Skapa starka lösenord och använd en lösenordshanterare
Vi går igenom praktiska sätt att skydda e-post-, bank- och adminkonton med långa lösenfraser, en lösenordshanterare och kontroll av dataläckor.
Aurora YazılımRedaktionen
6 min läsning
För att skapa starka lösenord ska du fokusera mer på längd än på komplexitet: välj en lösenfras av slumpmässiga ord med minst 12–16 tecken. Använd ett unikt lösenord för varje konto, förvara dem i en lösenordshanterare, slå på tvåstegsverifiering på viktiga konton och kontrollera regelbundet om din adress förekommer i dataläckor.
Varför är ett svagt lösenord så riskabelt?
Angripare gissar inte lösenord ett i taget. De använder automatiserade verktyg som provar enormt många lösenord per sekund, och listor med miljontals lösenord som redan läckt ut. Lösenord som “123456”, födelseår, lagnamn eller företagsnamn ligger högst upp på de listorna.
Det större problemet är återanvända lösenord. Kombinationen av e-postadress och lösenord som läckt från en webbshop provas automatiskt mot e-post-, bank- och sociala konton. Det kallas credential stuffing, och en enda svag länk kan öppna alla dina konton.
För företag är risken ännu större. När webbplatsens adminpanel, e-handelsadministrationen, domänkontot eller företagets e-post kapas drabbas kunddata, anseende och försäljning på en gång.
En annan vanlig svaghet är standardlösenord. Om lösenordet som följer med vid installationen av ett modem, en kamera, en skrivare eller en nyinstallerad mjukvarupanel inte byts ut är enheten lätt att ta över, eftersom de här lösenorden listas öppet på internet. När en ny enhet eller ett nytt konto tas i bruk ska det första du gör vara att byta standardlösenordet mot ett unikt och långt lösenord.
Egenskaper hos ett starkt lösenord
Aktuella säkerhetsriktlinjer, till exempel riktlinjerna för autentisering från det amerikanska standardiseringsorganet NIST, anser att längd är viktigare än komplexitetsregler. Ett kort lösenord fullt av symboler är oftast svagare än en lång, slumpmässig lösenfras.
Samma riktlinjer rekommenderar inte heller att man tvingar fram lösenordsbyten med jämna mellanrum utan att något tyder på ett problem, eftersom det driver användare mot förutsägbara mönster som “Losen2024!”, “Losen2025!”. Lösenordet ska bytas när det finns en misstanke om läcka.
- Minst 12–16 tecken, längre för administratörskonton
- Innehåller ingen personlig information (namn, födelsedatum, registreringsnummer, telefonnummer)
- Är inte ett ord ur ordboken eller en tangentföljd (qwerty, 123456)
- Används inte på något annat konto
- Är slumpmässigt genererat; mönster som människor tycker är “smarta” går ofta att förutse
Så skapar du en lösenfras
För de få lösenord du måste lära dig utantill är lösenfrasen den bästa metoden: fyra eller fem slumpmässigt valda ord utan samband som sätts ihop. En kedja som “penna-oliv-moln-kompass-bla” är både lång och lätt att komma ihåg. Använd inte just det här exemplet, utan dina egna slumpmässiga ord.
Lösenord du inte behöver lära dig utantill låter du lösenordshanteraren skapa. Den som använder kommandoraden kan också generera ett slumpmässigt lösenord med kommandona nedan.
openssl rand -base64 24
python3 -c 'import secrets; print(secrets.token_urlsafe(20))'Vad är en lösenordshanterare?
En lösenordshanterare är en app som förvarar alla dina lösenord i ett krypterat valv, fyller i dem automatiskt när du loggar in på en sajt och skapar starka lösenord för nya konton. Nyckeln till valvet är ett enda huvudlösenord, och därför måste det vara långt, unikt och skyddat med tvåstegsverifiering.
Hanterare ger också ett indirekt skydd mot nätfiske: den automatiska ifyllningen föreslår lösenordet bara på den domän där det sparats. Om lösenordet inte föreslås på en falsk sajt är det en tidig varning om att adressen är fel.
Vad ska man titta på när man väljer?
- Totalkryptering, där datan bara dekrypteras på din egen enhet
- Appar för alla operativsystem och webbläsare du använder
- Stöd för tvåstegsverifiering och hårdvarunycklar
- Säker delning och behörighetsstyrning i teamet
- Varningar för läckor och återanvända lösenord
Webbläsare eller separat app?
De inbyggda lösenordshanterarna i webbläsare och operativsystem är mycket bättre än att inte använda någon alls. Behöver du flera webbläsare, olika operativsystem och delning i teamet ger en fristående lösenordshanterare en mer flexibel lösning.
Kontrollera dataläckor
Ditt lösenord kan ha ingått i en dataläcka utan att du märkt något. Tjänster som Have I Been Pwned visar om din e-postadress förekommer i kända läckor. Många lösenordshanterare och webbläsare kontrollerar dessutom dina sparade lösenord mot läcklistor.
Om ditt namn dyker upp i en läcka ska du inte få panik utan gå vidare steg för steg: byt först lösenordet på det kontot och sedan på alla andra konton där du använt samma lösenord. Var också försiktig med e-postmeddelanden av typen “ditt konto har låsts” efter en läcka; angripare utnyttjar de lägena. För att skilja falska meddelanden från riktiga kan du läsa vårt inlägg om vad nätfiske är.
Räcker ett lösenord ensamt?
Inte ens det starkaste lösenordet hjälper om det skrivs in på en nätfiskesida eller fångas upp av skadlig programvara på enheten. Därför behöver lösenordet kompletteras med ett andra verifieringslager. Tvåstegsverifiering kräver, utöver lösenordet, en kod från en app i telefonen eller en hårdvarunyckel.
Det finns också skillnader mellan verifieringsmetoderna. En kod via sms är bättre än ingenting men sårbar för attacker som SIM-kapning; en autentiseringsapp och en säkerhetsnyckel i hårdvara är betydligt starkare alternativ. Installationsstegen hittar du i vår guide om hur du slår på tvåstegsverifiering.
Glöm inte återställningskoderna. Att spara reservkoderna du får när du slår på tvåstegsverifiering i lösenordshanteraren eller på ett säkert ställe kan vara det enda sättet att komma åt kontot igen om telefonen försvinner.
Lösenordspolicy för företag
I ett företag kan lösenordssäkerheten inte överlåtas åt individuella vanor. En kort, skriftlig lösenordspolicy gör att alla arbetar efter samma regler. Policyn är också en del av de tekniska och administrativa åtgärder som förväntas enligt KVKK (Turkiets dataskyddslag, jämförbar med GDPR).
- Ge alla ett eget användarkonto; använd inga delade konton och inga delade lösenord
- Välj en lösenordshanterare för hela företaget och förvara delade lösenord i valvet
- Gör tvåstegsverifiering obligatorisk på e-post, adminpanel och bankkonton
- Stäng åtkomsten för anställda som slutar samma dag och byt delade lösenord
- Förbjud att lösenord delas via e-post, chattappar eller lappar
- Håll en kort utbildning i säkerhetsmedvetenhet minst en gång om året
Säkerhet för webbplats och adminpanel
Lösenordssäkerhet är inte bara användarnas ansvar; själva sajten måste också vara rätt uppbyggd. Bra programvara lagrar lösenord inte som klartext utan med starka hashalgoritmer, begränsar upprepade misslyckade inloggningar och erbjuder tvåstegsverifiering för adminpanelen. I skräddarsydda mjukvarulösningar utformas de här reglerna tillsammans med rollbaserad behörighetsstyrning redan i projektets början.
När du väljer en e-handelsplattform eller en företagswebbplats förebygger du framtida kontokapningar genom att fråga efter de här funktionerna. Inloggningens framtid formas dessutom av passkey-tekniken, som tar bort lösenorden helt.
Lösenord är en del av en större säkerhetsbild och får sin betydelse först tillsammans med säkerhetskopiering, uppdateringar och medarbetarnas medvetenhet. För den helheten kan du läsa vårt inlägg om vad cybersäkerhet är.
Vanliga frågor
01Vad händer om lösenordshanteraren hackas?
I väl utformade hanterare dekrypteras valvet bara med huvudlösenordet som endast du känner till, så data som stjäls från leverantörens server går inte att läsa i sig. Därför är det avgörande att huvudlösenordet är långt och unikt och att tvåstegsverifiering är påslagen.
02Är det säkert att skriva ner lösenord i en anteckningsbok?
En anteckningsbok som ligger inlåst hemma kan vara säkrare mot attacker på distans än en digital anteckningsfil. Men en lösenordslista på kontoret, bredvid skärmen eller i plånboken är öppen för fysisk åtkomst och passar inte för delning i ett team.
03Hur ofta ska jag byta lösenord?
Den aktuella rekommendationen är att byta ett starkt och unikt lösenord inte enligt ett schema utan när det finns ett tecken på problem, som en läcka eller en misstänkt inloggning. Om din organisation eller bransch har egna regler ska du följa dem.
Långa och unika lösenord, en bra lösenordshanterare och tvåstegsverifiering stoppar största delen av alla kontokapningar innan de ens har börjat. Aurora Yazılım utformar säker inloggning och behörighetsstyrning från början i mjukvarulösningar skräddarsydda för ditt företag, och tar även hand om hastighet, prestanda och underhåll av din befintliga sajt. Har du frågor kan du skriva till oss via vår kontaktsida.
