Velge og bruke en passordbehandler

Modul 2: Passord og innlogging · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du velge og sette opp en passordbehandler, beskytte hovedpassordet og dele passord trygt i et team.

Nøkkelbegreper: passordbehandler, hovedpassord, hvelv, ende-til-ende-kryptering, delt hvelv, nødtilgang, passordbehandler i nettleseren

Hva en passordbehandler gjør

I leksjon 2.1 så du at hver konto trenger sitt eget lange og tilfeldige passord. Ingen husker åtti av dem. En passordbehandler er programvare som gjør det for deg. Den:

• lager et sterkt, tilfeldig passord for hver tjeneste;
• lagrer alle passordene kryptert i et hvelv;
• fyller dem inn på riktig nettside, og bare der;
• varsler ofte om svake, gjenbrukte eller lekkede passord;
• kan i mange produkter også lagre kodene for tofaktorautentisering (2FA) og passkeys (leksjon 2.3 og 2.4).

Du trenger bare å huske ett: hovedpassordet som åpner hvelvet. Det nederlandske NCSC anbefaler en passordbehandler som fast grunnmur, også for små virksomheter, med klare avtaler om hvilken passordbehandler dere bruker og for hvilke kontoer den er obligatorisk.

Typer passordbehandlere

Det finnes ikke én beste type. Det nederlandske NCSC skiller mellom passordbehandleren i nettleseren, den frittstående appen, og nettbasert (sky) mot frakoblet (lokalt). I praksis møter du disse formene:

Kjente eksempler på frittstående passordbehandlere er Proton Pass, 1Password, Bitwarden og KeePassXC, i tillegg til de som er innebygd i nettlesere og operativsystemer. I veiledningen Passordbehandler i praksis sammenligner vi 23 passordbehandlere på brukervennlighet, sikkerhet og personvern (EU og GDPR), med selskapets land, pris og anmeldelser (se Les mer). Vårt råd der: Proton Pass, eller 1Password hvis du vil ha det aller enkleste. Er du usikker, velg ut fra spørsmålene nedenfor.

Spørsmål når du velger

• Fungerer den på alle enhetene og nettleserne dine, også kollegenes?
• Kan du dele hvelv med rettigheter per mappe, og fjerne noen fra et hvelv igjen?
• Er hvelvet ende-til-ende-kryptert, og hva er og er ikke kryptert (for eksempel nettstedsadressene)?
• Kan du sikre hvelvet med tofaktorautentisering eller en passkey?
• Finnes det nødtilgang eller en gjenopprettingsordning, og hvordan fungerer den nøyaktig?
• Kan du eksportere dataene dine hvis du vil bytte?
• For gratisversjoner: hva er forretningsmodellen?

Ende-til-ende-kryptering: hva om leverandøren blir hacket?

I en god skybasert passordbehandler krypteres hvelvet på din enhet med en nøkkel som utledes fra hovedpassordet ditt. Leverandøren får bare den krypterte pakken. Dette kalles ende-til-ende-kryptering (noen ganger "zero knowledge"). Leverandøren kan ikke lese passordene dine, og kan derfor heller ikke tilbakestille hovedpassordet for deg.

Blir leverandøren hacket, kan en angriper stjele de krypterte hvelvene. Han kan da prøve å knekke dem frakoblet, som i leksjon 2.1. Hovedpassordet ditt er da din eneste beskyttelse. Derfor:

• Hovedpassordet er langt og unikt: en passordfrase på minst fem, helst seks tilfeldige ord.
• Du bruker det ingen andre steder.
• Etter en lekkasje hos leverandøren endrer du hovedpassordet og passordene til de viktigste kontoene dine. Det gamle, stjålne hvelvet er jo kryptert med det gamle hovedpassordet.

Tofaktorautentisering på hvelvet hjelper mot noen som har hovedpassordet ditt og vil logge inn via nettsiden. Det hjelper ikke mot knekking av en stjålet hvelvfil. Det nederlandske NCSC sier det også: 2FA på passordbehandleren er ingen grunn til et svakt hovedpassord.

Beskytte hovedpassordet

Glemmer du hovedpassordet i en god passordbehandler, er det ofte endelig: leverandøren kan ikke hente det fram. Ordne dette på forhånd:

• Skriv hovedpassordet på papir og oppbevar det på et trygt sted hjemme. Det nederlandske NCSC mener det er helt greit, så lenge du ikke skriver hva det gjelder.
• Lag gjenopprettingssettet eller nødkoden som passordbehandleren tilbyr, skriv det ut og oppbevar det sammen med papiret.
• Skriv hovedpassordet bare inn i appen eller utvidelsen til selve passordbehandleren, aldri på en nettside som ber om det.
• Slå på automatisk låsing etter noen minutter uten aktivitet.

Hvorfor automatisk utfylling hjelper mot phishing

En passordbehandler knytter hvert passord til nettstedets adresse. På https://minbank.example fyller den inn passordet ditt. På en etterligning som https://rninbank.example (rn i stedet for m) eller https://minbank-sikker.example gjør den ingenting, fordi de adressene ikke står på oppføringen.

Et menneske ser ofte ikke forskjellen mellom rn og m. Passordbehandleren sammenligner tegn og blir verken sliten eller stresset. Det er en ekte sikring, men bare hvis du lar den virke:

Fyller passordbehandleren plutselig ikke inn noe på et nettsted der den alltid har gjort det? Ikke gå rundt det ved å kopiere passordet manuelt. Se først nøye på adressen. Dette er nettopp øyeblikket der passordbehandleren advarer deg.

Noen ganger finnes det også en god grunn til at den ikke fyller inn: en tjeneste som har flyttet til en ny adresse. Kontroller det da på en annen måte, for eksempel ved å skrive inn adressen du allerede kjente, selv.

Deling i et team

I en liten bedrift finnes det alltid kontoer dere bruker sammen: nettbutikken på nettbutikkplattform.example, kontoen hos postkurir.example, bedriftens sosiale medier. Det beste er at alle har sin egen konto (modul 7). Går ikke det, bruk et delt hvelv:

• Lag hvelv eller mapper per tema ("Nettbutikk", "Økonomi", "Sosiale medier") og gi bare tilgang til dem som trenger det.
• Del aldri via e-post, chat eller et regneark. Den som har tilgang til det delte hvelvet, ser passordet der.
• Slutter noen? Fjern personen fra hvelvet og endre passordene vedkommende kunne se. Bare å fjerne fra hvelvet er ikke nok: personen kan ha skrevet dem av eller lagret dem.
• Ordne nødtilgang: hva skjer hvis du, eieren, blir syk eller faller bort? Mange passordbehandlere har en funksjon der en betrodd person får tilgang etter en ventetid. Eller du oppbevarer gjenopprettingsinformasjonen i en forseglet konvolutt hos en annen person.

I praksis: bytt på én ettermiddag

1. Velg en passordbehandler og installer den på datamaskin og telefon, med nettleserutvidelsen.
2. Lag et hovedpassord (passordfrase), skriv det ned, ta vare på gjenopprettingssettet.
3. Slå på tofaktorautentisering på hvelvet.
4. Importer passord som nettleseren din allerede har lagret. En eksport er ofte en ukryptert fil: slett den rett etter importen, også fra papirkurven.
5. Begynn med de viktigste kontoene og gi hver et nytt, tilfeldig passord: e-postkontoen din (info@example.com), webhotellet (hosting) og domeneregistreringen, banken og regnskapet ditt (for eksempel på bokfor.example).
6. Oppdater resten når du likevel logger inn. Varslene om gjenbrukte passord hjelper deg.

Bruker du en tjeneste i WebOké-miljøet, som en e-postkonto eller Nextcloud, med apper på telefonen? Da lager du noen ganger et eget app-passord (se kunnskapsbasen, artikkel 436). Det lagrer du også i passordbehandleren, på riktig oppføring. Hos andre leverandører fungerer det på lignende måte.

Oppsummering

• En passordbehandler lager, lagrer og fyller inn unike passord; du husker bare hovedpassordet.
• Typer: innebygd i nettleser eller system, frittstående app med sky, lokal, åpen kildekode eller selvdriftet. Velg ut fra enheter, deling, kryptering og gjenoppretting.
• Med ende-til-ende-kryptering er hovedpassordet ditt det siste forsvaret hvis leverandøren blir hacket.
• Fyller ikke passordbehandleren inn, se på adressen i stedet for å kopiere.
• Del via et delt hvelv og endre passord når noen slutter.

Quiz

Oppgave

Oppgave D2.2: Sette opp passordbehandleren din. Velg en passordbehandler, lag et hovedpassord og et gjenopprettingssett, slå på tofaktorautentisering på hvelvet og gi de fem viktigste kontoene dine et nytt, unikt passord. Kryss av sjekklisten og svar på refleksjonsspørsmålene. Du skriver ikke inn passord noe sted.

Les mer

Trinnene i WebOké-artiklene gjelder for WebOké-miljøet; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• Opprett app-passord (trengs for å koble til apper og enheter)
• Nextcloud-veiledning 3.5: App-passord: når og hvordan
• Nasjonal sikkerhetsmyndighet (NSM), råd om digital sikkerhet: https://nsm.no/
• ENISA, EUs byrå for cybersikkerhet: https://www.enisa.europa.eu/
• Passordbehandler og passkeys: slik logger du inn trygt
• Passordbehandler i praksis 1.1: Hvorfor en passordbehandler, og hva denne veiledningen lærer deg
• Passordbehandler i praksis 1.2: Proton Pass, 1Password eller nettleseren: hva passer for deg?
• Passordbehandler i praksis 1.3: Hovedpassordet ditt: lag det, ta vare på det og mist det aldri
• Passordbehandler i praksis 1.4: Alle kjente passordbehandlere sammenlignet: land, funksjoner, anmeldelser og poeng