Lösenord.

Kanske det viktigaste du kan förvara.

Lösenord är någonting som absolut måste lagas säkert. Om du inte förvarar lösenorden krypterat har du en extrem säkerhetsrisk som kan ha katastrofala följder för dina kunder om de blir stulna. Därför är det säkrast att ta så många steg som möjligt för att göra lösenorden säkra.

Det absolut vanligaste sättet att säkra ett lösenord är igenom att kryptera det med en så kallad hashfunktion; en hashfunktion förvandlar indata till en kortare representation av den, och hashen genererad är unik för varje indata. Hashen du får ändras väldigt mycket om du bara byter ens ett enda tecken, vilket kallas för avalanche-effekten. Det finns många olika hashfunktioner, så se till att ha en stark funktion när det gäller kryptering av lösenord. Du behöver inte bara hasha en gång, jag rekommenderar att köra hashfunktionen flera gånger på samma lösenord för extra säkerhet.

Olika hashfunktioner

MD5
SHA-1
SHA-2
SHA-3
NTLM
LANMAN

SHA-1 transformerar några väldigt lika texter till helt olika hasher.

Här ser ni SHA-1 i arbete, vilket ger exempel på avalanche-effekten.

Någonting extra du kan göra för att göra dina lösenord säkrare är att lägga till saltning. Det innebär att du genererar en unik, slumpmässig sträng till varje lösenord. Eftersom att hashfunktioner skapar en unik sträng baserat på indatan kommer detta saltet göra lösenordet ännu svårare att avkoda då till exempel om flera användare har samma lösenord kommer deras unika saltning göra så att hasherna blir annorlunda ändå.

Steg du kan ta

Hasha lösenorden

Kryptera lösenorden med en hashfunktion, gärna flera gånger.

Lägg till salt

Saltning gör lösenorden svårare att dekryptera.

Extra krav

Krav på komplexitet av lösenord och 2fa gör användare extra säkra.

Ett par extra saker som majoriteten av företag gör numera är att både ha krav på lösenordet, till exempel som specialtecken och blandade versaler och gemener. Detta gör det svårare att tvinga fram lösenord med hjälp av bruteforcing. Flerfaktorsautentisering är också extremt bra att implementera, då det kommer göra stulna lösenord mycket svårare att använda.