Välja och använda lösenordshanterare

Modul 2: Lösenord och inloggning · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du välja och ställa in en lösenordshanterare, skydda huvudlösenordet och dela lösenord säkert i ett team.

Nyckelbegrepp: lösenordshanterare, huvudlösenord, valv, totalsträckskryptering, delat valv, nödåtkomst, webbläsarens lösenordshanterare

Vad en lösenordshanterare gör

I lektion 2.1 såg du att varje konto behöver ett eget, långt och slumpmässigt lösenord. Ingen kommer ihåg åttio stycken. En lösenordshanterare är programvara som gör det åt dig. Den:

• skapar ett starkt, slumpmässigt lösenord för varje tjänst;
• sparar alla lösenord krypterade i ett valv;
• fyller i dem på rätt webbplats, och bara där;
• varnar ofta för svaga, dubbla eller läckta lösenord;
• kan hos många produkter även spara koder för tvåfaktorsautentisering och lagra passkeys (lektion 2.3 och 2.4).

Du behöver bara komma ihåg en enda sak: huvudlösenordet som du öppnar valvet med. Det nederländska NCSC rekommenderar en lösenordshanterare som fast grund, även för små organisationer, med tydliga regler för vilken hanterare du använder och för vilka konton den är obligatorisk.

Typer av lösenordshanterare

Det finns ingen enda bästa typ. Det nederländska NCSC skiljer mellan hanteraren i webbläsaren, den fristående appen, samt online (moln) jämfört med offline (lokalt). I praktiken stöter du på dessa former:

Kända exempel på fristående hanterare är Bitwarden, 1Password, KeePassXC och Proton Pass, utöver de hanterare som finns inbyggda i webbläsare och operativsystem. Detta är ingen rekommendation: välj utifrån frågorna nedan.

Frågor att ställa vid valet

• Fungerar den på alla dina enheter och webbläsare, även dina kollegors?
• Kan du dela valv med rättigheter per mapp, och ta bort någon från ett valv igen?
• Är valvet totalsträckskrypterat, och vad sparas krypterat respektive okrypterat (till exempel webbplatsadresserna)?
• Kan du skydda valvet med tvåfaktorsautentisering eller en passkey?
• Finns det nödåtkomst eller en återställningslösning, och hur fungerar den exakt?
• Kan du exportera dina uppgifter om du vill byta leverantör?
• Vid gratisversioner: vad är intäktsmodellen?

Totalsträckskryptering: vad händer om leverantören blir hackad?

Hos en bra molnhanterare krypteras ditt valv på din egen enhet med en nyckel som härleds från ditt huvudlösenord. Leverantören får bara det krypterade paketet. Det kallas totalsträckskryptering (ibland "zero knowledge"). Leverantören kan inte läsa dina lösenord, och kan därför inte heller återställa ditt huvudlösenord åt dig.

Blir leverantören hackad kan en angripare stjäla de krypterade valven. De kan då försöka knäcka dem offline, som i lektion 2.1. Ditt huvudlösenord är i det ögonblicket ditt enda skydd. Därför:

• Huvudlösenordet är långt och unikt: en lösenfras på minst fem, helst sex slumpmässiga ord.
• Du använder det ingen annanstans.
• Efter ett läckage hos leverantören byter du både huvudlösenordet och lösenorden för dina viktigaste konton. Det gamla, stulna valvet är ju krypterat med det gamla huvudlösenordet.

Tvåfaktorsautentisering på valvet hjälper mot någon som har ditt huvudlösenord och vill logga in via webbplatsen. Det hjälper inte mot att knäcka en stulen valvfil. Det nederländska NCSC säger det också: 2FA på hanteraren är ingen ursäkt för ett svagt huvudlösenord.

Att skydda huvudlösenordet

Att glömma huvudlösenordet är hos en bra hanterare ofta definitivt: leverantören kan inte återställa det. Ordna därför detta i förväg:

• Skriv ner huvudlösenordet på papper och förvara det hemma på en säker plats. Det nederländska NCSC tycker det är helt okej, så länge du inte skriver vad det är till.
• Skapa återställningssatsen eller nödkoden som din hanterare erbjuder, skriv ut den och förvara den tillsammans med papperet.
• Skriv bara in huvudlösenordet i appen eller tillägget för hanteraren själv, aldrig på en webbplats som frågar efter det.
• Aktivera automatisk låsning efter några minuters inaktivitet.

Varför automatisk ifyllning hjälper mot phishing

En lösenordshanterare kopplar varje lösenord till webbplatsens adress. På https://mijnbank.example fyller den i ditt lösenord. På en efterlikning som https://rnijnbank.example (rn istället för m) eller https://mijnbank-veilig.example gör den ingenting, eftersom de adresserna inte finns sparade vid posten.

En människa ser ofta inte skillnaden mellan rn och m. Hanteraren jämför tecken och blir varken trött eller stressad. Det är ett verkligt skydd, men bara om du låter den göra sitt jobb:

Fyller din hanterare plötsligt inte i något på en sida där det alltid brukat fungera? Gå då inte runt det genom att kopiera lösenordet för hand. Titta först noga på adressen. Det här är precis ögonblicket då hanteraren varnar dig.

Ibland finns det en god anledning till att den inte fyller i: en tjänst som har flyttat till en ny adress. Kontrollera det då på ett annat sätt, till exempel genom att själv skriva in adressen du redan kände till.

Dela i ett team

I ett litet företag finns det alltid konton som ni använder tillsammans: webbutiken på webwinkelplatform.example, kontot hos koeriersdienst.example, företagets sociala medier. Bäst är om alla har ett eget konto (modul 7). Går inte det, använd då ett delat valv:

• Skapa valv eller mappar per ämne ("Webbutik", "Ekonomi", "Sociala medier") och ge bara åtkomst till den som behöver det.
• Dela aldrig via mejl, chatt eller ett kalkylblad. Den som har åtkomst till det delade valvet ser lösenordet där.
• Slutar någon? Ta bort personen från valvet och byt de lösenord personen kunde se. Att bara ta bort från valvet räcker inte: personen kan ha skrivit av eller sparat dem.
• Ordna nödåtkomst: vad händer om du, ägaren, blir sjuk eller försvinner? Många hanterare har en funktion där en betrodd person får åtkomst efter en väntetid. Eller så förvarar du återställningsuppgifterna i ett förseglat kuvert hos en andra person.

I praktiken: byta hanterare på en eftermiddag

1. Välj en hanterare och installera den på dator och telefon, med webbläsartillägget.
2. Skapa ett huvudlösenord (lösenfras), skriv ner det, spara återställningssatsen.
3. Aktivera tvåfaktorsautentisering på valvet.
4. Importera lösenord som din webbläsare redan sparat. En export är ofta en okrypterad fil: ta bort den direkt efter importen, även från papperskorgen.
5. Börja med de viktigaste kontona och ge varje ett nytt, slumpmässigt lösenord: din mejlbox (info@example.com), ditt webbhotell och domänregistrering, din bank och din bokföring (till exempel på boekhoudpakket.example).
6. Uppdatera resten allt eftersom du loggar in ändå. Varningarna för dubbla lösenord hjälper dig.

Använder du en tjänst i WebOkés miljö, som en mejlbox eller Nextcloud, med appar på din telefon? Då skapar du ibland ett separat app-lösenord (se Kunskapsbank 436). Även det sparar du i hanteraren, vid rätt post. Hos andra leverantörer fungerar det på liknande sätt.

Sammanfattning

• En lösenordshanterare skapar, sparar och fyller i unika lösenord; du behöver bara komma ihåg huvudlösenordet.
• Typer: inbyggd i webbläsare eller system, fristående app med moln, lokal, öppen källkod eller självhostad. Välj utifrån enheter, delning, kryptering och återställning.
• Vid totalsträckskryptering är ditt huvudlösenord det sista försvaret om leverantören blir hackad.
• Fyller hanteraren inte i, titta då på adressen istället för att kopiera.
• Dela via ett delat valv och byt lösenord när någon slutar.

Quiz

Uppgift

Uppgift D2.2: Ställa in din lösenordshanterare. Välj en lösenordshanterare, skapa ett huvudlösenord och en återställningssats, aktivera tvåfaktorsautentisering på valvet och ge dina fem viktigaste konton ett nytt, unikt lösenord. Bocka av checklistan och svara på reflektionsfrågorna. Du fyller inte i något lösenord någonstans.

Läs mer

Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 3.7: Säkra lösenord och vad du gör vid ett läckt lösenord
• Skapa ett applösenord (behövs för att ansluta appar och enheter)
• Nextcloud-guide 3.5: Applösenord: när och hur
• Nederländska NCSC, Hur väljer jag en lösenordshanterare?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Nederländska NCSC, Fyra steg för att göra dina lösenord säkrare: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken