Hvad gør en adgangskode stærk? Forklaret med tal

En stærk adgangskode er lang og tilfældig, og tilfældigheden skal komme fra en generator, ikke fra dig. Hvert tilfældigt tegn eller ord ganger antallet af gæt, en angriber skal bruge, og det er derfor, længden gør mere arbejde end kneb som at bytte bogstaver ud med symboler. Lav en unik adgangskode til hver konto, gem den i en adgangskodemanager, og genbrug den aldrig.

AdgangskodegeneratorHar brug for en stærk adgangskodePrøv gratis

Hvorfor smarte kneb fejler

Angribere gætter sjældent én konto ad gangen i hånden. De kører lister med almindelige adgangskoder og ordbogsord igennem kendte mønstre, for eksempel @ i stedet for a, 0 i stedet for o og et symbol til sidst. De prøver disse varianter først, fordi mange menneskers adgangskoder stammer fra de samme mønstre. En adgangskode som P@ssw0rd! virker kompleks for et menneske, men den er en af de første varianter på en angribers liste. Dens synlige kompleksitet siger næsten ingenting om, hvor svær den er at gætte.

Entropi med almindelige ord

Entropi måler, hvor mange lige sandsynlige muligheder en adgangskode kunne være udvalgt blandt, udtrykt i bit. Hvert ekstra bit fordobler antallet af nødvendige gæt. Det vigtige er, at entropi beskriver den proces, der lavede adgangskoden, ikke hvordan den ser ud. En tilfældig streng og en let husket sætning kan se lige mærkelige ud og have meget forskellig entropi. Et tilfældigt id er heller ikke en adgangskode, for det er lavet til at være unikt, ikke hemmeligt. UUID v4 eller v7 forklarer forskellen.

For en adgangskode bygget af tilfældige tegn er regnestykket:

bit = længde × log2(størrelsen på tegnsættet)

For en adgangssætning bygget af tilfældige ord er det:

bit = antal ord × log2(størrelsen på ordlisten)

Tabellen viser regneeksempler. Hver række forudsætter, at alle valg var tilfældige og lige sandsynlige.

Lavet sådan	Muligheder	Bit
8 tilfældige små bogstaver	26^8	37,6
12 tilfældige bogstaver og cifre	62^12	71,5
20 tilfældige tegn fra 94 printbare symboler	94^20	131,1
4 tilfældige ord fra en ordliste på 7.776 ord	7.776^4	51,7
5 tilfældige ord fra en ordliste på 1.024 ord	1.024^5	50,0
6 tilfældige ord fra en ordliste på 7.776 ord	7.776^6	77,5

Første række viser, hvorfor korte tilfældige strenge er svage: 38 bit giver lille margin på en vigtig konto. Tredje række viser, hvad længden giver. En adgangskode du selv finder på, for eksempel Sunset!2026, har langt færre reelle muligheder, end længden antyder, fordi du valgte den ud fra en lille mængde velkendte mønstre.

Adgangssætninger, du kan skrive

Hvis du skal skrive en adgangskode, for eksempel til en computer eller som hovedadgangskode til en adgangskodemanager, er en adgangssætning af tilfældige ord det praktiske valg. Seks tilfældige ord fra en ordliste på 7.776 ord giver omkring 77,5 bit, og ord er langt lettere at huske end en tilfældig streng af symboler. Ordene skal være tilfældige. Fire ord, du selv har valgt, rummer langt mindre, end antallet antyder, fordi folk vælger velkendte ord i velkendte par. Ordlister baseret på terninger bruges derfor ofte: terningerne træffer valget, ikke dine vaner. Adgangskodegeneratoren bygger en adgangssætning på denne måde, med en separator du vælger og en valgfri stor bogstav og et valgfrit ciffer.

Genbrug er den største risiko

Længde betyder noget, men det er genbrug, der typisk gør et enkelt læk til mange. Når et websted bliver hacket, afprøves e-mail- og adgangskodeparrene ofte på andre populære sider. Det kaldes credential stuffing. En adgangskode, der er stærk på papiret, fejler fuldstændigt, hvis du også bruger den andre steder.

En adgangskodemanager fjerner problemet. Den laver en unik adgangskode til hver konto, gemmer den og udfylder den for dig, så du kun skal huske én stærk hovedadgangskode. Browsere og telefonsystemer har indbyggede managere, og der findes også selvstændige apps. Uanset hvilken du bruger, bør du først slå to-faktor-godkendelse til på din e-mail og dine bankkonti, fordi din e-mailkonto er nøglen til at nulstille de andre.

NIST, den amerikanske standardiseringsorganisation, foretrækker længde frem for kompleksitetsregler som tvungne symboler, og de har fjernet tvungne periodiske skift, medmindre der er tegn på kompromittering. En side, der får dig til at skifte adgangskode hver få måneder, eller som afviser lange adgangskoder eller indsættelse, følger ældre vaner. Det er en svaghed hos siden, ikke en grund til at vælge en svagere adgangskode.

En kort tjekliste

• Generér adgangskoder i stedet for at finde dem på.
• Til konti, du ikke nemt kan genoprette, så sigt efter mindst 16 tilfældige tegn eller seks tilfældige ord.
• Brug én unik adgangskode pr. konto, og gem dem i en manager.
• Slå to-faktor-godkendelse til, hvor den tilbydes.
• Skift en adgangskode med det samme, hvis en tjeneste, du bruger, melder om et brud.

Hvis adgangskoden er til din router, viser deling af wifi med en QR-kode, hvordan du deler den uden at læse den højt.

Sådan gør du med fixmint

1. Åbn adgangskodegeneratoren og lad Tilfældige tegn være valgt.
2. Sæt Længde til mindst 16, og til 20 eller mere for en konto, der betyder noget. Standarden er 20, med alle fire tegnsæt afkrydset.
3. Læs Estimeret styrke. Værktøjet vurderer under 50 bit som svag, 50 til 69 som middel, 70 til 99 som stærk og 100 eller mere som meget stærk.
4. Tryk på Generér igen for et nyt sæt på fem, og kopiér en over i din adgangskodemanager. Brug den ikke andre steder.
5. Til en hovedadgangskode, du skal skrive, vælger du Adgangssætning, sætter Ord til seks og beholder en separator, du kan skrive.

Hurtige svar

Kræver en stærk adgangskode symboler?

Nej. Tilfældige symboler tilføjer lidt bit, men længden tilføjer mere, og en lang tilfældig streng af bogstaver og cifre er stærk.

Hvor mange ord giver en stærk adgangssætning?

Seks tilfældige ord fra en ordliste på 7.776 ord giver omkring 77,5 bit, et sundt mål for de fleste konti.

Er det sikkert at lade browseren gemme de genererede adgangskoder?

For de fleste er det et fornuftigt valg, forudsat at enheden har en skærmlås, og browserprofilen er beskyttet. Den største risiko er enheden, ikke adgangskoden.