Bankers krav til oppbevaring av passord

[xcence]

Ifølge min bank er å huske dem eneste akseptable måte å lagre passord. Om man lagrer passord digitalt er man personlig ansvarlig for tap som måtte oppstå, uten oppad begrensning.

Dette gjelder uansett grad av sikkerhet på tilgangspassord og kryptering av passordfilen.

 

Om passord skal være sikre, og ikke gjenbrukes på flere nettjenester, er det jo umulig å huske alle om man ikke har fotografisk hukommelse.

 

Synspunkter?

[DjengisFaen]

Jeg er uenig. Har ikke fotografisk hukommelse, men klarer å huske flere passord på en gang.

 

Alternativt kan du jo skrive passordet ned på en lapp.

[xcence]

Takk for svar, da har du bedre hukommelse enn meg. Eller færre, mindre sikre, passord å huske.

For det var det som var hensikten med spørsmålet, hva man gjør dersom det ikke er mulig å huske alle.

 

Å skrive det 'på lapp' er et dårlig alternativ, denne metoden nevnes ofte av bankene som eksempel på hva man ikke skal gjøre.

Endret 5. november 2014 av xcence

[Alf Johan Grindheim]

Det kan vere lurt å finne deg eit sterkt passord og så bruke variasjoner av det til passordet ditt rundt på nettet. feks: Ps50rdGm12ail som gmail passord.

[xcence]

Ja, men hvordan huske 10 forskjellige?

Etter nærmere ettertanke er løsningen faktisk enkel, man bruker ett og samme, sterke, passord på samtlige kritiske tjenester.

Det er jo noe som ikke anbefales, men likevel akseptabelt.

[nomore]

Husk to passord. Det er alt du trenger.

 

Ett komplisert som du bytter, tja, en gang i året? Det bruker du på passordtjenesten du har og i banken(e) din(e). Begge steder bør du samtidig ha tofaktor autentisering. I nettbanken fikses det med BankID, på passordtjenesten kan det for eks fikses med YubiKey.

 

Og ett komplisert passord til som du husker, og som du bruker på de plassene du _må_ ha tilgang til dersom du ikke har tilgang til passordtjenesten.

 

Eg er registrert på flere hundre nettsider/tjenester/system, alt dette er lagret i LastPass, og alle passordene er unike. Banken og LastPass har ett sikkert passord som eg husker, og så lenge det kun er to system så klarer eg og å holde orden på å bytte passordet der en gang i året(ca).

[xcence]

Takker igjen for svar. Nettsteder for lagring av passord tør jeg ikke å bruke.

 

I mellomtiden har jeg funnet en løsning: Sikkert passord som er 'huskbart'. Med samme passord på alle banker.

Anbefales ikke, men likevel ikke grunn til å holde kunden ansvarlig.

Dette gjelder også om passordet er usikkert.

 

Paradoksalt..

[nomore]

Det ironiske her er at du ikke våger å bruke en passordtjeneste for lagring av passord, med unike passord over alt, men å bruke samme passord flere steder er helt ok

[xcence]

Enig, det kan virke ulogisk. Men banker aksepterer det.

Om det derimot skulle fremkomme at misbrukt passord har vært lagret digitalt har du selv det fulle ansvaret, uansett om passordene er sikre og at du ikke gjenbruker på flere nettjenester.

 

Å bruke eksterne tjeneste for lagring av passord ser jeg personlig for ikke sikkert. Da måtte de isåfall bankene ha godkjent tjenesten.

[Gjest Slettet-Pqy3rC]

Keepass er ikke et nettsted, det lagrer passord lokalt.

 

(...og Open Source. Hvilket gjør det vanskelig å legge inn kode som "sniffer" dine passord)

Endret 10. november 2014 av Slettet-Pqy3rC

[xcence]

Ok, men lokal lagring var utgangspunktet for tråden:

 

Om man lagrer passord digitalt er man personlig ansvarlig for tap som måtte oppstå, uten oppad begrensning.

Dette gjelder uansett grad av sikkerhet på tilgangspassord og kryptering av passordfilen.

[Gjest Slettet-Pqy3rC]

 

Ok, men lokal lagring var utgangspunktet for tråden:

 

Om man lagrer passord digitalt er man personlig ansvarlig for tap som måtte oppstå, uten oppad begrensning.

Dette gjelder uansett grad av sikkerhet på tilgangspassord og kryptering av passordfilen.

 

 

Så når banken din krever dette ønsker du ikke å lagre noen passord "digitalt" ?

(Det er fullt mulig å huske bankens PIN/passord i hodet og samtidig lagre alle andre passord).

 

Siden det for de aller fleste av oss er vanskelig å huske samtlige passord (jeg har selv i overkant av 300 stk) vil lagring være nødvendig. Det er langt tryggere enn å bruke samme passordet til alt eller ha en eller annen huskeregel for variasjon (sånt er ganske lett å knekke). Når det lagres ved hjelp av verktøy som keepass eller lignende er du rimelig trygg (selv om noen skulle få tak i .kdbx fila di).

 

Dessuten, banker og denslags burde benytte to stegs autorisering.

[xcence]

Så når banken din krever dette ønsker du ikke å lagre noen passord "digitalt" ?

 

Ja, så lenge det finnes risiko for at det man lagrer digitalt kan misbrukes er det ikke godkjent av banken og man står selv ansvarlig.

 

Eksempler på hva, som i teorien, kan skje:'

 

Man får maskinen infisert med virus, trojanere.

Man glemmer å lukke passordfilen og det blir innbrudd i huset.

 

Svært søkte situasjoner, men jeg tar ikke sjansen så lenge det er godtatt å bruke et passord som er lett å huske, og samme på alle netttjenester.

[Gjest Slettet-Pqy3rC]

 

Så når banken din krever dette ønsker du ikke å lagre noen passord "digitalt" ?

Ja, så lenge det finnes risiko for at det man lagrer digitalt kan misbrukes er det ikke godkjent av banken og man står selv ansvarlig.

 

Det er fullt mulig å huske bankens PIN/passord i hodet og samtidig lagre alle andre passord.

[xcence]

Hadde jeg brukt kun én bank ville det ikke vært noe problem. Det kan også være flere måter å logge seg inn på, kodegenerator, kodekort, bankid, bankid med mobil.

[Gjest Slettet-Pqy3rC]

Hadde jeg brukt kun én bank ville det ikke vært noe problem. Det kan også være flere måter å logge seg inn på, kodegenerator, kodekort, bankid, bankid med mobil.

 

kodekort = bytt bank.

bankid = bytt bank.

kodegenerator = bytt bank / muligens ok.

bankid med mobil = to stegs = ok.

 

Benytt forbrukermakten slik at banken endrer sine rutiner til noe mer sikkert enn å fraskrive seg ansvaret ved hjelp av tåpelige paragrafer i kontrakten med kundene. Banker som benytter ett-stegs autorisering og Java kan hoppe i havet dersom de preiker om at digtal lagring av passord er usikkert. Det blir omtrent som en akoholisert, røykende lege på 220kg som forteller pasientene at de må trene og spise grønnsaker.

Endret 10. november 2014 av Slettet-Pqy3rC