- Tvungen periodisk passordendring oppmuntrer til svake nøkler og forutsigbare mønstre, noe som reduserer den faktiske sikkerheten.
- Passord bør være lange, unike og sterke, og kun endres når det er mistanke om eller bevis for at de er kompromittert.
- Flerfaktorautentisering og passordbehandlere er nå de viktigste verktøyene for å beskytte kontoer mot lekkasjer og angrep.
- Fremtiden ligger i systemer som passordnøkler, som reduserer avhengigheten av tradisjonelle passord og problemene med tyveri og gjenbruk.
I årevis har vi hørt at det ansvarlige å gjøre var å endre passord ofte , nesten som å levere skattemeldingen: det var obligatorisk. Men de siste årene har ledende cybersikkerhetsorganisasjoner, som det amerikanske National Institute of Standards and Technology (NIST) , fullstendig revidert denne anbefalingen og kommet til en slående konklusjon: å tvinge frem hyppige passordendringer forverrer vanligvis sikkerheten snarere enn å forbedre den.
Dette skiftet i tilnærming støttes av data fra massive brudd på legitimasjonsinformasjon, studier av brukeratferd og praktisk erfaring fra bedrifter og universiteter. I dag er den rådende anbefalingen å opprettholde sterke, lange og unike passord , bare endre dem når det er mistanke om eller bevis på kompromittering, og stole på verktøy som flerfaktorautentisering (MFA) og passordbehandlere for å unngå frustrasjonen ved å memorere umulige passord.
NIST, som setter tekniske standarder for amerikanske myndigheter og fungerer som en referanse for selskaper over hele verden, har i sin veiledning SP 800-63-4 presisert at brukere ikke skal være pålagt å fornye passordene sine med jevne mellomrom hvis det ikke finnes bevis for sikkerhetsbrudd. Dette er et radikalt skifte fra den tradisjonelle policyen om å «bytte passord hver 30./60./90. dag».
Det offentlige utkastet til disse retningslinjene forklarer at når et passord er valgt riktig (det er langt, tilfeldig og unikt), reduserer det sikkerheten å tvinge endringer hver én eller tre måneder : byrden av å huske nye passord presser folk til å forenkle dem, gjenbruke dem eller bruke forutsigbare mønstre, noe som er akkurat det angripere utnytter.
Gjeldende anbefalinger sier at tjenesteleverandører og identitetsverifikatorer ikke bør pålegge periodiske passordutløp . I stedet er de forpliktet til å håndheve en umiddelbar endring når det er tegn på at autentiseringsverktøyet har blitt kompromittert, for eksempel etter et datainnbrudd, mistenkelig tilgang eller tilstedeværelsen av passordet i lekkede databaser.
Videre stiller NIST spørsmål ved andre tradisjonelle krav, som rigide komposisjonsregler (som tvinger frem en blanding av store bokstaver, tall og symboler) eller de beryktede sikkerhetsspørsmålene som «navnet på ditt første kjæledyr». Bevis viser at disse reglene fører til at brukere oppfører seg på svært forutsigbare måter, og genererer passord som Password2023, Password2024 eller Password1!, som er en gave til angripere.
Analyse av massive databaser med stjålne passord avslører at den faktiske fordelen med disse klassiske reglene er langt mindre enn tidligere antatt , mens den negative effekten på brukervennlighet og huskevennlighet er enorm. Kort sagt: folk ender opp med å lete etter enkle snarveier, og disse snarveiene matcher nesten alltid.
Hvordan passordene dine egentlig blir kompromittert i dag
Uansett om du endrer passordet ditt hver tredje måned eller ikke, er kontoene dine sårbare på grunn av måten nettkriminelle får tak i dem på . Tyveri skjer vanligvis ikke gjennom en mirakuløs gjetning av passordet ditt, men snarere gjennom flere svært spesifikke og velkjente metoder.
En av de vanligste metodene er gjennom massive datalekkasjer fra nettjenester. Sosiale nettverk, forum, spillplattformer, e-handelsnettsteder og skyleverandører opplever sikkerhetsbrudd som eksponerer millioner av brukernavn-passord-kombinasjoner, noen ganger til og med ukrypterte eller med ødelagte algoritmer. Disse databasene ender opp med å bli videresolgt på hackingforum og det mørke nettet.
En annen klassisk grunn er at passordet ditt er svakt eller for vanlig . Lister over de mest brukte passordene i land som Spania viser virkelig forferdelige passord som «admin», «123456», «000000», «passord» eller åpenbare navn og byer som «carl0s» eller «barcelona». Denne typen kombinasjoner kan knekkes på under et sekund med automatiserte brute-force-verktøy.
Det finnes også phishing- og sosialtekniske angrep , der en angriper lurer deg til å oppgi passordet ditt på et falskt nettsted som etterligner banken din, e-posten din eller nettstedet ditt for sosiale medier. Noen ganger kombineres dette med skadelig programvare for tasteloggere, som registrerer tastetrykk for å fange opp all påloggingsinformasjon du oppgir.
Til slutt må vi ikke glemme sårbarheter i programvare og maskinvare . Utdaterte systemer, rutere med gammel firmware, applikasjoner med sikkerhetsfeil – alt dette kan gi en tredjepart tilgang til lagrede passord eller til og med endre dem og blokkere legitim tilgang. Derfor insisterer ekspertene på å holde systemer og enheter oppdatert.
Hvorfor det kan være en dårlig idé å endre det «bare i tilfelle»
I denne sammenhengen antar mange brukere at hyppig passordbytte er et slags universelt sikkerhetstiltak. Imidlertid er både NIST og studier fra universiteter som Carnegie Mellon enige om at hyppige, urimelige passordendringer øker risikoen for ondsinnet aktivitet.
Når et system tvinger deg til å endre passord kontinuerlig, slutter folk flest å tenke for mye på det og bruker små, trivielle transformasjoner : legge til eller øke et tall på slutten, endre året, veksle mellom et åpenbart symbol ... akkurat de mønstrene som angripere allerede har i ordbøkene sine.
I tillegg fører ulempen med disse endringene til at folk bruker stadig kortere og enklere passord , eller til og med gjenbruker det samme passordet på tvers av forskjellige tjenester med små variasjoner. Hvis en angriper kompromitterer en av disse kontoene, vil de ha svært klare ledetråder for de andre, noe som mangedobler den potensielle skaden.
Mange eksperter påpeker at dersom selskaper brukte tiden og pengene som ble brukt på å tvinge frem kvartalsvise passordendringer på å lære opp brukere i hvordan de lager sterke og unike passord , og implementere passordbehandlere og totrinnsverifisering, ville den reelle forbedringen i sikkerhet vært mye større.
Selv sikkerhetsselskaper erkjenner at rutinemessig passordbytte ikke gjør det sikrere uten bevis for datainnbrudd . Faktisk kan det skape en falsk følelse av sikkerhet mens andre, mer alvorlige svakheter vedvarer, for eksempel gjenbruk av samme passord på flere nettsteder eller ikke aktivert MFA.
Når bør du endre passordet ditt uten å nøle?
Selv om tvungen passordrotasjon ikke lenger er en god praksis, betyr ikke det at du bør holde deg til det samme passordet uansett hva. Det finnes situasjoner der det er viktig å endre det umiddelbart for å redusere risikoen.
Hvis et selskap der du har en konto varsler et datainnbrudd , er det lurt å oppdatere passordet ditt for den tjenesten så snart som mulig, og også for andre kontoer der du kanskje bruker det på nytt (hvis du har gjort det). Noen ganger tar det flere uker før disse bruddene rapporteres, så verktøy for overvåking av det mørke nettet eller tjenester som «Have I Been Pwned» kan hjelpe deg med å oppdage tidligere om e-postadressen din vises på en lekket liste.
Et annet tydelig varseltegn er uoppfordrede forsøk på innlogging eller passordendring . Hvis du mottar legitime e-poster som spør «Har du bedt om tilbakestilling av passord?» eller innloggingsvarsler fra ukjente steder eller enheter, bør du umiddelbart endre passordet ditt ved å logge på tjenesten selv (uten å klikke på mistenkelige lenker) og aktivere MFA hvis du ikke allerede har gjort det.
Hvis du mistenker at enheten din har blitt infisert med skadelig programvare , bør du også endre passordene dine, men bare etter at du har rengjort enheten. Det er nytteløst å endre passord hvis angriperen fortsatt kan se alt du skriver. Når systemet er desinfisert, må du oppdatere påloggingsinformasjonen for kritiske tjenester (e-post, banktjenester, sosiale medier, skylagring osv.).
Hvis en av kontoene dine tydeligvis har blitt hacket (meldinger du ikke har sendt, kjøp du ikke har gjort, merkelige profilendringer), bør alle kontoer som deler samme passord eller lignende varianter anses som kompromittert, og passordene deres bør endres umiddelbart.
I bedriftsmiljøer, for administratorkontoer eller spesielt sensitive systemer, velger mange organisasjoner fortsatt å rotere privilegerte legitimasjonsopplysninger med en viss hyppighet, men de gjør det på en automatisert måte og ved å generere sterke tilfeldige passord, nettopp for å unngå menneskelige feil forbundet med manuelle endringer.
Hva er et sikkert passord i dag (og hva er det ikke)
Et passord er rett og slett et sett med tegn som gir deg tilgang til privat informasjon eller verdifulle ressurser: e-post, sosiale medier, nettbank, nettstedets kontrollpanel, bedriftens VPN, mobile enheter osv. Det faktum at det er den eneste barrieren mellom ditt digitale liv og en angriper, bør være grunn nok til å ta det på alvor.
Eksperter har lenge hevdet at et godt passord bør være langt, komplekst og unikt . Tradisjonelt betydde dette minimum åtte tegn, en kombinasjon av store og små bokstaver, tall og symboler, og unngå ordbokord eller personlig informasjon (datoer, navn, bilskilt osv.).
De nyeste NIST-retningslinjene legger enda større vekt på lengde: de anbefaler å kreve minst 8 tegn , men anser det som ønskelig å heve standarden til 15 eller mer , slik at man tillater maksimalt 64 tegn. Jo lengre frasen er, desto vanskeligere er den å knekke med automatiserte angrep, forutsatt at den ikke er en forutsigbar frase.
En god strategi for mennesker er å bruke passordfraser : sekvenser av tilfeldige ord blandet med symboler og store bokstaver, som er enkle for deg å huske, men svært vanskelige for en datamaskin å knekke. Eksempler som «Mars-Whale-Near4-Melted» eller «Minute.Truck.Where2.Attempt» tilbyr svært høy entropi uten å stole på typiske mønstre.
Det du bør unngå er passordene som dukker opp år etter år blant de mest brukte: «123456», «passord», «qwerty», «111111», «admin» , åpenbare tastekombinasjoner, enkeltord, tallsekvenser eller tastekombinasjoner basert på informasjon som hvem som helst kan hente ut fra dine sosiale nettverk (partners navn, fotballag, fødselsdato...).
Like viktig er det at hver tjeneste bruker et annet passord . Å bruke samme passord for e-post, sosiale medier, banktjenester og shopping er som å bruke samme nøkkel til huset, bilen og safen, og deretter legge igjen en kopi på dørmatten. Hvis et av disse nettstedene blir hacket, kan en angriper ganske enkelt prøve den kombinasjonen på alle de andre populære tjenestene.
Flerfaktorautentisering, passordbehandlere og passordnøkler
Det andre viktige aspektet ved dette paradigmeskiftet er å bevege seg bort fra å bare stole på ett enkelt passord, uansett hvor sterkt det måtte være. I dag anses det som viktig å supplere passord med flerfaktorautentisering (MFA) når tjenesten tillater det.
MFA legger til et ekstra identitetsbevis, som kan være noe du vet (passordet ditt), noe du har (mobiltelefon, fysisk token, kodeapp) eller noe du er (fingeravtrykk, ansikt, iris). På denne måten, selv om noen stjeler passordet ditt, vil det være mye vanskeligere for dem å få tilgang uten denne andre faktoren.
Å aktivere MFA for e-post, sosiale medier, nettbank, skytjenester eller ekstern tilgang til arbeid hindrer mange automatiserte angrep som er avhengige av stjålne eller svake passord. Selv om passordet ditt dukker opp i et datainnbrudd, vil angriperen møte en ekstra barriere som er vanskelig å overvinne.
For å håndtere problemet med å huske dusinvis av lange, unike passord, anbefaler eksperter å bruke en passordbehandler . Disse verktøyene genererer svært komplekse, tilfeldige passord, lagrer dem kryptert i et sikkert hvelv og fyller dem ut for deg når du logger deg inn. Alt du trenger å gjøre er å beskytte ett sterkt hovedpassord og, om mulig, aktivere MFA (Multifaktorautentisering).
En god passordbehandler forhindrer risikable fremgangsmåter som å skrive ned passord på papir, i ukrypterte regneark eller i notater på telefonen, eller rett og slett å la nettleseren lagre dem. Den oppfordrer deg også til å bruke mye lengre passord enn du kan huske på egenhånd, noe som forbedrer motstandskraften din mot angrep.
I mellomtiden blir tilgangsnøkler stadig mer populære. Disse moderne alternativene til tradisjonelle passord er basert på kryptografi med offentlige nøkler. Tilgangsnøkler lagres på enheten eller en kompatibel administrator og lar brukere logge inn med fingeravtrykk, ansiktsgjenkjenning eller en lokal PIN-kode, uten å sende et gjenbrukbart passord til serveren.
Giganter som Google, Apple, Microsoft, Amazon, PayPal og GitHub støtter allerede passord, og over hundre nettsteder og apper blir med. Selv om passord ikke kommer til å forsvinne over natten, peker fremtiden mot passordløse systemer som vil redusere mange av dagens problemer med tyveri og gjenbruk.
Gode rutiner for passordsikkerhet i hverdagen
Utover debatten om utløpsdatoer, bør målet ditt være å minimere angrepsflaten passordene dine utgjør. Dette innebærer å kombinere flere enkle beste praksiser som er enkle å implementere hvis de gjøres med omtanke.
Først bør du forplikte deg til å ikke bruke det samme passordet på nytt for mer enn én konto , spesielt for kritiske tjenester som e-post, banktjenester, nettbutikker med lagrede kredittkort og jobbkontoer. Hvis du allerede bruker det på nytt, bør du prioritere å endre disse passordene og holde dem separate ved hjelp av en passordbehandler.
Når du oppdaterer et passord, unngå "juks" ved å endre bare ett tegn (legge til et tall på slutten, erstatte en bokstav med et lignende symbol osv.). Nettkriminelle er godt klar over disse mønstrene, og angrepsverktøy innlemmer dem som standard.
Vurder å bruke lange passordfraser for kontoer du vil huske (for eksempel hovedpassordet til kontoadministratoren din). Kombiner flere tilsynelatende urelaterte ord, sett inn store bokstaver på mindre åpenbare steder, og legg til et tall eller symbol imellom for å øke kompleksiteten.
Når du ikke trenger å memorere passordet ditt fordi du bruker en passordbehandler, kan du dra nytte av passord- og passordfrasegeneratorene . Disse lager automatisk tilfeldige strenger som "3>ZfrT61(9#X;?Kdk4FQ" eller komplekse fraser og lagrer dem i hvelvet ditt. Det viktigste her er ikke så mye å kunne gjengi dem fra minnet som å sørge for at ingen andre kan gjette dem.
Rent praktisk bør du unngå å lagre passord i ren tekst på datamaskinen eller mobilenheten din, enten det er i notater, løse dokumenter, bilder av klistrelapper eller e-poster du sender til deg selv. All skadelig programvare, enhetstyveri eller uautorisert fysisk tilgang vil gjøre alt dette til et skattekart for en angriper.
Til slutt, gjør det til en vane å regelmessig sjekke om kontoene dine har vært utsatt for kjente datainnbrudd, ved å bruke tjenester for å oppdage brudd eller sikkerhetsfunksjonene i din egen passordbehandler eller nettleser. Hvis du oppdager at et passord har blitt eksponert, bør du endre det uten å nøle.
I en verden der datainnbruddene teller milliarder og alternativer som flerfaktorautentisering og passordnøkler dukker opp, handler ikke vinnerstrategien lenger om å stadig endre passord, men om å bygge et robust og håndterbart tilgangsøkosystem : lange og unike passord, flerfaktorautentisering, verktøy som forenkler administrasjon og oppmerksomhet på tegn på reell kompromittering. Hvis du justerer vanene dine i denne retningen, vil kontoene dine være mye bedre beskyttet, selv om du ikke kan huske sist du endret passordet ditt «på kalenderbasis».
