Lösenordskaoset efter semestern – och lösenordshanterare, inloggningsid och olika säkerhetskrav

Med anledning av att helpdeskar hos arbetsgivare land och rike runt just nu sliter sitt hår och går på knäna av alla som glömt bort sina lösenord över semestern, så kanske det är på sin plats med en llösenords- och inloggningsdiskussion. E-post som användar-id, påtvingat byte av gamla lösenord och lösenordshanterare blir några av ämnena.

Avanzas kontoregistrering med hjälp av Apples lösenordshanterare. Ett rätt är att man kräver användarnamn, och inte loggar in med e-post. Måttliga krav på lösenordets utformning.

För många är det kanske okänt att nu när anställlda kommer tillbaka efter semestern går många helpdeskar på knäna. Man har själva inte fått full bemanning efter semestern, men är överbelastade med användare, som glömt bort sina lösenord.

En del har glömt bort dem på grund av att innan semestern så inträffade det obligatoriska periodbaserade skiftet av lösenord. Ni vet det som till slut tvingar dig att använda Volvosommar2020 för att komma ihåg vad ditt lösenord är, istället för det där riktigt bra lösenordet du valde när du började på Volvo.

Naturligtvis gäller det inte dig, kära läsare. Du glömmer ju aldrig något, och har dessutom alltid till synes slumpmässiga lösenord på över 20 tecken, som du kommer ihåg i huvudet. Men du är en anekdot.

Så låt oss diskuterar inloggningar.

Kundregistrering hos Trine med Apples lösenordshanterare. Höga krav på utformningen av lösenordet, som därmed kan göra det svårt att komma ihåg och i slutändan blir det Abc-1234. Dessutom inloggning med e-post som användar-id. Eller registrera med Facebook…

Till en början finns det olika individuella krav på säkerheten. För en e-handelssajt, eller kanske Netflix behöver du knappast ha särskilt hög säkerhet. Det värsta som kan hända på Netflix är att någon förlänger eller avslutar ditt abonnemang, samt förstås får se din dåliga filmsmak. På e-handelssajten kanske de kan avbeställa en order, samt se vad du har för storlek på kläder. Beror kanske vad för e-handelssajt, en del kanske kan vara pinsamt hemliga utifrån vad du köper för något.

I kontrast i andra ändan är lösenordet till din e-post antagligen bland det mest känsliga du har. Detta eftersom de flesta sajter använder din e-post för lösenordsåterrskapning, för att inte tala om allt annat du har i dina e-postlådor. Här ska du inte bara använda ett starkt lösenord – du ska också ha tvåstegsautenticering. Och då inte via mobiltelefon, eftersom man åtminstone i ett annat land kan styra om så teleefonsamtal och SMS till dig går tilll ett annat utvalt nummer. Använd således Google Authenticator, Authy (som t ex Avanza använder) och liknande för tvåstegslösen, inte ditt telefonnummer. Åtminstone inte för känsliga sajter där du har högsta säkerhetskrav.

Idag finns många bra lösenordshanterare. En sådan är Apples dito Keychain, som om du vill kan synka via iCloud, så du kan använda nyckelringen på alla dina iPrylar och datorer i ditt Apple-ekosystem. Ett annat är lösenordshanteraren i Google Chrome, som också kan synkas mellan alla dina olika Chrome-instanser på olika datorer och mobiltelefoner om du aktiverar det.

Därmed kan man som på skärmdumparna ovan låta systemet ta fram ett extremt starkt lösenord på över 20 tecken och med en slumpvis kombination av siffror, versaler och gemener. För sajter där du har högsta säkerhetskrav, vilket bara är ett fåtal, som din e-post och kanske några finansiella sajter ska du förstås använda starka lösenord som du bara har i huvudet, samt tvåfaktorsautentisering. För övrigt brukar det numera bara gå att ta ut pengar från t ex onlinemäklare till konton registrerade på ditt namn, så även där kan skadan vara begränsad.

Men för en e-handelssajt är antagligen lösenordshanterare ett fullgott val.

Ett annat gissel är att så många sajter envisas med att ha din e-post som inloggning. Därmed sänks säkerheten. Du behöver bara veta någon persons e-post för att kunna försöka hacka dig in på olika konton. Annars kanske man hade haft SavingPrivateKjell som inloggning på något FPS-spel och något helt annat på Svenska Dagbladet.

När (inte om) en hacker tar sig in på sajten, laddar ner den (krypterade – som man dock kan knäcka ändå om lösenorden ingår i någon av de för varje dag allt större ordböckerna av lösenord som sprids i hackerkretsar) lösenordsdatabasen, så får vederbörande även oftast inloggningsnamnet eller e-posten. Och när alla kör e-post som inloggning, så kan man därmed testa om du har samma lösenord på fllera sajter.

Istället ska användarnamn användas som lösenord anser jag. Men visst, då måste ju folk komma ihåg sitt användarnamn, vilket blir ett ytterligare problem. Men för de där sajterna med låg säkerhet kan du köra lösenordshanteraren, som även tar hand om ditt inloggningsnamn.

Mobilt Bank-ID är ett hyfsat sätt att hantera inloggning, även om det går att lura lite mer godtrogna människor via telefonsamtal. Sett till vad det kostar en helpdesk i personal att hjälpa användare återställa lösenord efter semestern kanske det hade varit en väg även för många arbetsplatser. När jag tillsammans med Handelsbanken jobbade med att försöka sälja in konsultlösningar för föregångaren Bank-ID på dator 2002 – 2003 så var just kostnaden för att hantera bortglömda lösenord en selling point för de myndigheter och kommuner vi träffade. Idag har det nog gått upp för de flesta hur effektivt det är att inte behöva hantera inloggningsuppgifter alls,  utan låta BankID ta den smällen.

För att summera. Mobilt BankID är bra, använd lösenordshanterare för dina mindre känsliga inloggningar, använd starka lösenord och tvåfaktorautentisering för dina känsligaste konton.  Tjänster med e-post som inloggning innebär sämre säkerhet. Och att tvinga anställda att byta lösenord regelbundet är dumt, och ska inte agera ersättare för en bättre teknisk lösning. Och nej, du behöver inte ha samma säkerhetskrav på alla sajter och tjänster.