Ny topplista med svaga lösenord släppt

Välkommen är väll ändå ett bra lösen?

Varför använder vi fortfarande lösenord egentligen? Redan för 20 år sedan så började att diskuteras om lösenordsfria lösningar. Vissa tjänster har det men varför är det inte mer vanligt?

2FA är väl väldigt vanligt idag. Även om jag personligen inte kör det överallt. Tex på min hotmail där jag skiter i om någon kommer in. Finns liksom inget av värde.

Tänkte du på att man kan spara lösenordet i webbläsaren?

Har varit hel del problem i alla fall tidigare med den lösningen, där webbläsaren läckt lösenord.

Att gå igenom en ordlista tar några sekunder OM hackaren har kommit åt shadow-filen på servern. Det är ett väldigt stort om.

Ska man testa lösen via en sidas api istället så finns det ofta naturlig delay på en halv sekund och ofta inbyggd delay på långt längre.

Fast oavsett, har man ett lösen som finns i en ordlista så har man ingen säkerhet, där har du helt rätt

Bitwarden! Sen så kan man också använda den inbyggda i Firefox, Chrome eller Edge, de är inte superbra - men mycket bättre än att inte ha någon alls. Även Microsoft’s Authenticator app för MFA har en lösenordshanterare har jag för mig.

Ja men det spelar mindre roll, poängen är ju att de finns bra alternativ inbyggt att få starka lösenord.
Och även att skapa unika lösenord i ex chromes lösenordshanterar är bättre än att använda hejsan på alla sina konto

Sen var ju mer tanken att majoriteten sitter inte på en PC utan något längre. De flesta har sina mobila enheter där många också har Apple. Dessa har sina egna lösningar för lösenordshantering och skapa starka lösenord inbyggt och syncat etc.

Så i min mening förstår jag inte vilka det är som skapar dessa lösenord på nyskapade konto 2024. Om det är gamla som sitter vid en gammal PC med internet explorer och skapar lösenord på facebook typ

KeePass

Äsch, du har ju en lista att välja ifrån här!

Använder inte lösenord, kör MFAmed Yobikey till allt bra från inloggning i Linux till kryptering/dekryptering osv.. det kommer bli mer o mer mer eller mindre krav på MFA frammåt enligt källor på nätet. Har använt det i flera år.

Vad är de äldsta/dåliga password ni minns att ni använt?

Jag tror jag använde "GunsNRoses" som första password till Hotmail, vilket är det äldsta jag minns.

Det här är lite som med antibiotikaresistens. När varenda liten skitsida eller program kräver konto och lösenord så blir lösenorden svaga då människor omöjligen kan hålla koll på 10+ säkra lösenord. Det bör ses som högsta prioritet för applikationer och hemsidor att kunna fungera utan inloggning och lösenord.

Det är ju inte så mycket en rent autentiseringsteknisk fråga så mycket som hur man kan få till en sån förändring där alla måste anpassa sig för att det ska spela någon roll.

Det är väl en kombination av lösningar som inneburit någon som helst tröskel att komma igång, ovilja från tjänster att tvinga användare att lära sig något, fullkomligt ointresse av säkerhet från majoriteten av alla användare, samt då även en enorm tröghet att övervinna för att få något att bli accepterat som användbart av både tjänster och användare.

Nu finns Passkeys-initiativet, Webauthn med mjukvarubackad nyckelhantering, gemensamt pådrivet av Apple, Google och Microsoft. De har i mitt tycke gjort helt onödiga tabbar som undergräver initiativet (som tex att alla tre ville nyttja detta för att hålla användaren gisslan i just deras ekosystem, en kortsiktig vinst som skadat hela projektet), men det kanske kan hända något denna gång till slut.
Det är väl dock ganska illustrativt vad för backning som krävs för att ens nå "det kanske går".

Säger det igen, MFA med tx Yobikey, är det som gäller frammåt, allt fler tjänster kommer att kräva det. Själv kört med det många år, både mycket säkrare och smidigare.

Lösenordshanteraren är den svagaste länken när du använder en. Människan är den svagaste länken om du inte använder en.

Det jag fruktar är att om man binder upp sig med dessa lösenordshanterare och de en dag slutar fungera på grund av någon slumpartad anledning, säg en mjukvarupppdatering från MS, eller blir hackade eller säljs till icke-seriös aktör eller annat oväntat inträffar med den - vad gör man då?

Problembilden beror ju lite på vad för lösenordshanterare du använder:

Om du använder en där datan sparas hos dig själv (t.ex. Keepass-varianter, eller t.ex. ett Bitwarden som kör mot en självhostad serverinstans) så är väl den relevanta frågeställningen vad som händer om lagringen går sönder eller filerna tas bort, eller ja olika sådana varianter.

Då är svaret: du måste ju ha backup på grejerna.

Om du använder någon tjänst med online-hosting av datan (t.ex. Bitwarden, 1Password, m.fl. eller för den delen Apples, Googles eller Microsofts eller någon annans integrerade lösningar) så är frågan mer just den som du tog upp. Vad händer om de stänger ned tjänsten eller ditt konto blir borttaget eller det ena eller det andra?

Då är svaret: du måste ju ha backup på grejerna.

Finns säkert fler varianter som man kan tänka sig... men jag tror svaret i alla lägen blir något på samma spår. Backup.

Men, va fan! Nu måste jag byta lösenord igen! Blir skitjobbigt att komma ihåg när man behöver flytta (modulus) ett steg ner