Tankenöt: En Iphone ger tio chanser att ange korrekt fyrsiffrig pin-kod innan telefonens innehåll raderas – hur stor är då chansen att lyckas ta sig in i en upphittad telefon?
Den strikt matematiska angreppsvinkeln på problemet ovan är alltså att någon på ren slump lyckas med att chansa rätt bland 10 000 valmöjligheter (0000 är också en möjlig kombination) någon av tio gånger (där man aldrig testar samma kod två gånger). Den matematiska chansen att hitta rätt lösenord är alltså 1 på 1000.
Människan är dock ingen slumpgenerator – en studie av 204 508 användare visade att 8884 (drygt 4 procent) av dem valt ‘1234′ som kod, och de tio vanligaste koderna tillsammans täckte cirka 15 procent. Den verkliga chansen att hitta rätt lösenord är alltså cirka 1 på 7. Känner man sedan till exempelvis innehavarens och familjens födelseår så ökar chansen ytterligare.
På samma sätt visade undersökningen av en hackad databas att ‘123456′ var det vanligaste lösenordet, följt av ‘hejhej’ och ‘hejsan’; bland engelskspråkiga hamnade ‘password’ först, följt av ‘123456′ och ‘12345678′. På företagssidan är istället varianter av ’sommar’ och ‘vinter’ vanligast.
Sådana här besvär har föga att göra med Lärarförsäkringars produkter, men utgör uppenbarligen en tillräckligt stor del av Lärarförsäkringars övergripande tema vardagstryggheten för att i tider av nyhetstorka återkommande resultera i löpsedelslarm. Nu senast var det Svenska Dagbladet som skrev på temat, och det är onekligen frustrerande att hitta lösenord som inte är självklara för utomstående men som ändå är enkla att komma ihåg – särskilt som lösenorden lätt blir några stycken och dessutom ofta måste bytas med olika frekvens.
För att – i väntan på kommande tekniker – underlätta bekymret är jag personligen svag för leetspeak, där bokstäver byts ut mot siffror med liknande form:
O=0, I/L=1, R=2, E=3, A=4, S=5, G=6, T=7, B=8
Skulle man alltså exempelvis vara ett fan av wrestlaren Undertaker så kan man börja med ‘Und3rtak3r’, och sedan byta till ‘Und4rtak4r’ och så vidare när så tarvas.
Den ständigt återkommande internetreferensen XKCD håller dock inte alls med mig, och föreslår istället en helt annan metod:
Det är alltså bara att välja variant som passar, men så länge lösenordet inte är alldeles påfallande uppenbart så är det generellt av större vikt att exempelvis inte låta lappar med lösenordet ligga framme och att inte låta omgivningen titta när du anger lösenordet – och att vara oerhört restriktiv med att uppge lösenordet till någon. Sedan skulle jag även rekommendera att ha olika lösenord för varje ställe där det verkligen vore jobbigt att bli av med det, så att inte allt tappas ifall ett lösenord avslöjas, och att undvika märkliga länkar.
Dessutom är det viktigt att ha i åtanke att många sajter låter dig skicka efter lösenord, så generellt är lösenordet till e-postadressen det allra mest kritiska.
I övrigt var åtminstone så vitt jag kände till “I tried changing my password to ‘mypenis’, but they said it was too short” ensamt habilt skämt på temat, men Nick Helm utökade relativt nyligen utbudet med sitt Edinburgh Fringe-vinnande “I needed a password eight characters long so I picked Snow White and the Seven Dwarves.”
