Adgangskoder, password managers og Passkeys: Skab sikker adfærd uden friktion

Enhver dansk CISO eller IT-sikkerhedsansvarlig kender det klassiske scenarie: den velkendte adgangskode "Efteraar2024!" der forudsigeligt bliver til "Vinter2024!" og kort efter "Foraar2025!". I årevis har IT-afdelinger i både SMV'er og større virksomheder troet, at tvungne udløbsdatoer hver 90. dag var guldstandarden. Virkeligheden i hverdagen? Akut træthed hos medarbejderne, gule Post-it sedler under tastaturet og banale mønstre, som cyberkriminelle knækker på få millisekunder.

Moderne IT-sikkerhed skabes ikke imod brugeren, men sammen med brugeren. Opgaven for direktionen og IT-sikkerhedsteamet handler i dag om at udskifte forældede krav med en reel adfærdsændring og teknologisk opgradering. Både Center for Cybersikkerhed (CFCS) i Danmark og NIST i USA anbefaler at gøre op med de gamle vaner. Fokus skal i stedet rettes mod stærke adgangsfraser (passphrases), centrale password managers og udbredelsen af Passkeys, særligt i lyset af skærpede krav fra NIS 2-loven og D-mærket.

Hvorfor er tvunget password-skift hver 90. dag kontraproduktivt?#

Kort sagt: Kravet om faste udløbsdatoer tvinger medarbejderne til at vælge forudsigelige variationer frem for stærke koder. CFCS og NIST anbefaler i dag at fastholde en lang, unik adgangskode uden vilkårlig rotation, medmindre der er konkret mistanke om eller bevis for et sikkerhedsbrud.

I over to årtier var kravet om kvartalsvise kodeordsskift fast inventar i virksomheders sikkerhedspolitikker. Adfærdsdata og telemetri har imidlertid dokumenteret den modsatte effekt. Når mennesker mødes med arbitrære regler, vælger hjernen automatisk mindste modstands vej. Medarbejderne ændrer et enkelt tal, tilføjer en ny årstid eller skifter frem og tilbage mellem to faste stammer.

Moderne rammesætninger (herunder NIST SP 800-63B samt vejledninger fra CFCS) fastslår konsekvenserne af denne fejlslagne strategi:

• Mental udmattelse og omgåelse: Konstante skift fører til fysiske notater på papir eller opbevaring i ukrypterede tekstfiler.
• Kryptografisk svækkelse: Jo hyppigere skift der kræves, desto mere forudsigeligt bliver mønsteret, hvilket gør ordbogsangreb ekstremt effektive.
• Falsk tryghed: Hvis en adgangskode er lækket i et databrud, giver en 90-dages rotationscyklus angriberne et alt for langt vindue til at udnytte adgangen uforstyrret.

Den anerkendte standard i dag er klar: Kræv kun nulstilling af en adgangskode, hvis der foreligger konkrete indikationer på kompromittering.

Hvordan skifter I fra meningsløs kompleksitet til stærke passphrases?#

Kort sagt: En adgangsfrase (passphrase) erstatter uforståelige tegnkombinationer med en række tilfældige ord, som er nemme at huske for mennesker, men umulige at knække via brute-force for automatiserede angrebsværktøjer.

Når det gælder centrale adgange, hvor manuel indtastning stadig er påkrævet (såsom master-koden til en password manager eller arbejdsstationen), er paradigmet skiftet markant. Krav om tolv tegn med store og små bogstaver, tal og specialtegn skaber koder som "K7#m9Qz!". Disse kombinationer glemmes lynhurtigt eller skrives ned på usikre steder.

En adgangsfrase bestående af tilfældige ord uden logisk sammenhæng (for eksempel: "frø-kaffekande-vulkan-kompas") giver en markant højere matematisk entropi og er samtidig langt lettere at huske:

• Uovertruffen matematisk styrke: Hvert ekstra tilfældigt ord mangedobler antallet af mulige kombinationer, hvilket gør brute-force angreb praktisk talt umulige.
• Høj brugervenlighed: En adgangsfrase kan tastes flydende på et tastatur uden konstante slåfejl forårsaget af sjældne specialtegn.
• Naturlig fastholdelse: Medarbejderen husker sætningen uden behov for usikre hjælpemidler.

For at forankre denne adfærd i virksomhedskulturen uden at møde modstand er træningsformatet afgørende. Et engagerende forløb med Cyber Cup, vores holdbaserede quiz-konkurrence med intense runder på tre minutter, gør det muligt at træne kodeordssikkerhed og anti-phishing i en uformel og motiverende ramme.

Password managers og Passkeys: Det effektive værn mod phishing#

Målet for en moderne IT-afdeling er ikke blot at lære folk bedre huskeregler, men at fjerne den manuelle håndtering af koder fuldstændigt. For langt de fleste applikationer i hverdagen er en centraliseret password manager det første uundværlige skridt.

Ved at lade værktøjet generere unikke, tilfældige koder undgår organisationen genbrug af adgangskoder på tværs af interne systemer og private konti. En password manager yder desuden et stærkt værn mod phishing: Hvis domænenavnet på en falsk loginside afviger fra den gemte URL, nægter systemet automatisk at udfylde login-felterne.

Indførelsen af Passkeys: passwordløs autentificering i praksis

Den gradvise udrulning af Passkeys, baseret på standarderne FIDO2 og WebAuthn, fjerner en enorm angrebsflade. I modsætning til traditionelle koder bygger en passkey på et asymmetrisk kryptografisk nøglepar:

• Den offentlige nøgle: Gemmes på serveren hos den pågældende tjeneste og udgør ingen risiko ved et datalæk.
• Den private nøgle: Forbliver låst på medarbejderens enhed (bærbar PC, smartphone eller fysisk hardwarenøgle) og beskyttes af lokal biometri eller en personlig PIN-kode.

Passkeys gør traditionelt credential theft værdiløst for cyberkriminelle. Selvom en medarbejder lokkes ind på en falsk login-side for en skytjeneste, vil den kryptografiske godkendelse fejle, fordi browseren automatisk verificerer serverens reelle identitet. Ved at kombinere medarbejderinddragelse, centrale password managers og passwordløse teknologier kan organisationen effektivt lukke det mest udnyttede indgangspunkt for cyberangreb.

BRAIN SECURITY I PRAKSIS · Cyber Cup

Styrk cybersikkerheden i jeres organisation med Brain Security#

At modernisere sikkerhedsvanerne kræver, at man går væk fra restriktive regler og i stedet skaber reel medarbejderinvolvering. Hvis I vil høre mere om, hvordan I opbygger et engagerende træningsprogram og måler medarbejdernes adfærdsændring i praksis, kan I kontakte os og booke en introduktion direkte med eksperterne hos Brain Security.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Baiting og inficerede USB-stik: Hvorfor nysgerrighed forbliver en effektiv angrebsvektor (Phishing & Social Engineering) : Opdag hvordan et baiting-angreb med USB-stik rammer virksomheden, og hvilke fysiske sikkerhedsrutiner der effektivt lukker sårbarheden.
• Tailgating og fysisk indtrængen: Balancen mellem høflighed og adgangssikkerhed (Phishing & Social Engineering) : Hvordan stopper jeres organisation tailgating uden at ødelægge tilliden? Lær at styrke adgangskontrol, fysisk sikkerhed og NIS 2-compliance effektivt.
• Falske kolleger i videomøder: Sådan afslører du et deepfake i realtid (Phishing & Social Engineering) : Lær at spotte deepfakes i videomøder. Visuelle tegn, lydartefakter og adfærdstest til at beskytte virksomheden mod AI-svindel i realtid.
• Kommunikationspakke til cybersikkerhed: Skab succes med jeres interne udrulning (Events & Arcade) : Boost engagementet i jeres cybersikkerhedskampagne med en skarp intern kommunikationsplan, fra effektiv teasing til live-rangliste.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cyber Cup : Intern cybersikkerhedsturnering: korte holdkampe, der skaber stærke sikkerhedsvaner på tværs af virksomheden.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)