Hvor lang skal en adgangskode være? Styrke uden myter
Længde slår snedighed. Her er, hvad der reelt gælder for adgangskoders længde, hvorfor genbrug er den egentlige fare, og et par indstillinger, der er tilstrækkelige.
Længden er den vigtigste egenskab en adgangskode kan have. Hvert ekstra tegn ganger det arbejde, et brute-force-angreb kræver, mens udskiftning af ét bogstav med ét symbol kun tilføjer en mulighed mere pr. plads. En lang og kedelig adgangskode vinder altid over en kort og snedig.
Som tommelregel er 16 eller flere tilfældige tegn fra en generator komfortabelt for de kontoer, du holder kært, og en tilfældig sætning af fire ord, der intet har med hinanden at gøre, fungerer lige så godt, hvor du skal taste den i hånden. En adgangskode på 8 tegn – hvor tilfældig som helst – er inden for rækkevidde af alle, der kan leje regnekraft pr. minut; derfor betyder længden mere end de symboler, du smider ind.
Den egentlige fare er ikke den kompleksitet, men genbrugen. Når en virksomhed med elendig sikkerhed hælder sin database ud, prøver angribere kombinationen af e-mail og adgangskode overalt; en stærk adgangskode, der genbruges, bliver det svageste led, så snart én af dem fejler. Brug en adgangskodemanager, hold hver adgangskode unik, og slå totrinsverifikation til, hvor det betyder noget.
Sikkerhedsstandards, der gælder i dag, har droppet de gamle regler med god grund: tvungne regler som „ét stort bogstav, ét tal, udløber efter 90 dage“ presser folk i retning af forudsigelige mønstre, som angribere kender udenad. Længde, unikhed og et ærligt styrkemål – som i vores generator, der kører helt i din browser – tager dig længere end noget tradition.