Lage sterke passord og passordbehandler
Vi viser praktiske måter å beskytte e-post, bank og administrasjonspaneler på med lange passfraser, passordbehandler og lekkasjesjekk.
Aurora YazılımRedaksjonen
6 min lesetid
For å lage et sterkt passord bør du fokusere mer på lengde enn på kompleksitet: Velg en passfrase på minst 12–16 tegn, satt sammen av tilfeldige ord. Bruk et forskjellig passord for hver konto, lagre dem i en passordbehandler, slå på tofaktorautentisering på viktige kontoer og sjekk jevnlig om adressen din dukker opp i lekkasjer.
Hvorfor er et svakt passord så risikabelt?
Angripere gjetter ikke passord ett og ett. De bruker automatiske verktøy som prøver svært mange kombinasjoner i sekundet, og lister med millioner av passord som har lekket tidligere. Passord som «123456», fødselsår, lagnavn eller firmanavn ligger helt øverst på disse listene.
Det større problemet er gjenbruk av passord. Kombinasjonen av e-post og passord som lekker fra en nettbutikk, prøves automatisk mot e-post-, bank- og sosiale medier-kontoer. Dette kalles credential stuffing, og ett eneste svakt ledd kan åpne alle kontoene.
For bedrifter er risikoen enda større. Når administrasjonspanelet på nettsiden, nettbutikkstyringen, domenekontoen eller bedriftens e-post blir overtatt, rammes kundedata, omdømme og salg samtidig.
En annen vanlig svakhet er standardpassord. Hvis passordet som ble gitt ved installasjonen av et modem, et kamera, en skriver eller et nytt programvarepanel ikke endres, kan enheten lett overtas, fordi disse passordene er åpent listet på internett. Det første du gjør når du tar i bruk en ny enhet eller konto, er å bytte standardpassordet med et unikt og langt passord.
Egenskaper ved et sterkt passord
Gjeldende sikkerhetsveiledninger, som retningslinjene for autentisering fra NIST, USAs standardiseringsorgan, vektlegger lengden på passordet mer enn kompleksitetsregler. Et kort passord fullt av symboler er som regel svakere enn en lang og tilfeldig passfrase.
De samme retningslinjene anbefaler heller ikke å tvinge frem passordbytte med jevne mellomrom uten tegn på problemer, fordi det driver brukerne mot forutsigbare mønstre som «Passord2024!» og «Passord2025!». Passordet bør byttes når det er mistanke om lekkasje.
- Minst 12–16 tegn, lengre for administratorkontoer
- Inneholder ikke personlig informasjon (navn, fødselsdato, bilskilt, telefon)
- Er ikke en rekke etter hverandre i ordboken eller en tastaturrekke (qwerty, 123456)
- Brukes ikke på noen annen konto
- Er generert tilfeldig. Mønstre som mennesker synes er «smarte», er ofte forutsigbare
Slik lager du en passfrase
For de få passordene du må huske, er den beste metoden en passfrase: fire–fem urelaterte, tilfeldig valgte ord satt sammen. En rekke som «penn-oliven-sky-kompass-blå» er både lang og lett å huske. Ikke bruk dette eksemplet, men dine egne tilfeldige ord.
Passord du ikke trenger å huske, lar du passordbehandleren generere direkte. De som bruker kommandolinjen, kan også generere et tilfeldig passord med kommandoene under.
openssl rand -base64 24
python3 -c 'import secrets; print(secrets.token_urlsafe(20))'Hva er en passordbehandler?
En passordbehandler er en app som lagrer alle passordene dine i hvelv med kryptering, fyller dem inn automatisk når du logger inn på en nettside, og lager sterke passord for nye kontoer. Nøkkelen til hvelvet er ett enkelt hovedpassord. Derfor må hovedpassordet være langt, unikt og beskyttet med tofaktorautentisering.
Behandlere gir også indirekte beskyttelse mot phishing: Automatisk utfylling foreslår passordet bare på det registrerte domenet. At passordet ikke foreslås på en falsk nettside, er en tidlig advarsel om at adressen er feil.
Hva bør du se etter når du velger?
- Ende-til-ende-kryptering, slik at dataene bare dekrypteres på din egen enhet
- App for alle operativsystemer og nettlesere du bruker
- Støtte for tofaktorautentisering og maskinvarenøkkel
- Sikker deling og tilgangsstyring i teamet
- Varsler om lekkasjer og gjenbrukte passord
Nettleser eller egen app?
De innebygde passordbehandlerne i nettlesere og operativsystemer er langt bedre enn å ikke bruke noen. Trenger du flere nettlesere, ulike operativsystemer og deling i teamet, gir en uavhengig passordbehandler en mer fleksibel løsning.
Sjekk om passordet er lekket
Du kan ha hatt passordet ditt med i en datalekkasje uten å vite det. Tjenester som Have I Been Pwned viser om e-postadressen din har vært med i kjente lekkasjer. Mange passordbehandlere og nettlesere sjekker også de lagrede passordene dine mot lekkasjelister.
Dukker navnet ditt opp i en lekkasje, går du frem uten panikk og i riktig rekkefølge: Bytt først passordet på den kontoen, og deretter på de andre kontoene der du brukte det samme passordet. Vær også på vakt mot e-poster av typen «kontoen din er låst» som kommer etter en lekkasje, for angripere utnytter slike øyeblikk. For å kjenne igjen falske meldinger kan du se artikkelen vår om hva phishing er.
Er et passord nok alene?
Selv det sterkeste passordet hjelper ikke hvis det skrives inn på en phishing-side eller registreres av skadevare på enheten. Derfor må passordet støttes av et ekstra lag med verifisering. Tofaktorautentisering krever i tillegg til passordet en kode fra en app på telefonen eller en maskinvarenøkkel.
Det er også forskjell på verifiseringsmetodene. En kode på SMS er bedre enn ingenting, men er sårbar for angrep som SIM-kloning. En autentiseringsapp og en maskinvare-sikkerhetsnøkkel er sikrere alternativer. For oppsettet kan du se guiden vår om hvordan du slår på tofaktorautentisering.
Ikke glem gjenopprettingskodene. Å lagre reservekodene du får når du slår på tofaktorautentisering i passordbehandleren eller et trygt sted, kan være den eneste veien tilbake til kontoen hvis telefonen blir borte.
Passordpolicy for bedrifter
I en bedrift kan ikke passordsikkerhet overlates til individuelle vaner. En skriftlig og kort passordpolicy sørger for at alle jobber etter de samme reglene. Policyen er også en del av de tekniske og organisatoriske tiltakene som forventes etter KVKK (tyrkisk personvernlov, sammenlignbar med GDPR).
- Gi alle sin egen brukerkonto, og ikke bruk delte kontoer og felles passord
- Velg én passordbehandler for hele bedriften, og hold delte passord i hvelvet
- Gjør tofaktorautentisering obligatorisk på e-post, administrasjonspanel og bankkontoer
- Steng tilgangene til ansatte som slutter samme dag, og bytt delte passord
- Forby deling av passord via e-post, meldingsapper eller lapper
- Hold et kort kurs i sikkerhetsbevissthet minst én gang i året
Sikkerhet for nettside og administrasjonspanel
Passordsikkerhet er ikke bare brukernes ansvar. Nettsiden selv må også være satt opp riktig. God programvare lagrer ikke passord som ren tekst, men med sterke hash-algoritmer, begrenser gjentatte mislykkede innloggingsforsøk og tilbyr tofaktorautentisering for administrasjonspanelet. I programvareløsninger utviklet spesielt for bedrifter designes disse reglene sammen med rollebasert tilgangsstyring fra prosjektstart.
Når du velger en nettbutikkplattform eller en bedriftsnettside, kan du forebygge en senere kontoovertakelse ved å spørre etter disse egenskapene. Fremtiden for innloggingssikkerhet formes derimot av passkey-teknologi, som fjerner passordene helt.
Passord er en del av et bredere sikkerhetsbilde, og får mening når det ses sammen med sikkerhetskopiering, oppdateringer og bevisste ansatte. For dette rammeverket kan du lese artikkelen vår om hva cybersikkerhet er.
Vanlige spørsmål
01Hva skjer hvis passordbehandleren blir hacket?
I godt utformede behandlere dekrypteres hvelvet bare med hovedpassordet som bare du kjenner. Data som stjeles fra leverandørens server, kan ikke leses alene. Derfor er det avgjørende at hovedpassordet er langt og unikt, og at tofaktorautentisering er slått på.
02Er det trygt å skrive passord i en notatbok?
En notatbok som ligger på et låst sted hjemme kan være tryggere mot angrep på nett enn en digital notatfil. Men en passordliste på kontoret, ved skjermen eller i lommeboken er åpen for fysisk tilgang og passer ikke for deling i teamet.
03Hvor ofte bør jeg bytte passord?
Dagens anbefaling er å bytte et sterkt og unikt passord ikke etter en fast kalender, men når det finnes et tegn som en lekkasje eller mistenkelig innlogging. Har organisasjonen eller bransjen din egne regler, følger du dem.
Lange og unike passord, en god passordbehandler og tofaktorautentisering stopper det meste av kontoovertakelsesangrep før de begynner. Aurora Yazılım designer sikker innlogging og tilgangsstyring fra begynnelsen i programvareløsninger laget for din virksomhet, og tar også ansvar for hastighet og ytelse og vedlikehold av den eksisterende nettsiden din. Har du spørsmål, kan du skrive til oss via kontaktsiden.
