Læs også:
Kritik: Ny login-metode i Windows er det rene legetøj
Computerworld News Service: Passwords har behov for en overhaling, som ikke er drevet af gætværk, men af en faktisk forståelse for den reelle fare, der kan opstå, når password-sikkerheden bliver kompromitteret, siger en researcher fra Microsoft.
Selv om mange snakker om at udskifte passwords med noget helt andet, så gør de det ofte uden nogen videre beviser, siger Cormac Herley, der er ledende researcher hos Microsoft Research.
Keyloggere, phishing, såkaldte 'brute force'-angreb og session hijacking er alle metoder, der bruges til at komme uden om passwords, men det er umuligt at lave et diagram, der viser, i hvor høj grad de forskellige metoder bliver brugt.
Det er der ingen, der ved, skriver han i en rapport om emnet.
"Vi kender ikke fordelingen - ikke engang tilnærmelsesvist," siger han.
Sådan kan man øge sikkerheden
Udover at finde ud af det, anbefaler han også andre skridt, der kan gøre brugen af passwords mere effektiv:
- Undersøg den skade, som kompromitterede passwords skaber, og få skabt en inddeling mellem de værste sager og de mere gennemsnitlige sager.
- Tilbyd bedre brugersupport til passwords, så brugen af passwords bliver mere sikker.
- Find ud af hvornår passwords ikke er nok - og hvorfor - så der kan udvikles passende alternativer.
- Skab en metode til objektiv evaluering af alternativerne.
Cormac Herleys præmis er, at passwords er så udbredte og også brugbare på så mange måder, at de ikke vil forsvinde lige med det samme. Hvis de var totalt ineffektive, så var der jo trods alt heller ikke nogen, der ville bruge dem.
"Research-fællesskabet er ikke i stand til at måle skadevirkningerne, men individuelle virksomheder ligger angiveligt inde med beregninger af deres tab i forbindelse med eksisterende trusler," skriver Cormac Herley i rapporten, som han har skrevet sammen med Paul C. van Oorschot, der er professor i datalogi ved Carleton University.
"Deres handlinger tyder på en præference for password-relaterede tab frem for usikkerheden ved alternativerne," står der videre.
Derfor er passwords så gode
Passwords har mange fordele - de er gratis, giver adgang fra enhver maskine med en browser, det er simpelt at trække dem tilbage, og det er nemt for glemsomme brugere at lave et nyt - og det gør det alt sammen svært at droppe passwords helt.
"Der findes ikke nogen alternativ teknologi, der indeholder en kombination af sikkerhed, brugervenlighed og økonomi, som kan leve op til alle mål i alle situationer," siger Cormac Heyley.
Han forsvarer desuden de slutbrugere, som ofte bliver beskyldt for at skabe svage passwords, genbruge dem og skrive dem ned på måder, der kan kompromitteres.
Et helt sæt af stærke, unikke passwords til beskyttelse af forskellige hjemmesider og applikationer kræver, at brugerne yder en ekstra indsats, som måske ikke engang er nødvendig, siger han.
"Uden bedre bruger-support vil passwords kræve mere og mere arbejde fra brugerne, og den indsats kan bruges bedre andetsteds," siger han.
Password-support består som regel af informationer om, hvordan man skaber et stærkt password, gode råd til at undgå phishing, tilskyndelser til at tjekke alle URL'er grundigt og til at undgå keyloggere med antivirus-software og opdateret software.
"Og på den måde får brugerne de råd, der er nemmest at give, i stedet for gode råd, der taler om den risiko, som de rent faktisk står overfor," skriver Cormac Heyley.
Oversat af Marie Dyekjær Eriksen.
Læs også:
