Vad ett starkt lösenord egentligen är

Modul 2: Lösenord och inloggning · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du förklara varför längd och unikhet är viktigare än konstiga tecken, och vad den aktuella NIST-riktlinjen säger om lösenord.

Nyckelbegrepp: längd, entropi, lösenordsfras, ordlisteattack, brute force, återanvändning, tvingat byte

Hur ett lösenord knäcks

När man tänker på "att knäcka ett lösenord" tänker många på någon som sitter och gissar på din inloggningssida. Det förekommer, men det är inte det största hotet. En bra inloggningssida bromsar efter ett antal felaktiga försök eller blockerar tillfälligt. Att gissa via "framdörren" går alltså långsamt.

Farligare är offline-knäckning. En webbplats sparar (om det görs rätt) inte ditt lösenord i sig, utan en hash: en sorts fingeravtryck som du inte direkt kan räkna tillbaka till lösenordet. Läcker en webbutiks databas har angriparen dessa fingeravtryck på sina egna datorer. Där finns ingen broms. Han provar så många lösenord som hans utrustning klarar av och jämför varje resultat med det läckta fingeravtrycket.

Han använder då två metoder:

• Ordlisteattack: först allt som folk ofta väljer. Listor med miljontals riktiga lösenord från tidigare läckor, ord från ordböcker, namn, platser, årtal. Med fasta regler på det: stor bokstav först, årtal sist, utropstecken på slutet, a blir @, o blir 0.
• Brute force: därefter alla möjliga teckenkombinationer, från kort till lång.

Ett lösenord som Sommar2026! ser starkt ut: stor bokstav, siffror, skiljetecken, tio tecken. Men det är precis det mönster som finns i de där reglerna: ett ord, ett årtal, ett tecken. Ett sådant lösenord faller i första rundan, långt innan brute force ens börjar.

Längd slår konstiga tecken

Hur starkt ett lösenord är beror på hur många möjligheter en angripare måste prova. Det räknar du ut så här: antal möjliga tecken upphöjt till längden.

På ett vanligt tangentbord finns det 95 tecken du kan skriva (stora och små bokstäver, siffror, skiljetecken och mellanslag). Ett slumpmässigt lösenord på 8 tecken har då 95 upphöjt till 8 möjligheter: ungefär 6,63 × 10^15. Det låter mycket, men med snabb utrustning och ett svagt sätt att spara lösenord är det genomsökt inom några dagar.

Varje extra tecken multiplicerar antalet med 95. En extra teckentyp (till exempel att lägga till skiljetecken till enbart bokstäver) multiplicerar basen bara lite. Därför ger längd mycket mer än komplexitet.

Den sista kolumnen är entropi: ett mått på hur oförutsägbart något är, uttryckt i bitar. På vanlig svenska: varje extra bit fördubblar angriparens arbete. Ett lösenord på 65 bitar kostar alltså inte lite mer, utan ungefär 4 000 gånger mer arbete än ett på 53 bitar.

Viktigt: dessa siffror gäller bara om lösenordet är verkligt slumpmässigt valt. Ett lösenord som du själv hittar på är nästan aldrig slumpmässigt. Bageri2026! har tretton tecken, men följer ett mönster som finns i varje knäckningslista.

Lösenordsfrasen

En lösenordsfras är ett lösenord som består av flera fristående ord, till exempel fem eller sex. Fördelen: lång, men ändå lätt att komma ihåg och skriva. Det nederländska NCSC rekommenderar att välja fyra till sex ord som inte har något med varandra att göra, och säger att en lång fras med bara gemener är säkrare än ett kort lösenord med alla typer av tecken.

En lösenordsfras är bara stark om orden är slumpmässigt valda:

• Bra: en generator (i din lösenordshanterare) eller tärningar med en ordlista. Den kända metoden med fem tärningar använder en lista på 7 776 ord, eftersom 6 upphöjt till 5 blir exakt 7 776. Upphovsmakarna till en sådan lista rekommenderar sex ord för de flesta tillämpningar.
• Fel: en känd fras, en sångtext, ett ordspråk eller något om dig själv. jagälskarminhundbobby är lång, men orden hänger ihop och går att gissa för den som känner dig eller läser dina sociala medier.

En lösenordsfras är fortfarande ett lösenord. Du använder det på ett enda ställe och delar det inte.

Unikt är viktigare än komplicerat

Det starkaste lösenordet hjälper inte om du använder det på tjugo ställen. I lektion 1.4 såg du credential stuffing: en läckt kombination av e-postadress och lösenord provas automatiskt mot e-post, bokföring, webbutiker och sociala medier. Läcker det hos den svagaste av de tjugo tjänsterna, är alla tjugo öppna.

Återanvändning är därför den största svagheten i praktiken. Och "lite varianter" räknas inte som unikt. Example!Mail och Example!Shop går för en angripare med ett läckt lösenord att gissa på några försök.

Lösningen är inte att memorera, utan att spara: en lösenordshanterare skapar ett långt, slumpmässigt lösenord för varje tjänst och kommer ihåg det åt dig. Det är lektion 2.2. Du behöver då bara komma ihåg ett fåtal saker: huvudlösenordet till hanteraren och eventuellt lösenordet till din dator.

Vad NIST-riktlinjen säger

Amerikanska NIST (National Institute of Standards and Technology) publicerar den mest kända riktlinjen för inloggning: SP 800-63B. Den fjärde versionen blev slutgiltig den 31 juli 2025. Många organisationer världen över följer den. De viktigaste punkterna för lösenord:

• Är lösenordet den enda inloggningsmetoden, ska det vara minst 15 tecken. Är det en del av tvåfaktorsautentisering (2FA), räcker minst 8.
• En tjänst måste tillåta lösenord på minst 64 tecken.
• Inga sammansättningsregler: en tjänst får inte kräva "minst en stor bokstav, en siffra och ett skiljetecken".
• Inget periodiskt tvångsbyte. Byt bara om det finns en indikation på att lösenordet har läckt.
• Nya lösenord ska kontrolleras mot en lista med vanliga och läckta lösenord.
• Tillåt klistra in och lösenordshanterare.
• Inga säkerhetsfrågor ("ditt första husdjurs namn") och inga lösenordstips.

Varför tvingat byte inte längre rekommenderas

I åratal var man på jobbet tvungen att välja ett nytt lösenord var tredje månad. Tanken: ett stulet lösenord fungerar då bara en kort tid. I praktiken gör folk så här: Sommar2026! blir Höst2026!, sedan Vinter2026!. En angripare med det gamla lösenordet gissar det nya på några försök. Och den som ständigt måste hitta på ett nytt lösenord väljer kortare och skriver upp dem på en lapp.

Tvingat byte gör alltså lösenorden mer förutsägbara. Däremot byter du genast om det finns en anledning: en läckvarning, en märklig inloggning, en kollega som slutar och kände till lösenordet, eller om du råkat fylla i det någon annanstans.

I praktiken: en lösenordspolicy på en A4-sida

För ett litet företag som Bageri Example räcker en kort policy:

1. Varje konto har ett eget, personligt lösenord. Ingen delad inloggning för info@example.com där fem personer känner till lösenordet.
2. Lösenord skapas av lösenordshanteraren: slumpmässiga, minst 15 tecken, eller en lösenordsfras på minst fem slumpmässiga ord som du måste skriva in manuellt.
3. Aldrig samma lösenord på två ställen.
4. Tvåfaktorsautentisering (2FA) på för e-post, bokföring, bank, webbhotell och domänregistrering (lektion 2.3).
5. Byt bara av en anledning, och gör det då genast.
6. Lösenord skickas aldrig via mejl, chatt eller på en lapp vid skärmen.

Även din webbhotellpanel följer denna linje. I WebOkés miljö kan du till exempel låta systemet skapa ett slumpmässigt lösenord för DA-lösenordet och för e-postkonton; i andra paneler heter den knappen ofta "Genereraö; eller "Generate". Låt en sådan generator alltid skapa minst 15 tecken; ofta kan du själv välja längden.

Sammanfattning

• Angripare knäcker främst offline, efter en läcka, med listor och regler. Förutsägbara mönster faller omedelbart.
• Längd och verklig slumpmässighet ger mycket mer än konstiga tecken. Varje bit entropi fördubblar angriparens arbete.
• En lösenordsfras med slumpmässigt valda ord är lång men ändå lätt att komma ihåg.
• Unikt är viktigare än komplicerat: återanvändning gör en läcka till tjugo läckor.
• NIST SP 800-63B-4: minst 15 tecken som enda faktor, inga sammansättningsregler, inget periodiskt byte, men kontroll mot läckta lösenord.

Quiz

Uppgift

Uppgift A2.1: Räkna och bedöma. Du fyller aldrig i ett eget lösenord. Del 1: räkna ut hur många möjligheter en lösenordsfras och ett slumpmässigt lösenord har (du får antalet ord och tecken), vilket av de två som är starkast och hur många gånger. Del 2: bedöm sex påhittade exempellösenord: förutsägbart, för kort, återanvänt eller starkt. Programmet rättar och ger en förklaring till varje svar.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 3.7: Säkra lösenord och vad du gör vid ett läckt lösenord
• Hur ändrar jag lösenordet eller gränserna för min e-postadress?
• Nederländska NCSC, Tips för att komma på ett starkt lösenord: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nederländska NCSC, Fyra steg för att göra dina lösenord säkrare: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (engelska): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (engelska, ordlistan med tärningar): https://www.eff.org/dice