Flytte passord til en passordbehandler

Modul 7: Samarbeid, apper og sikkerhet · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du flytte passord trygt fra nettleseren, lapper og regneark til en passordbehandler som passer med det nye oppsettet ditt, inkludert delte hvelv for teamet.

Nøkkelbegreper: passordbehandler, hvelv, hovedpassord, gjenopprettingsnøkkel, passord i nettleseren (Google, Edge, Apple), eksport som csv, delt hvelv eller samling, egen drift (selvhosting), åpen kildekode, kryptering på din egen enhet (zero-knowledge), lagre passnøkler

Den glemte delen

I nesten alle kartlegginger mangler passordene. De ligger ikke i en skytjeneste du sier opp, så ingen tenker på dem. Likevel står de ofte midt i det hele. Hos Bakkerij De Korrel viser det seg etter en runde at:

de fleste passordene ligger i Chrome, lagret i Google-kontoen til hver person;
passordene til banken, grossisten og nettbutikken står i et regneark wachtwoorden.xlsx i Google Drive;
wifi-passordet og koden til alarmen henger på en lapp;
to kolleger bruker samme passord overalt.

Hvis Google-kontoen forsvinner, forsvinner passordene i Chrome også. Og et regneark med passord i skyen er noe av det første en inntrenger leter etter. En overgang er derfor det riktige tidspunktet å ordne dette.

Hva en passordbehandler gjør

En passordbehandler er et kryptert hvelv for passord, med en app på telefon og datamaskin og en utvidelse i nettleseren. Du husker ett sterkt hovedpassord. Behandleren lager et langt, unikt passord for hvert nettsted og fyller det inn for deg.

Det viktige er hvor krypteringen skjer. Hos de kjente passordbehandlerne krypteres hvelvet på din egen enhet med en nøkkel som er avledet av hovedpassordet ditt. Leverandøren lagrer bare det krypterte hvelvet og kan ikke lese passordene dine. Dette kalles ofte "zero-knowledge". Følgen er: glemmer du hovedpassordet og har ingen gjenopprettingsnøkkel, kan heller ikke leverandøren hjelpe deg.

En god passordbehandler fyller også bare inn på den ekte adressen. Et falskt nettsted som etterligner banken din får altså ingenting, selv om det ser helt likt ut. Det gir ekstra beskyttelse mot phishing.

Hvilke typer finnes?

Type	Eksempler	Bak programvaren	Vær oppmerksom på
Lokal fil, ingen tjeneste	KeePassXC (og andre KeePass-programmer)	Fellesskapsprosjekt med åpen kildekode	Du lagrer og synkroniserer hvelvfilen selv, for eksempel i den nye skyen din. Deling i et team er vanskeligere
Tjeneste, åpen kildekode, kan også driftes selv	Bitwarden	Bitwarden Inc., et amerikansk selskap. Tilbyr også datalagring i EU; serveren kan du også kjøre selv	Med skytjenesten forblir leverandøren amerikansk, også med lagring i EU (leksjon 2.1). Egen drift fjerner det
Tjeneste, åpen kildekode, rettet mot team	Passbolt	Passbolt SA, Luxembourg	Sterk på deling per gruppe; egen drift eller som tjeneste
Tjeneste fra en europeisk personvernleverandør	Proton Pass	Proton AG, Sveits (ikke EU, men med en beslutning om tilstrekkelig beskyttelsesnivå). Servere i Sveits, Tyskland og Norge	Romslig gratisversjon, fungerer på alle enhetene dine. Passer godt hvis du allerede bruker andre Proton-tjenester
Tjeneste med EU-region, ikke amerikansk	1Password	AgileBits, Kanada (med en beslutning om tilstrekkelig beskyttelsesnivå). Med en konto på 1password.eu ligger hvelvet ditt i EU	Svært enkel i bruk, ingen gratisversjon
Innebygd i nettleser eller operativsystem	Google Passordbehandling, Edge, Apple Passord	Google, Microsoft, Apple (USA)	Praktisk, men knyttet til den kontoen og det økosystemet

Vårt råd for de fleste og for små bedrifter: Proton Pass, eller 1Password med en konto på 1password.eu hvis du vil ha det aller enkleste. Begge fungerer på Mac, Windows-PC, telefon og i alle nettlesere, og begge har delte hvelv for team. Bitwarden er fortsatt et amerikansk selskap, også med lagring i EU. KeePassXC fungerer bare på datamaskiner; på telefonen trenger du en annen app. I veiledningen Passordbehandler i praksis sammenligner vi 23 passordbehandlere på brukervennlighet, sikkerhet og EU/GDPR (se Les mer). Bruk de fem spørsmålene fra leksjon 2.1 (etablering, eier, datasenter, underdatabehandlere, nøkkel) også her. For en passordbehandler veier det siste spørsmålet tyngst: hvem har nøkkelen? Er det bare du, betyr det mindre hvor det krypterte hvelvet ligger enn for vanlige filer.

Overføring: eksport, import og slett med en gang

Nesten alle nettlesere og passordbehandlere kan eksportere passord som csv-fil. Det er en vanlig tekstfil med et nettsted, brukernavn og passord på hver linje, ukryptert. Alle som åpner filen, kan lese alt. Derfor:

Gjør det på en datamaskin du stoler på, ikke på en delt datamaskin i butikken.
Eksporter til din egen datamaskin, ikke til en synkronisert mappe eller skyen. Ellers ligger den ukrypterte filen i løpet av få sekunder på serveren, i versjonene og i papirkurven.
Importer den med en gang i den nye passordbehandleren.
Sjekk med stikkprøver at alt stemmer (logg inn på noen nettsteder).
Slett csv-filen med en gang, og tøm også papirkurven på datamaskinen.
Slå deretter av lagring av passord i nettleseren, slik at det ikke oppstår en ekstra, utdatert kopi.

Regnearket med passord flytter du ved å legge inn opplysningene for hånd i passordbehandleren (eller importere som csv, med de samme reglene). Slett regnearket etterpå, også fra papirkurven og versjonshistorikken i den gamle skyen. Endre de viktigste passordene som sto i det, for du vet ikke hvem som har sett filen opp gjennom årene.

Vær også oppmerksom på passnøkler (leksjon 7.3). En passnøkkel som er lagret i Google- eller Apple-kontoen din, kan du ikke alltid eksportere. Lag en ny passnøkkel i den nye passordbehandleren for de viktige nettstedene, eller sørg for at du kjenner passordet og det andre trinnet, før du avslutter den gamle kontoen.

Deling i et team

Noen passord hører til organisasjonen, ikke til en person: banken, grossisten, kontoene i sosiale medier, wifi. Bruk et delt hvelv eller en samling i passordbehandleren til dette:

Lag ett hvelv per gruppe: "Butikk", "Regnskap", "Administrasjon". Ikke alle trenger å se alt.
Del aldri et passord via chat eller e-post. Heller ikke "bare raskt".
Når noen slutter, fjerner du vedkommende fra de delte hvelvene og endrer passordene vedkommende hadde tilgang til og kan ha husket eller kopiert.

Hovedpassordet og dagen det går galt

Hovedpassordet er den eneste nøkkelen. Velg en lang setning med fire til seks tilfeldige ord, som du ikke bruker noe annet sted. Slå også på tofaktorautentisering (2FA) i selve passordbehandleren.

Ordne gjenoppretting på forhånd:

Oppbevar gjenopprettingsnøkkelen eller nødtilgangen som passordbehandleren tilbyr på papir, på et trygt sted.
Avtal for organisasjonen hvem som får tilgang hvis eieren dør eller blir langvarig syk. Mange passordbehandlere har en funksjon for nødtilgang til dette.
Reservekodene til de viktigste kontoene dine hører også hjemme her, eller på papir (leksjon 7.3). Ikke i et hvelv du bare kommer inn i med de samme kontoene.

I praksis: slik ser det ut hos en leverandør

I en WebOké Nextcloud finnes det ingen egen passordbehandler; du bruker en frittstående passordbehandler ved siden av skyen, som Proton Pass eller 1Password. Veiledningen Passordbehandler i praksis forklarer disse to trinn for trinn: opprette konto, installere, flytte over, dele og nødtilgang. Veiledningen om sikkerheten i WebOké Nextcloud anbefaler også en passordbehandler, og nevner den som et godt sted for reservekodene dine.

Hos andre europeiske skytjenester fungerer det på lignende måte: passordbehandleren er som regel en egen tjeneste eller app ved siden av skyen.

Sammendrag

Passord i nettleseren til den gamle kontoen din forsvinner når du avslutter kontoen. Flytt dem over på forhånd.
En passordbehandler krypterer på din egen enhet; hovedpassordet er den eneste nøkkelen.
En csv-eksport er ukryptert: aldri i en synkronisert mappe, importer med en gang, slett med en gang.
Bruk delte hvelv per gruppe for organisasjonens passord, og endre dem når noen slutter.
Ordne gjenoppretting og nødtilgang på forhånd, på papir.

Quiz

Oppgave

Oppgave E7.4: Passord i kartlegging og overføringsplan. Finn ut hvor passordene i organisasjonen din ligger nå (nettleser per person, regneark, lapper, delte kontoer), velg en passordbehandler ved hjelp av de fem spørsmålene fra leksjon 2.1, og skriv overføringsplanen: hvem eksporterer hva, på hvilken datamaskin, når csv-filen slettes, og hvilke delte hvelv som skal opprettes.

Oppgave E7.4: Passord i kartlegging og overføringsplan

Finn alle steder med passord og overfør dem trygt til én passordbehandler. Lim aldri inn passord her.

csv importert.
Stikkprøve gjennomført.
csv og papirkurv tømt.
Lagring av passord i nettleseren slått av.
Regneark slettet, også fra versjoner og papirkurv i den gamle tjenesten.
Tofaktorautentisering på passordbehandleren slått på.

Hvor ligger passordene nå? (nettleser per person, regneark, lapper, delte kontoer)

Hvilken passordbehandler velger du, og hvordan svarer du for den på de fem spørsmålene?

Hvilke delte hvelv skal opprettes, og hvem får tilgang til hvilke?

På hvilken datamaskin gjør du eksporten, og hvordan sørger du for at csv-filen ikke havner i en synkronisert mappe?

Hvilke passord endrer du etter overføringen, og hvor oppbevarer du gjenopprettingsnøkkelen eller nødtilgangen?

Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.

Cookies hos WebOké

Cookie-innstillinger

Nødvendige

Markedsføring