Hur långt ska ett lösenord vara? Styrka utan myter
Längd slår snille. Här är vad som gäller för lösenordslängd, varför återanvändning är den verkliga faran och ett par inställningar som stämmer.
Längden är den allra viktigaste egenskapen ett lösenord kan ha. Varje extra tecken multiplicerar den arbetsmängd ett brute force-angrepp kräver, medan byte av en bokstav mot en symbol bara lägger till ett val per position. Ett långt och tråkigt lösenord slår det korta och snillrika – varje gång.
Som tumregel duger 16 eller flera slumpade tecken från en generator bekvämt till konton du bryr dig om, och en lösenordsfras med några orelaterade ord fungerar lika bra till det du skriver för hand. Ett lösenord på åtta tecken – hur slumpat som helst – ligger inom räckhåll för alla som hyr beräkningskraft per minut – därför spelar längden större roll än vilka symboler du strör in.
Återanvändningen är den verkliga faran – inte komplexiteten. När ett företag med slarvig säkerhet läcker sin databas försöker angripare kombinationen e-post plus lösenord överallt: ett starkt lösenord som återanvänds blir den svagaste länken så snart en av dem misslyckas. Använd en lösenordshanterare, håll varje lösenord unikt och aktivera tvåstegsverifikation där det spelar någon roll.
Säkerhetsstandarder som gäller i dag har begravt de gamla reglerna av goda skäl: tvingande regler om »en versal, en siffra, slutar gälla efter 90 dagar« pressar folk mot förutsägbara mönster som angripare kan utantill. Längd, unikhet och en ärlig styrkemätare – som i vår generator, som kör helt i din webbläsare – ger dig längre än varje ritual.