lösenfras

lösenord som består av flera ord i följd. Till exempel wattxylofonynnestzebra. På engelska: passphrase.

[lösenord] [20 januari 2020]

lösenordsstyrka

bedömning av hur säkert ett lösenord är mot försök att hitta det. Angripare kan försöka att gissa lösenordet eller använda datorprogram för att systematiskt pröva tänkbara lösenord. Det finns två angreppssätt:

  • Uttömmande attack. Ett datorprogram prövar alla tänkbara teckenkombinationer upp till en viss längd. För angriparen är problemet med sådana attacker är att många system bara tillåter ett fåtal försök med felaktiga lösenord innan de stoppar all inloggning för en tid. (Men det finns system som saknar den spärren.) För att få hög lösenordsstyrka mot uttömmande attacker bör man därför välja ett så långt lösenord som möjligt, gärna en lösenfras (morotkebnekajseviolettgräs) – lösenfraser har fördelen att de är lätta att minnas;
  • Ordlisteattack. Angriparen har ett program som prövar ord och namn samt kända vanliga lösenord från en lång lista. För att få hög lösenordsstyrka mot ordlisteattacker kan man ha lösenord som är slumpmässiga följder av tecken. Om man använder ord eller namn bör man ändra stavningen och stoppa in siffror och andra tecken. Många tjänster kräver att lösenord innehåller stora och små bokstäver samt siffror och andra tecken. Lösenfraser försvårar ordlisteattacker. 

– Man bör definitivt inte ha lösenord på en lapp under skrivbordsunderlägget eller välja uppenbara lösenord som namn på barn eller husdjur. Säkerhetsexperten Bruce Schneier rekommenderar att man har långa lösenord och skriver upp dem på en lapp som man har i plånboken. Man bör också byta ut förinställda lösenord (standardlösenord). Det är omstritt ifall det är bra att byta lösenord regelbundet – en del anser att det mest skapar krångel och att det är bättre att ha långa, säkra lösenord som inte behöver bytas ut. – Lösenordsstyrka kan testas på sajten testalosenord.se. – På engelska: password strength.

[lösenord] [20 november 2020]

Kriminalvården

svensk myndighet med ansvar för fängelser, häkten och frivård (kriminalvarden.se); i maj 2020 ertappad med ansvarslös hantering av it‑säkerheten. Tv‑programmet TV4 Nyheterna (tv4.se) hade skickat mejl till myndighetens nio högsta chefer med texten att deras lösenord hade gått ut och måste förnyas. En länk för förnyelse av lösenord fanns i mejlet, men gick till en webbsida som nyhetsprogrammets undersökande reportrar bara använde för att registrera anrop. Trots att avsändaren av mejlet uppenbarligen inte fanns på Kriminalvården var det sex av nio höga chefer, inklusive kriminalvårdens säkerhetschef Kenneth Holm, som klickade på mejlet. När TV4 Nyheterna bad Kriminalvården att kommentera avslöjandet anmälde Kriminalvården tv-programmet för dataintrång. – Se TV4 Nyheternas webbsidor: länk.

– In English: The Swedish prison and probation service was in May, 2020, exposed with irresponsible handling of IT security at the agency’s top level. The news program TV4 Nyheterna had sent emails to the agency’s top executives, requesting them to renew their passwords. Although the mail obviously did not come from the agency’s IT department, six out of nine executives, including the head of security, still clicked on the link, which did nothing but register the call. When confronted by the reporters, the prison and probation service reported TV4 Nyheterna to the police for unauthorized access to its IT system. – For more summaries in English, please click on this link.

[it-säkerhet] [myndigheter] [rättsfall och skandaler] [19 maj 2020]

engångskod

(one-time code, OTC)lösenord som ska användas bara en gång. Ofta en sifferserie. Syftet är att göra uppsnappade lösenord oanvändbara. Det finns två slags engångskoder:

  • – koder som står i en lista: användaren har ett exemplar av listan och mottagaren ett annat. När användaren har använt en av koderna kan den inte användas igen. Processen kan vara automatiserad. Läs också om engångskrypto;
  • – koder som genereras när de ska användas. Detta kan göras hos användare och mottagare oberoende av varandra eller i en session. Om koden genereras av användaren och mottagaren var för sig används algoritmer, som kan vara lagrade i särskilda hårdvarunycklar, och som gör sina beräkningar utifrån en lagrad gemensam hemlighet eller, till exempel, klockslaget. Parterna gör samma beräkning samtidigt och jämför resultaten. Koden kan också genereras i en session där användare och mottagare utväxlar data som behandlas enligt principerna för utväxling av nycklar för asymmetrisk kryptering.

[lösenord] [ändrad 5 augusti 2019]

ji32k7au4a83

ett lösenord som i början av 2019 visade sig vara rätt vanligt, trots att det verkar rent slumpartat. Förklaringen visade sig vara att om man skriver ”mitt lösenord” på kinesiskawǒ de mìmǎ – på ett taiwanesiskt tangentbord avsett för kinesiska skrivtecken så kodas det som ji32k7au4a83. Andra halvan av ordet, au4a83, står för lösenord och är ännu vanligare som, just det, lösenord. – Mer i denna artikel i Gizmodo.

[lösenord] [6 mars 2019]

standardlösenord

fabriksinställt lösenord för elektronisk utrustning, likadant på alla enheter. Ofta 1111, password eller liknande. Kunden förväntas byta ut lösenordet efter inköpet, men så sker sällan. Även användarnamnet brukar vara fabriksinställt: ofta admin. Detta är ett säkerhetsproblem med tanke på att allt fler elektroniska prylar är åtkomliga genom internet och wi‑fi: en angripare kan alltså pröva att logga in med standardlösenordet för att få tillgång till resurser eller ställa till skada. I Kalifornien antogs hösten 2018 en lag (länk) som förbjuder standardlösenord med början 2020: varje enhet ska då levereras med ett unikt lösenord. – På engelska: default password. – Man talar också på engelska om installation accounts – fabriksinställda användarnamn och lösenord som står i handboken och som ska användas när man installerar ett program, men därefter lämpligtvis bytas ut. (Jämför med bakdörr.)

[lösenord] [ändrad 26 juni 2020]