Så gör du ett starkt lösenord: längd, slump och bitar i praktiken

Ett starkt lösenord är långt och slumpmässigt, och slumpen ska komma från en generator, inte från dig. Varje slumpmässigt tecken eller varje slumpmässigt ord multiplicerar antalet gissningar som en angripare behöver, och därför gör längden mer nytta än knep som att byta bokstäver mot symboler. Skapa ett unikt lösenord för varje konto, spara det i en lösenordshanterare och återanvänd det aldrig.

LösenordsgeneratorBehöver ett starkt lösenordGör det gratis

Varför smarta knep inte fungerar

Angripare gissar sällan ett konto i taget för hand. De kör listor med vanliga lösenord och ordboksord genom kända mönster, till exempel @ för a, 0 för o och en symbol på slutet. De provar de varianterna först, eftersom många människors lösenord bygger på samma mönster. Ett lösenord som P@ssw0rd! ser komplicerat ut för en människa, men det är en av de första varianterna i en angripares lista. Den synliga komplexiteten säger lite om hur svårt lösenordet är att gissa.

Entropi med enkla ord

Entropi mäter hur många lika troliga möjligheter ett lösenord kan ha kommit ur, uttryckt i bitar. Varje extra bit fördubblar antalet gissningar som behövs. Det viktiga är att entropin beskriver processen som skapade lösenordet, inte hur lösenordet ser ut. En slumpsträng och en lätt ihågkommen fras kan se lika konstiga ut och ha helt olika entropi. Ett slumpmässigt identifierare är inte heller ett lösenord, eftersom det är konstruerat för att vara unikt snarare än hemligt. UUID v4 eller v7 förklarar skillnaden.

För ett lösenord byggt av slumpmässiga tecken är beräkningen:

bitar = längd × log2(teckenuppsättningens storlek)

För en lösenfras byggd av slumpmässiga ord är det:

bitar = antal ord × log2(ordlistans storlek)

Tabellen visar räkneexempel. Varje rad förutsätter att varje val var slumpmässigt och lika troligt.

Skapat så här	Möjligheter	Bitar
8 slumpmässiga små bokstäver	26^8	37,6
12 slumpmässiga bokstäver och siffror	62^12	71,5
20 slumpmässiga tecken ur 94 utskrivbara symboler	94^20	131,1
4 slumpmässiga ord ur en 7 776-ordslista	7 776^4	51,7
5 slumpmässiga ord ur en 1 024-ordslista	1 024^5	50,0
6 slumpmässiga ord ur en 7 776-ordslista	7 776^6	77,5

Första raden visar varför korta slumpsträngar är svaga: 38 bitar ger liten marginal för ett viktigt konto. Tredje raden visar vad längden ger. Ett lösenord du hittar på själv, till exempel Sunset!2026, har betydligt färre verkliga möjligheter än längden antyder, eftersom du valde det ur en liten uppsättning bekanta mönster.

Lösenfraser du kan skriva

Om du måste skriva in ett lösenord, till exempel för inloggning på datorn eller som huvudlösenord till en lösenordshanterare, är en lösenfras av slumpmässiga ord det praktiska valet. Sex slumpmässiga ord ur en 7 776-ordslista ger cirka 77,5 bitar, och ord är betydligt lättare att komma ihåg än en slumpmässig sträng av symboler. Orden måste vara slumpmässiga. Fyra ord som du valt själv bär mycket mindre än antalet antyder, eftersom människor väljer bekanta ord i bekanta par. Tärningsbaserade ordlistor är vanliga av just den anledningen: tärningarna gör valet, inte dina vanor. Lösenordsgeneratorn skapar en lösenfras på det här sättet, med en avskiljare du väljer och en valfri versal och siffra.

Återanvändning är den största risken

Längden spelar roll, men det är återanvändning som oftast gör att ett enda läckage blir många. När en webbplats bryts in prövas dess par av e-post och lösenord ofta på andra populära sajter. Det kallas credential stuffing. Ett lösenord som är starkt på papper blir helt värdelöst om du använder det även någon annanstans.

En lösenordshanterare löser problemet. Den skapar ett unikt lösenord för varje konto, sparar det och fyller i det, så att du bara behöver komma ihåg ett starkt huvudlösenord. Webbläsare och mobilsystem har inbyggda hanterare, och fristående appar finns också. Oavsett vilken du använder, aktivera tvåfaktorsautentisering för din e-post och ditt bankkonto först, eftersom din e-post är nyckeln till att återställa alla andra konton.

NIST, den amerikanska standardiseringsorganisationen, föredrar längd framför komplexitetsregler som tvingande symboler, och de slopar tvingande periodiska byten om det inte finns tecken på att något läckt. En webbplats som gör dig att byta lösenord med några månaders mellanrum, eller som nekar långa lösenord eller inklistring, följer gamla vanor. Det är en brist hos webbplatsen, inte ett skäl att välja ett svagare lösenord.

En kort checklista

• Generera lösenord i stället för att hitta på dem.
• För konton som du inte enkelt kan återställa, sikta på minst 16 slumpmässiga tecken eller sex slumpmässiga ord.
• Använd ett unikt lösenord per konto och förvara dem i en hanterare.
• Aktivera tvåfaktorsautentisering där det erbjuds.
• Byt lösenord direkt om en tjänst du använder rapporterar ett intrång.

Om lösenordet gäller ditt router, visar så delar du wifi med en QR-kod hur du ger ut det utan att läsa upp det högt.

Så gör du med fixmint

1. Öppna lösenordsgeneratorn och behåll Slumpmässiga tecken valt.
2. Ställ Längd till minst 16, och till 20 eller mer för ett konto som betyder mycket. Standardvärdet är 20, med alla fyra teckenuppsättningar ikryssade.
3. Läs Uppskattad styrka. Verktyget bedömer under 50 bitar som svagt, 50 till 69 som godtagbart, 70 till 99 som starkt och 100 eller mer som mycket starkt.
4. Tryck på Generera igen för en ny uppsättning om fem och kopiera ett till din lösenordshanterare. Använd det inte någon annanstans.
5. För ett huvudlösenord som du måste skriva in, välj Lösenfras, ställ Ord på sex och behåll en avskiljare som du kan skriva.

Snabba svar

Krävs symboler för ett starkt lösenord?

Nej. Slumpmässiga symboler ger några bitar, men längden ger mer, och en lång slumpmässig sträng av bokstäver och siffror är stark.

Hur många ord ger en stark lösenfras?

Sex slumpmässiga ord ur en 7 776-ordslista ger cirka 77,5 bitar, ett bra mål för de flesta konton.

Är det säkert att låta webbläsaren spara genererade lösenord?

För de flesta är det ett rimligt val, förutsatt att enheten har skärmlås och webbläsarprofilen är skyddad. Den största risken är enheten, inte lösenordet.