Salasanat, hallintaohjelmat ja Passkey-avaimet: Kohti kitkatonta tietoturvakulttuuria

Jokainen CISO ja tietoturvajohtaja tunnistaa ilmion: salasanasta "Syksy2024!" tulee maagisesti "Talvi2024!" ja seuraavalla vuosineljanneksella "Kevat2025!". Vuosien ajan IT- ja tietohallintojohdot uskoivat tekevansa oikein pakottaessaan henkiloston vaihtamaan salasanat saannollisin valiajoin. Todellinen lopputulos organisaation arjessa? Jatkuva kognitiivinen kuormitus, Post-it-laput nayttojen reunoissa seka ennustettavat paatteet, jotka hyokkaajat murtavat sekunnin murto-osissa.

Nykyaikainen tietoturva ei rakennu loppukayttajia vastaan, vaan yhdessa heidan kanssaan. Johtoryhman ja tietoturvavastaavien haasteena on korvata vanhentuneet maaraykset aidolla teknisella ja asenteellisella oppimisella. Liikenne- ja viestintavirasto Traficomin Kyberturvallisuuskeskus (NCSC-FI) seka Yhdysvaltain NIST kehottavat virallisesti luopumaan pakkorotaatioista. Nyt organisaatioiden on aika siirtya kohti vahvoja salasanalauseita, salasanojen hallintaohjelmia ja salasana-vapaata todennusta (Passkeys).

Miksi 90 paivan pakotettu salasanan vaihto on haitallista organisaation suojaukselle?#

Lyhyesti: Saannollinen pakkorotaatio ohjaa tyontekijat luomaan ennustettavia muunnelmia todellisen vahvuuden sijaan. NIST ja Kyberturvallisuuskeskus suosittelevat pitkaa ja uniikkia tunnistetta ilman turhaa vaihtoa, ellei ole havaittu konkreettista tietovuotoa tai epailykseen johtavaa kompromettoitumista.

Kahden vuosikymmenen ajan kolmen kuukauden vaihtovali oli alan standardi. Kayttaytymistutkimukset ja telemetria osoittavat kuitenkin toisin. Kun saanto koetaan keinotekoiseksi, aivot valitsevat vahimman vaivan tien. Tyontekijat lisaavat numeron loppuun, vaihtavat vuodenaikaa tai vuorottelevat kahden tutun sanan valilla.

Modernit viitekehykset, kuten NIST SP 800-63B seka Kyberturvallisuuskeskuksen ja Kybermittarin suositukset, vahvistavat uuden linjan:

• Henkinen vasymys ja kiertotiet: Jatkuva pakottaminen ajaa tallentamaan tunnuksia salaamattomiin tiedostoihin tai fyysisiin muistilappuihin.
• Kryptografinen heikkeneminen: Mitataheammin vaihtoa vaaditaan, sita ennustettavammaksi rakenne muuttuu, mika tekee sanakirjahyokkayksista helppoja.
• Vaara turvallisuudentunne: Jos salasana paatyy tietovuotoon, kuukausien odottelu seuraavaan vaihtosykliin antaa hyokkaajalle laajan murtoikkunan.

Paras kaytanto on edellyttaa salasanan vaihtoa vain silloin, kun tietojen vuotamisesta on havainto tai perusteltu epaily.

Miten siirrytaan turhasta monimutkaisuudesta tehokkaisiin salasanalauseisiin?#

Lyhyesti: Salasanalause korvaa vaikeaselkoisen merkkisotkun neljan tai viiden satunnaisen sanan yhdistelmalla. Se on ihmiselle helppo muistaa, mutta automatisoiduille murtotyokaluille mahdoton murtaa raa'alla voimalla.

Kohteissa, joissa manuaalinen tunnistautuminen on yha valttamatonta (kuten tyokoneen paakayttajan salasana tai hallintasovelluksen paatunnus), vaatimusten logiikka on muuttunut. Pakotettu erikoismerkkien, isojen kirjainten ja numeroiden yhdistelma synnyttaa usein mahdottomia sarjoja kuten "K7#m9Qz!". Naita ei muisteta, joten ne kirjoitetaan lapuille.

Sen sijaan toisiinsa liittymattomista sanoista koostuva salasanalause (esimerkiksi "kettu-kahvipannu-tulivuori-kompassi") tarjoaa poikkeuksellisen matemaattisen entropian pysyen samalla helposti muistettavana:

• Ylivoimainen matemaattinen kesto: Jokainen satunnainen sana kasvattaa yhdistelmien maaraa rajusti, tehostaen suojaa brute-force-hyokkayksia vastaan.
• Kayttomukavuus arjessa: Salasanalause on sujuva kirjoittaa ilman harvinaisten erikoismerkkien etsimista nappaimistolta.
• Pysyva muistettavuus: Henkilosto pystyy palauttamaan lauseen mieleen ilman tarvetta tallentaa sita suojaamattomiin paikkoihin.

Kun halutaan juurruttaa nama toimintatavat yrityskulttuuriin myonteisesti, koulutusformaatilla on valtava merkitys. Tiimien osallistaminen pelilliseen oppimiseen, kuten Cyber Cup -tietoturvakilpailuun (jossa tiimit kisaavat nopeatempoisissa kolmen minuutin eraissa), mahdollistaa salasanojen keston ja kalastelutunnistuksen harjoittelun innostavassa ilmapiirissa.

Salasanojen hallintaohjelmat ja Passkey-avaimet: Tunnusten kalastelun lopullinen neutralointi#

Modernin tietoturvajohdon tavoite ei ole vain parempien lauseiden opettaminen, vaan salaisuuksien kasittelyn automatisointi. Suurimmalle osalle tyokaluista keskitetty salasanojen hallintaohjelma on ensimmainen valttamaton askel.

Kun vahvojen ja uniikkien salasanojen luominen ja tallettaminen siirretaan hallintaohjelmalle, henkilosto ei kayta samaa tunnusta useissa eri palveluissa tai sekoita tyotunnuksia vapaa-ajan tileihin. Hallintasovellus torjuu myos perinteisen tietojenkalastelun: jos vaarennetyn sivuston verkkotunnus eroaa tallennetusta osoitteesta, ohjelma ei suostu syottamaan tietoja lomakkeeseen.

Passkey-avaimet: Salasana-vapaa tulevaisuus

FIDO2- ja WebAuthn-standardeihin perustuvat Passkey-avaimet muuttavat hyokkayspinta-alaa pysyvasti. Perinteisen salasanan sijaan Passkey kayttaa julkisen avaimen kryptografiaa:

• Julkinen avain: Tallennetaan sovelluspalvelimelle, eika sen avulla voida murtautua takaisinpain tai selvittaa salaista avainta.
• Yksityinen avain: Pysyy suojatusti loppukayttajan laitteella (tietokone, puhelin tai fyysinen suojausavain), ja sen kaytto vaatii paikallisen biometrisen tunnistuksen tai PIN-koodin.

Passkey-avaimet tekevat varastetuista kayttajatunnuksista hyokkaajille arvottomia. Vaikka tyontekija klikkaisi pilvipalvelua matkivaa huijaussivustoa, salattu todennusvaihto epaonnistuu, koska selain varmentaa palvelimen identiteetin suoraan taustalla. Kun yhdistetaan asennekoulutus, hallintasovellukset ja salasana-vapaa todennus, organisaatio pystyy poistamaan kyberrikollisten kayttamimman sisaanpaasyreitin.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Cup

Vahvista organisaatiosi kyberturvallisuutta Brain Securityn avulla#

Henkiloston toimintatapojen kehittaminen vaatii siirtymista syyllistamisesta aitoon osallistamiseen. Jos haluat rakentaa organisaatiollesi innostavan tietoturvakoulutuksen ja mitata kaytantoihin sitoutumista luotettavasti, ota meihin yhteytta ja varaa tapaaminen asiantuntijoidemme kanssa.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Baiting ja ansoitetut USB-tikut: Miksi uteliaisuus murtaa yrityksen suojauksen (Phishing & Social Engineering) : Opi miten baiting ja saastutetut USB-tikut ohittavat tietoturvan. Tunnista fyysisen sosiaalisen manipuloinnin riskit ja suojaa organisaatiosi.
• Tailgating ja toimitilojen turvallisuus: Kohteliaisuus vastaan fyysinen pääsynhallinta (Phishing & Social Engineering) : Miten estää luvaton perässäkulkeminen rikkomatta työyhteisön luottamusta? Opi parhaat käytännöt toimitilojen ja kulunvalvonnan suojaamiseen.
• Valekollega videopalaverissa: Miten tunnistaa deepfake reaaliajassa? (Phishing & Social Engineering) : Opi tunnistamaan reaaliaikainen deepfake videopalaverissa. Visuaaliset merkit ja toimintamallit tekoälyhuijausten torjuntaan.
• Sisäinen uhka kyberturvallisuudessa : erota huolimattomuus ja ilkivalta (Cyber Crisis & Ransomware) : Miten erottaa inhimillinen virhe tahallisesta sabotaasista? Analyysi, käytännön esimerkit ja konkreettiset ohjeet tietoturvajohdolle.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Cup : Sisäinen kyberturvallisuusturnaus: lyhyet tiimiottelut, jotka juurruttavat tietoturvataidot osaksi arkea.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)