Hva gjør et passord sterkt, i enkle tall

Et sterkt passord er langt og tilfeldig, og tilfeldigheten må komme fra en generator, ikke fra deg. Hvert tilfeldige tegn eller hvert tilfeldige ord multipliserer antallet gjettinger en angriper trenger, og derfor gjør lengde mer nytte enn triks som å bytte bokstaver med symboler. Lag et unikt passord for hver konto, lagre det i en passordbehandler, og bruk det aldri på nytt.

PassordgeneratorTrenger et sterkt passordGjør det gratis

Hvorfor smarte triks ikke holder

Angripere gjetter sjelden ett konto om gangen for hånd. De kjører lister med vanlige passord og ordbokord gjennom kjente mønstre, for eksempel @ for a, 0 for o og et symbol på slutten. De prøver disse variantene først, fordi mange mennesker lager passord etter de samme mønstrene. Et passord som P@ssw0rd! ser komplisert ut for et menneske, men det er en av de første variantene en angripers liste prøver. Den synlige kompleksiteten sier lite om hvor vanskelig passordet er å gjette.

Entropi med enkle ord

Entropi måler hvor mange like sannsynlige muligheter passordet kunne ha kommet fra, uttrykt i bits. Hver ekstra bit dobler antallet gjettinger som trengs. Det viktige er at entropi beskriver prosessen som lagde passordet, ikke hvordan passordet ser ut. En tilfeldig streng og en lett å huske frase kan se like rare ut, men ha svært ulik entropi. En tilfeldig identifikator er heller ikke et passord, fordi den er laget for å være unik, ikke hemmelig. UUID v4 eller v7 forklarer forskjellen.

For et passord laget av tilfeldige tegn er beregningen:

bits = lengde × log2(størrelsen på tegnsettet)

For en passordfrase laget av tilfeldige ord er den:

bits = antall ord × log2(størrelsen på ordlisten)

Tabellen viser regnede verdier. Hver rad forutsetter at alle valg var tilfeldige og like sannsynlige.

Slik laget	Mulige kombinasjoner	Bits
8 tilfeldige små bokstaver	26^8	37,6
12 tilfeldige bokstaver og sifre	62^12	71,5
20 tilfeldige tegn fra 94 skrivbare symboler	94^20	131,1
4 tilfeldige ord fra en 7 776 ords liste	7 776^4	51,7
5 tilfeldige ord fra en 1 024 ords liste	1 024^5	50,0
6 tilfeldige ord fra en 7 776 ords liste	7 776^6	77,5

Den første raden viser hvorfor korte tilfeldige strenger er svake: 38 bits gir liten margin for en viktig konto. Den tredje raden viser hva lengden gir. Et passord du finner på selv, som Sunset!2026, har langt færre reelle muligheter enn lengden tilsier, fordi du valgte det fra et lite sett kjente mønstre.

Passordfraser du kan skrive

Hvis du må skrive passordet, for eksempel ved innlogging på en bærbar PC eller til hovedpassordet i en passordbehandler, er en passordfrase med tilfeldige ord det praktiske valget. Seks tilfeldige ord fra en 7 776 ords liste gir omtrent 77,5 bits, og ord er mye lettere å huske enn en tilfeldig streng med symboler. Ordene må være tilfeldige. Fire ord du velger selv bærer mye mindre enn antallet tilsier, fordi folk velger kjente ord i kjente par. Terningbaserte ordlister er vanlige av nettopp denne grunnen: terningene gjør valget, ikke vanene dine. Passordgeneratoren lager en passordfrase på denne måten, med et skilletegn du velger og valgfri stor bokstav og siffer.

Gjenbruk er den største risikoen

Lengde betyr noe, men gjenbruk er det som oftest gjør at ett lekkasjetilfelle blir til mange. Når et nettsted blir hacket, blir e-post- og passordparene ofte prøvd på andre populære nettsteder. Dette kalles credential stuffing. Et passord som er sterkt på papiret, svikter fullstendig hvis du også bruker det andre steder.

En passordbehandler fjerner problemet. Den lager et unikt passord for hver konto, lagrer og fyller det inn, slik at du bare må huske ett sterkt hovedpassord. Nettlesere og telefonsystemer har innebygde behandlere, og det finnes egne apper. Uansett hvilken du bruker, bør du slå på tofaktorautentisering for e-postkontoen og bankkontoene først, fordi e-postkontoen er nøkkelen til å tilbakestille de andre.

NIST, den amerikanske standardiseringsorganisasjonen, foretrekker lengde fremfor kompleksitetskrav som påtvungne symboler, og de dropper påtvungne periodiske endringer med mindre det finnes tegn på kompromittering. Et nettsted som får deg til å bytte passord hver tredje måned, eller nekter lange passord eller liming, følger gamle vaner. Det er en svakhet ved nettstedet, ikke en grunn til å velge et svakere passord.

En kort sjekkliste

• Generer passord i stedet for å finne dem på selv.
• For kontoer du ikke enkelt kan gjenopprette, sikt mot minst 16 tilfeldige tegn, eller seks tilfeldige ord.
• Bruk ett unikt passord per konto, og oppbevar dem i en behandler.
• Slå på tofaktorautentisering der det tilbys.
• Bytt passord med en gang hvis en tjeneste du bruker melder om et datainnbrudd.

Hvis passordet er til ruteren din, viser deling av wifi med QR-kode hvordan du kan gi det fra deg uten å lese det høyt.

Slik gjør du det med fixmint

1. Åpne passordgeneratoren og behold Tilfeldige tegn valgt.
2. Sett Lengde til minst 16, og til 20 eller mer for en konto som betyr noe. Standarden er 20, med alle fire tegnsett avkrysset.
3. Les Estimert styrke. Verktøyet vurderer under 50 bits som svakt, 50 til 69 som middels, 70 til 99 som sterkt, og 100 eller mer som svært sterkt.
4. Trykk Generer på nytt for et nytt sett med fem, og kopier ett over i passordbehandleren. Ikke bruk det andre steder.
5. For et hovedpassord du må skrive, velg Passordfrase, sett Ord til seks, og behold et skilletegn du kan skrive.

Raske svar

Kreves symboler for et sterkt passord?

Nei. Tilfeldige symboler gir noen bits, men lengde gir mer, og en lang tilfeldig streng av bokstaver og sifre er sterk.

Hvor mange ord gir en sterk passordfrase?

Seks tilfeldige ord fra en 7 776 ords liste gir omtrent 77,5 bits, et godt mål for de fleste kontoer.

Er det trygt å la nettleseren lagre genererte passord?

For de fleste er det et rimelig valg, forutsatt at enheten har skjermlås og nettleserprofilen er beskyttet. Den største risikoen er enheten, ikke passordet.