Flytta lösenord till en lösenordshanterare

Modul 7: Samarbete, appar och säkerhet · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du flytta lösenord säkert från din webbläsare, lappar och kalkylblad till en lösenordshanterare som passar din nya uppsättning, inklusive delade valv för teamet.

Nyckelbegrepp: lösenordshanterare, valv, huvudlösenord, återställningsnyckel, lösenord i webbläsaren (Google, Edge, Apple), export som csv, delat valv eller kollektion, självhosta, öppen källkod, kryptering på din egen enhet (zero-knowledge), spara passkeys

Den bortglömda delen

I nästan varje inventering saknas lösenorden. De finns inte i en molntjänst du säger upp, så ingen tänker på dem. Ändå sitter de ofta mitt i. Hos Bakkerij De Korrel visar en rundfråga att:

• de flesta lösenorden finns i Chrome, sparade i personens Google-konto;
• lösenorden till banken, grossisten och webbshopen står i ett kalkylblad wachtwoorden.xlsx i Google Drive;
• wifi-lösenordet och larmkoden hänger på en lapp;
• två kollegor använder samma lösenord överallt.

Om Google-kontot försvinner, försvinner lösenorden i Chrome med det. Och ett kalkylblad med lösenord i molnet är en av de första sakerna en inbrottstjuv söker efter. Ett byte är alltså rätt tillfälle att lösa det här.

Vad en lösenordshanterare gör

En lösenordshanterare är ett krypterat valv för lösenord, med en app på telefon och dator och ett tillägg i webbläsaren. Du kommer ihåg ett starkt huvudlösenord; hanteraren skapar ett långt, unikt lösenord för varje webbplats och fyller i det åt dig.

Viktigt är var krypteringen sker. Hos de kända hanterarna krypteras valvet på din egen enhet med en nyckel som härleds från ditt huvudlösenord. Leverantören sparar bara det krypterade valvet och kan inte läsa dina lösenord. Det kallas ofta "zero-knowledge". Konsekvensen: glömmer du ditt huvudlösenord och har ingen återställningsnyckel, kan inte ens leverantören hjälpa dig.

En bra hanterare fyller också bara i på den riktiga adressen. En förfalskad sida från din bank får alltså ingenting, även om den ser exakt likadan ut. Det är ett extra skydd mot nätfiske.

Vilka typer finns det?

Det här är ingen rangordning. För en enskild firma kan KeePassXC med valvfilen i det egna molnet fungera fint. För ett team på tolv är en hanterare med delade valv smidigare. Använd de fem frågorna från lektion 2.1 (etablering, ägare, datacenter, underleverantörer, nyckel) även här. För en lösenordshanterare väger den sista frågan tyngst: vem har nyckeln? Är det bara du, spelar det mindre roll var det krypterade valvet finns än vid vanliga filer.

Flytta över: export, import och genast kasta bort

Nästan varje webbläsare och hanterare kan exportera lösenord som csv-fil. Det är en vanlig textfil med en webbplats, användarnamn och lösenord på varje rad, okrypterat. Vem som helst som öppnar filen kan läsa allt. Därför:

1. Gör det på en dator du litar på, inte på en delad butiksdator.
2. Exportera till din egen dator, inte till en synkad mapp eller molnet. Annars finns den okrypterade filen inom några sekunder på servern, i versionerna och i papperskorgen.
3. Importera den direkt till den nya hanteraren.
4. Kontrollera stickprovsvis att det stämmer (logga in på några webbplatser).
5. Ta bort csv-filen direkt och töm även datorns papperskorg.
6. Stäng sedan av lösenordssparning i webbläsaren, så att det inte uppstår en andra, föråldrad kopia.

Kalkylbladet med lösenord flyttar du över genom att lägga in uppgifterna för hand i hanteraren (eller importera som csv, med samma regler). Ta sedan bort kalkylbladet, även från papperskorgen och versionshistoriken i det gamla molnet. Ändra de viktigaste lösenorden som stod i det, för du vet inte vilka som har sett filen under årens lopp.

Tänk också på passkeys (lektion 7.3). En passkey som är sparad i ditt Google- eller Apple-konto kan du inte alltid exportera. Skapa en ny passkey för de viktiga webbplatserna i din nya hanterare, eller se till att lösenord och andra steget är kända, innan du avslutar det gamla kontot.

Dela i ett team

Vissa lösenord hör till organisationen, inte till en person: banken, grossisten, kontona i sociala medier, wifi. Använd ett delat valv eller kollektion i hanteraren för det:

• Skapa ett valv per grupp: "Butik", "Administration", "Drift". Alla behöver inte se allt.
• Dela aldrig ett lösenord via chatt eller mejl. Inte ens "bara snabbt".
• Slutar någon, ta bort personen från de delade valven och ändra lösenorden som personen kunde komma åt och kan ha kommit ihåg eller kopierat.

Huvudlösenordet och dagen det går fel

Huvudlösenordet är den enda nyckeln. Välj en lång mening med fyra till sex slumpmässiga ord som du inte använder någon annanstans. Slå också på tvåfaktorsautentisering (2FA) för själva hanteraren.

Ordna återställning i förväg:

• Spara återställningsnyckeln eller nödåtkomsten som din hanterare erbjuder på papper, på en säker plats.
• Kom överens för organisationen om vem som får åtkomst om ägaren avlider eller blir långvarigt sjuk. Många hanterare har en funktion för nödåtkomst.
• Backupkoderna för dina viktigaste konton hör också hemma här, eller på papper (lektion 7.3). Inte i ett valv du bara kommer åt med just de kontona.

I praktiken: så ser det ut hos en leverantör

I en WebOké Nextcloud finns ingen separat lösenordshanterare; du använder en lösenordshanterare du själv väljer. Använder du KeePassXC kan du lägga den krypterade valvfilen i din Nextcloud, så att den via skrivbordsappen finns på alla dina datorer och går att hämta tillbaka via versioner. Filen är då krypterad med ditt huvudlösenord innan den når servern. Handboken om säkerheten i WebOké Nextcloud rekommenderar själv också en lösenordshanterare, och nämner den som en bra plats för dina backupkoder.

Hos andra europeiska molntjänster fungerar det liknande: lösenordshanteraren är oftast en separat tjänst eller app vid sidan av ditt moln.

Sammanfattning

• Lösenord i webbläsaren på ditt gamla konto försvinner med om du avslutar det kontot. Flytta över dem i förväg.
• En lösenordshanterare krypterar på din egen enhet; huvudlösenordet är den enda nyckeln.
• En csv-export är okrypterad: aldrig i en synkad mapp, importera direkt, kasta bort direkt.
• Använd delade valv per grupp för organisationens lösenord, och ändra dem när någon slutar.
• Ordna återställning och nödåtkomst i förväg, på papper.

Quiz

Uppgift

Uppgift E7.4: Lösenord i kartläggning och flyttplan. Ta reda på var lösenorden i din organisation finns nu (webbläsare per person, kalkylblad, lappar, delade konton), välj en lösenordshanterare med de fem frågorna från lektion 2.1, och skriv flyttplanen: vem exporterar vad, på vilken dator, när csv-filen tas bort, och vilka delade valv som kommer att finnas.

Läs mer

Stegen i de här artiklarna gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
• Nextcloud-guide 3.3: En authenticator-app ställa in och reservkoder spara
• NCSC (det nederländska nationella cybersäkerhetscentret), Komma igång med cybersäkerhet: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/