Hvorfor angribere elsker menneskeskabte adgangskoder

Denne artikel bygger på offentligt tilgængelig cybersikkerhedsforskning, brancherapporter og bredt anerkendte sikkerhedspraksisser. Hvor personlig erfaring nævnes, er det angivet eksplicit.

Kort fortalt

• Menneskeskabte adgangskoder følger forudsigelige mønstre, som angribere udnytter med ordbogs- og regelbaserede angreb.
• Selv adgangskoder, der virker "smarte", som L!nk3d1n2020, falder på minutter, fordi de følger almindelige substitutionsregler.
• CSPRNG-genererede adgangskoder fjerner angriberens mest magtfulde værktøjer: ordbøger og regler.
• Brug en adgangskodeadministrator med en stærk hovedadgangskode, aktivér MFA, og genbrug aldrig adgangskoder.

Kort svar

Efter femten år inden for penetrationstest kan jeg bekræfte, at menneskeskabte adgangskoder konsekvent er det svageste led i sikkerhedsvurderinger. Angribere gætter ikke adgangskoder én ad gangen — de automatiserer angreb ved hjælp af ordbøger med milliarder af rigtige adgangskoder og regelbaserede omdannelser. Adgangskoder som Tiger2021! bliver knækket på minutter, fordi de følger mønstre, mennesker næsten ikke kan undgå at bruge: et ord, et stort bogstav, tal til sidst. Det eneste reelle forsvar er at fjerne denne menneskelige forudsigelighed helt gennem kryptografisk sikker tilfældig generering.

Til hurtig generering, brug Adgangskodegeneratoren. For mere baggrund, læs Adgangskodeentropi Forklaret, Adgangskodeadministrator vs Browser, Hvor Lang Skal En Adgangskode Være? og Er Det Sikkert At Bruge Online-generatorer?.

Et databrud, de fleste har glemt — men ikke burde

I 2012 blev LinkedIn ramt af, hvad der dengang var et af historiens største databrud. Senere analyser viste, at omkring 167 millioner kontooplysninger blev eksponeret, og omkring 117 millioner af dem inkluderede e-mailadresser og adgangskode-hashes.

Da sikkerhedsteams undersøgte de knækkede adgangskoder, var resultaterne smertefuldt velkendte. password1, linkedin123 og lignende ugennemtænkte valg dukkede op i millionvis. Mere interessant — og mere bekymrende — er, at selv adgangskoder, der virkede smarte, som L!nk3d1n2020, faldt hurtigt. Hvorfor? Fordi de fulgte mønstre, mennesker næsten altid bruger.

Jeg har arbejdet i over femten år med cybersikkerheds-penetrationstest. Mit job består i — lovligt — at bryde ind i systemer med de samme metoder, som rigtige angribere bruger. Adgangskoder er ikke et teoretisk emne for mig; det er noget, jeg ser fejle i praksis hver eneste dag.

Sådan angribes adgangskoder i virkeligheden

For at forstå, hvorfor nogle adgangskoder overlever, og andre ikke gør, må man se det fra angriberens side. Angribere sidder ikke og gætter adgangskoder én ad gangen. De automatiserer alt.

1. Ordbogsangreb: Disse bygger på enorme samlinger af rigtige adgangskoder, ord, sætninger og variationer, indsamlet gennem år med databrud. Disse ordbøger indeholder milliarder af poster og bliver ved med at vokse.
2. Regelbaserede angreb: Disse er ødelæggende effektive mod menneskelig kreativitet. Værktøjer anvender automatisk almindelige vaner: erstatte "o" med "0", tilføje "123" eller "!" til sidst, gøre det første bogstav stort, indsætte et årstal, og så videre. De fleste "smarte" adgangskoder falder netop her.
3. Brute force: At prøve alle mulige kombinationer. Det lyder skræmmende, men mod lange, ægte tilfældige adgangskoder, gemt med moderne hash-algoritmer, bliver brute force hurtigt upraktisk, simpelthen fordi det tager for lang tid.

Problemet med selvskabte adgangskoder

Vi kan lide adgangskoder, vi selv finder på, fordi de føles personlige og lette at huske. Desværre viser både forskning og erfaring, at de også er meget forudsigelige.

• Mønstre gentager sig: Store studier, herunder arbejde fra Carnegie Mellon University, viser konsekvent de samme strukturer: et ord eller navn, et stort bogstav i starten, og tal eller symboler til sidst. Indholdet ændrer sig, men formen forbliver den samme. Når angribere først modellerer den struktur, bliver knækningen dramatisk hurtigere.
• Længden har et loft: De fleste brugerskabte adgangskoder ligger mellem 8 og 10 tegn. Ikke fordi folk ikke ved, at længere er mere sikkert, men fordi hukommelsen naturligt skubber os mod kortere strenge.
• Personlige oplysninger siver ind: Fødselsdage, kæledyrsnavne, mærkedage — folk bruger dem konstant. Og i de sociale mediers tidsalder behøver angribere ofte ikke engang at gætte.

Hvorfor tilfældige adgangskoder spiller et helt andet spil

En adgangskode skabt af en sikker tilfældig adgangskodegenerator — noget som r8$NpL#2qW9 — er ikke bare "mere kompleks". Den er fundamentalt anderledes.

Hvert tegn vælges uafhængigt. Der er ingen ord, ingen substitutioner, ingen menneskelig logik. Denne ene kendsgerning fjerner angriberens mest magtfulde værktøjer: ordbøger og regler.

Fra et taltalsperspektiv:

• En adgangskode på 8 tegn med kun små bogstaver har omkring 26⁸ muligheder (~209 milliarder).
• Tilføj store bogstaver, tal og symboler, og du er pludselig oppe på omkring 95⁸ (~6 billiarder).
• Sæt den op til 12 tegn, og rummet bliver astronomisk stort.

Men den reelle fordel er ikke kun størrelsen — det er, at tilfældige adgangskoder tvinger angribere over i brute force, hvilket er langsomt, dyrt og ofte ikke besværet værd.

Sådan ser det ud at knække disse adgangskoder i praksis

Fra en penetrationstesters synspunkt er forskellen slående:

Adgangskodetype	Eksempel	Angriberens metode	Tid til at knække
Selvskabt	Tiger2021!	Ordbog & regelbaseret	Minutter til timer
Tilfældigt genereret	r8$NpL#2qW9	Ren brute force	År / Århundreder

Hvis adgangskoden er korrekt hashet med noget som bcrypt eller Argon2, betyder brute force mod den tilfældige streng en tidsramme, der gør angrebet ugennemførligt. I de fleste virkelige tilfælde går angriberen simpelthen videre.

Den reelle afvejning: mennesker mod tilfældighed

Den største svaghed ved tilfældige adgangskoder er ikke sikkerheden — det er brugervenligheden. Mennesker er dårlige til at huske meningsløse strenge. Det er den centrale spænding i adgangskodesikkerhed:

• Adgangskoder, mennesker husker godt, har en tendens til at være svage.
• Adgangskoder, der er stærke, har en tendens til at være umulige at huske.

Moderne sikkerhedspraksisser findes netop for at bygge bro over den kløft.

Hvad der reelt virker i dag

Baseret på branchekonsensus og erfaring fra den virkelige verden:

1. Brug en adgangskodeadministrator: Værktøjer som Bitwarden eller 1Password lader dig stole på én stærk hovedadgangskode, mens alt andet er langt, tilfældigt og unikt. Dette betragtes bredt som den bedste mulighed for de fleste mennesker.
2. Hvis du skal huske noget, sats på længde: En streng af urelaterede ord (f.eks. coffee-zebra-battery-stapler) er ofte mere modstandsdygtig over for angreb — og lettere at huske — end en kort adgangskode fyldt med symboler.
3. Genbrug aldrig adgangskoder: Så snart ét websted bliver kompromitteret, forvandler genbrug det til en dominoeffekt.
4. Aktivér MFA: E-mail, bank, cloud-konti — brug altid multifaktorautentificering.
5. Tjek din eksponering ved databrud: Tjenester som Have I Been Pwned lader dig se, om din e-mail optræder i kendte databruds-datasæt.

Vigtige pointer

• Menneskelige adgangskoder følger gentagelige strukturelle mønstre (ord + tal + symbol).
• Ordbogsangreb indeholder milliarder af rigtige adgangskoder fra databrud.
• Regelbaserede angreb anvender automatisk almindelige substitutioner (o→0, a→@, tilføjelse af 123 eller !).
• Tilfældige adgangskoder på 12+ tegn tvinger angribere over i brute force, hvilket er beregningsmæssigt ugennemførligt mod moderne hashing.
• Adgangskodeadministratorer bygger bro over kløften mellem sikkerhed og brugervenlighed.

Kort sagt

Menneskelig kreativitet er ikke en modstander for automatiserede angrebsværktøjer. De eneste adgangskoder, der overlever reelle penetrationstests, er dem, der er genereret af en CSPRNG, hvor hvert tegn er uafhængigt og uforudsigeligt. Det er ikke en filosofisk debat om, hvorvidt mennesker eller maskiner skaber "bedre" adgangskoder — det handler om risikostyring. Computere er gode til at generere tilfældighed, og mennesker er gode til at beskytte én hemmelighed og reagere på prompter som MFA. Lad hver især gøre det, de er bedst til.

Klar til at opgradere din sikkerhed? Generér en stærk, offline adgangskode nu for at beskytte dine konti med det samme.

Hvorfor du kan stole på PassGenerate

• Adgangskoder genereres lokalt i din browser ved hjælp af Web Crypto API.
• Ingen adgangskoder overføres til servere.
• Bruger en kryptografisk sikker pseudotilfældig talgenerator (CSPRNG).
• Følger moderne sikkerheds-best practices anbefalet af NIST og OWASP.

Referencer

• NIST SP 800-63B – Digital Identity Guidelines
• OWASP Password Storage Cheat Sheet
• OWASP Authentication Cheat Sheet
• MDN-dokumentation for Web Crypto API
• CISA Password Guidance