Säkerhetsexpert: "Att periodiskt byta lösenord är en säkerhetsrisk"

Hur vet ni det?

Hur bra funkar lösenordshanterare om normen är att man oftast använder gästinloggning på olika publika datorer?
En lösenordshanterare bör ju vara en separat dosa man bär med sig, där aktuellt lösenord visas i en display, och då blir det inte så lätt att manuellt skriva in långa komplexa lösenord...

Sämsta säkerhet jag stött på var Televerkets interna rikstäckande datasystem i slutet på 80-talet.
Enfaktorinloggning: Bara lösenord! Unikt för nätverket och inga krav på komplexitet. Fyra siffror var en vanlig kombination. Säkerheten byggde främst på att terminalerna skulle vara fysiskt svåra att komma åt för obehöriga.

Tvåfaktorinloggning, som dessutom kräver användarnamn, är klart säkrare!
Ännu mer ökar säkerheten om "användarnamn" byts ut mot "smartcard", vilket tillämpas på min arbetsplats.
Trefaktorinloggning, som kopplas till aktiv användning av annat objekt (SMS till telefon), ger mycket mera jobb.

Jobbigaste version jag stött på var CYD-poolen i mitten av 90-talet. En datorsal för C-, Y- och D-sektionerna på LiTH. Användarna hade eget konto med lite lagringsutrymme på en server, kunde komma åt Internet och skrivare. Absolut inget som krävde hög säkerhet, så vitt jag vet.
* Påtvingat lösenordsbyte med någon månad eller två emellan.
* Lösenordet var tvunget att ha en viss komplexitet.
* Lösenordet fick inte tidigare ha använts av någon användare i systemet!
Tar man i beaktande att jag bara besökte salen ungefär en gång i kvartalet för att snabbt under en rast komma åt en skrivare så var det måttligt roande att dels behöva försöka komma ihåg det lösenord jag i affekt skapade under stress två-tre månader tidigare (vilket förstås var omöjligt) och sedan byta lösenord vid varje inloggning!

Jag är kund hos Swedbank och tycker att där finns både högt och lågt.
* Den fyrsiffriga personliga koden ger inte mycket säkerhet, men den kunde (kan?) heller inte användas till mycket mer än att kontrollera saldo.
* Jag har i många år använt dosa med enkel PIN där ett åttasiffrigt tal in genererar ett annat ut för att verifiera. Har fungerat bra ända tills banken, till synes utan förvarning, inte längre accepterar den metoden.
* Nu är det primärt BankID som gäller, och där förespråkar banken (ger dig "gratis") de två svagare lösningarna med mjuka certifikat framför varianten med ID-kort och dosa (som kostar en hel del pengar för kunden).

Jag undrar hur säkert BankID med mjukt certifikat är när någon olovandes tar sej in i datorn, kopierar (det krypterade?) certifikatet och installerar keylogger för att komma åt lösenordet?

På min arbetsplats funkar det i alla fall lite bättre:
* Ett simpelt lösenord levereras omgående via den interna eposten (tillåter "klipp och klistra"!). Lösenordet är bara giltigt en begränsad tid, typ ett dygn.
* Vid första inloggning tvingas man byta till ett eget.

Sedan måste vi byta lösenord minst en gång var tredje månad eller så, och får inte använda ett som är för likt föregående eller har använts de senaste åren.

Jag råkade ut för liknande med PayPal. Registrerade ett konto någon gång för länge sedan för att kunna göra en transaktion och förväntade mig inte att använda det mera. Ungefär fem år senare, då jag ville använda det igen, kunde jag inte för mitt liv komma på lösenordet. Det jag minns av ledtrådarna var att jag skrev något nonsens där också...
För att åter komma åt kontot måste jag ringa något utländskt telefonnummer och ange numret på det kontokort jag anslutit, vars giltighetstid gick ut två månader efter registreringen...

Senast jag använde vanliga BankID (på tiden då det fanns stöd för Linux) byggde det på ett asymmetriskt nyckelpar och "challenge-response", vilket i praktiken betyder att programmet måste se inloggningssidan på något sätt. Det är nog inte omöjligt att lura heller men det behövs något i kalibern av "spearfishing". Då är du nog körd oavsett vilken du använder för vad jag minns finns det inget kryptografiskt fingeravtryck inbyggt i vanliga BankID.

Låter som de har förbättrat implementationen lite då, men jag tvivlar på att de har täppt till hålet ordentligt. De har ju inte precis imponerat med sin kompetens hittills i mina ögon.

Det hjälper naturligtvis extremt mycket men det är inte en skottsäker metod. Kör du senaste dagliga eller stabila versionen?

Precis, tror att dom har ändrat detta rätt nyligen för har inte för mig att det var så tidigare. Ser rätt många ALREADY_IN_PROGRESS i loggarna numera gällande BankID (har byggt ett antal applikationen som använder BankID) som felkod.

Idag är det mer ovanligt att man kör direkt mot BankID som man gjorde första gången jag byggde stöd för e-legitimation utan istället går via någon partner och en molntjänst, som t.ex. via CGI som Skatteverket gör. Där kan man i sin tur antingen använda "deras sidor" för autentisering eller använda en egen som sen använder SOAP eller liknande för att sköta kommunikationen. På den tiden hade man dessutom flera utgivare (Telia, Posten, Nordea osv) men idag är det i praktiken bara BankID som gäller för publika applikationer.

Minns att jag efter intenstiv felsökning och Trial and error talade om för Nordea hur man skulle göra för att implementera deras egen autentisering i en .NET miljö vilket även medförde att en hyfsat känd Bank på F..... kunde få igång sin inloggning.

Nordea hade för övrigt lyckats med bedriften att ge ut TEST e-legitimationer där man tyvärr fått med ett riktigt personnummer på en livs levande person boendes på Värmdö. Han var inte helt glad när vi informerade honom om varför vi precis hade tagit en kreditupplysning på honom men förstod iaf att det var Nordeas fel och inte vårt

Det var lite mer vilda västern på den tiden

Även om det kanske är lite lösryckt ur sitt sammanhang så är det ju inte helt galet. Däremot skulle jag säga att man kan skilja på företagslösenord och (vad jag antar utan att ha sett inslaget) privatlösenord. Det är enkelt att använda sig av en manager som keepass och lastpass där man kan ha helt slumpmässiga och långa lösenord för hög säkerhet, problemet blir när du vill logga in på Spotify-kontot hos en kompis. Så vida du inte är Rainman lär du knappast minnas att just ditt Spotify-konto hade vOMazit10LX7Lg5DpemB som lösenord.

Pga. detta så väljer också många att använda samma lösenord eller mindre variationer på det på de flesta ställen. För eller senare så kommer antagligen något av dina konton att hamna i en databas som hackas, stjäls, avkrypteras och publiceras. Om du då sitter kvar på dina gamla lösenord du alltid haft så innebär det alltså att du helt plötsligt är ytterst sårbar på många ställen.

Så ja, att byta lösenord bör man nog göra emellanåt men det är ju mest relevant om det är så att du har samma lösenord på väldigt många konton. När det gäller företag så brukar man inte så många lösenord att hålla reda på, i regel 2-3st. Det är ju ändå ofta visst snurr på personal på företagen så förhoppningsvis stängs kontot ned på dagen personen går och däremellan (efter att ha sett till att ett starkt lösenord krävs, men aldrig upphör) så borde det vara ganska säkert.

"Dagliga", så att säga (brukar vara en ny per vecka, med variationer), men jag brukar inte uppdatera hela tiden utan går igenom changeloggen och ser om det är nåt viktigt som jag vill ha.

Och nej, ingenting är förstås 100% skottsäkert.

Den fyr/femsiffriga koden kunde man använda för att skapa e-kort och därmed föra över pengar. Senast jag ringde till kundtjänst så identifierade jag mig med den koden. Rent praktiskt sett kunde jag nog ha utfört en betalning mha kundtjänst.

Vad menar du med att dom inte accepterar dosan? Jag använder fortfarande den. Är du månne företagskund? Den enkla dosan är i min mening en utmärkt lösning som både är säker och svår att utföra en brute-force attack mot (eftersom dosan inte är kopplad till en dator). Dosan som kopplas till en dator litar jag inte på alls.

BankID på fil (tror jag det är du menar) verkar Swedbank inte själva lite alltför mycket på då dom numera endast utfärdar själva "certifikatet" på tre månader i stöten (dom motiverade ändringen med trojaner var vanligt förekommande i kundernas datorer). Alla former av certifikat/lösenords lösningar där certifikatet lagras lokalt är ju sårbara för malware. Jag kan inte se att det skulle vara några större problem att kopiera certifikatet och logga lösenordet.

Mobil BankID verkar Swedbank inte själv lita fullt ut på. För att lägga upp nya betalningsmottagare så tvingas man använda "skrapkoder" som dom skickar ut. Skrapkoder litar jag inte ett skit på, så jag eldade upp dom i öppna spisen... Sen kom jag på att man kunde spärra kodkorten

Hur kommer du åt den interna e-posten om du inte kan logga in?

"Logga in med dosa" har jag inte sett som alternativ i listan det senaste halvåret eller så...

Jag syftar på båda alternativen gällande "mjuka certifikat".

Bra fråga...
Mitt minne måste gälla ett av de (få) undersystem som inte loggas in på via AD, för jag har klart minne av att ha fått lösenord via epost men inget minne av att jag glömt lösenordet till det stora systemet.

@Olle P: Om jag går till https://online.swedbank.se/app/privat/login så i drop-down listan där så har åtminstone jag alternativet "Säkerhetsdosa".