Password manager

En password manager er et program, der genererer, opbevarer og udfylder adgangskoder i et krypteret hvælv. Brugeren husker én adgangskode, hovedadgangskoden, og programmet husker resten. Det lyder som en bekvemmelighed, men den egentlige gevinst er sikkerhedsmæssig: det er først med en password manager, at det bliver praktisk muligt at have et unikt kodeord til hver eneste tjeneste.

Problemet den løser

Et menneske kan huske en håndfuld stærke kodeord. En gennemsnitlig dansker har konti hos langt over hundrede tjenester. Regnestykket går ikke op, og resultatet er genbrug: det samme kodeord, eller en variation over det, på tværs af webshops, streamingtjenester, arbejdsmail og netbank.

Genbrug er farligt på grund af credential stuffing. Når en webshop bliver kompromitteret, ender brugernavne og kodeord i store samlinger, der handles videre. Angriberne prøver derefter automatisk de samme kombinationer af hos hundredvis af andre tjenester. Bruddet skete hos den svageste udbyder, men konsekvensen rammer den vigtigste konto.

En password manager bryder kæden. Lækker kodeordet til én tjeneste, er det værdiløst alle andre steder.

Sådan virker den teknisk

Hvælvet er en krypteret fil, og krypteringen hænger på hovedadgangskoden.

1. 1Hovedadgangskoden sendes aldrig til udbyderen. Den køres gennem en nøgleudledningsfunktion som PBKDF2 eller Argon2, der bevidst er langsom, så gættede forsøg bliver dyre
2. 2Ud kommer en krypteringsnøgle, der bruges til at låse hvælvet med AES-256 eller en tilsvarende algoritme
3. 3Krypteringen og dekrypteringen sker lokalt på din enhed. Det, der synkroniseres til udbyderens servere, er den krypterede klump

Denne konstruktion kaldes zero-knowledge: udbyderen kan ikke læse dine kodeord, heller ikke hvis de bliver bedt om det eller selv bliver hacket. Prisen er, at der ikke findes nogen glemt-kodeord-funktion. Mister du hovedadgangskoden og din nødgendannelsesnøgle, er hvælvet tabt.

Typer

Cloudbaserede tjenester synkroniserer hvælvet mellem telefon, computer og browser. Det er den type, der virker i praksis for de fleste, fordi kodeordene skal være tilgængelige der, hvor man logger ind.

Lokale programmer som KeePassXC holder hvælvet som en fil, du selv styrer og selv har ansvaret for at sikkerhedskopiere. Færre bevægelige dele, mere manuelt arbejde.

Browserens indbyggede gemmefunktion er markant bedre end genbrug af kodeord, men svagere end en dedikeret løsning. Den er ofte bundet til én browser, deling er besværlig, og beskyttelsen af hvælvet afhænger af, hvor godt selve brugerkontoen på maskinen er sikret.

Virksomhedsløsninger tilføjer det, en organisation reelt har brug for: delte hvælv pr. team, central udrulning, adgangslogning og — vigtigst — muligheden for at fjerne en medarbejders adgang til alt på én gang ved fratrædelse.

Den oversete gevinst: beskyttelse mod phishing

Autofyld bliver oftest solgt som bekvemmelighed, men det er et sikkerhedstiltag. En password manager udfylder kun et kodeord, hvis domænet matcher det, kodeordet er gemt til.

Lander du på en phishingside, der ligner din netbank til forveksling, sker der ingenting. Programmet foreslår intet, fordi adressen ikke er den rigtige. Det er en advarsel, der ikke afhænger af, at du selv opdager en stavefejl i URL'en — og det er præcis dér, mennesker fejler, når phishingsiden er velbygget.

Konklusionen for daglig brug: hvis dit kodeord ikke bliver udfyldt automatisk, så stop op i stedet for at skrive det manuelt.

Risici og indvendinger

Den mest almindelige indvending er, at man samler alle æg i én kurv. Det er korrekt, og den skal håndteres frem for at afvises.

Hovedadgangskoden er hele fundamentet. Den skal være lang, unik og aldrig brugt andre steder. En passphrase på fire til fem tilfældige ord er både stærkere og lettere at huske end otte tegn med specialtegn.

Hvælvet skal beskyttes af to-faktor. Uden det er hele samlingen kun ét kompromitteret kodeord fra at være åben.

Udbydere bliver også kompromitteret. Bruddet hos LastPass i 2022 er det illustrative eksempel: angriberne fik fat i kopier af kundernes krypterede hvælv. For brugere med en stærk hovedadgangskode var indholdet i praksis utilgængeligt. For brugere med en svag hovedadgangskode kunne det brydes offline i ro og mag. Konstruktionen holdt, men den holdt kun så godt, som brugerens egen adgangskode var.

Nødgendannelse skal planlægges. Skriv gendannelsesnøglen ned på papir og læg den et fysisk sikkert sted. Det er et af de få tilfælde, hvor papir er den rigtige teknologi.

Passkeys og fremtiden

Passkeys bygger på FIDO2 og WebAuthn og erstatter kodeordet med et kryptografisk nøglepar, hvor den private nøgle aldrig forlader din enhed. Der er intet at stjæle fra tjenestens database og intet at narre dig til at oplyse, hvilket i praksis gør phishing virkningsløs.

De fleste password managers kan i dag opbevare passkeys side om side med almindelige kodeord. Overgangen bliver lang, fordi tjenesterne skal understøtte det hver for sig, og indtil den er ovre, skal du have styr på begge dele. En password manager er derfor ikke et skridt væk fra en kodeordsfri fremtid, men vejen derhen.

I en dansk organisation

MitID løser dansk borgerlogin, men dækker ingenting af det, en virksomhed selv driver: administratorkonti på servere, adgang til webshoppens backend, delte konti hos leverandører og de mange SaaS-tjenester, afdelingerne har oprettet hver for sig.

Uden en fælles løsning ender de kodeord i regneark, i Slack-tråde og på gule sedler, og ingen kan svare på, hvem der har adgang til hvad. Det spørgsmål skal kunne besvares under både ISO 27001, hvor kontrol 5.17 handler om håndtering af autentifikationsoplysninger, og under NIS2, hvor adgangsstyring er en del af de risikostyringsforanstaltninger, ledelsen er ansvarlig for.

Både Center for Cybersikkerhed og britiske NCSC anbefaler password managers til privatpersoner såvel som organisationer. Anbefalingen bygger på en nøgtern afvejning: risikoen ved at samle kodeordene ét sted er reel, men den er mindre end risikoen ved genbrug, gule sedler og regneark.

Rækkefølgen ved udrulning er værd at holde fast i. Sæt to-faktor på hvælvet, før du fylder det. Start med de konti, der giver mest skade ved misbrug — e-mail, administratoradgange og økonomisystemer — og tag resten løbende. Og lav en fratrædelsesprocedure fra dag ét, så adgang kan trækkes tilbage samme dag, en medarbejder stopper.