IT-palvelut - Ohjeet

Jaetun salausavaimen käyttö VeraCrypt tiedostosäilössä

VeraCrypt on salausohjelma, jolla voidaan salata yksi tai useampi tiedosto tallentamalla ne VeraCrypt tiedostosäilöön. VeraCrypt on tarkoitettu yksittäisen henkilön omien tiedostojen salaamiseen ja sitä tuleekin käyttää pääsääntöisesti kyseiseen tarkoitukseen. Salalauseen hallinta ja muistaminen on käyttäjän vastuulla eikä IT-palveluilla ole mekanismia unohdetun salalauseen palauttamiseksi.

VeraCrypt tiedostosäilön tiedostojen jakaminen useamman henkilön käyttöön edellyttää tiedostosäilön salausavaimen jakamista. Tässä ohjeessa on toimintaohjeet salausavaimen jakamiseen. VeraCryptin käyttö salattujen tiedostojen jakamiseen esimerkiksi jaetulla verkkolevyllä edellyttää näiden ohjeiden noudattamista.

Tiedostosäilön ja salausavaimen omistajat

Jokaiselle muodostettavalle tiedostosäilölle ja sen sisältämälle tiedolle on määriteltävä omistaja. Omistaja vastaa näiden ohjeiden noudattamisesta. Tiedostosäilön omistaja ilmoittaa muodostettavasta säilöstä tietoturvatoimijoille osoitteeseen . Ilmoitukseen tulee sisällyttää seuraavat tiedot:

    • tiedostosäilön tarkoitus (esimerkiksi tutkimusryhmän nimen)
    • tiedostosäilön suunniteltu käyttöaika
    • omistajan nimi
    • salausavaimen omistajan nimi

Tiedostosäilön omistaja määrää salausavaimen omistajan, jonka tehtävänä on hallita tiedostosäilön salauksen salausavainta (salalausetta). Salausavaimen omistaja voi olla myös tietojen omistaja. Tietojen omistaja myöntää oikeudet tietosäilöön ja kertoo kirjallisesti salausavaimen omistajalle henkilöt, joilla on oikeus käyttää tiedostoja.

Salausavaimen omistaja luo ja jakelee salausavaimen ja ylläpitää luetteloa henkilöistä, joilla on oikeus käsitellä tiedostosäilön tiedostoja. Luetteloon kirjataan, kenelle käyttöoikeus on myönnetty, milloin ja kuka oikeuden on myöntänyt ja milloin käyttöoikeus päättyy.

Tiedostosäilön salalauseen muodostaminen ja käsittely

Salausavaimen omistaja asettaa VeraCrypt tiedostosäilön salausavaimen. Avaimena käytetään salalausetta, jonka pituus on 20-64 merkkiä. Mitä pidempi salalause on sitä paremmin se suojaa tietoja. Salalause ei saa muodostua yksittäisestä sanasta eikä sisältää

    • nimiä,
    • syntymäaikoja,
    • tilinumeroita,
    • mitään helposti arvattavaa

Salalauseeseen on sisällytettävä

    • sekä isoja että pieniä kirjaimia,
    • numeroita,
    • erikoismerkkejä kuten @ ^ = $ * +

Salausavain on salassa pidettävää tietoa yliopiston luokittelu ja käsittelyohjeen mukaisesti luokassa Salainen. Se talletetaan paperille ja sitä on säilytettävä lukitussa paikassa tiloissa, joissa on kulunvalvonta niin, että vain tiedostosäilöön oikeutetut voivat käsitellä sitä. Vanhentuneet salausavaimet on hävitettävä silppuamalla.

Salausavaimen omistaja välittää avaimen käyttöön oikeutetuille suljetussa ja läpinäkymättömässä kirjekuoressa sisäpostilla tai toimittaa henkilökohtaisesti käyttäjälle. Käyttäjä säilyttää salausvaimen yllä kuvatulla tavalla eikä luovuta sitä kenellekään. Ainoastaan salausavaimen omistajalla on oikeus jakaa avainta myönnettyjen käyttöoikeuksien puitteissa.

Tiedostosäilön salausavaimen muuttaminen

Tiedostosäilön tiedostojen käsittelijöitä voi tulla lisää tai henkilön tarve käsitellä tietoja voi päättyä. Tietojen omistajan tehtävä on kertoa salausavaimen omistajalle käyttöoikeuksissa tapahtuvista muutoksista. Tietojen omistaja ilmoittaa oikeusmuutoksista salausvaimen omistajalle kirjallisesti. Salausavaimen omistaja päivittää tiedot luetteloon.

Kun tietosäilölle hyväksytään uusia käyttäjiä, toimittaa salausavaimen omistaja avaimen käyttöön oikeutetuille suljetussa ja läpinäkymättömässä kirjekuoressa sisäpostilla tai toimittaa henkilökohtaisesti käyttäjälle.

Käyttöoikeus tiedostosäilöön voi myös loppua. Tyypillinen tilanne on henkilön poistuminen ryhmästä työsuhteen päättyessä. Salalause on vaihdettava aina, kun käyttöoikeusryhmästä poistuu henkilö. Salausavaimen omistaja päivittää käyttöoikeusluettelon, vaihtaa tiedostosäilön salalauseen ja välittää uuden salalauseen käyttöoikeusluettelon mukaisesti yllä kuvatulla tavalla.

Jos salausavaimen omistaja vaihtuu, on edellisen salausavaimen omistajan luovutettava käyttöoikeusluettelo uudelle salausavaimen omistajalle. Uusi salausavaimen omistaja vaihtaa tiedostosäilön salalauseen välittömästi ja välittää sen käyttöoikeusluettelon mukaisesti valtuutetuille käyttäjille yllä kuvatulla tavalla.

Valvonta

Tietosisällön omistaja valvoo salausavainten hallinnan toteutumista tämän ohjeen mukaisesti. Käyttöoikeudet on katselmoitava vähintään kerran vuodessa. Yliopiston tietoturva tarkastaa avainten hallinnan toteumista pistokokein.

Muuta

VeraCrypt ohjelma on asennettu yliopiston Windows työasemiin. Käyttäjä voi asentaa sen itse RedHat ja Mac työasemien ohjelmistovalikoimasta. Ohjelman käytön voi aloittaa käyttöohjeen avulla. Tiedostosäilön salalauseen vaihto tehdään pääikkunan kohdasta Volume Tools --> Change Volume Password

HUOM! Salalauseen hallinta ja muistaminen on käyttäjän vastuulla eikä IT-palveluilla ole mekanismia unohdetun salalauseen palauttamiseksi.