• E-posta aldrig lösenord som användaren själv formulerat
• Spara autentiseringen från session till session

Ge alternativa autentiseringsmetoder för användare som glömt sitt lösenord

Att användare ibland glömmer sitt lösenord är inget som går att undvika. Därför måste det finnas något sätt att få ett nytt lösenord.

• Personlig kontakt

Den säkraste metoden är att tvinga användaren personligen kontakta hjälpcentralen (supporten) för webbplatsen. Detta är dock mycket resurskrävande (speciellt i slutet av sommaren när folk kommer hem efter semestern), och används bara för webbplatser där säkerhetskraven är mycket höga eller för intranät där det är enkelt att få personlig kontakt.

• Vanligt brev eller SMS

Något mindre resurskrävande är om användaren via webbplatsen kan be att få ett lösenord sänt till en adress som finns registrerad för henne – till exempel som vanligt brev eller som SMS-meddelande. Om säkerhetskraven är höga kan det skickas i rekommenderat brev.

• E-post

En mycket vanlig variant är att användaren kan få lösenordet e-postat till en adress hon uppgav i samband med att hon skapade användarkontot. I dessa fall bör ett nytt lösenord genereras, se föregående råd.

Många användare har utvecklat vanan att inte hålla reda på lösenord för webbplatser som inte är viktiga för dem, utan använder istället regelmässigt ”Glömt lösenordet?”-funktionen.

Säkerheten hos denna metod är låg.

• Kontrollfrågor

En variant är att användaren i samband med registreringen fått skapa en fråga och ett svar. Vill hon ha lösenordet får hon frågan och måste ge svaret.

Säkerheten är låg - speciellt om det finns färdiga alternativ för kontrollfrågor. Den som tagit reda på användarens födelseort och mammans flicknamn har goda chanser att knäcka den.

Därför är det även i detta fall nödvändigt att generera ett nytt lösenord istället för att avslöja det användaren givit.

Säkerheten blir något bättre om användaren själv får formulera frågan, men inte heller då är den särskilt hög.

Engångslösenord

Ett sätt att avsevärt höja säkerheten hos inloggning är att förse användaren med engångslösenord, som hon får från till exempel ett skrapkort eller en dosa. Eftersom varje lösenord bara kan användas en gång är risken att de skall hamna i orätta händer betydligt mindre.

Certifikat

Ett certifikat är som ett papper där det står ”härmed intygas att innehavaren av detta papper är Ann Andersson” ¹⁶. Certifikatet laddas ner till eller installeras på användarens dator och används sedan för att autentisera henne.

Certifikaten skapar ett slags superlösenord, som i praktiken är omöjliga att förfalska. Därför ingår certifikat numera som en del av nästan alla lösningar som kräver hög säkerhet.

Certifikatet skulle inte vara mycket värt om vem som helst som kommer över datorn kan använda det. Därför krävs det nästan alltid någon slags autentisering på användarens dator innan certifikatet går med på att intyga användarens identitet. Det kan vara ett lösenord eller, i avancerade fall, ett pekfinger på datorns fingeravtrycksläsare .

Certifikat behöver inte nödvändigtvis förvaras på datorn, de kan också till exempel finnas lagrat i en krets på ett id-kort. Sådana certifikat kallas hårda , och betraktas allmänt som betydligt säkrare än de mjuka som förvaras på datorn.

Till de hårda metoderna brukar man räkna även andra där det krävs att användaren har tillgång till något fysiskt föremål (utöver datorn) – till exempel ett skrapkort eller en dosa med engångskoder. (Däremot är det tveksamt om identifiering via mobiltelefon kommer att kvalificera sig som hård metod – mobiltelefoner är en slags datorer och möjliga att hacka.)

Även om certifikaten i sig är säkra så finns det svaga länkar. Speciellt mjuka certifikat kan knäckas genom att avlyssna användarens dator efter lösenordet och kopiera certifikatsfilerna. Många kritiker menar därför att mjuka certifikat inte duger för tillämpningar som kräver hög säkerhet, medan försvararna menar att säkerheten är tillräcklig och att krav på hårda certifikat medför onödigt mycket krångel. På www.anvandbart.se/ab/certifikat hittar du länkar till några inlägg i debatten.

Autentisering via annat system (single sign-on)

För intranät och för webbplatser som är uppbyggda av flera olika system, är det vanligt att användaren loggar in på ett ställe och sedan autentiseras på de andra systemen därifrån. Detta brukar kallas singelinlogging eller single sign-on (eftersom användaren bara behöver logga in en gång).

Låt någon annan sköta autentiseringen

Att autentisera användaren med samma säkerhet som om hon personligen skulle visa upp ett id-kort är inte trivialt. Det kräver en betydande insats både av användaren (som till exempel måste hämta ut ett rekommenderat brev med lösenordet) och av webbplatsen. Därför är det för många webbplatser inte realistiskt att bygga upp sitt eget system.

Istället håller det på att utvecklas allmänna system. Till exempel bankerna, som var tidigt ute och nu ett gemensamt system kallat BankID , och Posten som har lanserat ett elektroniskt id-kort med inbyggd datorkrets. Andra organisationer kan (mot en avgift) använda dessa för att identifiera sina användare.

Automatisk autentisering