Lösenord, lösenordshanterare och Passkeys: Modernisera utan friktion

Varje CISO och IT-säkerhetsansvarig känner igen fenomenet: det klassiska "Höst2024!" som plötsligt blir "Vinter2024!" och sedan "Vår2025!". Under årtionden trodde IT-ledningar och ledningsgrupper att rigorösa krav på periodiska lösenordsbyten var rätt väg att gå. Resultatet i verksamheten? En akut beslutströtthet bland medarbetarna, post-it-lappar under tangentborden och banala minnesregler som cyberkriminella knäcker på bråkdelen av en sekund.

Modern cybersäkerhet byggs inte mot användaren, utan tillsammans med verksamheten. Utmaningen idag ligger i att ersätta förlegade krav med en genomtänkt teknisk och beteendemässig säkerhetskultur. När såväl MSB (Myndigheten för samhällsskydd och beredskap), CERT-SE och amerikanska NIST officiellt avråder från godtyckliga lösenordsbyten, måste säkerhetsansvariga istället leda införandet av robusta lösenfraser, centrala lösenordshanterare och den nya standarden Passkeys.

Varför är policys om lösenordsbyte var 90:e dag kontraproduktiva?#

Sammanfattning: Krav på schemalagda lösenordsbyten tvingar medarbetare till förutsägbara mönster istället för starka inloggningsuppgifter. Riktlinjer från MSB, CERT-SE och NIST rekommenderar idag långa och unika lösenord som behålls tills det finns en faktisk misstanke om att uppgifterna har komprometterats.

Under tjugo års tid var kvartalsvisa lösenordsbyten standard i näringslivet och offentlig sektor. Beteendevetenskapliga analyser och telemetridata har dock visat att effekten blir den motsatta. När medarbetare ställs inför återkommande tvång väljer den mänskliga hjärnan minsta möjliga motstånd. Slutsiffran ökas med ett, säsongen byts ut eller så alternerar användaren mellan två bekanta ordstammar.

Moderna ramverk (däribland NIST SP 800-63B samt rekommendationer från CERT-SE och NCSC-SE) drar tydliga slutsatser:

• Mental trötthet och osäkra genvägar: Återkommande tvång leder till att uppgifter skrivs ned på papperslappar eller sparas i okrypterade anteckningsfiler.
• Kryptografisk försvagning: Ju oftare byten krävs, desto enklare mönster väljer användarna, vilket gör riktade ordboksattacker mer framgångsrika.
• Falsk trygghet: Om inloggningsuppgifter har läckt i en extern dataläcka innebär en väntetid på nästa schemalagda byte att angriparen får ett öppet fönster i veckor.

Bästa praxis för ledningsgrupper och IT-chefer är därför tydlig: kräv endast byte när det finns verifierade indikationer eller misstanke om att ett konto komprometterats.

Hur går man praktiskt från kryptisk komplexitet till lösenfraser?#

Sammanfattning: Lösenfraser ersätter obegripliga teckenkombinationer med fyra eller fem slumpmässiga ord. De är enkla för en människa att memorera men matematiskt omöjliga att knäcka genom automatiserade brute force-attacker.

För system där manuell inloggning fortfarande krävs (till exempel huvudlösenordet till en dator eller en lösenordshanterare) har säkerhetsfilosofin förändrats helt. Krav på tolv tecken med blandade versaler, gemener, siffror och specialtecken resulterar i kryptiska strängar som "K7#m9Qz!". Dessa glöms snabbt bort och skrivs ned på sårbara ställen.

En lösenfras bestående av slumpmässiga, vardagliga ord utan inbördes logik (exempelvis: "groda-kaffekanna-vulkan-kompass") ger en mycket hög matematisk entropi samtidigt som den är enkel att minnas:

• Överlägsen matematisk styrka: Varje slumpmässigt ord expanderar sökrymden dramatiskt, vilket gör storskaliga brute force-metoder verkningslösa.
• Bättre ergonomi i vardagen: En lösenfras skrivs snabbt och minskar felinmatningar orsakade av ovanliga specialtecken på nordiska tangentbord.
• Långsiktig minneshållning: Medarbetarna kommer ihåg sitt lösenord utan att behöva fysiska eller digitala fusklappar.

För att förankra detta i organisationens DNA utan att skapa motstånd behövs engagerande pedagogiska metoder. Att arrangera en interaktiv session med Cyber Cup, vår quiztävling i arkadformat med snabba matcher på tre minuter, ger medarbetarna rätt reflexer kring lösenord och nätfiske i en prestigelös och motiverande miljö.

Lösenordshanterare och Passkeys: Skyddet som eliminerar nätfiske#

Målet för IT-säkerhetsfunktionen är inte enbart att få personalen att komma ihåg bättre lösenord, utan att minimera den manuella hanteringen. För den överväldigande majoriteten av interna verktyg och SaaS-tjänster är en centralt distribuerad lösenordshanterare det mest effektiva första steget.

När en lösenordshanterare genererar och sparar unika, komplexa strängar slipper organisationen återanvändning av lösenord mellan privata och professionella system. Hanteraren fungerar dessutom som ett inbyggt skydd mot nätfiske: om domännamnet på en falsk inloggningssida avviker det minsta från den sparade webbadressen vägrar verktyget att autofylla uppgifterna.

Framväxten av Passkeys: lösenordsfri inloggning på riktigt

Införandet av Passkeys, baserade på standarderna FIDO2 och WebAuthn, förändrar hotbilden i grunden. Till skillnad från ett traditionellt lösenord bygger tekniken på asymmetrisk kryptografi med ett nyckelpar:

• Den publika nyckeln: Lagras på applikationsservern och kan exponeras öppet utan att angriparen kan härleda den hemliga informationen.
• Den privata nyckeln: Stannar strikt isolerad på användarens lokala enhet (arbetsdator, mobiltelefon eller hårdvarunyckel) och skyddas via biometri eller en lokal PIN-kod.

Passkeys gör stöld av inloggningsuppgifter matematiskt meningslös. Även om en anställd klickar på ett sofistikerat nätfiskemejl som efterliknar ett verksamhetssystem misslyckas den kryptografiska handskakningen, eftersom webbläsaren automatiskt validerar servens äkthet innan autentisering sker. Genom att kombinera utbildningsinsatser, en lösenordshanterare och lösenordsfria inloggningsmetoder neutraliserar organisationen cyberbrottslighetens mest utnyttjade attackvektor.

BRAIN SECURITY I PRAKTIKEN · Cyber Cup

Stärk er organisations cybersäkerhetskultur med Brain Security#

Att förändra säkerhetsbeteenden handlar om att lämna skuldbeläggande policys bakom sig och istället skapa verkligt engagemang i verksamheten. Vill du utforma en engagerande utbildningsinsats och mäta hur väl säkerhetsrutinerna efterlevs i praktiken? Boka en demo och diskutera era behov direkt med experterna på Brain Security.

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• Baiting och preparerade USB-minnen: Varför mänsklig nyfikenhet förblir en farlig attackvektor (Phishing & Social Engineering) : Upptäck hur baiting och infekterade USB-minnen hotar er IT-säkerhet. Lär er hur fysiska säkerhetsrutiner skyddar organisationen mot intrång.
• Tailgating och fysiskt intrång: Förena artighet och skalskydd på kontoret (Phishing & Social Engineering) : Hur motverkar man tailgating utan att förstöra kontorskulturen? Praktiska metoder och skalskydd för CISO, säkerhetsansvariga och ledning.
• Falska kollegor i videomöten: Hur upptäcker du en deepfake i realtid? (Phishing & Social Engineering) : Upptäck hur ni avslöjar deepfakes i videomöten. Visuella och auditiva tecken samt konkreta metoder för att stoppa realtidsattacker i företaget.
• 7 kognitiva bias hackare utnyttjar (och hur du tranar hjarnan att sta emot) (Gamification) : Upptack hur cyberkriminella manipulerar psykologiska bias och hur gamification tranar era medarbetare mot social engineering och phishing.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Cyber Cup : Intern tävling i cybersäkerhet: korta lagmatcher som bygger säkra vanor och högt engagemang i hela organisationen.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)