NIST anbefaler adgangskodemanager frem for komplekse regler

Den amerikanske standardiseringsmyndighed NIST (National Institute of Standards and Technology) ændrede for nogle år siden sine retningslinjer for adgangskoder markant: myndigheden anbefaler nu, at brugere får lov at benytte en adgangskodemanager frem for at blive tvunget til komplekse regler med specialtegn og tal, der skal skiftes hver 90. dag. Anbefalingen, der står i NIST Special Publication 800-63B, er sidenhen blevet fulgt af flere it-sikkerhedsmyndigheder, herunder britiske NCSC, og den ændrer grundlæggende ved, hvad "god adgangskodehygiejne" betyder for en almindelig dansk bruger.

Hvorfor de gamle regler ikke virkede

De klassiske krav — mindst ét stort bogstav, ét tal, ét specialtegn, skift hver tredje måned — lyder som god sikkerhed, men i praksis gjorde de det modsatte. Når brugere tvinges til at huske komplicerede koder, der ændrer sig regelmæssigt, ender de fleste med forudsigelige mønstre: "Sommer2026!" bliver til "Efterår2026!" tre måneder senere. NIST konkluderede, at den slags tvungne kompleksitet ikke øger sikkerheden nævneværdigt, men til gengæld gør koderne sværere at huske — hvilket får folk til at genbruge dem på tværs af tjenester.

Genbrug er det egentlige problem. Når en tjeneste bliver hacket, og adgangskoder lækkes, forsøger angribere automatisk de samme kombinationer af e-mail og kodeord på andre tjenester. Metoden hedder credential stuffing på engelsk, og den virker i praksis, fordi så mange bruger det samme kodeord flere steder.

Det en adgangskodemanager løser

En adgangskodemanager genererer og husker en unik, lang adgangskode til hver eneste tjeneste, man logger ind på. Brugeren skal kun huske én hovedadgangskode. Løsningen findes i flere former: indbygget i browseren (Google Password Manager, Apples Nøglering), som separat abonnementstjeneste (1Password, Dashlane) eller open source og gratis (Bitwarden, KeePass).

Forskellen på de indbyggede løsninger og de dedikerede tjenester er typisk, hvor mange enheder og browsere de synkroniserer på tværs af, og hvor gode deres funktioner til at dele adgangskoder sikkert med familie eller kolleger er. For de fleste private brugere er en gratis, indbygget løsning et markant skridt op fra slet ingen adgangskodemanager — men den dækker som regel kun én producents økosystem.

Totrinsgodkendelse er det næste lag

En adgangskodemanager løser problemet med genbrugte og svage koder. Den løser ikke, hvad der sker, hvis selve kodeordet alligevel lækkes — for eksempel via en phishing-mail. Her kommer totrinsgodkendelse ind som et ekstra lag: selv med korrekt kodeord kræver login også en kode fra en app, en sms eller en fysisk nøgle. Kombinationen af unikke kodeord fra en adgangskodemanager og totrinsgodkendelse på de vigtigste konti — mail, bank og andre konti med adgang til personfølsomme oplysninger — er det, sikkerhedsmyndigheder i dag anbefaler som minimum.

Sådan kommer du i gang

Det kræver ikke et stort projekt at komme i gang. Installer en adgangskodemanager, og lad den generere nye, unikke koder, efterhånden som du alligevel logger ind på dine tjenester — man behøver ikke skifte alle koder på én dag. Prioritér mail først, for har en angriber adgang til din mailkonto, kan de nulstille adgangskoder til stort set alt andet. Dernæst bank, sociale medier og eventuelle arbejdskonti.

Den hovedadgangskode, der låser selve adgangskodemanageren op, skal til gengæld være både lang og unik. Det er den ene kode, du selv skal huske, og den bør aldrig genbruges andre steder. NIST anbefaler i den forbindelse en lang passphrase — flere tilfældige ord sat sammen — frem for et kort, komplekst kodeord, fordi længden i praksis giver mere sikkerhed end specialtegnene gjorde.

Er det sikkert at samle alle koder ét sted?

Det er det spørgsmål, de fleste stiller sig selv, første gang de overvejer en adgangskodemanager: bliver det ikke ekstra farligt at have alle koder samlet ét sted, hvis den tjeneste selv bliver hacket? Svaret afhænger af arkitekturen. De fleste seriøse adgangskodemanagere bruger såkaldt zero-knowledge-kryptering, hvor dine koder krypteres og dekrypteres lokalt på din egen enhed med din hovedadgangskode. Leverandøren opbevarer kun den krypterede blob og har ingen mulighed for at læse indholdet, selv hvis deres servere bliver kompromitteret.

Det betyder ikke, at risikoen er nul. Enkelte adgangskodemanagere har været udsat for sikkerhedshændelser, hvor krypterede data er blevet stjålet — men uden hovedadgangskoden er den krypterede data i praksis ubrugelig, forudsat at hovedkoden er lang og unik nok til at modstå et forsøg på at gætte sig frem. Vælger man en anerkendt udbyder og en solid hovedadgangskode, er risikoen ved at samle koderne ét sted markant lavere end risikoen ved at genbruge svage koder på tværs af dusinvis af tjenester, som er den model, de fleste bruger i dag uden en adgangskodemanager.

Passkeys er næste skridt — men er ikke der endnu

Sideløbende med adgangskodemanagere vinder en anden teknologi frem: passkeys. En passkey erstatter kodeordet helt og logger dig ind med din enheds egen biometri — fingeraftryk eller ansigtsgenkendelse — koblet til en kryptografisk nøgle, der aldrig forlader enheden. Både Apple, Google og Microsoft understøtter i dag passkeys, og flere store tjenester har rullet det ud som en valgfri loginmetode.

Passkeys er endnu ikke udbredt nok til at erstatte adgangskodemanageren for alvor — mange tjenester, danske netbanker og offentlige systemer inklusive, understøtter det slet ikke endnu. Indtil da er kombinationen af en adgangskodemanager og totrinsgodkendelse fortsat det mest realistiske råd til en almindelig bruger, og de to teknologier udelukker ikke hinanden: efterhånden som flere tjenester tilbyder passkeys, kan man løbende skifte til dem for de konti, der understøtter det.

Kilder

• NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management
• UK National Cyber Security Centre (NCSC) — vejledning om adgangskoder og password managers
• FIDO Alliance — dokumentation af passkey-standarden