Selväteksti (cleartext) — määritelmä ja salaamattoman datan tietoturvariskit

Mikä on selväteksti? Ymmärrä salaamattoman datan riskit, suojaa tiedot ja estä tietomurrot — käytännön vinkit ja selkeät selitykset tietoturvan parantamiseen.

Tietoliikenteessä selväteksti tarkoittaa viestin tai datan muotoa, joka on ihmisen tai koneen suoraan ymmärrettävissä ilman salaustoimia tai dekoodausta. Käytännössä se tarkoittaa, että tieto on lähetetty tai tallennettu ilman salausta (tai että se on palautettu salauksesta takaisin luettavaan muotoon). Sama ilmaisun idea näkyy myös sanoissa "in clear", "en clair" ja "in the clear".

Termit ovat lähellä englantilaista plaintext-sanaa, mutta käytännössä on hyvä erottaa käsitteet tarkasti. Selkoteksti on se tieto, joka syötetään salausta tai muuta krypto-operaatiota varten, kun taas salateksti on salausprosessin tuotos. Ennen salausta selkoteksti voidaan kuitenkin pakata, koodata tai muutoin muuttaa, joten se ei välttämättä vastaa suoraan ihmisen luettavaa alkuperäistä tekstiä.

Esimerkkejä ja käytännön vaikutuksia

Monet arkipäivän palvelut eivät oletuksena suojaa kaikkea tiedonsiirtoa. Esimerkiksi HTTP-yhteydellä toimivat verkkosivustot voivat lähettää tietoja selväkielellä, jolloin kaikki sivustolle lähetetyt tiedot — mukaan lukien käyttäjätunnukset ja salasanat) — liikkuvat verkoissa salaamattomina. Kuka tahansa, jolla on pääsy tiedonsiirtoon käytettyyn välineeseen (reitittimet, tietokoneet, televiestintälaitteet, langattomat lähetykset jne.), voi teoriassa siepata ja lukea nämä tiedot.

Tietoturvariskit

• Keskustelun sieppaus (eavesdropping) — salaamaton liikenne voidaan kuunnella ja tallentaa.
• Man-in-the-middle (MITM) — hyökkääjä voi muokata tai väärentää selvätekstiä kuljetuksen aikana.
• Tunnistetietojen vuoto — salasanat, istuntotunnukset ja muut arvot voivat päätyä vääriin käsiin.
• Tietojen pitkäaikainen paljastuminen — jos arkaluonteista dataa tallennetaan selvätekstiin, se on helposti luettavissa myöhemmin.
• Sääntely- ja yksityisyysriskit — salauksen puute voi rikkoa lakivaatimuksia tai yrityksen tietosuojakäytäntöjä.

Missä selvätekstiä esiintyy usein

• Vanhemmat tai väärin konfiguroidut verkkopalvelut (esim. HTTP).
• Sähköpostit ilman palvelutason salausta tai loppupään salausta (end-to-end).
• Pöytäkirjat ja lokit, joihin arkaluonteista tietoa kirjoitetaan selväkielisinä.
• IoT-laitteet ja sulautetut järjestelmät, joissa ei ole sisäänrakennettua salausta.
• Jakaminen käyttäjätunnusten ja salasanojen muodossa esimerkiksi sähköpostilla tai tekstiviestillä.

Vähennä riskejä — käytännön suositukset

• Käytä aina suojattuja protokollia, kuten HTTPS (TLS), SSH tai SFTP tiedonsiirrossa.
• Salaus levossa (encryption at rest) suojaa tietoja, jos palvelin tai tallennusmediat joutuvat vääriin käsiin.
• Säilytä salasanoja suojattuna käyttämällä vahvaa hajautusta ja suolausta (hash + salt) — älä tallenna salasanoja selväkielisinä.
• Hyödynnä VPN:ää julkisissa verkoissa ja varmista, että käytössä on ajantasaiset salausprotokollat ja vahvat salausalgoritmit.
• Ota käyttöön HSTS, sertifikaattien validointi ja tarvittaessa sertifikaattien pinnaaminen estämään MITM-hyökkäyksiä.
• Rajatkaa arkaluontoisten tietojen kirjoittamista lokitiedostoihin ja huolehdi lokien turvallisesta säilytyksestä.
• Kouluta käyttäjiä ja ylläpidä ohjelmistoja ajan tasalla — monet selvätekstiongelmat johtuvat virheellisistä asetuksista tai vanhentuneista ohjelmistoista.

Yhteenvetona: selväteksti on helposti luettavaa tietoa, jonka suojaamatta jättäminen lisää merkittävästi tietovuodon ja väärinkäytön riskiä. Salaustekniikoiden ja hyvän tietoturvakäytännön avulla voidaan merkittävästi vähentää näitä riskejä.

Kysymyksiä ja vastauksia

K: Mikä on selvä teksti?

K: Mitä tarkoittaa termi "in clear"?

K: Miten selväteksti eroaa selvätekstistä?

K: Voiko selkoteksti erota selvätekstistä?

K: Minkälainen viestintätila lähettää tietoja selvätekstinä?

K: Minkä tyyppiset tiedot ovat haavoittuvia, kun ne lähetetään selvätekstillä?

Kysymys: Mitä riskejä liittyy arkaluonteisten tietojen välittämiseen selväkielellä?

Hae kirjaimella