Kirjaudu

Uutiskirje

Rekisteröidy Sektoriin ja tilaa itsellesi joko aamuisin tai iltaisin ilmestyvä uutiskirje sähköpostiisi.

Maanantai, 18.3.2002

Tutkimus: salasanat usein helposti arvattavissa

Psykologien mukaan salasanojen arvaaminen on usein mahdollista ihmisten personaallisuutta tuntemalla tai jopa tutkimalla työpöydiltä löytyviä tavaroita. Englannissa tehdyn tutkimuksen mukaan salasanat ovat useimmiten mitä ilmeisimpiä. Tutkimuksen mukaan noin 50 prosenttia tietokoneen käyttäjistä pitää salasanaan jonkun perheenjäsenen tai lemmikin nimeä. 30 prosenttia salasanoista perustuu kuuluisten ihmisten kuten pop- ja urheilutähtien nimiin.

Vain 10 prosenttia ihmisistä käyttää salasanaan vaikeasti murrettavia kryptisiä kirjainyhdistelmiä. Rahoitusalalla toimivat yritykset kehoittavatkin verkkokauppa-asiakkaita käyttämään kunnollisia salasanoja ja vaihtamaan niitä säännöllisesti. Tietoturva-asiantuntijoiden mukaan salasanaa ei missään nimessä pitäisi perustaa omaan nimeen tai syntymäaikaan.

Lue juttu oma, 18.3.2002 00:03. Lähde: CNN

Muita aiheeseen liittyviä uutisia

Kommentoi juttua



Aihe

Esikatsele kommentti
Kommentit ( 0 uutta / 37 )
pistettä.
Näytä vain kommentit joilla on vähintään
Onhan se vaikeaa..
Anonyymi kommentoija, 18.3.2002 09:42:14		 Pisteet: 0
Vastaa
Työskentelin viitisen vuotta eräässä yrityksessä eri osastoilla. Parilla osastolla salasanat oli joko lappuna monitorissa tai näppäimistön alla. Yhdellä osastolla salasanaa ei sentään lukenut missään, mutta sitäkään ei oltu muutettu neljään vuoteen.. kaikille sijaisillekin se salasana kerrottiin.. eli aika paljon muuttui porukka, muttei salasana. Niillä tiedoilla pääsi helposti käsiksi potilaspapereihin.
wsq Re: Onhan se vaikeaa..
wsq, 18.3.2002 11:57:16		 Pisteet: 0
Vastaa
Työskentelin viitisen vuotta eräässä yrityksessä eri osastoilla. Parilla osastolla salasanat oli joko lappuna monitorissa tai näppäimistön alla.
Onhan näitä nähty, yhessä firmassa oli yhden ison herran salasanana hänen etunimensä ja sekin oli muistin pettämisen varalta kirjoitettu keltaiseen lappuun näppäimistön alle :) Se siitä tietoturvasta.
---
Education consists mainly of what we have unlearned.
Otanta
Anonyymi kommentoija, 18.3.2002 14:16:23		 Pisteet: 0
Vastaa
Piruuttamme kokeilimme kerran kollegan kanssa L0phtCrackia erääseen n. 10000 tunnuksen NT-domainiin. Yön aikana purkautui sen aikaisella huippukoneella (300 MHz tjsp), lähes kaikki salasanat. Pikaisen silmäyksen salasanoihin luotuamme totesimme, että kyllä ihminen ajattelee rumia. Hyvin yleisiä salasanoja olivat "kikkeli", "pillu", "vittu" ja monet muut ruumiinosia kuvaavat sanat.
Joo
Anonyymi kommentoija, 18.3.2002 18:57:34		 Pisteet: 0
Vastaa
Esim. Hotmailissa hyväkään salasana ei auta mitään, jos käyttäjä on täysin tohelo. Siinä on sellainen varakysymys-järjestelmä, jota käytetään jos käyttäjä on unohtanut salasanansa. Liian monella tämä varakysymys sattuu valitettavasti olemaan sellainen helposti selville saatava "missä koulussa olen" tai "mikä on kissani nimi" -kysymys. Olen kuullut monta tarinaa, jossa salasana ei ole mystisesti enää kelvannutkaan kirjauduttaessa Hotmailiin. Näillä kaikilla tyypeillä varakysymys oli juuri tuollainen ääliömäinen. Mielestäni tämä on aika iso ongelma.
SecurID
Anonyymi kommentoija, 19.3.2002 09:46:44		 Pisteet: 0
Vastaa
Onko Sektorin käyttäjillä kokemuksia SecurID-järjestelmän ylläpidosta?
bungle Re: SecurID
bungle, 19.3.2002 12:46:47		 Pisteet: 0
Vastaa
Onko Sektorin käyttäjillä kokemuksia SecurID-järjestelmän ylläpidosta?
Lue alla vastaavasta ActivCard kokemuksesta.
--
"See the animal in his cage that you built, are you sure what side you're on?" -- Trent Reznor
jemm Ole varovainen myös web-lomakkeita tehdessäsi
jemm, 18.3.2002 10:37:15		 Pisteet: +2
Vastaa
Tietoturvariskejä ovat myös web-lomakkeet, joista koostetaan SQL-lause, joka lähetetään kantaan.

Ilman asianmukaisia syötteiden tarkistuksia yms, voi kellä vaan käyttäjällä olla pahimmillaan kaikki oikeudet tietokantaan. Käyttäjä kun voi lisätä salasana kohtaan esim. "' or 1=1", jolloin kelpuutetaan tyhjä tai väärä salasana. Ja siihen voi lisätä vaarallisempiakin komentoja...

Jos siis teet tietokantaa hyödyntäviä web-sivuja, suosittelen lukemaan tämän artikkelin:
http://www.asptoday.com/content/articles/20020225....

Siellä on kerrottu yleisimpiä uhkia ja korjauskeinoja. Esimerkit C#:lla, mutta pätee melkein missä ympäristössä vaan, jos algoritmi on huono.

Mitä tulee käyttäjien helppoihin salasanoihin, niin täytyy muistaa, ettei ihminen pysty aina mitenkään pitämään kirjaa kaikista salasanoistaan mielessään, varsinkin jos niissä on liian kryptisiä vaatimuksia. Siitä syntyy juuri niitä ongelmia, mistä bunglekin ekassa kappaleessaan mainitsi.

Käyttäjät vain alkavat "kapinoimaan" (mielestäni ihan oikeutetusti), kun ylläpitäjät pakottavat käyttäjät liian usein vaihtamaan salasanaansa ties minkälaisin vaatimuksin.
-Jemm
Datamike Re: Ole varovainen myös web-lomakkeita tehdessäsi
Datamike, 18.3.2002 12:39:42		 Pisteet: +1
Vastaa
Ilman asianmukaisia syötteiden tarkistuksia yms, voi kellä vaan käyttäjällä olla pahimmillaan kaikki oikeudet tietokantaan.
Useimmiten juuri tarkitukset, virheiden ehkäisyt, sun muut vievät eniten koodiriviä. Jonkin asian koodaaminen on useimmiten se helpoin osuus. Sit siitä pitää tehdä veden pitävä. Tämä pätee erityisesti internet sivuihin. Jos rakennat dynaamisia sivuja vaikka perl:llä tai php:llä, huomaat että ellet tarkasti tuki kaikkia mahdollisuuksia, niin sinne jää helposti käytettäviä reikiä. Suurinpia riskejä ovat juuri web lomakkeet, mutta myös esim. selaimen osoiteriviä voi käyttää hyväkseen. Siellähän pyöryy, hyvinkin usein, monia muuttujia ja niiden arvoja, joiden pohjalta script:i tietää mitä tehdä. Niiden kanssa pelehtiessä voi saada vaikka mitä aikaiseksi. Kaikki on tarkistettava, eikä mitään saa "olettaa".

Mitä tulee käyttäjien helppoihin salasanoihin, niin täytyy muistaa, ettei ihminen pysty aina mitenkään pitämään kirjaa kaikista salasanoistaan mielessään, varsinkin jos niissä on liian kryptisiä vaatimuksia.
Yksi tapa on käyttää useassa paikassa samaa salasanaa. Moni tekee niin, ja jos se on pitkä ja kryptinen, ja sä muistat sen ilman paperia, niin se toimiikin aika hyvin. Eri asia sitten on silloin kun olet töissä tai muussa sellaisessa, ja järjestelmävalvojat pakottavat sua käyttämään tiettyjä salasanoja. Törmäsin kerran softaan joka oli tarkoitettu just salasanojen ylläpitämiseen. Se on suojattu softa ja piti aika hyvin kirjaa tunnareista. En kuitenkaan muista enää mikä se oli. Silloin voi pistää useamman tunnarin listaan ja ei tarvitse muistaa kuin yks tunnus. Tosin siinäkin on huonot puolensa.

Käyttäjät vain alkavat "kapinoimaan" (mielestäni ihan oikeutetusti), kun ylläpitäjät pakottavat käyttäjät liian usein vaihtamaan salasanaansa ties minkälaisin vaatimuksin.
Järjestelmävalvojat voivat usein olla todella vaativia. Sen verran täytyy myöstää. Eseimmiten se menee aivan liian monimutkaiseksi, ja käyttäjillä onkin oikeus kapinoida ja ilmaista mielipiteensä. Tietysti jos käyttäjät seuraisivat, "yksinkertaisia" ohjeita salasanan ylläpitämisestä, niin valvojien ei tarvitsisi vaivautua. On myös tapauksia joissa käyttäjä ei tosiaankaan välitä/viitsi huolehtia asiasta.
"Given enough eyeballs, all bugs are shallow."
juhahu Re: Ole varovainen myös web-lomakkeita tehdessäsi
juhahu, 18.3.2002 19:46:55		 Pisteet: 0
Vastaa

Yksi tapa on käyttää useassa paikassa samaa salasanaa. Moni tekee niin, ja jos se on pitkä ja kryptinen, ja sä muistat sen ilman paperia, niin se toimiikin aika hyvin. Eri asia sitten on silloin kun olet töissä tai muussa sellaisessa, ja järjestelmävalvojat pakottavat sua käyttämään tiettyjä salasanoja. Törmäsin kerran softaan joka oli tarkoitettu just salasanojen ylläpitämiseen. Se on suojattu softa ja piti aika hyvin kirjaa tunnareista. En kuitenkaan muista enää mikä se oli. Silloin voi pistää useamman tunnarin listaan ja ei tarvitse muistaa kuin yks tunnus. Tosin siinäkin on huonot puolensa.
Roboform on ihan kätevä ohjelma salasanoja varten. Se tallettaa haluamasi salasanat ja ne voidaan suojata yhden salasanan taakse. Näin tarvitsee muistaa vain se yksi salasana.

En kyllä tiedä millaista salausta se Roboform käyttää, mutta sanoisin sen olevan turvallisempaa kuin käyttää samaa salasanaa joka paikkaan.
Re: Ole varovainen myös web-lomakkeita tehdessäsi
pitr_, 22.3.2002 11:28:55		 Pisteet: 0
Vastaa
joo. tietämättä näistä niin paljon, kyllähän NS6.2 ja Mozilla 0.9X sisältävät myös tämän personal privacy agent whateverin, jossa salasanan taakse saa kaikki formusalasanat piilotettua.

ongelmaksi tällaisissa softapohjaisissa tuotteissa muodostuu tilanne, jossa kone kaatuu ja hajoaa ja softan tuhoutumisen mukana katoavat myös salasanat.

kellään niitä ei varmaan enää ole paperilla ja backuppejakin pitäisi ottaa....
Datamike Re: Ole varovainen myös web-lomakkeita tehdessäsi
Datamike, 19.3.2002 15:08:42		 Pisteet: 0
Vastaa
Roboform on ihan kätevä ohjelma salasanoja varten. Se tallettaa haluamasi salasanat ja ne voidaan suojata yhden salasanan taakse. Näin tarvitsee muistaa vain se yksi salasana.
Ongelma näissä softissa on se että ne eivät ole kovinkaan käyttäjäystävällisiä, kun juuri sitä niiden pitäisi olla. Kokeilin Roboform:a, mutta samaan kategoriaan se menee. Kesti hetken ennen kuin edes keksin miten koko ohjelma toimii. Se oli pieni ja helppo asentaa mutta käytettävyydessä olisi parantamisen varaa.
"Given enough eyeballs, all bugs are shallow."
Joo-o tähän olisi helppo puuttua.
Zemial, 18.3.2002 09:48:13		 Pisteet: +1
Vastaa
Olen muutamaan otteeseen suunnitellutkin jo, että millainen olisi toteuttaa jokin pikkuinen ohjelma jolla saisi salasanat talteen.. eli vaikka ensin tekisi vain sellaisen ohjelman joko pitäisi salasanoja jossain filessä vaikka kryptaamattomana ja sitten itse ohjelma olisi tuolla windowssin taskbaarissa ja sieltä voisi aina vaan valita paikan (vaikka www.sektori.com) ja ohjelma joko kopioisi salasanan leikepöydälle tai kirjoittaisi sen suoraan sinne missä kursori sattuu olemaan. Tähän systeemiin voisi lisäksi sitten lisätä mahdollisuuden muodostaa näitä aakkos-numeerisia salasanoja ihan randomilla.. Se ie:n salasana-muisti ei muuten toimi yhtään, se ei osaa muistaa edes iltasanomien/sektorin salasanoja.

Ja sitten kun haluttaisiin tästä tehdä parempi systeemi niin otettaisiin mukaan joko usb-drive tai usb-sovitin ja cf-palikka. Salasanat ja vaikka koko ohjelmakin kulkisi jatkuvasti mukana..

Tuollainen cf-palikka ja usb-sovitin ei muuten oo kovinkaan kallis paketti. Ja kyllähän ne salasanat siellä pysyy vaikka txt-filessä ja sieltä niitä voi copy-pastettaa. eikä tartte softaakaan ja ne voi tosiaan olla vaikka kuinka pitkiä ja monimutkaisia.. ja isommalla palikalla saa vaikka kooditkin mukaan..
Re: Joo-o tähän olisi helppo puuttua.
Anonyymi kommentoija, 18.3.2002 12:08:16		 Pisteet: 0
Vastaa
Olen muutamaan otteeseen suunnitellutkin jo, että millainen olisi toteuttaa jokin pikkuinen ohjelma jolla saisi salasanat talteen.. eli vaikka
Kpreg. Juuri kuvailemasi kaltainen softa.
Re: Joo-o tähän olisi helppo puuttua.
Anonyymi kommentoija, 18.3.2002 14:19:40		 Pisteet: 0
Vastaa
Olen muutamaan otteeseen suunnitellutkin jo, että millainen olisi toteuttaa jokin pikkuinen ohjelma jolla saisi salasanat talteen.. eli vaikka
Kpreg. Juuri kuvailemasi kaltainen softa.
Paitsi Microsoftin tuote joka ei todellakaan kryptaa salasanoja. Ainakin 95 pitää 10 viimeista salasanaa registryssä, täysin selväkielisenä.
Re: Joo-o tähän olisi helppo puuttua.
Anonyymi kommentoija, 18.3.2002 19:18:33		 Pisteet: 0
Vastaa
Suunnilleen kuvailemasi kaltainen ohjelma on jo integroituna MacOSsiin :) ..tosin Xllä ei vielä ole.
addit Re: Joo-o tähän olisi helppo puuttua.
addit, 18.3.2002 20:26:54		 Pisteet: 0
Vastaa
Suunnilleen kuvailemasi kaltainen ohjelma on jo integroituna MacOSsiin :) ..tosin Xllä ei vielä ole.
On ainakin minun X:ssä (v. 10.1.3), jos tarkoitat Keychain Accessia. Taitaa olla juuri se mitä tässä monet win-käyttäjät etsiskelevät. Hyödyllinen softa.
Re: Joo-o tähän olisi helppo puuttua.
rugueux, 18.3.2002 09:58:54		 Pisteet: +1
Vastaa
Olen muutamaan otteeseen suunnitellutkin jo, että millainen olisi toteuttaa jokin pikkuinen ohjelma jolla saisi salasanat talteen.. eli vaikka ensin tekisi vain sellaisen ohjelman joko pitäisi salasanoja jossain filessä vaikka kryptaamattomana ja sitten itse ohjelma olisi tuolla windowssin taskbaarissa ja sieltä voisi aina vaan valita paikan (vaikka www.sektori.com) ja ohjelma joko kopioisi salasanan leikepöydälle tai kirjoittaisi sen suoraan sinne missä kursori sattuu olemaan.
Pienenä apuna moni selain tarjoaa mahdollisuuden muistaa salasanat ja vielä ihan kryptattuna. Esimerkiksi Mozilla ja IE ovat kovia tallentamaan käyttämiäsi salasanoja ja kun tulet Sektorille, niin käyttäjätunnus ja salana ovat valmiiksi kirjoitettuja. Painat vain kirjaudu ja se on siinä.

Edelleen tietysti joudut muut kuin surffatessa käyttämät salasanasi muistamaan, mutta hyvä se on vähän aivoja rasittaa. Käy ihan muistipelin korvikkeena, kun miettii mikä sadasta salasanasti oli juuri tähän tilanteeseen.
--
Mihin on kadonnut perinteinen harakointi?
hanta Re: Joo-o tähän olisi helppo puuttua.
hanta, 19.3.2002 13:41:32		 Pisteet: 0
Vastaa

Pienenä apuna moni selain tarjoaa mahdollisuuden muistaa salasanat ja vielä ihan kryptattuna. Esimerkiksi Mozilla ja IE ovat kovia tallentamaan käyttämiäsi salasanoja ja kun tulet Sektorille, niin käyttäjätunnus ja salana ovat valmiiksi kirjoitettuja. Painat vain kirjaudu ja se on siinä.
paitsi että... kun selain täyttää salasanan lomakkeen salasana-kenttään, niin siinä sitä ei ole kryptattu, ja sopivalla softalla sen saa siitä myös luettua. ei tarvitse edes arvata. eli turvallisuudeltaan tuo taitaa kuitenkin oikeasti vastata monitoriin liimattua PostIt(tm) lappua, johon on kirjoitettu käyttäjätunnus ja salasana, mutta salasana on 'ovelasti' väärin päin.

--
hanta
--
hanta
Re: Joo-o tähän olisi helppo puuttua.
Masa, 18.3.2002 11:25:31		 Pisteet: +1
Vastaa
Olen muutamaan otteeseen suunnitellutkin jo, että millainen olisi toteuttaa jokin pikkuinen ohjelma jolla saisi salasanat talteen.. eli vaikka ensin tekisi vain sellaisen ohjelman joko pitäisi salasanoja jossain filessä vaikka kryptaamattomana ja sitten itse ohjelma olisi tuolla windowssin taskbaarissa ja sieltä voisi aina vaan valita paikan (vaikka www.sektori.com) ja ohjelma joko kopioisi salasanan leikepöydälle tai kirjoittaisi sen suoraan sinne missä kursori sattuu olemaan. Tähän systeemiin voisi lisäksi sitten lisätä mahdollisuuden muodostaa näitä aakkos-numeerisia salasanoja ihan randomilla.. Se ie:n salasana-muisti ei muuten toimi yhtään, se ei osaa muistaa edes iltasanomien/sektorin salasanoja.
Kuulostaa näppärältä ajatukselta ja eiköhän tuollaisia jo ole toteutettukin joskus. Tuo vain ei ole kovin siirrettävä (ja vaikka mainitsit USB-driven, ei kaikissa koneissa välttämättä ole väylää).

Itse olen käyttänyt Palmia salasanojen säilyttelyyn. Löysin aikanaan netistä Blowfishillä kryptaavan memopad-ohjelman (open-sourcea), jonka kanssa voin kuljetella mukanani salasanoja kätevästi kryptattuna. Ei pelkoa vaikka Palmi katoaisi. Lisäksi kun tuota kämmenkonetta on tottunut muutenkin käyttelemään muistiinpanovälineenä, ei salasanojenkaan esille kaivaminen ja talletteleminen tuota sen suurempaa tuskaa. ainoana miinuksena on se, ettei vehje suoraan lähetä koneelle salasanaa.
rakki ei tähän
rakki, 18.3.2002 00:22:01		 Pisteet: 0
Vastaa
tarvitse olla asiantuntija että tämmöisen selvittää. Nykyään tehdään useammin ja useammin tämmöisiä tutkimuksia, tulokset ovat melkein aina samoja. Mutta ihmiset eivät vaan ota opikseen. Tämäkin asia on ollut tiedossa, varmasti viimeiset viisi vuotta? (tää oli iha heitto) Mutta silti salasanat ovat tyyliä, (nimi: Matti Matkamies) mattimat tms. ihan typeriä.

Kyllä työpaikoilla pitäisi enemmän painottaa turvallisuuteen, näinkin ruohojuuritasolla.

Tietokoneet eivät ole tyhmiä, vaan niitten käyttäjät.
[rakki]
Pineapple Re: ei tähän
Pineapple, 18.3.2002 02:00:09		 Pisteet: +1
Vastaa
Kyllä työpaikoilla pitäisi enemmän painottaa turvallisuuteen, näinkin ruohojuuritasolla.
Monissa paikoissa joissa on vähänkin viksummat adminit, salasanat tarkistetaan siten etteivät ne sisällä mitääns esimerkiksi sanakirjasta löytyvää, ja sisältävät sekä isoja ja pieniä kirjaimia että numeroita. Salasanat pitää myös vaihtaa esimerkiksi kuukauden välein. Näin ainakin minun työpaikallani, en sitten tiedä miten muualla.

Paha tietoturva-oho oli ainakin opiskelupaikassani jossa sain lukitun NT-tunnuksen auki soittamalla adminille ja sanomalla että joo meni lukkoon, voiks avaa sen. Admin vaan totesi että "joo pistin sulle 12356789A passiks, muuta ite miksi haluat" sen enempää kyselemättä.. aika ala-arvoista.
Pineapple
bungle Re: ei tähän
bungle, 18.3.2002 08:27:18		 Pisteet: +2
Vastaa
Monissa paikoissa joissa on vähänkin viksummat adminit, salasanat tarkistetaan siten etteivät ne sisällä mitääns esimerkiksi sanakirjasta löytyvää, ja sisältävät sekä isoja ja pieniä kirjaimia että numeroita. Salasanat pitää myös vaihtaa esimerkiksi kuukauden välein. Näin ainakin minun työpaikallani, en sitten tiedä miten muualla.
Tällaisissa paikoissa törmätään sitten monenlaisiin ongelmiin. Käyttäjät kirjoittavat salasanojaan paperille ja laittavat monitorin viereen. Käyttäjät unohtelevat salasanojaan. Käyttäjät soittelevat tukeen ja muualle. Tietoturvaa voidaan toki parantaa tiettyyn pisteeseen asti, mutta siinä tapauksessa usein tämä tapahtuu käyttäjän kustannuksella.

Tottakai eri asioissa tietoturvaan kannattaa panostaa eri lailla. Minusta esimerkiksi verkkopankkien käyttämä tunnus + kertakäyttö salasana + vaihtuva varmenne tunnus sopivat siihen hommaan ihan hyvin, mutta en jaksaisi tällaista joka päivä kirjautuessa työpaikan koneelle tai kun ottaa yhteyttä johonkin resurssiin.

Paha tietoturva-oho oli ainakin opiskelupaikassani jossa sain lukitun NT-tunnuksen auki soittamalla adminille ja sanomalla että joo meni lukkoon, voiks avaa sen. Admin vaan totesi että "joo pistin sulle 12356789A passiks, muuta ite miksi haluat" sen enempää kyselemättä.. aika ala-arvoista.
Asiahan meni kannaltasi parhaiten miten voi vaan mennä. Olisit varmasti halunnut itse kiikuttaa erilaisia papereita ja muuta ympäri opiskelupaikkaasi. Pyytää äitisi varmentamaan allekirjoituksesi jne. Tuskin edes mitään äärimmäisen tärkeää olit sinne koulut palvelimille tallentanutkaan. Ja jos tuo tapa oli mielestäsi ala-arvoista, niin miksi et ehdottanut, että toimitaan toisella tavalla. Itseäni ainakin suunnattomasti vitutti sellainen, että tarvitsi kouluun tunnusta, mutta se oli lukossa ja sun piti vain sitä varten lähteä koululle ja tottakai vielä tiettynä päivänä tiettyyn aikaan, että sait tunnuksen auki, vain ja ainoastaan sitä varten, että sait tarvittavat harjoitukset tehtyä. Käyttäjiltä saa kuitenkin aina erittäin helposti ne salasanat revittyä irti soitat vaan "adminina" tai tukena käyttäjälle ja avot. Silloin sillä miten usein salasana vaihtuu tai minkälaisia merkkejä se sisältää ei ole mitään merkitystä. Käyttäjää voi toki myös uhkailla ja kiristää. No joka paikkaan vaan dna-skannaus, verkkokalvoskannaus ja sormenjälkiskannaus sekä tietenkin vaihtuva public key tunnus kertakäyttö priva keyt, äänen tunnistus. Toisin sanoen vahvempien salasanojen vaatiminen on usein vain näennäinen ratkaisu tietoturvan pareantamiseksi, jossa kuitenkin systeemi on yhtä helposti murre4ttavissa kuin sen löysin lenkki (itse veikkaisin käyttäjiä).
--
"See the animal in his cage that you built, are you sure what side you're on?" -- Trent Reznor
Re: ei tähän
Anonyymi kommentoija, 18.3.2002 14:27:43		 Pisteet: 0
Vastaa
Monissa paikoissa joissa on vähänkin viksummat adminit, salasanat tarkistetaan siten etteivät ne sisällä mitääns esimerkiksi sanakirjasta löytyvää, ja sisältävät sekä isoja ja pieniä kirjaimia että numeroita. Salasanat pitää myös vaihtaa esimerkiksi kuukauden välein. Näin ainakin minun työpaikallani, en sitten tiedä miten muualla.
Tällaisissa paikoissa törmätään sitten monenlaisiin ongelmiin. Käyttäjät kirjoittavat salasanojaan paperille ja laittavat monitorin viereen. Käyttäjät unohtelevat salasanojaan. Käyttäjät soittelevat tukeen ja muualle. Tietoturvaa voidaan toki parantaa tiettyyn pisteeseen asti, mutta siinä tapauksessa usein tämä tapahtuu käyttäjän kustannuksella.
Tottakai eri asioissa tietoturvaan kannattaa panostaa eri lailla. Minusta esimerkiksi verkkopankkien käyttämä tunnus + kertakäyttö salasana + vaihtuva varmenne tunnus sopivat siihen hommaan ihan hyvin, mutta en jaksaisi tällaista joka päivä kirjautuessa työpaikan koneelle tai kun ottaa yhteyttä johonkin resurssiin.
Paha tietoturva-oho oli ainakin opiskelupaikassani jossa sain lukitun NT-tunnuksen auki soittamalla adminille ja sanomalla että joo meni lukkoon, voiks avaa sen. Admin vaan totesi että "joo pistin sulle 12356789A passiks, muuta ite miksi haluat" sen enempää kyselemättä.. aika ala-arvoista.
Asiahan meni kannaltasi parhaiten miten voi vaan mennä. Olisit varmasti halunnut itse kiikuttaa erilaisia papereita ja muuta ympäri opiskelupaikkaasi. Pyytää äitisi varmentamaan allekirjoituksesi jne. Tuskin edes mitään äärimmäisen tärkeää olit sinne koulut palvelimille tallentanutkaan. Ja jos tuo tapa oli mielestäsi ala-arvoista, niin miksi et ehdottanut, että toimitaan toisella tavalla. Itseäni ainakin suunnattomasti vitutti sellainen, että tarvitsi kouluun tunnusta, mutta se oli lukossa ja sun piti vain sitä varten lähteä koululle ja tottakai vielä tiettynä päivänä tiettyyn aikaan, että sait tunnuksen auki, vain ja ainoastaan sitä varten, että sait tarvittavat harjoitukset tehtyä. Käyttäjiltä saa kuitenkin aina erittäin helposti ne salasanat revittyä irti soitat vaan "adminina" tai tukena käyttäjälle ja avot. Silloin sillä miten usein salasana vaihtuu tai minkälaisia merkkejä se sisältää ei ole mitään merkitystä. Käyttäjää voi toki myös uhkailla ja kiristää. No joka paikkaan vaan dna-skannaus, verkkokalvoskannaus ja sormenjälkiskannaus sekä tietenkin vaihtuva public key tunnus kertakäyttö priva keyt, äänen tunnistus. Toisin sanoen vahvempien salasanojen vaatiminen on usein vain näennäinen ratkaisu tietoturvan pareantamiseksi, jossa kuitenkin systeemi on yhtä helposti murre4ttavissa kuin sen löysin lenkki (itse veikkaisin käyttäjiä).
Itse olen sitä mieltä että jos salasana resetoidaan help deskissä noin köykäisesti kuin edellä kuvattiin, olisin valmis erottamaan kyseisen kaverin välittömästi. Meillä on parasta aikaa käynnissä projekti joka resetoi salasanat puheen tunnistuksella. Eli enää ei pääse moisia lapsuksia tapahtumaan.
bungle Re: ei tähän
bungle, 19.3.2002 12:46:02		 Pisteet: +1
Vastaa
Meillä on parasta aikaa käynnissä projekti joka resetoi salasanat puheen tunnistuksella.
Oliko tämä vitsi? Äänen generointi on erittäin helppoa nykytekniikalla. Lisäksi tuon tarvittavan äänen saa vielä erittäin helposti talteen... vielä uhrin siitä mitään tietämättä. Ja mitä tulee tuon luotettavuuteen ja käyttökelpoisuuteen? Äänen murrokset, flunssa jne. Kävin vähän testailemassa täällä: http://www.voice-security.com, mutta ei vakuuttanut ainakaan minua. En tiedä kuinka pätevä tuo on, mutta helposti pystyi nauhottamaan omaa ääntä (siis ihan monitoriin sisäänrakennetulla paskalla mikrofonilla) ja sen jälkeen tunnistautumaan.

Eli enää ei pääse moisia lapsuksia tapahtumaan.
Mistä puhut? Kyllä ihmiskontakti aina jonkun helvetin kännykkävastaajan voittaa.

Tuo quotaaminen oli muuten hieman koomista.

Itselläni on hieman kokemusta ranskalaisen ActivCardin HW-tokenista. Siinä käytetään ns. two-factor authenticationia.

Ominaisuuksia:

a. Käyttäjällä on oltava juuri tietty HW-token
b. Käyttäjän pitää tietää HW-tokenin PIN-koodi
c. Käyttäjän on tiedettävä oma käyttäjätunnuksensa (ja mahdollisesti salasana, siis eri kuin HW-tokenin generoima)
d. HW-token generoi kertakäyttösalasanan

Sisään palveluun voidaan kirjautua esim näin:

1. käyttäjä syöttää käyttäjätunnuksen
2. käyttäjä käynnistää hw-tokenin, syöttää pin koodin ja luo uuden kertakäyttösalasanan.
3. käyttäjä syöttää tämän kertakäyttösalasanan lomakkeeseen ja authentikoi itsensä.

tai

1. Käyttäjä syöttää käyttäjätunnuksen
2. Käyttäjä syöttää salasanan
3. Palvelin tarkistaa asian ja luo tunnistenumeron
4. Käyttäjä käynnistää hw-tokenin ja syöttää sille PIN koodin
5. Käyttäjä syöttää hw-tokenille palvelimen luoman PIN koodin (joka on käyttäjä ja token kohtainen).
6. Käyttäjä syöttää tämän hw-tokeniin ja saa vastaukseksi kertakäyttöisen varmenteen
7. Käyttäjä syöttää varmenteen.

Eri asia on, että voiko hw-tokeniakaan kovin moneen asiaan suositella. Lähinnä sellaisiin tilanteisiin, jossa suuria rahavirtoja vaihdetaan yritysten (esim. pankit) välillä. Ongelmia noiden kanssa tulee siinä tilanteessa, kun token hajoaa, tai kun siitä loppuu patterit jne. Siis lähinnä sellaisisa ongelmia, että rahaa ei liiku (parempi sekin kuin se, että rahaa liikkuu vääriin paikkoihin). Noihin järjestelmiin voidaan suunnitella sitten kaiken maailman aika katkoja, esim. käyttäjän on syötettävä vaihtuva hw-tokenin luoma koodi esim. 2 minuutin sisällä siitä, kun palvelin on lähettänyt varmisteen, käyttäjä tunnuksia voidaan lukita väärien yritysten seurauksena ja muutoinkin tuolla päästää aika luotettavaan tilanteeseen. Toki se saaattaa olla edelleen mahdollista, että käyttäjää kiristetään ase ohimolla syöttämään tietoa, mutta sekin voidaan rajata esim. siten, että noita siirtoja voidaan tehdä vain tietyssä paikassa, jossa on hyvä valvonta jo sielläkin. Edelleen on pieni kiristyksen mahdollisuus. Kuitenkin tässä tilanteessa käyttäjä ottaa joko poliisiin yhteyttä tai käy tekemässä tarvittavan siirron (jos uskoo, että niin on parempi... esim. oma perhe vaarassa). Luulisin, että käyttäjä olisi tämän jälkeen aika vahvoilla oikeudessa (jos sinne mentäisiin). Voidaan toki vaatia myös useampaa käyttäjää tunnistamaan joku tietty transaktio, jos niin halutaan.
--
"See the animal in his cage that you built, are you sure what side you're on?" -- Trent Reznor
Re: hardware-tokenit
Anonyymi kommentoija, 24.3.2002 10:45:36		 Pisteet: 0
Vastaa
Minulla on kokemusta tuosta SecurID-järjestelmästä. Järjestelmä on ranskalaisten ylläpitämä, joka lienee sen suurin ongelma - asiat kun ei tuppaa siellä päin olemaan niin tarkkaa. Jos oletettaisiin että ylläpito toimisi hyvin, eikä palvelimet olisi koko ajan nurin, niin järjestelmä on ihan käyttökelpoinen - tosin käyttäjälle hieman työläs. Avaimenperätokenit toimivat teknisesti huomattavasti luotettavammin kuin luottokortin kokoiset läpyskät - näissä avaimenperissä on toivoa että ihmiset jopa kuljettaisivat niitä mukana, nuo kortit kun lojuvat pöydällä koneen vieressä ja korttiin on printattu käyttäjätunnus ja käyttäjät itse ovat kiinnittäneet PIN-koodin tarralla korttiin, ettei vaan unohdu! Eli jos fyysinen turvallisuus brakaa, niin ei näistäkään ole paljoa lohtua, olettaen että murtautuja tuntee SecurID:n toimintaperiaatteen.

Ainoa järkevä (= ei työläs) tunnistautumisratkaisu olisi avainmenperätoken, jossa on sormenjälkitunnistin. Tällöin tunnistautuminen olisi turvallista - sormenjälki toimisi PIN-koodina, eikä käyttäjän tarvitsisi muistaa kuin pitää avaimenperä mukana. Ja sen verran kai kuitenkin voi vaatia.

Mahtaako tuollaisia mokkuloita olla vielä? Hiirissä ja koneissa sormenjälkitunnistimia on, mutta onko esim. USB-liitäntäisiä avainmenperämalleja sormenjälkitunnistuksella? Ilman sormenjälkeä kyllä löytyy.

--Sammy
Re: ei tähän
rugueux, 18.3.2002 09:34:30		 Pisteet: +1
Vastaa
Toisin sanoen vahvempien salasanojen vaatiminen on usein vain näennäinen ratkaisu tietoturvan pareantamiseksi, jossa kuitenkin systeemi on yhtä helposti murre4ttavissa kuin sen löysin lenkki (itse veikkaisin käyttäjiä).
Totta. Salasanan pituudella ja itse sanalla ei ole suurtakaan merkitystä, jos työntekijöillä ei ole hajuakaan miksi niin tehdään. Ja on aivan älytöntä rakentaa monimutkaista suojausta esimerkiksi koulun verkkoon, joka hyvin harvoin sisältää mitään tärkeää. Kyllä opettajien materiaali on toivottavasti aivan eri verkossa, kuin se missä opiskelijat pyörivät. Sama se on myös yrityksissä, ei kaikkia ja varsinkaan osaamattomia työntekijöitä pidä päästää käsiksi aivan kaikkeen.

Pienemmän verkon käyttäjien salasanat oppii myös ulkoa, varsinkin jos ne itse luo. Vaikka sattuisi käyttäjä aluksi sen unohtamaan, niin itse ne muistaa ja osaa kertoa. Pääkäyttäjän salasana paperille, paperi kirjekuoreen ja kirjekuori esimerkiksi kassakaappiin. Vaikka sattuisi ylläpidolle jotain, niin edelleen päästään käsiksi tietoihin pääkäyttäjän tunnuksella.
--
Mihin on kadonnut perinteinen harakointi?
ressu Re: ei tähän
ressu, 18.3.2002 10:17:28		 Pisteet: +1
Vastaa
Tällaisissa paikoissa törmätään sitten monenlaisiin ongelmiin. Käyttäjät kirjoittavat salasanojaan paperille ja laittavat monitorin viereen. Käyttäjät unohtelevat salasanojaan. Käyttäjät soittelevat tukeen ja muualle. Tietoturvaa voidaan toki parantaa tiettyyn pisteeseen asti, mutta siinä tapauksessa usein tämä tapahtuu käyttäjän kustannuksella.
Ikävä kyllä tuo on tosiaan arkipäivää, ja koska käyttäjät unohtelevat salasanojaan, myös tekninen tuki kyllästyy aina varmentamaan käyttäjän henkilöllisyyden. keinoja on aina, kunhan vaan sovitaan yhteinen tapa hoitaa hukkuneet salasanat, esim. salasanan hukkuessa se tulee noutaa verkon ylläpitäjältä ja samalla todistaa henkilöllisyytensä.

Hankalaksi tuokin menee mutta muutaman kerran kun unohtaa niin alkaa jo oppia ettei se ihan niin helppoa ole saada uutta salasanaa.

Tottakai eri asioissa tietoturvaan kannattaa panostaa eri lailla. Minusta esimerkiksi verkkopankkien käyttämä tunnus + kertakäyttö salasana + vaihtuva varmenne tunnus sopivat siihen hommaan ihan hyvin, mutta en jaksaisi tällaista joka päivä kirjautuessa työpaikan koneelle tai kun ottaa yhteyttä johonkin resurssiin.
onhan tietenkin vaihtoehtona esimerkiksi päivittäin vaihtuva kertakäyttö salasana, joka tulee esimerkiksi kännykkään tekstiviestinä. kännykkä, toisin kuin salasana, on henkilökohtainen kuten hammasharja, melkein tyttöystävääkin lainataan helpommin kun kännykkää =)

toisaalta, tästähän on ollut huomattavasti keskustelua miten helppoa olisi salakuunnella tuo SMS viesti, mutta se alkaa sitten olla jo toinen tarina..
--
Krijoitusvihreeni ovat kpiosujattuja.
Datamike Tietoturvaa
Datamike, 18.3.2002 09:29:37		 Pisteet: +1
Vastaa
Suurin mysteeri on se että miksi ihmiset ei tajua käyttää vaikeita salasanoja. Kerta toisensa jälkeen tulee esiin tapauksia missä salasana on arvattu ja tunkeutuja on päässyt sisään. Silti ihmiset ei ymmärrä. Pahin puoli on siinä että edes ammattimaiset ylläpitäjät eivät aina ymmärrä tätä asiaa. Muistan tapauksen jossa erään koulun entinen työntekijä oli käyttänyt koulun palvelinta levittämään piraatti ohjelmia, pelejä, ja elokuvia. Sitä oli muistaakseni kestänyt kaksi vuotta ennen kuin se huomattiin. Kun mies oli jättänyt työpaikan, ylläpitäjä ei ollu poistanut sen tunnareita. No mies oli kotoaan sit tehnyt siellä ihan mitä halus.

Kouluissa tämä ongelma erityisen levällään. Olen kuullut, kaverilta, että eräässä (en kerro missä) koulussa oppilasryhmällä on ylläpitäjän tunnarit. Ihan siksi että kun ylläpitäjä oli tullut, tunnin aikana, tekemään jotain tärkeää kjorjausta tai vastaavaa, koneelle niin se oli unohtanut poistua järjestelmästä (logout).

Useimmilla ihmisillä on se ongelma, salasanojen kanssa, että he eivät jaksa nähdä vaivaa sen salasanan ylläpitämiseen. Ja jos on useampi tunnari, mitä pitää muistaa, niin sit se vasta hankalaa onkin. Kyllähän se on harmillista, mutta pienellä vaivalla siitäkin selviää. Itselläni ei koskaan ole ollut vaikeuksia salasanojen kanssa, muutamaa kertaa lukuuottamatta :)

Kyse on vähän niin kuin puhelin numerosta. KYllä jokainen senkin muistaa ulkoa. EI tarvitse kuin hokea sitä pari kertaa ja muistaa se. Sit käyttää sitä pari kertaa ja sen pitäisi iskostua mieleen suht. helposti.
"Given enough eyeballs, all bugs are shallow."
Re: Tietoturvaa
Anonyymi kommentoija, 20.3.2002 15:49:37		 Pisteet: 0
Vastaa

Kouluissa tämä ongelma erityisen levällään. Olen kuullut, kaverilta, että eräässä (en kerro missä) koulussa oppilasryhmällä on ylläpitäjän tunnarit. Ihan siksi että kun ylläpitäjä oli tullut, tunnin aikana, tekemään jotain tärkeää kjorjausta tai vastaavaa, koneelle niin se oli unohtanut poistua järjestelmästä (logout).
Mikä järjestelmä näyttää käyttäjälle selväkielisenä olemassaolevan salasanan???
Datamike Re: Tietoturvaa
Datamike, 21.3.2002 13:27:52		 Pisteet: 0
Vastaa
Mikä järjestelmä näyttää käyttäjälle selväkielisenä olemassaolevan salasanan???
En ole tietoinen kaikista asiaan liittyvistä tekijöistä, mutta ilmeisesti ainakin siinä luokassa koneissa oli ollut Windows. Koulun palvelimesta en tiedä, mutta sillä nyt oikeastaan ole merkitystäkään. Se pelkästään riittää että pääsee pääkäyttäjänä sisään. Sit voit vaikka tehdä itsellesi tunnukset.
"Given enough eyeballs, all bugs are shallow."
Re: Tietoturvaa
rugueux, 18.3.2002 09:44:44		 Pisteet: +1
Vastaa
Suurin mysteeri on se että miksi ihmiset ei tajua käyttää vaikeita salasanoja. Kerta toisensa jälkeen tulee esiin tapauksia missä salasana on arvattu ja tunkeutuja on päässyt sisään. Silti ihmiset ei ymmärrä. Pahin puoli on siinä että edes ammattimaiset ylläpitäjät eivät aina ymmärrä tätä asiaa.
Aivan, kun edes ammattilaiset eivät tunnu tätä asiaa aina tajuavan, niin miten voimme odottaa tavallisen toimistotyöntekijänkään sitä ymmärtävän? Tiedoitus ja koulutus on tietoturvaa, ei käyttäjän pakoittaminen pitkiin ja jatkuvasti vaihtuviin salasanoihin ilman mitään selittelyä.

Kouluissa tämä ongelma erityisen levällään. Olen kuullut, kaverilta, että eräässä (en kerro missä) koulussa oppilasryhmällä on ylläpitäjän tunnarit. Ihan siksi että kun ylläpitäjä oli tullut, tunnin aikana, tekemään jotain tärkeää kjorjausta tai vastaavaa, koneelle niin se oli unohtanut poistua järjestelmästä (logout).
Usein koulujen ylläpitäjinä toimii itse oppilaat. Läheskään joka koululla ei ole varaa ainakaan useampaan ylläpitäjään. Ja kun muistaa opiskelijoiden arvostuksen koulun omaisuutta kohtaan, niin en ihmettele. Ja ihan oikeita vahinkoja sattuu, varsinkin asiaa juuri opiskelevalla. Keskitytty niin uuteen asiaan, että unohtuu moni muu pieni, mutta tärkeä asia.

Useimmilla ihmisillä on se ongelma, salasanojen kanssa, että he eivät jaksa nähdä vaivaa sen salasanan ylläpitämiseen. Ja jos on useampi tunnari, mitä pitää muistaa, niin sit se vasta hankalaa onkin. Kyllähän se on harmillista, mutta pienellä vaivalla siitäkin selviää. Itselläni ei koskaan ole ollut vaikeuksia salasanojen kanssa, muutamaa kertaa lukuuottamatta :)
Tuo on suorastaan merkillistä miten päivittäin käytettyjä salasanoja ei tunnu edes "ammattilaiset" muistavan. Onko ne todella muotoa "vittuperse" vai miten ne tuntuu aina unohtuvan.

Tosin vielä ikävämpiä on tapaukset, kun ylläpito muuttaa salasanoja kertomatta asiasta. En mainitse nimiä, mutta kyllä ihmettelin, kun ensin lakkasi koko sivusto toimimasta ja seuraavana päivänä ei enään tunnukseni kelvannut. Ylläpito oli päättänyt sitä muuttaa. Prkl.
--
Mihin on kadonnut perinteinen harakointi?
setae Re: Tietoturvaa
setae, 18.3.2002 13:25:44		 Pisteet: +1
Vastaa
Useimmilla ihmisillä on se ongelma, salasanojen kanssa, että he eivät jaksa nähdä vaivaa sen salasanan ylläpitämiseen. Ja jos on useampi tunnari, mitä pitää muistaa, niin sit se vasta hankalaa onkin. Kyllähän se on harmillista, mutta pienellä vaivalla siitäkin selviää. Itselläni ei koskaan ole ollut vaikeuksia salasanojen kanssa, muutamaa kertaa lukuuottamatta :)
Muistatko autosi/pyöräsi/televisiosi kaikki ominaisuudet ja teknisten ihmeiden tunnuskoodit? Käy kysymässä asiaa ammatikseen noiden kanssa pelaavilta ja saat myöntävän vastauksen.

Kyse on vähän niin kuin puhelin numerosta. KYllä jokainen senkin muistaa ulkoa. EI tarvitse kuin hokea sitä pari kertaa ja muistaa se. Sit käyttää sitä pari kertaa ja sen pitäisi iskostua mieleen suht. helposti.
Mutta jos numeroita onkin 5-10, jotka vielä vaihtuvat pakostakin tietyn ajanjakson välein? Ja käytät sitä numeroa kahdesti päivässä (töihin tullessa ja ruokatunnilta palatessa), ei se homma olekkaan enää noin hohdokasta.

Uskon aika vakaasti siihen, että useisiin monimutkaisiin salasanoihin, jotka vielä tiuhaan tahtiin vaihtuvat, pakottaminen johtaa väistämättä niihin postit-lappusiin monitorin reunoilla ja lyijykynämerkintöihin kalentereissa. Ei jokaisella toimistotyöläisellä ole palmia ja ymmärtämystä 384 bittisistä blowfisheista ja kryptatuista salasanatietokannoista. Tietokone on useimmille edelleen vain työväline, ei mikään pyhä jumalankuva.
Datamike Re: Tietoturvaa
Datamike, 18.3.2002 14:31:46		 Pisteet: +1
Vastaa
Muistatko autosi/pyöräsi/televisiosi kaikki ominaisuudet ja teknisten ihmeiden tunnuskoodit?
Ën oikein ymmärrä miten tämä liittyy tähän, mutta en koska ei ole koskaan tarvinnut muistaa. Mutta muistan kyllä jokaisen salasanani, jota käytän.

Mutta jos numeroita onkin 5-10, jotka vielä vaihtuvat pakostakin tietyn ajanjakson välein? Ja käytät sitä numeroa kahdesti päivässä (töihin tullessa ja ruokatunnilta palatessa), ei se homma olekkaan enää noin hohdokasta.
Okei, otetaan vaikka numero: 5677187. Seitsemän merkkiä, mutta liian helppo. Mikä tahansa ohjelma voi käydä läpi numerot miljardeihin asti. Lisätään tähän pari merkkiä: 5w67718f7Y. Ja meillä on jo paljon parempi salasana. Ja kun opettelet muistamaan sen, koita saada siitä sellainen että se sointuu. Numerot ja kirjaimet sopivat yhteen (jos ymmärrät mitä tarkoitan) ja toista sitä itsellesi vartti. Sit et ajattele sitä ennen kuin käytät. Silloin pidä se vielä lapulla. Käyttö saa sen iskostumaan. Näin mä teen, ja se toimii. Eri ihmisillä tietysti asia toimii eri tavoin. Pontti onkin se että siihen saakin nähdä vähän vaivaa. Ellet ole töissä pankissa tai vakuutusyhtiössä, tai jossain missä se tietoturva on niin kuin elämäätärkeämpi, niin ei sitä tarvi joka käänteessä vaihtaa.

Ei jokaisella toimistotyöläisellä ole palmia ja ymmärtämystä 384 bittisistä blowfisheista ja kryptatuista salasanatietokannoista.
Ei ole mullakaan palmia, enkä sellaista haluaisikaan. EIkä mullakaan ole ymmärtämystä blowfish:sta, saferplus:sta, serpent:stä, tai muusta. Ei tarvitsekkaan että pystyy pitämään huolta tunnuksistaan.

Tietokone on useimmille edelleen vain työväline, ei mikään pyhä jumalankuva.
Mä en ole uskonnollinen ihminen :)
"Given enough eyeballs, all bugs are shallow."
Re: Tietoturvaa
Anonyymi kommentoija, 18.3.2002 19:04:15		 Pisteet: +1
Vastaa

Okei, otetaan vaikka numero: 5677187. Seitsemän merkkiä, mutta liian helppo. Mikä tahansa ohjelma voi käydä läpi numerot miljardeihin asti. Lisätään tähän pari merkkiä: 5w67718f7Y. Ja meillä on jo paljon parempi salasana. Ja kun opettelet muistamaan sen, koita saada siitä sellainen että se sointuu. Numerot ja kirjaimet sopivat yhteen (jos ymmärrät mitä tarkoitan) ja toista sitä itsellesi vartti. Sit et ajattele sitä ennen kuin käytät. Silloin pidä se vielä lapulla. Käyttö saa sen iskostumaan. Näin mä teen, ja se toimii. Eri ihmisillä tietysti asia toimii eri tavoin. Pontti onkin se että siihen saakin nähdä vähän vaivaa.
Tai yks keino on kehitellä jotain enemmän tai vähemmän loogisia salasanoja joissa on yhdistetty kirjaimia ja numeroita. Ja jos vähänkään luottaa omaan muistiinsa ja tuntee oman järjenjuoksunsa niin ehkä muistilappuja tai ylöskirjaamista parempi vaihtoehto on käyttää vinkkejä, eli kirjoittaa ylös vinkki jonka avulla saatat muistaakin salasanan. Esim. Z1bpIDi1 <-> dippidii. Parempiakin varmaan on ja toki aina parempi mitä helpommin tuo löytyy näppäimistöltä. Noihin kun kehittää jonkun oman logiikan variantteineen niin noidenkaan muistaminen ei käy aivan mahdottomaksi.
jemm Re: Tietoturvaa
jemm, 19.3.2002 18:52:22		 Pisteet: 0
Vastaa
Tai yks keino on kehitellä jotain enemmän tai vähemmän loogisia salasanoja joissa on yhdistetty kirjaimia ja numeroita.
Aivan. Voi vaikka miettiä jonkin helposti muistettavan (mutta vaikeasti arvattavan) lauseen tyyliin: Sektori on kiva ja hauska media.

Siitä poimii sitten vaikka pari ensimmäistä merkkiä pidemmistä sanoista ja lisää satunnaisen numeron perään/väliin: SeKiHaMe145

Sitten pitää vain muistaa tuo lause ja numero ja omatapa tehdä noita salasanoja. Siitä saa helposti pitkiäkin salasanoja, jotka eivät näytä järjelliseltä. (Pitää vain varoa lauseita, joista muodostuu tuolla algoritmilla oma nimi jne ;D)

Numeroita miettiessä kannattaa myös välttää sellaisia merkityksellisiä numeroita, joilla on merkitystä muista yhteyksistä (pätee myös esim. palvelimen/palomuurin portteja avattaessa)

Esim. "666", "42", "69", "007", omasta osoitteesta poimittu, syntymäaika jne, jotka voi ulkopuolinen arvata helposti, kannattaa välttää.
-Jemm
setae Re: Tietoturvaa
setae, 21.3.2002 17:06:58		 Pisteet: 0
Vastaa
Siitä poimii sitten vaikka pari ensimmäistä merkkiä pidemmistä sanoista ja lisää satunnaisen numeron perään/väliin: SeKiHaMe145
Yksi pahimmista ongelmista tietoturvan saralla on näennäinen tietoturva; jokin vaikuttaa turvalliselta, mutta ei sitä sitten kuitenkaan ole.

Esimerkiksi NT-verkon salasanoissa tuo mainitsemasi salasana ei ole loppujen lopuksi kauhean turvallinen - siitä kun puuttuvat erikoismerkit kokonaan. En ole NT-salasanoihin ja niiden aukilaskemiseen juuri jaksanut perehtyä, mutta ymmärsin että salasanat voi jakaa (purkamisen yhteydessä) tietyn pituisiin osiin, joita sitten voi jokaista koittaa laskea auki yksitellen. Varmin tapa, jos ei kokonaan välttää niin ainakin hidastaa aukilaskemista olisi siis käyttää merkkejä kaikista kategorioista; pienet ja isot kirjaimet, numerot ja erikoismerkit.

Nimim. tulipa ilmoitus ylläpidolta että salasanani oli saatu laskettua auki
setae Re: Tietoturvaa
setae, 18.3.2002 17:17:27		 Pisteet: +2
Vastaa
Muistatko autosi/pyöräsi/televisiosi kaikki ominaisuudet ja teknisten ihmeiden tunnuskoodit?
Ën oikein ymmärrä miten tämä liittyy tähän, mutta en koska ei ole koskaan tarvinnut muistaa. Mutta muistan kyllä jokaisen salasanani, jota käytän.
Koska sinä käytät koneita paljon, ja tuo salasana on sinulle tärkeä. TV-korjaaja tai polkupyörähuoltaja tarvitsee noita mainittuja numeroita tai koodeja, ja täten ne myös helpommin muistaa. Ne ovat hänelle tärkeitä, ihan kuin salasanat sinulle.

Silloin pidä se vielä lapulla. Käyttö saa sen iskostumaan. Näin mä teen, ja se toimii. Eri ihmisillä tietysti asia toimii eri tavoin. Pontti onkin se että siihen saakin nähdä vähän vaivaa. Ellet ole töissä pankissa tai vakuutusyhtiössä, tai jossain missä se tietoturva on niin kuin elämäätärkeämpi, niin ei sitä tarvi joka käänteessä vaihtaa.
Saarnaatko minulle, vai sille konttoritädille, joka asiaa ihmettelee? Jos hänen mielestään asia ei ole niin tärkeä, niin miksi "ne johtomiehet sieltä internet-puolelta" käskevät vaihtamaan salasanan kerran kuukaudessa? Kyllä se yksi salasana on helppo muistaa, kun on monta kertaa sanottu ettei se saa olla lasten nimi, mutta miksi pitää olla mailiin yksi ja koneeseen toinen ja finanssijärjestelmään kolmas ja niin edelleen.

Mitäkö tällä sitten haen? Nykyinen salasanamelska tuntuu monelle liian suurelta; homman käytettävyys katoaa, kun saa kokoajan pohtia salasanavyyhtejä. On vain kerrottu että salasana pitää vaihtaa, ei miksi niin pitää tehdä. Salasanat nähdään väistämättömänä pahana, jota sitten koitetaan omatoimisesti helpottaa mm. lasten nimiä käyttämällä.

Henkilöstölle pitäisi kertoa, miksi salasanoja tulee vaihtaa, ja miksi ne eivät saa olla lasten nimiä tai omia syntymäaikoja. Tulisi kertoa myös ohjelmista, jotka tälläiset yhdistelmät laskevat läpi, ei se konttoritäti välttämättä ymmärrä, että 8 kirjainta ja 8 merkkiä pitkät salasanat ovat aivan eri asia. Ja muutenkin salasanamelskasta olisi mukava koittaa päästä eroon, esimerkiksi hardware-tokeneita ja muita autentikaatiomenetelmiä käyttämällä. Nämä ovat (mihin olen itse törmännyt) käytettäviä, ja näin ollen lisäävät tietoturvaa. Harva henkilö (tietoturvasta vastaavia lukuunottamatta) haluaa vähentää käytettävyyttä - varsinkin kun ei edes ymmärrä, miksi niin tehdään.

Ja ettet vaan käsittäisi väärin, ei minulle salasanat ole ongelma, yritän vain ajatella tilannetta sen loppukäyttäjän kohdalta, joka näistä ongelmista useinmiten kärsii. Ei tietoturva ole pelkästään it-puolen juttuja.