Tutkimus salasanojen unohtamisesta ja Micrsoft päivitys

Microsoft researchin tekemän tutkimuksen mukaan [FlHe07] ihmiset valitsevat usein mukavuussyistä helppoja salasanoja sekä käyttävät samoja salasanoja uudestaan  eri verkkopalveluissa. Tämä huolestuttava asia on havaittu myös Liikenne- ja Viestintäministeriössä ja ministeri Lindénin (kok) johtama kansallinen tietoturvatyöryhmä, jossa asiantuntijoina on käytetty mm Kimmo Bergeriusta (Microsofy),  onkin eilen jättänyt mietintönsä eduskunnan tietotekniikkaryhmälle.

Mietinnössä viitataa viimeaikoina käytyyn keskusteluun huonosta salasanakulttuurista sekä käyttäjien että verkkopalveluiden ylläpidossa, joka  on kärjistynyt lähes kansalliseksi epidemiaksi. Mietinnössä käytetään esimerkkinä mm  Älypää.com:sta vuotanutta useiden tuhansien salasanojen ja käyttäjätunnusten listaa.

Mietinnössä todetaan myös, että unohtuneet salasanat ja käyttäjätunnukset johtavat usein kiusaukseen käyttää helposti muistettavia - ja näin ollen helposti arvattavia - salasana- ja käyttäjätunnusyhdistelmiä. Samalla mietintö myös toteaa, että vaikeat salasanat ja käyttäjätunnukset lisäävät riskiä tunnusten unohtamisesta ja kuormittavat usein tarpeettomasti yritysten ja organisaatioiden pc- ja verkkolähitukea. Erityisesti unohtuneita salasanoja ja käyttäjätunnuksia etsitään pitkien lomien ja pyhien jälkeen.

Lindénin työryhmä ehdottaakin tähän ratkaisuna automaattista salasanan vaihtamista pitkien pyhien jälkeen ja Microsftin yhteiskuntavastuujohtajan Max Mikkelssonin mukaan tämä on niin hyvä idea, että Micrsoft tuo tämän ominaisuuden kaikkiin suomalaisiin Windows 7 versiohin seuraavan kansallisen "patch tuesdayn" yhteydessä 06.04.2010. Max Mikkelsson on luvannut virallisesti julkaista tiedotteen aiheesta 01.04.2010 Microsofin yhteiskuntavastuun sivuilla. Uusi päivitys generoi jokaiselle yritys- tai organisaatiokäyttäjälle uuden salasanan automaattisesti 06.04.2010 aamulla. Uusi salasana perustuu  organisaation sisäiseen salasanastandardiin ja helpottaa pc- ja verkkolähituen kuormaa, kun uusi salasana on suoraan palautettavissa standardiprosessin mukaisesti. Alustavien tietojen mukaan ministeri Lindén on erittäin tyytyväinen Microsofin oma-aloitteisuuteen asiassa.

Saamiemme tietojen mukaan Microsftin tempaus ei ole jäänyt täysin vaille kritiikkiä, kansanedustaja ja eduskunnan tietotekniikkaryhmän vetäjä Jyrki Kasvi (vihr) onkin ilmaissut huolensa niiden suomalaisten organisaatioiden asemasta, jotka käyttävät vaihtoehtoisia kaupallisia käyttöjärjestelmiä, vanhoja Windows-versioita tai jopa avoimeen lähdekoodiin perustuvia linux-järjestelmiä. Kasvin mukaan huonot ja helpot salasanat eivät ole ainoastaan Windows-7:n ongelmia, vaan universaaleja ongelmia.

[FlHe07]  A large scale study web password habits, D. Florêncio and C. Herley, Microsoft Research, Proc. WWW 2007, Banff, BC