Bevaka företagets mejladresser

Lösenord kan alltid läcka

När en användare registrerar sig på en webbplats sparas lösenordet i form av en så kallad hash, vilket förenklat betyder att det sparas i en envägskrypterad form. Detta innebär att företaget bakom webbplatsen inte kan se vilket lösenord användaren har valt.När användaren loggar in hashar webbplatsen det inmatade lösenordet på samma vis som vid registreringen och kontrollerar om det inmatade lösenordets hashvärde motsvarar hashvärdetfrån registreringstillfället.

Det är visserligen bättre att webbplatserna sparar användarnas lösenord i hashad form än i klartext, något som var vanligt förekommande på 00-talet. Hashad form ger dock inget fullständigt skydd. Om en angripare lyckas stjäla databasen med hashade lösenord kan angriparen låta en dator knäcka de hashade lösenorden. Datorn testar sig fram till vilka lösenord som motsvarar de sparade hashvärdena. Angripare kan med relativ lätthet knäcka alla korta lösenord och alla lösenord som förekommer i ordlistor.

Bevaka mejladresser

Om en angripare lyckas knäcka en användares lösenord kan angriparen försöka logga in med samma kombination av mejladress och lösenord på andra webbplatser. Det är av bland annat detta skäl som det är så viktigt att medarbetarna väljer unika lösenord för varenda webbplats som de registrerar sig på.

Det är också av detta skäl som alla medarbetare bör bevaka sina mejladresser. SSF Stöldskyddsföreningen har en tjänst som kallas "Är min mejladress säker?" där medarbetare kan se ifall deras mejladresser har dykt upp i några kända lösenordsläckor.

Bevaka alla mejladresser i hela företaget

Tjänsten ”Är min mejladress säker?” hämtar information ur en databas som heter ”Have I Been Pwned?”. Den databasen har utkristalliserats som världens nav för lösenordsläckor. Databasen används av allt från privatpersoner till myndigheter (inkl. svenska myndigheter ) för att bevaka mejladresser i lösenordsläckor.

Med hjälp av ”Have I Been Pwned?” kan it-ansvariga bevaka alla mejladresser som ligger under företagets domän (till exempel sakerhetskollen.se). Tjänsten gör att it-ansvariga blir uppmärksammad så fort någon medarbetares mejladress dyker upp ien ny lösenordsläcka. It-ansvariga kan då be den berörda medarbetaren att byta lösenord till den påverkade webbplatsen.

För att göra detta måste it-ansvariga skapa ett konto på ”Have I Been Pwned? ” och lägga till företagets domäner. Därefter kan it-ansvariga på företaget se vilka av företagets mejladresser som har figurerat i olika lösenordsläckor. Företagets it-ansvariga får också en notifikation på mejl så fort någon mejladress dyker upp i nya lösenordsläckor.

Tjänsten bevakar automatiskt alla mejladresser under företagets domän. Företagets it-ansvariga behöver därmed inte knappa in varenda mejladress som ska bevakas. Tjänsten är kostnadsfri för företag med upp till tio mejladresser. Mejladresser som aldrig har dykt upp i någon dataläcka räknas inte. 

Företagsanpassade lösenordshanterare såsom Bitwarden och 1password har också inbyggda integrationer med ”Have I Been Pwned?”. Dessa integrationer gör att medarbetarna själva kan se ifall deras sparade mejladresserflorerar i lösenordsläckor.

Sammanfattning

• På grund av sättet som webbplatser sparar lösenord kan angripare knäcka läckta lösenord.
• SSF:s tjänst ”Är min mejladress säker?” låter privatpersoner och medarbetare söka efter sina egna mejladresser i kända lösenordsläckor.
• ”Have I Been Pwned?” låter företagets it-ansvariga bevaka alla mejladresser som finns under företagets domän.
• Företagsanpassade lösenordshanterare kan varna medarbetare ifall någon av deras sparade mejladresser dyker upp i lösenordsläckor.