Salasanat paperille: milloin muistivihko on järkevä valinta

Neuvo "älä koskaan kirjoita salasanoja paperille" on toistettu niin monta kertaa, että se kuulostaa luonnonlailta. Se syntyi aikana, jolloin salasanoja oli muutama ja ne kirjoitettiin keltaiselle lapulle näytön reunaan avokonttorissa. Siinä ympäristössä sääntö oli oikea.

Nykyään tilanne on toinen. Salasanoja on kymmeniä, ne pitäisi olla erilaisia, ja vaihtoehto paperille kirjoittamiselle ei useimmiten ole täydellinen muisti vaan saman salasanan käyttäminen kaikkialla. Tässä artikkelissa arvioidaan paperi rehellisesti: mitä vastaan se suojaa, mitä vastaan ei, ja miten se yhdistetään järkevästi ohjelmaan. Erillisen holvin tekninen rakenne on selitetty artikkelissa salasanojen hallintaohjelma.

Uhkakuva ratkaisee, ei sääntö

Tietoturvassa ei ole turvallisia ja turvattomia ratkaisuja, vaan ratkaisuja jotka suojaavat tietyiltä uhilta. Kysymys ei siis ole siitä, onko paperi turvallinen, vaan siitä, ketä vastaan sinä suojaudut.

Valtaosa tilien menetyksistä alkaa verkosta ja on automaattista. Joku on vuotanut palvelun käyttäjätiedot, ja ohjelma kokeilee samoja tunnuksia sadassa muussa palvelussa. Tämä hyökkäys skaalautuu miljooniin ihmisiin, koska se ei vaadi mitään ihmiskäsittelyä. Paperinen vihko on tällaista hyökkäystä vastaan täydellinen suoja, koska vihko ei ole verkossa eikä hyökkääjä tiedä sen olemassaolosta.

Vastapainoksi paperi ei suojaa lainkaan siltä, joka on samassa huoneessa. Ja tässä on syytä olla tarkka: kotona liikkuu enemmän ihmisiä kuin ensin ajattelee. Vieraat, remontin tekijät, siivousapu, kotihoito, teini-ikäisen kaverit, entinen kumppani jolla on vielä avain, ja asunnon esittely myyntitilanteessa.

Verkkohyökkääjä ei näe keittiön laatikkoa. Keittiössä käyvä ihminen ei näe salattua holvia. Valinta on siinä, kumpi on sinun elämässäsi todennäköisempi.

Uhkakuvien ero näkyy myös mittakaavassa. Verkkohyökkäys on halpa ja kohdistuu kaikkiin yhtä aikaa, joten se osuu ennemmin tai myöhemmin jokaiseen, jolla on kierrätetty salasana. Vihkon löytäminen vaatii pääsyn juuri sinun kotiisi, eli kohdistettua vaivaa yhtä ihmistä kohti. Useimmilla ihmisillä toinen näistä on arjessa selvästi todennäköisempi kuin toinen, ja se on syytä myöntää ääneen ennen kuin ohjetta antaa.

Paperi ei sovi lainkaan tilanteisiin, joissa kotona on ihminen, jolta pitää suojautua. Eron jälkeisessä tilanteessa, lähisuhdeväkivallassa tai jaetussa asunnossa vieraiden kanssa vihko on huonoin mahdollinen ratkaisu, ja silloin lukittu digitaalinen holvi on ainoa toimiva vaihtoehto.

Paperin todellinen heikkous on palautumattomuus

Varkaus on se riski, jota pelätään. Käytännössä yleisempi vahinko on toinen: vihko katoaa, kastuu, palaa tai jää muuttolaatikkoon, ja sen mukana menevät kaikki tilit joiden salasanaa et muista ulkoa.

Digitaalinen holvi synkronoituu useaan laitteeseen ja on varmuuskopioitavissa. Paperia on lähtökohtaisesti yksi kappale. Sama ongelma on tuttu tiedostoista, ja siihen pätee sama sääntö kuin muuhunkin tallennukseen: yksi kopio ei ole kopio. Varmuuskopioinnin 3-2-1-sääntö toimii tässä yllättävän hyvin ohjenuorana, kunhan toinen kappale sijaitsee eri rakennuksessa.

Paperilla on kolme muutakin heikkoutta, jotka on hyvä tunnistaa etukäteen.

• Ei kalastelusuojaa. Ohjelma vertaa verkkotunnusta eikä täytä tunnuksia näköissivustolle. Paperia lukiessa sinä olet se, joka tarkistaa osoitteen, ja väsyneenä ihminen ei tarkista.
• Ei vuotovaroituksia. Ohjelma kertoo, mikä salasana on esiintynyt tunnetuissa vuodoissa. Vihko ei kerro mitään.
• Lyhyemmät salasanat. Käsin kirjoitettu ja käsin naputeltu salasana halutaan lyhyeksi. Kun salasanaa pitää kirjoittaa usein, sen entropia laskee huomaamatta. Tähän auttaa salalause, joka on pitkä mutta nopea kirjoittaa.

Mitä vihkoon kirjoitetaan ja mitä ei

Vihko ei ole kaikki tai ei mitään. Suurin osa hyödystä saadaan sillä, että sinne kirjoitetaan vain harvat asiat, ja niistä vain se osa, jota ei voi päätellä.

Kirjoitustavassa auttaa yksi yksinkertainen keino. Jätä jokaisesta salasanasta pois sama vakio-osa, jonka muistat ulkoa etkä kirjoita mihinkään. Jos vihkossa lukee kirjasto: sinileipa42 ja sinä lisäät perään aina saman lyhyen pätkän, vihkon löytäjällä ei ole toimivaa salasanaa. Ehto on, että vakio-osa on todella sama kaikkialla ja että muistat sen varmasti.

Vakio-osan kanssa kannattaa olla johdonmukainen. Jos sitä käyttää vain osassa merkinnöistä, kirjautuminen alkaa epäonnistua eikä muista kummasta on kyse. Kirjoita vihkon ensimmäiselle sivulle merkintä siitä, että vakio-osa on olemassa, mutta älä kirjoita sitä itseään. Silloin muistat säännön vielä vuosien päästä.

Toinen keino on olla nimeämättä palveluita täsmällisesti. "Pankki" ja "sähköposti" kannattaa merkitä lyhenteillä tai vihjeillä, jotka avautuvat sinulle mutta eivät satunnaiselle löytäjälle. Tämä ei ole vahvaa suojaa, mutta se muuttaa vihkon löytämisen välittömästä hyödystä tulkintatehtäväksi.

Säilytys ratkaisee enemmän kuin kirjoitusasu

Vihko, joka on kirjahyllyssä muiden vihkojen seassa, on paremmin suojattu kuin vihko, jossa lukee kannessa "salasanat". Tämä kuulostaa itsestään selvältä, ja silti tavallisin säilytyspaikka on työpöydän ylin laatikko.

1. Valitse paikka, joka ei ole tietokoneen välittömässä läheisyydessä. Sama laatikko koneen kanssa tarkoittaa, että murtovarkaan saalis on kokonainen.
2. Käytä lukittavaa laatikkoa tai pientä kassakaappia, jos sellainen on. Palonkestävä kassakaappi ratkaisee samalla tulipaloriskin.
3. Älä ota vihkoa mukaan reissuun. Kannettavan laukku on huonoin paikka, koska laukku katoaa yhdessä koneen kanssa.
4. Tee toinen kappale ja vie se toiseen rakennukseen, esimerkiksi luotetun sukulaisen luo suljetussa kirjekuoressa. Sovi ääneen, milloin kuori saa avata.
5. Merkitse jokainen muutos päivämäärällä, jotta tiedät kumpi kappale on uudempi, kun ne joskus eroavat toisistaan.
6. Kirjoita pysyvällä musteella. Lyijykynä ja lämpöpaperi haalistuvat vuosien mittaan, ja kuluneesta merkinnästä ei ole hyötyä.

Perikuntaan liittyvä näkökulma kannattaa miettiä samalla. Paperi on itse asiassa yksi harvoista tavoista jättää pääsy jälkipolville ilman että jaat salasanoja eläessäsi. Aiheen muut puolet on käsitelty artikkelissa salasanan jakaminen.

Hybridimalli: vain juuret paperille

Tämä on se ratkaisu, johon suurin osa asiaa miettineistä päätyy, ja se kannattaa sanoa suoraan. Paperi ei kilpaile holvin kanssa vaan täydentää sitä.

Holvi hoitaa määrän. Se arpoo ja täyttää sadat satunnaiset salasanat, joita kukaan ei voi muistaa eikä kirjoittaa käsin. Paperi hoitaa ne kaksi tai kolme salaisuutta, joita holviin ei voi tallentaa, koska ne ovat holvin edellytyksiä tai sen ohittavia varareittejä.

• Holvin pääsalasana, koska se on ainoa asia, jonka unohtaminen on lopullista.
• Kaksivaiheisen tunnistautumisen varakoodit, koska ne ovat käytössä juuri silloin kun puhelin on kadonnut tai rikki. Niiden asema palautusketjussa on kuvattu artikkelissa tilin palautus.
• Laitteen levynsalauksen palautusavain, koska ilman sitä levyn sisältö ei aukea edes sinulle.

Tässä mallissa vihko on ohut, se päivittyy harvoin ja se voi olla oikeasti lukitussa paikassa, koska sitä ei tarvitse avata päivittäin. Juuri se tekee siitä toimivan: turvallisuusratkaisu, jota joutuu käyttämään koko ajan, kuluu käytössä pois.

Milloin paperia ei tarvita lainkaan

Suunta on se, että salasanoja on vähemmän. Pääsyavaimet korvaavat salasanan laitteelle tallennetulla avaimella, jota ei voi kirjoittaa paperille eikä kalastella. Kun palvelu tukee niitä, salasanaa ei ole enää olemassa kirjoitettavaksi.

Sama koskee kirjautumista puhelimen tai tietokoneen biometrisellä tunnistuksella, jossa varsinainen salaisuus pysyy laitteen sisällä. Näissä tapauksissa paperille jää vain varareitti: mitä teet, jos laite katoaa. Se on täsmälleen se hybridimallin ohut vihko, eikä sen tarvitse olla enempää.

Käytännössä siis paperin rooli kaventuu, mutta se ei katoa. Jokaisessa järjestelmässä on jokin juuri, jota ei voi tallentaa saman järjestelmän sisään, ja se juuri on jossain säilytettävä.

Näin päätät, kumpi sopii sinulle

Käy nämä kysymykset läpi rehellisesti. Ne ratkaisevat asian nopeammin kuin yleiset ohjeet.

• Onko kodissasi ihmisiä, joiden ei pitäisi päästä tileillesi? Jos on, älä käytä paperia päätallennuksena.
• Käytätkö nyt samaa salasanaa monessa paikassa? Jos käytät, paperi on selvä parannus ja parempi kuin nykytila.
• Onko sinulla toinen kappale muualla? Jos ei ole, tee se ennen kuin luotat vihkoon.
• Osaatko ottaa ohjelman käyttöön ja ylläpitää sitä? Jos ohjelma jää käyttämättä, teoriassa parempi ratkaisu on käytännössä huonompi.
• Onko tärkeimmillä tileilläsi kaksivaiheinen tunnistautuminen? Jos on, yksittäisen salasanan paljastuminen ei vielä kaada tiliä, ja paperin riski pienenee selvästi.

Viimeinen kohta on tärkein. Toinen tunnistautumistekijä muuttaa paperin riskiprofiilin, koska pelkkä salasana ei enää riitä kenellekään. Se on myös ainoa asia tässä artikkelissa, joka kannattaa tehdä riippumatta siitä, mihin salasanasi lopulta kirjoitat.