Passord og totrinnsbekreftelse

Modul 8: Trygt og uten bekymringer · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du forklare hva et sterkt passord for postboksen din er, hva du må gjøre på enhetene dine etter en endring, hvordan en kode fra en autentiseringsapp blir til, og hva totrinnsbekreftelse i webmail beskytter og ikke beskytter.

Nøkkelbegreper: postbokspassord, passordbehandler, totrinnsbekreftelse, TOTP, delt hemmelighet, QR-kode, gjenopprettingskode, klokkeavvik, IMAP og SMTP uten andre trinn

Hvorfor postboksen din er den viktigste kontoen

Postboksen din er nøkkelknippet til livet ditt på nett. Nesten alle tjenester sender en lenke for å tilbakestille passordet til e-posten din. Den som har postboksen din, kan derfor også ta over nettbutikken, regnskapet og sosiale medier. I tillegg kan vedkommende sende e-post i ditt navn, til kunder som stoler på deg. En stjålet postboks brukes derfor ofte til fakturasvindel eller til å sende spam. Det siste skaper problemer for hele domenet ditt: andre servere begynner å avvise e-posten din.

To ting holder en inntrenger ute: et godt passord og et ekstra trinn når du logger inn.

Et sterkt passord er først og fremst langt og unikt

Postbokspassordet ditt hører til én e-postadresse. Det er ikke det samme som passordet til kundekontoen din eller til kontrollpanelet for pakken din (leksjon 1.3).

Hva gjør et passord sterkt? Ikke et utropstegn bak et ord, men lengde og tilfeldighet. Angripere prøver lekkede passord og lister med vanlige ord og mønstre. "Sommer2026!" står på en slik liste, en rekke med fire tilfeldige ord eller tjue tilfeldige tegn gjør det ikke. Like viktig er at passordet er unikt. Lekker en nettbutikk der du brukte det samme passordet, prøver kriminelle det også på postboksen din.

Den praktiske løsningen er en passordbehandler: et program som lager og husker et langt, tilfeldig passord for hver tjeneste. Da trenger du bare å huske ett sterkt hovedpassord.

Etter endringen: oppdater alle enheter

Du endrer passordet i webmail under Innstillinger > Passord, eller i kontrollpanelet for pakken din hvis du ikke lenger husker det gamle. Fra det øyeblikket gjelder det nye passordet overalt: i webmail, på telefonen og i e-postprogrammet ditt.

Det er her det ofte går galt. Sanne de Vries endrer passordet til sanne@example.com på mandag. Den bærbare PC-en oppdaterer hun med en gang. Det gamle nettbrettet på kjøkkenet glemmer hun. Nettbrettet fortsetter å logge inn med det gamle passordet med noen minutters mellomrom. Etter en rekke mislykkede forsøk ser brannmuren på serveren en tilkobling som stadig prøver et feil passord, og blokkerer IP-adressen. Fordi nettbrettet og PC-en deler samme IP-adresse hjemme, kommer Sanne plutselig heller ikke inn på e-posten fra PC-en, og noen ganger heller ikke på nettstedet sitt.

Oppdater derfor alle enheter rett etter en endring: telefon, nettbrett, e-postprogrammet på datamaskinen og eventuelt en skriver eller skanner som sender e-post.

Totrinnsbekreftelse: noe du vet og noe du har

Med totrinnsbekreftelse (i webmail heter det Totrinnsbekreftelse) trenger du to ting når du logger inn: passordet ditt (noe du vet) og en kode fra telefonen (noe du har). Den som får tak i passordet ditt gjennom phishing eller en lekkasje, kommer da likevel ikke inn.

Koden kommer fra en autentiseringsapp, for eksempel appen til passordbehandleren din eller en egen app for slike koder. Metoden heter TOTP, time-based one-time password, og er beskrevet i RFC 6238. Slik fungerer den:

1. Når du slår den på, lager webmail en delt hemmelighet: en tilfeldig rekke tegn. Du ser den som en hemmelig nøkkel og som en QR-kode.
2. Du skanner QR-koden med appen. Fra nå av kjenner serveren og telefonen din den samme hemmeligheten.
3. Hvert 30. sekund regner begge om hemmeligheten sammen med gjeldende tid til en sekssifret kode.
4. Når du logger inn, sammenligner serveren koden din med sitt eget resultat.

To ting følger av dette. Appen trenger ikke internett: den regner bare med hemmeligheten og klokken. Og klokken må gå riktig. Går telefonen noen minutter for fort eller for sakte, regner den med et annet tidsvindu, og koden stemmer ikke. Still klokken på telefonen til automatisk.

En tredje følge: QR-koden ér hemmeligheten. Den som har et bilde eller en skjermdump av den, kan lage de samme kodene. Del den derfor aldri, og ikke lagre den som bilde.

På bildet ser du skjermen der du slår på totrinnsbekreftelse, med den hemmelige nøkkelen, gjenopprettingskodene og QR-koden.

Gjenopprettingskoder og en telefon som er borte

Når du slår det på, får du også fire gjenopprettingskoder. Hver av dem virker én gang, i stedet for en kode fra appen. De er reservenøkkelen din hvis telefonen blir ødelagt, stjålet eller byttet ut. Oppbevar dem et annet sted enn på telefonen: i passordbehandleren eller på papir i en skuff.

Bruker du en gjenopprettingskode, setter du opp totrinnsbekreftelse på nytt med den nye telefonen med en gang. Da får du også nye gjenopprettingskoder. Har du ingen gjenopprettingskoder igjen, kan e-postleverandøren din slå av det andre trinnet for postboksen din etter å ha kontrollert hvem du er.

På din egen datamaskin kan du ved innlogging velge at webmail ikke ber om en kode igjen på 30 dager. På en delt datamaskin gjør du aldri det.

Hva totrinnsbekreftelse ikke beskytter

Dette er den viktigste fallgruven, og mange kjenner den ikke. Totrinnsbekreftelse i webmail gjelder bare for webmail. E-postprogrammet ditt og e-postappen på telefonen logger inn via IMAP (henting) og SMTP (sending), og de spør bare om passordet. En angriper med passordet ditt kan altså fortsatt lese e-posten din og sende i ditt navn via et e-postprogram.

Derfor er totrinnsbekreftelse et tillegg, ikke en erstatning. Passordet ditt må fortsatt være langt og unikt. Totrinnsbekreftelse for kundekontoen din stiller du inn separat. Det er en annen konto med egen sikkerhet.

Hos store tjenester som Gmail eller Outlook.com fungerer det litt annerledes: der gjelder det andre trinnet ofte for hele kontoen, og et e-postprogram trenger et eget app-passord eller en egen innloggingsmetode. Tanken er den samme: passord pluss noe du har.

I praksis: slik fungerer det i webmail

Passordet endrer du under Innstillinger > Passord, og totrinnsbekreftelse slår du på under Innstillinger > Totrinnsbekreftelse. Der krysser du av for Aktiver, lar webmail fylle ut feltene, skanner QR-koden, kontrollerer en kode og lagrer. Stegene står i Roundcube-håndboken (10.3, 10.4 og 10.5). Annen webmail har lignende innstillinger, ofte under Security.

Sammendrag

• Postboksen din er nøkkelen til de andre kontoene dine: beskytt den med et langt, unikt passord fra en passordbehandler.
• Etter en passordendring oppdaterer du alle enheter. En enhet med det gamle passordet kan få IP-adressen din blokkert.
• TOTP lager en kode hvert 30. sekund ut fra en delt hemmelighet og tiden. Klokken på telefonen må gå riktig, og QR-koden er hemmeligheten.
• Oppbevar de fire gjenopprettingskodene utenfor telefonen. Hver kode virker én gang.
• Totrinnsbekreftelse i webmail beskytter bare webmail, ikke IMAP og SMTP i e-postprogrammet ditt.

Quiz

Oppgave

Oppgave A8.1: Øv med en autentiseringsapp. Klikk på knappen for å få en øvingshemmelighet. Du får en QR-kode for en øvingskonto. Skann den med en autentiseringsapp du selv velger (eller skriv inn nøkkelen som vises), og fyll inn den sekssifrede koden appen viser. Programmet regner med den samme øvingshemmeligheten og tiden for å sjekke om koden din stemmer. En kode fra forrige eller neste tidsvindu godtas også, slik at et lite klokkeavvik ikke er noe problem. Grønt: koden stemmer. Rødt: koden stemmer ikke. Sjekk da klokken på telefonen og om du bruker riktig linje i appen. Øvingshemmeligheten hører ikke til postboksen din, har ingen verdi og forsvinner innen 24 timer. Slett øvingskontoen fra appen etterpå.

Les mer

Der det står steg i webmail, gjelder de for webmail hos WebOké. I annen webmail fungerer det på lignende måte.

• Roundcube Webmail 10.3: Slå på tofaktorautentisering
• Roundcube Webmail 10.4: Logg inn med totrinnsbekreftelse
• Roundcube Webmail 10.5: Endre passordet til e-postkontoen din
• Endre passord eller grenser for en e-postadresse
• Passordbehandler og passkeys: slik logger du inn trygt
• Gratis kurs Trygt på nett for bedrifter 2.1: Hva et sterkt passord egentlig er
• Gratis kurs Trygt på nett for bedrifter 2.3: Tofaktorautentisering: koder, apper og SMS
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engelsk): https://www.rfc-editor.org/rfc/rfc6238