Flyt dine adgangskoder til en adgangskodeadministrator

Modul 7: Samarbejde, apps og sikkerhed · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du flytte adgangskoder sikkert fra din browser, sedler og regneark til en adgangskodeadministrator, der passer til din nye opsætning, også med delte bokse til teamet.

Nøglebegreber: adgangskodeadministrator, boks, hovedadgangskode, gendannelsesnøgle, adgangskoder i browseren (Google, Edge, Apple), eksport som csv, delt boks eller samling, selv-hosting, open source, kryptering på din egen enhed (zero-knowledge), opbevaring af passkeys

Den glemte del

I næsten alle oversigter mangler adgangskoderne. De ligger ikke i en cloudtjeneste, du opsiger, så ingen tænker på dem. Alligevel sidder de ofte midt i det hele. Hos Bakkerij De Korrel viser en runde blandt kollegerne:

• de fleste adgangskoder ligger i Chrome, gemt i personens Google-konto;
• adgangskoderne til banken, grossisten og webshoppen står i et regneark wachtwoorden.xlsx i Google Drive;
• wifi-adgangskoden og koden til alarmen hænger på en seddel;
• to kolleger bruger den samme adgangskode overalt.

Forsvinder Google-kontoen, forsvinder adgangskoderne i Chrome med den. Og et regneark med adgangskoder i skyen er noget af det første, en indbrudstyv leder efter. Et skifte er derfor det rigtige tidspunkt at få styr på det.

Hvad en adgangskodeadministrator gør

En adgangskodeadministrator er en krypteret boks til adgangskoder, med en app på telefon og computer og en udvidelse i browseren. Du husker én stærk hovedadgangskode; administratoren laver en lang, unik adgangskode til hver side og udfylder den for dig.

Det vigtige er, hvor krypteringen sker. Hos de kendte administratorer krypteres boksen på din egen enhed med en nøgle, der er afledt af din hovedadgangskode. Udbyderen gemmer kun den krypterede boks og kan ikke læse dine adgangskoder. Det kaldes ofte "zero-knowledge". Konsekvensen: glemmer du din hovedadgangskode og har du ingen gendannelsesnøgle, kan udbyderen heller ikke hjælpe dig.

En god administrator udfylder også kun på den rigtige adresse. En falsk side, der ligner din bank, får altså ingenting, selv hvis den ser præcis ens ud. Det er en ekstra beskyttelse mod phishing.

Hvilke typer findes der?

Vores råd til de fleste personer og små virksomheder: Proton Pass, eller 1Password med en konto på 1password.eu, hvis du vil have det allernemmeste. Begge virker på din Mac, din Windows-pc, din telefon og i alle browsere, og begge har delte bokse til et team. Bitwarden er fortsat en amerikansk virksomhed, også med lagring i EU. KeePassXC virker kun på computere; på din telefon skal du bruge en anden app. I vejledningen Adgangskodeadministrator i praksis sammenligner vi 23 adgangskodeadministratorer på brugervenlighed, sikkerhed og EU/GDPR (se Videre læsning). Brug også her de fem spørgsmål fra lektion 2.1 (hjemsted, ejer, datacenter, underdatabehandlere, nøgle). For en adgangskodeadministrator vejer det sidste spørgsmål tungest: hvem har nøglen? Er det kun dig, betyder det mindre, hvor den krypterede boks ligger, end ved almindelige filer.

Overflytning: eksport, import og slet med det samme

Næsten alle browsere og administratorer kan eksportere adgangskoder som csv-fil. Det er en almindelig tekstfil med en side, et brugernavn og en adgangskode på hver linje, ukrypteret. Alle, der åbner filen, kan læse det hele. Derfor:

1. Gør det på en computer, du stoler på, ikke på en delt computer i butikken.
2. Eksportér til din egen computer, ikke til en synkroniseret mappe eller skyen. Ellers ligger den ukrypterede fil inden for få sekunder på serveren, i versionerne og i papirkurven.
3. Importér den med det samme i den nye administrator.
4. Lav stikprøver for at se, om det passer (log ind på et par sider).
5. Slet csv-filen med det samme, og tøm også computerens papirkurv.
6. Slå derefter gemning af adgangskoder i browseren fra, så der ikke opstår en ekstra, forældet kopi.

Regnearket med adgangskoder flytter du ved at taste oplysningerne ind i administratoren i hånden (eller importere dem som csv, med de samme regler). Slet derefter regnearket, også fra papirkurven og versionshistorikken i den gamle cloud. Skift de vigtigste adgangskoder, der stod i det, for du ved ikke, hvem der har set filen gennem årene.

Vær også opmærksom på passkeys (lektion 7.3). En passkey, der er gemt i din Google- eller Apple-konto, kan du ikke altid eksportere. Opret en ny passkey til de vigtige sider i din nye administrator, eller sørg for, at din adgangskode og dit andet trin er kendt, før du lukker den gamle konto.

Deling i et team

Nogle adgangskoder hører til organisationen, ikke til en person: banken, grossisten, kontiene på sociale medier, wifi. Brug en delt boks eller samling i administratoren til dem:

• Lav en boks pr. gruppe: "Butik", "Bogholderi", "Administration". Ikke alle behøver at se det hele.
• Del aldrig en adgangskode via chat eller mail. Heller ikke "lige hurtigt".
• Stopper nogen, så fjern personen fra de delte bokse, og skift de adgangskoder, personen havde adgang til og kan have husket eller kopieret.

Hovedadgangskoden og den dag, det går galt

Hovedadgangskoden er den eneste nøgle. Vælg en lang sætning med fire til seks tilfældige ord, som du ikke bruger andre steder. Slå også totrinsbekræftelse (2FA) til på selve administratoren.

Sørg for gendannelse på forhånd:

• Opbevar den gendannelsesnøgle eller nødadgang, som din administrator tilbyder, på papir et sikkert sted.
• Aftal for organisationen, hvem der får adgang, hvis ejeren dør eller er syg i længere tid. Mange administratorer har en funktion til nødadgang.
• Backupkoderne til dine vigtigste konti hører også til her, eller på papir (lektion 7.3). Ikke i en boks, du kun kan komme ind i med netop de konti.

I praksis: sådan ser det ud hos en udbyder

I en WebOké Nextcloud er der ingen separat adgangskodeadministrator; du bruger en selvstændig adgangskodeadministrator ved siden af din cloud, som Proton Pass eller 1Password. Vejledningen Adgangskodeadministrator i praksis forklarer de to trin for trin: opret konto, installér, flyt over, del og nødadgang. Vejledningen om sikkerheden i WebOké Nextcloud anbefaler selv en adgangskodeadministrator og nævner den som et godt sted til dine backupkoder.

Hos andre europæiske cloudtjenester fungerer det på samme måde: adgangskodeadministratoren er som regel en selvstændig tjeneste eller app ved siden af din cloud.

Opsummering

• Adgangskoder i browseren på din gamle konto forsvinder, når du lukker kontoen. Flyt dem på forhånd.
• En adgangskodeadministrator krypterer på din egen enhed; hovedadgangskoden er den eneste nøgle.
• En csv-eksport er ukrypteret: aldrig i en synkroniseret mappe, importér med det samme, slet med det samme.
• Brug delte bokse pr. gruppe til organisationens adgangskoder, og skift dem, når nogen stopper.
• Sørg for gendannelse og nødadgang på forhånd, på papir.

Quiz

Opgave

Opgave E7.4: Overblik over adgangskoder og plan for flytning. Find ud af, hvor adgangskoderne i din organisation ligger nu (browser pr. person, regneark, sedler, delte konti), vælg en adgangskodeadministrator ud fra de fem spørgsmål fra lektion 2.1, og skriv planen for flytningen: hvem eksporterer hvad, på hvilken computer, hvornår csv-filen slettes, og hvilke delte bokse der skal oprettes.

Videre læsning

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på samme måde.

• Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
• Nextcloud-vejledning 3.3: En authenticator-app indstille og backup-koder gemme
• NCSC (det nederlandske Nationaal Cyber Security Centrum), Beginnen met cybersecurity (på nederlandsk): https://www.ncsc.nl/beginnen-met-cybersecurity
• Password manager og passkeys: sådan logger du sikkert ind
• Adgangskodeadministrator i praksis 4.1: Importér adgangskoder fra Chrome, Edge, Firefox og Safari
• Adgangskodeadministrator i praksis 4.2: Skift fra LastPass, Bitwarden eller en anden manager
• Adgangskodeadministrator i praksis 1.4: Alle kendte password managers sammenlignet: land, funktioner, anmeldelser og scores