torstai 23. tammikuuta 2014

DNA ja übersalasana

Tietoturva on tärkeä asia ja salasanojen kannattaa olla vaikeasti arvattavia. Tästä seuraa tosin se että ne ovat usein myös vaikeasti muistettavia. Vaikka DNA:n verkkopalvelussa ei voikaan tehdä juuri mitään, se on päätetty silti suojata erinomaisen hyvin.

Salasanojen hallinta helpottaa elämää kymmenien monimutkaisten sanojen kanssa. DNA on kuitenkin estänyt salasanojen tallentamisen sivustollaan. Toki esimerkiksi suositut Firefox ja Chrome -selaimet tallentavat salasanat selkokielisinä (ellei asiaa ole myöhemmin korjattu). Salasanojen hallintaan on kuitenkin myös sovelluksia jotka tallentavat salasanat kryptattuna ja niiden käyttäminen vaatii yleissalasanan.

Itse käytän salasanoja joissa on yleensä kaksi sanaa, pari numeroa ja näiden välissä vielä välilyönnit (välit kuulemma hankaloittaisivat salasanan murtamista mutta ne on silti helppo muistaa). DNA kuitenkin pelaa varman päälle ja salasanassa pitää olla kaksi isoa sekä kaksi pientä kirjainta, kaksi numeroa ja yksi erikoismerkki. Käytännössä salasanasta tulee sellainen että se on pakko kirjoittaa ylös ja on myös hankala kirjoittaa mobiililaitteilla.


Salasanan turvallisuus on kyseenalainen jos säilytät sitä lapulla esimerkiksi työpöydällä tai lompakossasi. Veikkaisin että kukaan ei varmasti ala murtamaan millään brute force -tekniikalla DNA:n verkkopalvelun salasanaani. Tosin vaikka se olisikin lapulla työpöydälläni, siellä ei voi tehdä mitään kiinnostavaa. Ellei sitten ole kiinnostunut puhelinlaskuni loppusaldosta (joka ei ole montaa kymppiä) tai siitä että paljonko iPhonestani on vielä maksamatta. Edes liittymätyypin vaihto ei onnistu DNA:n kuppaisessa verkkopalvelussa.

Käytännössä tämä tarkoittaa omalla kohdallani että joka kerta siellä asioidessani vaihdan salasanan, asiaa kun ei ole kovin usein. Tosin sekin on ikävää koska salasanageneraattoreistakaan ei aina oikein tahdo saada sopivaa salasanaa. Ymmärtäisin kyllä huolen salasanan riittävyydestä jos verkkopalvelun kautta voisi ottaa vaikka 100 tuhannen euron asuntolainan, tilata luottokortin tai ilmoittautua koekaniiniksi lääketestaukseen.

Veikkaisin että asialla on ollut joku kovahintainen konsultti joka on ollut sitä mieltä että tietoturva kaipaa ehostusta vaikka itse palvelussakin olisi parantamisen varaa. Ja tämäkin turvallisuus saattaa olla melko näennäistä jos palvelussa on saman verran aukkoja kuin Uuno Turhapuron paidassa. Ja kun tietää DNA:n verkkopalvelun tason, niin homma on vähän sama kuin säilyttäisi perunoita Fort Knoxissa.

Eikä minulla sinne mitään asiaa olisi ollutkaan mutta en saa edelleenkään laskuja verkkopankkiini vaikka DNA näkyy kyllä tilattavien listalla. Ja kun salasanan vaihdettuani pääsin kirjautumaan sisään niin eihän siellä saanut lähetettyä myöskään viestiä asiakaspalveluun. En vaan muistanut sitä.



3 kommenttia:

  1. Todella hyvä huomio tämä. Konsulttiratkaisulta tosiaan haiskahtaa.

    Esitänpä oman arvioni siitä miksi tuollaiseen "tietoturvaratkaisuun" on päädytty. Vanhan ajan kunnon salasanat olivat tyypillisesti 6-8 merkkiä pitkiä ja sisälsivät US-näppiksen 26 kirjaimen yhdistelmiä, pääasiassa siis englanninkielisiä sanoja ja nimiä. Teoreettisia kombinaatioita siis 26^8.

    Konetehon kasvun mahdollistamien brute force- ja sanakirjahyökkäysten yleistyessä tämä ei sitten vähitellen enää riittänyt. Niinpä alettiin toivoa isoja kirjaimia ja numeroita salasanoihin. Teoreettisten kombinaatioiden määrä nousee näin 8-merkkisessä salasanassa lukemaan 62^8, tuhatkertaiseksi. Eli jos bruteforcettajalla meni 10 minuuttia ensimmäisen salasanana murtamiseen niin toinen vaatii 10000 minuuttia, kokonaisen viikon, mikä harvemmin on kannattavaa resurssien käyttöä. Koodarin kannalta helpoin ja tehokkain tapa tarkistaa tilanne on tsekata että syötetyssä merkkijonossa on ainakin 1 pieni kirjain, 1 iso ja 1 numero (sekä mahdollisesti 1 erikoismerkki, riippuen mitä merkkejä voidaan käsitellä), joten tästä tuli standardi.

    No tietoturva siis teoriassa tuhatkertaistui. Paitsi että ei. Normaali ihminen nimittäin seuraa ohjetta niin, että se iso kirjain on ensimmäinen merkki, numero tai erikoismerkki on viimeisenä, ja siinä välissä on entiseen tapaan jono pieniä kirjaimia. Varmaan 90% (arvaus) edellä kuvatun vaatimuksen mukaan muodostetuista salasanoista seuraa tätä kaavaa. Asiantunteva häxöri hoksaa, ettei todennäköisten kombinaatioiden määrä merkittävästi kasva, ja bruteforcetus saa jatkua.

    Tilanteen tiedostaneen organisaation huolenaihe saattaa nyt olla tietoturvan parannus. Kuvaan astuu nyt konsultti, joka ilmiselvästi DNA:n tapauksessa on saanut älynväläyksen: jos kerran vähintään 1 ison kirjaimen jne. vaatimus on riittämätön, niin vaaditaankin 2 ja kaikki on hyvin.

    Näin on saavutettu tämä käyttäjäystävällisyyden huippu, kun vaaditaan näennäisen vahvaa salasanaa palveluun, johon tuskin kellään on intressiä murtautua. Näennäisen vahvaa, koska eihän niiden kombinaatioiden määrä todellisuudessa paljoakaan kasva. Käyttäjäpsykologia kun on sellaista, että jos säännössä kerrotaan "sisältää vähintään 2 numeroa", niin silloinhan useimmissa salasanoissa niitä numeroita tulee sitten olemaan juurikin se 2.

    Ja sitten vielä tuo korkeintaan 16 merkkiä. En ole kuullut yhtään hyvää syytä sille, miksi salasanan pituudelle asetetaan yläraja. Mutta juu, onko yllätys jos huonosti toteutetussa nettipalvelussa on huonosti perusteltuja ratkaisuja. Ihan turhaan tässä vaahtoan kun tuokaan ei tuosta tule miksikään muuttumaan.

    VastaaPoista
    Vastaukset
    1. Ajattelin etsiskellä noita lukuja, mutta sieltäpä niitä tulikin jo valmiiksi!

      Poista
  2. Itse pyörittelen pääsääntöisesti kymmenkuntaa eri salasanaa plus variaatiot päälle, isojen ja pienien kirjaimien vaihto, numeroiden vaihto jne. Mutta uusin salasana-ongelma tuli NCSoftin salasanapäivityksen myötä, heidän salasanoissaan ei saa enää olla kahta samaa merkkia peräkkäin.

    VastaaPoista

Jätä toki kommentti tai kysymys.