”Byt a mot @ och lägg till ett utropstecken”: det gamla rådet håller inte längre mot dagens attackverktyg. Ett lösenords styrka kan mätas och räknas ut, och beror mindre på skrivtrick än på hur slumpmässigt och hur unikt det är. Den här guiden ger storleksordningarna, de goda vanorna och gränserna för varje kontroll.
Mäta i bitar av entropi
Entropi, uttryckt i bitar, mäter mängden osäkerhet: varje extra bit fördubblar antalet gissningar som krävs för att hitta lösenordet. För ett verkligt slumpmässigt lösenord är den lika med längd × log₂(alfabetets storlek).
| Lösenord | Beräkning | Entropi | Vid 10¹² gissningar per sekund* |
|---|---|---|---|
| 8 gemena bokstäver | 8 × log₂(26) | ≈ 37,6 bitar | ≈ 0,2 sekunder |
| 12 tecken av 94 | 12 × log₂(94) | ≈ 78,7 bitar | ≈ 15 000 år |
| 16 tecken av 94 | 16 × log₂(94) | ≈ 104,9 bitar | Utom räckhåll |
| Fras på 6 ord (lista på 1 000 ord) | 6 × log₂(1 000) | ≈ 59,8 bitar | ≈ 12 dagar |
| Fras på 8 ord (lista på 1 000 ord) | 8 × log₂(1 000) | ≈ 79,7 bitar | ≈ 32 000 år |
*Ett extremt, teoretiskt antagande: en angripare som har en databas med snabba fingeravtryck (se MD5-, SHA-256- och bcrypt-hashar: verifiera en fil, lagra ett lösenord) och mycket kraftfull utrustning. I genomsnitt lyckas en gissning efter halva utrymmet. Tiderna är storleksordningar; de illustrerar främst det enorma gapet mellan 38 och 80 bitar.
Generera ett lösenord med Lösenordsgenerator
- Välj längd (8 till 128 tecken) och de teckengrupper du vill ha: gemener, versaler, siffror, symboler.
- Verktyget drar varje tecken med webbläsarens säkra slumptalsgenerator och förkastar värden som skulle snedvrida fördelningen: varje tecken har exakt samma chans att dyka upp. Minst ett tecken från varje markerad grupp garanteras.
- ”Utesluta tecken som liknar varandra” tar bort I, l, 1, O och 0, som lätt förväxlas vid läsning eller diktering.
- Läs den visade entropin och sikta på minst 80 bitar för ett viktigt konto.
- Kopiera resultatet till din lösenordshanterare: inget skickas eller sparas, och det försvinner när du lämnar sidan.
En lösenfras (ord som dragits slumpmässigt ur en lista på över 1 000 ord) är mycket lättare att komma ihåg än en sträng av symboler. Se upp med längden: 6 ord ger bara 59,8 bitar, tillräckligt för ett konto på en webbplats som begränsar antalet försök, men sårbart mot en snabb attack offline; räkna med 8 ord (79,7 bitar) för lösenordet till din hanterare eller din dator, som du måste skriva för hand.
Praktiska regler
- Ett unikt lösenord per konto. Ett utmärkt lösenord som återanvänds på tio webbplatser är utsatt vid den första läckan.
- Använd en lösenordshanterare för att komma ihåg en enda stark hemlighet (en lösenfras) och låt hanteraren skapa resten.
- Slå på tvåfaktorsautentisering där det går, helst med app eller hårdvarunyckel i stället för sms.
- Dela aldrig ett lösenord via e-post eller meddelanden; byt det om det har avslöjats.
- Tvinga inte fram regelbundna byten utan anledning: byte varje kvartal får folk att välja svagare. Byt vid en läcka eller ett tvivel.
Vanliga misstag
- Att lita på ett komplicerat utseende (”L0senord!”): angripare provar de här ersättningarna först.
- Att använda ett födelsedatum, ett förnamn, ett husdjurs eller ett lags namn.
- Att variera samma lösenord från webbplats till webbplats genom att lägga till webbplatsens namn.
- Att välja ett kort lösenord för att ”webbplatsen inte är viktig”: den är ofta vägen in till din brevlåda.
- Att glömma lösenordshanterarens återställningskod.
Ärliga begränsningar
- Tiderna för att knäcka beror på antaganden om angriparens utrustning och hur webbplatsen lagrar lösenord: de är storleksordningar.
- Ett utmärkt lösenord skyddar inte mot nätfiske eller spionprogram.
- Läckkontrollen kräver en internetanslutning och kan begränsas av tjänsten; verktyget visar då hur länge du ska vänta.
Vanliga frågor
Vilken längd ska jag välja?
Minst 12 slumpmässiga tecken, 16 för ett viktigt konto. Med en lösenfras ur en lista på 1 000 ord sikta på 8 slumpmässigt dragna ord.
Sparas genererade lösenord?
Nej. De skapas i din webbläsare och försvinner när du lämnar sidan: kopiera dem till din hanterare.
Skickas mitt lösenord för att kontrollera en läcka?
Nej. Bara de fem första tecknen i SHA-1-fingeravtrycket skickas; den slutliga jämförelsen sker på din enhet.
Är en lösenfras säkrare än ett lösenord?
För att komma ihåg, ja vid samma entropi. För styrkan beror allt på antalet ord och hur slumpmässiga de är: ett välkänt citat är svagt.
Ska jag byta lösenord regelbundet?
Inte utan anledning. Byt vid en läcka, en misstanke eller oavsiktlig delning och håll dem unika.