Kriminalvården

svensk myndighet med ansvar för fängelser, häkten och frivård (kriminalvarden.se); i maj 2020 ertappad med ansvarslös hantering av it‑säkerheten. Tv‑programmet TV4 Nyheterna (tv4.se/nyheterna) hade skickat mejl till myndighetens nio högsta chefer med texten att deras lösenord hade gått ut och måste förnyas. En länk för förnyelse av lösenord fanns i mejlet, men gick till en webbsida som nyhetsprogrammets undersökande reportrar bara använde för att registrera anrop. Trots att avsändaren av mejlet uppenbarligen inte fanns på Kriminalvården var det sex av nio höga chefer, inklusive kriminalvårdens säkerhetschef Kenneth Holm, som klickade på mejlet. När TV4 Nyheterna bad Kriminalvården att kommentera avslöjandet anmälde Kriminalvården tv-programmet för dataintrång. – Se TV4 Nyheternas webbsidor: länk.

– In English: The Swedish prison and probation service was in May, 2020, exposed with irresponsible handling of IT security at the agency’s top level. The news program TV4 Nyheterna had sent emails to the agency’s top executives, requesting them to renew their passwords. Although the mail obviously did not come from the agency’s IT department, six out of nine executives, including the head of security, still clicked on the link, which did nothing but register the call. When confronted by the reporters, the prison and probation service reported TV4 Nyheterna to the police for unauthorized access to its IT system. – For more summaries in English, please click on this link.

[it-säkerhet] [myndigheter] [rättsfall och skandaler] [19 maj 2020]

engångskod

(one-time code, OTC)lösenord som ska användas bara en gång. Ofta en sifferserie. Syftet är att göra uppsnappade lösenord oanvändbara. Det finns två slags engångskoder:

  • – koder som står i en lista: användaren har ett exemplar av listan och mottagaren ett annat. När användaren har använt en av koderna kan den inte användas igen. Processen kan vara automatiserad. Läs också om engångskrypto;
  • – koder som genereras när de ska användas. Detta kan göras hos användare och mottagare oberoende av varandra eller i en session. Om koden genereras av användaren och mottagaren var för sig används algoritmer, som kan vara lagrade i särskilda hårdvarunycklar, och som gör sina beräkningar utifrån en lagrad gemensam hemlighet eller, till exempel, klockslaget. Parterna gör samma beräkning samtidigt och jämför resultaten. Koden kan också genereras i en session där användare och mottagare utväxlar data som behandlas enligt principerna för utväxling av nycklar för asymmetrisk kryptering.

[lösenord] [ändrad 5 augusti 2019]

ji32k7au4a83

ett lösenord som i början av 2019 visade sig vara rätt vanligt, trots att det verkar rent slumpartat. Förklaringen visade sig vara att om man skriver ”mitt lösenord” på kinesiskawǒ de mìmǎ – på ett taiwanesiskt tangentbord avsett för kinesiska skrivtecken så kodas det som ji32k7au4a83. Andra halvan av ordet, au4a83, står för lösenord och är ännu vanligare som, just det, lösenord. – Mer i denna artikel i Gizmodo.

[lösenord] [6 mars 2019]

standardlösenord

fabriksinställt lösenord för elektronisk utrustning, likadant på alla enheter. Ofta 1111, password eller liknande. Kunden förväntas byta ut lösenordet efter inköpet, men så sker sällan. Även användarnamnet brukar vara fabriksinställt: ofta admin. Detta är ett säkerhetsproblem med tanke på att allt fler elektroniska prylar är åtkomliga genom internet och wi‑fi: en angripare kan alltså pröva att logga in med standardlösenordet för att få tillgång till resurser eller ställa till skada. I Kalifornien antogs hösten 2018 en lag (länk) som förbjuder standardlösenord med början 2020: varje enhet ska då levereras med ett unikt lösenord. – På engelska: default password. – Man talar också på engelska om installation accounts – fabriksinställda användarnamn och lösenord som står i handboken och som ska användas när man installerar ett program, men därefter lämpligtvis bytas ut. (Jämför med bakdörr.)

[lösenord] [ändrad 26 juni 2020]

lösenordsförnyelse

obligatorisk lösenordsförnyelse, regelbunden lösenordsförnyelse – krav att användare i ett nätverk byter ut sina lösenord med bestämda mellanrum. Det kan vara var tredje månad, en gång i halvåret, varje år eller något annat. – Flera experter anser att regelbunden lösenordsförnyselse inte höjer it‑säkerheten, utan tvärtom, främst därför att användarna tenderar att återanvända sina gamla lösenord med minsta möjliga ändring enligt mönster som mittlosenord1, mittlosenord2, mittlosenord3… Behovet av att hålla reda på många lösenord, som dessutom måste bytas ut med jämna mellanrum, gör också att användarna tenderar att använda samma, eller snarlika, lösenord till många tjänster. Det underlättar för hackare. En bättre lösning enligt it‑säkerhetsexperten Bruce Schneier (se denna länk) är att välja lösenord som inte liknar något som står i ordlistor, men som ändå går att komma ihåg. Han har tidigare också rekommenderat mycket långa lösenord, eftersom hackarna bara brukar pröva lösenord upp till en viss längd. Den svenska it‑säkerhetsexperten Anne‑Marie Eklund‑Löwinder (länk) påpekar (se denna länk) att stulna lösenord som regel används omedelbart. Att byta lösenord regelbundet är därför som att byta ut dörrlåset efter inbrottet. – På engelska: password rotation, ofta försvenskat till lösenordsrotation. Den benämningen kan skapa intrycket av att samma lösenord cirkulerar bland användarna, så därför är lösenordsförnyelse tydligare.

[lösenord] [ändrad 25 februari 2019]

Telepathwords

tjänst för test av lösenord. Man matar in lösenordet tecken för tecken på Telepathwords webbsida och Telepathwords visar då vilka de tre mest sannolika följande tecknen är. Programmet utgår från kända vanliga lösen­ord, vanliga ord och uttryck samt teckenföljder på tangentbord. Det är en tjänst från Micro­soft Research. – Pröva Telepathwords på denna länk.

[lösenord] [ändrad 26 juli 2017]