Miten luoda vahva salasana?

NumGener ·

Vahva salasana on sellainen, jota hyökkääjä ei pysty arvaamaan missään realistisessa ajassa — ja jota et ole käyttänyt missään muualla. Lyhyet ja ennalta arvattavat salasanat tulevat arvatuiksi, ja uudelleen käytettyä salasanaa kokeillaan muissa palveluissa tietovuodon jälkeen; molemmat heikkoudet on helppo korjata. Vahva salasana ei suojaa kaikelta: se ei pysäytä kalastelusivua tai haittaohjelmaa, minkä vuoksi alla olevat viimeiset vaiheet eivät käsittele itse salasanaa. Tämä artikkeli antaa ensin lyhyen vastauksen ja selittää sitten, miksi kukin vaihe toimii.

Lyhyt vastaus

  1. Generoi salasana sen sijaan, että keksit sen itse: 16 merkkiä tai enemmän aina, kun sivusto sen sallii.
  2. Käytä kaikkia sivuston hyväksymiä merkkilajeja: isoja ja pieniä kirjaimia, numeroita ja erikoismerkkejä.
  3. Tallenna se salasanojen hallintaohjelmaan.
  4. Käytä sitä vain yhdellä tilillä.
  5. Ota käyttöön kaksivaiheinen tunnistautuminen tai pääsyavain (passkey), jos palvelu tarjoaa sitä, ja säilytä palautuskoodit.

Mikä tekee salasanasta vahvan

Sen ratkaisee kolme ominaisuutta. Pituus: jokainen satunnainen lisämerkki moninkertaistaa yhdistelmien määrän, jota hyökkääjän on kokeiltava. Satunnaisuus: salasana on vain niin vahva kuin prosessi, jolla se luotiin, joten koneen arpomat kaksitoista merkkiä ovat paljon vahvempia kuin nimen ja vuosiluvun muodostavat kaksitoista merkkiä. Yksilöllisyys: kahdella sivustolla käytetty salasana on vain niin turvallinen kuin heikompi näistä sivustoista, sillä yhdestä palvelusta vuotaneita salasanoja kokeillaan säännöllisesti kaikissa muissa palveluissa.

Vahvuutta mitataan entropian bitteinä, ja jokainen bitti kaksinkertaistaa tarvittavien arvausten määrän. Satunnaisesti valittu merkki 62 vaihtoehdosta — latinalaiset kirjaimet a–z ja A–Z sekä numerot 0–9, kaikki yhtä todennäköisinä — lisää noin 6 bittiä, joten 12 tällaista merkkiä tuottaa noin 71 bittiä ja 16 merkkiä noin 95 bittiä. Nämä luvut pitävät paikkansa vain silloin, kun jokainen merkki valitaan toisistaan riippumattomasti ja satunnaisesti; ne eivät kerro mitään ihmisen itse keksimästä salasanasta. Generaattorimme luomilleen salasanoille näyttämällä asteikolla 60 bittiä on riittävä arkikäyttöön, 80 bittiä on vahva ja 100 bittiä on nykyisillä laitteilla käytännössä raa'an voiman hyökkäysten ulottumattomissa. Nämä ovat pikemminkin viitearvoja kuin mikään virallinen standardi: se, kuinka paljon salasana kestää käytännössä, riippuu myös siitä, miten palvelu tallentaa sen ja miten sitä vastaan hyökätään.

Miksi tavanomaiset kikat eivät toimi

Ihmiset valitsevat salasanoja hämmästyttävän samankaltaisilla tavoilla, ja murtotyökalut on rakennettu juuri näiden tottumusten ympärille:

Yhteinen heikkous on se, että ne noudattavat inhimillisen valinnan ennustettavia kaavoja. Monimutkaisuuteen pakottavat säännöt — erikoismerkki, numero, uusi salasana joka 90. päivä — ajavat ihmisiä juuri näihin kaavoihin. Siksi NIST:n nykyiset ohjeet kehottavat palveluita luopumaan monimutkaisuusvaatimuksista ja säännöllisistä salasanan vaihdoista ja sen sijaan tarkistamaan uudet salasanat vuodettujen salasanojen listoja vastaan.

Salasana, joka täytyy kirjoittaa itse: käytä salasanalauseketta

Muutama salasana on kirjoitettava ilman salasanojen hallintaohjelmaa: hallintaohjelman pääsalasana, tietokoneen tai puhelimen kirjautuminen ja useimmilla pääsähköpostitilin salasana. Näitä varten kannattaa käyttää salasanalauseketta — useita sattumanvaraisesti valittuja sanoja, ei itse keksittyä virkettä. Klassinen menetelmä on Diceware, ja EFF julkaisee sanalistoja sitä varten; käytä englanninkielistä listaa nimeltä EFF Long Wordlist:

  1. Avaa lista: siinä on 7 776 sanaa, joista jokainen on numeroitu viisinumeroisella luvulla numeroista 1–6.
  2. Heitä tavallista kuusisivuista noppaa viisi kertaa tai viittä noppaa kerralla ja lue ne vasemmalta oikealle, ja kirjoita viisi numeroa muistiin tässä järjestyksessä.
  3. Etsi sanalistasta sana kyseisellä numerolla.
  4. Toista, kunnes sinulla on kuusi sanaa.
  5. Pidä sanat täsmälleen sellaisina kuin ne tulivat, vaikka jokin niistä toistuisi tai olisit mieluummin valinnut hienompia sanoja. Painaaksesi ne mieleen muodosta niistä mielikuva tai tarina — muuttamatta sanoja tai niiden järjestystä.

Jokainen sana lisää noin 12,9 bittiä, joten viisi sanaa antaa noin 65 bittiä ja kuusi noin 78 bittiä, ja kuusi tavallista sanaa on paljon helpompi muistaa ja kirjoittaa kuin saman vahvuinen merkkijono symboleita. Kaksi ehtoa saa sen toimimaan. Sanat on valittava sattumanvaraisesti, sillä laulun säe tai lempilainaus löytyy jo hyökkääjien sanakirjoista; samasta syystä älä koskaan käytä lausetta, jonka olet nähnyt esimerkkinä missään. Eikä lausetta saa käyttää uudelleen: yksi salasanalauseke, yksi paikka.

Kaikki muut salasanat: generoi ne

Niille kymmenille tileille, joiden salasanoja et koskaan kirjoita käsin, ei ole mitään syytä keksiä mitään itse. Vahvojen salasanojen generaattorimme luo jokaisen salasanan selaimessasi käyttäen rajapintaa Web Crypto API, eikä sitä koskaan lähetetä palvelimelle. Aseta kenttään Pituus arvoksi 16 tai enemmän, valitse sivuston hyväksymät merkkiluokat ja paina painiketta Generoi; tuloksen alla oleva entropia-arvio näyttää vahvuuden bitteinä. Valinta Ei samannäköisiä merkkejä poistaa helposti sekoittuvat merkit (Il1O0o), kun salasana on luettava ääneen tai kirjoitettava näytöltä, ja kenttä Määrä luo kokonaisen listan, kun määrität useita tilejä kerralla.

Jotkut sivustot rajoittavat edelleen pituutta tai kieltävät tietyt symbolit. Jos sivusto hylkää tuloksen, kytke pois vain ne merkkityypit, jotka se kieltää, ja säilytä pituus; lyhennä salasanaa vain silloin, kun sivusto todella rajoittaa pituutta. Älä kummassakaan tapauksessa palaa itse keksittyyn salasanaan: satunnainen 12 merkin salasana on silti paljon parempi kuin nokkela keksitty salasana.

Missä säilyttää salasanoja

Yksilöllinen satunnainen salasana jokaiselle tilille on helpointa säilyttää salasanojen hallintaohjelmassa: se tallentaa ne, täyttää ne puolestasi, ja monet ohjelmat myös varoittavat, jos jokin niistä esiintyy tunnetussa tietomurrossa. Tällöin sinun tarvitsee muistaa vain yksi salasanalauseke sadan salasanan sijaan. Jos et halua käyttää hallintaohjelmaa, kotona turvallisessa paikassa poissa vieraiden näkyviltä säilytettävä muistikirja on pienempi riski kuin salasanojen käyttäminen uudelleen. Se, mikä ei toimi, on tekstitiedosto työpöydällä, viesti pikaviestimessä tai tarralappu näytön reunassa työpaikalla.

Lyhyt muistilista

Ymmärtääksesi, miksi nämä säännöt ovat olemassa, lue miten salasanat murretaan. Lisää artikkeleita on koottu salasanaoppaisiin.