Velge og bruke passordbehandlere

Modul 2: Passord og innlogging · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du velge og sette opp en passordbehandler, beskytte hovedpassordet og dele passord trygt i et team.

Nøkkelbegreper: passordbehandler, hovedpassord, hvelv, ende til ende-kryptering, delt hvelv, nødtilgang, nettleserens passordbehandler

Hva en passordbehandler gjør

I leksjon 2.1 så du at hver konto trenger et eget, langt og tilfeldig passord. Ingen husker åtti av dem. En passordbehandler er programvare som gjør det for deg. Den:

• lager et sterkt, tilfeldig passord for hver tjeneste;
• lagrer alle passord kryptert i et hvelv;
• fyller dem inn på riktig nettside, og bare der;
• varsler ofte om svake, duplikate eller lekkede passord;
• kan hos mange produkter også lagre koder for tofaktorautentisering (2FA) og passkeys (leksjon 2.3 og 2.4).

Du husker bare ett: hovedpassordet som åpner hvelvet. Det nederlandske NCSC anbefaler en passordbehandler som fast grunnmur, også for små organisasjoner, med klare avtaler om hvilken behandler du bruker og for hvilke kontoer den er obligatorisk.

Typer passordbehandlere

Det finnes ikke én beste type. Det nederlandske NCSC skiller mellom behandleren i nettleseren, den frittstående appen, og nett (sky) versus lokal (offline). I praksis møter du disse formene:

Kjente eksempler på frittstående behandlere er Bitwarden, 1Password, KeePassXC og Proton Pass, i tillegg til behandlerne som finnes i nettlesere og operativsystemer. Dette er ingen anbefaling: velg basert på spørsmålene nedenfor.

Spørsmål å stille ved valget

• Fungerer den på alle enhetene og nettleserne dine, også kollegaenes?
• Kan du dele hvelv med rettigheter per mappe, og fjerne noen fra et hvelv igjen?
• Er hvelvet kryptert ende til ende, og hva er kryptert og hva er ikke (for eksempel nettsideadressene)?
• Kan du beskytte hvelvet med tofaktorautentisering (2FA) eller en passkey?
• Finnes det nødtilgang eller en gjenopprettingsordning, og hvordan fungerer den nøyaktig?
• Kan du eksportere dataene dine hvis du vil bytte?
• Ved gratisversjoner: hva er inntektsmodellen?

Ende til ende-kryptering: hva hvis leverandøren blir hacket?

Hos en god skybasert behandler blir hvelvet ditt kryptert på din egen enhet med en nøkkel som utledes fra hovedpassordet ditt. Leverandøren får bare den krypterte pakken. Dette kalles ende til ende-kryptering (noen ganger «zero knowledge»). Leverandøren kan ikke lese passordene dine, og kan derfor heller ikke tilbakestille hovedpassordet ditt for deg.

Blir leverandøren hacket, kan en angriper stjele de krypterte hvelvene. Han kan da prøve å knekke dem offline, som i leksjon 2.1. Hovedpassordet ditt er på det tidspunktet ditt eneste forsvar. Derfor:

• Hovedpassordet er langt og unikt: en passordfrase på minst fem, helst seks tilfeldige ord.
• Du bruker det ingen andre steder.
• Etter et lekkasje hos leverandøren bytter du hovedpassordet ditt og passordene til de viktigste kontoene dine. Det gamle, stjålne hvelvet er tross alt kryptert med det gamle hovedpassordet.

Tofaktorautentisering (2FA) på hvelvet hjelper mot noen som har hovedpassordet ditt og vil logge inn via nettsiden. Det hjelper ikke mot å knekke en stjålet hvelvfil. Det nederlandske NCSC sier det samme: 2FA på behandleren er ingen grunn til et svakt hovedpassord.

Beskytte hovedpassordet

Å glemme hovedpassordet er hos en god behandler ofte endelig: leverandøren kan ikke hente det tilbake. Ordne derfor dette på forhånd:

• Skriv ned hovedpassordet på papir og oppbevar det hjemme på et trygt sted. Det nederlandske NCSC mener dette er helt greit, så lenge du ikke skriver ved siden av hva det er til.
• Lag gjenopprettingssettet eller nødkoden som behandleren din tilbyr, skriv den ut og oppbevar den sammen med papiret.
• Skriv hovedpassordet bare inn i selve appen eller utvidelsen til behandleren, aldri på en nettside som ber om det.
• Slå på automatisk låsing etter noen minutters inaktivitet.

Hvorfor automatisk utfylling hjelper mot phishing

En passordbehandler kobler hvert passord til adressen til nettsiden. På https://mijnbank.example fyller den inn passordet ditt. På en lookalike som https://rnijnbank.example (rn i stedet for m) eller https://mijnbank-veilig.example gjør den ingenting, for de adressene er ikke lagret ved elementet.

Et menneske ser ofte ikke forskjellen mellom rn og m. Behandleren sammenligner tegn og blir verken sliten eller stresset. Det er ekte sikkerhet, men bare hvis du lar den gjøre jobben:

Fyller behandleren din plutselig ikke inn noe på en side der det alltid har fungert før? Ikke gå rundt problemet ved å kopiere passordet for hånd. Se først veldig nøye på adressen. Dette er akkurat øyeblikket der behandleren varsler deg.

Noen ganger finnes det en god grunn til at utfyllingen ikke skjer: en tjeneste som har flyttet til en ny adresse. Kontroller det da på en annen måte, for eksempel ved å skrive inn adressen du allerede kjente, selv.

Deling i et team

I en liten bedrift er det alltid kontoer dere bruker sammen: nettbutikken på webwinkelplatform.example, kontoen hos koeriersdienst.example, bedriftens sosiale medier. Best er det hvis alle har sin egen konto (modul 7). Går ikke det, bruk da et delt hvelv:

• Lag hvelv eller mapper per tema («Nettbutikk», «Økonomi», «Sosiale medier») og gi bare tilgang til dem som trenger det.
• Del aldri via e-post, chat eller et regneark. Den som har tilgang til det delte hvelvet, ser passordet der.
• Slutter noen? Fjern vedkommende fra hvelvet og bytt passordene han kunne se. Å bare fjerne fra hvelvet er ikke nok: han kan ha skrevet dem av eller lagret dem.
• Ordne nødtilgang: hva skjer hvis du, eieren, blir syk eller faller bort? Mange behandlere har en funksjon der en betrodd person får tilgang etter en ventetid. Eller du oppbevarer gjenopprettingsdataene i en forseglet konvolutt hos en annen person.

I praksis: bytte på en ettermiddag

1. Velg en behandler og installer den på datamaskin og telefon, med nettleserutvidelsen.
2. Lag et hovedpassord (passordfrase), skriv det ned, oppbevar gjenopprettingssettet.
3. Slå på tofaktorautentisering (2FA) på hvelvet.
4. Importer passord som nettleseren din allerede har lagret. En eksport er ofte en ukryptert fil: slett den umiddelbart etter import, også fra papirkurven.
5. Begynn med de viktigste kontoene og gi hver av dem et nytt, tilfeldig passord: e-postkassen din (info@example.com), ditt webhotell og domeneregistrering, banken din og regnskapet ditt (for eksempel på boekhoudpakket.example).
6. Oppdater resten etter hvert som du likevel logger inn. Varslene om duplikate passord hjelper deg.

Bruker du en tjeneste i WebOké-miljøet, som en e-postkasse eller Nextcloud, med apper på telefonen? Da lager du noen ganger et eget apppassord (se Kunnskapsbase 436). Også det oppbevarer du i behandleren, ved riktig element. Hos andre leverandører fungerer det på tilsvarende måte.

Oppsummering

• En passordbehandler lager, oppbevarer og fyller inn unike passord; du husker bare hovedpassordet.
• Typer: innebygd i nettleser eller system, frittstående app med sky, lokal, åpen kildekode eller selv vertet. Velg ut fra enheter, deling, kryptering og gjenoppretting.
• Med ende til ende-kryptering er hovedpassordet ditt det siste forsvaret hvis leverandøren blir hacket.
• Fyller behandleren ikke inn, se da på adressen i stedet for å kopiere.
• Del via et delt hvelv og bytt passord når noen slutter.

Quiz

Oppgave

Oppgave D2.2: Sette opp passordbehandleren din. Velg en passordbehandler, lag et hovedpassord og et gjenopprettingssett, slå på tofaktorautentisering (2FA) på hvelvet og gi dine fem viktigste kontoer et nytt, unikt passord. Kryss av sjekklisten og svar på refleksjonsspørsmålene. Du skriver ikke inn noe passord noe sted.

Les mer

Trinnene i WebOké-artiklene gjelder for WebOkés eget miljø; hos andre leverandører fungerer det på tilsvarende måte.

• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• Opprett et app-passord (trengs for å koble til apper og enheter)
• Nextcloud-veiledning 3.5: App-passord: når og hvordan
• Det nederlandske NCSC, Hvordan velger jeg en passordbehandler?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Det nederlandske NCSC, Fire trinn for å gjøre passordene dine sikrere: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken