Lösenord och säkerhet

En kedja är aldrig starkare än dess svagaste länk. Detta är speciellt sant när det gäller it-säkerhet, och det vanligaste är att lösenord den svagaste länken i it-system. Det är därför väldigt viktigt att man förstår de problemen finns kring lösenord och hanterar lösenord på ett bra vis, om man ens bör använda lösenord över huvud taget. I den mån det är möjligt bör man överväga två-faktor autentisering istället för lösenord. Två-faktor autentiseringen kan exempelvis bestå av ett plastkort och en sifferkod.

Det finns två problem med lösenord som är viktiga att förstå:

1. Folk är generellt sett väldigt dåliga på att hitta på bra lösenord.
2. Folk väljer oftast samma lösenord igen.

Det finns ett klassiskt hack där man erbjuder besökare på en mässa en gratis penna mot att man skriver in ett användarnamn och lösenord på en dator. Det är nästan häpnadsväckande hur många som ger ut sitt vanliga användarnamn och lösenord som man använder till såväl e-post som mycket annat, bara för en så enkel sak som en penna. Folk är lata och inser inte problemet med att återanvända lösenord. Det man bör lära sig av hacket är att folk brukar i en förvånansvärd hög utsträckning återanvända samma lösenord igen.

Men, när folk i allmänhet trotts allt anstränger sig för att hitta på bra lösenord är de inte så bra på det ändå. Väldigt många prickar in ett lösenord ur en lista med de top 100 vanligaste lösenorden, eller åtminstone top 10 000. Det är alltså inte svårt att veta vart man ska börja när man ska hacka lösenord och så mycket som omkring 2/3 av valda lösenord kan hackas med innovativ hacking och ordlistor, även om 1/3 av lösenorden kanske är mer realistiska siffror. Detta alltså trotts att folk upplever att de varit kreativa och skapat säkra lösenord.

Som användare bör man därför anstränga sig för att välja säkra lösenord och ett nytt lösenord varje gång. I praktiken är detta ganska hopplöst eftersom man också måste minnas alla lösenord man skapar. Man kan förbättra situationen genom att ha separata lösenord på de viktigaste platserna, som exempelvis e-post, sedan kan man ha ett starkt lösenord som man använder på viktiga platser, och ett svagt lösenord som man använder annars när det inte är så viktigt. Som när man vill få en penna gratis till exempel.

PTS (Post och telestyrelsen) har skapat ett bra verktyg för att testa om ett lösenord är säkert. Där finns också tips på hur du som användare kan skapa ett bra lösenord.

När det gäller lösenord och säkerhet så måste slutsatsen bli att en tung bit vilar på utvecklarna av systemen eftersom utvecklare oftast lägger orimliga krav på användarna. Det är inte rimligt att användarna ska kunna komma ihåg ett nytt säkert lösenord varje gång, vilket oftast är det som förväntas. Ska man använda lösenord i ett system är det viktigt att man gör det på rätt sätt:

1. Det viktigaste är att inte låt någon hacker testa lösenord. Blocka konton eller liknande efter ett antal misslyckade försök. Blocka exempelvis kontot  i 24 timmar efter 5 felaktiga försök och två varningar. Logga blockeringar och följ upp om någon blockar fler konton.
2. Låt inte användaren välja lösenord själv! Välj lösenord åt användaren med en säker slumptalskälla. Om man bara använder ett lösenord ofta så fastnar det faktiskt i minnet efter ett tag, trotts att de är relativt långt och slumpartade lösenord. Många lösenord sparas också i webbläsaren och behöver inte skrivas in så ofta. En säker slumplatskälla innebär inte en vanlig slumplatsfunktion, det måste vara en som verkligen är säker. Risken finns annars att en hacker han återskapa den genererade serien av lösenord! Säkra lösenord måste genereras med någon form av kryptobibliotek.
3.  Skicka inte lösenord över e-post. Skicka exempelvis en tillfällig länk istället. Skickas lösenord per e-post blir de oftast liggande kvar där vilket kan bli väldigt påtagligt för en användare när e-posten blir hackad. Många hackers ger sig på e-post konton och en av orsakerna är att det finns så mycket viktig information liggande där, som exempelvis lösenord.
4. Fundera lite på hur återställning av lösenord går till. Den bästa lösningen är om användarens identitet kan fastställas innan man skickar lösenord igen. Det man vill undvika är att skicka ett återställt lösenord till en hacker som nyligen hackat ett e-post konto.

När det gäller kryptering får vanliga lösenord aldrig användas för kryptering av data! Lösenord är inte tillräckligt starka för detta ändamål. Med en vanlig dator kan man normalt testa flertalet miljoner lösenord per sekund. Ett vanligt lösenord hackas sannolikt på delar av en sekund under dessa förutsättningar. Detta gäller i princip samtliga krypteringsalgoritmer som används idag. Man kan förstärka lösenord med olika algoritmer och tekniker men det räcker ändå inte för att ett vanligt lösenord ska kunna användas för kryptering. Man kan däremot använda en lösenfras istället för lösenord. En lösenfras består av en mening istället för ett ord och måste innehålla siffror, specialtecken och så få vanliga ord som möjligt. En lösenfras bör inte heller ha någon meningsfull betydelse. I den mån det är möjligt bör man undvika även lösenfraser vid kryptering och istället använda system som använder asymmetrisk kryptering (ex RSA) eller Diffie-Hellman genererade krypteringsnycklar. När det gäller disk-kryptering finns det inga fördelar med asymmetrisk kryptering utan man bör då använda en väl vald lösenfras eller två-faktor autentisering.