- Tvingade periodiska lösenordsändringar uppmuntrar till svaga nycklar och förutsägbara mönster, vilket minskar den faktiska säkerheten.
- Lösenord bör vara långa, unika och starka, och endast ändras vid misstanke om eller bevis på att de har kommit i kontakt.
- Flerfaktorsautentisering och lösenordshanterare är nu de viktigaste verktygen för att skydda konton mot läckor och attacker.
- Framtiden ligger i system som lösenord, vilka minskar beroendet av traditionella lösenord och deras problem med stöld och återanvändning.
I åratal har vi hört att det ansvarsfullaste att göra är att byta lösenord ofta , nästan som att deklarera: det var obligatoriskt. Men på senare år har ledande cybersäkerhetsorganisationer, som amerikanska National Institute of Standards and Technology (NIST) , helt reviderat denna rekommendation och kommit fram till en slående slutsats: att tvinga fram frekventa lösenordsbyten försämrar vanligtvis säkerheten snarare än förbättrar den.
Denna förändring i tillvägagångssätt stöds av data från omfattande intrång i autentiseringsuppgifter, studier av användarbeteende och praktiska erfarenheter från företag och universitet. Idag är den rådande rekommendationen att ha starka, långa och unika lösenord , endast ändra dem när det finns misstanke om eller bevis på att de är komprometterade, och förlita sig på verktyg som multifaktorautentisering (MFA) och lösenordshanterare för att undvika frustrationen med att memorera omöjliga lösenord.
NIST, som sätter tekniska standarder för amerikanska myndigheter och fungerar som ett riktmärke för företag världen över, har i sin guide SP 800-63-4 förtydligat att användare inte ska behöva förnya sina lösenord regelbundet om det inte finns några bevis för ett säkerhetsintrång. Detta är ett radikalt skifte från den traditionella policyn "ändra det var 30:e/60:e/90:e dag".
Det offentliga utkastet till dessa riktlinjer förklarar att när ett lösenord har valts korrekt (det är långt, slumpmässigt och unikt) minskar säkerheten om man tvingar fram ändringar varannan eller var tredje månad : bördan av att komma ihåg nya lösenord tvingar folk att förenkla dem, återanvända dem eller tillämpa förutsägbara mönster, vilket är precis vad angripare utnyttjar.
Nuvarande rekommendationer anger att tjänsteleverantörer och identitetsverifierare inte bör införa regelbundna lösenordsförfall . Istället är de skyldiga att omedelbart ändra lösenordet när det finns tecken på att autentiseraren har komprometterats, till exempel efter ett dataintrång, misstänkt åtkomst eller närvaron av lösenordet i läckta databaser.
Dessutom ifrågasätter NIST andra traditionella krav, såsom rigida sammansättningsregler (som tvingar fram en blandning av versaler, siffror och symboler) eller de ökända säkerhetsfrågorna som "namnet på ditt första husdjur". Det finns bevis för att dessa regler får användare att bete sig på mycket förutsägbara sätt och generera lösenord som Password2023, Password2024 eller Password1!, vilka är en gåva till angripare.
Analys av massiva databaser med stulna lösenord visar att den faktiska nyttan av dessa klassiska regler är betydligt mindre än man tidigare trott , medan den negativa inverkan på användbarhet och minnesvärdhet är enorm. Kort sagt: folk letar efter enkla genvägar, och dessa genvägar matchar nästan alltid.
Hur dina lösenord verkligen komprometteras idag
Oavsett om du byter lösenord var tredje månad eller inte, är dina konton sårbara på grund av hur cyberbrottslingar får tag på dem . Stöld sker vanligtvis inte genom en mirakulös gissning av ditt lösenord, utan snarare genom flera mycket specifika och välkända metoder.
En av de vanligaste metoderna är genom massiva dataläckor från onlinetjänster. Sociala nätverk, forum, spelplattformar, e-handelssajter och molnleverantörer drabbas av säkerhetsintrång som exponerar miljontals användarnamn-lösenordskombinationer, ibland till och med okrypterade eller med trasiga algoritmer. Dessa databaser säljs vidare på hackerforum och den mörka webben.
En annan klassisk anledning är att ditt lösenord är svagt eller för vanligt . Listor över de mest använda lösenorden i länder som Spanien visar riktigt hemska sådana som "admin", "123456", "000000", "password" eller uppenbara namn och städer som "carl0s" eller "barcelona". Den här typen av kombinationer kan knäckas på mindre än en sekund med automatiserade brute-force-verktyg.
Det finns också nätfiskeattacker och social engineering- attacker , där en angripare lurar dig att ange ditt lösenord på en falsk webbplats som imiterar din bank, e-post eller sociala mediesida. Ibland kombineras detta med skadlig keylogger-programvara, som registrerar tangenttryckningar för att fånga alla inloggningsuppgifter du anger.
Slutligen får vi inte glömma sårbarheter i mjukvara och hårdvara . Föråldrade system, routrar med gammal firmware, applikationer med säkerhetsbrister – allt detta kan ge en tredje part åtkomst till dina lagrade lösenord eller till och med ändra dem och blockera din legitima åtkomst. Därav experternas insisterande på att hålla system och enheter uppdaterade.
Varför det kan vara en dålig idé att ändra det "för säkerhets skull"
I detta sammanhang antar många användare att frekvent lösenordsbyte är en sorts universell säkerhetsåtgärd. Men både NIST och studier från universitet som Carnegie Mellon är överens om att frekventa, orimliga lösenordsbyten ökar risken för skadlig aktivitet.
När ett system tvingar dig att ändra dina lösenord kontinuerligt, slutar de flesta att tänka för mycket på det och tillämpar små, triviala transformationer : lägga till eller öka en siffra i slutet, ändra årtal, alternera en uppenbar symbol... exakt de mönster som angripare redan har i sina ordböcker.
Dessutom är nackdelen med dessa förändringar att folk använder allt kortare och enklare lösenord , eller till och med återanvänder samma lösenord i olika tjänster med små variationer. Om en angripare komprometterar ett av dessa konton kommer de att ha mycket tydliga ledtrådar till de andra, vilket mångdubblar den potentiella skadan.
Många experter påpekar att om företag avsatte den tid och de pengar som läggs på att tvinga fram kvartalsvisa lösenordsändringar till att utbilda användare i hur man skapar starka och unika lösenord , och att driftsätta lösenordshanterare och tvåstegsverifiering, skulle den verkliga förbättringen av säkerheten vara mycket större.
Även säkerhetsföretag erkänner att det inte är säkrare att rutinmässigt ändra lösenordet utan bevis på dataintrång. Det kan faktiskt skapa en falsk känsla av säkerhet medan andra, allvarligare svagheter kvarstår, som att återanvända samma lösenord på flera webbplatser eller att inte aktivera MFA.
När bör man byta lösenord utan att tveka?
Även om tvångslösenordsrotation inte längre är en bra praxis, betyder det inte att du ska hålla fast vid samma lösenord oavsett vad. Det finns situationer där det är viktigt att ändra det omedelbart för att minska risken.
Om ett företag där du har ett konto anmäler ett dataintrång är det klokt att uppdatera ditt lösenord för den tjänsten så snart som möjligt, och även för alla andra tjänster där du eventuellt återanvänder det (om du har gjort det). Ibland tar det veckor innan dessa intrång rapporteras, så verktyg för övervakning av dark web eller tjänster som "Have I Been Pwned" kan hjälpa dig att upptäcka tidigare om din e-postadress visas på en läckt lista.
Ett annat tydligt varningstecken är oombedda inloggnings- eller lösenordsändringsförsök . Om du får legitima e-postmeddelanden med frågan "Har du begärt en lösenordsåterställning?" eller inloggningsvarningar från okända platser eller enheter, bör du omedelbart ändra ditt lösenord genom att logga in på tjänsten själv (utan att klicka på misstänkta länkar) och aktivera MFA om du inte redan har gjort det.
Om du misstänker att din enhet har infekterats med skadlig kod bör du också ändra dina lösenord, men först efter att du har rengjort enheten. Det är meningslöst att byta lösenord om angriparen fortfarande kan se allt du skriver. När systemet har desinficerats måste du uppdatera inloggningsuppgifterna för kritiska tjänster (e-post, bank, sociala medier, molnlagring etc.).
Om ett av dina konton uppenbarligen har blivit hackat (meddelanden visas som du inte har skickat, köp du inte har gjort, konstiga profiländringar), bör alla konton som delar samma lösenord eller liknande variationer betraktas som komprometterade, och deras lösenord bör ändras omedelbart.
I företagsmiljöer, för administratörskonton eller särskilt känsliga system, väljer många organisationer fortfarande att rotera privilegierade inloggningsuppgifter med viss frekvens, men de gör det på ett automatiserat sätt och genom att generera starka slumpmässiga lösenord, just för att undvika de mänskliga fel som är förknippade med manuella ändringar.
Vad är ett säkert lösenord idag (och vad är det inte)
Ett lösenord är helt enkelt en uppsättning tecken som ger dig tillgång till privat information eller värdefulla resurser: e-post, sociala medier, internetbank, din webbplats kontrollpanel, ditt företags VPN, mobila enheter etc. Det faktum att det är den enda barriären mellan ditt digitala liv och en angripare borde vara skäl nog att ta det på allvar.
Experter har länge hävdat att ett bra lösenord ska vara långt, komplext och unikt . Traditionellt innebar detta minst åtta tecken, en kombination av stora och små bokstäver, siffror och symboler, och att man undvek ordboksord eller personlig information (datum, namn, registreringsskyltar etc.).
De senaste NIST-riktlinjerna lägger ännu större vikt vid längd: de rekommenderar att det krävs minst 8 tecken , men anser det önskvärt att höja ribban till 15 eller fler , vilket tillåter upp till maximalt 64 tecken. Ju längre frasen är, desto svårare är den att knäcka med automatiserade attacker, förutsatt att det inte är en förutsägbar fras.
En bra strategi för människor är att använda lösenfraser : sekvenser av slumpmässiga ord blandade med symboler och versaler, vilka är lätta för dig att komma ihåg men mycket svåra för en dator att knäcka. Exempel som "Mars-Whale-Near4-Melted" eller "Minute.Truck.Where2.Attempt" erbjuder mycket hög entropi utan att förlita sig på typiska mönster.
Det du bör undvika är de lösenord som år efter år dyker upp bland de mest använda: "123456", "lösenord", "qwerty", "111111", "admin" , uppenbara tangentbordskombinationer, enskilda ord, siffersekvenser eller tangentbord baserade på information som vem som helst kan hämta från dina sociala nätverk (partners namn, fotbollslag, födelsedatum...).
Lika viktigt är att varje tjänst använder ett annat lösenord . Att återanvända samma lösenord för e-post, sociala medier, bank och shopping är som att använda samma nyckel för ditt hus, din bil och ditt kassaskåp, och sedan lämna en kopia på dörrmattan. Om en av dessa webbplatser blir intrång kan en angripare helt enkelt prova den kombinationen på alla andra populära tjänster.
Flerfaktorsautentisering, lösenordshanterare och lösennycklar
Den andra viktiga aspekten av detta paradigmskifte är att man går bort från att enbart förlita sig på ett enda lösenord, oavsett hur starkt det än må vara. Idag anses det viktigt att komplettera lösenord med multifaktorautentisering (MFA) närhelst tjänsten tillåter det.
MFA lägger till ett andra identitetsbevis, vilket kan vara något du vet (ditt lösenord), något du har (mobiltelefon, fysisk token, kodapp) eller något du är (fingeravtryck, ansikte, iris). På så sätt, även om någon stjäl ditt lösenord, blir det mycket svårare för dem att få åtkomst utan denna andra faktor.
Att aktivera MFA för e-post, sociala medier, internetbank, molntjänster eller fjärrarbete förhindrar många automatiserade attacker som förlitar sig på stulna eller svaga lösenord. Även om ditt lösenord dyker upp i ett dataintrång kommer angriparen att stöta på ytterligare ett svårövervinnligt hinder.
För att hantera problemet med att komma ihåg dussintals långa, unika lösenord rekommenderar experter att man använder en lösenordshanterare . Dessa verktyg genererar mycket komplexa, slumpmässiga lösenord, lagrar dem krypterade i ett säkert valv och fyller i dem åt dig när du loggar in. Allt du behöver göra är att skydda ett starkt huvudlösenord och, om möjligt, aktivera MFA (Multi-Factor Authentication).
En bra lösenordshanterare förhindrar riskfyllda metoder som att skriva ner lösenord på papper, i okrypterade kalkylblad eller i anteckningar på telefonen, eller helt enkelt låta din webbläsare spara dem. Den uppmuntrar dig också att använda mycket längre lösenord än du kan komma ihåg själv, vilket förbättrar din motståndskraft mot attacker.
Samtidigt blir lösenord, eller åtkomstnycklar , alltmer populära. Dessa moderna alternativ till traditionella lösenord är baserade på kryptografi med offentliga nycklar. Lösenord lagras på enheten eller en kompatibel hanterare och låter användare logga in med ett fingeravtryck, ansiktsigenkänning eller en lokal PIN-kod, utan att skicka ett återanvändbart lösenord till servern.
Jättar som Google, Apple, Microsoft, Amazon, PayPal och GitHub stöder redan lösenord, och över hundra webbplatser och appar ansluter sig. Även om lösenord inte kommer att försvinna över en natt, pekar framtiden mot lösenordslösa system som kommer att mildra många av de nuvarande problemen med stöld och återanvändning.
Bra lösenordssäkerhetspraxis för vardagen
Utöver debatten om utgångsdatum bör ditt mål vara att minimera den attackyta dina lösenord utgör. Detta innebär att kombinera flera enkla bästa praxis som är lätta att implementera om de görs med omsorg.
Först, åtag dig att inte återanvända samma lösenord för mer än ett konto , särskilt inte för viktiga tjänster som e-post, bank, webbutiker med sparade kreditkort och arbetskonton. Om du redan återanvänder det, prioritera att ändra dessa lösenord och hålla dem separata med hjälp av en lösenordshanterare.
När du uppdaterar ett lösenord, undvik "fusk" genom att bara ändra ett tecken (lägga till en siffra i slutet, ersätta en bokstav med en liknande symbol, etc.). Cyberbrottslingar är väl medvetna om dessa mönster, och attackverktyg använder dem som standard.
Överväg att använda långa lösenfraser för konton som du vill komma ihåg (till exempel ditt huvudlösenord för din kontoansvariga). Kombinera flera till synes orelaterade ord, sätt in versaler på mindre uppenbara platser och lägg till en siffra eller symbol däremellan för att öka komplexiteten.
När du inte behöver memorera ditt lösenord eftersom du använder en lösenordshanterare kan du dra nytta av dess lösenords- och lösenfrasgeneratorer . Dessa skapar automatiskt slumpmässiga strängar som "3>ZfrT61(9#X;?Kdk4FQ" eller komplexa fraser och lagrar dem i ditt valv. Det viktiga här är inte så mycket att kunna recitera dem ur minnet som att se till att ingen annan kan gissa dem.
Rent praktiskt, undvik till varje pris att lagra lösenord i klartext på din dator eller mobila enhet, oavsett om det är i anteckningar, lösa dokument, foton på post-it-lappar eller e-postmeddelanden du skickar till dig själv. All skadlig kod, enhetsstöld eller obehörig fysisk åtkomst skulle förvandla allt detta till en skattkarta för en angripare.
Slutligen, ta för vana att regelbundet kontrollera om dina konton har drabbats av kända dataintrång, med hjälp av tjänster för att upptäcka dataintrång eller säkerhetsfunktionerna i din egen lösenordshanterare eller webbläsare. Om du upptäcker att ett lösenord har exponerats bör du ändra det utan att tveka.
I en värld där dataintrången uppgår till miljarder och alternativ som MFA och lösenordsnycklar dyker upp, handlar den vinnande strategin inte längre om att ständigt byta lösenord, utan om att bygga ett robust och hanterbart åtkomstekosystem : långa och unika lösenord, flerfaktorsautentisering, verktyg som förenklar hanteringen och uppmärksamhet på tecken på verklig intrång. Om du justerar dina vanor i denna riktning kommer dina konton att vara mycket bättre skyddade även om du inte kan komma ihåg när du senast ändrade ditt lösenord "på kalenderbasis".
