Overførsel af adgangskoder til en adgangskodehåndtering

Modul 7: Samarbejde, apps og sikkerhed · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du flytte adgangskoder sikkert fra din browser, sedler og regneark til en adgangskodehåndtering, der passer til din nye opsætning, inklusive delte bokse til teamet.

Centrale begreber: adgangskodehåndtering, boks, hovedadgangskode, gendannelsesnøgle, adgangskoder i browseren (Google, Edge, Apple), eksport som csv, delt boks eller samling, selv hoste, open source, kryptering på din egen enhed (zero-knowledge), opbevaring af passkeys

Den glemte del

I næsten enhver oversigt mangler adgangskoderne. De står ikke i en cloudtjeneste, du opsiger, så ingen tænker på dem. Alligevel sidder de ofte midt i det hele. Hos Bakkerij De Korrel viser en gennemgang:

• de fleste adgangskoder står i Chrome, gemt i personens Google-konto;
• adgangskoderne til banken, grossisten og webshoppen står i et regneark wachtwoorden.xlsx i Google Drive;
• wifi-adgangskoden og alarmkoden hænger på en seddel;
• to kolleger bruger den samme adgangskode overalt.

Hvis Google-kontoen forsvinder, forsvinder adgangskoderne i Chrome med. Og et regneark med adgangskoder i skyen er en af de første ting, en indbrudstyv leder efter. Et skifte er derfor det rette tidspunkt at løse dette på.

Hvad en adgangskodehåndtering gør

En adgangskodehåndtering er en krypteret boks til adgangskoder, med en app på telefon og computer og en udvidelse i browseren. Du husker én stærk hovedadgangskode; håndteringen laver for hver side en lang, unik adgangskode og udfylder den for dig.

Det vigtige er, hvor krypteringen sker. Hos de kendte håndteringer krypteres boksen på din egen enhed med en nøgle, der er afledt af din hovedadgangskode. Udbyderen gemmer kun den krypterede boks og kan ikke læse dine adgangskoder. Det kaldes ofte "zero-knowledge". Konsekvensen: glemmer du din hovedadgangskode og har du ingen gendannelsesnøgle, kan udbyderen heller ikke hjælpe dig.

En god håndtering udfylder også kun på den rigtige adresse. En falsk side fra din bank får derfor ingenting, selv hvis den ser nøjagtigt ens ud. Det er en ekstra beskyttelse mod phishing.

Hvilke typer findes der?

Dette er ikke en rangliste. For en enkeltmandsvirksomhed kan KeePassXC med boksfilen i egen cloud sagtens være fint. For et team på tolv er en håndtering med delte bokse mere praktisk. Brug de fem spørgsmål fra lektion 2.1 (hjemsted, ejer, datacenter, underdatabehandlere, nøgle) også her. Ved en adgangskodehåndtering vejer det sidste spørgsmål tungest: hvem har nøglen? Er det kun dig selv, betyder det mindre, hvor den krypterede boks ligger, end ved almindelige filer.

Overførsel: eksport, import og øjeblikkelig bortskaffelse

Næsten enhver browser og håndtering kan eksportere adgangskoder som csv-fil. Det er en almindelig tekstfil med en side, et brugernavn og en adgangskode på hver linje, ukrypteret. Alle, der åbner filen, kan læse alt. Derfor:

1. Gør det på en computer, du stoler på, ikke på en delt butikscomputer.
2. Eksporter til din egen computer, ikke til en synkroniseret mappe eller skyen. Ellers ligger den ukrypterede fil inden for få sekunder på serveren, i versionerne og i papirkurven.
3. Importer den straks i den nye håndtering.
4. Kontroller stikprøvevis, om det stemmer (log ind på et par sider).
5. Slet csv-filen med det samme, og tøm også computerens papirkurv.
6. Slå derefter gemning af adgangskoder i browseren fra, så der ikke opstår en anden, forældet kopi.

Regnearket med adgangskoder overfører du ved at indtaste oplysningerne manuelt i håndteringen (eller importere dem som csv, med de samme regler). Slet regnearket bagefter, også fra papirkurven og versionshistorikken i den gamle cloud. Skift de vigtigste adgangskoder, der stod i det, for du ved ikke, hvem der har set filen gennem årene.

Vær også opmærksom på passkeys (lektion 7.3). En passkey, der er gemt i din Google- eller Apple-konto, kan du ikke altid eksportere. Opret en ny passkey til de vigtige sider i din nye håndtering, eller sørg for, at din adgangskode og andet trin er kendt, før du nedlægger den gamle konto.

Deling i et team

Nogle adgangskoder hører til organisationen, ikke til en person: banken, grossisten, konti på sociale medier, wifien. Brug til det en delt boks eller samling i håndteringen:

• Lav en boks pr. gruppe: "Butik", "Administration", "Administration (drift)". Ikke alle behøver at kunne se alt.
• Del aldrig en adgangskode via chat eller mail. Heller ikke "lige hurtigt".
• Hvis nogen stopper, fjern vedkommende fra de delte bokse og skift de adgangskoder, vedkommende havde adgang til, og som vedkommende kan have husket eller kopieret.

Hovedadgangskoden og den dag, det går galt

Hovedadgangskoden er den eneste nøgle. Vælg en lang sætning på fire til seks tilfældige ord, som du ikke bruger andre steder. Slå også totrinsbekræftelse til på selve håndteringen.

Aftal gendannelse på forhånd:

• Opbevar den gendannelsesnøgle eller nødadgang, som din håndtering tilbyder, på papir, på et sikkert sted.
• Aftal for organisationen, hvem der får adgang ved ejerens død eller langvarig sygdom. Mange håndteringer har en funktion til nødadgang.
• Backupkoderne til dine vigtigste konti hører også hjemme her, eller på papir (lektion 7.3). Ikke i en boks, du kun kan komme ind i med netop de konti.

I praksis: sådan ser det ud hos en udbyder

I en WebOké Nextcloud er der ingen separat adgangskodehåndtering; du bruger en adgangskodehåndtering efter eget valg. Bruger du KeePassXC, kan du lægge den krypterede boksfil i din Nextcloud, så den via desktop-appen findes på alle dine computere og kan hentes tilbage via versioner. Filen er da krypteret med din hovedadgangskode, før den når serveren. Vejledningen om sikkerheden for WebOké Nextcloud anbefaler selv også en adgangskodehåndtering og nævner den som et godt sted til dine backupkoder.

Hos andre europæiske cloudtjenester virker det på lignende vis: adgangskodehåndteringen er som regel en selvstændig tjeneste eller app ved siden af din cloud.

Opsummering

• Adgangskoder i browseren på din gamle konto forsvinder med, hvis du nedlægger den konto. Flyt dem i forvejen.
• En adgangskodehåndtering krypterer på din egen enhed; hovedadgangskoden er den eneste nøgle.
• En csv-eksport er ukrypteret: aldrig i en synkroniseret mappe, importer straks, kassér straks.
• Brug delte bokse pr. gruppe til organisationens adgangskoder, og skift dem ved afgang.
• Aftal gendannelse og nødadgang på forhånd, på papir.

Quiz

Opgave

Opgave E7.4: Adgangskodeoversigt og overførselsplan. Find ud af, hvor adgangskoderne i din organisation ligger lige nu (browser pr. person, regneark, sedler, delte konti), vælg en adgangskodehåndtering ud fra de fem spørgsmål fra lektion 2.1, og skriv overførselsplanen: hvem eksporterer hvad, på hvilken computer, hvornår csv-filen slettes, og hvilke delte bokse der skal oprettes.

Læs mere

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på lignende vis.

• Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
• Nextcloud-vejledning 3.3: En authenticator-app indstille og backup-koder gemme
• NCSC, Kom i gang med cybersikkerhed (det nederlandske NCSC): https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/