Lösenordshanterare: vad de löser och när gratis onlineverktyg inte räcker
En lösenordshanterare är den enda säkerhetsprogramvara som nästan alla experter är överens om att det är värt att använda. Den gör dig inte immun mot intrång, men den tar bort de två vanor som orsakar mest skada: att återanvända lösenord mellan sajter och att förvara dem på lättlästa ställen. För många är en välrenommerad hanterare tryggare än att inte göra någonting; för andra är fel hanterare bara ännu ett molnkonto de inte kontrollerar.
Den här guiden tar upp vad en hanterare skyddar dig mot, hur ett intrång i ett valv skiljer sig från en läcka i klartext, och varför huvudlösenordet är både den starkaste och svagaste länken. Vi förklarar också när ett gratis onlineverktyg är fel plats för inloggningsuppgifter, och när ett kalkylblad, ett lokalt program eller en yrkesperson är det säkrare valet. Siteb.biz är en oberoende katalog över webbläsarverktyg, inte en leverantör; detta är vägledning och ingen rekommendation.
Vad en lösenordshanterare faktiskt stoppar#
Huvudskyddet gäller inte att valvleverantören hackas; det gäller de vardagliga attacker som fungerar för att människor återanvänder lösenord eller väljer svaga. När varje konto har ett unikt, slumpmässigt lösenord kan ett intrång hos en tjänst inte användas för att logga in hos en annan. En hanterare fyller också bara i uppgifter på den sajt de hör till, vilket försvårar vissa nätfiskeattacker, och den tar bort frestelsen att förvara lösenord i e-postutkast, kalkylblad eller anteckningar i telefonen.
- Inloggningsattacker: angripare tar ett läckt lösenord från en sajt och provar det på dussintals andra.
- Svaga eller förutsägbara lösenord: hanteraren skapar strängar du aldrig skulle memorera.
- Nätfiske med snarlika domäner: de flesta hanterare vägrar fylla i uppgifter på fel sajt.
- Lösenord i öppen dager: e-postutkast, kalkylblad och post-it-lappar.
- Förlorad enhet: ditt valv kan återställas på en ny telefon eller dator, förutsatt att du kan huvudlösenordet.
Krypterade valv jämfört med läckor i klartext#
Alla intrång är inte lika. Om en tjänst lagrar ditt lösenord i klartext kan den som stjäl databasen läsa det omedelbart. Om den bara lagrar en hash måste angriparen knäcka den, och ett starkt unikt lösenord klarar sig oftast. En lösenordshanterare lägger till ytterligare ett lager: ditt valv krypteras på din enhet innan det lämnar den, så leverantören håller normalt bara krypterad text. Även om den krypterade texten stjäls behöver angriparen fortfarande ditt huvudlösenord för att låsa upp den. Det är en meningsfull skillnad, men det är ingen osårbarhet.
| Scenario | Vad angriparen får | Vad som stoppar dem |
|---|---|---|
| Läcka i klartext | Ditt verkliga lösenord, läsbart direkt | Ingenting; byt lösenord omedelbart |
| Läcka av hashade lösenord | En förvrängd hash som måste knäckas | Ett långt slumpmässigt lösenord och långsam hashning |
| Stöld av krypterat valv | Krypterad text utan dekrypteringsnyckel | Ditt huvudlösenord och inställningarna för nyckelhärledning |
| Gissat huvudlösenord | Full åtkomst till det dekrypterade valvet | Längd, slumpmässighet och att inte återanvända det någon annanstans |
Vissa hanterare har kritiserats för svaga standardvärden på antalet iterationer; kontrollera säkerhetsinställningarna om det oroar dig.
Problemet med huvudlösenordet#
Världens starkaste kryptering blir värdelös om ditt huvudlösenord är kort, personligt eller återanvänt. Eftersom valvleverantören inte känner till lösenordet kan de inte återställa det åt dig. Det är hela poängen: du ensam har nyckeln. Det betyder också att om du glömmer det är data borta. De bästa huvudlösenorden är långa lösenfraser — fem eller sex slumpmässiga ord, eller en lång teckensträng du kan skriva säkert. För den uppgiften är rätt gratis onlineverktyg en lösenfrasgenerator som körs helt i din webbläsare; allt som skickar kandidater till en server lär sig ditt framtida huvudlösenord.
- Använd minst 16 tecken; 20 eller fler är bättre om du kan skriva dem konsekvent.
- Återanvänd inte ditt huvudlösenord någon annanstans, inte ens som säkerhetssvar.
- Undvik namn, födelsedatum, husdjursnamn och favoritcitat som finns på nätet.
- Skapa det med ett lösenfrasverktyg i webbläsaren som inte laddar upp resultatet.
- Öva på att skriva det i flera dagar innan du förlitar dig på det; muskelminnet spelar roll.
Återställningsplanen du bör skriva ner innan du behöver den#
De flesta tänker på återställning först efter att de blivit utelåsta. Skriv ner planen på papper innan det händer. Förvara papperet på ett tryggt ställe: en låst låda, ett kassaskåp eller hos en person du litar på, beroende på din hotbild. Ha inte den enda kopian bredvid datorn. Bladet bör inte innehålla ditt huvudlösenord om du inte medvetet bedömt att risken att glömma det överstiger risken att någon annan hittar det. För de flesta räcker en bra ledtråd.
| Uppgift att notera | Varför det spelar roll | Var den bör förvaras |
|---|---|---|
| Valvleverantörens namn och inloggningsadress | Du kan inte återställa det du inte hittar | På papper och i ett sekundärt e-postkonto |
| Metod för tvåfaktorsautentisering | Att förlora autentiseraren kan låsa ute dig | Reservkoder i ett förseglat kuvert |
| Nödkontakt eller kontakt för arv | Om du blir handlingsoförmögen måste någon nå kontona | Tillsammans med ditt testamente eller hos en anhörig du litar på |
| Ledtråd till huvudlösenordet | Friskar upp minnet utan att avslöja frasen | På papper, skilt från enheten |
| Återställningsnyckel eller exportfil | Låter dig byta hanterare eller återfå åtkomst | På ett krypterat USB-minne eller i ett bankfack |
En pappersanteckning är inte gammalmodig; den är offline, hållbar och svårare att stjäla på distans än en molnanteckning.
När en lösenordshanterare är fel val#
Det finns situationer där en hanterare skapar friktion utan att öka tryggheten. Om du inte kan minnas ett starkt huvudlösenord och saknar ett tryggt ställe att förvara en ledtråd kommer du förr eller senare att låsa ute dig själv. Om anhöriga behöver komma åt konton när du inte kan kan ett delat kalkylblad på en säker plats vara mer praktiskt — även om det är mindre säkert i andra avseenden. Reglerade verksamheter behöver ibland spårbarhet och central styrning som konsumenthanterare inte erbjuder. I sådana fall är ett gratis onlineverktyg fel plats för ditt valv; rätt svar kan vara en företagsprodukt, operativsystemets nyckelring eller en yrkesperson.
- Du har ingen återställningsplan och ingen betrodd person som kan förvara en kopia.
- Du delar uppgifter med familjemedlemmar som inte kommer att använda samma app.
- Din arbetsgivare eller tillsynsmyndighet kräver loggning, deponering eller central administration.
- Du behöver åtkomst på enheter som inte kan köra hanteraren eller dess synkronisering.
- Du kan inte memorera eller tillförlitligt skriva ett långt huvudlösenord.
Att välja bland de fyra vanliga typerna#
Lösenordsverktyg för konsumenter delas i fyra kategorier, och den bästa beror på hur mycket kontroll du vill ha och hur mycket du är beredd att betala. Hanterare inbyggda i webbläsare är bekväma men bundna till ett ekosystem. Operativsystemens nyckelringar är bättre integrerade och krypterade, men fortfarande begränsade. Molnhanterare synkroniserar mellan enheter och lägger till delning, till priset av att du litar på en tredje part. Egenhostade alternativ ger dig full kontroll, men också fullt ansvar för säkerhetskopior och uppdateringar.
| Typ | Typisk kostnad | Avvägning |
|---|---|---|
| Inbyggd i webbläsaren | 0 € | Bekväm, men bunden till ett webbläsarkonto och svårare att exportera |
| Operativsystemets nyckelring | 0 € (ingår i enheten) | Tätt integrerad, men med begränsad delning och återställning |
| Molnbaserad lösenordshanterare | 0–60 €/år (gratisnivå mot betalfunktioner) | Synkronisering och delning mellan enheter, men du litar på leverantörens säkerhet |
| Egenhostat valv | 0–200 €/år (hårdvara, drift och din tid) | Full kontroll, men du ansvarar ensam för säkerhetskopior och uppdateringar |
Detta är allmän vägledning och ingen juridisk, finansiell eller reglerad säkerhetsrådgivning; rådgör med en yrkesperson om du hanterar känsliga organisationsdata.
En kort checklista för uppsättningen#
- Välj den typ av valv som matchar dina behov av återställning och din budget.
- Skapa en lång huvudlösenfras med ett webbläsarverktyg som körs lokalt.
- Slå på tvåfaktorsautentisering på valvkontot och spara reservkoderna.
- Lägg först till några konton med låg risk och migrera resten gradvis.
- Skriv ner återställningsbladet och förvara det offline innan du raderar gamla lösenordslistor.
Behandla inte uppsättningen som en engångshändelse; se över ditt återställningskit minst en gång om året.
Vanliga frågor
Kan företaget bakom lösenordshanteraren se mina lösenord?
I en väl utformad tjänst är svaret nej. Leverantören lagrar bara krypterade data och får aldrig ditt huvudlösenord i användbar form; dekrypteringen sker på din egen enhet. Det kallas ofta nollkunskapsarkitektur. Det är dock ingen magi. Du litar fortfarande på att koden, uppdateringsmekanismen och kryptografin är korrekt implementerade. En oärlig eller komprometterad leverantör skulle i teorin kunna leverera en illasinnad uppdatering som fångar ditt huvudlösenord när du skriver det. Därför föredrar många hanterare med öppen källkod eller sådana som granskats oberoende, och därför bör du hålla appen uppdaterad.
Vad ska jag göra om min lösenordshanterare rapporterar ett intrång?
Ta först reda på om de stulna uppgifterna var krypterade valvfiler eller kontouppgifter i klartext. Om bara krypterad text togs bör du byta huvudlösenord som försiktighetsåtgärd och se över inställningarna för tvåfaktorsautentisering; de gamla valvfilerna förblir skyddade av det tidigare huvudlösenordet om det inte var svagt. Om uppgifter i klartext som e-postadresser eller webbadresser exponerades bör du vara uppmärksam på riktat nätfiske och överväga att byta lösenord på de känsligaste kontona. Om du återanvänt huvudlösenordet någon annanstans bör du byta de kopiorna omedelbart, eftersom återanvändningen nu är den verkliga faran.
Är en gratis lösenordsgenerator online säker?
Det beror på vad den gör med data. En generator som körs helt i din webbläsare och aldrig laddar upp resultatet kan vara helt säker för att skapa enstaka lösenord. Risken uppstår när ett verktyg skickar det skapade lösenordet till en server, sparar det i analysverktyg eller körs på en sajt du inte litar på. För vardagliga lösenord är en lokal generator i webbläsaren rimlig. För ditt huvudlösenord bör du använda en särskild lösenfrasgenerator som också stannar lokalt, och aldrig klistra in resultatet i ett formulär på nätet bara för att testa det. Är du osäker bör du skapa lösenorden offline.
gratis onlineverktygför- och nackdelar med lösenordshanterareintrång i krypterat valv förklarathur man väljer ett huvudlösenordåterställningsplan för lösenordshanterarelösenfrasgenerator mot lösenordsgenerator
