Salasanat eivät enää riitä identiteetin suojaamiseen, koska ne ovat liian helposti murrettavissa, varastettavissa tai kalasteltavissa, riippumatta siitä, kuinka vahvoja ne ovat. Kyberuhkat ovat kehittyneet tavalla, joka tekee pelkästä salasanaan perustuvasta tunnistautumisesta selkeän turvallisuusriskin niin yksittäisille käyttäjille kuin organisaatioillekin. Alla käymme läpi tärkeimmät kysymykset siitä, miksi salasanat pettävät ja mitä tilalle kannattaa ottaa.
Miten salasanat murtuvat käytännössä?
Salasanat murtuvat käytännössä usealla eri tavalla: tietomurtojen kautta vuotaneita salasanoja myydään pimeässä verkossa, tietojenkalasteluhyökkäykset huijaavat käyttäjiä luovuttamaan tunnuksensa, ja automaattiset työkalut kokeilevat miljoonia salasanayhdistelmiä sekunnissa. Yksikään salasana ei ole täysin turvassa, jos se on koskaan tallennettu murrettuun palveluun.
Yleisimmät salasanojen murtamisen menetelmät voidaan jakaa kolmeen pääkategoriaan:
- Credential stuffing: Hyökkääjä ottaa aiemmissa tietomurroissa vuotaneet käyttäjätunnus- ja salasanaparit ja kokeilee niitä automaattisesti muissa palveluissa. Koska monet käyttäjät käyttävät samaa salasanaa useissa palveluissa, tämä toimii hälyttävän usein.
- Phishing eli tietojenkalastelu: Käyttäjä ohjataan aidolta näyttävälle valesivustolle, jossa hän syöttää tunnuksensa hyökkääjän haltuun. Tämä ei vaadi teknistä hakkeroinnin osaamista, vaan ainoastaan vakuuttavan sähköpostin tai viestin.
- Brute force ja sanakirjahyökkäykset: Automatisoidut ohjelmat kokeilevat suuria määriä salasanayhdistelmiä, erityisesti yleisiä sanoja, nimiä ja numeroita. Lyhyet tai yksinkertaiset salasanat murtuvat näin hyvin nopeasti.
Keskeinen ongelma on se, että salasana on tieto, joka voidaan kopioida, jakaa tai varastaa ilman, että alkuperäinen omistaja edes huomaa mitään. Toisin kuin fyysinen avain, varastettu salasana ei katoa mihinkään, kun se on kerran anastettu.
Miksi käyttäjien salasanahygienia ei ratkaise ongelmaa?
Salasanahygienia, kuten pitkien ja monimutkaisten salasanojen käyttäminen sekä niiden vaihtaminen säännöllisesti, ei ratkaise ongelmaa, koska suurin osa tietoturvamurroista ei johdu huonoista salasanoista vaan rakenteellisista haavoittuvuuksista, kuten palvelinten tietomurroista, phishing-hyökkäyksistä ja inhimillisistä virheistä, joihin käyttäjä ei voi vaikuttaa.
Vaikka käyttäjä noudattaisi kaikkia suosituksia, hän on silti haavoittuvainen, jos jokin palvelu, johon hän on rekisteröitynyt, joutuu tietomurron kohteeksi. Tällöin salasana vuotaa riippumatta siitä, kuinka vahva se oli. Lisäksi ihmisaivot eivät yksinkertaisesti pysty muistamaan kymmenien palveluiden yksilöllisiä, monimutkaisia salasanoja, mikä johtaa käytännössä aina jonkinasteiseen oikopolkuun.
Salasanojen hallintaohjelmat auttavat tässä, mutta nekään eivät poista phishing-riskiä. Käyttäjä voi edelleen tulla huijatuksi syöttämään oikean salasanansa väärään paikkaan. Identiteetin suojaaminen vaatii siis jotain muuta kuin paremman salasanan.
Mitä vaihtoehtoja salasanoille on olemassa?
Salasanoille on olemassa useita varteenotettavia vaihtoehtoja: monivaiheinen tunnistautuminen (MFA) lisää ylimääräisen vahvistuskerroksen, passkeys-teknologia korvaa salasanat kryptografisilla avaimilla, ja biometrinen tunnistautuminen hyödyntää käyttäjän fyysisiä ominaisuuksia. Vahva tunnistautuminen yhdistää tyypillisesti useita näistä menetelmistä.
Monivaiheinen tunnistautuminen (MFA)
MFA tarkoittaa, että kirjautuminen vaatii salasanan lisäksi toisen vahvistustavan, kuten kertakäyttökoodin puhelimeen, push-ilmoituksen autentikointisovellukseen tai fyysisen turva-avaimen. Vaikka salasana vuotaisi, hyökkääjä ei pääse sisään ilman tätä toista tekijää. MFA on tällä hetkellä yksi tehokkaimmista yksittäisistä toimenpiteistä identiteetin suojaamisessa.
Passkeys ja salasanaton tunnistautuminen
Passkeys-teknologia poistaa salasanan kokonaan. Se perustuu kryptografiseen avainpariin, jossa yksityinen avain pysyy käyttäjän laitteella eikä lähde koskaan verkkoon. Kirjautuminen tapahtuu biometrisesti tai PIN-koodilla laitteen tasolla. Tämä tekee phishing-hyökkäyksistä käytännössä mahdottomia, koska varastettavaa salasanaa ei ole olemassa.
Mikä on identiteetinhallintajärjestelmän (IAM) rooli tunnistautumisessa?
Identiteetinhallintajärjestelmä eli IAM on se teknologinen kerros, joka hallinnoi keskitetysti, kuka saa pääsyn mihinkin resurssiin, millä ehdoilla ja milloin. IAM ei pelkästään tarkista salasanoja, vaan se voi pakottaa MFA:n käyttöön, valvoa poikkeavia kirjautumisia, automatisoida käyttöoikeuksien elinkaaren ja toteuttaa Zero Trust -periaatteita koko organisaatiossa.
Ilman IAM-järjestelmää organisaatioiden tunnistautuminen on usein hajanaista: eri järjestelmillä on omat tunnuksensa, käyttöoikeuksia ei poisteta, kun henkilö vaihtaa roolia, ja tietoturvapoikkeamia on vaikea havaita. IAM tuo tähän järjestyksen ja näkyvyyden.
Me Trivorella olemme rakentaneet yli 20 vuoden ajan IAM-ratkaisuja, jotka skaalautuvat yksittäisestä organisaatiosta miljoonien käyttäjien ympäristöihin. Esimerkiksi HSL:n Trivore ID -ratkaisu palvelee 2,7 miljoonaa joukkoliikenteen käyttäjää luotettavasti ja turvallisesti. Modernin IAM:n avulla organisaatio voi siirtyä pelkistä salasanoista kohti vahvaa tunnistautumista hallitusti ja ilman kaaosta.
Milloin organisaation pitäisi siirtyä pois pelkistä salasanoista?
Organisaation pitäisi siirtyä pois pelkistä salasanoista viimeistään silloin, kun sillä on etäkäyttöä, useita ulkoisia palveluja, arkaluonteista dataa tai sääntelyvelvoitteita, kuten NIS2 tai GDPR. Käytännössä tämä tarkoittaa, että lähes jokainen organisaatio vuonna 2026 on jo tässä tilanteessa.
Konkreettisia merkkejä siitä, että siirtymä on ajankohtainen:
- Organisaatiolla on etätyöntekijöitä tai ulkoisia kumppaneita, joilla on pääsy sisäisiin järjestelmiin
- Henkilöstö käyttää useita pilvipalveluja, joissa on erilliset tunnukset
- Organisaatio käsittelee henkilötietoja tai muuta arkaluonteista tietoa
- Toimiala on säännelty, esimerkiksi terveydenhuolto, julkinen sektori tai finanssiala
- IT-tiimi ei pysty seuraamaan, kenellä on pääsy mihinkin
Odottaminen on riski. Tietoturvaloukkauksen jälkeen siirtyminen on huomattavasti kalliimpaa ja vaikeampaa kuin ennakoiva toiminta. Vahva tunnistautuminen ja kattava identiteetinhallinta eivät ole enää kilpailuetu, vaan toiminnan perusedellytys.