Vælg og brug en adgangskodeadministrator

Modul 2: Adgangskoder og login · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du vælge og sætte en adgangskodeadministrator op, beskytte hovedadgangskoden og dele adgangskoder sikkert i et team.

Nøglebegreber: adgangskodeadministrator, hovedadgangskode, boks, end-to-end-kryptering, delt boks, nødadgang, browserens adgangskodeadministrator

Hvad en adgangskodeadministrator gør

I lektion 2.1 så du, at hver konto har brug for sin egen lange og tilfældige adgangskode. Ingen kan huske firs af dem. En adgangskodeadministrator er software, der gør det for dig. Den:

• laver en stærk, tilfældig adgangskode til hver tjeneste;
• gemmer alle adgangskoder krypteret i en boks;
• udfylder dem på det rigtige website, og kun dér;
• advarer ofte om svage, genbrugte eller lækkede adgangskoder;
• kan i mange produkter også gemme koderne til totrinsbekræftelse (2FA) og dine passkeys (lektion 2.3 og 2.4).

Du skal kun huske én: hovedadgangskoden, som du åbner boksen med. Det hollandske NCSC anbefaler en adgangskodeadministrator som et fast grundlag, også for små organisationer, med klare aftaler om, hvilken administrator I bruger, og til hvilke konti den er obligatorisk.

Typer af adgangskodeadministratorer

Der findes ikke én bedste type. Det hollandske NCSC skelner mellem administratoren i browseren, den selvstændige app og online (cloud) over for offline (lokalt). I praksis møder du disse former:

Kendte eksempler på selvstændige administratorer er Proton Pass, 1Password, Bitwarden og KeePassXC, ud over dem, der er indbygget i browsere og styresystemer. I vejledningen Adgangskodeadministrator i praksis sammenligner vi 23 adgangskodeadministratorer på brugervenlighed, sikkerhed og privatliv (EU og GDPR), med virksomhedens land, prisen og anmeldelser (se Læs mere). Vores råd dér: Proton Pass, eller 1Password, hvis du vil have det allernemmeste. Er du i tvivl, så vælg ud fra spørgsmålene herunder.

Spørgsmål, når du vælger

• Virker den på alle dine enheder og browsere, også dine kollegers?
• Kan du dele bokse med rettigheder pr. mappe, og fjerne en person fra en boks igen?
• Er boksen end-to-end-krypteret, og hvad er krypteret og hvad er ikke (for eksempel websiteadresserne)?
• Kan du beskytte boksen med totrinsbekræftelse eller en passkey?
• Er der nødadgang eller en gendannelsesordning, og hvordan virker den præcist?
• Kan du eksportere dine data, hvis du vil skifte?
• Ved gratis versioner: hvad er forretningsmodellen?

End-to-end-kryptering: hvad hvis leverandøren bliver hacket?

Hos en god cloudadministrator krypteres din boks på din enhed med en nøgle, der udledes af din hovedadgangskode. Leverandøren får kun den krypterede pakke. Det kaldes end-to-end-kryptering (nogle gange "zero knowledge"). Leverandøren kan ikke læse dine adgangskoder og kan derfor heller ikke nulstille din hovedadgangskode for dig.

Bliver leverandøren hacket, kan en angriber stjæle de krypterede bokse. Han kan så forsøge at knække dem offline, som i lektion 2.1. Din hovedadgangskode er da din eneste beskyttelse. Derfor:

• Hovedadgangskoden er lang og unik: en adgangssætning på mindst fem, helst seks tilfældige ord.
• Du bruger den ingen andre steder.
• Efter et læk hos leverandøren skifter du din hovedadgangskode og adgangskoderne til dine vigtigste konti. Den gamle, stjålne boks er jo krypteret med den gamle hovedadgangskode.

Totrinsbekræftelse på boksen hjælper mod en person, der har din hovedadgangskode og vil logge ind via websitet. Den hjælper ikke mod, at en stjålet boksfil bliver knækket. Det hollandske NCSC siger det også: 2FA på administratoren er ingen grund til en svag hovedadgangskode.

Beskyt hovedadgangskoden

Glemmer du hovedadgangskoden, er det hos en god administrator ofte endeligt: leverandøren kan ikke hente den frem. Sørg derfor for dette på forhånd:

• Skriv hovedadgangskoden ned på papir, og opbevar det et sikkert sted derhjemme. Det hollandske NCSC synes, det er helt fint, så længe du ikke skriver ved, hvad den er til.
• Lav det gendannelsessæt eller den nødkode, som din administrator tilbyder, print det, og opbevar det sammen med papiret.
• Indtast kun hovedadgangskoden i administratorens egen app eller udvidelse, aldrig på et website, der beder om den.
• Slå automatisk låsning til efter et par minutters inaktivitet.

Hvorfor automatisk udfyldning hjælper mod phishing

En adgangskodeadministrator knytter hver adgangskode til websitets adresse. På https://minbank.example udfylder den din adgangskode. På en efterligning som https://rninbank.example (rn i stedet for m) eller https://minbank-sikker.example gør den ingenting, for de adresser står ikke ved elementet.

Et menneske ser ofte ikke forskellen på rn og m. Administratoren sammenligner tegn og bliver hverken træt eller stresset. Det er en reel beskyttelse, men kun hvis du lader den virke:

Udfylder din administrator pludselig ingenting på et site, hvor den altid har gjort det? Så lad være med at gå udenom ved at kopiere adgangskoden manuelt. Se først meget nøje på adressen. Det er netop her, administratoren advarer dig.

Nogle gange er der også en god grund til, at den ikke udfylder: en tjeneste, der er flyttet til en ny adresse. Kontrollér det så ad en anden vej, for eksempel ved selv at indtaste den adresse, du allerede kendte.

Deling i et team

I en lille virksomhed er der altid konti, I bruger sammen: webshoppen på webshopplatform.example, kontoen hos hurtigbud.example, virksomhedens sociale medier. Det bedste er, at alle har deres egen konto (modul 7). Kan det ikke lade sig gøre, så brug en delt boks:

• Lav bokse eller mapper pr. emne ("Webshop", "Økonomi", "Sociale medier"), og giv kun adgang til dem, der har brug for det.
• Del aldrig via mail, chat eller et regneark. Den, der har adgang til den delte boks, ser adgangskoden dér.
• Stopper en medarbejder? Fjern personen fra boksen, og skift de adgangskoder, vedkommende kunne se. Det er ikke nok kun at fjerne personen fra boksen: vedkommende kan have skrevet dem af eller gemt dem.
• Sørg for nødadgang: hvad sker der, hvis du som ejer bliver syg eller falder bort? Mange administratorer har en funktion, hvor en betroet person får adgang efter en ventetid. Eller du opbevarer gendannelsesoplysningerne i en forseglet kuvert hos en anden person.

I praksis: skift på én eftermiddag

1. Vælg en administrator, og installer den på computer og telefon, med browserudvidelsen.
2. Lav en hovedadgangskode (adgangssætning), skriv den ned, og gem gendannelsessættet.
3. Slå totrinsbekræftelse til på boksen.
4. Importér de adgangskoder, din browser allerede havde gemt. En eksport er ofte en ukrypteret fil: slet den straks efter importen, også fra papirkurven.
5. Start med de vigtigste konti, og giv hver af dem en ny, tilfældig adgangskode: din mailboks (info@example.com), din hosting og domæneregistrering, din bank og dit regnskab (for eksempel på kontoplus.example).
6. Opdater resten, når du alligevel logger ind. Advarslerne om genbrugte adgangskoder hjælper dig.

Bruger du en tjeneste i WebOké-miljøet, som en mailboks eller Nextcloud, med apps på din telefon? Så laver du nogle gange en separat app-adgangskode (se Vidensbase 436). Den gemmer du også i administratoren, ved det rigtige element. Hos andre udbydere virker det på samme måde.

Opsummering

• En adgangskodeadministrator laver, gemmer og udfylder unikke adgangskoder; du husker kun hovedadgangskoden.
• Typer: indbygget i browser eller system, selvstændig app med cloud, lokal, open source eller selvhostet. Vælg ud fra enheder, deling, kryptering og gendannelse.
• Ved end-to-end-kryptering er din hovedadgangskode det sidste forsvar, hvis leverandøren bliver hacket.
• Udfylder administratoren ikke, så se på adressen i stedet for at kopiere.
• Del via en delt boks, og skift adgangskoder, når nogen stopper.

Quiz

Opgave

Opgave D2.2: Sæt din adgangskodeadministrator op. Vælg en adgangskodeadministrator, lav en hovedadgangskode og et gendannelsessæt, slå totrinsbekræftelse til på boksen, og giv dine fem vigtigste konti en ny, unik adgangskode. Sæt flueben i tjeklisten, og besvar refleksionsspørgsmålene. Du indtaster ingen adgangskoder nogen steder.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés miljø; hos andre udbydere virker det på samme måde.

• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• Opret app-adgangskode (kræves for at forbinde til apps og enheder)
• Nextcloud-vejledning 3.5: App-adgangskoder: hvornår og hvordan
• Sikker Digital, råd om IT-sikkerhed til virksomheder: https://sikkerdigital.dk/
• Styrelsen for Samfundssikkerhed (SAMSIK): https://samsik.dk/
• Password manager og passkeys: sådan logger du sikkert ind
• Adgangskodeadministrator i praksis 1.1: Hvorfor en adgangskodemanager, og hvad denne vejledning lærer dig
• Adgangskodeadministrator i praksis 1.2: Proton Pass, 1Password eller din browser: hvilken passer til dig?
• Adgangskodeadministrator i praksis 1.3: Din hovedadgangskode: lav den, gem den og mist den aldrig
• Adgangskodeadministrator i praksis 1.4: Alle kendte password managers sammenlignet: land, funktioner, anmeldelser og scores