Salasanoilla on ollut antiikin ajoista asti yksi tarkoitus: myöntää pääsy paikkaan, jonne vain tietyillä henkilöillä on lupa päästä. Ennen nykyaikaisia laitteita ja järjestelmiä, joihin kirjautumiseen tänä päivänä tarvitaan salasanoja, käytettiin salasanoja suullisesti. Jos antiikin Roomassa sotilas halusi päästä omaan yksikköönsä vartijoiden ohi menettämättä henkeään, oli tiedettävä oikeat sanat.
Tänä päivänä salasanojen kanssa vaarana ei ole niinkään hengenlähtö, vaan ennemminkin riski siitä, että liian heikko salasana myöntää väärälle henkilölle pääsyn toisen tietoihin. Tässä blogissa tutustutaan tarkemmin siihen, mistä tietokonemaailman salasanakäytännöt ovat saaneet alkunsa, ja mitkä ovat nykyiset suositukset oikeaoppisen salasanan luomiseen.
Salasanat ovat olleet osana tietokoneita lähes alusta alkaen. Ensimmäiset ohjelmoitavat tietokoneet julkaistiin 1940-luvulla, ja ensimmäiset käyttöjärjestelmät tulivat tietokoneisiin 1950- ja 1960- luvuilla. Vuonna 1961 julkaistiin Compatible Time-Sharing System (CTSS), joka oli ensimmäinen käyttöjärjestelmä, jossa oli salasanallinen sisäänkirjautuminen.
CTSS on toiminut edelläkävijänä monille nykypäiväisille tietojenkäsittelyn rakennuspalikoille, kuten sähköpostille, tiedostojen jakamiselle, sekä virtuaalikoneille.
CTSS käyttöjärjestelmästä huolimatta, salasanoja ei juurikaan käytetty ennen kuin internet tuli laajempaan käyttöön 1990-luvulla. Internetin ja salasanojen yleistymisen myötä, tuli ihmisille salasanaähky. Internetin käyttäjillä on helposti 100 eri sivustoa, ohjelmaa ja järjestelmää, joihin tarvitsee salasanan. Tämä on johtanut siihen, että käytetään samaa tai lähes samaa salasanaa useammassa paikassa, ja jaetaan salasanoja perheen ja ystävien kanssa (esim. suoratoistopalvelut).
Salasanoihin on kehitetty monia uusia ominaisuuksia helpottamaan ähkyn kanssa. Käyttöön on tullut muun muassa MFA (Multi-Factor Authentication) ja biometrinen tunnistautuminen (sormenjälki, kasvojen tunnistus). Näiden avulla kirjautuminen laitteella kuin laitteella varmistetaan nopeasti ja turvallisesti – ilman satojen salasanojen muistamista.
Ensimmäiset salasanat tietokoneille kehitettiin siksi, että samaa järjestelmää (CTSS) pystyisi käyttämään useampi henkilö. Salasanan tehtävänä oli tunnistaa kuka käyttää tietokonetta, ja avata oikea näkymä oikealle henkilölle.
Internet-aikakaudella salasanoja ja käyttäjätunnuksia käytetään edelleen samalla periaatteella. Käyttäjät ovat suosineet yksinkertaisia helposti muistettavia salasanoja, sekä kirjoittaneet vähänkään hankalammat salasanat ylös muistilapuille. Yksinkertaisten ja helposti muistettavien salasanojen heikkous on siinä, että ne on myös hakkerille lähtökohtaisesti helppoja arvattavia. Muistilapuilla säilytettävien salasanojen turvallisuudesta ei varmaan tarvitse erikseen mainita: ollaan varmasti jo kaikki opittu, ettei salasanan kuulu olla muiden nähtävillä tai helposti taskuun napattavissa.
Turvallisuuden takaamiseksi salasanoja alettiin tallentamaan eri muotoihin salausalgoritmien avulla. Tarkoituksena oli tehdä salasanoista vaikeammin tulkittavia muuttamalla salasanat selvätekstisestä muodosta johonkin muuhun. Tällaiseen käytettiin suolaus- ja hajautusalgoritmeja. Hajautusalgoritmi kulkee myös nimellä hashing.
Salasanojen suosituspituudet ovat vaihdelleet vuosien varrella aina neljästä merkistä 12:sta saakka. Alussa vaatimuksia salasanan monimutkaisuuden osalta ei juurikaan ollut, ohjeistettiin vain suosimaan satunnaisia kirjaimia. Myöhemmin vaatimuksiin tuli mukaan isot ja pienet kirjaimet, sen jälkeen numerot ja erikoismerkit. Suosituksiin kuului myös säännölliset salasanan vaihdot ja eri salasanojen käyttö eri palveluissa.
Yhdysvaltain standardisointi- ja teknologiainstituutti (NIST) julkaisee vuosittain uusia suosituksia hyviä salasanakäytäntöjä koskien. Uusimmat suositellut käytännöt näyttävät tällä hetkellä tältä:
Verkkoturvallisuudella on väliä. Aloita hyvien salasanakäytäntöjen noudattaminen jo tänään, ja varmista että omasi ja yhtiösi tiedot pysyvät varmassa tallessa.
Valitettava tosiasia on se, että teknologian sijaan tänä päivänä tietoturvallisuuden heikkous on usein ihmiset. Lue lisää täältä, miten MD Tietoturvatestin avulla voimme kartoittaa teidän henkilöstönne tietoturvatietämyksen tason: MD Tietoturvatesti – mikä on yrityksenne tietoturvan heikoin lenkki? - Marskidata Testin tulosten perusteella voimme yhdessä pohtia miten juuri teidän yrityksenne tietoturvaa ja henkilöstön tietoturvatietämystä voitaisiin kehittää.
