Stiftung Warentest arvioi salasanahallintaohjelmia

Huhtikuussa 2022 saimme tietää, että Stiftung Warentest vertailee pian Password Depot - salasanahallintajärjestelmäämme - "Made in Darmstadt", jota on kehitetty ja myyty Saksassa jo yli 20 vuoden ajan - muiden alan kilpailijoiden kanssa.

Fraunhofer-instituutti myönsi tuotteellemme 1. sijan - kahdesti - tunnetun tietokonelehden puolesta yli 10 vuotta sitten, se on saavuttanut lukemattomia muita testivoittoja, ja viimeisimpänä se läpäisi SySS GmbH:n tiukan kynätestauksen, jonka se läpäisi arvosanalla "erittäin turvallinen".

Stiftung Warentestin numerossa 07/2022 olemme nyt panneet merkille, että Password Depot sai vain arvosanan "riittävä" (= D).

Miten näin voi tapahtua?

Stiftung Warentestin nykyisessä vertailuarvotestissä päätettiin, että tuote saa huonomman arvosanan kuin "Riittävä" tai D, jos se sallii yhden merkin käyttämisen pääsalasanana uusia tietokantoja luotaessa - riippumatta siitä, miten hyvin tai huonosti se suoriutuu kaikista muista testikriteereistä.

Tämä oli ainoa syy arvosanalle "Riittävä" tai D. Password Depot tosiaan salli yksimerkkiset pääsalasanat versioon 16.0.3 asti - mutta vain nimenomaisten turvallisuusvaroitusten jälkeen.

Ilman tätä ominaisuutta Password Depot olisi hyvin todennäköisesti saanut arvosanan "Hyvä" tai B muiden testikriteerien perusteella.

Stiftung Warentest ilmoitti meille etukäteen (huhtikuussa 2022), että yhden merkin pääsalasanan käyttöönotto johtaa pian tapahtuvaan devalvaatioon. Tämän vuoksi toteutimme päivityksen 26.04.22, ja siitä lähtien uusia tietokantoja luotaessa on noudatettava 15 merkin vähimmäispituutta. Lisäksi on käytettävä vähintään kolmea neljästä merkkityypistä (isot ja pienet kirjaimet, numerot, erikoismerkit). (Huomautus tästä ominaisuudesta: Tämä on varmasti järkevä oletusasetus täysin kokemattomille käyttäjille heidän suojelemisekseen. Vaikka voi olla ärsyttävää, että joissakin tilanteissa, esimerkiksi sovellusta testattaessa tai tilapäisiä tietokantoja luotaessa, on käytettävä näin monimutkaisia salasanoja).

Valitettavasti testaajat eivät ottaneet tätä päivitystä huomioon lopullisessa arvioinnissa, vaikka olimme julkaisseet päivityksen 24 tunnin kuluessa siitä, kun meille oli ilmoitettu siitä, eli noin kaksi kuukautta ennen numeron 07/2022 julkaisemista (ks. päivitys versioon 16.0.3 26/04/22).

Kilpailijallamme Aviralla taas oli "vaarallinen tietoturva-aukko", mutta sen korjaaminen otettiin silti hyvin huomioon julkaistussa testissä. Ei ole täysin ymmärrettävää, miksi näin ei voinut tapahtua meidän tapauksessamme. Kysyessämme asiaa tarkemmin saimme tietää, että: "Turvallisuushaavoittuvuutta on arvioitava eri tavalla kuin tarkoituksellista suunnittelupäätöstä."

Nyt voidaan kiistellä siitä, onko salasanahallintajärjestelmä aliarvostettava, jos se sallii yhden merkin käyttämisen pääsalasanana käyttäjälle annetuista nimenomaisista varoituksista huolimatta. Testauksessa ei kuitenkaan otettu lainkaan huomioon yhtä meidän näkökulmastamme tärkeimmistä kriteereistä:

Jotta voitaisiin arvioida minkä tahansa salasanahallintaohjelman turvallisuutta, olisi ainakin tutkittava, miten se toimii käyttäjän salasanojen kanssa ja jättääkö se jälkiä työmuistiin. Oletetaan seuraava skenaario: Käyttäjä työskentelee toimistossa salasanahallintaohjelman kanssa. Seuraavaksi hän lukitsee salasanahallintansa ja poistuu työpaikalta lyhyeksi aikaa - luottaen siihen, että kaikki on kunnossa. Jos pahantahtoinen kolmas osapuoli kuitenkin pääsee käyttäjän tietokoneelle vain muutamaksi minuutiksi, hän voi lukea testivoittajan, 1Passwordin, muistin ja päästä käsiksi kaikkiin salasanoihinsa selväkielisenä tekstinä - ilman, että tämä onneton käyttäjä huomaa sitä koskaan: tämä on vakava tietoturva-aukko!

Monet salasanahallintaohjelmat eivät pysty salaamaan käyttäjän työmuistissa olevia tietoja. Itse asiassa tämä on erittäin monimutkainen haaste, koska Windowsin muistinhallintaa voidaan manipuloida ja hallita vain rajoitetusti. Yllättävää kyllä, tämä käyttäytyminen ei johtanut "testivoittaja" 1Passwordin luokituksen alenemiseen.

Stiftung Warentest perusteli tätä seuraavasti:

"Järjestelmässä, joka on jo vaarantunut, on monia skenaarioita, jotka voivat vaarantaa käyttäjän turvallisuuden. Tämän olettaminen testauksen perustaksi tekee käytännössä mahdottomaksi kaikenlaiset muut lausunnot yksittäisten tuotteiden mahdollisesta turvallisuudesta."

Meidän on oltava jyrkästi eri mieltä tästä järjettömästä väitteestä. Erityisesti vaarantuneissa järjestelmissä meidän on pyrittävä suojelemaan jokaista käyttäjää parhaalla mahdollisella tavalla. Muuten voisimme yhtä hyvin säilyttää salasanamme taas Excel-taulukoissa.

Jopa auto-onnettomuuden tapauksessa "on mahdollista, että monet skenaariot voivat vaarantaa käyttäjien turvallisuuden". Juuri siksi tarvitsemme turvatyynyä ja ABS:ää ja kaikkia muita turvatoimia ajoneuvoissa. Stiftung Warentestin testaajien perustelujen mukaan näillä turvamekanismeilla ei olisi mitään järkeä onnettomuuden sattuessa, koska "hevonen on jo karannut".

Salasanavarasto sen sijaan ei ainoastaan salaa työmuistissa olevia tietoja. Se tarjoaa myös suojaa käyttäjän tietokoneella olevia haittaohjelmia vastaan - esimerkiksi haittaohjelmia, jotka yrittävät esiintyä Password Depotin lisäosana - mahdollistamalla Password Depotin ja sen lisäosan välisen viestinnän suojaamisen salasanalla. Tai toisen ominaisuuden valitsemiseksi se estää pääsyn, kun yritetään kopioida leikepöydälle liian monta salasanaa liian lyhyessä ajassa.

Toivomme vilpittömästi, että pystyimme kertomaan sinulle, miksi tästä - ensi silmäyksellä - synkästä testituloksesta huolimatta sinun ei tarvitse olla huolissasi tietojesi turvallisuudesta Password Depotissa ja voit jatkaa Password Depotiin luottamista ilman rajoituksia.

PS: Alla olevat kuvakaappaukset osoittavat, kuinka vaarallisen helppoa salasanojesi lukeminen testivoittajalta on.

Esimerkkitieto 1Passwordissa:

Vaikka ohjelma on lukittu, on mahdollista lukea sekä salasana että käyttäjänimi (kätevästi jopa yhteensopivilla tarroilla "Salasana" ja "Käyttäjätunnus").