Et passord er en hemmelig streng som beviser at du er den du utgir deg for å være. Det er den eldste og vanligste autentiseringsmetoden. Det er også den svakeste. Folk bruker passord på tvers av nettsteder. De velger ord som er lette å huske og lette å gjette. De skriver dem på klistrelapper og deler dem med kolleger. Angripere vet dette. Legitimasjonstyveri er utgangspunktet for de fleste sikkerhetsbrudd.

Passordstyrke kommer av lengde og uforutsigbarhet. En passordfrase på 12 tegn bestående av tilfeldige ord er sterkere og lettere å huske enn en streng med symboler på 8 tegn. Problemet er ikke selve passordet. Det er systemet rundt det. Å lagre passord i klartekst er uaktsomt. Å lagre dem med en rask hash er nesten like ille. Passord bør saltes og hashes med en langsom algoritme som bcrypt eller Argon2. Hastighetsbegrensning blokkerer brute-force-forsøk. Innbruddsdeteksjon sjekker nye passord mot kjente lekkede lister.

Beste praksis for passord

• Bruk en passordbehandler – generer og lagre unike passord
• Lengde fremfor kompleksitet – lengre er bedre enn fremmed
• Aldri gjenbruk – ett brudd skal ikke overlappe
• Aktiver MFA – et passord alene er ikke nok
• Sjekk for sikkerhetsbrudd – endre kompromitterte passord umiddelbart

Passord kommer ikke til å forsvinne med det første, men de er ikke lenger tilstrekkelige alene. Behandle dem som ett lag, ikke hele forsvaret.