Lösenordshanterare, och varför bra lösenord inte räcker
Råden om lösenord har varit fel i tjugo år, och de flesta följer dem fortfarande.
Stora och små bokstäver, en siffra, ett specialtecken, byt var nittionde dag. Resultatet blev inte säkrare lösenord. Resultatet blev Sommar2024! som byttes till Sommar2025! och skrevs på en lapp under tangentbordet.
Det som gör det extra frustrerande är att den som byggde reglerna hade rätt problem i huvudet. De tänkte sig någon som sitter och gissar. Det är inte så det går till längre.
Det verkliga hotet
Angripare gissar sällan lösenord. De provar lösenord som redan läckt.
När en webbplats blir hackad hamnar användarnamn och lösenord i listor som säljs vidare. Sedan testas kombinationerna automatiskt mot hundratals andra tjänster. Har någon på ert företag använt samma lösenord till sitt konto på ett forum 2019 som till företagsmejlen idag, spelar det ingen roll hur komplicerat det är.
Det heter credential stuffing och är den vanligaste vägen in i småföretag. Inte för att metoden är avancerad, utan för att den är helt automatiserad, kostar angriparen ingenting, och lyckas tillräckligt ofta.
Ni kan kontrollera om era adresser finns i kända läckor på haveibeenpwned.com. Det är gratis och tar två minuter, och det brukar göra diskussionen betydligt kortare.
Varför en lösenordshanterare löser det
Det går inte att komma ihåg femtio unika lösenord. Det är inte en viljefråga, det är omöjligt, och därför återanvänder folk. Varje regel som bygger på att människor ska minnas fler saker kommer att kringgås.
En lösenordshanterare tar bort behovet. Den skapar ett unikt lösenord per tjänst, sparar det krypterat, och fyller i det åt er. Ni behöver komma ihåg exakt ett lösenord, det till valvet.
Att den fyller i automatiskt ger en bonus som sällan nämns: den fyller inte i på fel sajt. Ser adressen inte exakt rätt ut händer ingenting, vilket gör den till ett förvånansvärt bra skydd mot phishing. Där en människa läser slarvigt läser programmet exakt.
Invändningen vi alltid får
"Är det inte farligt att lägga alla ägg i en korg?"
Jo, om korgen är dålig. Men jämförelsen är inte mot en perfekt värld, den är mot hur det ser ut idag: samma lösenord överallt, i en Excel-fil som heter Lösenord, på lappar, i webbläsarens minne på en dator som fem personer använder.
Ett valv med ett långt unikt huvudlösenord och MFA påslaget är dramatiskt bättre än det. Seriösa lösenordshanterare krypterar dessutom lokalt, vilket innebär att leverantören inte kan läsa innehållet ens om de blir hackade själva. Det har hänt, och de valven förblev oläsliga.
Huvudlösenordet är den enda delen som kräver något av er
Eftersom det är det enda ni behöver minnas kan det få vara långt.
Tre eller fyra slumpmässiga ord fungerar bättre än ett kort krångligt. Det är enkelt att skriva på en telefon och svårt att gissa. Undvik citat, låttexter och namn på husdjur, alltså allt som går att härleda till er.
Skriv ner det en gång, på papper, och lägg det där ni förvarar värdehandlingar. Det låter bakvänt men är rätt: risken att någon bryter sig in i ert hem för att läsa en lapp är mycket mindre än risken att ni glömmer lösenordet och låser er ute ur allt.
Vilken ni väljer spelar mindre roll än att ni väljer en
De etablerade alternativen är tillräckligt bra för ett litet företag. Det som skiljer är detaljer i pris och gränssnitt, inte säkerhet i grunden.
Två saker är däremot värda att titta efter. En företagsvariant med delade valv gör att ni kan dela wifi-lösenordet eller inloggningen till en gemensam tjänst utan att skicka det i en chatt. Och en tydlig väg ut, alltså export, så att ni inte sitter fast om ni vill byta.
Webbläsarens inbyggda lösenordshantering är bättre än ingenting och bättre än återanvändning. Den är sämre på att delas mellan personer och på att följa med mellan olika enheter och webbläsare.
Det som händer när någon slutar
En lösenordshanterare löser ett problem som annars är obehagligt: att en person bär runt på inloggningar ingen annan känner till.
Med delade valv ligger företagets inloggningar hos företaget. Slutar någon tar ni bort deras åtkomst till valvet, och ni vet exakt vilka lösenord som behöver bytas, nämligen de i de valv personen hade tillgång till.
Utan valv är svaret på samma fråga en gissning, och den gissningen brukar landa i att ingenting byts alls. Det hänger ihop med När en anställd slutar, där det är just de okända inloggningarna som skapar arbetet.
Vad ni gör med lösenord som ändå måste delas
Det finns alltid några som flera personer behöver: wifi, en gemensam kundportal, ett konto hos en leverantör som inte stödjer flera användare.
Lägg dem i ett delat valv, inte i en chatt och inte i ett dokument. Ett lösenord som skickats i en Teams-chatt ligger kvar i den chatten för alltid, sökbart, för alla som är med i kanalen nu eller senare.
Behöver ni skicka ett lösenord till någon utanför företaget, använd en engångslänk som förfaller efter att den öppnats. De flesta lösenordshanterare har den funktionen inbyggd.
Kom igång
Guiden Lösenordshanterare, sluta återanvända lösenord går igenom valet av verktyg och de första stegen.
Försök inte flytta in allt på en gång. Ta de fem viktigaste, byt dem till nya unika lösenord medan ni är i farten, och lägg sedan till resten allteftersom ni ändå loggar in på saker.
Efter ett par veckor är valvet fullt utan att någon behövt sätta av en dag för det.
Nästa del: MFA, det enda enskilda skydd som stoppar nästan alla dessa angrepp.
Andra delar i den här serien:
- 3-2-1-backup
- Lösenordshanterare (den här artikeln)
- MFA
- Phishing
- Misstänkt länk
- Gamla användarkonton
- När en anställd slutar
- Admin-konton