. Kuitenkin, jos mietit sitä, että salasanat eivät voi oikeasti varmistaa, kuka olet, pidän eri näkemystä:

• Kun käyttäjä kirjautuu verkkosivustolle sähköpostilla ja salasanalla, verkkosivustolla ei ole keinoa varmistaa todellista henkilöä näiden tunnistetietojen takana. Se voisi olla ihminen tai jopa kissa.
• Kuka tahansa voi avata iPhonen oikealla PIN-koodilla.

Todellisuudessa salasanan tarkoitus on anonyymisti todistaa omistajuus jonkin asian suhteen: käyttäjätilin, laitteen tai oven pääsyn.

Nykyiset “salasanankorvaajat”#

Aiemmin mainitut yritykset ovat ehdottaneet erilaisia “salasanankorvaajia”. Monet väittävät olevansa turvallisempia vaihtoehtoja, jotka eliminoivat tarpeen muistaa monimutkaisia, staattisia salasanoja autentikoinnin aikana. Useimmat näistä vaihtoehdoista eivät kuitenkaan ole täysin käytännöllisiä salasanojen täydellisen poistamisen kannalta.

FIDO-autentikointi#

FIDO (Fast Identity Online) -autentikointi, kuten virallisessa dokumentaatiossa selitetään, hyödyntää julkisen avaimen kryptografiatekniikoita rekisteröitymiseen ja kirjautumiseen (on syytä huomata, että WebAuthn on keskeinen osa FIDO2-spesifikaatioita). Päällisin puolin prosessi näyttää houkuttelevalta:

Yksinkertaista, eikö? Valitettavasti tielle tulee merkittävä este: yhteensopivuus. Verrattuna perinteiseen yhdistelmään “tunniste ja salasana”, FIDO-autentikointi edellyttää:

• Verkkosivustojen tai sovellusten tulee tukea FIDOa.
• Selainten ja/tai käyttöjärjestelmien tulee tukea FIDOa.
• Käyttäjän laitteilla tulee olla käyttäjäystävällinen varmennusmekanismi.

Mikäli mitään näistä vaatimuksista ei täytetä, FIDO-autentikointi on saavuttamattomissa, mikä pakottaa turvautumaan muihin menetelmiin.

Lisäksi, vaikka kaikki ehdot täyttyvät, mikä kvalifioituu “käyttäjäystävälliseksi varmennusmekanismiksi” laitteella? Tällä hetkellä se voi sisältää biometriset menetelmät, kuten sormenjälki- tai kasvojentunnistus, johon liittyy varayhteys kuten PIN-koodi, eli salasana. Lopulta palataan lähtöruutuun.

Teknisesti se ei ole “salasanankorvaaja” vaan pikemminkin turvallisempi ja käyttäjäystävällisempi autentikointi- tai varmennusprosessi, joka suojataan salasanalla.

Kertakäyttösalasana#

Vaikka nimi sisältääkin termin “salasana”, kertakäyttösalasanat (OTP) eivät ole perinteisiä salasanoja, koska ne ovat dynaamisia. On olemassa kaksi yleistä OTP-tyyppiä:

• Aikaperusteinen kertakäyttösalasana (TOTP): Luodaan algoritmisesti käyttämällä nykyistä aikaa ainutlaatuisuuden lähteenä. Se on yleisesti käytetty monivaiheinen autentikointi (MFA) tai 2FA:ssa.
• SMS/Sähköposti Kertakäyttösalasana: Luodaan palvelimella käyttämällä satunnaisalgoritmeja. Joissakin maissa se on otettu laajalti käyttöön ensisijaisena kirjautumismenetelmänä.

TOTP:t eivät välttämättä ole niin yleisesti tunnettuja nimellä. Esimerkiksi kun verkkosivusto kehottaa sinua asettamaan MFA:n ja käyttämään sovellusta kuten Google Authenticator tai Duo QR-koodin skannaamiseen, käytät todennäköisesti TOTP:tä. Olet ehkä myös huomannut, että verkkosivusto usein näyttää pitkän “varmuuskoodin” ja kehottaa sinua tallentamaan sen, koska se näytetään vain kerran. Jotkin verkkosivustot jopa kannustavat käyttäjiä tulostamaan sen paperille. Pohjimmiltaan tämä varmuuskoodi toimii kuten pitkä salasana.

Mitä tulee SMS/Sähköposti OTP:ihin, ne voivat olla kalliita ja epäluotettavia:

• SMS- tai sähköpostin lähettäjän rakentaminen alusta vaatii asetusten määrittämistä.
• Sähköpostin lähettäjän on luotava positiivinen “maine” parantaakseen toimitettavuutta, muuten lähettäjä voidaan leimata roskapostiksi.
• Jokaisessa maassa on omat mobiiliverkko-operaattorinsa, mikä johtaa ennakoimattomiin toimitusaikoihin ja huomattaviin kustannuksiin SMS:n lähetyksessä, erityisesti startupeille.

Biometriikka#

Termi “biometrinen” tarkoittaa pelkkien biometristen menetelmien käyttämistä verkkotunnistautumiseen. Itse asiassa siinä on perustavanlaatuinen ero muihin menetelmiin verrattuna: biometrinen autentikointi siirtää alkuperäisen tehtävän “jonkin omistajuuden todistamisesta” siihen, että “todistat, kuka olet”. Tietosuojaongelmien vuoksi biometrisiä menetelmiä käytetään ensisijaisesti paikallisessa tunnistautumisessa.

Salasana ei ole täydellinen, kuitenkin#

Kuten olemme nähneet, “salasanankorvaajat” piilottavat olennaisesti salasanat tai käyttävät salasanoja varavaihtoehtoina. Tässä on yhteenveto salasanojen eduista keskustelumme perusteella:

• Saavutettavuus ja yhteensopivuus: Salasanoja voidaan käyttää erilaisissa järjestelmissä, ja ne ovat eri käyttäjien saavutettavissa.
• Kustannustehokkuus ja monikäyttöisyys: Salasanoihin perustuva autentikointi on yleensä kustannustehokkaampaa kuin muut menetelmät ja sovellettavissa erilaisiin tilanteisiin.
• Anonymiteetti ja yksityisyys: Salasanat mahdollistavat anonyymin käytön ja suojaavat käyttäjän yksityisyyttä.

Mutta jokaisella kolikolla on kaksi puolta. Vaikka salasanoilla on omat etunsa, pelkästään niihin luottaminen autentikointiin aiheuttaa merkittäviä haavoittuvuuksia. Ne voivat olla haastavia loppukäyttäjille hallita, ja jos verkkosivustojen omistajat eivät noudata kunnollisia tietoturvakäytäntöjä, salasanat ovat helppoja vaarantaa. Vaarallisia tietoturvakäytäntöjä ovat muun muassa:

• Sallitaan heikkojen tai vuotaneiden salasanojen käyttö.
• HTTPS:n käytön laiminlyönti yhteyksissä.
• Vaarallisten hajautusalgoritmien käyttö.
• Ei noudateta tiukasti testattuja standardeja kuten OAuth tai OpenID Connect (OIDC).
• Tietokannan altistaminen julkiselle.

Yhteenveto#

En halua väheksyä mitään yllä mainituista autentikointimenetelmistä. Päinvastoin, kun työskentelen Logton kehittämisen parissa, olen kehittänyt syvää kunnioitusta näitä merkittäviä autentikointimenetelmiä ja niiden taustalla olevia henkilöitä kohtaan.

Kuitenkin, 100%:n turvallisuuden saavuttaminen on saavuttamaton tavoite. Mihin voimme pyrkiä, on hyökkäysten mahdollisuuden vähentäminen. Yksi tehokas lähestymistapa on yhdistää salasanapohjainen autentikointi kertakäyttöisiin salasanoihin nykyisen laitteen tai ympäristön perusteella, mikä lisää ylimääräisen varmennuskerroksen ja on otettu laajalti käyttöön. Hyödyntämällä eri tunnistusmenetelmien vahvuuksia, voimme luoda kerroksellisen lähestymistavan, joka tarjoaa vahvempaa suojelua.

Lopuksi, sen sijaan, että keskityttäisiin muotitermeihin kuten “salasanankorvaaja”, kun salasanoja ei oikeasti eliminoida, olisi arvokkaampaa keskittyä löytämään tasapaino tietoturvan ja käyttäjäkokemuksen välillä. Tämä tarkoittaa eri tunnistusmenetelmien vahvuuksien ja rajoitusten ymmärtämistä sekä niiden toteuttamista tavalla, joka varmistaa sekä käyttäjädatan turvallisuuden että saumattoman käyttäjäkokemuksen.