Det vanligaste lösenordet bland de mängder som nu sprids på nätet var ”hejsan”, enligt en genomgång som företaget Visente gjorde. Det näst vanligaste var ”apelsin”.
Trots att samtliga lösenord var i krypterad form i den databas som stals av Bloggtoppen-hackaren behövde inte de sex vanligast förekommande lösenorden knäckas med rå datorkraft. Samtliga lösenord hade nämligen redan avslöjats och fanns sökbara på nätet.
Robert Malmgren, vd på säkerhetskonsultbolaget Romab, beskriver att idén med lösenord som teknik är föråldrad, eftersom datorkraften är snabbare och programmen för att knäcka lösenord blivit allt bättre.
Företag med högre krav på säkerhet använder redan säkrare sätt för att verifiera att den som försöker logga in är den man utger sig för att vara.
– Det finns en mängd olika tekniska lösningar. En är till exempel engångslösenord, i stället för att ha samma statiska lösenord, säger Robert Malmgren och nämner Nordea, som länge använde sig av en lapp med ett visst antal engångslösenord som skrapades fram.
Många banker i dag har fortfarande engångslösenordssystem, men de genereras av en dosa. Det är också en teknik som bland annat spelföretaget Blizzard erbjuder World of warcrafts-spelare, för att inte riskera att deras avatarer eller föremål stjäls.
På liknande sätt som dosan fungerar olika appar som också skapar engångskoder för autentisering.
– En annan variant är att du registrerat ditt mobiltelefonnummer på förhand. Och i stället för att bara skriva in lösenord skickas sms med ditt lösenord, säger Robert Malmgren.
Nyligen avslöjade företaget Google att stöd för ansiktsigenkänning kommer att finnas inbyggt i deras nya version av operativsystemet Android. Med det ska mobilens kamera kunna känna igen ansiktet på ägaren, och till exempel låsa upp skärmlåset.
Flygbolaget SAS använder redan i dag fingeravtryck som identifiering på flygplatser och andra företag i Sverige använder ögonigenkänning på vissa säkerhetsavdelningar.
Robert Malmgren berättar att hackare och andra redan funderar på hur de nya systemen kan knäckas. Man har till exempel lyckats lura fingeravtrycksläsare genom att stjäla fingeravtrycket som uppstår när användaren sätter sitt finger på själva läsaren. Ansiktsigenkänning går att lura genom att hålla upp fotografier eller spela upp en film framför kameran.
– Det är en klassisk kapplöpning, säger Robert Malmgren.
Bloggtoppen och en del andra sajter som nämns hackades troligtvis genom så kallad SQL-injektion, enligt Robert Malmgren. Det innebär att skadlig kod skrivs in antingen direkt i adressfältet, eller i olika webbformulär som kan finnas på sajten. Ett exempel kan vara ett kommentarsfält. Koden lurar sajten att skicka databasen med lösenord till hackaren.
– Det är en bugg i programmet. Normalt sett ska det inte finnas en möjlighet för mig som användare att kunna skicka kommandon som trillar igenom själva webbapplikationen på servern som sen tolkas i databasen, säger Robert Malmgren.
Det finns sätt för sajter att skydda sig mot den här typen av attacker.
– Det här händer hela tiden. Det beror på slarvig ogenomtänkt kodning, där man inte tänker på att någon kan vara antagonistisk.
Även om alternativ till lösenorden finns så får vi nog räkna med att de finns kvar ett tag framöver. Men att ha långa lösenord, blanda versaler, konsonanter, siffror och tecken och samtidigt ha olika lösenord på de tiotals sajter som normalanvändaren har är kanske inte realistiskt.
Robert Malmgren föreslår att man i stället för trettio olika lösenord kanske koncentrerar sig på fem olika, och att man kategoriserar dem i ett logiskt system så att du åtminstone inte har samma på din blogg som till banktjänsten eller hos webbutiken.
– Visdomen annars är att skriv inte upp lösenorden. Men jag tror faktiskt att det är bättre att ha en lapp med lösenord, en app eller en krypterad fil än att man kör med samma lösenord överallt, säger Robert Malmgren.
LÄS OCKSÅ: 180 000 konton kan ha läckt ut
LÄS OCKSÅ: Vågar jag handla varor på nätet?
LÄS OCKSÅ: ”Hackarna kan ha blivit hjältar”
LÄS OCKSÅ: Hackerattack mot tiotusentals konton
LÄS OCKSÅ: Frågor & svar: Så kan attacken ha gått till
