Helmikuussa 2026 ETH Zürichin ja Università della Svizzera italianan tutkijat julkaisivat tuloksen, joka ravisteli koko salasananhallinta-alaa: kolmesta suositusta pilvipohjaisesta palvelusta löytyi yhteensä 25 erillistä hyökkäystapaa. Kohteina olivat Bitwarden, LastPass ja Dashlane, kolme tuotetta, joita miljoonat käyttäjät luottavat säilyttämään pankkitunnuksia, työtilien salasanoja ja kahden tekijän varmuuskoodeja. Tutkimus osoitti, että “nolla-tieto”-lupaus, jonka varaan koko toimiala on rakennettu, ei ole niin ehdoton kuin markkinointi antaa ymmärtää.
Kolme kuukautta myöhemmin Proton julkaisi vastapainoksi oman auditointinsa tulokset: Proton Pass läpäisi ulkopuolisen tarkastuksen ilman etähyökkäyksiä tai salauksen ohituksia. Kaksi uutista samalta vuodelta, samalta toimialalta, mutta täysin erilaisella lopputuloksella. Suomalaisille ja pohjoismaisille käyttäjille tapaus on erityisen ajankohtainen, sillä salasananhallintojen käyttö on kasvanut nopeasti samaan aikaan kun Suomen tietosuojavaltuutettu on kiristänyt valvontaansa ja EU:n Cyber Resilience Act etenee kohti syksyn 2026 määräaikoja. Tässä artikkelissa käymme läpi, mitä ETH Zürichin tutkimus tarkalleen löysi, miten Proton Pass onnistui välttämään samat virheet, ja mitä tämä tarkoittaa käytännössä suomalaiselle käyttäjälle tai yritykselle.
Mitä ETH Zürichin tutkimus tarkalleen paljasti
Tutkimus julkaistiin virallisesti 16. helmikuuta 2026, ja siinä käytiin läpi kolmen johtavan pilvipohjaisen salasananhallinnan arkkitehtuuria yksityiskohtaisesti. Tutkijaryhmä tunnisti 25 erillistä hyökkäystapaa, joilla käyttäjän tallentamat salasanat voidaan periaatteessa vaarantaa. Tulokset julkaistiin ETH Zürichin omilla uutissivuilla, ja tutkimus sai laajaa huomiota myös kansainvälisessä teknologiamediassa (ETH Zürich, helmikuu 2026).
Keskeinen havainto ei ollut yksittäinen räikeä bugi, vaan rakenteellinen ongelma. Useat hyökkäysketjuista aktivoituvat vasta silloin, kun käyttäjä on ottanut käyttöön tilin palautus- tai jakamisominaisuuksia, siis juuri niitä toimintoja, joita palveluntarjoajat markkinoivat käyttömukavuutena. Toisin sanoen: mitä enemmän ominaisuuksia palveluun kytketään päälle, sitä useampi reitti hyökkääjälle avautuu. Tämä on tuttu jännite tietoturvassa yleisemminkin, mutta salasananhallinnan tapauksessa panokset ovat poikkeuksellisen korkeat, koska koko palvelun tarkoitus on toimia yhtenä keskitettynä holvina.
Tilin palautus ja jakaminen suurimpina riskeinä
Kansainvälinen uutisointi tutkimuksesta korosti, että osa hyökkäyksistä toimii nimenomaan silloin kun tilin palautus tai salasanojen jakaminen tiimin kesken on aktivoituna (The News, helmikuu 2026). Yritysasiakkaille tämä on erityisen huolestuttava havainto, sillä salasanojen jakaminen tiimin sisällä on juuri se ominaisuus, jonka takia moni organisaatio ylipäätään siirtyy pilvipohjaiseen ratkaisuun yksittäisten työntekijöiden hajanaisten tapojen sijaan. Tutkijat huomauttivat myös, että “nolla-tieto”-arkkitehtuuri, jossa palveluntarjoaja ei väitetysti pysty koskaan näkemään käyttäjän salasanoja selkokielisenä, ei automaattisesti tarkoita, että kaikki hyökkäysreitit olisi suljettu. Salaus voi olla matemaattisesti vahva, mutta jos palautusmekanismi tai jakamislogiikka on toteutettu väljästi, kokonaisturvallisuus kärsii silti.
Bitwarden, LastPass ja Dashlane: kolme kohdetta, kolme erilaista tilannetta
Tutkimuksen kohteena olleet kolme palvelua ovat kaikki laajassa käytössä myös Suomessa. Bitwarden on avoimen lähdekoodin ratkaisu, joka on kerännyt suosiota juuri läpinäkyvyytensä ansiosta, ja sitä on käsitelty aiemmin myös omassa Bitwardenin asennusoppaassamme. LastPass on puolestaan yksi vanhimmista kaupallisista salasananhallinnoista markkinoilla, ja Dashlane on tunnettu erityisesti yritysasiakkaiden hallintapaneelistaan. Kaikki kolme jakavat saman perusarkkitehtuurin: käyttäjän salasanaholvi salataan paikallisesti ja synkronoidaan salattuna pilveen.
Tutkijat ilmoittivat löydöksistä valmistajille ennen julkaisua, ja tekninen seurantaraportointi kertoi, että suurin osa haavoittuvuuksista oli korjattu siihen mennessä kun tutkimus julkaistiin (Secure.com, helmikuu 2026). Tämä on tärkeä nyanssi: kyse ei ollut aktiivisesti hyväksikäytetystä nollapäivähaavoittuvuudesta, vaan akateemisesta tutkimuksesta, joka noudatti vastuullisen ilmoittamisen periaatteita. Silti havaintojen määrä, 25 erillistä hyökkäystapaa kolmesta tuotteesta, on toimialan mittakaavassa poikkeuksellisen suuri, ja se herätti kysymyksen siitä, kuinka moni muu palvelu kätkee samankaltaisia rakenteellisia heikkouksia, joita kukaan ei ole vielä systemaattisesti tutkinut.
On myös syytä muistaa, mitä 25 hyökkäystapaa ei tarkoita. Se ei tarkoita, että jokainen käyttäjä olisi ollut vaarassa joka hetki tutkimuksen julkaisua edeltäneenä aikana. Suuri osa löydöksistä vaatii tarkkaan määritellyn olosuhteiden yhdistelmän: tietyn ominaisuuden aktivoinnin, tietyn käyttöjärjestelmäversion tai pääsyn tiettyyn osaan käyttäjän laitteesta. Tämä ero on tärkeä, koska mediaotsikot taipuvat helposti yksinkertaistamaan monimutkaisen akateemisen työn yhdeksi peloteltavaksi luvuksi. Todellisuudessa kyse on pikemminkin kartasta, joka näyttää missä kohtaa järjestelmää heikkoudet sijaitsevat, kuin valmiista hyökkäysvälineestä, joka toimisi suoraan kenttäolosuhteissa.
Proton Pass läpäisi auditoinnin: mitä se todella todistaa
Toukokuun 12. päivä 2026 Proton julkaisi oman salasananhallintansa auditointiraportin tulokset. Proton Pass oli auditoitu tammikuun ja huhtikuun 2026 välisenä aikana, ja tarkastuksen teki Recruity Labs, yritys jolla yhtiön mukaan on lähes kahden vuosikymmenen kokemus monimutkaisten järjestelmien tietoturvasta (Proton, toukokuu 2026). Tulos oli Protonin oman kuvauksen mukaan selvästi keskitason yläpuolella: auditoinnissa ei löytynyt etähyökkäystä, joka olisi mahdollistanut käyttäjän vaarantamisen pelkällä haitallisen sivuston vierailulla, eikä yhtään salauksen ohitusreittiä, joka olisi tarjonnut takaportin salausta kiertäen.
On syytä muistaa, että Proton itse maksoi ja tilasi auditoinnin, joten kyse ei ole riippumattoman kolmannen osapuolen aloitteesta tehdystä tutkimuksesta samalla tavalla kuin ETH Zürichin akateemisessa työssä. Silti ero on merkittävä signaali markkinoille: kun yksi toimija julkaisee läpinäkyvästi ulkopuolisen tarkastuksen tulokset samalla kun kilpailijat saavat akateemikoilta 25 löydöstä, käyttäjien luottamus alkaa siirtyä sinne, missä auditointihistoria on avoin ja säännöllinen. Tämä on juuri se dynamiikka, jota Suomen ja Pohjoismaiden yritysostajat seuraavat tarkasti valitessaan salasananhallintaa organisaatiokäyttöön.
Auditointien tulokset 2026: vertailu rinnakkain
Alla oleva taulukko kokoaa yhteen tämän vuoden merkittävimmät julkiset auditointitapaukset salasananhallinnan alalla. Taulukko perustuu yksinomaan julkisesti raportoituihin tapauksiin, ei kaikkien markkinoilla olevien tuotteiden kattavaan listaan.
| Palvelu | Auditoija | Ajankohta | Keskeinen havainto |
|---|---|---|---|
| Bitwarden, LastPass, Dashlane | ETH Zürich + USI | Helmikuu 2026 | 25 erillistä hyökkäystapaa, suurin osa korjattu ennen julkaisua |
| Proton Pass | Recruity Labs | Tammi–huhtikuu 2026 | Ei etähyökkäyksiä, ei salauksen ohituksia |
| Passwork | Venäjän puolustusministeriön alainen sertifiointielin | Heinäkuu 2026 | Lähdekoodi katsottu Venäjällä, ks. aiempi artikkelimme |
| KeePass | Ei keskitettyä pilviauditointia (paikallinen tietokanta) | Jatkuva yhteisötarkastus | Ei pilvisynkronointia oletuksena, hyökkäyspinta erilainen |
Taulukosta näkyy selvästi kaksi eri tarinaa. Yhtäältä pilvipohjaiset kaupalliset palvelut, joissa auditointi paljasti rakenteellisia heikkouksia mutta myös korjausprosessin. Toisaalta Passworkin tapaus, jossa auditoinnin teki geopoliittisesti arka taho, mikä on eri asia kuin tekninen haavoittuvuus mutta yhtä lailla merkityksellinen luottamuskysymys eurooppalaisille käyttäjille.
Miksi nolla-tieto-arkkitehtuuri ei yksin riitä
Käsite “nolla-tieto” (zero-knowledge) on ollut salasananhallinnan markkinoinnin kulmakivi jo vuosia. Idea on yksinkertainen: palveluntarjoaja ei koskaan näe käyttäjän salasanoja selkokielisenä, koska salaus ja purku tapahtuvat aina paikallisesti käyttäjän laitteella. ETH Zürichin tutkimus osoitti kuitenkin, että tämä lupaus koskee vain yhtä osaa järjestelmästä. Kun käyttäjä unohtaa pääsalasanansa ja käynnistää palautusprosessin, tai kun tiimi jakaa kirjautumistietoja keskenään, järjestelmään syntyy väistämättä lisää liikkuvia osia. Jokainen näistä osista on oma hyökkäyspintansa, riippumatta siitä kuinka vahva itse salausalgoritmi on.
Tämä ei tarkoita, että nolla-tieto-arkkitehtuuri olisi turha. Se tarkoittaa, että käyttäjien ja ostopäättäjien pitää arvioida koko järjestelmää, ei pelkkää salausväitettä. Tutkimuksen keskeinen suositus oli, että käyttäjien kannattaa valita palveluita, jotka ovat avoimia löydetyistä haavoittuvuuksista, käyvät läpi säännöllisiä ulkopuolisia auditointeja ja tarjoavat päästä päähän -salauksen oletuksena, ei valinnaisena lisäominaisuutena.
Markkinavaikutus: miten toimiala reagoi
Salasananhallinnan markkina on kasvanut tasaisesti viime vuosina, kun yhä useampi yritys ja yksityishenkilö on siirtynyt pois selaimen sisäänrakennetuista salasanamuisteista erillisiin, keskitettyihin ratkaisuihin. ETH Zürichin tutkimus osui juuri hetkeen, jolloin kilpailu alalla on kiristynyt: uusia toimijoita tulee markkinoille, ja vanhat toimijat kilpailevat sekä hinnalla että luottamuksella. Kun akateeminen tutkimus julkaisee 25 löydöstä kolmesta suurimmasta nimestä, se vaikuttaa väistämättä ostopäätöksiin, erityisesti yritysasiakkaiden keskuudessa, joissa hankintapäätökset kulkevat usein tietoturvatiimin kautta.
Käytännössä tämä näkyy kahdella tavalla. Ensinnäkin palveluntarjoajat, jotka pystyvät osoittamaan säännöllisen ja läpinäkyvän auditointihistorian, saavat kilpailuedun. Proton on tästä hyvä esimerkki: julkaisemalla auditointinsa tulokset avoimesti heti tarkastuksen valmistuttua yhtiö kääntää tietoturvatutkimuksen markkinointieduksi sen sijaan että se jäisi vain teknisen yleisön tietoon. Toiseksi hintakilpailu voi kiristyä entisestään, kun palveluntarjoajat joutuvat investoimaan enemmän ulkopuolisiin tarkastuksiin pysyäkseen kilpailukykyisinä, ja nämä kustannukset heijastuvat lopulta tilaushintoihin.
Kuluttajapuolella reaktio on ollut hitaampi mutta silti mitattavissa. Teknologiaan erikoistuneet keskustelupalstat ja foorumit täyttyivät helmikuun jälkeen ketjuista, joissa käyttäjät vertailivat auditointihistorioita ja kyselivät, kannattaako siirtyä palvelusta toiseen. Suurin osa tavallisista käyttäjistä ei kuitenkaan vaihda palvelua yhden uutisen perusteella, varsinkin jos vaihtaminen tarkoittaisi satojen tallennettujen kirjautumistietojen siirtämistä käsin. Tästä syystä lyhyen aikavälin markkinaosuusmuutokset ovat todennäköisesti pieniä, mutta pidemmällä aikavälillä uusien käyttäjien hankinta kallistuu yhä enemmän niiden palveluiden suuntaan, jotka pystyvät osoittamaan auditointihistoriansa jo rekisteröitymisvaiheessa.
Suomen ja Pohjoismaiden erityispiirteet
Suomessa sähköisen viestinnän palveluista annettu laki painottaa viestinnän ja siihen liittyvän liikennetietojen luottamuksellisuutta erityisen vahvasti, ja tämä painotus on vain vahvistunut vuoden 2026 aikana (Twobirds, 2026). Salasananhallinnat kuuluvat tämän keskustelun ytimeen, koska ne säilövät käytännössä avaimet lähes kaikkeen digitaaliseen elämään: pankkiasiointiin, työsähköposteihin, terveyspalveluihin ja julkishallinnon asiointipalveluihin.
Samaan aikaan Suomen tietosuojavaltuutetun toimisto on laajentanut valvontaansa myös julkishallintoon, ja EU:n laajuinen sääntely-ympäristö tiukkenee useasta suunnasta yhtä aikaa. Cyber Resilience Act asettaa tuotetason vaatimuksia ohjelmistoille syksyn 2026 määräaikojen myötä, mikä koskee suoraan myös salasananhallintaohjelmistoja myyviä yrityksiä (DataGuidance, Suomi). Pohjoismaisille organisaatioille tämä tarkoittaa, että salasananhallinnan valinta ei ole enää pelkkä IT-osaston käytännön päätös, vaan yhä useammin myös vaatimustenmukaisuuskysymys, joka nousee johtoryhmän agendalle.
Passwork-tapaus, jota käsittelimme aiemmin ilmestyneessä artikkelissamme, on tästä konkreettinen muistutus. Kun eurooppalaiseksi markkinoitu salasananhallinta paljastuikin jakavan lähdekoodin taustaa venäläisen, puolustusministeriön alaisen sertifiointielimen kanssa, moni suomalainen ja pohjoismainen organisaatio joutui tarkistamaan hankintaketjunsa uudelleen. ETH Zürichin tutkimus ja Passwork-tapaus eivät ole sama asia teknisesti, mutta molemmat kertovat samasta ilmiöstä: salasananhallinnan valinta vaatii nyt enemmän due diligenceä kuin vielä muutama vuosi sitten.
Historiallinen konteksti: salasananhallinnan tietoturva 2020–2026
Salasananhallintojen tietoturvahistoria ei ole ollut ongelmaton aiemminkaan. LastPass koki vuosina 2022 ja 2023 vakavia tietomurtoja, joissa hyökkääjät pääsivät käsiksi salattuihin holvitiedostoihin varastamalla kehittäjän henkilökohtaisia tunnuksia pilvitallennuspalvelusta. Nämä tapaukset johtivat laajaan keskusteluun siitä, kuinka paljon käyttäjän pitäisi luottaa yhteen keskitettyyn palveluun. ETH Zürichin vuoden 2026 tutkimus jatkaa samaa linjaa, mutta lähestymistapa on erilainen: kyse ei ole reaktiivisesta tietomurron jälkianalyysistä, vaan ennakoivasta akateemisesta tutkimuksesta, joka etsii heikkouksia ennen kuin rikolliset ehtivät niitä hyödyntää.
Tämä siirtymä reaktiivisesta ennakoivaan tutkimukseen on itsessään merkittävä kehityssuunta. Vielä 2020-luvun alussa suurin osa salasananhallinnan tietoturvakeskustelusta käytiin vasta tietomurron jälkeen. Vuonna 2026 akateemiset tutkimusryhmät, kuten ETH Zürichin ja USI:n yhteistyö, tekevät järjestelmällistä ennakkotarkastusta, ja tulokset julkaistaan riippumatta siitä, miltä ne näyttävät valmistajien kannalta. Tämä nostaa koko toimialan läpinäkyvyyden tasoa, vaikka yksittäisille yrityksille julkaisu voi olla lyhyellä aikavälillä epämiellyttävä.
Vertailun vuoksi kannattaa muistaa, millaisessa tilanteessa toimiala oli vielä muutama vuosi sitten. LastPassin vuosien 2022 ja 2023 tietomurrot paljastuivat vasta kuukausia tapahtuman jälkeen, ja yhtiö joutui julkaisemaan päivityksiä tilanteesta useassa erässä sitä mukaa kun tutkinta eteni. ETH Zürichin tutkimuksessa aikajana on täysin erilainen: löydökset raportoitiin valmistajille ennen julkista julkaisua, korjaukset tehtiin ennalta sovitulla aikataululla, ja koko prosessi noudatti akateemisen tietoturvatutkimuksen vakiintuneita käytäntöjä. Tämä ero prosessissa on itsessään tärkeä signaali siitä, miten toimiala on kypsynyt: julkinen paljastus ei enää automaattisesti tarkoita hallitsematonta kriisiä, vaan sitä voidaan hallita ennalta sovitulla vastuullisen ilmoittamisen mallilla.
Salasananhallinnan tietoturvatapahtumat 2026: aikajana
| Päivämäärä | Tapahtuma | Lähde |
|---|---|---|
| 16.2.2026 | ETH Zürich ja USI julkaisevat tutkimuksen 25 hyökkäystavasta Bitwardenissa, LastPassissa ja Dashlanessa | ETH Zürich |
| 18.2.2026 | Kansainvälinen teknologiamedia laajentaa uutisointia tutkimuksen löydöksistä | Secure.com, The News |
| 12.5.2026 | Proton julkaisee Proton Pass -auditoinnin tulokset, ei etähyökkäyksiä eikä salauksen ohituksia | Proton |
| 18.7.2026 | Eurooppalainen tutkiva journalismi paljastaa Passworkin yhteydet venäläiseen sertifiointielimeen | VSquare / oma artikkelimme |
| 27.8.2026 | Passwork-raporttia päivitetään uusilla yksityiskohdilla | VSquare |
Kilpailijavertailu: mitä käyttäjän kannattaa katsoa
Kun salasananhallintaa valitaan vuoden 2026 tilanteessa, pelkkä hinta tai käyttöliittymän siisteys ei enää riitä perusteeksi. Kolme asiaa nousee esiin tämän vuoden tapahtumien valossa. Ensimmäinen on auditointihistorian avoimuus: onko palveluntarjoaja julkaissut viimeisimmän ulkopuolisen tarkastuksen tulokset, ja kuinka usein tarkastuksia tehdään. Toinen on se, missä yhtiö ja sen omistus sijaitsevat, sillä Passwork-tapaus osoitti, että lähdekoodin tausta ja sertifiointiketju voivat vaikuttaa luottamukseen siinä missä tekninen toteutuskin. Kolmas on se, miten palautus- ja jakamisominaisuudet on toteutettu, koska juuri ne osoittautuivat ETH Zürichin tutkimuksessa suurimmaksi riskitekijäksi.
KeePass edustaa tässä vertailussa omaa kategoriaansa: koska tietokanta on oletuksena paikallinen eikä synkronoidu automaattisesti pilveen, moni ETH Zürichin tutkimuksen löytämä hyökkäystapa ei yksinkertaisesti päde samalla tavalla. Hintana on kuitenkin käyttömukavuus, sillä käyttäjä vastaa itse varmuuskopioinnista ja synkronoinnista laitteiden välillä. Aiemmin vertailimme tätä kysymystä laajemmin artikkelissamme Bitwarden vs LastPass vs KeePass, joka on hyvä lähtökohta, jos punnitset pilvipohjaisen ja paikallisen ratkaisun välillä.
Näin suojaudut käytännössä juuri nyt
Käyttäjän ei tarvitse vaihtaa palvelua paniikissa, mutta muutama konkreettinen toimenpide kannattaa tehdä heti. Ensinnäkin kannattaa tarkistaa, onko käytössä olevaan tiliin kytketty tilin palautusominaisuus, jota ei enää tarvita, ja poistaa se käytöstä jos mahdollista. Toiseksi kaksivaiheinen tunnistautuminen kannattaa varmistaa olevan päällä jokaisessa palvelussa, ei pelkästään itse salasananhallinnassa vaan myös sähköpostitilissä, jota käytetään palautuskanavana. Aiheesta löytyy tarkempi läpikäynti 2FA-vertailuartikkelistamme.
Kolmanneksi kannattaa tarkistaa oma altistuminen aiemmissa tietovuodoissa, sillä salasananhallinnan turvallisuus ei auta, jos samoja salasanoja on jo vuotanut muualta. Tähän löytyy käytännön ohjeet Have I Been Pwned -oppaastamme. Neljänneksi, jos ylläpidät itse hostattua ratkaisua kuten Vaultwardenia, kannattaa varmistaa, että palvelin on koventettu asianmukaisesti, sillä itse hostattu ei automaattisesti tarkoita turvallisempaa, jos perusasetukset jäävät oletuksiin. Tästä on oma koventamisoppaamme.
Yritysten näkökulma: hankintapäätökset muuttuvat
Yritysasiakkaille ETH Zürichin tutkimus ja Proton Pass -auditointi yhdessä muuttavat sitä, miten salasananhallintaa hankitaan. Tietoturvatiimit alkavat yhä useammin vaatia toimittajilta konkreettista näyttöä säännöllisistä ulkopuolisista auditoinneista osana kilpailutusprosessia, ei enää pelkkää myyntipuhetta salauksesta. Tämä on erityisen merkittävää julkishallinnossa ja säännellyillä toimialoilla, kuten terveydenhuollossa ja rahoitussektorilla, joissa hankintapäätökset dokumentoidaan tarkasti ja joissa vastuu väärästä valinnasta voi kaatua suoraan hankinnasta vastanneelle henkilölle.
Samalla pienemmät ja keskisuuret yritykset, joilla ei ole omaa tietoturvatiimiä, joutuvat nojaamaan yhä enemmän kolmansien osapuolten arvioihin ja mediassa käytävään keskusteluun. Tämä tekee juuri tämänkaltaisista julkisista tutkimuksista entistä arvokkaampia: ne tarjoavat riippumattoman vertailukohdan tilanteessa, jossa jokainen palveluntarjoaja väittää olevansa turvallisin vaihtoehto markkinoilla.
Ennusteet: mihin suuntaan salasananhallinnan tietoturva kehittyy
Vuoden 2026 tapahtumien perusteella toimialalla on nähtävissä muutamia selkeitä suuntaviivoja loppuvuodelle ja vuoteen 2027. Ensinnäkin on odotettavissa, että useampi suuri toimija seuraa Protonin esimerkkiä ja julkaisee auditointinsa tulokset avoimesti markkinointimateriaalina, koska kilpailuetu on nyt osoitettavissa numeroin, ei pelkillä lupauksilla.
- Useampi kaupallinen palvelu julkaisee säännöllisen, vuosittaisen auditointiraportin osana läpinäkyvyysstrategiaansa.
- Palautus- ja jakamisominaisuuksien oletusasetuksia tiukennetaan, ja käyttäjiä ohjataan aktiivisesti pois vaarallisimmista yhdistelmistä.
- EU:n Cyber Resilience Act painostaa erityisesti pienempiä toimittajia investoimaan ulkopuolisiin tarkastuksiin, koska tuotetason vaatimukset koskevat myös ohjelmistoja, joita aiemmin ei säännelty suoraan.
- Yritysostajat alkavat vaatia auditointitodistuksia osana kilpailutusta, mikä nostaa kynnystä pienille toimijoille ilman auditointibudjettia.
- Alkuperämaa ja omistusrakenne nousevat yhtä tärkeäksi arviointikriteeriksi kuin tekninen toteutus, Passwork-tapauksen jälkimainingeissa.
Näistä ennusteista viimeinen on todennäköisesti pitkäkestoisin muutos. Tekninen turvallisuus on aina ollut arvioinnin ydin, mutta geopoliittinen ulottuvuus on tullut mukaan keskusteluun pysyvästi. Pohjoismainen ja laajemmin eurooppalainen ostaja ei enää kysy pelkästään “onko salaus vahva”, vaan myös “kuka omistaa yhtiön, missä maassa lähdekoodi tarkastetaan, ja kenellä on pääsy siihen prosessiin”.
Usein kysytyt kysymykset
Pitäisikö minun lopettaa Bitwardenin, LastPassin tai Dashlanen käyttö?
Ei välttämättä. Tutkijat ilmoittivat löydöksistä valmistajille ennen julkaisua, ja suurin osa haavoittuvuuksista oli korjattu tutkimuksen julkaisuhetkeen mennessä. Tärkeintä on pitää sovellus ajan tasalla ja tarkistaa tilin palautus- ja jakamisasetukset.
Onko Proton Pass automaattisesti turvallisempi kuin kilpailijat?
Auditointi antaa vahvan signaalin, mutta muista, että Proton itse tilasi ja rahoitti tarkastuksen. Se ei ole sama asia kuin riippumaton akateeminen tutkimus, vaikka tulos olikin myönteinen. Kannattaa silti seurata, julkaiseeko yhtiö auditointeja jatkossakin säännöllisesti.
Mitä 25 hyökkäystapaa tarkalleen tarkoittaa käytännössä?
Kyse on 25 erillisestä teknisestä tavasta, joilla tutkijat osoittivat salasanaholvin sisällön voivan vaarantua tietyissä olosuhteissa, usein tilin palautuksen tai jakamisen ollessa aktivoituna. Suurin osa vaatii tiettyjen ominaisuuksien olevan käytössä, eivätkä ne toimi automaattisesti kaikkia käyttäjiä vastaan.
Onko KeePass turvallisempi vaihtoehto, koska se on paikallinen?
Paikallinen tallennus poistaa monta pilvipohjaista hyökkäysreittiä, mutta siirtää vastuun varmuuskopioinnista ja synkronoinnista kokonaan käyttäjälle. Se sopii teknisesti valveutuneelle käyttäjälle, mutta ei ole automaattisesti oikea valinta kaikille.
Miten Passwork-tapaus liittyy tähän tutkimukseen?
Suoraan ei liity, sillä kyse on eri tuotteesta ja eri ongelmasta. Passwork-tapauksessa kyse oli lähdekoodin tarkastuksesta venäläisen, puolustusministeriön alaisen tahon toimesta, ei teknisestä haavoittuvuudesta. Molemmat tapaukset kuitenkin osoittavat, että salasananhallinnan valinta vaatii nykyään laajempaa taustatarkastusta kuin pelkkää ominaisuusvertailua.
Vaikuttaako tämä suomalaisiin julkishallinnon organisaatioihin?
Kyllä, epäsuorasti. Suomen tietosuojavalvonta on laajentunut julkishallintoon, ja EU:n Cyber Resilience Act tuo tuotetason vaatimuksia ohjelmistoille syksyn 2026 määräaikojen myötä. Salasananhallinnan valinta kuuluu nyt osaksi laajempaa vaatimustenmukaisuusarviointia julkisella sektorilla siinä missä yksityiselläkin.
Kuinka usein salasananhallinnan pitäisi käydä läpi ulkopuolinen auditointi?
Toimialalla ei ole yhtä virallista standardia, mutta vuoden 2026 esimerkkien perusteella vuosittainen tai kahden vuoden välein tehtävä ulkopuolinen tarkastus on nousemassa käytännön normiksi johtavien toimijoiden keskuudessa.
Mitä minun kannattaa tehdä juuri nyt, jos käytän jotain näistä kolmesta palvelusta?
Päivitä sovellus uusimpaan versioon, tarkista tilin palautusasetukset, ota kaksivaiheinen tunnistautuminen käyttöön kaikkialla missä mahdollista ja vältä jaettujen holvien avaamista useammalle henkilölle kuin on välttämätöntä.
