Turvaa Gmailisi kahden tekijän autentikoinnilla

En tiedä teistä, mutta minulle Google-tilini hallinnan menettäminen olisi katastrofi. Vuosien varrella olen ottanut käyttöön uusia Googlen palveluja ja tässä vaiheessa lähes koko elämäni on heidän palvelimillaan. Sähköposti, valokuvat, asiakirjat, kalenteri, yhteystiedot, jne. Jopa puhelimeni on riippuvainen Google-tilistäni! Ymmärrätte varmaan, miksi haluan turvata sen ulkopuolisilta ja nyt Google on julkaissut siihen työkalut.


Olet mitä tiedät
Tällä hetkellä lähes kaikkien Googlen asiakkaiden tilit on suojattu julkisella käyttäjätunnuksella ja salasanalla. Jos salasanasi on vahva, etkä ole rikollisten tai Kiinan valtion mielestä kovin mielenkiintoinen, niin se kenties riittää. Salasanan voi kuitenkin saada selville monella tavalla: arvaamalla, asentamalla kojeen tai ohjelman, joka tallentaa tietokoneen näppäinten painallukset tai katsomalla sen siitä lapusta, jota pidät näppäimistösi alla.

Nykyaikana tavalliset kuluttajat voivat saada käyttöönsä niin paljon prosessointitehoa, että salasanojen murtaminen käymällä järjestelmällisesti läpi kaikki mahdolliset kombinaatiot on lähempänä todellisuutta kuin utopiaa. Saksalainen tutkija Thomas Roth osoitti, että WPA-salasanan voi murtaa kuudessa minuutissa vuokraamalta Amazonilta 400 palvelinta parinkymmenen eurosentin minuuttihinnalla. Tuolla palvelinmäärällä Roth raportoi pystyneensä kokeilemaan noin 400 000 salasanaa sekunnissa. Naapurin WLAN-purkin salasanan murtamisen hinnaksi tulisi noin puolitoista euroa.

Kuva redspotted

Mitä muuta olet?
Autentikoinnissa voidaan käyttää kolmea erityyppistä tekijää:

• jotain minkä vain käyttäjä tietää (salasana, tunnusluku)
• jotain minkä vain käyttäjä omistaa (pankkikortti, avain, kertakäyttösalasanalista)
• jotain mitä vain käyttäjä on (sormenjälki, allekirjoitus, kasvot, ääni, DNA)

Kahden tekijän autentikointi ei siis ole mitään uutta; olet käyttänyt sitä aina käyttäessäsi pankkikorttiasi. Käytännössä kaikki viimeiseen kategoriaan kuuluvat varmenteet vaativat joko ihmisen valvontaa tai kallista teknologiaa ja siksi luonnollisesti Googlen lisävarmuus on haettu keskimmäisestä.

Miten se toimii?
Toinen varmistustekijä Googlen uudessa systeemissä on matkapuhelimesi. Kun yrität kirjautua esimerkiksi Gmailiin saat normaalin kirjautumisruudun jälkeen kehoituksen syöttää lisävarmennusnumeron. Varmennusnumeron voit saada puhelimeesi kolmella tavalla

• käyttämällä puhelimeen asennettavaa sovellusta
• tekstiviestillä
• puheluna

Näistä itse koin kätevimmäksi Android-kaupasta löytyvän Google Authenticator -sovelluksen. Sen luvataan toimivan myös silloin kun internet- tai edes GSM-yhteyttä ei ole saatavilla.

Entä jos puhelimeni varastetaan/putoaa mereen/räjähtää?
Näitä tapauksia varten Google antaa sinulle tulostettavaksi listan kertakäyttösalasanoja, joita voit käyttää siinä tapauksessa, että puhelimesi ei ole enää hallussasi.

Entä jos puhelimen akku on tyhjä, laturi jäi mummolaan ja koira söi kertakäyttösalasanat?

Google Authenticator

Näitä äärimmäisen onnettomia tapauksia varten voit antaa Googlelle toisen numeron, johon kirjautumistunnus voidaan lähettää silloin, kun kaikki muu toivo on menetetty. Se voi olla lankapuhelin tai esimerkiksi puolison tai lähisukulaisen kännykkä.

Entä ne laitteet ja kolmannen osapuolen sovellukset, mitkä tarvitsevat Google-tiliäni, mutta eivät tue kahden tekijän autentikointia? (Android, POP/IMAP, IM-sovellukset, Picasa, jne)
Ilmeisesti Googlella on mietitty homma loppuun asti, kun heillä on tähänkin ratkaisu. Näitä sovelluksia varten voit generoida omat salasanat, joita ei voi käyttää kuin siinä palvelussa tai ohjelmassa, josta sillä ensimmäisen kerran kirjaudutaan sisään.

Kuka nyt minun postejani haluaisi lukea?
Kuka lähettelee salasanoja urkkivia viruksia ympäri maailmaa? Rikolliset tietenkin. Sähköpostiisi käsiksi pääsemällä he voivat helposti murtautua moneen muuhunkin paikkaan. Sieltä todennäköisesti löytyy sähköposteja muista verkkopalveuilsta joita käytät. He voivat pyytää nollaamaan salasanan ja lähettämään uuden sähköpostiisi ja siten päästä käsiksi niihin. Muista palveluista he sitten löytävät kenties luottokorttitietosi ja pääsevät ostoksille sinun piikkiisi.

Älä ole potentiaalinen uhri, vaan pidä huoli tietoturvastasi. Nyt se on helppoa.