Hva et sterkt passord egentlig er

Modul 2: Passord og innlogging · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du forklare hvorfor lengde og det å være unikt er viktigere enn rare tegn, og hva den gjeldende NIST-anbefalingen om passord sier.

Nøkkelbegreper: lengde, entropi, passordsetning, ordboksangrep, brute force, gjenbruk, tvungent bytte

Hvordan et passord blir knekt

Når folk tenker på "å knekke et passord", ser de ofte for seg noen som sitter og gjetter på innloggingssiden din. Det skjer, men det er ikke den største trusselen. En god innloggingsside bremser ned etter noen få feilforsøk eller blokkerer midlertidig. Å gjette via inngangsdøren går altså sakte.

Farligere er offline-knekking. Et nettsted lagrer (hvis det gjøres riktig) ikke selve passordet ditt, men en hash: en slags fingeravtrykk som du ikke direkte kan regne passordet tilbake fra. Lekker databasen til en nettbutikk, har angriperen disse fingeravtrykkene på sine egne maskiner. Der finnes ingen brems. Han prøver så mange passord som utstyret hans klarer, og sammenligner hvert resultat med det lekkede fingeravtrykket.

Da bruker han to metoder:

• Ordboksangrep: først alt folk ofte velger. Lister med millioner av ekte passord fra tidligere lekkasjer, ord fra ordbøker, navn, steder, årstall. Med faste regler i tillegg: stor bokstav foran, årstall bak, utropstegn til slutt, a blir @, o blir 0.
• Brute force: deretter alle mulige kombinasjoner av tegn, fra korte til lange.

Et passord som Zomer2026! ser sterkt ut: stor bokstav, tall, tegnsetting, ti tegn. Men det er akkurat det mønsteret som ligger i disse reglene: et ord, et årstall, et tegn. Et slikt passord faller i første runde, lenge før brute force-forsøket starter.

Lengde slår rare tegn

Hvor sterkt et passord er, avhenger av hvor mange muligheter en angriper må prøve. Det tallet regner du ut slik: antall mulige tegn opphøyd i lengden.

På et vanlig tastatur finnes det 95 tegn du kan skrive (store og små bokstaver, tall, tegnsetting og mellomrom). Et tilfeldig valgt passord på 8 tegn har da 95 opphøyd i 8 muligheter: omtrent 6,63 × 10^15. Det høres mye ut, men med raskt utstyr og en svak lagringsmetode er det gjennomsøkt i løpet av dager.

Hvert ekstra tegn multipliserer antallet med 95. En ekstra tegntype (for eksempel å legge til tegnsetting til bare bokstaver) multipliserer grunntallet bare litt. Derfor gir lengde langt mer enn kompleksitet.

Den siste kolonnen er entropi: et mål på hvor uforutsigbart noe er, uttrykt i bits. På vanlig norsk: hver ekstra bit dobler arbeidet til angriperen. Et passord på 65 bits koster derfor ikke litt mer, men omtrent 4.000 ganger mer arbeid enn et på 53 bits.

Viktig: disse tallene gjelder bare hvis passordet er virkelig tilfeldig valgt. Et passord du finner på selv, er nesten aldri tilfeldig. Bakkerij2026! har tretten tegn, men følger et mønster som ligger i enhver knekkeliste.

Passordsetningen

En passordsetning er et passord som består av flere enkeltord, for eksempel fem eller seks. Fordelen: langt, men likevel mulig å huske og skrive. Det nederlandske NCSC anbefaler å velge fire til seks ord som ikke har noe med hverandre å gjøre, og sier at en lang setning med bare små bokstaver er sikrere enn et kort passord med alle typer tegn.

En passordsetning er bare sterk hvis ordene er valgt tilfeldig:

• Bra: en generator (i passordbehandleren din) eller terninger med en ordliste. Den kjente metoden med fem terninger bruker en liste på 7.776 ord, fordi 6 opphøyd i 5 er nøyaktig 7.776. Opphavspersonene til en slik liste anbefaler seks ord for de fleste formål.
• Dårlig: en kjent setning, en sangtekst, et ordtak eller noe om deg selv. jegelskerhundenminbobby er langt, men ordene henger sammen og kan gjettes av noen som kjenner deg eller leser sosiale medier dine.

En passordsetning er fortsatt et passord. Du bruker det ett sted og deler det ikke.

Unikt er viktigere enn komplisert

Det sterkeste passordet hjelper ikke hvis du bruker det på tjue steder. I leksjon 1.4 så du credential stuffing: en lekket e-postadresse med passord prøves automatisk mot e-post, regnskap, nettbutikker og sosiale medier. Lekker det hos den svakeste av disse tjue tjenestene, står alle tjue åpne.

Gjenbruk er derfor den største svakheten i praksis. Og "litt varierte versjoner" telles ikke som unikt. Example!Mail og Example!Shop er for en angriper med ett lekket passord til å gjette på noen få forsøk.

Løsningen er ikke å huske, men å oppbevare: en passordbehandler lager et langt, tilfeldig passord for hver tjeneste og husker det for deg. Det er leksjon 2.2. Da trenger du bare å huske noen få ting: hovedpassordet til behandleren og eventuelt passordet til datamaskinen din.

Hva NIST-anbefalingen sier

Det amerikanske NIST (National Institute of Standards and Technology) publiserer den mest kjente anbefalingen for innlogging: SP 800-63B. Den fjerde versjonen ble endelig 31. juli 2025. Mange organisasjoner verden over følger den. De viktigste punktene for passord:

• Er passordet den eneste innloggingsmetoden, må det være minst 15 tegn. Er det en del av tofaktorautentisering (2FA), holder det med minst 8.
• En tjeneste må tillate passord på minst 64 tegn.
• Ingen sammensetningskrav: en tjeneste skal ikke kreve "minst én stor bokstav, ett tall og ett tegnsettingstegn".
• Ikke tving periodisk bytte. Bytt bare hvis det er holdepunkter for at passordet er lekket.
• Nye passord sjekkes mot en liste over mye brukte og lekkede passord.
• Tillat liming og passordbehandlere.
• Ingen sikkerhetsspørsmål ("navnet på ditt første kjæledyr") og ingen passordhint.

Hvorfor tvungent bytte ikke lenger anbefales

I årevis måtte du på jobben velge et nytt passord hver tredje måned. Tanken var: et stjålet passord virker da bare en kort stund. I praksis gjør folk dette: Zomer2026! blir Herfst2026!, deretter Winter2026!. En angriper med det gamle passordet gjetter det nye på noen få forsøk. Og den som stadig må finne på et nytt passord, velger kortere passord og skriver dem ned på en lapp.

Tvungent bytte gjør altså passord mer forutsigbare. Du bytter likevel med én gang hvis det er en grunn: et varsel om en lekkasje, en merkelig innlogging, en kollega som slutter og kjente passordet, eller hvis du ved et uhell har skrevet det inn et sted.

I praksis: en passordpolicy på én side

For en liten bedrift som Bakkerij Example holder det med en kort policy:

1. Hver konto har sitt eget, personlige passord. Ingen delt innlogging for info@example.com der fem personer kjenner passordet.
2. Passord lages av passordbehandleren: tilfeldig, minst 15 tegn, eller en passordsetning med minst fem tilfeldig valgte ord du må skrive.
3. Aldri samme passord to steder.
4. Tofaktorautentisering (2FA) på for e-post, regnskap, bank, webhotell (hosting) og domeneregistrering (leksjon 2.3).
5. Bytt bare når det er en grunn, og da med én gang.
6. Passord aldri via e-post, chat eller på en lapp på skjermen.

Også hostingpanelet ditt følger denne linjen. I WebOké-miljøet kan du for eksempel la systemet lage et tilfeldig passord for DA-passordet og for e-postkontoer; i andre paneler heter denne knappen ofte "Genererer" eller "Generate". La en slik generator alltid lage minst 15 tegn; ofte kan du velge lengden selv.

Oppsummering

• Angripere knekker som regel offline, etter en lekkasje, med lister og regler. Forutsigbare mønstre faller med en gang.
• Lengde og ekte tilfeldighet gir langt mer enn rare tegn. Hver ekstra bit entropi dobler arbeidet.
• En passordsetning med tilfeldig valgte ord er lang og likevel mulig å huske.
• Unikt er viktigere enn komplisert: gjenbruk gjør én lekkasje til tjue lekkasjer.
• NIST SP 800-63B-4: minst 15 tegn som eneste faktor, ingen sammensetningskrav, ikke periodisk bytte, men sjekk mot lekkede passord.

Quiz

Oppgave

Oppgave A2.1: Regne og vurdere. Du skriver ikke inn noe eget passord noe sted. Del 1: regn ut hvor mange muligheter en passordsetning og et tilfeldig valgt passord har (du får antall ord og tegn oppgitt), hvilket av de to som er sterkest og hvor mange ganger. Del 2: vurder seks oppdiktede eksempelpassord: forutsigbart, for kort, gjenbrukt eller sterkt. Programmet sjekker svarene og gir forklaring til hvert svar.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• Hvordan endrer jeg passordet eller grensene for e-postadressen min?
• Det nederlandske NCSC, Tips for å finne på et sterkt passord: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Det nederlandske NCSC, Fire trinn for å gjøre passordene dine sikrere: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (engelsk): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (engelsk, ordlisten med terninger): https://www.eff.org/dice