De fleste gjenbruker samme passord på flere tjenester, rett og slett fordi det er umulig å huske femti forskjellige. Du har sannsynligvis samme, eller lett gjenkjennelige variasjoner av samme passord, på langt flere tjenester enn du liker å tenke på, rett og slett fordi hjernen din har en grense for hvor mye tilfeldig informasjon den klarer å lagre pålitelig.
Én lekkasje, mange åpne dører
Problemet er at hvis én tjeneste lekker passordet ditt, kan noen prøve akkurat det passordet på alle dine andre kontoer også. Dette kalles credential stuffing, og er en av de vanligste og mest effektive metodene angripere bruker i dag, nettopp fordi så mange gjenbruker passord.
Tenk deg at du bruker nøyaktig samme fysiske nøkkel til huset, bilen, kontoret og hytta. Skulle noen få tak i akkurat den ene nøkkelen, mister du plutselig kontrollen over alt på én gang, ikke bare det ene stedet nøkkelen opprinnelig var ment for. En lekkasje hos én eneste, kanskje relativt ubetydelig tjeneste, kan dermed gi noen tilgang til nettbanken din, om du tilfeldigvis brukte samme eller lignende passord der også.
Nøkkelskapet med én hovednøkkel
En passordbehandler løser dette ved å generere og huske et unikt, komplisert passord for hver eneste tjeneste, låst bak ett eneste hovedpassord du faktisk må huske selv. Det ligner på et låst nøkkelskap med en egen nøkkel til hver dør i huset, du trenger bare huske én kombinasjon for å åpne skapet der alle de andre nøklene ligger trygt oppbevart.
Dette betyr at hver eneste konto du har får sitt eget, helt unike passord, ofte en tilfeldig generert kombinasjon av bokstaver, tall og symboler som ville vært umulig for et menneske å huske utenat, men som passordbehandleren fyller inn automatisk idet du logger inn. Skulle én av disse unike passordene lekke i en datalekkasje hos en tjeneste, påvirker det utelukkende akkurat den ene kontoen, siden ingen av de andre kontoene dine deler samme passord.
Hvordan det faktisk fungerer i praksis
I praksis installerer du en passordbehandler som en utvidelse i nettleseren, eller som en egen app på telefonen og datamaskinen. Når du oppretter en ny konto et sted, foreslår passordbehandleren automatisk et sterkt, tilfeldig passord i stedet for at du selv må finne på noe. Neste gang du besøker samme tjeneste, gjenkjenner passordbehandleren siden, og fyller automatisk inn riktig brukernavn og passord for deg, uten at du selv trenger å huske eller skrive det manuelt.
Denne automatiseringen har faktisk en ekstra sikkerhetsfordel utover bare bekvemmelighet. Fordi passordbehandleren kun fyller inn passord automatisk på den nøyaktige, korrekte adressen den opprinnelig lagret det for, blir den også en slags innebygd beskyttelse mot forfalskede nettsteder som prøver å ligne på ekte tjenester. Kommer du til en falsk kopi av nettbanken din, vil passordbehandleren som regel ikke gjenkjenne adressen som en match, og dermed ikke fylle inn noe automatisk, et lite, men nyttig varsel om at noe kan være galt.
Hva som skjer hvis du glemmer hovedpassordet
Den ene svakheten med denne løsningen er at hele systemet hviler på nettopp det ene hovedpassordet. Glemmer du det, og passordbehandleren ikke har noen gjenopprettingsmekanisme du har satt opp på forhånd, kan du i verste fall miste tilgang til alle de lagrede passordene dine samtidig. De fleste seriøse passordbehandlere tilbyr derfor egne gjenopprettingsløsninger, som en egen gjenopprettingskode du bør lagre et trygt, fysisk sted atskilt fra selve datamaskinen.
Det er derfor verdt å faktisk velge et hovedpassord du realistisk klarer å huske, men som fortsatt er langt sterkere enn noe du ville brukt på en vanlig, enkeltstående tjeneste, siden dette ene passordet nå i praksis beskytter absolutt alt annet.
Hvorfor er dette nyttig å vite
Bruker du samme passord overalt i dag, er en passordbehandler trolig den enkeltendringen som gjør deg tryggest, raskest. Det er en av de sjeldne sikkerhetstiltakene som faktisk gjør hverdagen enklere i stedet for mer tungvint, siden du slipper å huske eller taste inn passord manuelt for de aller fleste tjenestene du bruker.
Overgangen krever riktignok litt innsats i starten, å faktisk gå gjennom og bytte ut alle de gamle, gjenbrukte passordene ett etter ett. Men denne engangsinnsatsen er en investering som betaler seg selv mange ganger over, hver eneste gang en tjeneste et sted i verden opplever en datalekkasje du ellers ville vært sårbar for.