Passordgenerator

Passordets Entropi: Vitenskapen om Sterke Passord

Passordets styrke måles i bit av entropi — logaritmen (bas 2) av antall mulige passord. Mer entropi betyr et vanskeligere passord å krase. Forståelsen av entropi er nøkkelen til å lage passord som motstår både bruteforce-angrep og orddatabas-krakking.

Formel: Entropi = log₂(C^L) = L × log₂(C), hvor C = størrelse på karaktersett og L = passordlengde.

*Antar 100 milliarder gissinger per sekund med moderne GPU-hardware. Sikkerhetseksperter anbefaler minst 80 bit av entropi for generelle konti og 128+ bit for kritiske konti som epost-masternøkler, bank og krypteringsnøkler.

Karaktersett og hva de tilføyer til styrke

Å inkludere hver tilleggskarakterklasse multipliserer søkeområdet som en angriper må utforske. Her er hvordan hver karaktersett bidrar til passordets entropi:

Den mest innflytelsesrike oppgraderingen av et passord er å øke lengden. Å gå fra 12 til 16 bokstaver med fullt ASCII-sett tilføyer 4 × 6,55 = 26,2 tillegg bit av entropi — det er tilsvarende å multiplisere søkeområdet med om lag 80 millioner. Lengden er alltid viktigere enn kompleksiteten når begge ikke kan maksimeres samtidig.

Men å bruke alle karaktertyper sammen (store og små bokstaver, tall og symboler) på en gitt lengde maksimerer entropi per karakter. Et 12-bokstavs passord med kun små bokstaver har 56,4 bit av entropi; samme lengde med alle karaktertyper har 78,7 bit — en forbedring på 40 % uten å tilføye en eneste karakter.

Passordbestemmelser

Nåværende retningslinjer fra NIST (Special Publication 800-63B), sikkerhetsforskere og industrielle standarder har utviklet seg betydelig fra eldre anbefalinger. Her er de mest aktuelle bestemmelsene:

• Lengde over kompleksitet: Et 20-bokstavs tilfeldig passord er sterkere og mer minneverdig enn et 12-bokstavs symbol-tykt passord. NIST anbefaler minst 8 bokstaver, men sikkerhetsprofesjonere anbefaler sterkt 12–16 bokstaver for standardkonti og 20+ for kritiske konti.
• Unike passord per nettsted: Ca. 85 % av dataintrådte involverer kreditkort-stuffing — angripere tester utlekkede brukernavn/passord-kombinasjoner fra ett innbrudd mot andre tjenester. Hvert konto trenger et unikt passord.
• Brug en passordmanager: Verktøy som Bitwarden (gratis, åpen kildekode), 1Password, KeePass eller Dashlane genererer og lagrer unike passord trygt. Du trenger bare å huske en masterpassord. Passordmanagere er den eneste mest effektive oppgraderingen av personlig sikkerhet.
• Aktiver to-faktor-autentisering (2FA): Selv om et kompromittert passord blir vanskeligere å utnytte med 2FA. Bruk en autentiseringsapp (Google Authenticator, Authy eller en hardvarer-nyckel som YubiKey). Unngå SMS-basert 2FA når mulig, da det er utsatt for SIM-utvekslingsangrep.
• Kjekk om dine passord er i en kjent dataintrådte: Bruk haveibeenpwned.com for å sjekke om epost eller passord dine opptrer i kjente dataintrådte. Hvis et passord opptrer i en intrådte, endre det umiddelbart, selv om det ser sterk ut.
• Ikke rotere passord på en fast tidsplan: NISTs oppdaterte retningslinjer anbefaler å ikke tvangsføre periodiske passordendringer. Regelmessig rotasjon fører til forutsigbare endringer («Passord1» → «Passord2»). Endre passord bare når det er tegn på kompromittering.

Felles feil med passord og hvordan å unngå dem

Angripere bruker ordboksangrep (tester vanlige ord, navn og mønster) før de går over til bruteforce. Moderne passordkryssningsverktøy bruker avanserte regelsæt som forutsier vanlige menneskelige oppførsel. Unngå disse felles feilene:

De mest vanlige kryssete passord i verden (per bruddsdatabaseanalyser) er: 123456, passord, 123456789, qwerty, 12345678, 111111, 1234567890, 1234567, passord1, og qwerty123. Hvis ditt passord ligner noen av disse mønstrene, endre det umiddelbart.

Passfraser: Den minneverdige alternativet

Ett passfrase er en sekvens av tilfeldig valgte ord brukt som et passord. Passfraser er generelt lengre enn tradisjonelle passord, noe som gjør dem vanskeligere å krysse, mens de er betydelig lettere å huske. Konseptet ble popularisert av den berømte XKCD-komikken "correct horse battery staple."

Kritisk krav for passfrasens sikkerhet er at ordene må være tilfeldig valgt — ikke en meningfull frase, sitat, sangtekst eller setning du ville naturligvis si. "Jeg elsker min hund meget" er et dårlig passfrase fordi det er forutsigbart. "Blanket-topaz-furnace-mango" er utmerket fordi ordkombinasjonen er tilfeldig og uventet.

For å generere en passfrase, bruk Diceware-metoden: Rull fem terninger for å få en fem-sifret tall, så finn så ut det tilsvarende ordet i en Diceware-ordliste (som inneholder 7 776 ord). Gjenta for hver ord. Alternativt kan du bruke en passfrasegenerator i passordbehandlingsverktøyet ditt, som automatiserer denne prosessen trygt.

Passordbehandlingsverktøy: Ditt sikkerhetsnavn

Ett passordbehandlingsverktøy er et program som genererer, lagrer og automatisk fyller unike passord for hver av dine konti. Det er det mest anbefalte sikkerhetsverktøyet av alle store sikkerhetsorganisasjoner. Her er en sammenligning av de mest populære alternativene:

Når du velger et passordbehandlingsverktøy, prioriter: null-kunnskapskryptering (selskapet kan ikke lese dine passord), tverrplattformtilgjengelighet, sikker passordgenerering og bruddmonitoring. Ditt masterpassord — det eneste passordet du må huske — bør være et sterk passfrase på 5+ tilfeldige ord med minst 70 bit entropi.

Overgangen til et passordbehandlingsverktøy trenger ikke å skje på en gang. Start med å legge til dine mest kritiske konti (e-post, bank, sosiale medier) og gradvis legge til andre som du logger inn på. De fleste managerer kan importere passord fra nettlesere for å akselerere overgangen.

Metoder for to-faktor-autentisering sammenlignet

Et sterk passord gir bare en enkelt lags beskyttelse. To-faktor-autentisering legger til en ekstra lag som krever noe du har (en telefon eller en fysiske nøkkel) i tillegg til noe du kjenner (ditt passord).

For maksimal sikkerhet, bruk en hardware-sikkerhetsnøkkel (FIDO2/WebAuthn) for dine mest kritiske konti. For hverdagskonti, en autentiseringsapp som Google Authenticator, Authy eller Microsoft Authenticator gir en god balanse mellom sikkerhet og bequemhet. Enhver form for 2FA er dramatisk bedre enn autentisering kun med passord.

Hvordan passordknekking fungerer

For å forstå hvordan angripere kneker passord, hjelper det å forstå hvorfor tilfeldige, lange passord er viktig. Moderne passordknekking involverer flere teknikker, hver som utnytter forskjellige svakheter i passordvalg.

Moderne GPU-kluster som kjører verktøy som Hashcat kan teste over 100 milliarder MD5-hasher per sekund, eller om lagringsenheten på cirka 10 milliarder bcrypt-hasher per sekund med spesialisert hardware. Dette er hvorfor passordlengde er så viktig — hver tilføyd karakter multipliserer tiden påkravet av størrelsen på karaktersettet. Et tilfeldig generert 16-tegnet passord som bruker alle skrivbare ASCII-tegn ville ta lengre enn alderen på universet å knække ved brute force, selv med den raskeste hardware som er tilgjengelig i dag. Likevel beskytter ingen passord av noen lengde mot phishing — som er hvorfor to-faktor-autentisering fortsatt er essensiell som et komplementært forsvarslag.