Password-helvedet er ved at overtage mit liv

BLOG: Antallet af passwords og brugernavne, som man skal huske for bare at fungere nogenlunde i den digitale verden, stiger og stiger. Men jeg har fundet en metode, der fungerer. Selv om den ikke er sikker.
Skrevet i Bagsiden


Publiceret d. 9. februar 2010 kl. 10.23 | Antal kommentarer (8)


 
ANNONCE:
Moderne teknologi og moderne sikkerheds-principper er ikke kun til det gode.

Antallet af passwords, brugernavne og koder, som en ganske almindelig dansker skal huske, stiger og stiger.

Til sidst bliver det så kompliceret og uoverskueligt, at man alligevel begynder at anvende det samme password og det samme brugernavn alle de steder, hvor man overhovedet selv har noget at skulle have sagt.

Man kan dårligt nok få lov til at betale de indkøbte varer i snart sagt enhver netbutik uden først at skulle logge ind med brugernavn og password.

Det bliver til en del, når man som jeg kun sjældent får sig bevæget ind i fysiske butikker, men køber det meste af det grej, som det jo er umuligt at leve foruden, i net-butikker i en lang række lande - primært Danmark, Storbritannien, Tyskland, Sverige, USA og Hong Kong.

Batterier, musik, elektronik...
Alle steder vil de have, at man opretter bruger-profil med brugernavn og password.

Selv indkøb af fire små-batterier til dørklokken kræver login.

For ikke at tale om indkøb af cd'er, benklæder, stumper til motorcyklen, værktøj, diverse elektroniske apparater, legetøj, køkkenapparater...

Det samme gælder net-bank, kommunen, energi-selskabet, Skat, ejerforeningens hjemmeside, hjemme-computeren, arbejds-computeren, arbejdssystem-login, database-login (fire-fem styks).

Det er for længst blevet aldeles uoverskueligt.

Bedre er det ikke blevet af, at mange af de sites, tjenester og systemer, der kræver brugernavn og password, i den gode sags tjeneste har skærpet kravene, så det ikke længere er nok at skrive noget, som man kan huske.

Nu kræves der mange steder en kode i en kombination af store og små bogstaver og tal.

Nogle steder skal det endda udskiftes efter en bestemt periode - hvilket som regel svarer til netop den periode, det tager at fæstne det i hukommelsen, der i forvejen bliver presset godt af alle de andre passwords, som man også skal huske.

Det er altså bare ikke muligt
Altså: Det kan da ikke lade sig gøre at huske alle de passwords og brugernavne.

Jeg glemte at nævne Facebook, Billetlugen, iTunes Store, LinkedIn, webmail (både de to private og den professionelle), mobiltelefonen og avis-abonnementerne (tre styks). Alle kræver de brugernavn og password.

Og så er der også pinkoden til de to betalingskort, jeg har i min pung (hvor jeg faktisk for længst har glemt den ene). Alt sammen stiller det krav til min hukommelse.

Hvorfor skal jeg huske alt det bare for at kunne fungere i den digitale verden?

Den nemme løsning
Jeg er ikke den eneste, der har det på den måde. Det mest udbredte password i verden er ikke ligefrem rocket science. Det kan du læse mere om her.

Jeg bilder mig ind, at årsagen er den samme, som gør, at jeg for længst har valgt at fire på de sikkerhedsmæssige aspekter i min navigation rundt mellem internettets mange herligheder: Jeg har fire passwords og et par identiteter, som jeg skifter imellem alle de steder, hvor jeg kan få lov til selv at bestemme mit brugernavn og mit password.

Så skal jeg nemlig kun huske en håndfuld kombinationer, og det kan godt lade sig gøre, og jeg ved, at et af de fire pågældende passwords kan give mig adgang til alle steder, hvor jeg har været før - også selv om det er et år siden, jeg sidst har været på besøg.

Jeg ved, at det er en risikabel fremgangsmåde. Og det gør mig sårbar, hvis slyngler skulle finde på at ville handle i mit navn eller noget.

Men jeg tager chancen, og det fungerer, når det skal gå hurtigt, og købetrangen er over én.

Kodeord: Very complicated
Well. Jeg har netop set filmen Watchmen, der bygger på en tegneserie fra slutningen af 1980'erne.

Her skal en af vores helte, Daniel Dreiberg alias the Nite Owl, under et natligt indbrud forsøge at bryde ind i skurken Adrian Veidts computer.

Sveden perler frem på Daniel Dreibergs pande, mens han i flere forsøg arbejder sig frem mod den tophemmelige kode på computeren. Det skal bemærkes, at Adrian Veidt er så kvik, at han bliver benævnt som 'verdens klogeste mand.'

Daniel Dreiberg gætter febrilsk, skriver det forkerte password, computeren siger 'bing' og meddeler 'access denied.'

Han prøver igen. Endnu engang 'denied.'

Så falder hans blik på en bog om det gamle Ægypten, der står på boghylden i skurkens kontor. Titlen er 'Ramses II.'

Noget går op for Daniel Dreiberg.

Han skriver 'Ramses II' i password-feltet - selvfølgelig med store lysende 1980'er-bogstaver på skærmen - og vupti, har han fået adgang til alle data om Adrian Veidts verdens-forandrende slyngel-streg.

Mon en sikkerhedsansvarlig ville have sagt ok til det?
Jeg har ikke været i stand til at aflure det system, som Adrian Veidt anvender.

Men jeg er sikker på, at enhver it-sikkerhedsansvarlig ikke ville gemme data, der er afgørende for verdens fremtid, bag et password som 'Ramses II' - og slet ikke, hvis passwordet er titlen på en bog, hvis titel ens øjne automatisk strejfer, når man sidder ved computeren.

Havde Adrian Veidt levet i den virkelige verden - og havde han haft en it-sikkerhedsansvarlig - ville passwordet snarere have være noget i retning af 'aDrfF2Q"4tf9.'

Og så må man bare håbe, at Adrian Veidt ikke har netbank, webmail og er køber i adskillige netbutikker, der alle kræver brugernavn og password. Samtidig med at han jævnligt skal logge ind i forskellige databaser.

For så kunne det det jo være, at han ikke ville være i stand til at huske aDrfF2Q"4tf9.

Heller ikke selv om han er verdens klogeste mand.

Kommentarer til blogindlæg



Det er vel på tide at vi ("vi" som i os bruger og "vi" som i os udviklere) kræver at bruge OpenID (http://openid.net). Det ville være herligt, hvis vi kunne slippe for den digitale signatur og alle de andre mærkelige kodeord, vi skal gå rundt og huske.


Der findes nogen hjælpemidler:
https://lastpass.com/
http://sugergenpass.com

Jeg grupperer hjemmesider med samme funktion/domæne under samme password - f.eks. et password som jeg bruger til netbank, skat, digital signatur og den slags, et andet som bruges til det sociale net, f.eks. facebook, linkedin, twitter, google, hotmail og f.eks. et tredje, som bruges til alle former for nethandel butikker.

De forskellige passwords skifter jeg tit, men skal stadig kun huske på 3-4 stykker, som "logisk" kan kobles til huskefunktioner i min hjerne, fordi de dels bruges til beslægtede sider/funktioner og jeg alt andet lige bruger dem oftere, fordi jeg logger ind på mindst en af siderne dagligt.

Derudover bruger jeg ikke volapyk passwords (som aDrfF2Q"4tf9), men genererer mine passwords ud fra det gamle hacker skriftsprog "leetspeak" (eller "l337sp34k").

Der findes en generator her:
http://www.brenz.net/ (...)

Ud fra helt almindelige passwords, laver den noget med både tal, store/små bogstaver og tegn - så bliver det ikke mere sikkert!

Hvis man gider sætte sig ind i "sproget", så er det faktisk supernemt at huske passwords bagefter.

Jeg kan skrive "flydende" l337, så jeg bruger ikke generatoren (men sådan er det jo med os fra den "gamle" skole, fra før PC'en) ;o)

/7|-|0/\/\4$

Et andet simpelt trick kunne være:

1. [kodeord] Find på et privat "ord", bestående af minimum 3 tegn, men gerne 4 eller 5.

2. [tal] Beslut dig derefter for et tal imellem 1 og 99

3. Vælg et "privat" mønstre... kommer tilbage til dette.

4. [service] Fremover tager du så hver "online service's" adresse, f.eks. Facebook.com og benytter fast de første tegn i domænet. Beslut hvor mange af dem du vil bruge. F.eks 3 stk, men 4 eller 5 er også fint.

---------------------------------------
Nu kommer jeg tilbage til mønstret:

Dit private mønstre kunne så være:

a) [service][tal][kode]
b) [kode][tal][service]
c) [kode][service][tal]
osv.

Eksempel:

kode=kat
tal=42
service=computerworld.dk = compu

Ud fra mønstret a) kunne min kode således blive: "compu42kat"
Skal det være endnu mere sikkert kunne det krydres med et specialtegn eller et eller to tegn med stort og der er heller intet til hindre for at have endnu et tal bagefter...

Pointen er at de godt nok kunne minde om hinanden og hvis "backend" servicen ikke er krypteret, kunne en nysgerrig database nørd aflure dit "mønstre".

Men så kan dette princip spices yderligt op med at du benytter to separate koder/tal kombinationer til services alt efter "thrust level". F.eks. en netbank vil jeg ikke benytte overnævnte til, hvis jeg overhovedet selv kunne vælge en kode.

Lokalt netværk kunne få en type kode og facebook o.l. ville få en mindre vigtig kode.

De skal blot være at let at huske og let at generer pr. gang - og skulle min kode blive afluret, kunne jeg jo skifte kode+tal en gang om året eller andet interval alt efter kritiskhed.

Er det for usikkert?

Carsten>> Hvis du så også kører den igennem en l337 generator, så tror jeg den er helt sikker, men ellers ret godt trick :o)

Har stor glæde af at bruge www.passwordstar.com.
Det er en viderudvikling af pinkodehuskeren som er både sikker og nem at bruge - og så har jeg selv bidraget lidt til projektet.

Man kan også lave 2 textfiler på sin USB-nøgle.

Den ene er en liste over hjemmesider, man skal lave passwords til. Den anden er for eksempel en ønskeliste over musik eller andet, man ønsker sig til jul/fødselsdage.

Lad os sige at man ønsker sig Wonderful Tonight med Eric Clapton. Den er fra 1977 og er udgivet på Polydor. Den er fra pladen Slowhand. Sangen er nr. 2 på pladen
Linien bliver så:

Slowhand, Eric Clapton, 1977, Polydor, 02, Wonderful Tonight.

Passwordet bliver så for eksempel:

S,E.C.1977,P,02"wt".

Så tager man sin anden liste, listen over hjemmesider og slår op.
Da Clapton-ønsket er nr.1 på ønskelisten, passer det til nr. 1 på hjemmesidelisten eller til den sidste, hvis man laver listen fra bunden af.

Lidt omstændeligt, men det virker. Naturligvis skriver man ikke selve passwordet i filen, men kun
selve "ønsket".

Niels Kristensen skrev:
Lidt omstændeligt, men det virker. Naturligvis skriver man ikke selve passwordet i filen, men kun
selve "ønsket".


enig, det ville også fungerer. En gammel klassiker er også at benytte sider eller kapitler fra en bog til samme "forkortelses trick".

Men - som du skriver, ender det hurtigt med at blive en smule omstændeligt, hvilket jeg mener får en del til at droppe de mange koder og så bare genbruge den samme = mindre sikkerhed. Jeg synes dog din metode generer nogle bedre koder, men jeg selv ville have svært ved at huske at have disse USB nøgler på mig + gide slå dem op hver gang jeg skal benytte dem. Men det er også bare mig. :o)

En udvidelse kunne være at benytte sine kontakter i mobilen, hvordan man så lige skulle knytte dem til en given webadresse uden at dette ville virke mystisk (her tænker jeg på sikkerhedsproblemet ved at miste USB nøglerne eller sin mobil)

Kommentér
Ytringer på debatten er afsenders eget ansvar - læs debatreglerne

Mere fra Bagsiden


Jeg har fået et Nigeria-brev. Ikke bare en tilfældig e-mail, men et godt gammeldags brev i rudekuvert og med frimærke. Men hvorfor mig?
25. maj 2012 kl. 10.35 | læs »



Mennesker har opfundet disse syv teknologier, der har påvirket vores samfund.
18. maj 2012 kl. 09.07 | læs »



Google Translate kan bruges til andet end at oversætte med. Du kan minsandten også høre heftige beats i oversættelsesmaskine.
11. maj 2012 kl. 14.40 | læs »



Rigspolitiet fortsætter ulovlig praksis omkring mørklægning af Polsag-papirer, selvom ekspert har dømt den ude.
7. maj 2012 kl. 10.41 | læs »



Google er med til at fremme datajournalistik, mens myndigheder arbejder imod.
30. april 2012 kl. 11.59 | læs »









Mest læste seneste uge

Kan gratis sikkerhedssoftware virkelig beskytte din pc? Svaret er ja, hvis du vælger det rette produkt. Læs her en test af de mest pålidelige gratis sikkerhedsprogrammer.

Næsten 200 IBM-ansatte får med få timers varsel sidste arbejdsdag i dag. Ingen var orienteret forud for dagens massefyring, som effektueres øjeblikkeligt.

Flyselskabet SAS har brugt op mod trekvart milliarder kroner og seks år på at udskifte sit bookingsystem. Undervejs har der været flere projekt-udfordringer, som kulminerede en vinternat med en big bang-migrering.

Her er forklaringen på, at IBM Danmark med direktør Lars Mikkelgaard-Jensen i spidsen fyrer 170 medarbejdere.

IBM Danmark lader hovederne rulle.