- Tvungen periodisk adgangskodeændring fremmer svage nøgler og forudsigelige mønstre, hvilket reducerer den faktiske sikkerhed.
- Adgangskoder bør være lange, unikke og stærke og kun ændres, når der er mistanke om eller tegn på kompromittering.
- Multifaktorgodkendelse og adgangskodeadministratorer er nu de vigtigste værktøjer til at beskytte konti mod lækager og angreb.
- Fremtiden ligger i systemer som adgangskoder, der reducerer afhængigheden af traditionelle adgangskoder og deres problemer med tyveri og genbrug.
I årevis har vi hørt, at det ansvarlige at gøre er at skifte adgangskoder ofte , næsten som at indgive selvangivelse: det var obligatorisk. Men i de senere år har førende cybersikkerhedsorganisationer, såsom det amerikanske National Institute of Standards and Technology (NIST) , fuldstændig revideret denne anbefaling og er nået til en slående konklusion: at tvinge hyppige adgangskodeændringer forværrer normalt sikkerheden snarere end at forbedre den.
Dette skift i tilgang understøttes af data fra massive brud på legitimationsoplysninger, undersøgelser af brugeradfærd og praktiske erfaringer fra virksomheder og universiteter. I dag er den fremherskende anbefaling at opretholde stærke, lange og unikke adgangskoder , kun ændre dem, når der er mistanke om eller tegn på kompromittering, og at bruge værktøjer som multifaktorgodkendelse (MFA) og adgangskodeadministratorer for at undgå frustrationen ved at huske umulige adgangskoder.
NIST, som fastsætter tekniske standarder for amerikanske regeringsorganer og fungerer som benchmark for virksomheder verden over, har i sin vejledning SP 800-63-4 præciseret, at brugere ikke bør være forpligtet til at forny deres adgangskoder med jævne mellemrum, hvis der ikke er tegn på et sikkerhedsbrud. Dette er et radikalt skift fra den traditionelle politik om at "skifte adgangskoder hver 30./60./90. dag".
Det offentlige udkast til disse retningslinjer forklarer, at når en adgangskode er valgt korrekt (den er lang, tilfældig og unik), reducerer det sikkerheden at tvinge ændringer hver en eller tre måneder : byrden ved at huske nye adgangskoder tvinger folk til at forenkle dem, genbruge dem eller anvende forudsigelige mønstre, hvilket er præcis, hvad angribere udnytter.
Nuværende anbefalinger angiver, at tjenesteudbydere og identitetsverificatorer ikke bør pålægge periodiske udløb af adgangskoder . I stedet er de forpligtet til at håndhæve en øjeblikkelig ændring, når der er tegn på, at autentificeringsværktøjet er blevet kompromitteret, for eksempel efter et databrud, mistænkelig adgang eller tilstedeværelsen af adgangskoden i lækkede databaser.
Derudover sætter NIST spørgsmålstegn ved andre traditionelle krav, såsom rigide sammensætningsregler (der tvinger en blanding af store bogstaver, tal og symboler) eller de berygtede sikkerhedsspørgsmål som "navnet på dit første kæledyr". Beviser viser, at disse regler får brugerne til at opføre sig på meget forudsigelige måder og genererer adgangskoder som Password2023, Password2024 eller Password1!, som er en gave til angribere.
Analyse af massive databaser med stjålne adgangskoder afslører, at den faktiske fordel ved disse klassiske regler er langt mindre end tidligere antaget , mens den negative indvirkning på brugervenlighed og huskelighed er enorm. Kort sagt: folk ender med at lede efter nemme genveje, og disse genveje matcher næsten altid.
Hvordan dine adgangskoder virkelig bliver kompromitteret i dag
Uanset om du ændrer din adgangskode hver tredje måned eller ej, er dine konti sårbare på grund af den måde, cyberkriminelle får fat i dem på . Tyveri sker normalt ikke gennem et mirakuløst gæt af din adgangskode, men snarere gennem flere meget specifikke og velkendte metoder.
En af de mest almindelige metoder er massive datalækager fra onlinetjenester. Sociale netværk, fora, spilplatforme, e-handelssider og cloud-udbydere lider under sikkerhedsbrud, der afslører millioner af brugernavn-adgangskode-kombinationer, nogle gange endda ukrypterede eller med ødelagte algoritmer. Disse databaser ender med at blive videresolgt på hackingfora og det mørke web.
En anden klassisk årsag er, at din adgangskode er svag eller for almindelig . Lister over de mest brugte adgangskoder i lande som Spanien viser virkelig forfærdelige adgangskoder som "admin", "123456", "000000", "password" eller åbenlyse navne og byer som "carl0s" eller "barcelona". Disse slags kombinationer kan knækkes på under et sekund med automatiserede brute-force-værktøjer.
Der findes også phishing- og social engineering- angreb , hvor en angriber narrer dig til at indtaste din adgangskode på en falsk hjemmeside, der efterligner din bank, e-mail eller sociale medie. Nogle gange kombineres dette med keylogger-malware, som registrerer tastetryk for at indsamle alle loginoplysninger, du indtaster.
Endelig må vi ikke glemme software- og hardwaresårbarheder . Forældede systemer, routere med gammel firmware, applikationer med sikkerhedsfejl – alt dette kan give en tredjepart adgang til dine gemte adgangskoder eller endda ændre dem og blokere din legitime adgang. Derfor insisterer eksperterne på at holde systemer og enheder opdaterede.
Hvorfor det kan være en dårlig idé at ændre det "bare i tilfælde af"
I denne sammenhæng antager mange brugere, at hyppig ændring af deres adgangskode er en slags universel sikkerhedsforanstaltning. Imidlertid er både NIST og studier fra universiteter som Carnegie Mellon enige om, at hyppige, urimelige adgangskodeændringer øger risikoen for ondsindet aktivitet.
Når et system tvinger dig til at ændre dine adgangskoder kontinuerligt, holder de fleste op med at tænke for meget over det og anvender små, trivielle transformationer : tilføje eller øge et tal til sidst, ændre året, skifte mellem et tydeligt symbol ... præcis de mønstre, som angribere allerede har i deres ordbøger.
Derudover er ulempen ved disse ændringer, at folk bruger stadig kortere og enklere adgangskoder eller endda genbruger den samme adgangskode på tværs af forskellige tjenester med små variationer. Hvis en angriber kompromitterer en af disse konti, vil de have meget klare spor til de andre, hvilket mangedobler den potentielle skade.
Mange eksperter påpeger, at hvis virksomheder brugte den tid og de penge, der bruges på at gennemtvinge kvartalsvise adgangskodeændringer, på at træne brugerne i, hvordan man opretter stærke og unikke adgangskoder , og implementerer adgangskodeadministratorer og totrinsbekræftelse, ville den reelle forbedring af sikkerheden være meget større.
Selv sikkerhedsfirmaer anerkender, at rutinemæssig ændring af din adgangskode ikke gør den mere sikker uden bevis for et databrud . Faktisk kan det skabe en falsk følelse af sikkerhed, mens andre, mere alvorlige svagheder fortsætter, såsom at genbruge den samme adgangskode på flere websteder eller ikke at aktivere MFA.
Hvornår bør du ændre din adgangskode uden tøven?
Selvom tvungen adgangskoderotation ikke længere er en god praksis, betyder det ikke, at du skal holde fast i den samme adgangskode uanset hvad. Der er situationer, hvor det er vigtigt at ændre den med det samme for at reducere risikoen.
Hvis en virksomhed, hvor du har en konto, rapporterer et databrud , er det klogeste at opdatere din adgangskode til den pågældende tjeneste så hurtigt som muligt, og også til alle andre konti, hvor du muligvis genbruger den (hvis du har gjort det). Nogle gange tager det uger, før disse brud bliver rapporteret, så værktøjer til overvågning af dark web eller tjenester som "Have I Been Pwned" kan hjælpe dig med at opdage hurtigere, om din e-mailadresse vises på en lækket liste.
Et andet tydeligt advarselstegn er uopfordrede forsøg på login eller ændring af adgangskode . Hvis du modtager legitime e-mails, der spørger "Har du anmodet om nulstilling af adgangskode?" eller login-advarsler fra ukendte steder eller enheder, bør du straks ændre din adgangskode ved at logge ind på tjenesten selv (uden at klikke på mistænkelige links) og aktivere MFA, hvis du ikke allerede har gjort det.
Hvis du har mistanke om, at din enhed er blevet inficeret med malware , bør du også ændre dine adgangskoder, men først efter at have renset din enhed. Det er meningsløst at ændre adgangskoder, hvis angriberen stadig kan se alt, hvad du skriver. Når systemet er desinficeret, skal du opdatere legitimationsoplysningerne for kritiske tjenester (e-mail, bank, sociale medier, cloud-lagring osv.).
Hvis en af dine konti tydeligvis er blevet hacket (der vises beskeder, du ikke har sendt, køb, du ikke har foretaget, mærkelige profilændringer), bør alle konti, der deler den samme adgangskode eller lignende variationer, betragtes som kompromitteret, og deres adgangskoder bør ændres med det samme.
I virksomhedsmiljøer, for administratorkonti eller særligt følsomme systemer, vælger mange organisationer stadig at rotere privilegerede legitimationsoplysninger med en vis hyppighed, men de gør det på en automatiseret måde og ved at generere stærke, tilfældige adgangskoder, netop for at undgå de menneskelige fejl, der er forbundet med manuelle ændringer.
Hvad er en sikker adgangskode i dag (og hvad er ikke)
En adgangskode er simpelthen et sæt tegn, der giver dig adgang til private oplysninger eller værdifulde ressourcer: e-mail, sociale medier, netbank, dit websteds kontrolpanel, din virksomheds VPN, mobile enheder osv. Det faktum, at det er den eneste barriere mellem dit digitale liv og en angriber, burde være grund nok til at tage det alvorligt.
Eksperter har længe fastholdt, at en god adgangskode skal være lang, kompleks og unik . Traditionelt betød dette mindst otte tegn, en kombination af store og små bogstaver, tal og symboler, og undgå ord fra ordbøger eller personlige oplysninger (datoer, navne, nummerplader osv.).
De seneste NIST-retningslinjer lægger endnu mere vægt på længde: de anbefaler at kræve mindst 8 tegn , men anser det for ønskeligt at hæve barren til 15 eller mere , hvilket tillader op til maksimalt 64 tegn. Jo længere sætningen er, desto sværere er den at knække med automatiserede angreb, forudsat at det ikke er en forudsigelig sætning.
En god strategi for mennesker er at bruge adgangskoder : sekvenser af tilfældige ord blandet med symboler og store bogstaver, som er lette at huske, men meget vanskelige for en computer at knække. Eksempler som "Mars-Whale-Near4-Melted" eller "Minute.Truck.Where2.Attempt" tilbyder meget høj entropi uden at være afhængig af typiske mønstre.
Det, du bør undgå, er de adgangskoder, der år efter år dukker op blandt de mest brugte: "123456", "password", "qwerty", "111111", "admin" , åbenlyse tastaturkombinationer, enkeltord, talsekvenser eller taster baseret på information, som alle kunne udtrække fra dine sociale netværk (partners navn, fodboldhold, fødselsdato...).
Lige så vigtigt er det, at hver tjeneste bruger en forskellig adgangskode . At genbruge den samme adgangskode til e-mail, sociale medier, bank og shopping er som at bruge den samme nøgle til dit hus, din bil og dit pengeskab, og derefter efterlade en kopi på dørmåtten. Hvis et af disse websteder bliver hacket, kan en angriber simpelthen prøve den kombination på alle de andre populære tjenester.
Multifaktorgodkendelse, adgangskodeadministratorer og adgangsnøgler
Det andet vigtige aspekt ved dette paradigmeskift er at bevæge sig væk fra udelukkende at stole på en enkelt adgangskode, uanset hvor stærk den måtte være. I dag anses det for vigtigt at supplere adgangskoder med multifaktorgodkendelse (MFA), når tjenesten tillader det.
MFA tilføjer et andet identitetsbevis, som kan være noget du kender (din adgangskode), noget du har (mobiltelefon, fysisk token, nøgleapp) eller noget du er (fingeraftryk, ansigt, iris). På denne måde, selvom nogen stjæler din adgangskode, vil det være meget sværere for dem at få adgang uden denne anden faktor.
Aktivering af MFA for e-mail, sociale medier, netbank, cloudtjenester eller fjernadgang forhindrer mange automatiserede angreb , der er afhængige af stjålne eller svage adgangskoder. Selv hvis din adgangskode optræder i et databrud, vil angriberen støde på en yderligere, vanskelig at overvinde barriere.
For at håndtere problemet med at huske snesevis af lange, unikke adgangskoder anbefaler eksperter at bruge en adgangskodeadministrator . Disse værktøjer genererer meget komplekse, tilfældige adgangskoder, gemmer dem krypteret i et sikkert arkiv og udfylder dem for dig, når du logger ind. Alt du skal gøre er at beskytte én stærk masteradgangskode og, hvis det er muligt, aktivere MFA (Multi-Factor Authentication).
En god adgangskodeadministrator forhindrer risikable fremgangsmåder som at skrive adgangskoder ned på papir, i ukrypterede regneark eller i noter på din telefon, eller blot at lade din browser gemme dem. Den opfordrer dig også til at bruge meget længere adgangskoder , end du selv kan huske, hvilket forbedrer din modstandsdygtighed over for angreb.
I mellemtiden bliver adgangsnøgler mere og mere populære. Disse moderne alternativer til traditionelle adgangskoder er baseret på offentlig nøglekryptografi. Adgangsnøgler gemmes på enheden eller en kompatibel administrator og giver brugerne mulighed for at logge ind med et fingeraftryk, ansigtsgenkendelse eller en lokal pinkode uden at sende en genanvendelig adgangskode til serveren.
Giganter som Google, Apple, Microsoft, Amazon, PayPal og GitHub understøtter allerede adgangskoder, og over hundrede websteder og apps er ved at være med. Selvom adgangskoder ikke vil forsvinde natten over, peger fremtiden mod adgangskodeløse systemer , der vil afbøde mange af de nuværende problemer med tyveri og genbrug.
Gode adgangskodesikkerhedspraksis til hverdagen
Ud over debatten om udløbsdatoer bør dit mål være at minimere den angrebsflade , dine adgangskoder udgør. Dette involverer at kombinere flere enkle bedste fremgangsmåder, der er nemme at implementere, hvis de gøres med omtanke.
Forpligt dig først til ikke at genbruge den samme adgangskode til mere end én konto , især til kritiske tjenester som e-mail, bank, onlinebutikker med gemte kreditkort og arbejdskonti. Hvis du allerede genbruger den, så prioriter at ændre disse adgangskoder og holde dem adskilte ved hjælp af en adgangskodeadministrator.
Når du opdaterer en adgangskode, skal du undgå "snyd" ved kun at ændre ét tegn (tilføje et tal til sidst, erstatte et bogstav med et lignende symbol osv.). Cyberkriminelle er godt klar over disse mønstre, og angrebsværktøjer inkorporerer dem som standard.
Overvej at bruge lange adgangskoder til konti, du gerne vil huske (f.eks. din hovedadgangskode til din kontoadministrator). Kombinér flere tilsyneladende irrelevante ord, indsæt store bogstaver på mindre åbenlyse steder, og tilføj et tal eller symbol imellem for at øge kompleksiteten.
Når du ikke behøver at huske din adgangskode, fordi du bruger en adgangskodeadministrator, kan du udnytte dens adgangskode- og adgangsfrasegeneratorer . Disse opretter automatisk tilfældige strenge som "3>ZfrT61(9#X;?Kdk4FQ" eller komplekse sætninger og gemmer dem i din database. Det vigtige her er ikke så meget at kunne gentage dem udenad, som at sikre, at ingen andre kan gætte dem.
Rent praktisk bør du undgå for enhver pris at gemme adgangskoder i almindelig tekst på din computer eller mobilenhed, uanset om det er i noter, løse dokumenter, billeder af huskesedler eller e-mails, du sender til dig selv. Enhver form for malware, tyveri af enheden eller uautoriseret fysisk adgang ville forvandle alt dette til et skattekort for en angriber.
Gør endelig for vane regelmæssigt at tjekke, om dine konti har været udsat for kendte databrud, ved hjælp af tjenester til registrering af brud eller sikkerhedsfunktionerne i din egen adgangskodeadministrator eller browser. Hvis du opdager, at en adgangskode er blevet afsløret, bør du ændre den uden tøven.
I en verden, hvor databrud tæller milliarder, og alternativer som MFA og adgangsnøgler dukker op, handler den vindende strategi ikke længere om konstant at skifte adgangskoder, men om at opbygge et robust og håndterbart adgangsøkosystem : lange og unikke adgangskoder, multifaktorgodkendelse, værktøjer, der forenkler administrationen, og opmærksomhed på tegn på reel kompromittering. Hvis du justerer dine vaner i denne retning, vil dine konti være meget bedre beskyttet, selvom du ikke kan huske, hvornår du sidst ændrede din adgangskode "på kalenderbasis".
