Lösenord

Byta lösenord

Det viktigaste först; hur gör man?

För att byta lösenord, kör programmet kpasswd på vilken som helst av Lysators datorer.

Kom ihåg att byta lösenord då och då. Det ökar din och andras säkerhet.

Att välja lösenord

Det är viktigt att du håller ditt lösenord hemligt, så att ingen annan kan logga in på ditt konto. Det finns två anledningar till detta:

• Någon som tar sig in på ditt konto kan läsa din post, radera dina filer och sprida otrevlig information i ditt namn.
• Om en cracker har tillgång till ett vanligt användarkonto på systemet, så går det att utnyttja säkerhetshål som man inte kan komma åt från utsidan.

Tänk på att alla medlemmar i Lysator kan råka illa ut om du väljer ett dåligt lösenord!

Vilket lösenord ska jag välja?

Dåliga lösenord är:

• Ditt, eller någon annans namn och kombinationer av namn, t.ex "Matskronberg", "grebnorkstam" etc.
• Ord. Inte bara ord som finns SAOL, utan alla ord. Det finns ordlistor över de flesta språk, och även slangordlistor. Finns ditt lösenord i en ordlista, så går det att knäcka. Enkla omskrivningar av lösenord är inte heller lämpliga. Ex. "cirkel, Berlin2, carpenter"
• Enbart siffror. Använd en slumpmässigt blandning av bokstäver, siffror och specialtecken i ditt lösenord. Ordkombinationer med siffror är vanliga och därför är bland det första en cracker testar.
• Exampel på lösenord (från den här texten t.ex) eller lösenord som du har använt tidigare.

Tips för bra lösenord:

• Sätt ihop några stavelser med en siffra och någon versal eller två. (scAn4hup, pTyGvio7)
• Sätt samman två ord, men ett felstavat på ett sätt som ger ett nonsensord. (dubbel-ek -> dubbelek -> dmbbelek)
• Använd en siffra och både stora och små bokstäver. (dMbbele7)
• Om du har svårt att minnas lösenordet; hitta på en ramsa som minneshjälp. Eller gör tvärtom; utgå från en mening eller ramsa, och bilda lösenordet av varje ords första (eller andra, eller sista...) bokstav. Ex: "Jag erkänner att jag föddes som en luser" -> jeajfsel -> JeaJfsel.
• Undvik att använda tecken som kan vara svåra att generera på alla tangentbord eller har olika teckenkoder på olika maskiner. Till dessa tecken hör tyvärr våra åäöÅÄÖ samt andra "ovanliga" tecken. Tecken som man alltid kan använda är: a-z, A-Z, 0-9.
• Använd minst sex, och helst åtta tecken i ditt lösenord. Om det är kortare än så blir det mycket enklare att cracka. På vissa system kan det vara svårt att mata in mer än åtta tecken, så undvik helst längre lösenord. Man vinner inget på längre lösenord, eftersom bara de första åtta tecknen används.

Skriv gärna upp ditt lösenord, men se till att lappen inte kommer på avvägar. Det gör dock ingenting om du glömmer bort det ibland, vi hjälper dig gärna att sätta ett nytt lösenord. Det är mycket enklare och trevligare än att få systemet förstört av crackers.

En annan viktig sak är att inte använda samma lösenord på andra system, t.ex på IDA, Knutpunkten, ett MUD eller liknande. Ha god lösenordshygien!

Tekniska detaljer

För att skydda lösenorden används envägskryptering. Det innebär att man lätt kan kryptera ditt lösenord till kryptotext, men inte gå i andra riktingen utan superdatorer och stort tålamod.

När du matar in ett nytt löseord lagras bara den krypterade versionen av det. Ingen kan alltså kika i en fil på datorn och se ditt lösenord. När du sedan vill logga in krypteras det du anger som lösenord och jämförs med det lagrade (krypterade) lösenordet. Om de stämmer överens accepteras din inloggning.

Men hur kan man då "knäcka" ett lösenord? Jo, man tar en ordlista, så stor som möjligt, ett enkelt program och en uppsättning regler. Sedan krypterar man orden i ordlistan i tur och ordning, och jämför resultatet med alla de krypterade lösenorden. Stämmer de överens, har man lösenordet till ett konto. När ordlistan är slut, tar man till reglerna. Regel 1 kan t.ex säga; "ta ordlistan och gör om första bokstaven i varje ord till en versal". Sedan provar man med den modifierade ordlistan...

Det låter kanske som en besvärlig metod, men med ett enkelt program och en modern dator så kan man knäcka de flesta dåliga lösenord på kort tid. Med en stor ordlista och en stor uppsättning regler så kommer man även åt halvbra lösenord, även om det tar längre tid.

Lysators rötter försöker med ojämna mellanrum knäcka lösenorden. Konton med dåliga lösenord stängs då tillfälligt. Om ditt konto har stängts, eller om du har glömt ditt lösenord behöver du bara besöka ~ så ordnar vi det åt dig (medtag legitimation). Vi bits inte. :)

Avlyssning av lösenord

Du bör också vara medveten om att lösenord som du skickar över nätet kan avlyssnas. Risken är störst på nät som RydNet, där oskyddad koaxialkabel finns tillgänglig för elakingar, och där vem som helst kan lyssna på en del av nätet med sin egen PC. Detta är den främsta anledningen till att du inte bör ha samma lösenord på olika system, även om systemen var för sig är säkra nog.

Att slippa skriva in lösenord genom att använda rsh/rlogin och en .rhosts-fil istället kan tyvärr förvärra situationen. Om du t.ex. har en .rhosts-fil på Lysator som nämner en RydNet-dator, så lever du väldigt farligt, eftersom någon annan kan ställa in sin dator så den låtsas vara din.

Det finns bättre program som du kan använda istället för telnet, rsh och rlogin. Ett av de populäraste är ssh som ger dig säkra, krypterande förbindelser med hjälp av program (ssh och slogin) som ersätter rsh och rlogin. Dessa program finns installerade på Lysator. Du kan hämta källkoden från vår FTP-server på om du vill kompilera själv på din dator.

ftp://ftp.lysator.liu.se/pub/unix/ssh/

Det finns även en introduktion till ssh i Datorhandboken.

Lästips

Selecting Good Passwords