Salasana - Muutoshistoria

93.106.14.245: /* Hyvä salasana */

2023-04-26T20:22:01Z

Hyvä salasana

← Vanhempi versio		Versio 26. huhtikuuta 2023 kello 23.22
Rivi 11:		Rivi 11:
	Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.		Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.

	Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse ~~keskitty~~: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l. Tällaisia salasanoja voi generoida esimerkiksi [[Apg]]:llä, joka antaa generoimilleen salasanoille myös englanninkielisen muistisäännön.		Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keksitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l. Tällaisia salasanoja voi generoida esimerkiksi [[Apg]]:llä, joka antaa generoimilleen salasanoille myös englanninkielisen muistisäännön.

	Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan [[pääkäyttäjä]]n (tai [[sudo]]-oikeudet omaavan käyttäjän) salasanoissa.		Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan [[pääkäyttäjä]]n (tai [[sudo]]-oikeudet omaavan käyttäjän) salasanoissa.

Heikki: apg

2010-01-09T20:14:10Z

apg

← Vanhempi versio		Versio 9. tammikuuta 2010 kello 23.14
Rivi 11:		Rivi 11:
	Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.		Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.

	Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keskitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l		Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keskitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l. Tällaisia salasanoja voi generoida esimerkiksi [[Apg]]:llä, joka antaa generoimilleen salasanoille myös englanninkielisen muistisäännön.

	Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan [[pääkäyttäjä]]n (tai [[sudo]]-oikeudet omaavan käyttäjän) salasanoissa.		Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan [[pääkäyttäjä]]n (tai [[sudo]]-oikeudet omaavan käyttäjän) salasanoissa.
Rivi 53:		Rivi 53:

	==Katso myös==		==Katso myös==
			*[[Apg]]
	*[[Käyttäjien hallinta]]		*[[Käyttäjien hallinta]]
	*[[Käyttäjä]]		*[[Käyttäjä]]

Pb: ohjeluokkaan

2009-04-02T20:05:28Z

ohjeluokkaan

← Vanhempi versio		Versio 2. huhtikuuta 2009 kello 23.05
Rivi 65:		Rivi 65:
	[[Luokka:Käsitteet]]		[[Luokka:Käsitteet]]
	[[Luokka:Tietoturva]]		[[Luokka:Tietoturva]]
			[[Luokka:Ohjeet]]

Pb: Luokka:Käyttäjät ja ryhmät

2008-11-20T17:13:25Z

Luokka:Käyttäjät ja ryhmät

← Vanhempi versio		Versio 20. marraskuuta 2008 kello 20.13
Rivi 62:		Rivi 62:
	*[[wikipedia:en:Crypt (Unix)#Library Function\|Unix-salasanatiivisteet englanninkielisessä Wikipediassa]]		*[[wikipedia:en:Crypt (Unix)#Library Function\|Unix-salasanatiivisteet englanninkielisessä Wikipediassa]]

	[[Luokka:~~Järjestelmä~~]]		[[Luokka:Käyttäjät ja ryhmät]]
	[[Luokka:Käsitteet]]		[[Luokka:Käsitteet]]
	[[Luokka:Tietoturva]]		[[Luokka:Tietoturva]]

Pb: tietoturvaluokkaan

2008-11-20T16:42:40Z

tietoturvaluokkaan

← Vanhempi versio		Versio 20. marraskuuta 2008 kello 19.42
Rivi 64:		Rivi 64:
	[[Luokka:Järjestelmä]]		[[Luokka:Järjestelmä]]
	[[Luokka:Käsitteet]]		[[Luokka:Käsitteet]]
			[[Luokka:Tietoturva]]

Pb: linkitystä ym

2008-11-20T16:26:44Z

linkitystä ym

← Vanhempi versio		Versio 20. marraskuuta 2008 kello 19.26
Rivi 1:		Rivi 1:
	Tavallisesti Unix/Linux-koneelle kirjaudutaan antamalla käyttäjätunnus ja salasana. Näin [[käyttäjä]] saa käyttöön omat asetuksensa ja ~~tiedostonsa~~ ja varmistetaan, että tiedostoja ei pääse katsomaan muut, kuin ne joille on annettu siihen [[tiedoston oikeudet\|lupa]]. Jos koneella on palvelimia, joita saatetaan päästä käyttämään verkon kautta, hyvän salasanan valinta on ehdottoman tärkeätä, ellei käyttöä ole rajattu muilla tavoin. Esimerkiksi [[SSH]]-palvelimen kautta yritetään säännöllisesti päästä koneelle kokeilemalla yksinkertaisia salasanoja.		Tavallisesti [[Unix]]/Linux-koneelle kirjaudutaan antamalla käyttäjätunnus ja salasana. Näin [[käyttäjä]] saa käyttöön omat asetuksensa ja [[tiedosto]]nsa ja varmistetaan, että tiedostoja eivät pääse katsomaan muut kuin ne joille on annettu siihen [[tiedoston oikeudet\|lupa]].

	Vaikka konetta ei ~~ole tarkoitus käyttää verkon yli~~ [[jakelu]] ~~saattaa~~ oletuksena käynnistää ~~jonkin~~ verkkoa ~~kuuntelevan palvelimen~~, tai sellainen saattaa käynnistyä asennettaessa tiettyjä ohjelmia. Palomuuri voi toki toimia osittaisena suojana.		Jos koneella on [[palvelin]]ohjelmistoja joita saatetaan päästä käyttämään verkon kautta, on hyvän salasanan valinta ehdottoman tärkeää, jollei käyttöä ole rajattu muilla tavoin. On tavallista, että esimerkiksi [[SSH]]-palvelun kautta yritetään päästä koneelle kokeilemalla yksinkertaisia salasanoja.

			Vaikka konetta ei olisikaan tarkoitettu ajamaan palvelinohjelmistoja, saatetaan [[jakelu]]ssa oletuksena käynnistää jokin verkkoa kuunteleva palvelin, tai sellainen saattaa käynnistyä asennettaessa tiettyjä ohjelmia. [[Palomuuri]] voi toki toimia osittaisena suojana.

	Jos kirjautuminen koneella tapahtuu vain joko paikallisesti ilman salasanaa (kotikone, jolla muille ei ole pääsyä) tai ssh-''avaimilla'', salasanalla kirjautuminen voidaan estää kokonaan.		Jos kirjautuminen koneella tapahtuu vain joko paikallisesti ilman salasanaa (kotikone, jolla muille ei ole pääsyä) tai ssh-''avaimilla'', salasanalla kirjautuminen voidaan estää kokonaan.
Rivi 7:		Rivi 9:
	==Hyvä salasana==		==Hyvä salasana==

	Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä, joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.		Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.

	Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keskitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l		Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keskitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l

	Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan ~~pääkäyttäjän~~ ([[~~Ubuntu~~]]~~issa ensimmäisen~~ käyttäjän) salasanoissa.		Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan [[pääkäyttäjä]]n (tai [[sudo]]-oikeudet omaavan käyttäjän) salasanoissa.

	Perinteisesti Unix-salasanasta on käytetty korkeintaan 8 merkkiä, mikä nykyään alkaa olla vähän. Pidempiä salasanoja käytettäessä pitää muistaa, että pituus auttaa melko vähän, jos salasana on muuten huono: tavallisessa lauseessa on vain noin kolme bitiä "satunnaisuutta" merkkiä kohden, joten 16 merkin huono salasana on merkittävästi huonompi kuin 8 merkin hyvä salasana. Alle 6 merkin salasana on aina huono.		Perinteisesti Unix-salasanasta on käytetty korkeintaan 8 merkkiä, mikä nykyään alkaa olla vähän. Pidempiä salasanoja käytettäessä pitää muistaa, että pituus auttaa melko vähän, jos salasana on muuten huono: tavallisessa lauseessa on vain noin kolme bitiä "satunnaisuutta" merkkiä kohden, joten 16 merkin huono salasana on merkittävästi huonompi kuin 8 merkin hyvä salasana. Alle 6 merkin salasana on aina huono.

	Monen käyttäjän järjestelmissä on yleensä aina joukossa huonoja salasanoja. Jos koneella on useampia käyttäjiä kannattaa sallia kirjautuminen verkosta vain niille, jotka sitä ominaisuutta tarvitsevat (/etc/sshd_config: AllowUsers, AllowGroup ja vastaava muille palvelimille) sekä ajaa jokin salasanojen murto-ohjelma, kuten [[crack]].		Monen käyttäjän järjestelmissä on yleensä aina joukossa huonoja salasanoja. Jos koneella on useampia käyttäjiä kannattaa sallia kirjautuminen verkosta vain niille, jotka sitä ominaisuutta tarvitsevat (/etc/sshd_config-[[asetustiedosto]]ssa: <tt>AllowUsers</tt>, <tt>AllowGroup</tt> ja vastaava muille palvelimille) sekä ajaa jokin salasanojen murto-ohjelma, kuten [[crack]].

	==Vaihtoehdot==		==Vaihtoehdot==
			Kotikoneella ei välttämättä haluta käyttää salasanoja. Tällöin salasanalla kirjautumisen voi estää "*"-merkillä [[passwd\|salasanakentässä]] ja [[työpöytäympäristö]]n [[graafinen kirjautumisohjelma\|kirjautumisohjelman]] asettaa hyväksymään salasanattomat kirjautumiset tietyille käyttäjätunnuksille, mahdollisesti niin että tunnuksen voi valita ohjelman esittämästä listasta.

	Kotikoneella ei välttämättä halua käyttää salasanoja. Tällöin salasanalla kirjautumisen voi estää "*"-merkillä salasanakentässä ja [[työpöytäympäristö]]n [[graafinen kirjautumisohjelma\|kirjautumisohjelman]] asettaa hyväksymään salasanattomat kirjautumiset tietyille käyttäjätunnuksille, mahdollisesti niin että tunnuksen voi valita ohjelman esittämästä listasta.		Etäkirjautumiset [[SSH]]:n kautta voi hoitaa avainpareilla: [[ssh-keygen]] luo avainparin tiedostoihin <tt>~/.ssh/id_rsa</tt> ja <tt>id_rsa.pub</tt>. Edellinen kopioidaan (luotetuille) koneille, joista haluaa ottaa yhteyttä, jälkimmäinen tiedostoon <tt>~/.ssh/[[authorized_keys]]</tt> koneella, johon haluaa ottaa yhteyttä.

	Etäkirjautumiset [[SSH]]:n kautta voi hoitaa avainpareilla: [[ssh-keygen]] luo avainparin tiedostoihin ~/.ssh/id_rsa ja id_rsa.pub. Edellinen kopioidaan (luotetuille) koneille, joista haluaa ottaa yhteyttä, jälkimmäinen tiedostoon ~/.ssh/[[authorized_keys]] koneella, johon haluaa ottaa yhteyttä.

	[[PAM]] mahdollistaa myös muita vaihtoehtoja, kuten älykortin käyttämisen.		[[PAM]] mahdollistaa myös muita vaihtoehtoja, kuten älykortin käyttämisen.
Rivi 47:		Rivi 48:
	Tyhjä salasanakenttä tarkoittaa, että käyttäjältä ei kysytä salasanaa. Yleensä tällainen järjestely kannattaa hoitaa muulla tavalla, esimerkiksi [[graafinen kirjautumisohjelma\|graafisen kirjautumisohjelman]] ([[gdm]], [[kdm]], [[xdm]] tms.) asetuksilla. [[PAM]] voidaan asettaa olemaan hyväksymättä salasanatonta kirjautumista.		Tyhjä salasanakenttä tarkoittaa, että käyttäjältä ei kysytä salasanaa. Yleensä tällainen järjestely kannattaa hoitaa muulla tavalla, esimerkiksi [[graafinen kirjautumisohjelma\|graafisen kirjautumisohjelman]] ([[gdm]], [[kdm]], [[xdm]] tms.) asetuksilla. [[PAM]] voidaan asettaa olemaan hyväksymättä salasanatonta kirjautumista.

	Tyhjä ''salasana'' käsitellään eri tavalla kuin tyhjä salasanakenttää. Sekään on harvoin hyvä vaihtoehto		Tyhjä ''salasana'' käsitellään eri tavalla kuin tyhjä salasanakenttää. Sekään on harvoin hyvä vaihtoehto.

	Lukitun tunnuksen merkintä vaihtelee. Linuxeissa käytetään usein "!"-merkkiä salasanan edessä, jolloin tunnus voidaan ottaa käyttöön samalla salasanalla poistamalla tämä merkki. Yleensä toimenpide kannattaa hoitaa [[usermod]]- tai [[passwd]]-ohjelmalla, jolloin merkintätapa on varmasti oikea.		Lukitun tunnuksen merkintä vaihtelee. Linuxeissa käytetään usein "!"-merkkiä salasanan edessä, jolloin tunnus voidaan ottaa käyttöön samalla salasanalla poistamalla tämä merkki. Yleensä toimenpide kannattaa hoitaa [[usermod]]- tai [[passwd]]-ohjelmalla, jolloin merkintätapa on varmasti oikea.

	==Katso myös==		==Katso myös==
	*~~Tunnuksen lukitseminen~~		*[[Käyttäjien hallinta]]
	*~~Rajoitettu käyttäjä~~		*[[Käyttäjä]]
	~~(Mistä löytyy tietoa?)~~		*[[Ryhmä]]
			*[[Kotihakemisto]]

	==Aiheesta muualla==		==Aiheesta muualla==
	*[[wikipedia:fi:Salasana]]		*[[wikipedia:fi:Salasana\|Salasana-artikkeli Wikipediassa]]
	*[[wikipedia:en:Crypt (Unix)#Library Function]]		*[[wikipedia:en:Crypt (Unix)#Library Function\|Unix-salasanatiivisteet englanninkielisessä Wikipediassa]]

			[[Luokka:Järjestelmä]]
	[[Luokka:Käsitteet]]		[[Luokka:Käsitteet]]

LP: salasanan merkitys, hyvä salasana, vaihtoehdot, taustaa, merkinnät salasanakentässä

2008-11-20T13:32:36Z

salasanan merkitys, hyvä salasana, vaihtoehdot, taustaa, merkinnät salasanakentässä

Uusi sivu

Tavallisesti Unix/Linux-koneelle kirjaudutaan antamalla käyttäjätunnus ja salasana. Näin [[käyttäjä]] saa käyttöön omat asetuksensa ja tiedostonsa ja varmistetaan, että tiedostoja ei pääse katsomaan muut, kuin ne joille on annettu siihen [[tiedoston oikeudet|lupa]]. Jos koneella on palvelimia, joita saatetaan päästä käyttämään verkon kautta, hyvän salasanan valinta on ehdottoman tärkeätä, ellei käyttöä ole rajattu muilla tavoin. Esimerkiksi [[SSH]]-palvelimen kautta yritetään säännöllisesti päästä koneelle kokeilemalla yksinkertaisia salasanoja.

Vaikka konetta ei ole tarkoitus käyttää verkon yli [[jakelu]] saattaa oletuksena käynnistää jonkin verkkoa kuuntelevan palvelimen, tai sellainen saattaa käynnistyä asennettaessa tiettyjä ohjelmia. Palomuuri voi toki toimia osittaisena suojana.

Jos kirjautuminen koneella tapahtuu vain joko paikallisesti ilman salasanaa (kotikone, jolla muille ei ole pääsyä) tai ssh-''avaimilla'', salasanalla kirjautuminen voidaan estää kokonaan.

==Hyvä salasana==

Nykyisillä konetehoilla miljoonien eri salasanavaihtoehtojen kokeilu on helppoa. Näin ollen hyökkääjä, joka pääsee rajoituksetta kokeilemaan eri salasanoja pystyy kokeilemaan usean kielen kaikkia sanoja monella muunnelmalla ynnä muita "todennäköisiä" salasanoja.

Salasana on siis valittava niin, ettei se ole helposti johdettavissa mistään sanasta, nimestä tai käyttäjästä johdettavasta muusta tiedosta (puolison syntymäaika tms.). Eräs usein ehdotettu tapa on pitää mielessä sopiva lause tai loru, jonka joka sanasta käyttää esimerkiksi kolmannen kirjaimen. Tämä lause tai loru ei saa olla yleinen tai käyttäjään helposti yhdistettävä, vaan mielellään itse keskitty: "Enpä jaksa tällä hetkellä keksiä rumaa salasanaa" -> pkltk*l

Salasanaan on hyvä sekoittaa isoja ja pieniä kirjaimia, numeroita sekä mahdollisesti erikoismerkkejä (pkLtk3*l). Ääkkösistä usein poistetaan kahdeksas bitti, joten ne eivät auta mutta saattavat toimia epäluotettavasti. Erikoismerkeistä kannattaa huomata, että ne ovat eri paikoissa US-näppäimistössä, jota saattaa joutua käyttämään erikoistilanteissa. Niitä ei siis välttämättä kannata käyttää ainakaan pääkäyttäjän ([[Ubuntu]]issa ensimmäisen käyttäjän) salasanoissa.

Perinteisesti Unix-salasanasta on käytetty korkeintaan 8 merkkiä, mikä nykyään alkaa olla vähän. Pidempiä salasanoja käytettäessä pitää muistaa, että pituus auttaa melko vähän, jos salasana on muuten huono: tavallisessa lauseessa on vain noin kolme bitiä "satunnaisuutta" merkkiä kohden, joten 16 merkin huono salasana on merkittävästi huonompi kuin 8 merkin hyvä salasana. Alle 6 merkin salasana on aina huono.

Monen käyttäjän järjestelmissä on yleensä aina joukossa huonoja salasanoja. Jos koneella on useampia käyttäjiä kannattaa sallia kirjautuminen verkosta vain niille, jotka sitä ominaisuutta tarvitsevat (/etc/sshd_config: AllowUsers, AllowGroup ja vastaava muille palvelimille) sekä ajaa jokin salasanojen murto-ohjelma, kuten [[crack]].

==Vaihtoehdot==

Kotikoneella ei välttämättä halua käyttää salasanoja. Tällöin salasanalla kirjautumisen voi estää "*"-merkillä salasanakentässä ja [[työpöytäympäristö]]n [[graafinen kirjautumisohjelma|kirjautumisohjelman]] asettaa hyväksymään salasanattomat kirjautumiset tietyille käyttäjätunnuksille, mahdollisesti niin että tunnuksen voi valita ohjelman esittämästä listasta.

Etäkirjautumiset [[SSH]]:n kautta voi hoitaa avainpareilla: [[ssh-keygen]] luo avainparin tiedostoihin ~/.ssh/id_rsa ja id_rsa.pub. Edellinen kopioidaan (luotetuille) koneille, joista haluaa ottaa yhteyttä, jälkimmäinen tiedostoon ~/.ssh/[[authorized_keys]] koneella, johon haluaa ottaa yhteyttä.

[[PAM]] mahdollistaa myös muita vaihtoehtoja, kuten älykortin käyttämisen.

==Taustaa==

Unix-salasanan salattu versio säilytetään tiedostossa /etc/[[passwd-tiedosto|passwd]] tai /etc/[[shadow-tiedosto|shadow]]. Tunnus suljetaan kirjoittamalla salasanakenttään jotakin, joka ei ole minkään mahdollisen salasanan salattu muoto, yleensä "x", "*" tai "!". Eri merkinnöillä on eri erikoismerkityksiä.

Perinteinen Unix-salasana on enintään 8 merkin pituinen. Se ja satunnaisesti valittava "suola" käytetään salakirjoittamaan tietty bittijono (yleensä pelkkiä nollia) muunnellulla [[DES]]-algoritmillä ([[wikipedia:fi:DES|DES]]). Käytetty suola ja tuloksena saatu [[wikipedia:fi:Hajautusalgoritmi|salasanatiiviste]] kirjoitetaan salasanatiedostoon. Salauksen purku ei onnistu, vaan tietty salasana todetaan oikeaksi toistamalla operaatio samalla suolalla ja vertaamalla tulosta salasanakenttään. Suolan käyttö estää "sanakirjahyökkäykset": sama salasana eri suolalla antaa eri tulokset.

Unixin alkuaikoina salasanojen murtaminen arvaamalla olisi vaatinut suurta konetehoa, jolloin salasanat voitiin pitää kaikkien luettavissa. Nykyään ne pidetään yleensä vain [[pääkäyttäjä]]n luettavissa shadow-tiedostossa. Näin järjestelmä voi rajoittaa salasanan arvailua, eikä niitä voi kokeilla sillä nopeudella mitä oman koneen laskuteho sallisi.

Salasanatiedosto saattaa kuitenkin vuotaa. Tässä tapauksessa perinteinen DES-algoritmi ei riitä, koska kaikki mahdolliset salasanat kaikilla eri suolavaihtoehdoilla on mahdollista käydä läpi kutakuinkin järjellisessä ajassa, ainakin jos olettaa salasanat valituiksi jonkin säännön mukaan (ei erikoismerkkejä ja korkeintaan yksi numero tms.).

Nykyään käytössä on tavallisesti [[MD5]]-algoritmiin perustuvaa algoritmiä, joka sallii pidemmät salasanat ja siten estää kaikkien mahdollisten salasanojen kokeilemisen. Pidempi salasana ei kuitenkaan auta, jos se on huonosti valittu: tavallinen lause sisältää "satunnaisuutta" vain noin kolme bittiä merkkiä kohden, jolloin 16-merkkinen huono salasana on merkittävästi huonompi kuin 8-merkkinen hyvä salasana.

Myös muita salasanatiivisteitä on käytössä, esimerkiksi SHA- tai Blowfish-algoritmeihin perustuvia.

==Merkinnät salasanakentässä==

Salasanakenttä muodostuu perinteisen DES-salasanan tapauksessa kahden merkin suolasta sekä [[wikipedia:fi:Hajautusalgoritmi|salasanatiivisteestä]]. MD5-algoritmin tapauksessa kenttä alkaa merkkijonolla "$1$", jonka jälkeen tulee suola, "$" ja salasanatiiviste. [[passwd-tiedosto]]n salasanakentässä on yleensä "x", jolloin käytetään [[shadow-tiedosto]]a.

Pelkkä "*" salasanakentässä tarkoittaa, että käyttäjä ei voi kirjautua salasanalla.

Tyhjä salasanakenttä tarkoittaa, että käyttäjältä ei kysytä salasanaa. Yleensä tällainen järjestely kannattaa hoitaa muulla tavalla, esimerkiksi [[graafinen kirjautumisohjelma|graafisen kirjautumisohjelman]] ([[gdm]], [[kdm]], [[xdm]] tms.) asetuksilla. [[PAM]] voidaan asettaa olemaan hyväksymättä salasanatonta kirjautumista.

Tyhjä ''salasana'' käsitellään eri tavalla kuin tyhjä salasanakenttää. Sekään on harvoin hyvä vaihtoehto

Lukitun tunnuksen merkintä vaihtelee. Linuxeissa käytetään usein "!"-merkkiä salasanan edessä, jolloin tunnus voidaan ottaa käyttöön samalla salasanalla poistamalla tämä merkki. Yleensä toimenpide kannattaa hoitaa [[usermod]]- tai [[passwd]]-ohjelmalla, jolloin merkintätapa on varmasti oikea.

==Katso myös==
*Tunnuksen lukitseminen
*Rajoitettu käyttäjä
(Mistä löytyy tietoa?)

==Aiheesta muualla==
*[[wikipedia:fi:Salasana]]
*[[wikipedia:en:Crypt (Unix)#Library Function]]

[[Luokka:Käsitteet]]