Kan jeg gætte dit password?

Svage passwords er en af de ældste sårbarheder der findes. Det er der selvfølgelig en grund til: med mindre vi bliver tvunget - eller undervist - i andet, så vælger vi password efter dette mønster:

Ingen koder
Hvis man giver en bruger frit valg vil alle brugere selvfølgelig, alt andet lige, vælge at ikke bruge passwords, fordi det er det mest brugervenlige, dvs. letteste.

Almindelige ord
Hvis systemet tvinger til at bruge et kodeord, er første problem hvordan man selv husker sin kode. Så man vælger i første omgang sin kode ud fra, om man tror man kan huske den, ikke fordi man tænker på sikkerhed.

Udover at skrive koden ned har man derfor to valg:
1) Vælge noget man tit tænker på eller noget der passer til login situationen
2) Opfind et system eller en model, så man kan huske koden

Koder der passer til situationen er f.eks. "Admin" eller "Administrator" når man logger på som administrator, og "Cisco" når man logger på routeren. Men det gør du selvfølgelig ikke, vel?

Den anden mulighed er, at vælge man tænker på ofte - og derfor er let at huske. Det er typisk noget personligt, navnet på et familiemedlem , et kæledyr, eller ens arbejde, hobbyer og fødselsdage er andre typiske personlige valg. Hvis man kender en smule til en bruger er det typisk let at gætte hvilket kodeord der er valgt. Ellers findes der masser af ordlister på Internettet en angriber kan bruge.

Det "svære" kodeord - dit eget system
Alle brugertest viser, at har man først hørt om sikkerhedsproblemer ved svage kodeord, har man sjældent problemer med at vælge ganske lange kombinationer at både tal og bogstaver som kodeord, når bare man selv kan vælge koden.
Når man begynder at blande tal og bogstaver bliver koden svær at huske og man er derfor nødt til at opfinde et system for at kunne huske kodeordet. Det er derfor det er vigtigt man selv kan vælge koden.

Koder der blander tal og bogstaver er bedre end personlig information eller almindelige ord som kode. Men desværre er vi mennesker utroligt dårlige til at finde på rigtigt unik information. Og det gælder selvfølgelig også for vores password systemer, de er sjældent unikke - med mindre man virkelig gør sig umage. Derfor kan man stadig tit gætte "svære" kodeord.

Hvad er sandsynligheden for at gætte din PIN-kode hvis du selv har valgt dine 4 tal?

For eksempel er sandsynligheden for at gætte en selvvalgt PIN-kode i første forsøg ikke 1 til 10.000 men langt lavere. Det er selvfølgelig fordi mange af de mulige tal-kombinationer umiddelbart er svære at huske.

Rigtig mange vælger fortløbende koder: "1234", "4321" eller "5678", andre vælger gentagne tal: "1111" eller "4444". To sæt er også meget almindeligt: "5566" og "6969". Endelig er der sigende kombinationer som "1945" (årstal) og selvfølgelig datoer "0204" (2.april). Derfor vil der være mange flere PIN-koder der starter med tal mellem 01 og 31, end der vil være koder der starter med tal mellem 32 og 99.

Systemer er sjældent helt unikke
Det typiske man gør som bruger er, at beholde noget man kan huske og så sætte "noget svært" på bagefter. Ca. 2/3 bruger et tal som rod, dvs. hvis koden var "Fido", bliver den nye kode "Fido123" med roden "123". Man skriver næsten aldrig "123Fido" (kun ca. 10% har "den svære del" før stammen) og man vælger derfor selvfølgelig også "Fido01" hvis der skal skiftes kodeord hver måned, ikke "01Fido".

Hvis der ikke er krav til antallet af tal i kodeordet bruger de fleste et eller to tal som tillæg, dvs. mellem 0 og 99, de mest almindeligt er "1", "2", "3" (de fleste bruger "1"). Tal kommer meget sjældent over 4 cifre ("123" er meget almindeligt, og "1234" er betydeligt mere almindeligt end "12345"). Årstal og datoer er selvfølgelig altid meget brugt, f.eks. fødselsår og årstallet passwordet blev oprettet.

Hvis der er krav om både store og små bogstaver er det typisk det første bogstav der bliver skrevet med stort, så det er mere almindeligt at skrive "Admin" end "admiN" eller "adMin".

Det "avancerede" kodeord
Avancerede koder bliver især brugt af it-folk. Vi har typisk (ligesom næsten alle andre)
valgt en stamme vi kan huske (måske ikke "Fido", men så en kombination af bogstaver der er sigende for os) og derefter sat en rod på (123). men vi vil gerne være sikre så vi bruger også et par special tegn som tillæg, her er "!!" og "**" er altid gode valg.

Har jeg gættet din kode, eller har du et godt system du vil dele som inspiration for andre?