CERT-SE:s bästa lösenord

... eller tips om hur du kan tänka för att sätta ett bra starkt lösenord som du dessutom har lättare för att komma ihåg.

Minst 16 tecken, både stora och små bokstäver, siffror samt något specialtecken. Sedan får inte lösenordet vara samma som något du haft nyligen och dessutom ska du komma på unika starka lösenord till alla tjänster och system du loggar in på. Frestelsen att återanvända samma lösenord på flera ställen kan bli alltför stor med en sådan lösenordspolicy. CERT-SE:s it-säkerhetsexperter delar med sig av sina personliga och opersonliga tips och visar ett mer användarvänligt sätt att skapa lösenord.

Fraser istället för ord

Längden är viktigare än komplexiteten [1] och att gå ifrån "password" till förmån för "passphrase", lyfts särskilt fram.
Genom att tänka i fraser får du ...

1) fler tecken,
2) lättare att formulera något som går att minnas,
3) fler möjligheter att variera frasen utan att någonsin använda samma någonstans samt ...
4) ett lösenord som är lättare att skriva in om du använder en smartphone.

Incidenthanterare 1:
"Jag brukar utgå från favoritlåtar ... så om någon vet vad jag har för favoritlåtar så kan de komma lite närmare att knäcka det, men ingen kan ju veta vilken del av låten jag plockar in i lösenordsfrasen. Om "Blinka lilla stjärna" var min favoritlåt skulle jag kanske plocka "lockar du min syn likt en diamant i skyn" och göra lösenordet "Lockarduminsynliktendiamantiskyn" vilket är över 30 tecken!"

Olika organisationer sätter olika policys för lösenord vilket gör att det inte går att ange en regel som alltid funkar. Ju längre desto bättre och många förordar att lösenordet ska innehålla en blandning av olika tecken.

Incidenthanterare 2:
"Det viktigaste är att lösenordet ska vara långt och unikt än vad det innehåller."

Incidenthanterare 3:
"Mitt bästa tips är att utgå från något som är personligt för dig tex. ditt "happy place". Det kanske är en plats, en händelse eller en resa som du beskriver det med en fras, så som "dinglamedfötternaivattnetfrånbryggan". Det blir svårt att knäcka."

Incidenthanterare 4:
"Jag brukar använda "correcthorsebatterystaple" ... " [2]

Incidenthanterare 5:
"Gör lösenordsfrasen till en berättelse, då blir det lättare att komma ihåg. Till exempel "Smurfen mumsade fyra flugsvampar" skulle kunna skrivas "SmurfenMumsade4Flugsvampar"..."

Undvik

Inget som direkt och enkelt kan kopplas till dig som person. Publik information som ditt eller dina barns namn (inkl. mellannamn) eller hundens namn. Inte heller lösenord som kan kopplas till digvia din tjänst eller funktion på jobbet ska användas.

Rekommendationer

Förutom ovanstående tips rekommenderar CERT-SE att alla inloggningsuppgifter ska vara individuella, inga gruppinlogg som används av flera. Aktivering av multifaktorsautentisering rekommenderas där det finns. Använd lösenordshanterare för att lagra och skydda dina passfraser.

Det finns flera knep och hjälpmedel för att hålla koll på alla sina säkra lösenord. I samband med kampanjen "Tänk säkert!" som MSB driver i samarbete med Polisen under informationssäkerhetsmånaden har flera bra råd publicerats gällande lösenord [3].

Källor:

[1] https://howsecureismypassword.net/ (OBS! Testa inte dina riktiga lösenord här!)
[2] https://www.xkcd.com/936/
[3] https://www.msb.se/sv/amnesomraden/informationssakerhet-cybersakerhet-och-sakra-kommunikationer/informationssakerhetsmanaden/tank-sakert/sakra-dina-losenord/