Salasanat selaimen muistissa: milloin se riittää suojaksi

Selain kysyy tallennetaanko salasana, ja moni painaa kyllä ja tuntee siitä pientä huonoa omaatuntoa. Jostain on jäänyt mieleen, että selaimen muisti on huono paikka salasanoille. Väite oli aikanaan perusteltu, koska varhaiset selaimet säilyttivät tunnuksia lähes sellaisenaan. Nykyään tilanne on toinen, ja kysymys on siirtynyt salauksesta kokonaan toiseen paikkaan.

Oikea kysymys ei ole, kuinka vahvasti selain salaa tiedon. Oikea kysymys on, mikä avaa sen salauksen ja kuka pääsee siihen käsiksi. Tässä artikkelissa puretaan auki selaimen holvin lukitusmalli, synkronoinnin salaus ja ne tilanteet joissa erillinen ohjelma on selvästi parempi. Erillisen holvin oma salausrakenne on selitetty artikkelissa salasanojen hallintaohjelma, joten sitä ei toisteta tässä.

Selaimen holvi on käyttöjärjestelmän lukon jatke

Selain ei kirjoita salasanoja levylle selkokielisenä listana. Tunnukset tallennetaan salattuna, ja salausavain säilytetään käyttöjärjestelmän omassa avainsäilössä. Windowsissa avain on sidottu Windows-käyttäjätiliisi, macOSissa avainnippuun, ja puhelimissa avainsäilö on kytketty näytönlukituksen koodiin ja usein laitteen suojattuun piiriin.

Tästä seuraa koko artikkelin ydinasia. Avain aukeaa silloin, kun sinä kirjaudut laitteelle. Salaus ei vaadi mitään sellaista, mitä pelkästään sinä muistat, vaan se nojaa siihen, että laitteelle kirjautuminen on hallussasi.

Selain tekee vielä yhden asian, joka on helppo sekoittaa salasanojen tallennukseen. Se säilyttää myös istuntoevästeet, eli todisteen siitä että olet jo kirjautunut. Siksi moni palvelu aukeaa selaimessa ilman salasanaa lainkaan. Näiden evästeiden varastaminen ohittaa salasanan ja usein myös toisen tunnistautumisvaiheen, koska palvelu on jo hyväksynyt kirjautumisen. Tallennettujen salasanojen poistaminen ei siis yksin tyhjennä sitä, mihin selain pääsee.

Erillinen ohjelma tekee saman asian eri lähtökohdasta. Siinä salausavain johdetaan pääsalasanasta, jonka sinä muistat ja jota ei ole tallennettu mihinkään. Ero kuulostaa pieneltä mutta on käytännössä suuri: erillinen holvi voi lukita itsensä uudelleen, koska sen avaamiseen tarvitaan ihminen. Selaimen holvi ei voi, koska sen avaaminen ei vaadi mitään uutta.

Miksi puuttuva pääsalasana on koko ero

Erillisessä ohjelmassa holvi menee lukkoon esimerkiksi silloin, kun kone menee lepotilaan tai kun ohjelma on ollut käyttämättä hetken. Selaimessa vastaavaa lukkoa ei oletuksena ole. Holvi on auki niin kauan kuin olet kirjautuneena laitteelle, eli käytännössä koko ajan.

Osassa selaimia holville voi asettaa erillisen pääsalasanan tai vaatia käyttöjärjestelmän tunnistuksen ennen kuin salasana täytetään tai näytetään. Tämä on yksittäisistä asetuksista se, jolla on eniten merkitystä. Etsi selaimesi salasana-asetuksista kohta, joka pyytää vahvistuksen automaattitäytölle, ja kytke se päälle.

Erillisellä pääsalasanalla on hintansa, ja se kannattaa sanoa suoraan. Jos unohdat sen, holvi ei aukea, koska avainta ei ole tallennettu mihinkään. Tämä on sama palautumattomuus kuin erillisissä ohjelmissa, ja se on syy siihen, miksi moni jättää asetuksen käyttämättä. Valinta on tietoinen: kevyempi lukko ja pienempi lukkiutumisriski vastaan tiukempi lukko ja vastuu yhden salaisuuden muistamisesta.

Toinen usein huomaamatta jäävä asia on jaettu käyttäjätili. Jos perheen tietokoneella on yksi Windows-tili, jolla kaikki kirjautuvat, selaimen holvi on yhteinen riippumatta siitä kuka sen salasanat tallensi. Ratkaisu ei ole selaimen asetuksissa vaan käyttöjärjestelmässä: jokaiselle oma käyttäjätili omalla salasanallaan.

Mitä tapahtuu, kun kone jää auki

Selaimen tallennuksen uhkakuva ei ole kaukainen murtautuja vaan avoin näyttö. Kirjaston kone, työpaikan neuvotteluhuone, kahvilan pöytä kun käyt hakemassa kupin, oma olohuone kun asunnossa on remonttimies.

Salasanan näyttäminen selkokielisenä vaatii useimmissa selaimissa käyttöjärjestelmän salasanan tai sormenjäljen. Se kuulostaa suojalta, mutta se suojaa väärää asiaa. Hyökkääjä ei tarvitse salasanaasi. Hänelle riittää, että hän avaa palvelun sivun, jolloin selain täyttää tunnukset puolestaan, ja painaa kirjaudu. Sen jälkeen hän voi vaihtaa salasanan itse.

Käytännön johtopäätös on tylsä mutta ratkaiseva. Näytön automaattilukitus lyhyeksi, laitteelle oikea kirjautumissalasana ja tapa lukita kone aina kun nouset koneen äärestä. Sormenjälki tai kasvojentunnistus tekee lukitsemisesta niin nopeaa, että sitä tulee oikeasti käytettyä, ja biometrisen tunnistuksen rooli onkin nimenomaan tässä.

Synkronointi: mitä pilveen oikeasti lähtee

Kun kytket selaimen synkronoinnin päälle, salasanat siirtyvät laitteiden välillä palveluntarjoajan palvelimen kautta. Siirto on salattu, ja tallennus palvelimella on salattu. Ratkaiseva kysymys on, kenellä on avain.

Osa selaimista salaa synkronoitavan holvin oletuksena niin, että avain on johdettu vain sinun tiedossasi olevasta salaisuudesta. Silloin kyseessä on päästä päähän -salaus ja rakenne vastaa nollatietomallia: palveluntarjoaja säilyttää sekavaa merkkijonoa, jota se ei osaa avata. Osassa oletus on toinen, ja päästä päähän -salaus otetaan käyttöön erikseen valitsemalla oma salauslause. Ilman sitä palveluntarjoaja pystyy teknisesti avaamaan holvin, ja niin pystyy myös se, joka kaappaa selaintilisi.

Tästä seuraa sääntö, jota kannattaa noudattaa poikkeuksetta: jos synkronoit salasanoja, sen tilin suojaus on nyt kaikkien salasanojesi suojaus. Ota tilille kaksivaiheinen tunnistautuminen ja aseta erillinen salauslause, jos selain sen tarjoaa. Synkronoinnin yleinen toimintaperiaate laitteiden välillä on kuvattu artikkelissa tiedostojen synkronointi.

Haittaohjelma ei kysy pääsalasanaa

Tietoja varastavat haittaohjelmat ovat suunniteltu juuri selaimen tallenteita varten. Kun ohjelma pyörii koneella sinun käyttäjäoikeuksillasi, se voi pyytää käyttöjärjestelmältä samat avaimet kuin selain pyytää, ja kopioida holvin sisällön sekä avoimet istuntoevästeet.

Rehellisyyden nimissä: erillinen ohjelma ei ole tässä immuuni. Jos holvi on auki koneella, jolla on haittaohjelma, tilanne on sama. Ero syntyy siitä, että erillinen holvi on suuren osan ajasta lukittuna eikä sen avainta löydy koneelta. Selaimen holvi on käytännössä aina auki.

Molemmissa tapauksissa pohja on laitteen puhtaus. Jos et ole varma, mitä koneella pyörii, kannattaa lukea miten haittaohjelmat leviävät ja mitä ne tekevät päästyään sisään.

Milloin selaimen muisti riittää mainiosti

Tässä on kohta, jota harvoin sanotaan ääneen. Suurimmalle osalle tileistä selaimen tallennus on täysin riittävä, ja se on aina parempi kuin saman salasanan kierrättäminen kymmenessä palvelussa. Vertailukohta ei ole täydellinen ratkaisu vaan se, mitä ihminen tekisi muuten.

Tietovuoto palvelun päässä ei muuta tätä jakoa suuntaan eikä toiseen. Kun jokin palvelu vuotaa käyttäjätietonsa, merkitystä on vain sillä, oliko sinulla siellä oma salasana vai sama kuin muualla. Selaimen tallennus auttaa tässä täsmälleen yhtä paljon kuin erillinen ohjelma, kunhan annat selaimen arpoa salasanan sen sijaan että keksisit sen itse. Automaattitäyttö suojaa myös kalastelulta, koska selain vertaa verkkotunnusta eikä tarjoa tunnuksia näköissivustolle.

Verkkopankki on oma tapauksensa, koska pankkitunnuksia ei tallenneta selaimeen lainkaan. Vahva tunnistautuminen perustuu erilliseen välineeseen, eikä sitä korvata tallennetulla salasanalla.

Yksi lisäys taulukkoon: mitä useampi tili on selaimessa, sitä enemmän kannattaa panostaa laitteen lukitukseen. Suojaus on siirtynyt salasanoista laitteeseen, ja se on tietoinen valinta eikä vahinko.

Vienti ja siirto toiseen ohjelmaan

Jos päädyt vaihtamaan erilliseen holviin, siirtoon liittyy yksi vaarallinen välivaihe. Vientitiedosto on selkokielinen taulukko, jossa on kaikki tunnuksesi. Se on lyhyen hetken ajan koneesi arvokkain tiedosto.

1. Ota uusi ohjelma käyttöön ja luo sille pääsalasana ennen kuin viet mitään. Kirjoita pääsalasana talteen paperille siihen asti, kunnes se on varmasti muistissa.
2. Vie salasanat selaimen asetuksista tiedostoon. Tallenna tiedosto koneen paikalliselle levylle, älä pilvikansioon.
3. Tuo tiedosto uuteen ohjelmaan ja tarkista, että tunnusten määrä täsmää.
4. Poista vientitiedosto ja tyhjennä roskakori. Muista, että poistettu tiedosto ei häviä levyltä heti, kuten artikkelissa poistetun tiedoston palautus kuvataan.
5. Poista salasanat selaimen muistista ja kytke tallennustarjous pois päältä, jotta ne eivät kerry sinne uudelleen.
6. Vaihda tärkeimpien tilien salasanat uusiksi satunnaisiksi. Vanhat salasanat ehtivät olla kahdessa paikassa, ja osa niistä on todennäköisesti vanhoja ja lyhyitä.

Siirtoa ei kannata tehdä puolittain. Yleisin virhe on jättää salasanat molempiin paikkoihin, jolloin selain ja uusi ohjelma tarjoavat kirjautumisikkunassa eri versioita samasta tunnuksesta. Vanha versio jää elämään, ja kun vaihdat salasanan yhdessä paikassa, toinen alkaa täyttää väärää.

Sama koskee toiseen suuntaan siirtymistä. Vienti on aina selkokielinen, koska muuta yhteistä muotoa ohjelmilla ei ole.

Näin teet selaimen holvista riittävän hyvän

Jos päätät jäädä selaimen tallennukseen, tee nämä kuusi asiaa. Ne siirtävät suojan sinne, missä se tässä mallissa oikeasti on.

• Anna laitteelle oma vahva kirjautumissalasana ja aseta näytön automaattilukitus lyhyeksi.
• Kytke levyn salaus päälle. Windowsissa ja macOSissa se on sisäänrakennettu, ja ilman sitä kovalevyn irrottaminen ohittaa käyttäjätilin.
• Luo jokaiselle laitteen käyttäjälle oma käyttäjätili sen sijaan, että jaatte yhden.
• Vaadi tunnistus ennen automaattitäyttöä, jos selaimesi tarjoaa asetuksen.
• Suojaa selaintilisi kaksivaiheisella tunnistautumisella ja ota käyttöön oma salauslause synkronoinnille.
• Siirrä sähköpostitilin ja muiden avaintilien salasanat erilliseen holviin tai korvaa ne pääsyavaimilla, jotka eivät ole varastettavissa samalla tavalla.

Näillä selaimen muisti on rehellisesti sanottuna hyvä ratkaisu tavalliselle käyttäjälle. Ilman niitä se on yksi avoin kannettava kaikkien tiliesi ja ulkopuolisen välissä.