Laurence CadieuxTænk over, hvad du kan nå på under et sekund. Blunke. Hoste. Slukke for radioen, fordi DEN særligt irriterende sang kommer på. Ja, DEN.
Hvis du var hacker, kunne du føje endnu en bedrift til listen over det, du kan nå på et sekund eller mindre: du kunne knække en hvilken som helst af de 10 værste adgangskoder i 2023.
For femte år i træk er leverandøren af software til adgangskodestyring, NordPass, gået sammen med uafhængige cybersikkerhedsforskere om at vurdere en database på 4,3 TB med millioner af adgangskoder fra personer i 35 lande. Adgangskoderne er hentet fra flere offentligt tilgængelige kilder, herunder dark web.
Hvad fandt de ud af? Gør dig klar. De mest populære adgangskoder i 2023 er ikke bare foruroligende. De er så chokerende uduelige og elendige, at de virker uvirkelige.
Her er et øjebliksbillede af årets 10 mest brugte adgangskoder sammen med den tid, det typisk tager hackere at knække dem:
| Placering | Adgangskode | Tid at knække |
|---|---|---|
| 1 | 123456 | Under 1 sekund |
| 2 | Admin (bemærk: det er en udbredt standardadgangskode, som mange brugere ikke gider ændre, til stor glæde for hackere) | Under 1 sekund |
| 3 | 12345678 | Under 1 sekund |
| 4 | 123456789 | Under 1 sekund |
| 5 | 1234 | Under 1 sekund |
| 6 | 12345 | Under 1 sekund |
| 7 | password | Under 1 sekund |
| 8 | 123 | Under 1 sekund |
| 9 | Aa123456 | Under 1 sekund |
| 10 | 1234567890 | Under 1 sekund |
De øvrige 190 mest populære adgangskoder i 2023 fortsætter den alarmerende tendens. „10203“ ligger for eksempel som nr. 120, „password123“ rammer nr. 142, og den klassiske favorit på 8 tegn, „aaaaaaaa“, dukker op som nr. 196. Alle tre vederstyggeligheder tager under et sekund at knække.
„Men vent,“ tænker du måske, „der må da være mindst et par adgangskoder i top 200, der tager mere end et sekund at knække, ikke?“ Det har du ret i. Se den 175. mest populære adgangskode, „Aa102030“, som tager hele 10 sekunder at knække. Og lad os ikke glemme den relativt mere komplekse „user1234“ (nr. 188 på listen), som tvinger hackere til at bruge hele 41 sekunder på at plukke den fra hinanden.
Det er ikke KUN skidt (bare mest skidt)
Hvis du er IT-sikkerhedsprofessionel og febrilsk søger på Google efter en anden planet at bo på — en planet, der i det mindste tvinger hackere til at bruge mere tid på en kop kaffe end på at knække de fleste adgangskoder — så skal du ikke pakke kufferten endnu. Der er et par poster i top 200, som fortjener betegnelsen adgangskode. For eksempel:
- vodafone (liste: nr. 113; tid at knække: 3 timer)
- Kumar@123 (liste: nr. 127; tid at knække: 3 timer)
- theworldisinyourhand (liste: nr. 173; tid at knække: århundreder)
(Hvis du i øvrigt har en kammerat, der hedder Kumar, og som ikke er særlig cybersikkerhedskyndig, er det et godt tidspunkt at sende ham en besked og fortælle, at hvis han er med i nr. 127-klubben, er han potentielt 3 timer fra et langt og dyrt mareridt.)
Virksomhedsledere bidrager da ikke til det her … vel?
Jo! En særskilt undersøgelse viste, at højtplacerede virksomhedsledere og ejere ofte bruger svage adgangskoder, der er nemme at knække, og det øger risikoen for et omfattende databrud markant. Blandt CEO’er var de 10 mest almindelige adgangskoder for eksempel:
- 123456
- Password
- 12345
- 123456789
- qwerty
- 1234
- qwerty123
- 1q2w3e
- 111111
- 12345678
Ser det bekendt ud? Læg ikke bare skylden på ivrige (og rædselsslagne) nye praktikanter. Mange erfarne ledere vælger også helt forkerte adgangskoder.
Hvad kan vi gøre?
Nogle problemer i livet er ekstremt svære. At skille sig af med en almægtig ring i Mordor? Svært. At sprænge en Dødsstjerne i luften? Kompliceret. At forhindre Borg i at assimilere dig? 0/10, kan ikke anbefales.
Andre problemer er nemme — i hvert fald sammenlignet med at tage kampen op mod Sauron, den mørke side eller Borg. Og at vende adgangskoder fra en sårbarhed til en styrke er et af dem. Grundlæggende er det her, alle virksomheder bør gøre, herunder små og mellemstore virksomheder (SMV’er), som nu er under belejring af hackere:
- Brug 2FA/MFA
- Brug adgangsfraser i stedet for adgangskoder. De er lange og unikke, men lettere for slutbrugere at huske.
- Brug en god og velrenommeret adgangskodeadministrator. Gå dog ikke ud fra, at det er en fuldt dækkende sikkerhedsløsning (se næste tip).
- Indfør PAM, og håndhæv just-in-time-adgang for privilegerede konti. Husk: fritstående adgangskodeadministratorer er i bund og grund værktøjer til forretningskontinuitet — og IKKE sikkerhedsløsninger — fordi de mangler funktioner som sikker indsprøjtning af legitimationsoplysninger, kontoopdagelse, automatisk adgangskoderotation, advarsler og notifikationer samt en godkendelsesproces for check-out-anmodninger. Læs mere om, om du kun har brug for en adgangskodeadministrator.
- Sammenlign alle mulige adgangskoder med en liste over kendte svage og kompromitterede adgangskoder (ifølge NIST; se SP-800-63B, afsnit 5.1.1.2, punkt 5).
- Skift adgangskoder med det samme, når der er tegn på et kompromis (ifølge NIST; se SP-800-63B, afsnit 5.1.1.2, punkt 9).
- Håndhæv en politik for adgangskodehistorik, så slutbrugere ikke genbruger gamle adgangskoder (Center for Internet Security anbefaler at sætte værdien til 24 eller mere; se afsnit 1.1.1).
- Lad slutbrugere kopiere og indsætte adgangskoder — ellers bruger de sandsynligvis enkle, korte adgangskoder, der er nemme at huske (ifølge NIST; se SP 800-63b, afsnit 5.1.1.2).
- Giv slutbrugere cybersikkerhedstræning (se nedenfor).
Værdien af cybersikkerhedstræning
For at understrege det sidste tip vender vi tilbage til forsøget på at bryde ind hos Reddit tidligere på året. Hackere sendte troværdigt udseende opfordringer, der ledte medarbejdere hen til et websted, som kopierede adfærden i virksomhedens intranet-gateway. Desværre gik en medarbejder i fælden. Det er den dårlige nyhed.
Den gode nyhed er, at medarbejderen havde fået cybersikkerhedstræning, så han straks opdagede fejlen og eskalerede den. Hans hurtige beslutning spillede en central rolle i at inddæmme kampagnen og begrænse skaden. Uden ordentlig cybersikkerhedstræning var situationen sandsynligvis blevet meget værre.
Det sidste ord
Teknisk set findes der ingen absolut, 100 % garanteret måde at stoppe hackere i at knække adgangskoder på. Der findes dog praktiske og dokumenterede måder at gøre deres arbejde meget, meget sværere på. Og hackere er som regel et pragmatisk folkefærd. Hvis et angreb tager for lang tid, kræver for meget indsats eller koster for mange penge, går de typisk videre til et andet mål. De er ikke ude efter spænding. De er interesserede i identitetstyveri — og jo hurtigere og nemmere det er, desto bedre.
Del dine erfaringer og råd
På din rejse som IT-professionel har du, når det gælder adgangskodestyring (eller i nogle tilfælde vanstyring), set det gode, det onde og det grusomme. Del gerne dine erfaringer og råd med fællesskabet. Hvad bør virksomheder og slutbrugere ellers gøre for at mindske risikoen? Og hvordan har du set tingene ændre sig — positivt og negativt — gennem årene? Din mening betyder noget, og din viden og dine advarsler kan gøre en enorm forskel.
Hvis du ikke allerede har gjort det i din virksomhed, så sæt de her tips til beskyttelse af adgangskoder i værk hurtigst muligt. Du vil sikre, at alle — også ledelsen — holder op med at vælge svimlende svage adgangskoder („12345“ og „aaaaaaaa“, vi kigger på jer!).