Salasanan jakaminen turvallisesti perheelle ja työkaverille

Salasanaoppaat sanovat, ettei salasanoja jaeta. Arjessa niitä silti jaetaan joka päivä, koska tarve on aito: suoratoistotili on koko perheen, tilitoimisto tarvitsee pääsyn laskutusjärjestelmään ja naapuri kastelee kukkia ja tarvitsee ovikoodin sovellukseen. Kielto, jota kukaan ei noudata, ei ole ohje vaan tapa siirtää ongelma näkymättömiin.

Tässä artikkelissa käsitellään sitä, miten jakaminen tehdään niin, että se on peruttavissa ja jäljitettävissä. Aihe rajautuu jakamisen mekaniikkaan: salasanaohjelman toimintaperiaate kokonaisuudessaan on kuvattu artikkelissa salasanojen hallintaohjelma.

Miksi viestillä lähetetty salasana jää elämään

Salasana on tieto, joka menettää arvonsa heti kun se on useammassa paikassa. Viestikanavat on suunniteltu tekemään päinvastaista: ne säilyttävät, kopioivat ja synkronoivat.

Kun lähetät salasanan pikaviestimellä, siitä syntyy vähintään kaksi pysyvää kopiota, sinun ja vastaanottajan laitteelle. Molemmista syntyy kopio puhelimen varmuuskopioon. Jos vastaanottaja käyttää samaa tiliä useammalla laitteella, kopioita on enemmän. Viesti näkyy usein myös lukitusnäytön ilmoituksessa. Mikään näistä ei ole vika vaan viestisovelluksen tarkoitus.

Päästä päähän -salaus ei ratkaise tätä. Se suojaa viestin matkalla, mutta ongelma ei ole matka vaan päätepisteet ja säilyminen. Salattukin viesti on selkokielinen molemmilla laitteilla, ja se on siellä vielä vuoden päästä.

Kolme muuta seurausta jäävät usein huomaamatta. Viestiä voi välittää eteenpäin ilman että saat siitä tiedon. Salasana kulkeutuu hakutoiminnolla löydettäväksi, jolloin kuka tahansa laitteen haltuunsa saanut löytää sen hakusanalla salasana. Ja kun jakaminen pitäisi perua, ainoa keino on vaihtaa salasana, mikä katkaisee pääsyn kaikilta muiltakin.

Jaettu kansio holvissa: miten jakaminen oikeasti toimii

Salasanaohjelman jaettu kansio kääntää asetelman toisin päin. Salasanaa ei siirretä vastaanottajalle, vaan vastaanottajalle annetaan pääsy siihen paikkaan, jossa salasana on.

Tekninen periaate on avainten hallinta. Holvin sisältö on salattu, ja jakaminen tarkoittaa sitä, että jaettavan kansion salausavain toimitetaan vastaanottajan julkisella avaimella suojattuna hänen holviinsa. Palveluntarjoaja välittää tiedon näkemättä sen sisältöä. Käyttäjälle tämä näkyy vain siten, että kansio ilmestyy toisen ohjelmaan.

Tästä seuraa neljä käytännön etua:

• Salasana ei kulje viestinä, joten sitä ei jää historiaan eikä varmuuskopioihin selkokielisenä.
• Pääsyn voi perua poistamalla käyttäjän jaosta. Salasanaa ei tarvitse vaihtaa, ellei ole syytä epäillä että toinen ehti kopioida sen muualle.
• Päivitys leviää itsestään. Kun vaihdat salasanan, kaikki jaon jäsenet saavat uuden version automaattisesti eikä kukaan lähetä mitään kenellekään.
• Oikeuksia voi rajata. Monessa ohjelmassa voi antaa oikeuden käyttää salasanaa ilman oikeutta nähdä sitä, ja erikseen oikeuden muokata.

Rajoitteet kannattaa myös tietää. Jaettu kansio edellyttää, että molemmilla on sama ohjelma tai vähintään yhteensopiva jakotoiminto. Perhetilaus kattaa yleensä kotitalouden, työtilaus organisaation. Ja se, joka näkee salasanan kerran, voi aina kirjoittaa sen ylös: tekniikka hallitsee pääsyä, ei ihmisen muistia.

Kertakäyttöinen jakolinkki: milloin se on oikea työkalu

Jaettu kansio sopii jatkuvaan tarpeeseen. Kertaluontoiseen tarpeeseen se on raskas, koska vastaanottajalla pitäisi olla sama ohjelma. Tähän on olemassa toinen työkalu: kertakäyttöinen jakolinkki.

Toimintaperiaate on yksinkertainen. Salaisuus tallennetaan palveluun salattuna, ja siitä muodostetaan linkki, joka näyttää sisällön kerran tai rajatun ajan. Sen jälkeen tieto poistetaan. Salasana ei siis jää viestiketjuun, vaan viestiketjuun jää linkki, joka ei enää toimi.

Kolme sääntöä tekevät linkistä hyödyllisen:

1. Aseta lyhyt voimassaoloaika ja katselukerraksi yksi. Mitä lyhyempi aika, sitä pienempi ikkuna kenellekään muulle.
2. Lähetä linkki ja tieto sen tarkoituksesta eri kanavia pitkin. Linkki viestillä, tieto siitä mihin tunnus liittyy puhelimessa. Yksi kaapattu kanava ei silloin riitä.
3. Varmista, että vastaanottaja avaa sen heti. Jos linkki on avattu ennen kuin hän ehtii, jotain on pielessä ja salasana pitää vaihtaa saman tien.

Linkki ei tee salasanasta turvallista, se tekee siitä lyhytikäisen. Vastaanottaja voi silti tallentaa sen huonoon paikkaan, joten kannattaa pyytää häntä tallentamaan se suoraan omaan salasanaohjelmaansa.

Kanavat vertailtuna

Sähköposti on listan hankalin, koska se yhdistää kaikki ongelmat. Viesti säilyy vuosia, se on haettavissa, se kopioituu usein useaan postilaatikkoon ja sähköpostitili on juuri se tili, jota vastaan hyökätään ensimmäisenä.

Perheen suoratoistotili ja muut kotitalouden tunnukset

Kotitalouden jaetut tilit ovat yleisin syy salasanan jakamiseen, ja ne ovat myös helpoin tapaus. Kolme asiaa kannattaa käydä läpi.

Tarkista ensin, tarjoaako palvelu oikean perhetoiminnon. Moni suoratoisto-, musiikki- ja pilvipalvelu tukee erillisiä profiileja tai perhejäsenyyttä, jolloin jokaisella on omat tunnukset ja oma historia. Se on aina parempi kuin yhteinen salasana, ja se on myös palveluehtojen mukaista. Palvelun rakenteesta kertoo lisää artikkeli suoratoistopalvelu selitettynä.

Jos yhteinen tunnus on ainoa vaihtoehto, jaa se holvin kautta ja irrota siitä maksuvälineet, jos se on mahdollista. Tallennettu maksukortti tekee viihdetilistä ostotilin, ja silloin jakamisen seuraus voi olla rahallinen.

Kolmas kohta on kaksivaiheinen tunnistautuminen. Jos tilillä on toinen tekijä, koodi menee vain yhden ihmisen puhelimeen ja muut soittavat hänelle joka kerta. Osa ohjelmista osaa jakaa myös kertakäyttökoodin tuottavan avaimen jaetussa kansiossa, mikä ratkaisee tilanteen. Menetelmien eroja käsitellään artikkelissa kaksivaiheinen tunnistautuminen.

Yrityksen yhteinen tunnus: milloin se on oire eikä ratkaisu

Työpaikalla jaettu tunnus on eri asia kuin kotona jaettu tunnus, koska siihen liittyy vastuu. Kun kymmenen ihmistä käyttää samaa tunnusta, lokitieto kertoo vain että tunnus teki jotain. Kuka teki, ei ole selvitettävissä. Se estää virheiden selvittämisen ja tekee väärinkäytöksen osoittamisen käytännössä mahdottomaksi.

Toinen ongelma näkyy vasta lähtiessä. Kun työntekijä vaihtaa työpaikkaa, henkilökohtaiset tunnukset suljetaan yhdellä toimenpiteellä. Jaettu tunnus jää voimaan, ellei joku muista vaihtaa sitä, ja muistaminen unohtuu juuri silloin kun kiire on suurin.

Yhteinen tunnus on siis useimmiten oire siitä, ettei palvelussa ole otettu käyttöön käyttäjähallintaa. Ratkaisujärjestys on tämä:

1. Selvitä, tukeeko palvelu useita käyttäjiä ja rooleja. Moni palvelu tukee, mutta ominaisuus on maksullisessa tasossa tai jäänyt käyttöönotossa väliin.
2. Jos tukee, luo jokaiselle oma tunnus ja anna oikeudet tehtävän mukaan. Tämä ratkaisee sekä jäljitettävyyden että lähtemisen.
3. Jos ei tue, laita tunnus jaettuun kansioon ja kirjaa ylös, keillä on pääsy ja miksi.
4. Sovi vaihdon käytäntö. Jaettu salasana vaihdetaan aina, kun joku poistuu jaosta.
5. Kirjaa jaetut tunnukset yhteen paikkaan. Tuntemattomat jaetut tunnukset ovat tyypillistä varjo-IT:tä, ja ne löytyvät yleensä vasta ongelman jälkeen. Aihetta käsitellään laajemmin artikkelissa pienyrityksen tietoturva.

Sama logiikka koskee tiedostoja: jakolinkkien ja käyttöoikeuksien eroista kerrotaan artikkelissa jakolinkit ja käyttöoikeudet.

Näin perut jakamisen niin, että pääsy oikeasti katkeaa

Jakamisen perumista pidetään yhtenä toimenpiteenä, mutta se on useampi. Käy nämä läpi järjestyksessä, kun jaettu tarve päättyy tai kun väli rikkoutuu.

1. Poista käyttäjä jaetusta kansiosta. Tämä katkaisee pääsyn holvin kautta, mutta ei sitä, mitä hän on jo nähnyt.
2. Vaihda salasana, jos on syytä epäillä että hän tallensi sen muualle. Riitatilanteessa oletus on aina, että tallensi.
3. Kirjaa kaikki laitteet ulos palvelun asetuksista. Vanha istunto jatkuu muuten salasanan vaihdon jälkeenkin.
4. Tarkista liitetyt sovellukset ja laitteet. Suoratoistopalveluissa on usein lista laitteista, verkkopalveluissa lista liitetyistä sovelluksista. Poista ne, joita et tunnista.
5. Tarkista palautustiedot. Poista tuntemattomat sähköpostiosoitteet ja puhelinnumerot, jotka toimivat palautusreittinä.
6. Tarkista maksutiedot ja edelleenlähetykset. Sähköpostissa tarkista suodattimet ja edelleenlähetyssäännöt, tilauspalveluissa maksuvälineet.

Jos tilanne ei ole tavanomainen jaon päättyminen vaan epäilet, että tiliäsi käytetään vastoin tahtoasi, kannattaa lukea tili kaapattiin, jossa sama työjärjestys käydään läpi laajemmin.

Milloin tiliä ei jaeta lainkaan

Osa tileistä on sellaisia, ettei niitä jaeta millään menetelmällä. Näissä jakaminen ei ole tekninen riski vaan rikkoo sen, mihin koko palvelu perustuu.

• Pankkitunnukset ja vahva tunnistautuminen. Tunnistusväline on henkilökohtainen ja sen luovuttaminen toiselle on ehtojen vastaista. Sillä tehdyt toimet katsotaan sinun tekemiksesi.
• Viranomaisasiointi. Toisen puolesta asiointiin on olemassa oikea väline, valtuutus. Miten se annetaan ja mitä sillä voi tehdä, kerrotaan artikkelissa Suomi.fi-viestit ja valtuudet.
• Terveystiedot ja reseptit. Näiden käsittelyyn on omat valtuutusmenettelynsä, eikä salasanan antaminen korvaa niitä.
• Työnantajan henkilökohtainen tunnus. Yleensä nimenomaisesti kielletty, ja jakaminen siirtää vastuun sinulle.
• Tili, jonka salasana on käytössä myös muualla. Jaa vasta sen jälkeen, kun olet tehnyt salasanasta ainutkertaisen.

Muistisääntö on tämä: jos tilillä voi tehdä sitovia päätöksiä sinun nimissäsi, sitä ei jaeta salasanalla. Jos tilillä katsotaan sarjoja, se jaetaan holvin kautta ja unohdetaan. Suurin osa arjen tapauksista sijoittuu näiden väliin, ja niissä ratkaisee yksi kysymys: pystytkö perumaan pääsyn, jos tilanne muuttuu.