25Aug
Programspesifikke passord er farligere enn de høres ut. Til tross for deres navn er de alt annet enn programspesifikke. Hvert applikasjonsspesifikt passord er mer som en skjelettnøkkel som gir ubegrenset tilgang til kontoen din.
"Programspesifikke passord" er såkalt å oppmuntre til god sikkerhetspraksis - du skal ikke bruke dem igjen. Navnet kan imidlertid også gi en falsk følelse av sikkerhet for mange mennesker.
Hvorfor applikasjonsspesifikke passord er nødvendige
Tofaktorautentisering - eller to-trinns verifisering, eller hva en tjeneste kaller det - krever to ting for å logge på kontoen din. Du må først skrive inn passordet ditt, og du må da angi en engangskode generert av en smarttelefonapp, sendt via SMS, eller sendt til deg.
Slik fungerer det vanligvis når du logger deg på en tjenestes nettsted eller et kompatibelt program. Du skriver inn passordet ditt, og du blir bedt om engangskoden. Du skriver inn koden, og enheten din mottar et OAuth-token som vurderer at applikasjonen eller nettleseren er autentisert, eller noe lignende - det lagrer ikke passordet.
Noen programmer er imidlertid ikke kompatible med denne to-trinns ordningen. For eksempel, la oss si at du vil bruke en stasjonær e-postklient for å få tilgang til Gmail, Outlook.com eller iCloud-e-post. Disse e-postklienterne jobber ved å spørre deg om et passord, og de lagrer det passordet og bruker det hver gang de får tilgang til serveren. Det er ikke mulig å angi en to-trinns bekreftelseskode i disse eldre programmene.
For å fikse dette, tilbyr Google, Microsoft, Apple, og ulike andre kontoutbydere som tilbyr to trinns verifisering, også muligheten til å generere et "programspesifikt passord." Du skriver deretter inn dette passordet i programmet - for eksempel skrivebordet dittValgfri e-postklient - og det programmet kan gjerne koble til kontoen din. Problemet løst - programmer som ikke var kompatible med to-trinns autentisering, jobber nå med det.
Vent litt, hva skjedde?
De fleste vil trolig fortsette på vei, sikre at de bruker tofaktorautentisering og er trygge. Det "applikasjonsspesifikke passordet" er imidlertid et nytt passord som gir tilgang til hele kontoen din, omgå fullstendig tofaktorautentisering. Dette er hvordan disse programspesifikke passordene tillater eldre programmer som er avhengige av å huske passord for å fungere.
Backup-koder tillater deg også å omgå tofaktorautentisering, men de kan bare brukes en gang hver. I motsetning til sikkerhetskoder kan applikasjonsspesifikke passord brukes for alltid - eller til du manuelt opphever dem.
Hvorfor de kalles Application-Specific Passwords
Disse kalles ofte programspesifikke passord fordi du skal generere en ny for hver applikasjon du bruker. Derfor tillater Google og andre tjenester deg ikke å se disse programspesifikke passordene når du har generert dem. De vises på nettstedet en gang, du skriver dem inn i programmet, og så ser du ideelt sett aldri dem igjen. Neste gang du trenger å bruke et slikt program, genererer du bare et nytt apppassord.
Dette gir noen sikkerhetsfordeler. Når du er ferdig med et program, kan du bruke knappen her til å "Tilbakekalle" et programspesifikt passord, og dette passordet gir ikke lenger tilgang til kontoen din. Eventuelle programmer som bruker det gamle passordet, virker ikke. App-passordet i skjermbildet nedenfor ble tilbakekalt, så derfor er det trygt å vise det.
Programspesifikke passord er absolutt en stor forbedring i forhold til at du ikke bruker tofaktorautentisering i det hele tatt.Å gi bort programspesifikke passord er bedre enn å gi hvert program ditt primære passord. Det er lettere å tilbakekalle et appspesifikt passord enn å endre hovedpassordet ditt helt.
Risikoen
Hvis du har generert fem programspesifikke passord, er det fem passord som kan brukes til å få tilgang til kontoene. Risikoen er klar:
- Hvis passordet er skadet, kan det brukes til å få tilgang til kontoen din. La oss for eksempel si at du har tofaktorautentisering opprettet på Google-kontoen, og datamaskinen er infisert av skadelig programvare. Tvåfaktorautentiseringen vil normalt beskytte kontoen din, men skadelig programvare kan høste programspesifikke passord lagret i programmer som Thunderbird og Pidgin. Disse passordene kan da brukes til å få tilgang til kontoen din direkte.
- Noen som har tilgang til datamaskinen din, kan generere et programspesifikt passord og deretter holde fast på det, ved å bruke det for å komme inn på kontoen din uten tofaktorautentisering i fremtiden. Hvis noen så over skulderen din mens du opprettet et programspesifikt passord og fanget passordet ditt, hadde de tilgang til kontoen din.
- Hvis du oppgir et programspesifikt passord til en tjeneste eller et program, og at programmet er skadelig, har du ikke bare gitt en enkelt tilgang til programmet på kontoen din - programmets eier kunne passere passordet, og andre kan bruke den til skadeligformål.
Enkelte tjenester kan forsøke å begrense weblogg med applikasjonsspesifikke passord, men det er mer en bandaid. Til slutt gir applikasjonsspesifikke passord ubegrenset tilgang til kontoen din ved design, og det er ikke mye som kan gjøres for å forhindre det.
Vi prøver ikke å skremme deg for mye her. Men virkeligheten av applikasjonsspesifikke passord er at de ikke er programspesifikke. De er en sikkerhetsrisiko, så du bør tilbakekalle programspesifikke passord du ikke lenger bruker. Vær forsiktig med dem, og behandl dem som hovedpassordene til kontoen din at de er.