Kan du gætte hvad "123456" er?

Måske der sidder nogle sikkerhedseksperter rundt omkring der er chokerede og forargede over denne nyhed, men for mig som typisk bruger af internettet er resultatet indlysende.

Jeg skal måske huske adgangskoder til mellem 40 og 50 forskellige ting. Alle steder stilles der forskellige krav til adgangskoden, nogle gange må de maksimalt være 8 tegn, andre gange skal de være mere end 8 tegn, nogle skal indeholde både tal og bogstaver, nogle skal indeholde store og små bogstaver o.s.v. Så man kan for det første ikke bruge én meget svær adgangskode overalt.

På mit arbejde skal jeg desuden skifte adgangskoden hver tredje måned, og så må jeg ikke genbruge de sidste 20 adgangskoder. Hvad forventer man egentlig? At jeg skal kunne huske 40 forskellige koder af typen " tlpWENT2m"?

Løsningen er ikke som det foreslås i artiklen at tvinge brugerne til at vælge svære adgangskoder. Ved det opnår man bare, at brugerne ikke kan huske deres adgangskoder med alt det besvær, det medfører. Nej, løsningen er at sikkerhedseksperter og it-udviklere finder på en sikkerhedsløsning, der kan fungere for alle i praksis.

Det nytter ikke noget at blive ved med at klage over, at brugerne er for dumme, når dette blot er et resultat af, at man giver dem dårlige it-løsninger at arbejde med.

#1

Så nemt er det jo ikke. Det eneste man som udvikler kan gøre er jo reelt at sætte krav til længden, brug af tal, store og små bogstaver osv. Men det skader også brugervenligheden. Og sikrer i sig selv ikke stærke passwords, da de mange nok vil bruge noget f.eks. qweRTY123

Alternativet er at bruge services som OpenID. Men det kræver så også at man skal brande deres navn på ens side. Noget mange ikke er interesserede i.

Ellers skal man ud i noget digital signatur eller andet, hvor man skal installere certifikater på brugerens computer. Hvilket er overkill for langt størstedelen af hjemmesider og også skader adgang fra f.eks. arbejdscomputer hvor det ikke er installeret.

Bottom line er, at brugerne selv vælger deres password, og derfor kan vælge hvad de vil indenfor visse rammer. IT-udvikleren skal naturligvis sørge for kun at gemme det krypteret, så alle passwords ikke kan aflæses som i dette tilfælde. Websitet kunne evt. oplyse om hvor hurtigt deres adgangskode kunne brydes ud fra forskellige parametre, og derfor lære brugeren om den eventuelle konsekvens. Men i sidste ende er det brugeren der vælger om han/hun vil have et stærkt eller svagt password.

http://ars.userfriendly.org/ (...)

..hvad kan man forvente brugere benytter som passwords på sites som "rock you" ? Det er vist ikke lige et site med ultra følsomt indhold og derfor er passwords nok også derefter. Måske målgruppen tilmed er 6-10 årige og så man kan *slet* ikke konkludere noget om password valget.
Ydermere vil jeg formode at en stor del af de 32 mill passwords ikke har været brugt mere end den ene gang de blev oprettet. Hvis jeg skal ind på et site og "se hvad det er" så opretter jeg mig også bare (i første omgang) med "Anders And" data (og et tilhørende nemt password). Først hvis jeg beslutter mig for at bruge sitet "for real" vil jeg oprette mig på korrekt vis. Mon ikke "rock you" er et site med *rigtig* mange en-gangs besøgende ?!

Undersøgelsens resultater kan man nok sætte spørgsmålstegn ved i særdeleshed pga. sitets karakter - nok mest for sjov og til børn..
Så med det i mente kan vi nok sove roligt igen - eller hvad?
Desværre nej. Sandheden den, at så længe det er muligt vil brugere springe over hvor gærdet er lavest - også ofte uden tanke på evt. konsekvenser hervaf.

Den meget "irriterende" problemstilling ved passwords er netop den, at vi naturligvis gerne ville vælge sikre passwords hvis vi så ellers kan huske dem. Men sikre passwords kan netop være vanskelige at huske.
Men det mest irriterende er nok den konsekvens det har - at man bliver afskåret fra sit ærinde - man bliver ikke lukket ind på sin computer, netværk, web-site eller..

Der er ingen tvivl om at man må skelne mellem vigtige systemer (bank, netværk etc.) og ikke-vigtige systemer (rockyou, anders ands bogklub) når man vælger password.

Når det gælder vigtige systemer, der udgør password'et den væsentligste kilde til identifikation af brugere og denne identifikation MÅ naturligvis være sikker eg. der må stilles krav til password politikken (kompleksitet, skifte frekvens, historik etc.). Det kan man iøvrigt læse mere om på IT & Telestyrelsens hjemmeside:

http://www.itst.dk/ (...)

Så problemstillingen er, at vi som brugere gerne vil være sikre på at en anden ikke kan identificerer sig som een selv og samtidig vil vi meget gerne have adgang til systemerne når vi har behov for det.

Man kan som bruger, med rette, stille krav om at dette behov tilgodeses af systemleverandørerne. Man skal hurtigt og enkelt kunne komme videre med sit ærinde - også selvom man har glemt sit password.

Det svarer i virkeligheden (og det er så den der ikke har med IT at gøre..) til, at møder man op i lufthavnen uden sit pas, ja så accepterer man at man ikke kan komme ud at flyve. Men har man husket at medbringe gyldigt pas, ja så har man den identifikation der kræves af systemejerne (myndighederne/security) og kan fortsætte sin rejse.

Ikke at man laver loginbetingelserne så top 100 over de mest brugte passwords ikke kan anvendes?

Hvad angår den med at man ikke behøver stærke passwords til "Anders And"-forums, kan jeg fortælle at jeg for nylig blev medlem af et af de ovennævnte forums.

Selve forummet havde lige overstået et problem hvor en bruger/hacker havde infiltreret forummet og sendt en intern mail/besked til samtlige medlemmer. Hver gang en bruger svarede på den, blev svaret sendt til samtlige brugere.

De fik det heldigvis forholdsvis hurtigt stoppet, men det kunne have nedlagt forummet for bestandigt, da den slags er dyrt at finde og rette. Samtidig gjorde de det umuligt at sende gruppebeskeder til mere end 5 medlemmer ad gangen og det er jo en forringelse af forummet og den slags giver murren i medlemsrækkerne.

Nu kan man selvfølgelig sige sig selv at brugeren bare kunne have oprettet en profil selv og anrettet skaden derfra, men ved at hacke sig ind er man, som hacker, bedre sikret mod erstatningskrav.

Pointen er at selv "Anders And"-forummer med rimelighed bør kræve stærke passwords.