Är det jobbigt med lösenordshanterare?

Vad är egentligen det värsta som kan hända utan lösenordshanterare? Gör någon intrång på min mail är det bara att ändra lösenordet lite snabbt. Är det värt jobbet att skaffa en lösenordshanterare?

Någon ställde en fråga i ett inlägg som sedermera är raderat, med frågan: Vad händer om lösenordshanterartjänsten blir hackad?

Det är en berättigad fråga som jag tänkte att jag svarar på, men frågan hann försvinna innan jag lyckades posta mitt svar, så här kommer mitt svar ändå!

Det är klart att det kan hända, men som de flesta tjänster är uppbyggda är det väldigt svårt att "hacka" tjänsten.

Nedan gäller LastPass, men liknande tjänster gör ungefär likadant.

Lösenorden sparas krypterade på ett sätt som gör att det inte går att dekryptera lösenorden utan att ha huvudlösenordet. Glömmer man sitt huvudlösenord och inte har åtkomst till en dator där man tidigare loggat in så är lösenorden gone. Borta. Att bara hacka servrarna som lagrar lösenorden ger alltså inget. Sedan lägger man gärna 2FA ovanpå detta också.

Den mest framkomliga vägen är att hacka själva insticksprogrammet i webbläsaren, och ta ut lösenorden direkt från datorerna den vägen. Här får man väl helt enkelt hoppas att LastPass har järnkoll på vad som pushas ut som mjukvaruuppdateringar.

Så visst finns det absolut risker med lösenordshanterare, men lösenord och endast lösenord är och har aldrig varit en tillräcklig skyddsmekanism för det mest skyddsvärda. Du ska ha tvåfaktorsinloggning på alla dina viktiga tjänster också. Då gör det inte lika mycket även om någon råkar komma åt alla dina lösenord. Lösenordshanterare förebygger och hanterar dock risken med svaga lösenord och återanvända lösenord, något som enligt mig gör att fördelarna klart överväger riskerna.

För den som ändå inte vill lita på molnbaseradetjänster för lösenordshanterare kan med fördel använda en desktop-baserad lösenordshanterare som t.ex. KeePass istället. Men även där finns frågan: hur vet du att varje mjukvaruuppdatering är säker? Och hur vet du att du inte har intrång i sjävla datorn?

Ingen säkerhetskontroll är perfekt. Använd därför en kombination av en malwarefri dator med alla säkerhetsuppdateringar i (släng ut Windows 7 och tidigare), en lösenordhanterare, samt 2FA på alla tjänster som stödjer detta.

Någon ställde en fråga i ett inlägg som sedermera är raderat, med frågan: Vad händer om lösenordshanterartjänsten blir hackad?

Det är en berättigad fråga som jag tänkte att jag svarar på, men frågan hann försvinna innan jag lyckades posta mitt svar, så här kommer mitt svar ändå!

Det är klart att det kan hända, men som de flesta tjänster är uppbyggda är det väldigt svårt att "hacka" tjänsten.

Nedan gäller LastPass, men liknande tjänster gör ungefär likadant.

Lösenorden sparas krypterade på ett sätt som gör att det inte går att dekryptera lösenorden utan att ha huvudlösenordet. Glömmer man sitt huvudlösenord och inte har åtkomst till en dator där man tidigare loggat in så är lösenorden gone. Borta. Att bara hacka servrarna som lagrar lösenorden ger alltså inget. Sedan lägger man gärna 2FA ovanpå detta också.

Den mest framkomliga vägen är att hacka själva insticksprogrammet i webbläsaren, och ta ut lösenorden direkt från datorerna den vägen. Här får man väl helt enkelt hoppas att LastPass har järnkoll på vad som pushas ut som mjukvaruuppdateringar.

Så visst finns det absolut risker med lösenordshanterare, men lösenord och endast lösenord är och har aldrig varit en tillräcklig skyddsmekanism för det mest skyddsvärda. Du ska ha tvåfaktorsinloggning på alla dina viktiga tjänster också. Då gör det inte lika mycket även om någon råkar komma åt alla dina lösenord. Lösenordshanterare förebygger och hanterar dock risken med svaga lösenord och återanvända lösenord, något som enligt mig gör att fördelarna klart överväger riskerna.

För den som ändå inte vill lita på molnbaseradetjänster för lösenordshanterare kan med fördel använda en desktop-baserad lösenordshanterare som t.ex. KeePass istället. Men även där finns frågan: hur vet du att varje mjukvaruuppdatering är säker? Och hur vet du att du inte har intrång i sjävla datorn?

Ingen säkerhetskontroll är perfekt. Använd därför en kombination av en malwarefri dator med alla säkerhetsuppdateringar i (släng ut Windows 7 och tidigare), en lösenordhanterare, samt 2FA på alla tjänster som stödjer detta.

Känns som jag vill ha ett lösenord till mailen som jag kommer ihåg i alla fall om allt skiter sig:). Då kan man i alla fall återställa allt.

Man kan ju köra lite old-school och bara skriva ner på en lapp.

Varför rotera lösenordet, dock?

Forskning visar att roterande lösenord gör att man väljer sämre lösenord än om man väljer ett starkt lösenord som man behåller under lång tid.

Lösenord behöver egentligen bara bytas om man misstänker eller vet att det blivit exponerat.

Sist jag tittade så hade LastPass en funktion där du skriver ut alla anv.namn och lösen. Lägg det sedan på ett säkert ställe.

varföe skulle man inte använda sin lösenordshanterare till mail, paypal och andra viktiga saker? där är det extra viktigt att använda det så att man har ett bra lösenord till såna viktiga tjänster

det är just därför det är bra att använda t.ex. keepass så slipper du det problemet. du har en databas du alltid kommer kunna öppna, du är inte beroende av något annat företag eller liknande och du kan ha din databas i säkert förvar offline. jag skulle aldrig någonsin använda en tjänst utan öppen källkod för mina lösenord, och inte heller spara min databas på någon annans server.