Adgangskodsgenererare

Entropi per längd och teckenuppsättning

Vad entropi innebär i praktiken

• 40 bitar – kan kraschas på bara några dagar med en enda GPU idag. Passande för tillfälliga konton.
• 60 bitar – motstår onlineattacker men är sårbara för specifik offlinekryptering.
• 80 bitar – stark mot offline-kryptografi med den nuvarande hårdvara.
• 100 bitar – praktiskt taget omöjligt att kryptografiskt bryta tills kvantberäkning är mogen.
• 128 bitar – motsvarar nyckelstyrkan i AES-128.

För de flesta onlinekonton räcker 16 tecken från det fullständiga teckensettet (105 bitar) mer än nog. Bankkonton, lösenordshanterare och kryptoportföljer kräver mer än 20 tecken.

Varför karaktärsklasser är viktiga

Varje klass tillför alternativ per tecken. Med de 26 småbokstaverna ger varje tecken log₂(26) = 4,7 bitar. Genom att lägga till stora bokstäver får man 52 tecken med 5,7 bitar per tecken; med siffror blir det 62 tecken och 5,95 bitar; med symboler når antalet 94 tecken och 6,55 bitar. För mer än 16 tecken sammanlagt uppgår skillnaden till cirka 30 bitar – vilket innebär att systemet inte är tillräckligt robust för att kunna krypteras effektivt.

När du bör utesluta tvetydiga tecken

Om lösenordet skrivs från skärmen till en enhet utan kopierings- och klistrarörsväg – exempelvis genom konsoleinstallerare, vissa hårdvaruportföljer eller äldre användare som läser upp lösenord – undantaget 0, O, 1, l och I – minskar risken för transkriptionsfel avsevärt. Entropikostnaden är minimal (endast 2–3 bitar av över 80).

Arbetsflöde för lösenordshanterare

1. Installationera en lösenordshanterare (Bitwarden, 1Password, KeePass).
2. Sätt en stark huvudpassfras (6–8 slumpmässiga ord – se passfrasgeneratorn).
3. Använd managers generatör för varje plats och använd de standardinställningarna med stark säkerhetsnivå.
4. Använd aldrig samma lösenord på olika webbplatser, inte ens så kallade ‘avfallslösenord’.
5. Aktivera 2FA på allt som stöder det.

Manuellt skrivna lösenord bör vara sällsynta – endast för administratörens huvudkontroll, fullskivsenkryptering och eventuellt inloggning på din arbetsdator.

Saker som inte hjälper

• Byter varje 90 dagar. Tvingad rotation främjar förutsägbara mönster (sommar 2024 → höst 2024). NIST SP 800-63B rekommenderar uttryckligen att undvika detta.
• Att skriva ner på papper i en plånbok. Säkrare än att använda svaga lösenord igen, men sämre än att använda ett lösenordshanteringsverktyg.
• Säkerhetsfrågor med verkliga svar. För de flesta människor finns “First school” enbart tillgänglig via en Google-sökning. Generera slumpmässiga falska svar och spara dem i din systemlösning.