Välja och använda en lösenordshanterare

Modul 2: Lösenord och inloggning · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du välja och ställa in en lösenordshanterare, skydda huvudlösenordet och dela lösenord säkert i ett team.

Nyckelbegrepp: lösenordshanterare, huvudlösenord, valv, end-to-end-kryptering, delat valv, nödåtkomst, lösenordshanterare i webbläsaren

Vad en lösenordshanterare gör

I lektion 2.1 såg du att varje konto behöver ett eget, långt och slumpmässigt lösenord. Ingen kommer ihåg åttio sådana. En lösenordshanterare är programvara som gör det åt dig. Den:

skapar ett starkt, slumpmässigt lösenord för varje tjänst;
sparar alla lösenord krypterade i ett valv;
fyller i dem på rätt webbplats, och bara där;
varnar ofta för svaga, återanvända eller läckta lösenord;
kan i många produkter även spara koderna för tvåfaktorsautentisering (2FA) och lagra passkeys (lektion 2.3 och 2.4).

Du behöver bara komma ihåg ett enda: huvudlösenordet som öppnar valvet. Det nederländska NCSC rekommenderar en lösenordshanterare som fast grund, även för små organisationer, med tydliga överenskommelser om vilken hanterare ni använder och för vilka konton den är obligatorisk.

Typer av lösenordshanterare

Det finns inte en enda bästa typ. Det nederländska NCSC skiljer mellan hanteraren i webbläsaren, den fristående appen, och online (moln) jämfört med offline (lokalt). I praktiken stöter du på de här formerna:

Typ	Exempel på hur det fungerar	Fördelar	Nackdelar
Inbyggd i webbläsare eller operativsystem	Webbläsaren eller telefonen erbjuder sig att spara ett lösenord och fyller i det senare	Finns redan, enkel, synkar inom samma ekosystem	Ofta inget separat huvudlösenord: den som kommer in i din dator kommer åt dina lösenord; mindre lämplig mellan olika system och för delning i ett team
Fristående app med molnsynk	En separat app och webbläsartillägg på alla dina enheter, valvet krypterat hos leverantören	Fungerar på alla system, delade valv, administration för team, varningar	Du litar på leverantören; du behöver ett starkt huvudlösenord
Lokal (offline)	En krypterad valvfil på din egen dator	Du har full kontroll själv	Du sköter säkerhetskopia och synk själv; delning är krångligare
Öppen källkod, eventuellt egen drift	Koden kan granskas öppet; vissa kör du på din egen server	Granskningsbar, inget beroende av ett enda företag	Egen drift betyder att du själv uppdaterar, skyddar och säkerhetskopierar

Kända exempel på fristående hanterare är Proton Pass, 1Password, Bitwarden och KeePassXC, utöver de hanterare som finns i webbläsare och operativsystem. I guiden Lösenordshanterare i praktiken jämför vi 23 lösenordshanterare utifrån enkelhet, säkerhet och integritet (EU och GDPR), med företagets land, pris och recensioner (se Läs mer). Vårt råd där: Proton Pass, eller 1Password om du vill ha det allra enklaste. Är du osäker, välj utifrån frågorna nedan.

Frågor när du väljer

Fungerar den på alla dina enheter och webbläsare, även dina kollegors?
Kan du dela valv med behörigheter per mapp, och ta bort någon från ett valv igen?
Är valvet end-to-end-krypterat, och vad är krypterat och inte (till exempel webbplatsernas adresser)?
Kan du skydda valvet med tvåfaktorsautentisering (2FA) eller en passkey?
Finns det nödåtkomst eller en återställningslösning, och hur fungerar den exakt?
Kan du exportera dina uppgifter om du vill byta?
För gratisversioner: hur tjänar leverantören pengar?

End-to-end-kryptering: vad händer om leverantören hackas?

Hos en bra molnbaserad hanterare krypteras ditt valv på din enhet med en nyckel som härleds från ditt huvudlösenord. Leverantören får bara det krypterade paketet. Det kallas end-to-end-kryptering (ibland "zero knowledge"). Leverantören kan inte läsa dina lösenord och kan därför inte heller återställa ditt huvudlösenord åt dig.

Om leverantören hackas kan en angripare stjäla de krypterade valven. Sedan kan angriparen försöka knäcka dem offline, som i lektion 2.1. Ditt huvudlösenord är då ditt enda skydd. Därför:

Huvudlösenordet är långt och unikt: en lösenfras med minst fem, helst sex slumpmässiga ord.
Du använder det ingen annanstans.
Efter en läcka hos leverantören byter du huvudlösenord och lösenorden till dina viktigaste konton. Det gamla, stulna valvet är ju krypterat med det gamla huvudlösenordet.

Tvåfaktorsautentisering på valvet hjälper mot någon som har ditt huvudlösenord och vill logga in via webbplatsen. Den hjälper inte mot att någon knäcker en stulen valvfil. Det nederländska NCSC säger det också: 2FA på hanteraren är inget skäl till ett svagt huvudlösenord.

Skydda huvudlösenordet

Glömmer du huvudlösenordet är det hos en bra hanterare ofta borta för gott: leverantören kan inte ta fram det. Ordna därför detta i förväg:

Skriv ner huvudlösenordet på papper och förvara det på ett säkert ställe hemma. Det nederländska NCSC tycker att det är helt okej, så länge du inte skriver vad det gäller.
Skapa den återställningskit eller nödkod som hanteraren erbjuder, skriv ut den och förvara den tillsammans med papperet.
Skriv bara in huvudlösenordet i hanterarens egen app eller tillägg, aldrig på en webbplats som ber om det.
Aktivera automatisk låsning efter några minuters inaktivitet.

Varför automatisk ifyllning hjälper mot phishing

En lösenordshanterare kopplar varje lösenord till webbplatsens adress. På https://minbank.example fyller den i ditt lösenord. På en förväxlingsbar kopia som https://rninbank.example (rn i stället för m) eller https://minbank-saker.example gör den ingenting, eftersom de adresserna inte finns sparade i posten.

En människa ser ofta inte skillnaden mellan rn och m. Hanteraren jämför tecken och blir aldrig trött eller stressad. Det är ett verkligt skydd, men bara om du låter det fungera:

Fyller din hanterare plötsligt inte i något på en webbplats där den alltid har gjort det? Gå då inte runt det genom att kopiera lösenordet för hand. Titta först mycket noga på adressen. Det är precis i det ögonblicket som hanteraren varnar dig.

Ibland finns det också ett legitimt skäl till att den inte fyller i: en tjänst som har flyttat till en ny adress. Kontrollera det då på annat sätt, till exempel genom att själv skriva in adressen som du redan kände till.

Dela i ett team

I ett litet företag finns det alltid konton som ni använder tillsammans: webbutiken på ehandelsplattform.example, kontot hos budbilen.example, företagets sociala medier. Bäst är om alla har ett eget konto (modul 7). Går det inte, använd ett delat valv:

Skapa valv eller mappar per ämne ("Webbutik", "Ekonomi", "Sociala medier") och ge bara åtkomst till dem som behöver den.
Dela aldrig via mejl, chatt eller ett kalkylark. Den som har åtkomst till det delade valvet ser lösenordet där.
Slutar någon? Ta bort personen från valvet och byt de lösenord som personen kunde se. Att bara ta bort åtkomsten räcker inte: personen kan ha skrivit av eller sparat dem.
Ordna nödåtkomst: vad händer om du, ägaren, blir sjuk eller inte finns tillgänglig? Många hanterare har en funktion där en betrodd person får åtkomst efter en väntetid. Eller så förvarar du återställningsuppgifterna i ett förseglat kuvert hos en annan person.

I praktiken: byt på en eftermiddag

Välj en hanterare och installera den på dator och telefon, med webbläsartillägget.
Skapa ett huvudlösenord (lösenfras), skriv ner det och spara återställningskiten.
Aktivera tvåfaktorsautentisering på valvet.
Importera lösenord som din webbläsare redan har sparat. En export är ofta en okrypterad fil: radera den direkt efter importen, även från papperskorgen.
Börja med de viktigaste kontona och ge vart och ett ett nytt, slumpmässigt lösenord: din e-postlåda (info@example.com), ditt webbhotell (hosting) och din domänregistrering, din bank och din bokföring (till exempel på bokfora.example).
Uppdatera resten när du ändå loggar in. Varningarna för återanvända lösenord hjälper dig.

Använder du en tjänst i WebOké-miljön, till exempel en e-postlåda eller Nextcloud, med appar på telefonen? Då skapar du ibland ett separat applösenord (se kunskapsbanken, artikel 436). Även det sparar du i hanteraren, i rätt post. Hos andra leverantörer fungerar det på liknande sätt.

Sammanfattning

En lösenordshanterare skapar, sparar och fyller i unika lösenord; du kommer bara ihåg huvudlösenordet.
Typer: inbyggd i webbläsare eller system, fristående app med moln, lokal, öppen källkod eller egen drift. Välj utifrån enheter, delning, kryptering och återställning.
Med end-to-end-kryptering är ditt huvudlösenord det sista försvaret om leverantören hackas.
Fyller hanteraren inte i, titta på adressen i stället för att kopiera.
Dela via ett delat valv och byt lösenord när någon slutar.

Quiz

Uppgift

Uppgift D2.2: Ställa in din lösenordshanterare. Välj en lösenordshanterare, skapa ett huvudlösenord och en återställningskit, aktivera tvåfaktorsautentisering på valvet och ge dina fem viktigaste konton ett nytt, unikt lösenord. Bocka av checklistan och svara på reflektionsfrågorna. Du skriver inte in något lösenord någonstans.

Uppgift D2.2: Ställa in din lösenordshanterare

Så här gör du: (1) Välj en typ av lösenordshanterare (inbyggd, fristående app med moln, lokal, öppen källkod eller egen drift) utifrån frågorna i lektion 2.2. (2) Installera den på din dator och telefon, med webbläsartillägget. (3) Skapa ett huvudlösenord: en lösenfras med minst fem, helst sex slumpmässiga ord. Skriv ner det på papper och förvara det hemma på en säker plats, tillsammans med återställningskitet eller nödkoden för hanteraren. (4) Aktivera tvåfaktorsautentisering (2FA) för valvet. (5) Importera befintliga lösenord från din webbläsare och ta bort exportfilen direkt, även från papperskorgen. (6) Ge dina fem viktigaste konton ett nytt, slumpmässigt lösenord på minst 15 tecken: e-post, webbhotell (hosting) eller domänregistrering, bank, bokföring, och det konto som resten beror på. (7) Arbetar du med andra: skapa ett delat valv för delade konton och lägg bara till de personer som behöver dem.

Lösenordshanterare vald och installerad på alla mina enheter
Huvudlösenordet är en lösenfras och används ingen annanstans
Huvudlösenord och återställningskit förvaras på papper på en säker plats
Tvåfaktorsautentisering (2FA) är aktiverad för valvet
Exportfilen borttagen efter import
De fem viktigaste kontona har ett nytt, unikt lösenord
Automatisk låsning är aktiverad
(team) Delat valv med endast de personer som behöver det

Varför valde du den här typen av hanterare, och vad är för dig den största nackdelen med den?

Vem kommer åt dina lösenord om du blir borta en månad från imorgon, och hur har du ordnat det?

Vid vilket konto fyllde hanteraren inte i automatiskt, och vad kontrollerade du då?

Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.

Läs mer

Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

Cookies på WebOké

Cookieinställningar

Nödvändiga

Marknadsföring