Hvad et stærkt kodeord egentlig er

Modul 2: Adgangskoder og login · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du forklare hvorfor længde og det at være unikt er vigtigere end mærkelige tegn, og hvad den gældende NIST-anbefaling om kodeord siger.

Centrale begreber: længde, entropi, kodeordssætning, ordbogsangreb, brute force, genbrug, tvungen udskiftning

Sådan knækkes et kodeord

Når folk hører "at knække et kodeord", tænker mange på én der sidder og gætter på din loginside. Det sker, men det er ikke den største trussel. En god loginside bremser efter nogle forkerte forsøg eller blokerer midlertidigt. At gætte sig ind ad fordøren går altså langsomt.

Mere farligt er offline-knækning. En hjemmeside gemmer (hvis det gøres rigtigt) ikke selve dit kodeord, men en hash: en slags fingeraftryk som du ikke direkte kan regne kodeordet ud fra. Lækker en webshops database, har angriberen de fingeraftryk på sine egne computere. Der er ingen bremse. Han prøver lige så mange kodeord som hans udstyr kan klare, og sammenligner hvert resultat med det lækkede fingeraftryk.

Her bruger han to metoder:

• Ordbogsangreb: først alt det folk ofte vælger. Lister med millioner af rigtige kodeord fra tidligere lækager, ord fra ordbøger, navne, steder, årstal. Med faste regler oveni: stort bogstav forrest, årstal bagerst, udråbstegn til sidst, a bliver til @, o bliver til 0.
• Brute force: derefter alle mulige kombinationer af tegn, fra korte til lange.

Et kodeord som Sommer2026! ser stærkt ud: stort bogstav, tal, tegnsætning, ti tegn. Men det er netop det mønster som indgår i de regler: et ord, et årstal, et tegn. Sådan et kodeord falder i første runde, længe før brute force overhovedet begynder.

Længde slår mærkelige tegn

Hvor stærkt et kodeord er, afhænger af hvor mange muligheder en angriber skal prøve. Det tal regner du sådan ud: antal mulige tegn opløftet i potensen af længden.

På et almindeligt tastatur er der 95 tegn du kan skrive (store og små bogstaver, tal, tegnsætning og mellemrum). Et tilfældigt kodeord på 8 tegn har så 95 opløftet i 8. potens muligheder: cirka 6,63 × 10^15. Det lyder af meget, men med hurtigt udstyr og en svag opbevaringsmetode er det gennemsøgt på få dage.

Hvert ekstra tegn ganger antallet med 95. En ekstra type tegn (for eksempel at tilføje tegnsætning til kun bogstaver) ganger kun grundtallet en smule. Derfor giver længde langt mere end kompleksitet.

Den sidste kolonne er entropi: et mål for hvor uforudsigeligt noget er, udtrykt i bits. På almindeligt sprog: hvert ekstra bit fordobler angriberens arbejde. Et kodeord på 65 bits koster altså ikke lidt mere, men cirka 4.000 gange mere arbejde end et på 53 bits.

Vigtigt: disse tal gælder kun hvis kodeordet er valgt helt tilfældigt. Et kodeord du selv finder på, er næsten aldrig tilfældigt. Bageri2026! har tretten tegn, men ligger mønstermæssigt i enhver knækkeliste.

Kodeordssætningen

En kodeordssætning er et kodeord som består af flere løse ord, for eksempel fem eller seks. Fordelen: langt, men stadig til at huske og skrive. Det nederlandske NCSC anbefaler at vælge fire til seks ord som ikke har noget med hinanden at gøre, og siger at en lang sætning med kun små bogstaver er mere sikker end et kort kodeord med alle typer tegn.

En kodeordssætning er kun stærk hvis ordene er valgt tilfældigt:

• Godt: en generator (i din adgangskodeadministrator) eller terninger med en ordliste. Den kendte metode med fem terninger bruger en liste på 7.776 ord, fordi 6 opløftet i 5. potens netop giver 7.776. Skaberne af en sådan liste anbefaler seks ord til de fleste formål.
• Forkert: en kendt sætning, en sangtekst, et ordsprog eller noget om dig selv. jegelskerminhundbobby er langt, men ordene hænger sammen og kan gættes af dem der kender dig, eller som læser dine sociale medier.

En kodeordssætning er stadig et kodeord. Du bruger den ét sted og deler den ikke.

Unikt er vigtigere end kompliceret

Det stærkeste kodeord hjælper ikke hvis du bruger det tyve steder. I lektion 1.4 så du credential stuffing: en lækket mailadresse med kodeord bliver automatisk afprøvet på mail, bogføring, webshops og sociale medier. Lækker det hos den svageste af de tyve tjenester, er alle tyve åbne.

Genbrug er derfor den største svaghed i praksis. Og "lidt varianter" tæller ikke som unikt. Example!Mail og Example!Shop kan en angriber med ét lækket kodeord gætte på et par forsøg.

Løsningen er ikke at huske, men at opbevare: en adgangskodeadministrator laver et langt, tilfældigt kodeord til hver tjeneste og husker det for dig. Det er lektion 2.2. Du skal så kun huske et par ting: hovedkodeordet til administratoren og eventuelt kodeordet til din computer.

Hvad NIST-anbefalingen siger

Den amerikanske organisation NIST (National Institute of Standards and Technology) udgiver den mest kendte anbefaling for login: SP 800-63B. Den fjerde version blev endelig den 31. juli 2025. Mange organisationer verden over følger den. De vigtigste punkter om kodeord:

• Er kodeordet den eneste måde at logge ind på, så mindst 15 tegn. Er det en del af totrinsbekræftelse, så mindst 8.
• En tjeneste skal tillade kodeord på mindst 64 tegn.
• Ingen sammensætningsregler: en tjeneste må ikke kræve "mindst ét stort bogstav, ét tal og ét tegnsætningstegn".
• Ingen periodisk tvungen udskiftning. Kun skift hvis der er tegn på at kodeordet er lækket.
• Nye kodeord tjekkes op mod en liste over ofte brugte og lækkede kodeord.
• Indsætning og adgangskodeadministratorer skal tillades.
• Ingen sikkerhedsspørgsmål ("navnet på dit første kæledyr") og ingen kodeordshints.

Hvorfor tvungen udskiftning ikke længere anbefales

I mange år skulle du på arbejdet vælge et nyt kodeord hver tredje måned. Tanken var: et stjålet kodeord virker så kun kort tid. I praksis gør folk sådan her: Sommer2026! bliver til Efterår2026!, derefter Vinter2026!. En angriber med det gamle kodeord gætter det nye på nogle få forsøg. Og den der hele tiden skal finde på et nyt kodeord, vælger kortere og skriver dem ned på en seddel.

Tvungen udskiftning gør altså kodeord mere forudsigelige. Du skifter dog straks hvis der er en grund: en meddelelse om en lækage, et mistænkeligt login, en kollega der stopper og kendte kodeordet, eller hvis du ved et uheld har indtastet det et forkert sted.

I praksis: en kodeordspolitik på én side

For en lille virksomhed som Bageri Example er en kort politik nok:

1. Hver konto har sit eget, personlige kodeord. Ingen delt login til info@example.com hvor fem personer kender kodeordet.
2. Kodeord laves af adgangskodeadministratoren: tilfældige, mindst 15 tegn, eller en kodeordssætning på mindst fem tilfældige ord hvis du skal skrive det selv.
3. Aldrig det samme kodeord to steder.
4. Totrinsbekræftelse slået til på mail, bogføring, bank, hosting og domæneregistrering (lektion 2.3).
5. Kun skift hvis der er en grund, og så med det samme.
6. Kodeord sendes aldrig via mail, chat eller på en seddel på skærmen.

Også dit hostingpanel følger denne linje. I WebOké-miljøet kan du for eksempel ved DA-kodeordet og ved mailbokse få genereret et tilfældigt kodeord; i andre paneler hedder knappen ofte "Generer" eller "Generate". Lad altid sådan en generator lave mindst 15 tegn; ofte kan du selv vælge længden.

Opsummering

• Angribere knækker primært offline, efter en lækage, med lister og regler. Forudsigelige mønstre falder med det samme.
• Længde og reel tilfældighed giver langt mere end mærkelige tegn. Hvert bit entropi fordobler angriberens arbejde.
• En kodeordssætning af tilfældigt valgte ord er lang, men stadig til at huske.
• Unikt er vigtigere end kompliceret: genbrug gør én lækage til tyve lækager.
• NIST SP 800-63B-4: mindst 15 tegn som eneste faktor, ingen sammensætningsregler, ingen periodisk udskiftning, men tjek op mod lækkede kodeord.

Quiz

Opgave

Opgave A2.1: Regning og vurdering. Du skal ikke indtaste dit eget kodeord noget sted. Del 1: regn ud hvor mange muligheder en kodeordssætning og et tilfældigt kodeord har (du får antallet af ord og tegn), hvilket af de to er stærkest og hvor mange gange. Del 2: vurdér seks opdigtede eksempelkodeord: forudsigeligt, for kort, genbrugt eller stærkt. Programmet retter og giver en forklaring til hvert svar.

Læs mere

Trinene i WebOkés artikler gælder for WebOkés eget miljø; hos andre udbydere fungerer det tilsvarende.

• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• Hvordan ændrer jeg adgangskoden eller grænserne for min e-mailadresse?
• Det nederlandske NCSC, Tips til at finde på et stærkt kodeord: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Det nederlandske NCSC, Fire trin til at gøre dine kodeord mere sikre: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (engelsk): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (engelsk, ordlisten med terninger): https://www.eff.org/dice