Ett lösenord är en hemlig sträng som bevisar att du är den du utger dig för att vara. Det är den äldsta och vanligaste autentiseringsmetoden. Det är också den svagaste. Människor återanvänder lösenord på olika webbplatser. De väljer ord som är lätta att komma ihåg och lätta att gissa. De skriver dem på post-it-lappar och delar dem med kollegor. Angripare vet detta. Stöld av autentiseringsuppgifter är utgångspunkten för de flesta intrång.

Lösenordsstyrka kommer från längd och oförutsägbarhet. En lösenfras på 12 tecken bestående av slumpmässiga ord är starkare och lättare att komma ihåg än en symbolsträng på 8 tecken. Problemet är inte lösenordet i sig. Det är systemet runt det. Att lagra lösenord i klartext är försumligt. Att lagra dem med en snabb hash är nästan lika illa. Lösenord bör saltas och hashas med en långsam algoritm som bcrypt eller Argon2. Hastighetsbegränsning blockerar brute-force-försök. Intrångsdetektering kontrollerar nya lösenord mot kända läckta listor.

Bästa praxis för lösenord

• Använd en lösenordshanterare – generera och lagra unika lösenord
• Längd framför komplexitet – längre är bättre än främling
• Återanvänd aldrig — ett enda intrång bör inte orsaka en kaskader
• Aktivera MFA – ett lösenord ensamt räcker inte
• Kontrollera efter intrång – byt omedelbart komprometterade lösenord

Lösenord kommer inte att försvinna inom den närmaste framtiden, men de är inte längre tillräckliga i sig själva. Behandla dem som ett enda lager, inte som ett komplett försvar.