Det har varit mycket skriverier om lösenord nyligen. Vilka risker och vägar framåt ser du?
Informationsdumpar med kontoinformation från webbplatserna Gratisbio och Bloggtoppen har fått stor medieuppmärksamhet. Bloggtoppen med omkring 90 000 konton för att det fanns intressanta användare med i listningen, Gratisbio för att det fanns över 200 000 okrypterade lösenord.
När mediestormen klingat av lär vi alla återgå till vardagen med vårt vanliga användande av samma, eller för enskilda fall av användare nysatta svårare, lösenord.
Dessa lösenordsstölder blir dvärgar i jämförelse med rykande färska attacken mot spelplattformen Steam, där tiotals miljoner konton är på vift. Eller attacken tidigare i år mot Sony som omfattade i storleksordningen 75 miljoner konton. I bägge dessa fall blev hundratusentals spelande svenskar offer.
Steam- och Sonyfallen slås dock av Rockyou.com som fick 32 miljoner konton stulna, fast den här gången med klartextlösenord.
Eftersom det lätt går att skapa krypterade hashvärden från de klartextskatterna, så framställs lättsökta databaser över även svåra lösenord utifrån de läckorna – att använda vid nästa attack.
När en sådan dump blir allmänt tillgänglig börjar alla möjliga filurer testa kontoinformationen: kompisar, kändisar, före detta flickvännen eller helt okända människor.
Det kommer att ske även på andra sajter eller nättjänster än de som nu har hackats. Personerna begår därmed även brott, även om de hade underhållning eller nyfikenhet som drivkraft.
Det är läge att förstå att så länge databaser med stöldbegärlig autentiseringsinformation existerar är problemen en del av vardagen. Därför är det bra att titta på tips för att skydda sig och alternativ till klassiska återanvändbara flergångslösenord.
En normalperson i i-världen behöver komma ihåg 50-talet lösenord i form av bank-, telefon- och dörrkoder, inloggningar till jobbrelaterade it-tjänster, hobbysajter, nyhetswebbar och sociala nättjänster.
Människans natur är att förenkla, i det här fallet återanvända lösenord. Det slår tillbaka.
Vad ska man då göra? Jo, skademinimera. Minska antalet återanvända lösenord. Undvik samma lösenord på sajter/tjänster som är under olika administrativ kontroll.
Skapa kategorier för nöje, skräp, nyheter, postorder, jobb och finans och ha olika typer av svåra lösenord för dem. Har du system för att skapa lösenord, låt dem inte vara uppenbara så att ett röjt lösen även röjer systemet.
det är också viktigt att försvåra åtkomsten. Använd extra hjälpmedel och förstärkt autentisering, som Googles tvåstegsverifikation, yubikeys, engångs-sms-koder eller klientcertifikat. Var förberedd på kommande incidenter, följ medier och nyheter.
Fundera dessutom på behovet av flera digitala identiteter.
Får du verkligen, eller är det smart, att ha jobbadress, standardmejlkonto eller liknande på alla tjänster på nätet där du registrerar dig?
Robert Malmgren rankas av CS som Sveriges främste it-säkerhetsexpert och driver konsultbolaget Romab.