Hakkerin dillema
#1281. Tiistai, 21. kesäkuuta 2005 klo 12.57.12, kirjoittanut Jani. 11
Seuraavan kertomuksen sisältämistä tapahtumista johtuen mainitsen tässä tavoistani poiketen erikseen, että siihen tulee suhtautua puhtaasti fiktiivisenä, hypoteesina jonka tarkoituksena on lopussa olevien kysymysten esiin nostattaminen. #
Minulla on salasanavihko. Siihen on kertynyt melkoinen määrä tunnus ja salasana -yhdistelmiä, ja rupesin nyt käymään niitä läpi siinä tarkoituksessa, että saan pyyhkiä siitä pois kauan sitten kadonneiden palveluiden tunnukset, poistaa tunnukset joita en enää tarvitse palveluista, jotka sen mahdollisuuden tarjoavat (tästä plussa esimerkiksi Suomi24.fi:lle), poistaa mahdollisesti joskus niiden tietokantoihin turhaan syöttämäni henkilötiedot sekä vaihtaa heikot salasanat parempiin. #
Kokeilin sitten erään ison sanomalehden verkkosivuille joskus kauan sitten tekemiäni tunnuksia ja pääsin sisään. Kävin henkilötietojen kimppuun, ja ällistyksekseni tiedot näyttivät ihan oikeilta, mutteivät minun tiedoiltani. Ajattelin, että ehkäpä sitten olen joskus kauan sitten täyttänyt nämä henkilötiedot päin persettä siitä syystä, että ne kaikki oli merkattu pakollisiksi, mikä on ihan älytöntä ja turhauttavaa aina, puhumattakaan vaarallista, kuten tämä tapaus tulee osoittamaan. #
Henkilötietojen joukossa oli myös Luukku.com-sähköpostiosoite, joten päätin kokeilla saman tien sitten sitäkin. Pääsin sisään samalla salasanalla, mutta kun saapuneiden postien laatikko aukesi eteeni, minulle kävi jo ihan selväksi, että nämä ovat sittenkin jonkun aivan toisen ihmisen tunnukset. #
Kirjauduin sitten pian ulos ja jäin miettimään, että mitä nyt pitäisi tehdä: pitäisikö unohtaa koko juttu ja hävittää tuo tunnus ja salasana muiden joukossa, vai pitäisikö minun ennen sitä kenties lähettää sähköpostia tälle asianomaiselle henkilölle ja kertoa, että kannattaa vaihtaa paitsi lehden, myös sähköpostin (ja todennäköisesti myös monen muun palvelun) tunnus ja salasana paljon, paljon hankalammin arvattaviksi? #
Kyseessä oli nähtävästi teini-ikäinen ihminen, enkä haluaisi säikäyttää (“paha Internetin hakkerisetä luki mun sähköpostit”) mutta toisaalta jos minä päädyin sähköpostilaatikkoonsa vahingossa, voi joku pahantahtoinen tyyppi päästä sinne tarkoituksellisesti ja tehdä jotain ikävää. #
Hypoteettinen ehdotus - lähetä teinille sähköpostia Luukun automaattisena päivitysohjelmana: tilisi menee vanhaksi, ellet uusi salasanaasi. Ainakin yliopistolta tulee tällainen vuosittain. (Tosin vain hypoteettisesti, sillä omani lakkasi kärttämästä päivitystä 4 vuotta sitten, vaikka mieheltä se otetaan vuosittain. Hohhoijaa.) Lähettäjäosoitteen vaihtaminen “Luukun päivitysautomaatiksi” ei yleensä sähköpostiohjelmassa ole ollenkaan vaikeaa. Mutta kannattaa tietty vaihtaa sitten takaisin omaan osoitteeseen, ettei tutut saa slaagia saadessaan sähköpostia “Luukun salasanojen päivitysautomaatilta”.
Ihan näin hypoteettisesti.
Jos ihminen ei epäile viestiä, se tuskin käy tsekkaamaan, mistä posti oikeasti tuli. Eihän niin tehdä kuin virusviesteille. Mm. sille, jossa mainostin itselleni James Bond vs. Geisha Girls -pornosivua. Muualtahan se tuli, vaikka aluksi näkyvissä olikin sama osoite lähettäjänä, reply-tona ja vastaanottajana
Aika uskomaton sattuma, että joku on keksinyt saman tunnuksen ja vieläpä saman salasanan :O Voisi ehkä lähettää mailia sinne sanomalehden ylläpitoon ja kertoa asian niinkuin se on. He varmaankin sieltä sitten neuvovat sitä henkilöa vaihtamaan salasanansa.
Veloena: Tuossa on vain se ongelma, että sillä ratkeaisi vain se Luukun salasanan helppous; sanomalehden tunnuksia varten pitäisi laittaa erillinen viesti eikä sekään vielä ratkaisisi perimmäistä ongelmaa, joka on taipumus valita liian helppoja salasanoja; kehnoimmassa tapauksessa käyttäjä “vaihtaa” salasanansa takaisin entiseksi joko suoraan tai yhden välivaihdon kautta. Haluaisin jotenkin saada perille viestin siitä, miksi parempi salasana olisi tarpeen, vaikuttamatta kuitenkaan ilkiöltä.
Siis niinku periaatteessa, jos tää olis totta.
Kalle: Itse asiassa se ei ole ollenkaan niin epätodennäköistä ottaen huomioon, että tunnus ja salasana olivat yhtä tunnuksen lopussa ollutta numeroa lukuunottamatta yksi ja sama (siinä ensimmäinen paha virhe) ja toisekseen se, että se tunnus/salasana on ilmeisesti kyseisen henkilön sukunimi, joka on vieläpä suomenkielinen, perusmuotoinen substantiivi. Toisin sanoen huonoin mahdollinen salasanavalinta.
Sanomalehdelle ainakin pitäisi mailata, mutta saman tien sitten taas pitäisi mailata Luukullekin… kaiken kaikkiaan olisi järkevintä mailata kaiken tämän keskipisteessä olevalle henkilölle, mutta siinä sitten taas tullaan tuohon, etten tiedä, että miten siihen reagoidaan.
Niin, se on minusta sattuma, että sinulla ja hänellä on ollut samanlaiset salasanat ja tunnukset. Ehkäpä ihmiset sitten käyttävät paljonkin tuollaista taktiikkaa, että on helppo muistaa salasanat.
Nykyään kai selaimissa on salasana listat jonne ne voi tallettaa jos haluaa ja ne on kai salattukin. Itse olen vain niin paranoidi etten ole uskaltanut sitä toimintoa käyttää.
Kalle: “Ehkäpä ihmiset sitten käyttävät paljonkin tuollaista taktiikkaa, että on helppo muistaa salasanat.”
Kyllä käyttävät, ja minäkin käytin tuolloin - sehän tässä niin huvittavaa onkin, että olen itse tehnyt saman mokan aikoinani. Helppo muistettavuushan ei tosin ole huono asia, mutta se ei saa tulla turvallisuuden kustannuksella.
“Nykyään kai selaimissa on salasana listat jonne ne voi tallettaa jos haluaa ja ne on kai salattukin.”
On, ja se on tosi näppärä omalla koneella juuri siksi, ettei tartte turvautua heikkoihin salasanoihin heikon muistin takia vaan voi käyttää vahvoja, ja kone hoitaa muistamisen.
Mitä haittaa, suoraan sanottuna, hypoteettisyyttä unohtamatta, on siitä, että lukee sanomalehden toisen tunnuksilla? Tämä jäi askarruttamaan itseäni. Sähköpostihan on aivan toisenlainen juttu.
Veloena: Eipä niin mitään. Ja siltikin ajatus siitä, että joku olisi minun tunnuksillani sisällä jossain, tuntuu lievästi epämiellyttävältä.
Tuota viittaaja-härpäkettäkö se monta kertaa päivässä päivittää niin, että Blogilista käskee taas tänne? Vai ripotteletko ehkä salaisia viestejä sivun reunoihin? Minäpä tarkastan.
Vt: Et sinä niitä salaisia viestejäni löydä kumminkaan. Eiväthän ne olisi salaisia, jos ne tuosta vain löytäisi!
Kerran yritin muistaa tunnustani tiettyyn palveluun, mutta en saanut salasanaa mieleeni. Hermostuksissani sitten löin tunnuskenttään sen perinteisen asdfasdfasdf-tyylisen litanian ja salasanaan samat. Tadaa. Olin jonkun poloisen sähköpostissa.
Että keksikääpäs kunnon salasanat. Joku voi sattumalta päästä tunnuksellesi.
Luonnollisesti hetken äimisteltyäni kirjauduin ulos ja vilkuilin olkani yli ettei vain kukaan nähnyt. Toiste en mennyt enkä mene, en enää itse asiassa edes muista mikä palvelu oli kyseessä.