Vælg og brug en adgangskodeadministrator

Modul 2: Adgangskoder og login · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du vælge og opsætte en adgangskodeadministrator, beskytte hovedadgangskoden og dele adgangskoder sikkert i et team.

Nøglebegreber: adgangskodeadministrator, hovedadgangskode, boks, end-to-end-kryptering, delt boks, nødadgang, browser-adgangskodeadministrator

Hvad en adgangskodeadministrator gør

I lektion 2.1 så du, at hver konto har brug for sin egen lange, tilfældige adgangskode. Ingen kan huske firs af dem. En adgangskodeadministrator er software, der gør det for dig. Den:

• laver en stærk, tilfældig adgangskode til hver tjeneste;
• opbevarer alle adgangskoder krypteret i en boks;
• udfylder dem på den rigtige hjemmeside, og kun der;
• advarer ofte om svage, dobbelte eller lækkede adgangskoder;
• kan i mange produkter også opbevare koder til totrinsbekræftelse og gemme passkeys (lektion 2.3 og 2.4).

Du skal kun huske én ting: den hovedadgangskode, som du åbner boksen med. Det nederlandske NCSC anbefaler en adgangskodeadministrator som fast grundlag, også for små organisationer, med klare aftaler om hvilken administrator man bruger, og for hvilke konti den er obligatorisk.

Typer af adgangskodeadministratorer

Der findes ikke én bedste type. Det nederlandske NCSC skelner mellem administratoren i browseren, den separate app, og online (cloud) over for offline (lokal). I praksis møder du disse former:

Kendte eksempler på separate administratorer er Bitwarden, 1Password, KeePassXC og Proton Pass, ud over de administratorer, der sidder i browsere og operativsystemer. Dette er ikke en anbefaling: vælg ud fra spørgsmålene nedenfor.

Spørgsmål til valget

• Virker den på alle dine enheder og browsere, også kollegaernes?
• Kan du dele bokse med rettigheder pr. mappe, og fjerne nogen fra en boks igen?
• Er boksen end-to-end-krypteret, og hvad er krypteret og hvad er ikke (for eksempel adresserne på hjemmesider)?
• Kan du beskytte boksen med totrinsbekræftelse eller en passkey?
• Er der nødadgang eller en gendannelsesordning, og hvordan virker den præcis?
• Kan du eksportere dine data, hvis du vil skifte?
• Ved gratis versioner: hvad er forretningsmodellen?

End-to-end-kryptering: hvad hvis leverandøren bliver hacket?

I en god cloudadministrator krypteres din boks på din egen enhed med en nøgle, der udledes af din hovedadgangskode. Leverandøren modtager kun den krypterede pakke. Det kaldes end-to-end-kryptering (nogle gange "zero knowledge"). Leverandøren kan ikke læse dine adgangskoder, og kan derfor heller ikke nulstille din hovedadgangskode for dig.

Bliver leverandøren hacket, kan en angriber stjæle de krypterede bokse. Han kan derefter prøve at knække dem offline, som i lektion 2.1. Din hovedadgangskode er på det tidspunkt din eneste beskyttelse. Derfor:

• Hovedadgangskoden er lang og unik: en adgangskodesætning med mindst fem, helst seks tilfældige ord.
• Du bruger den ingen andre steder.
• Efter et læk hos leverandøren skifter du både din hovedadgangskode og adgangskoderne til dine vigtigste konti. Den gamle, stjålne boks er jo krypteret med den gamle hovedadgangskode.

Totrinsbekræftelse på boksen hjælper mod nogen, der har din hovedadgangskode og vil logge ind via hjemmesiden. Det hjælper ikke mod at knække en stjålet boksfil. Det nederlandske NCSC siger det også: 2FA på administratoren er ingen grund til en svag hovedadgangskode.

Beskyttelse af hovedadgangskoden

At glemme hovedadgangskoden er ved en god administrator ofte endegyldigt: leverandøren kan ikke hente den tilbage. Ordn derfor dette på forhånd:

• Skriv hovedadgangskoden på papir og opbevar det hjemme på et sikkert sted. Det nederlandske NCSC synes, det er fint, så længe du ikke skriver, hvad det er til.
• Lav gendannelsessættet eller nødkoden, som din administrator tilbyder, print det ud og opbevar det sammen med papiret.
• Indtast kun hovedadgangskoden i selve appen eller udvidelsen fra administratoren, aldrig på en hjemmeside, der beder om den.
• Slå automatisk låsning til efter et par minutters inaktivitet.

Hvorfor automatisk udfyldning hjælper mod phishing

En adgangskodeadministrator kobler hver adgangskode til hjemmesidens adresse. På https://mijnbank.example udfylder den din adgangskode. På en lookalike som https://rnijnbank.example (rn i stedet for m) eller https://mijnbank-veilig.example gør den intet, for de adresser er ikke knyttet til elementet.

Et menneske ser ofte ikke forskellen mellem rn og m. Administratoren sammenligner tegn og bliver hverken træt eller forhastet. Det er en reel beskyttelse, men kun hvis du lader den gøre sit arbejde:

Udfylder din administrator pludselig intet på en side, hvor det altid plejede at ske? Så gå ikke uden om det ved at kopiere adgangskoden manuelt. Se først meget nøje på adressen. Det er præcis det øjeblik, hvor administratoren advarer dig.

Der kan også være en god grund til, at den ikke udfylder: en tjeneste, der er flyttet til en ny adresse. Kontrollér det så via en anden vej, for eksempel ved selv at indtaste den adresse, du allerede kendte.

Deling i et team

I en lille virksomhed er der altid konti, man bruger sammen: netbutikken på webwinkelplatform.example, kontoen hos koeriersdienst.example, virksomhedens sociale medier. Det bedste er, at alle har deres egen konto (modul 7). Kan det ikke lade sig gøre, så brug en delt boks:

• Lav bokse eller mapper pr. emne ("Netbutik", "Økonomi", "Sociale medier") og giv kun adgang til dem, der har brug for det.
• Del aldrig via mail, chat eller et regneark. Den, der har adgang til den delte boks, kan se adgangskoden der.
• Forlader nogen virksomheden? Fjern vedkommende fra boksen og skift de adgangskoder, vedkommende kunne se. At fjerne fra boksen alene er ikke nok: vedkommende kan have skrevet dem af eller gemt dem.
• Lav en ordning for nødadgang: hvad sker der, hvis du, ejeren, bliver syg eller falder bort? Mange administratorer har en funktion, hvor en betroet person får adgang efter en ventetid. Eller du opbevarer gendannelsesoplysningerne i en forseglet kuvert hos en anden person.

I praksis: skift på en eftermiddag

1. Vælg en administrator og installer den på computer og telefon, med browserudvidelsen.
2. Lav en hovedadgangskode (adgangskodesætning), skriv den ned, gem gendannelsessættet.
3. Slå totrinsbekræftelse til på boksen.
4. Importer adgangskoder, som din browser allerede havde gemt. En eksport er ofte en ukrypteret fil: slet den straks efter import, også fra papirkurven.
5. Begynd med de vigtigste konti og giv hver en ny, tilfældig adgangskode: din mailboks (info@example.com), din hosting og domæneregistrering, din bank og dit regnskab (for eksempel på boekhoudpakket.example).
6. Opdater resten, efterhånden som du alligevel logger ind. Advarslerne om dobbelte adgangskoder hjælper dig.

Bruger du en tjeneste i WebOké-miljøet, som en mailboks eller Nextcloud, med apps på din telefon? Nogle gange laver du dertil en separat app-adgangskode (se Videnbank 436). Den opbevarer du også i administratoren, ved det rigtige element. Hos andre udbydere virker det tilsvarende.

Opsummering

• En adgangskodeadministrator laver, opbevarer og udfylder unikke adgangskoder; du skal kun huske hovedadgangskoden.
• Typer: indbygget i browser eller system, separat app med cloud, lokal, open source eller selv hostet. Vælg ud fra enheder, deling, kryptering og gendannelse.
• Ved end-to-end-kryptering er din hovedadgangskode den sidste forsvarslinje, hvis leverandøren bliver hacket.
• Udfylder administratoren ikke, så se på adressen i stedet for at kopiere.
• Del via en delt boks, og skift adgangskoder, når nogen forlader virksomheden.

Quiz

Opgave

Opgave D2.2: Sæt din adgangskodeadministrator op. Vælg en adgangskodeadministrator, lav en hovedadgangskode og et gendannelsessæt, slå totrinsbekræftelse til på boksen, og giv dine fem vigtigste konti en ny, unik adgangskode. Afkryds tjeklisten og besvar refleksionsspørgsmålene. Du udfylder ingen steder en adgangskode.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere virker det tilsvarende.

• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• Opret en app-adgangskode (nødvendig for at forbinde apps og enheder)
• Nextcloud-vejledning 3.5: App-adgangskoder: hvornår og hvordan
• Det nederlandske NCSC, Hvordan vælger jeg en adgangskodeadministrator?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Det nederlandske NCSC, Fire trin til at gøre dine adgangskoder sikrere: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken