“Erstat a'erne med @ og tilføj et udråbstegn”: det gamle råd holder ikke længere over for nutidens angrebsværktøjer. En adgangskodes styrke kan måles og beregnes og afhænger mindre af skrivetricks end af, hvor tilfældig og hvor unik den er. Denne guide giver størrelsesordenerne, de gode vaner og begrænsningerne ved hver kontrol.
Mål i bits af entropi
Entropi, udtrykt i bits, måler mængden af usikkerhed: hver ekstra bit fordobler antallet af gæt, der skal til for at finde adgangskoden. For en virkelig tilfældig adgangskode svarer den til længde × log₂(alfabetets størrelse).
| Adgangskode | Beregning | Entropi | Ved 10¹² gæt i sekundet* |
|---|---|---|---|
| 8 små bogstaver | 8 × log₂(26) | ≈ 37,6 bits | ≈ 0,2 sekund |
| 12 tegn blandt 94 | 12 × log₂(94) | ≈ 78,7 bits | ≈ 15.000 år |
| 16 tegn blandt 94 | 16 × log₂(94) | ≈ 104,9 bits | Uden for rækkevidde |
| Sætning på 6 ord (liste på 1.000 ord) | 6 × log₂(1.000) | ≈ 59,8 bits | ≈ 12 dage |
| Sætning på 8 ord (liste på 1.000 ord) | 8 × log₂(1.000) | ≈ 79,7 bits | ≈ 32.000 år |
*En ekstrem, teoretisk antagelse: en angriber med en database af hurtige fingeraftryk (se MD5- og SHA-256-hashes: kontrollér en fil, forstå adgangskoder) og meget kraftig hardware. I gennemsnit lykkes et gæt efter halvdelen af mulighederne. Varighederne er størrelsesordener; de illustrerer mest den enorme afstand mellem 38 og 80 bits.
Lav en adgangskode med Adgangskodegenerator
- Vælg længden (8 til 128 tegn) og de tegnsæt, du vil have: små bogstaver, store bogstaver, cifre, symboler.
- Værktøjet trækker hvert tegn med din browsers sikre tilfældighedsgenerator og forkaster værdier, der ville skævvride fordelingen: hvert tegn har præcis samme chance for at komme frem. Mindst ét tegn fra hvert markeret sæt er garanteret.
- “Udeluk tegn, der ligner hinanden” fjerner I, l, 1, O og 0, som er lette at forveksle ved læsning eller diktat.
- Aflæs den viste entropi, og sigt efter mindst 80 bits til en vigtig konto.
- Kopiér resultatet ind i din adgangskodeadministrator: intet sendes eller gemmes, og det forsvinder, når du forlader siden.
En adgangssætning (ord trukket tilfældigt fra en liste på flere hundrede ord) er langt lettere at huske end en række symboler. Pas på længden: 6 ord giver kun omkring 60 bits, nok til en konto på et sted, der begrænser antallet af forsøg, men skrøbeligt over for et hurtigt offline-angreb; regn med 8 ord til administratorens eller computerens adgangskode, som du skal skrive i hånden.
Praktiske regler
- Én unik adgangskode pr. konto. En fremragende adgangskode, der genbruges på ti sider, er udsat ved det første databrud.
- Brug en adgangskodeadministrator for at huske én stærk hemmelighed (en adgangssætning) og lad administratoren lave resten.
- Slå tofaktorgodkendelse til, hvor det er muligt, helst med en app eller en hardwarenøgle frem for sms.
- Del aldrig en adgangskode på e-mail eller i beskeder; skift den, hvis den er blevet afsløret.
- Tving ikke regelmæssige skift uden grund: at skifte hvert kvartal får folk til at vælge svagere. Skift ved et brud eller en mistanke.
Almindelige fejl
- At stole på et kompliceret udseende (“P@ssw0rd!”): angribere prøver de erstatninger først.
- At bruge en fødselsdato, et fornavn, et kæledyrs eller et holds navn.
- At variere den samme adgangskode fra side til side ved at tilføje sidens navn.
- At vælge en kort adgangskode, fordi “siden er uvigtig”: den er ofte vejen ind til din postkasse.
- At glemme administratorens gendannelseskode.
Ærlige begrænsninger
- Varigheder for at knække en kode afhænger af antagelser om angriberens hardware og om, hvordan siden gemmer adgangskoder: de er størrelsesordener.
- En fremragende adgangskode beskytter ikke mod phishing eller spyware.
- Værktøjet kender ikke de konti, du bruger den på: det er dit ansvar at gøre hver enkelt unik.
Ofte stillede spørgsmål
Hvilken længde skal jeg vælge?
Mindst 12 tilfældige tegn, 16 til en vigtig konto. Med en adgangssætning trukket fra en liste skal du sigte efter 8 tilfældigt trukne ord.
Bliver de genererede adgangskoder gemt?
Nej. De oprettes i din browser og forsvinder, når du forlader siden: kopiér dem ind i din administrator.
Er en adgangssætning sikrere end en adgangskode?
Til at huske, ja ved samme entropi. Til styrke afhænger alt af antallet af ord og deres tilfældighed: et velkendt citat er svagt.
Skal jeg skifte mine adgangskoder jævnligt?
Ikke uden grund. Skift dem ved et brud, en mistanke eller utilsigtet deling, og hold dem unikke.
Hvorfor udelukker værktøjet tegn, der ligner hinanden?
Fordi I, l, 1, O og 0 er lette at forveksle ved læsning eller diktat; at fjerne dem gør en adgangskode lettere at skrive af uden at svække den nævneværdigt.