Guide: Passordhåndtering

[Kahuna]

 

Mulig det ansees som litt flisespikkeri, men skal du ha langt passord er det lite vits i 12 tegn. Kom deg opp i 14 du...

 

15...

 

Det spørs veldig hva passordet er til. Hvis det er adminpassordet til XP-maskinen din bør du velge 15 eller fler tegn siden det da disabler LM-hashet (du kan disable LM-hashet på andre måter også men et langt passord er en behaglig måte å gjøre det på.)

 

 

Som mange har påpekt er det viktig å gradere passordene sine. Passordet til diskusjon.no eller dagbladets forum kan du godt ha på en lapp i lommeboka mens passordet til paypal-kontoen din bør passes veldig godt på.

 

Papir er i det hele tatt undervurdert. Bruker du en passordhåndterer på en kompromittert maskin er alle passordene dine kompromittert. Et papirark har også sine utfordringer men med litt omtanke er det trygt som fy. Det er heller ikke noe i veien for å gi dine papirpassord et lag med obfuskering ved å legge til noen regler, feks at alle tall skal legge til et tall, bokstaver etter tall bytter case osv.

Endret 9. september 2010 av Kahuna

[arnizzz]

Min løsning er KeePass og å synce keepass databasen vha DropBox

 

Master passordet mitt er 128-bits så det burde være greit. Selvsagt ikke optimalt dette, men er bedre enn å bruke samme passordene over alt.

[tjokkis_ii]

Mulig jeg har skummet for raskt gjennom artikkel og kommentarer, men det ser ut til at en metode ikke er nevnt. Passordgeneratorer som bruker et masterpassord og en annen streng som input, men ikke lagrer passord.

 

Eksempler er Opera Widget'en "Password Generator" og flere Firefox-utvidelser.

 

http://widgets.opera.com/widget/4572/

 

Du må riktig nok huske et masterpassord, men dette kan godt være en hel setning og du trenger ikke lagre genererte passord noen steder. Den andre strengen kan være en del av URL og det gjør heller ikke noe om du har den oppskrevet.

 

Om jeg for eksempel velger 16 tegns lengde, bruker "På låven sitter nissen med sin julebayer." som masterpassord og "nettbank 2010" som den andre strengen får jeg passordet ZcngA2D7DApcPHTu. Endrer jeg strengen til "nettbank 2011" får jeg et helt annet passord, ysrbfv0lRJe0ryxj.

Dette er med widget'en over som bare genererer base 64 tegn som blir akseptert overalt. Andre generatorer, som noen av Firefox-utvidelsene, kan du sette til å generere mer kompliserte passord med flere mulige tegn.

[Kimme]

Bruker LastPass i Chrome/FF på alle nettleserne mine på alle maskiner, og den funker fett på alle leserne og husker passord for meg som synkroniseres på alle leserne/operativ systemene mine (Linux/Win)

[sinnaelgen]

jeg skrev at det er om å gjøre å huske frasen ( altså den hele setningen) og ikke resultatet som det kan virke at enkelt tror .

selv å huske hvilken setning man bruke kan være en utfordring .

 

har man mange steder med passord så skal alle frasene huskes selv om de er ganske like.

 

hvis man har laget seg et system for passordene og ikke husker det eller hvor man er i dette systemet så står man der uten å komme seg inn

 

 

i nettbanken må man bruke 2 "passord" for å komme seg inn.

det ene er fra denne kodekalkulatoren eller fra et kodekort.

 

det artige er at man kan unngå det ene av disse ved å fjerne ett eller annet java tillegg

man fjerne da bank id innloggingen

[pax1]

Helt på siden, men dere burde brukt den "gode" versjonen av stripen i artikkelen.. :

 

Mye bedre slik.. får med tvetydigheten

[GullLars]

Et kjapt eksempel på 1337 passord: dI5ku5j0n@p4550rd

17-siffer alfanumerisk med både upper og lower case og spesialtegn. Nytter ikke med brute force eller dictionary, og om noen får sjålet passordet via diskusjons database er det ingen krise.

[vikingen1]

Kan nesten ikke skryte nok av KeePassX, bruker det selv på min bærbare PC med Ubuntu. Jeg synkroniserer som en annen har nevnt her, med de andre PCene jeg bruker ved å legge den krypterte fila i Dropbox, slik at jeg alltid har tilgang på passordene mine.

 

Passordgeneratoren er dessuten veldig bra, mange muligheter, se skjermbilde:

 

En annen ting som jeg ser at ikke er nevnt ennå, er at KeePassX tilbyr noe som heter Auto-Type. Dvs si at du kan taste inn en tastekombinasjon, og så fyller KeePassX i brukernavn og passord i det mønsteret du ønsker. Om man f.eks. kommer til en side der man må trykke TAB TAB TAB for å komme til "Brukernavn" feltet, så legger man bare simpelthen inn følgende kode i sitt entry for den aktuelle siden: {TAB}{TAB}{TAB}{USERNAME}{TAB}{PASSWORD}{ENTER}, så vil denne rutinen ekseveres om man taster inn tastekombinasjonen for dette (default tror jeg er ctrl+alt+s, dette kan man uansett enkelt velge selv).

 

Auto-Type er ikke begrenset til nettsider, så vidt jeg veit så kan den brukes på de fleste programmer (i hvert fall med GUI, har ikke testa den i terminal)

[Kahuna]

Et kjapt eksempel på 1337 passord: dI5ku5j0n@p4550rd

17-siffer alfanumerisk med både upper og lower case og spesialtegn. Nytter ikke med brute force eller dictionary, og om noen får sjålet passordet via diskusjons database er det ingen krise.

Røverspråk hjelper litt men ikke så mye. Leetspeak er såpass godt kjent at det finnes ordbøker, oversikter, regler for transkribering til andre stavemåter osv. Først og fremst oppnår du å øke størrelsen på 'ordboken' din.

[GullLars]

Om man ikke kjører flere dictioanries (for språk/dialekter) i massiv parallell vil leetspeak kombinert med spesialtegn og norsk/dialekt ha veldig høy styrke i forhold til hvor vanskelig det er å huske/lage passordet. Siden det ligger en mening i det og ikke er tilfeldig generert er det som du sier ikke en perfekt måte å lage passord, men veldig effektivt å bruke.

[Theo343]

Kan nesten ikke skryte nok av KeePassX, bruker det selv på min bærbare PC med Ubuntu. Jeg synkroniserer som en annen har nevnt her, med de andre PCene jeg bruker ved å legge den krypterte fila i Dropbox, slik at jeg alltid har tilgang på passordene mine.

 

Passordgeneratoren er dessuten veldig bra, mange muligheter, se skjermbilde:

 

En annen ting som jeg ser at ikke er nevnt ennå, er at KeePassX tilbyr noe som heter Auto-Type. Dvs si at du kan taste inn en tastekombinasjon, og så fyller KeePassX i brukernavn og passord i det mønsteret du ønsker. Om man f.eks. kommer til en side der man må trykke TAB TAB TAB for å komme til "Brukernavn" feltet, så legger man bare simpelthen inn følgende kode i sitt entry for den aktuelle siden: {TAB}{TAB}{TAB}{USERNAME}{TAB}{PASSWORD}{ENTER}, så vil denne rutinen ekseveres om man taster inn tastekombinasjonen for dette (default tror jeg er ctrl+alt+s, dette kan man uansett enkelt velge selv).

 

Auto-Type er ikke begrenset til nettsider, så vidt jeg veit så kan den brukes på de fleste programmer (i hvert fall med GUI, har ikke testa den i terminal)

 

 

Nydelig tips Skal teste den øyeblikkelig.

 

Passwordsafe hadde en elending autotype som oftest forårsaket at alt ble skrevet i klartekst i adressefeltet på en nettleser mens nettleseren ventet på å laste siden som skulle logges inn på. Man hadde ikke en gang mulighet for å legge inn en forsinkelse i initieringen av autotype.

 

Og siden jeg akkurat har blitt Dropbox bruker virker dette perfekt. Er den integrert med Dropbox eller putter du bare en kryptert backupfil dit?

 

EDIT:

Setup Auto-Type (currently Linux only)

Well then, no go.

 

EDIT2:

Passwordsafe hadde glimmrende auto-type muligheter alikevel, så jeg er glad jeg ikke byttet.

Endret 12. september 2010 av Theo343

[kvakse]

Min løsning er KeePass og å synce keepass databasen vha DropBox

 

Master passordet mitt er 128-bits så det burde være greit. Selvsagt ikke optimalt dette, men er bedre enn å bruke samme passordene over alt.

 

Jeg har startet prosessen med å migrere til en slik løsning. Har i åresvis brukt Operas innebygde "wand" for innlogging på websider, et verktøy som er superpraktisk men ikke akkurat portabelt. Har også syndet med gjenbruk av en liten håndfull ulike passord, men skal nå generere unike passord for hvert sted.

 

Selv om KeePass har en autotype-funksjon, er det betydelig mindre smooth å bruke og mye mer tungvindt å legge inn enn å bruke Operas egen wand, men jeg håper at det ikke blir så smertefullt at jeg ikke orker å fullføre overgangen til KeePass. (At KeePass ikke kan importere Operas wand.dat gjør det ekstra kjipt.)

[Theo343]

Jeg bruker manuell auto-type i passwordsafe der det blir for knotete å scripte det rett.

[Runar]

Som flere andre i tråden har jeg falt for 1Password (Mac). Jeg har et par "hovedpassord" jeg husker, mens resten ligger trygt lagret i 1Passwords database, som jeg forøvrig har tilgang til på iPhonen (via Dropbox).

[Theo343]

Jeg bruker også Dropbox til Passwordsafe. Tilgang og integrasjon er dog litt forskjellig.

Endret 14. september 2010 av Theo343