Salasanaton tulevaisuus – liian hyvää ollakseen totta?

MTV uutiset listasi vuoden 2022 marraskuussa maailman yleisimmät salasanat. Kauan kärkeä pitäneen suosikin “123456” oli ohittanut sana “password”. (Niiniaho 2023.) Molemmat varsinaisia hakkereiden unelmia. Vaikka yleisimpien salasanojen lista näyttää vuosi vuoden jälkeen samalta ja salasanojen käyttöä on paljon kritisoitu, käyttäjätunnus ja salasana on edelleen tärkein tunnistautumismenetelmä (Furnell 2022).

Käyttäjiä usein syyllistetään huonon salasanan valitsemisesta. Harva sivusto kuitenkaan opastaa hyvän salasanan luomisessa, ainakaan kovin syvällisesti. Saatetaan todeta, että hyvä salasana on kahdeksan merkkiä pitkä ja sisältää erikoismerkkejä. (Furnell 2022.) Kahdeksan merkkiä saattaa hyvinkin olla ”12345678“, joten neuvona tämä ei ole kovin kummoinen. Toisaalta voi todeta, että jokainen on vastuussa omasta tietoturvastaan ja siten myös velvollinen selvittämään, minkälainen on hyvä salasanakäytäntö. Kuitenkin jo pelkästään salasanojen määrästä ja ehkä myös ajan puutteesta johtuen moni varmasti tuntee hukkuvansa salasanojen valtamereen ja valitsee helpoimman tien, eli joko valitsee salasanan, joka on tyyppiä ”123456”, tai kirjoittaa salasanansa Post it -lapulle, jonka kiinnittää näyttöpäätteelle. Tai, jos ei muuta, käyttää samaa salasanaa useammassa palvelussa.

Salasanaton tunnistautuminen on kuitenkin tulossa. Esimerkiksi käytettäessä biometristä tunnistautumista, kuten sormenjälki- tai kasvojentunnistusta, salasanaa ei aina tarvita. Salasanojen turvallisuutta lisäämään on myös tarjolla erilaisia salasanojen hallintaohjelmia, joita käytettäessä yhden salasanan muistaminen riittää. Toinen turvallinen vaihtoehto on monivaiheinen tunnistautuminen.

Google, Apple ja Microsoft tarjoavat tämän lisäksi myös salasanattoman vaihtoehdon, ns. salausavaimen (passkey). Apple käyttää suomeksi nimitystä pääsyavain. (Sonerva 2023).

Salausavain on Fido alliancen kehittämä standardi, jonka Apple, Google ja Microsoft ovat ottaneet käyttöönsä (Sonerva 2023). Salausavaimen idea on, että käyttäjä kirjautuu palveluihin käyttäen puhelintansa ja siinä olevaa biometristä tunnistautumistekniikkaa. Salausavaimet perustuvat avainparin käyttöön. Kun käyttäjä rekisteröityy uuteen palveluun, luodaan uniikki avainpari. Toinen on julkinen avain ja toinen on yksityinen ja molempia avaimia tarvitaan kirjauduttaessa sovellukseen. Julkinen avain tallennetaan palveluun tai sovellukseen, johon käyttäjä on rekisteröitymässä, kun taas toinen, yksityinen avain, tallentuu puhelimeen.  Tämän jälkeen avainparin oikeellisuus tarkistetaan pyytämällä käyttäjää tunnistautumaan puhelimellaan aina käyttäjän kirjautuessa uudestaan palveluun. Käytännössä tämä tarkoittaa sitä, että puhelimen on aina oltava mukana, kun haluaan kirjautua eri palveluihin.  (Räty 2023.).

Salausavaimen turvallisuus perustuu osittain siihen, että sen murtamiseksi täytyy saada käsiinsä fyysinen laite, jolla yksityinen avain on, esimerkiksi puhelin, ja toisaalta siihen, että salasanan puuttuminen suojaa   kalasteluyrityksiltä. Koska salasanaa ei ole, sitä ei tietenkään pysty arvaamaan tai varastamaan. (Mandal 2023.) Käyttäjäkokemus paranee, koska käyttäjän ei tarvitse muistaa salasanoja ja häntä ei enää velvoiteta keksimään vahvoja salasanoja (Sonerva 2023).

Salausavaimilla on toki myös heikkoutensa. Furnell (2022) epäilee artikkelissaan, että käyttäjän saama opastus avaimien käyttöön jää yhtä ohueksi kuin salasanojen kohdalla. Tosin salausavaimen käyttö perustuu pitkälti palvelujen itse luomiin avaimiin, joten kovin monessa kohdassa ei pitäisi olla mahdollista harhautua.

Fyysisen laitteen tarve voi myös olla este salausavainten käyttöönottoon. Käyttäjällä on aina oltava puhelin mukanaan, mikä saattaa vähentää käyttäjien halukkuutta siirtyä salausavainten käyttöön. (Haskell-Dowland & Furnell 2022.) Kaikki sivustot eivät myöskään tue salausavaimen käyttöönottoa, joten niiden käyttö ei aina ole sujuvaa. Salausavainten yleinen käyttöönotto nopeutuisi, jos mahdollisimman monta palvelua käyttäisi sitä oletusarvona käyttäjän rekisteröityessä. (Furnell 2022.)

Salasanojen turvallisuus kärsii lähinnä inhimillisen tekijän takia ja salausavaimet vähentävät tätä riskiä. Salausavain on varmasti turvallisempi vaihtoehto kuin salasanat, mutta kuinka paljon turvallisempi kuin monivaiheinen tunnistautuminen? Jää nähtäväksi, miten hyvin salausavaimet vastaavat tietoturvan vaatimuksiin tulevaisuudessa.