Du kan börja utan att riskera värdefulla lösenord
Om ovanstående risker gör att du tvekar att använda en lösenordshanterare för alla dina konton, kan du börja med de lösenord som du inte oroar dig så mycket för att förlora eller bli komprometterad.
Du bryr dig till exempel troligen inte om ett lösenord som används för att skapa en sju dagars provprenumeration på ett program, nyhetsartiklar eller forskning. Om du handlar på många olika webbplatser kan du ha dussintals konton som alla skyddar kopior av samma information: ditt kreditkortsnummer, telefonnummer och adress. Ingen av dessa uppgifter är särskilt hemliga, ditt ansvar är begränsat om ditt kreditkortsnummer stjäls och det är lätt att återställa lösenordet för de flesta shoppingwebbplatser genom att få ett e-postmeddelande om återställning av lösenordet.
Om du börjar med dina lösenord med lägre värde kan du bekanta dig med hur lösenordshanterare fungerar medan konsekvenserna av misstag är små. När du får erfarenhet kommer du också att bättre förstå riskerna och fördelarna. Du kanske upptäcker att när du inte längre behöver skapa, komma ihåg och skriva dessa lösenord av lägre värde kan du lägga en del av den sparade ansträngningen på att skydda lösenord för konton av högre värde.
Du kan också använda din lösenordshanterare för att generera slumpmässiga lösenord som du inte bör spara. Du kommer förmodligen att vilja skriva ner dem. Du bör kunna lära dig slumpmässiga lösenord för några konton med tiden bara genom att använda dem.
De flesta användare kan komma igång utan att köpa eller ladda ner ny programvara. Om du främst använder Safari eller Chrome har båda webbläsarna lösenordshanterare som genererar slumpmässiga lösenord åt dig. Jag kommer inte att ta upp Brave, Edge eller Firefox eftersom de i skrivande stund inte genererar lösenord.
Men även om du bör överväga fristående lösenordshanterare, särskilt om du lagrar lösenord för dina mer värdefulla konton, kan du enkelt importera de lösenord som du har sparat när du prövar de inbyggda lösenordshanterarna i Chrome eller Safari till dem.
Ett skäl till att inte använda Chrome är att den inte identifierar vilka lösenord som du har återanvänt mellan olika webbplatser . Det är viktigt att kontrollera om lösenord återanvänds för att få de säkerhetsfördelar som en lösenordshanterare kan erbjuda. De flesta fristående lösenordshanterare erbjuder en granskningsfunktion, och Safaris inbyggda lösenordshanterare (Apples Keychain) har nyligen lagt till en sådan också.
Även om du försöker att inte lagra viktiga lösenord i din lösenordshanterare är det ändå värt att regelbundet se över vilka lösenord du har sparat och vilka som återanvänds – vissa konton som verkade värdelösa när du skapade dem kan visa sig vara mer värdefulla med tiden. Vissa lösenordshanterare påpekar också om vissa av dina lösenord är uppenbart svaga (t.ex. om de förekommer på listor över vanliga lösenord). Om du vill byta ut dina gamla lösenord kan arbetsmängden vara avskräckande. Du behöver inte vänta tills du har tillräckligt med tid för att byta ut dem alla på en gång; prioritera och sätt igång.
Ack, lösenordshanterare som testar om du har återanvänt ett lösenord gör det bara om du tillåter dem att lagra det lösenordet. Om du bara lagrar lösenord för konton av lågt värde kommer lösenordshanteraren bara att kunna tala om för dig vilka av dina lösenord av lågt värde som har återanvänts. Jag känner inte till någon lösenordshanterare som varnar dig om du skriver in ett lösenord som du har sparat för en annan webbplats på den aktuella webbsidan . Det finns ingen teknisk anledning till att de flesta lösenordshanterare inte skulle kunna varna dig för sådan återanvändning av lösenord, så jag hoppas att några snart kommer att göra det.
Lär dig ett starkt huvudlösenord
De flesta lösenordshanterare skyddar dina lösenord med ytterligare ett lösenord – vanligen kallat huvudlösenord. Fristående lösenordshanterare kommer att be dig skapa ett huvudlösenord när du börjar använda dem. Om du använder Googles webbläsare Chrome för att lagra dina lösenord och dela dem på olika enheter lagras dina lösenord av Google och skyddas av lösenordet för ditt Google-konto (tillsammans med andra faktorer som du eventuellt använder). Apples iCloud Keychain förlitar sig främst på dina enhets lösenord och upplåsningsfunktioner för att skydda sina data regelbundet, men har ett huvudlösenord i reserv som kallas iCloud Security Code .
Använd inte ett huvudlösenord som du har använt för något annat. Detta tål att upprepas eftersom du förmodligen har lärt dig varningar mot återanvändning av lösenord efter att ha fått sådana råd för konton som du inte bryr dig om. Till skillnad från dessa värdelösa lösenord bör huvudlösenordet som skyddar alla dina andra lösenord verkligen vara unikt.
Om du använder Chrome-lösenordshanteraren som synkroniseras via ditt Google-konto och inte är 100 % säker på att ditt Google-konto har ett starkt och unikt lösenord, ska du skapa ett nytt (efter att ha försäkrat dig om att du har en återhämtningsplan för om du glömmer det nya lösenordet, vilket diskuteras nedan). Detta är också ett bra tillfälle att omvärdera om du bör ha tvåfaktorsautentisering för det kontot. Om du använder Apples iCloud Keychain ska du inte heller återanvända ett lösenord som iCloud-säkerhetskod.
Ditt huvudlösenord ska genereras slumpmässigt och vara tillräckligt långt för att skydda ditt lösenord även om angripare får tag på en webbplats krypterade lösenordslista och försöker bryta krypteringen. Om du vill försäkra dig om att ditt lösenord verkligen är slumpmässigt kan du låta din lösenordshanterare generera det (eller använda tärningar och en ordlista). Många människor tror felaktigt att de kan generera slumpmässighet genom att frammana bokstäver i huvudet eller slå på tangentbordet, men många av de mentala processer som vi anser vara slumpmässiga är i själva verket inte riktigt slumpmässiga. En bra lösenordshanterare använder en kryptografisk slumptalsgenerator för att se till att ditt lösenord är tillräckligt slumpmässigt (och tärningar är en beprövad källa till fysisk slumpmässighet som du kan kontrollera att den är rättvis genom att bara rulla dem).
Ditt huvudlösenord bör bestå av minst 12 små bokstäver eller fem ord. Varför använda små bokstäver eller ord när du förmodligen har blivit tillsagd (och tvingad) att använda stora bokstäver och symboler tidigare? Om du måste skriva in lösenordet på en enhet med skärmtangentbord (t.ex. din telefon) kan varje stor bokstav eller symbol kräva extra knapptryckningar. Du kan få samma säkerhet och spara en hel del frustration genom att göra ditt lösenord med små bokstäver bara 30 % längre än om det var med blandade bokstäver . Med andra ord är ett slumpmässigt genererat lösenord med 13 tecken med små bokstäver, som kan skrivas in med 13 tangenttryckningar, lika säkert som ett blandat lösenord med 10 tecken, som kan kräva många fler.
Förvänta dig inte att du ska lära dig ditt nya huvudlösenord omedelbart – det är väldigt få människor som kan lära sig en lång slumpmässigt genererad sträng på en gång. Det bästa sättet att lära sig ditt huvudlösenord är snarare att skriva ner det och använda det ofta. Konfigurera din lösenordshanterare så att du måste skriva in det minst en gång om dagen tills du kan det, och gör dig av med din papperskopia först när du har skrivit in det ur minnet på ett tillförlitligt sätt i många dagar. Människors förmåga att lära sig slumpmässiga lösenord är inte särskilt välstuderad, men forskning som mina medarbetare och jag har utfört tyder på att det tar mellan 10 och 30 användningar för att komma ihåg det. (Den forskningen undersöker tekniker som lösenordshanterare skulle kunna använda för att hjälpa dig att lära dig starka huvudlösenord, men ingen av dem erbjuder för närvarande någon hjälp.)
Till sist, anta inte att du inte kommer att förlora din papperskopia av huvudlösenordet innan du har lärt dig det utantill, eller att du inte kommer att glömma det senare.
Faktor återhämtning i valet av lösenordshanterare
Då en av de största skillnaderna mellan lösenordshanterare är processen för att återställa dina data om du förlorar ditt huvudlösenord, bör du inte välja en lösenordshanterare utan att undersöka dess process för återställning i nödsituationer. När du har gjort ditt val är det första du bör göra, tillsammans med att välja ditt huvudlösenord, att ställa in denna återställningsprocess. Du kan komma att behöva den mycket snart, eftersom det är mest troligt att du glömmer ett huvudlösenord kort efter att du har skapat det och innan du har lärt dig det genom upprepad användning.
Men även om konsekvenserna av att förlora dina lösenord kan verka små när du ställer in saker och ting, och inte har några sparade lösenord som du kan förlora ännu, kan du snabbt bli beroende av din lösenordshanterare. Du kanske felaktigt antar att när du väl har lärt dig ditt lösenord kommer du aldrig att glömma det. Även om det är vanligast att man glömmer lösenord kort efter att man har skapat dem, är det också vanligt att man glömmer dem efter en period då man inte har använt dem. Det kan till exempel hända att du glömmer det efter nästa planerade semester eller, som en vän fick erfara för några år sedan, efter en oplanerad sjukhusvistelse.
Varför hanterar varje produkt återställning på olika sätt? Delvis för att det är ett riktigt svårt problem även för företag som är bland världens största, bäst finansierade och mest kända för sin stora användbarhet. Tänk på Apples iCloud, som lagrar iCloud Keychain som används av Safari. Ett sätt att återskapa ett iCloud-konto är via kundtjänst, men hackare har lurat supportmedarbetare att kompromettera användarkonton, bland annat för en välkänd reporter 2012. Apple erbjöd därför också användarna möjligheten att lagra ett slumpmässigt genererat lösenord som kan användas för återställning (Apple kallade detta för en återställningsnyckel) och att konfigurera sina konton så att kundtjänstpersonalen inte kan ändra deras lösenord. Få användare valde återställningsnycklar, och några av dem blev upprörda när de upptäckte att kundtjänsten faktiskt inte längre kunde hjälpa dem när de behövde det. Apple slutade erbjuda återställningsnycklar 2015 . Apple tillåter för närvarande att lösenord återställs efter verifiering av kunderna via deras telefonnummer, trots att denna process är ganska sårbar för attacker.
Som om det inte vore illa nog är de krav som avgör om kundtjänst kommer att återställa en användares lösenord eller andra autentiseringsuppgifter inte tillgängliga för allmänheten. Av de företag som tillåter kundsupport att återställa användares kontouppgifter känner jag inte till något som delar med sig av de regler som de använder för att fatta beslut om vad som krävs för att komma in igen. Utan dessa regler kan användarna inte veta under vilka villkor de kommer att kunna återfå sitt konto och under vilka villkor en angripare kan ta över deras konto. Det är värt att upprepa detta: dessa företag förväntar sig att du ska lita på dem med ditt konto, men de berättar inte vilka regler som bestämmer om du kommer att fortsätta att kunna få tillgång till det eller om en angripare kan stjäla det från dig .
Istället för att förlita sig på ogenomskinliga regler för kundsupport använder många lösenordshanterare lösningar som är mindre sårbara för angrepp, men mer sårbara för oavsiktlig förlust.
Lösenordshanterare med öppen källkod KeePass och PasswordSafe (den ursprungliga lösenordshanteraren) överlåter åt dig att hitta ett sätt att lagra och säkerhetskopiera filen med dina lösenord, tillsammans med den nyckel som används för att skydda (kryptera) uppgifterna i dessa filer. Om du vill dela dina lösenord mellan olika maskiner måste du alltså skapa ett konto för lagring av filer online (t.ex. DropBox). Din säkerhetskopia kan vara en skriftlig kopia av huvudlösenordet och lösenordet för fildelningskontot. Om du använder tvåfaktorsautentisering på det kontot behöver du en säkerhetskopia för det också.
LastPass, Keeper , och Dashlane låter dig i förväg godkänna nödkontakter för åtkomst till ditt konto … så länge de också har ett konto med samma lösenordshanterare. Detta krav finns eftersom dessa produkter använder kryptografi för att se till att dina vänner, men inte företagen, kan få tillgång till dessa uppgifter. Detta bidrar till att skydda dig om deras tjänst hackas eller om en angripare framgångsrikt utger sig för att vara du till deras kundtjänstpersonal. Nackdelen är att en angripare som äventyrar din kontakts konto sedan kan äventyra ditt konto. Du kan minska risken för att det händer genom att sätta en tidsfördröjning innan din information kan lämnas ut till din kontaktperson i nödsituationer. Om du känner personer som använder en av dessa produkter och som du skulle kunna lita på kan den produkten vara bättre för dig än de produkter som dina kontakter inte använder.
Med 1Password består din huvudhemlighet faktiskt av två delar: en hemlig nyckel, som programvaran lagrar på varje enhet som du har lagt in dina lösenord på, och ditt huvudlösenord. Om du vill använda en ny enhet med 1Password måste du överföra din hemliga nyckel till den. Du kan säkerhetskopiera din hemliga nyckel genom att skapa ett ”nödpaket”, en PDF-fil som du kan skriva ut och som innehåller din hemliga nyckel och utrymme för att skriva ner ditt huvudlösenord. (Förhoppningsvis är din handstil bättre än min.) Precis som LastPass och Dashlane har 1Password utformat sin onlinetjänst så att de inte behåller dessa hemligheter och så att kundtjänsten inte kan hjälpa en angripare – eller dig – att få tillgång till dina uppgifter utan dem. Till skillnad från LastPass och Dashlane kräver deras återställningsprocess ingen interaktion med tjänsten eller någon annan. Detta gör 1Password till det mest privata alternativet, men det finns en kostnad för varje kund som har denna nivå av integritet: 1Password kan inte veta hur stor andel av kunderna som har skrivit ut återställnings-kit, hur många som har använt dem med framgång eller hur många som har förlorat sina lösenord för alltid. De enda uppgifter som de får för att förbättra tillförlitligheten i återställningsprocessen kommer från vad användarna frivilligt anger om de kontaktar supporten.
Om du använder Chrome med ett Google-konto och tvåfaktorsautentisering kan du få tio återställningslösenord för engångsanvändning (åttasiffriga nummer som de kallar för säkerhetskoder) som kan ersätta en av dina två faktorer . Google rekommenderar att du ”skriver ut eller laddar ner” dessa. Google lagrar också dessa koder, så till skillnad från välskötta slumpmässigt genererade lösenord kan dina koder äventyras om Google drabbas av ett intrång.
Om du använder en utskriven återställningshemlighet med Chrome eller 1Password, eller om du skapar en egen för KeePass eller PasswordSafe, måste du bestämma dig för var du ska lagra dina återställningshemligheter efter att du har skrivit ut dem. Ett kassaskåp eller ett kassaskåp hemma kan vara lämpligt, särskilt om du redan har ett sådant eller om du ändå behöver ett. Det finns ingen teknisk anledning till att du inte skulle kunna dela utskrifter av dina återställningshemligheter med vänner. Om du skulle göra det kanske du inte vill att det ska stå på bladet vem det är till, eftersom det kan ge ett litet skydd om det blir stulet. Ett annat alternativ är att ge två betrodda kontakter hälften av en kod, eller tre betrodda kontakter två tredjedelar av varje kod (så att två valfria kontakter kan hjälpa dig).
Om du inte gillar något av ovanstående alternativ kan du skriva ut alla dina lösenord regelbundet eller skriva ner dem. Om du skriver ut dem förlitar du dig på att din skrivare är säker och att du har en säker nätverksanslutning till skrivaren.
Ditt primära e-postlösenord kräver också särskild hänsyn när du planerar din återställningsstrategi, eftersom många andra lösenord kan återställas via e-post. Detta kan vara det viktigaste lösenordet att byta till ett slumpmässigt genererat lösenord, men det är också det som du kommer att behöva mest om du förlorar tillgången till din lösenordshanterare. Om du ändrar detta lösenord bör du överväga att skriva ner det eller säkerhetskopiera det också.