Lösenord och tvåstegsverifiering

Modul 8: Säkert och utan bekymmer · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du förklara vad ett starkt lösenord för din brevlåda är, vad du måste göra på dina enheter efter en ändring, hur en kod från en autentiseringsapp skapas och vad tvåstegsverifiering i webbmejlen skyddar och inte skyddar.

Nyckelbegrepp: brevlådans lösenord, lösenordshanterare, tvåstegsverifiering, TOTP, delad hemlighet, QR-kod, återställningskod, klockavvikelse, IMAP och SMTP utan andra steg

Därför är din brevlåda ditt viktigaste konto

Din brevlåda är nyckelknippan till ditt liv på nätet. Nästan alla tjänster skickar en länk för att återställa lösenordet till din e-post. Den som har din brevlåda kan alltså också ta över din webbutik, din bokföring och dina sociala medier. Och personen kan mejla i ditt namn, till kunder som litar på dig. En stulen brevlåda används därför ofta för fakturabedrägerier eller för att skicka skräppost. Det sistnämnda ställer till problem för hela din domän: andra servrar börjar vägra ta emot din e-post.

Två saker håller en inkräktare ute: ett bra lösenord och ett andra steg när du loggar in.

Ett starkt lösenord är framför allt långt och unikt

Ditt lösenord för brevlådan hör till en enda e-postadress. Det är inte samma sak som lösenordet till ditt kundkonto eller till kontrollpanelen för ditt paket (lektion 1.3).

Vad gör ett lösenord starkt? Inte ett utropstecken efter ett ord, utan längd och slump. Angripare provar läckta lösenord och listor med vanliga ord och mönster. "Sommar2026!" finns på en sådan lista, men en följd av fyra slumpmässiga ord eller tjugo slumpmässiga tecken gör det inte. Lika viktigt är att lösenordet är unikt. Om en webbutik där du använde samma lösenord läcker, provar brottslingar det även på din brevlåda.

Den praktiska lösningen är en lösenordshanterare: ett program som skapar och kommer ihåg ett långt, slumpmässigt lösenord för varje tjänst. Du behöver då bara komma ihåg ett enda starkt huvudlösenord.

Efter ändringen: uppdatera alla enheter

Du ändrar lösenordet i webbmejlen under Inställningar > Lösenord, eller i kontrollpanelen för ditt paket om du inte längre minns det gamla. Från och med då gäller det nya lösenordet överallt: i webbmejlen, på din telefon och i ditt e-postprogram.

Här går det ofta fel. Sanne de Vries ändrar på måndagen lösenordet för sanne@example.com. Sin bärbara dator uppdaterar hon direkt. Sin gamla surfplatta i köket glömmer hon. Surfplattan fortsätter att logga in med det gamla lösenordet med några minuters mellanrum. Efter ett antal misslyckade försök ser serverns brandvägg en anslutning som hela tiden provar fel lösenord, och blockerar IP-adressen. Eftersom surfplattan och den bärbara datorn delar samma IP-adress hemma kommer Sanne plötsligt inte heller åt sin e-post på datorn, och ibland inte heller sin webbplats.

Uppdatera därför alla enheter direkt efter en ändring: telefon, surfplatta, e-postprogrammet på datorn och eventuellt en skrivare eller skanner som skickar e-post.

Tvåstegsverifiering: något du vet och något du har

Med tvåstegsverifiering (i webbmejlen heter det Tvåstegsverifiering) behöver du två saker när du loggar in: ditt lösenord (något du vet) och en kod från din telefon (något du har). Den som kommer över ditt lösenord via nätfiske eller en läcka kommer då ändå inte in.

Koden kommer från en autentiseringsapp, till exempel appen i din lösenordshanterare eller en separat app för sådana koder. Metoden heter TOTP, time-based one-time password, och beskrivs i RFC 6238. Så här fungerar den:

1. När du slår på funktionen skapar webbmejlen en delad hemlighet: en slumpmässig teckenföljd. Du ser den som en hemlig nyckel och som en QR-kod.
2. Du skannar QR-koden med appen. Från och med nu känner både servern och din telefon till samma hemlighet.
3. Var 30:e sekund räknar båda om hemligheten tillsammans med aktuell tid till en kod med sex siffror.
4. När du loggar in jämför servern din kod med sitt eget resultat.

Två saker följer av detta. Appen behöver ingen internetanslutning: den räknar bara med hemligheten och klockan. Och klockan måste gå rätt. Om din telefon går några minuter före eller efter räknar den med ett annat tidsintervall, och då stämmer koden inte. Ställ in tiden på telefonen på automatisk.

En tredje följd: QR-koden ÄR hemligheten. Den som har ett foto eller en skärmbild av den kan skapa samma koder. Dela den alltså aldrig och spara den inte som bild.

På bilden ser du skärmen där du slår på tvåstegsverifiering, med den hemliga nyckeln, återställningskoderna och QR-koden.

Återställningskoder och en telefon som har försvunnit

När du slår på funktionen får du också fyra återställningskoder. Var och en fungerar en gång, i stället för en kod från appen. De är din reservnyckel om telefonen går sönder, blir stulen eller byts ut. Förvara dem på ett annat ställe än telefonen: i din lösenordshanterare eller på papper i en låda.

Om du använder en återställningskod ska du direkt ställa in tvåstegsverifiering på nytt med din nya telefon. Då får du också nya återställningskoder. Om du inte har några återställningskoder kvar kan din e-postleverantör stänga av det andra steget för din brevlåda, efter att ha kontrollerat vem du är.

På din egen dator kan du vid inloggningen välja att webbmejlen inte frågar efter en kod igen på 30 dagar. På en delad dator gör du aldrig det.

Vad tvåstegsverifiering inte skyddar

Det här är den viktigaste fallgropen, och många känner inte till den. Tvåstegsverifiering i webbmejlen gäller bara för webbmejlen. Ditt e-postprogram och e-postappen på telefonen loggar in via IMAP (hämta) och SMTP (skicka), och de frågar bara efter ditt lösenord. En angripare med ditt lösenord kan alltså fortfarande läsa din e-post och skicka i ditt namn via ett e-postprogram.

Därför är tvåstegsverifiering ett komplement, inte en ersättning. Ditt lösenord måste fortfarande vara långt och unikt. Tvåstegsverifiering för ditt kundkonto ställer du in separat. Det är ett annat konto med eget skydd.

Hos stora tjänster som Gmail eller Outlook.com fungerar det lite annorlunda: där gäller det andra steget ofta för hela kontot, och ett e-postprogram behöver ett separat applösenord eller en egen inloggningsmetod. Tanken är densamma: lösenord plus något du har.

I praktiken: så fungerar det i webbmejlen

Lösenordet ändrar du under Inställningar > Lösenord, och tvåstegsverifiering slår du på under Inställningar > Tvåstegsverifiering. Där markerar du Aktivera, låter webbmejlen fylla i fälten, skannar QR-koden, kontrollerar en kod och sparar. Stegen finns i Roundcube-handboken (10.3, 10.4 och 10.5). Andra webbmejl har liknande inställningar, ofta under Säkerhet.

Sammanfattning

• Din brevlåda är nyckeln till dina andra konton: skydda den med ett långt, unikt lösenord från en lösenordshanterare.
• Efter ett lösenordsbyte uppdaterar du alla enheter. En enhet med det gamla lösenordet kan få din IP-adress blockerad.
• TOTP skapar var 30:e sekund en kod utifrån en delad hemlighet och tiden. Telefonens klocka måste gå rätt, och QR-koden är hemligheten.
• Förvara de fyra återställningskoderna utanför telefonen. Varje kod fungerar en gång.
• Tvåstegsverifiering i webbmejlen skyddar bara webbmejlen, inte IMAP och SMTP i ditt e-postprogram.

Quiz

Uppgift

Uppgift A8.1: Öva med en autentiseringsapp. Klicka på knappen för att få en övningshemlighet. Du får en QR-kod för ett övningskonto. Skanna den med valfri autentiseringsapp (eller skriv in nyckeln som visas) och fyll i den sexsiffriga kod som appen visar. Programmet räknar med samma övningshemlighet och tiden och kontrollerar om din kod stämmer. En kod från föregående eller nästa tidsintervall godkänns också, så en liten klockavvikelse är inget problem. Grönt: koden stämmer. Rött: koden stämmer inte. Kontrollera då telefonens klocka och att du använder rätt rad i appen. Övningshemligheten hör inte till din brevlåda, har inget värde och försvinner inom 24 timmar. Ta sedan bort övningskontot från din app.

Läs mer

Där steg i webbmejlen beskrivs gäller de för WebOkés webbmejl. I andra webbmejl fungerar det på liknande sätt.

• Roundcube Webmail 10.3: Aktivera tvåstegsverifiering
• Roundcube Webmail 10.4: Logga in med tvåstegsverifiering
• Roundcube Webmail 10.5: Ändra lösenordet för din e-postbrevlåda
• Ändra lösenord eller gränser för en e-postadress
• Lösenordshanterare och passkeys: så loggar du in säkert
• Gratis kurs Säkert online för företagare 2.1: Vad ett starkt lösenord egentligen är
• Gratis kurs Säkert online för företagare 2.3: Tvåfaktorsautentisering: koder, appar och sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (på engelska): https://www.rfc-editor.org/rfc/rfc6238