Det endelige løsenordet
av Sigve Indregard
I dag: litt forbrukerblogging.
Har du ett og samme passord på tvers av en hel del nettsider? Det hadde jeg og. Ved hjelp av ett og samme passord, eller små variasjoner av det, kunne du bryte deg inn i spillekontoer, Facebook, twitter, bloggen og mailen; kort fortalt hele livet. Ved hjelp av bare mailpassordet kunne du bryte deg inn i de fleste av disse kontoene, fordi det stort sett er mail som brukes i “glemt passord”-funksjonene. Dette er en kjemperisiko. Etter mine beregninger kunne jeg ha tapt førti-femti-tusen kroner i løpet av minutter.
Hvordan skulle så en eventuell inntrenger finne passordet mitt? Vel, det var utrolig mange innganger. For det første aner jeg ikke hvilke nettsteder som lagrer passordet mitt på sine servere når jeg registrerer meg der. Gjør forumet det? Mailinglista? Flickr? For det andre kan det hende at crackeren allerede har cracket Flickr eller rollespillforumet, og dermed kan sitte og vente til jeg logger inn med passordet. For det tredje kunne crackeren ganske enkelt gjette det. Dette går ikke an, tenkte jeg mange ganger. Jeg må ha separate passord, og de må være sterke passord.
Jeg fant en teknisk, gratis og helt åpen løsning, og jeg tenkte at den kanskje kunne ha interesse for folk. Jeg nevner også nederst noen andre løsninger jeg ikke tror fungerer like bra.
Løsningen heter PasswordMaker. PasswordMaker tar et hovedpassord, noen andre data, og nettadressen du er inne på, og genererer så et helt flunkende nytt passord. Altså: Et nytt passord for hver side. Det høres kanskje ikke helt utrolig ut. En passordgenerator? Hvordan skal man så huske disse genererte passordene?
Poenget er at det trenger du ikke. Og du trenger heller ikke lagre dem noe sted, eller huke av for “husk meg” noe sted, eller bruke de relativt usikre passorddatabasene i Internet Explorer eller Firefox. Så lenge du fyller inn hovedpassordet, kan datamaskinen bare gjøre det samme regnestykket som den gjorde da passordet ble generert. PasswordMaker genererer ikke tilfeldige passord, men bestemte passord. Og ettersom du fyller inn den nødvendige informasjonen (hovedpassordet), trenger vi ikke å lagre hverken hovedpassord eller enkeltpassord. Vi bare husker det ene, og genererer det andre. Om og om igjen.
Men det høres kanskje ut som et sikkerhetsproblem, tenker du? Hvis man bare kan regne ut passordet? På en måte er dette sant. Hvis du vet hovedpassordet og alle de små innstillingene jeg har gjort i PasswordMaker (lengden på passordet, hvilke bokstaver som skal brukes, og hvilken algoritme som skal brukes), er jeg selvsagt ille ute. Men hvis du bare får vite enkeltpassordet, f.eks. passordet mitt på det artige, lille rollespillforumet, hjelper den informasjonen deg ingenting for å finne hovedpassordet mitt!i
Den andre, og helt avgjørende, biten er at kjennskap til passordet mitt for facebook.com nå forteller deg ingenting om mine øvrige passord. Dermed risikerer jeg maksimalt at noen bryter seg inn i min Facebook — ikke at de får tilgang til hele livet mitt.ii Så kan man selvsagt innvende at dette argumentet delvis fungerer i revers: ved hjelp av PasswordMaker-innstillingene mine og hovedpassordet har du tilgang til hele livet mitt. Perfekt er det altså ikke: Det beste ville være å finne på separate og helt tilfeldige passord bestående av tilfeldige karakterer til hver enkelt nettsted og huske dem selv. Men virkeligheten var at jeg hadde ett, eller i høyden to, passord som fantes der ute hos forumeiere og facebookservere, og som ga full tilgang. Det er mye mer risikabelt enn den noe fjerne sannsynligheten for at noen finner ut hva mitt hovedpassord er.
PasswordMaker er også praktisk. Jeg bruker mye mindre tid på passord nå enn før, fordi jeg slipper unna den ukentlige mølla med å gjenopprette passord jeg har glemt. PasswordMaker lever i Firefox (eller Chrome, Safari…), og når jeg trenger passordet til siden jeg er inne på, høyreklikker jeg og velger “fyll ut passord”. Hvis jeg ikke har logget inn med hovedpassordet ennå i denne nettlesersesjonen (eller de siste tretti minutter, eller uansett — du velger selv), ber PasswordMaker om hovedpassordet før den automatisk fyller inn passordet mitt. Hvis jeg skriver feil hovedpassord, vet PasswordMaker det — ikke fordi den har lagret passordet mitt, men fordi den har generert og lagret et “passord” der hovedpassordet er “nettsted”, og kan sammenligne dette med et “passord” der det jeg skrev inn er “nettsted”. Er de ulike, er det feil.
Med PasswordMaker får du dermed det beste av mange verdener: du får knallsikre passord (velg f.eks. 14 tilfeldige tegn fra hele alfabetet, store og små bokstaver og rare tegn), du slipper å huske dem selv, du slipper å skrive dem ned, de blir ikke lagret noe sted på maskinen, og det er lynraskt og praktisk.
Noen tips til PasswordMaker-bruk:
- Automatiser et vanskelig hovedpassord. Hovedpassordet kan ikke byttes uten å bytte alle passordene du har, så du vil ikke at hovedpassordet skal være lett å knekke. Bruk 8–12 tegn, store og små bokstaver og ingen ord. Skriv det mange ganger, helt til det er automatisert.
- Du bør gå inn og endre innstillingene, fordi det gjør et eventuelt brute-force-angrep for å finne hovedpassordet ditt basert på et enkeltpassord mye vanskeligere. Endre på passordlengden, ta bort eller legg til en bokstav eller to fra tegnalfabetet, og feel free til å velge en eller annen hashing-algoritme fra listen. Innstillingene blir lagret på din maskin, og du må oppgi dem på nytt på alle andre steder du skal bruke PasswordMaker.
- Skal du legge inn passordet et annet sted enn nettleseren, tilbyr PasswordMaker deg å kopiere passord inn på utklippstavla. Skal du derimot skrive det inn i et javaprogram på mobilen din, må du til med papir, penn og staving på mobiltelefonen. Hvis du har mange passord lagret på mobilen, kan det derfor være lurt å unngå veldig lange passord…
Noen ikke så godt fungerende løsninger:
- Lagre passordene. Uten en passordgenerator er det egentlig liten hjelp i å bruke nettleserens passordlagringsmekanisme. Mer alvorlig er det at de aller, aller fleste jeg kjenner lagrer disse passordene uten hovedpassord. Det er fullstendig usikkert; tilsvarende det å ha en tekstfil på skrivebordet der alle passordene er listet opp.
- Lagre passordene + sikker passordgenerator + hovedpassord + forskjellige passord for alle nettsteder. Dette er den sikre varianten av passordlagringen over, men den har ett stort problem: Du trenger passorddatabasen på alle maskiner og enheter du skal surfe på. Noen tjenester tilbyr å kopiere databasen over nettet, men dette krever at du har en server du stoler på, og det har jo de færreste tilgang til. I tillegg er det veldig knotete å få tak i et passord når du da sitter på en nettkafé med bare Internet Explorer.
- Thumbdrive som autentisering + passorddatabase. Denne er i prinsippet ganske slick. I stedet for å bare ha et hovedpassord, krever du også at en bestemt minnepinne står i datamaskinen når du autentiserer deg. I tillegg har du da det vanlige settet med passorddatabase og passordgenerator og alt, men med dette oppsettet utgjør det ingen risiko å sende passorddatabasen over nettet. Problemet er at minnepinnen veldig fort blir borte, og da er du royally screwed. Evt. er du ikke screwed fordi du har en bakvei til passorddatabasen din, men da er hele sikkerhetsfordelen med thumbdriven borte.
Fotnoter
- For de som lurer på hvordan dette kan være mulig — enveis-matte? — kan jeg bare anbefale å lese dere opp på såkalte hashalgoritmer. De er definert som algoritmer som tar en input, og endrer den til en bestemt output. Outputen skal være slik at kjennskapen til output ikke øker din evne til å predikere input: denne outputen skal være like sannsynlig som alle andre mulige outputer uansett hvilken input som er gitt. Imponerende? Ja! Lenge leve matematikken. [↩]
- Vel, det er ikke helt sant. Basert på passordet mitt på facebook.com vet du noen av mine PasswordMaker-innstillinger: passordlengde og alfabet tegnene trekkes fra. Men du vet ikke innstillingene for algoritme, |337-konvertering, brukernavn osv. [↩]
Nøt du denne? Da vil du kanskje like:
Joda, fint dette, men jeg logger inn med mange forskjellige maskiner. Jeg har to forskjellige brukere på universitetet som jeg bruker på ulike datasaler, jeg har stasjonær hjemme, jeg er på besøk hos noen, osv. Da må jeg ha dette programmet liggende på alle disse maskinene, og det vil neppe være realistisk. “hei hei, kompis, jeg må bare innstallere noen greier her sånn at jeg kan huske mitt eget passord”. Tror ikke det.
Nå føler jeg meg skeptisk og kritisk, men dette kommer nok ikke til å funke for meg. Så da får jeg huske femti forskjellige passord til enhver tid, og eventuelt sitte fint i det hvis jeg får hukomelsestap. ;)
Neida, du må ikke ha programmet installert. Du kan bare gå til PasswordMakers hjemmeside og regne ut passordene via den.
Åh. Da er det kanskje smart likevel.
Jeg har i lenger tid brukt 1password til akkurat dette, men det har sånn halvveis tatt slutt med tiden. Tanken er jo selvfølgelig både god, fornuftig og noe alle bør gjøre, men frustrasjonen av å ikke komme inn på min egen mail fra en annen datamaskin ødela litt av gleden rundt dette… og slik fortsatt det. Nettbank, facebook, twitter… til slutt satt jeg med unike passord på de obskure sidene jeg sjelden besøkte, mens jeg igjen hadde det samme passordet på de mest brukte.
Kanskje det er 1password som ikke passer meg godt nok? Jeg skal ihvertfall ta en titt på PasswordMaker!