Skippa lösenorden på dina onlinekonton – använd snuskiga meningar i stället

Det bästa lösenordet du kan ha är inte ett lösenord, utan en lösenordsfras bestående av fyra ord. Det här menar Marcus Nohlberg, docent i cybersäkerhet, som har forskat i saken i många år och dessutom tagit fram programvara som ska hjälpa till med det.

En konsekvens av kriget i Ukraina är att många länder allt tydligare varnar för potentiella cyberangrepp och påverkansförsök via nätet. En av de allra svagaste punkterna är de myriader av lösenord vi har i vardagen.

Lösenordens historia är gammal

Lösenord har sedan länge använts för att exempelvis identifiera varandra i krig eller för att ge exklusiv tillgång till platser och utrymmen. På 1960-talet tog de språnget in i datoråldern, och har sedan dess varit något av en av hörnstenarna i den här miljön.

Men lösenord i den moderna världen har ett fundamentalt problem. De är, som en skribent i tidningen The Conversation skrev, en representation av mig i en virtuell miljö utan att jag behöver vara fysiskt närvarande.

Det betyder samtidigt också att den som har mitt lösenord på sätt och vis är jag i den virtuella världen. Det här känns ju inte nödvändigtvis helt tryggt.

– Grejen är den att lösenord aldrig har varit en bra lösning, säger Nohlberg. Det har varit en pragmatisk lösning som har fungerat rätt ok, men vi har alltid varit på väg någon annanstans och haft idéer om hur vi ska förändra lösenord.

Trots det är lösenord en oundviklig del av vår vardag. De styr mycket av det vi gör både privat och i arbetet – vi har lösenord till vår bank, vår arbetsdator, vår telefon, våra sociala medier, vår e-post, vårt nätverk ... och så vidare. Och ju fler lösenord vi har behov av, desto värre blir det.

Med tanke på hur länge konceptet med lösenord har funnits, så kunde man ju tänka att vi haft god tid på oss att finslipa det och göra det till ett idiotsäkert system. Men så är det inte riktigt.

– Det klassiska rådet för ett bra lösenord, säger Nohlberg, är fjorton tecken, blandade små och stora bokstäver. Det ska inte innehålla några ord, aldrig vara nedskrivet, inte upprepas någonstans och ska helst ha utökande tecken, utropstecken och så vidare.

Det här ska vi sedan ha olika varianter av till alla våra konton och helst byta dem en gång i månaden. Det finns ju inte en människa som kommer ihåg det här!

4P: privat, personligt, praktiskt och provocerande

Men finns det något bra sätt att göra det här på?

– Jo, man ska använda en fras, säger Nohlberg.

Han och hans kollegor har döpt detta till 4P – privat, personlig, praktisk och provocerande.

Praktiskt i bemärkelsen att det ska vara något lätt att komma ihåg.

– Det finns egentligen inget som talar för att man behöver använda utökade tecken, små och stora bokstäver och så vidare, säger Nohlberg.

Det är längden som är det avgörande. Krångligheterna används i nuläget för att ta fram relativt korta lösenord, men, menar Nohlberg, korta lösenord knäcks av hackare på under en timme.

Personligt ska det vara på så sätt att du inte ska välja en känd fras, ett bekant citat, eller någon del ur en sång. Det ska i stället ha betydelse för just dig.

Med privat avser Marcus helt enkelt att det är en fras du inte delar med dig av till någon. Vilket underlättas av det fjärde P:et – att det ska vara provocerande.

– Det kan gärna vara lite porrigt, säger Nohlberg. Snuskigt, lite pinsamt, någonting man inte vill säga högt. Och det beror på att vi dels kommer ihåg det bättre och dels att vi blir lite mera noga med det och inte lämnar ut det.

Marcus Nohlberg menar att man kan knäcka ett lösenord på åtta tecken på cirka 37 minuter med en vanlig dator med ett hyfsat grafikkort. För en professionell hackare innebär det här sekunder.

Med frassystemet däremot, menar Nohlberg att antalet teckenkombinationer blir så många att säkerheten får en ordentlig skjuts, utan att själva lösenordsfrasen i sig är så krånglig för oss själva.

– Om vi har fyra ord kommer vi kanske upp i 16 till 20 tecken, och då talar vi plötsligt om miljoner år att knäcka.

Äldre och personer med speciella utmaningar får hjälp

Marcus Nohlberg har tillsammans med skövdeforskarna Joakim Kävrestad, adjunkt i informationsteknologi och Jana Rambusch, lektor i kognitionsvetenskap och företaget Xenolith AB utvecklat en mjukvara kallad WebSec Assistant.

– Det vi har gjort är en programvara, säger Nohlberg, som du laddar ner till din webbläsare som sen hjälper dig vid ett antal riskabla beteenden. Till exempel om du klickar på länkar får du information om nätfiske, om du ska skapa lösenord får du hjälp och förslag för att göra det säkert.

Mjukvaran är en del av projektet "Utveckling av beslutsstöd för användare i riskfyllda situationer online", även kallat UBARSO.

– Det unika med det här är att vi gjort den i samarbete med personer med kognitiva nedsättningar, berättar Nohlberg. Det finns väldigt lite forskning som gjorts på hur man hjälper de här grupperna.

Många råd om hur man ska agera på nätet tenderar att vara riktade till folk som är vana internetanvändare, oftast friska och yngre personer.

Det som är speciellt med den mjukvara Nohlberg och hans kollegor tagit fram, är att den har fokuserat på grupper som vanligen glöms bort i många IT-sammanhang, som exempelvis äldre, dyslektiker, folk med olika neuropsykiatriska nedsättningar och liknande.

Nohlberg berättar att de gjorde en studie med drygt 1 600 äldre, och konstaterade att en tredjedel av dem var direkt rädda för att vara online. Instruktionerna för beteendet på nätet är ofta oanvändbara för de här, menar Nohlberg. De är för krångliga.

För folk med exempelvis svår dyslexi är de nuvarande lösenordsnormerna också ett hinder, säger Nohlberg.

– Fjorton tecken, stora och små bokstäver och så vidare, säger Nohlberg. Och sen när du ska skriva in det döljs det av sådana där stjärnor. Lycka till om du är dyslektiker!

Ofta leder det till att man väljer ett tangentbordsmönster som är osäkert, för det är det som funkar. Och det är det här vi försöker hjälpa till med.

– Ännu har vi ju inte löst hela problemet, men det är ett försök att hjälpa.