Passord lagret i nettleseren: trygt nok for jobb?
Nettleseren kan lagre passord og varsle om lekkasjer, men for jobbbruk trengs tydelige regler for profiler, enheter, tofaktor og hvem som eier tilgangen.
Nettleseren spør pent om den skal lagre passordet ditt. For mange er det bedre enn gule lapper, gjenbrukte passord eller et regneark som ligger åpent på skrivebordet. Men for jobbbruk bør du vite hva du egentlig sier ja til.
Poenget er ikke at nettleserens passordlagring alltid er farlig. Poenget er at den ofte blir brukt uten noen plan. Da kan et praktisk hjelpemiddel bli en uklar blanding av private kontoer, jobbtilganger, gamle passord og synkronisering til enheter ingen lenger har oversikt over.
Det viktigste først
Hvis alternativet er at samme passord brukes overalt, er en passordhåndterer et stort steg opp. NSM anbefaler blant annet unike passord, tofaktor der det tilbys, og bruk av passordhåndteringsprogrammer.
Men alle passordhåndterere er ikke samme type løsning. En innebygd nettleserfunksjon kan være god nok for enkle private kontoer. For en bedrift må dere i tillegg tenke på deling, avslutning av ansatte, kontroll med enheter, gjenoppretting, sikkerhetsnivå og hvem som faktisk eier tilgangen.
Hva nettleseren gjør bra
Chrome, Edge, Safari og andre moderne nettlesere kan lagre passord kryptert, fylle inn riktig passord på riktig nettsted og varsle når passord ser ut til å være lekket eller svakt. Det er nyttig, særlig for brukere som ellers ville valgt korte eller gjenbrukte passord.
Microsoft beskriver for eksempel at Edge lagrer passord slik at de er knyttet til brukeren som er logget inn i operativsystemet. Google Password Manager tilbyr passordsjekk for lagrede passord. Slike funksjoner gjør hverdagen enklere og kan fange opp noen åpenbare problemer.
Det betyr likevel ikke at nettleseren alene er en komplett passordstrategi for en arbeidsplass.
Hvor risikoen oppstår
Problemet kommer ofte fra alt rundt passordet, ikke bare fra selve lagringen.
En ansatt kan ha synkronisering slått på mellom jobb-PC, privat mobil og en gammel hjemme-PC. En innlogging kan bli lagret i en privat nettleserprofil i stedet for jobbprofilen. Et passord kan fortsatt finnes i nettleseren etter at en ansatt har sluttet. En delt maskin kan være satt opp slik at flere bruker samme Windows- eller nettleserprofil.
Da hjelper det lite at passordet teknisk sett ligger kryptert. Hvis feil person kan åpne profilen, få tilgang til maskinen eller bruke en allerede innlogget økt, er risikoen der likevel.
Når nettleserlagring kan være greit
For mindre viktige kontoer kan nettleseren være et akseptabelt valg hvis tre ting er på plass: Enheten er personlig, skjermlås og innlogging er ryddig, og tofaktor er aktivert der kontoen støtter det.
Dette kan for eksempel gjelde en privat nettkonto eller en lavrisikotjeneste der konsekvensen av misbruk er begrenset. Det bør likevel være unike passord, ikke varianter av samme gamle passord.
Når dere bør bruke en egen passordhåndterer
For jobbtilganger bør terskelen være lavere for en egen passordhåndterer. Det gjelder særlig når flere må dele tilgang til samme tjeneste, når passord skal kunne trekkes tilbake, når bedriften trenger oversikt, eller når kontoen gir tilgang til e-post, økonomi, domener, sosiale medier, publisering eller administrasjonssystemer.
En god bedriftsløsning gjør det enklere å skille private og profesjonelle passord. Den kan også støtte tilgangsstyring, delte hvelv, revisjon, nødtilgang og ryddigere rutiner når ansatte begynner eller slutter.
Ikke bland privat og jobb
Den vanligste feilen er ikke at noen bruker passordhåndtering. Feilen er at alt blandes.
Jobbpassord bør ikke ligge i en privat Google-, Apple- eller Microsoft-konto uten at bedriften har tatt stilling til det. Private passord bør heller ikke inn i en jobbprofil som senere kan bli administrert, slettet eller overført.
Bruk separate profiler, separate kontoer og klare regler. Det høres kjedelig ut, men det gjør opprydding mye enklere den dagen noe skjer.
Tofaktor er fortsatt nødvendig
Passordhåndtering løser ikke alt. Et lagret passord kan fortsatt misbrukes hvis enheten er kompromittert, hvis brukeren godkjenner en falsk innlogging, eller hvis angriperen får tak i en aktiv økt.
Derfor bør viktige kontoer ha tofaktor. Helst bør tofaktor ikke bare være SMS hvis bedre alternativer finnes. For vanlige brukere er en autentiseringsapp eller passkey ofte et bedre nivå enn passord alene.
Vi har skrevet mer praktisk om dette i Tofaktor er ikke bare en ekstra kode.
Rydd i lagrede passord
Start enkelt. Åpne passordlisten i nettleseren og se etter gamle kontoer, duplikater, svake passord og passord som er lagret i feil profil. Fjern det som ikke hører hjemme der. Bytt passord der det er gjenbrukt eller varslet som kompromittert.
Sjekk også hvilke enheter som synkroniserer nettleserprofilen. En gammel PC som ligger i en skuff kan fortsatt være en del av kontoen. Det samme gjelder private mobiler og nettbrett.
Lag en enkel regel for bedriften
En liten bedrift trenger ikke en lang sikkerhetshåndbok for dette. Men dere bør ha en kort regel som alle forstår:
- Hvilke passord kan lagres i nettleseren?
- Hvilke passord skal ligge i bedriftens passordhåndterer?
- Skal jobbpassord noen gang lagres i private profiler?
- Hvem rydder tilgangene når noen slutter?
- Hvilke kontoer må alltid ha tofaktor?
Dette er spesielt viktig for kontoer som kan publisere, betale, endre DNS, administrere e-post eller gi tilgang til kundedata.
Hva du bør gjøre denne uken
Velg tre viktige kontoer og sjekk dem først: e-post, Microsoft- eller Google-konto, og en konto som kan betale eller publisere på vegne av bedriften. Sørg for unikt passord, tofaktor og riktig lagringssted.
Deretter kan dere rydde resten gradvis. Det viktigste er å komme bort fra passordgjenbruk, private snarveier og uklare profiler.
Kort oppsummert
Nettleseren kan være bedre enn dårlige passordvaner, men den bør ikke være hele passordstrategien for en bedrift. Bruk unike passord, slå på tofaktor, skill privat og jobb, og bruk en egen passordhåndterer der tilgangene har reell verdi.
Hvis du er usikker på om en innlogging er ekte, kan du også lese Falsk SMS eller e-post? Sjekk dette før du klikker. Hvis problemet handler om hvem som har tilgang til filer, er Delte lenker i skyen: hvem kan egentlig se filene dine? et godt neste steg.
