Flytte passord til en passordbehandler

Modul 7: Samarbeid, apper og sikkerhet · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du flytte passord trygt fra nettleseren din, lapper og regneark over til en passordbehandler som passer til det nye oppsettet ditt, inkludert delte hvelv for teamet.

Nøkkelbegreper: passordbehandler, hvelv, hovedpassord, gjenopprettingsnøkkel, passord i nettleseren (Google, Edge, Apple), eksport som csv, delt hvelv eller samling, selv-hosting, åpen kildekode, kryptering på din egen enhet (zero-knowledge), lagre passkeys

Den glemte delen

I nesten alle kartlegginger mangler passordene. De ligger ikke i en skytjeneste du sier opp, så ingen tenker på dem. Likevel sitter de ofte midt i bildet. Hos Bakkerij De Korrel viser en runde at:

• de fleste passordene ligger i Chrome, lagret i Google-kontoen til personen;
• passordene til banken, grossisten og nettbutikken ligger i et regneark wachtwoorden.xlsx i Google Drive;
• wifi-passordet og alarmkoden henger på en lapp;
• to kolleger bruker samme passord overalt.

Hvis Google-kontoen forsvinner, forsvinner passordene i Chrome med den. Og et regneark med passord i skyen er en av de første tingene en innbruddstyv leter etter. En overgang er derfor et godt tidspunkt å løse dette på.

Hva en passordbehandler gjør

En passordbehandler er et kryptert hvelv for passord, med en app på telefon og datamaskin og en utvidelse i nettleseren. Du husker ett sterkt hovedpassord; behandleren lager et langt, unikt passord for hvert nettsted og fyller det inn for deg.

Det viktige er hvor krypteringen skjer. Hos de kjente behandlerne krypteres hvelvet på din egen enhet med en nøkkel som er avledet fra hovedpassordet ditt. Leverandøren oppbevarer bare det krypterte hvelvet og kan ikke lese passordene dine. Dette kalles ofte "zero-knowledge". Konsekvensen: glemmer du hovedpassordet og har ingen gjenopprettingsnøkkel, kan heller ikke leverandøren hjelpe deg.

En god behandler fyller også bare inn på den ekte adressen. Et falskt nettsted som ser ut som banken din, får dermed ingenting, selv om det ser nøyaktig likt ut. Det er en ekstra beskyttelse mot phishing.

Hvilke typer finnes?

Dette er ikke en rangering. For en enkeltpersonsbedrift kan KeePassXC med hvelvfilen i egen sky fungere fint. For et team på tolv er en behandler med delte hvelv mer praktisk. Bruk de fem spørsmålene fra leksjon 2.1 (etablering, eier, datasenter, underleverandører, nøkkel) her også. Ved en passordbehandler veier det siste spørsmålet tyngst: hvem har nøkkelen? Er det bare deg, betyr det mindre hvor det krypterte hvelvet ligger enn ved vanlige filer.

Overføring: eksport, import og kasting med én gang

Nesten alle nettlesere og behandlere kan eksportere passord som csv-fil. Det er en vanlig tekstfil med et nettsted, brukernavn og passord på hver linje, ukryptert. Alle som åpner filen, kan lese alt. Derfor:

1. Gjør det på en datamaskin du stoler på, ikke på en delt butikkdatamaskin.
2. Eksporter til din egen datamaskin, ikke til en synkronisert mappe eller skyen. Ellers ligger den ukrypterte filen på serveren, i versjonene og i papirkurven i løpet av noen sekunder.
3. Importer den straks inn i den nye behandleren.
4. Kontroller stikkprøvevis at det stemmer (logg inn på noen nettsteder).
5. Slett csv-filen med én gang, og tøm også papirkurven på datamaskinen.
6. Skru deretter av lagring av passord i nettleseren, slik at det ikke oppstår en ny, utdatert kopi.

Regnearket med passord flytter du over ved å legge inn dataene manuelt i behandleren (eller importere dem som csv, med samme regler). Slett deretter regnearket, også fra papirkurven og versjonshistorikken til den gamle skyen. Endre de viktigste passordene som sto der, for du vet ikke hvem som har sett filen opp gjennom årene.

Vær også oppmerksom på passkeys (leksjon 7.3). En passkey som er lagret i Google- eller Apple-kontoen din, kan du ikke alltid eksportere. Opprett en ny passkey i den nye behandleren din for de viktige nettstedene, eller sørg for at passord og andre trinn er kjent, før du avslutter den gamle kontoen.

Deling i et team

Noen passord hører til organisasjonen, ikke til en person: banken, grossisten, kontoene på sosiale medier, wifien. Bruk et delt hvelv eller en samling i behandleren til dette:

• Lag et hvelv per gruppe: "Butikk", "Administrasjon", "Administrasjon (drift)". Ikke alle trenger å se alt.
• Del aldri et passord via chat eller e-post. Heller ikke "bare raskt".
• Slutter noen, fjern vedkommende fra de delte hvelvene og endre passordene vedkommende hadde tilgang til og kan ha husket eller kopiert.

Hovedpassordet og dagen det går galt

Hovedpassordet er den eneste nøkkelen. Velg en lang setning med fire til seks tilfeldige ord, som du ikke bruker noe annet sted. Skru på tofaktorautentisering (2FA) på selve behandleren også.

Ordne gjenoppretting på forhånd:

• Oppbevar gjenopprettingsnøkkelen eller nødtilgangen som behandleren din tilbyr, på papir, på et trygt sted.
• Avtal for organisasjonen hvem som får tilgang ved dødsfall eller langvarig sykdom hos eieren. Mange behandlere har en funksjon for nødtilgang.
• Backup-kodene for de viktigste kontoene dine hører hjemme her også, eller på papir (leksjon 7.3). Ikke i et hvelv du bare kommer inn i med nettopp de kontoene.

I praksis: slik ser det ut hos en leverandør

I en WebOké Nextcloud finnes det ingen egen passordbehandler; du bruker en passordbehandler etter eget valg. Bruker du KeePassXC, kan du legge den krypterte hvelvfilen i Nextcloud din, slik at den ligger via skrivebordsappen på alle datamaskinene dine og kan hentes tilbake via versjoner. Filen er da kryptert med hovedpassordet ditt før den når serveren. Veiledningen om sikkerheten til WebOké Nextcloud anbefaler selv også en passordbehandler, og nevner den som et godt sted for backup-kodene dine.

Hos andre europeiske skytjenester fungerer det på tilsvarende måte: passordbehandleren er som regel en separat tjeneste eller app ved siden av skyen din.

Oppsummering

• Passord i nettleseren til den gamle kontoen din forsvinner med den hvis du avslutter kontoen. Flytt dem på forhånd.
• En passordbehandler krypterer på din egen enhet; hovedpassordet er den eneste nøkkelen.
• En csv-eksport er ukryptert: aldri i en synkronisert mappe, importer med én gang, kast med én gang.
• Bruk delte hvelv per gruppe for organisasjonens passord, og endre dem når noen slutter.
• Ordne gjenoppretting og nødtilgang på forhånd, på papir.

Quiz

Oppgave

Oppgave E7.4: Passord i kartlegging og overføringsplan. Finn ut hvor passordene i organisasjonen din ligger nå (nettleser per person, regneark, lapper, delte kontoer), velg en passordbehandler med de fem spørsmålene fra leksjon 2.1, og skriv overføringsplanen: hvem eksporterer hva, på hvilken datamaskin, når csv-filen slettes, og hvilke delte hvelv som opprettes.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det tilsvarende.

• Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
• Nextcloud-veiledning 3.3: En authenticator-app sette opp og lagre sikkerhetskoder
• NCSC (det nederlandske), Komme i gang med cybersikkerhet: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/