Täystyrmäys Facebookin pikasalasanalle

Ei Facebook-uudistusta ilman tietoturvahuolia. Ei edes silloin, kun uudistus on tarkoitettu tietoturvan parantamiseen. Sophoksen asiantuntija Graham Cluley löytää Facebookin 20 minuutin salasanoista rikollisen mentäviä aukkoja. Myös käyttäjän huolimattomuutta tarvitaan.

Yhteisöpalvelu Facebook kertoi tiistaina 20 minuuttia voimassa olevista salasanoista turvatakseen käyttöä julkisilla tietokoneilla, joiden tietoturvasta käyttäjä ei voi tietää. Salasanan voi tilata matkapuhelimella olettaen, että käyttäjä on rekisteröinyt numeronsa Facebookissa.

Sophoksen Cluley takertuu ilmeisen omakohtaisiin kokemuksiinsa kännykän kadottamisista. Tällaisissa tilanteissa matkapuhelimeen nojaavat pikasalasanat voivat päästää väärät ihmiset sisään Facebookiin käyttäjän nimellä. Toki tunkeutujien pitää tietää myös käyttäjän sähköpostiosoite, mutta sen selvittäminen ei välttämättä ole vaikeaa.

Onko Facebookia pakko
käyttää julkisella koneella?

Graham Cluley epäilee myös, että Facebookin jäsenet eivät välttämättä huomaisi, jos pahantekijät muuttaisivat tiliin liitetyn matkapuhelinnumeron omakseen. Tämä voi onnistua vaikka silloin, kun sisään kirjautunut käyttäjä piipahtaa vessassa. Sen jälkeen konnilla olisi pääsy tilille koska vain.

Myös peruste itsestään tuhoutuville salasanoille ontuu asiantuntijan mielestä. Jos kerran käyttämänsä tietokoneen turvallisuuteen ei luota, miksi sillä pitäisi ylipäätään käyttää Facebookia, Cluley ihmettelee.

Hän kuitenkin myöntää, että 20 minuutin salasana tarjoaa jonkin verran suojaa. Esimerkiksi näppäinten painalluksia tallentavat haittaohjelmat saisivat näin haltuunsa vain salasanan, joka muuttuu nopeasti toimimattomaksi.

Pikasalasanat ovat ainakin toistaiseksi rajoitetussa käytössä vain Yhdysvalloissa.