«Bytt ut a-ene med @ og legg til et utropstegn»: det gamle rådet holder ikke lenger mot dagens angrepsverktøy. Styrken på et passord kan måles og regnes ut, og avhenger mindre av skrivetriks enn av hvor tilfeldig og hvor unikt det er. Denne veiledningen gir størrelsesordenene, de gode vanene og begrensningene ved hver kontroll.
Måle i bit entropi
Entropi, uttrykt i bit, måler mengden usikkerhet: hver ekstra bit fordobler antall gjetninger som trengs for å finne passordet. For et virkelig tilfeldig passord er den lik lengde × log₂(alfabetets størrelse).
| Passord | Utregning | Entropi | Ved 10¹² gjetninger per sekund* |
|---|---|---|---|
| 8 små bokstaver | 8 × log₂(26) | ≈ 37,6 bit | ≈ 0,2 sekund |
| 12 tegn av 94 | 12 × log₂(94) | ≈ 78,7 bit | ≈ 15 000 år |
| 16 tegn av 94 | 16 × log₂(94) | ≈ 104,9 bit | Utenfor rekkevidde |
| Frase på 6 ord (liste på 1 000 ord) | 6 × log₂(1 000) | ≈ 59,8 bit | ≈ 12 dager |
| Frase på 8 ord (liste på 1 000 ord) | 8 × log₂(1 000) | ≈ 79,7 bit | ≈ 32 000 år |
*En ekstrem, teoretisk forutsetning: en angriper som har en database med raske fingeravtrykk (se MD5-, SHA-256- og bcrypt-hasher: kontrollere en fil, lagre et passord) og svært kraftig maskinvare. I gjennomsnitt lykkes en gjetning etter halve rommet. Varighetene er størrelsesordener; de illustrerer først og fremst det enorme gapet mellom 38 og 80 bit.
Lage et passord med Passordgenerator
- Velg lengde (8 til 128 tegn) og tegnsettene du vil ha: små bokstaver, store bokstaver, sifre, symboler.
- Verktøyet trekker hvert tegn med nettleserens sikre tilfeldighetsgenerator og forkaster verdier som ville skjevfordelt resultatet: hvert tegn har nøyaktig samme sjanse til å dukke opp. Minst ett tegn fra hvert avkrysset sett er garantert.
- «Utelat tegn som ligner» fjerner I, l, 1, O og 0, som er lette å forveksle når man leser eller dikterer.
- Les entropien som vises, og sikt mot minst 80 bit for en viktig konto.
- Kopier resultatet inn i passordbehandleren din: ingenting sendes eller lagres, og det forsvinner når du forlater siden.
En passordfrase (ord trukket tilfeldig fra en liste på over 1 000 ord) er mye lettere å huske enn en rekke symboler. Pass på lengden: 6 ord gir bare 59,8 bit, nok til en konto på et nettsted som begrenser antall forsøk, men skjørt mot et raskt frakoblet angrep; regn med 8 ord (79,7 bit) for passordet til passordbehandleren eller datamaskinen din, som du må skrive inn for hånd.
Praktiske regler
- Ett unikt passord per konto. Et utmerket passord som gjenbrukes på ti nettsteder, er eksponert ved den første lekkasjen.
- Bruk en passordbehandler for å huske én enkelt sterk hemmelighet (en passordfrase) og la behandleren lage resten.
- Slå på tofaktorautentisering der det er mulig, helst med app eller maskinvarenøkkel i stedet for SMS.
- Del aldri et passord på e-post eller i meldinger; bytt det hvis det har vært eksponert.
- Ikke tving fram regelmessige endringer uten grunn: å bytte hvert kvartal får folk til å velge svakere. Bytt ved en lekkasje eller tvil.
Vanlige feil
- Å stole på et komplisert utseende («P@ssw0rd!»): angripere prøver disse erstatningene først.
- Å bruke en fødselsdato, et fornavn, navnet på et kjæledyr eller et lag.
- Å variere det samme passordet fra nettsted til nettsted ved å legge til navnet på nettstedet.
- Å velge et kort passord fordi «nettstedet er uviktig»: det er ofte veien inn til postkassen din.
- Å glemme gjenopprettingskoden til passordbehandleren.
Ærlige begrensninger
- Varigheter for å knekke passord avhenger av forutsetninger om angriperens maskinvare og om hvordan nettstedet lagrer passord: de er størrelsesordener.
- Et utmerket passord beskytter ikke mot phishing eller spionprogrammer.
- Lekkasjekontrollen krever internettforbindelse og kan være hastighetsbegrenset av tjenesten; verktøyet viser da hvor lenge du må vente.
Vanlige spørsmål
Hvilken lengde bør jeg velge?
Minst 12 tilfeldige tegn, 16 for en viktig konto. Med en passordfrase trukket fra en liste på 1 000 ord bør du sikte på 8 ord trukket tilfeldig.
Lagres genererte passord?
Nei. De lages i nettleseren din og forsvinner når du forlater siden: kopier dem inn i behandleren din.
Sendes passordet mitt for å sjekke en lekkasje?
Nei. Bare de fem første tegnene i SHA-1-fingeravtrykket overføres; den endelige sammenligningen skjer på enheten din.
Er en passordfrase tryggere enn et passord?
For å huske, ja ved lik entropi. For styrke avhenger alt av antall ord og hvor tilfeldige de er: et velkjent sitat er svakt.
Bør jeg bytte passordene mine regelmessig?
Ikke uten grunn. Bytt dem ved en lekkasje, mistanke eller utilsiktet deling, og hold dem unike.