Hvad betyder “password strength”?

Password strength er et mål for, hvor modstandsdygtig en adgangskode typisk er over for forsøg på at bryde den. I praksis betyder det især: hvor svært det er for en angriber at gætte adgangskoden ved hjælp af systematiske metoder.

Det er vigtigt at forstå, at password strength ikke er et absolut mål eller en garanti. Selv en adgangskode, der ser stærk ud, kan blive kompromitteret, hvis den fx lækkes, bruges i phishing, eller hvis angriberen allerede har oplysninger, der gør gæt mere realistisk.

Hvordan adgangskoder typisk “styrkes” i praksis

Når man vurderer password strength, kigger man ofte efter egenskaber, der øger antallet af mulige gæt. I almindelighed gælder:

  • Længde tæller meget. Jo længere adgangskode, desto flere kombinationer findes der.
  • Tilfældighed og variation slår mønstre. En adgangskode med uforudsigelig struktur er sværere end en med klare gentagelser eller faste pladser til tal.
  • Unikhed reducerer risikoen ved datalæk. Hvis én tjeneste lækker, kan genbrug af adgangskoder give hurtig adgang til andre konti.
  • Undgå personlige oplysninger. Navne, fødselsdatoer, adresser og andre lette datapunkter kan ofte indgå i målrettede gæt.
  • Undgå almindelige ordbogsord og “lavpraktiske” variationer. For eksempel er mange “ord + 1” eller “ord + årstal” stadig lette at forudsige.

En praktisk tommelfingerregel er derfor: vælg noget, der er langt nok og ikke kan reduceres til et genkendeligt mønster.

Hvad svækker password strength?

Nogle typer adgangskoder ser “mere komplekse” ud end de reelt er, fordi de følger mønstre, som angribere ofte prøver tidligt.

Typiske svækkere inkluderer:

  • Korte adgangskoder: selv med flere typer tegn kan korte passwords hurtigt blive gættet.
  • Forudsigelige mønstre: gentagelser, rækkefølger (fx 1234), eller fast struktur (fx altid samme ord efterfulgt af et tal).
  • Ordbogsbaserede passwords: enkelte ord eller let ændrede varianter (bøjninger, staveskift, eller standard-tilføjelser).
  • Genbrug: et ellers stærkt password mister meget af sin værdi, hvis det bruges andre steder, der kan være svagere.
  • Adgangskoder, der bliver exfiltreret: hvis din adgangskode er skrevet ned på en måde, der kan kompromitteres, eller hvis den bruges i et system, der kan opsnappes.

Begrænsningen ved vurdering af styrke er, at “hvor stærkt” ofte afhænger af angriberens ressourcer og metode. To personer kan have samme “styrke” på papiret, men opleve helt forskellige risici i virkeligheden afhængigt af kontekst.

Forskel på styrke og sikkerhed i en konto

Password strength er kun én del af sikkerheden. En kontos reelle modstandsdygtighed afhænger også af, hvordan login forsøges beskyttet.

Faktorer, der kan ændre resultatet, selv hvis adgangskoden er identisk, er fx:

  • Rate-limiting eller lockout ved mange fejl: hvis systemet bremser mange gæt, bliver brute-force mindre effektivt.
  • Overvågning og alarmering: kan reducere skade ved misbrug.
  • Tofaktor (2FA): gør det sværere at udnytte en stjålet adgangskode.
  • Hvor sikkert kontoen er mod social engineering: phishing kan omgå styrken, hvis brugeren utilsigtet afslører adgangskoden.

Dermed er en “stærk” adgangskode ikke det samme som “fuld beskyttelse”. Den er en vigtig brik, men ikke hele billedet.

Praktisk: Sådan kan du selv vurdere password strength

Du kan bruge en enkel tjekliste til at vurdere, om din nuværende tilgang typisk giver højere modstandsdygtighed:

  1. Er længden tilstrækkelig? Hvis adgangskoden er kort eller består af få ord/elementer, vil den typisk være lettere at gætte.

  2. Er der tydelige mønstre? Hvis den følger en fast struktur, kan den ofte gøres til et begrænset søgeområde.

  3. Har du unikke adgangskoder? Hvis du genbruger, er problemet ofte ikke kun “styrken”, men konsekvensen ved læk.

  4. Kan adgangskoden være lækket eller afluret? Tænk på datalæk fra tidligere tjenester, genbrug mellem steder, og om du har indtastet den på links eller sider, du ikke havde forventet.

  5. Bruges supplerende beskyttelse? Hvis tofaktor eller andre login-beskyttelser er tilgængelige, kan de begrænse skaden ved kompromittering.

Som begrænsning bør du også være opmærksom på, at der ikke findes ét tal, der passer til alle situationer. “Password strength” skal ses sammen med den samlede kontoopsætning og din risiko i praksis.

Hvilken ændring er mest værd at prioritere?

Hvis du vil forbedre din password strength uden at overkomplicere det, er den mest effektive rækkefølge typisk:

  • Ret i første omgang mod genbrug: unikke adgangskoder på tværs af tjenester er ofte vigtigere end små ændringer i et enkelt password.
  • Gør adgangskoderne længere og mere uforudsigelige: især hvis du i dag bruger korte mønstre eller ordbogsord.
  • Overvej en passwordmanager til at skabe og gemme lange, unikke adgangskoder på en overskuelig måde.
  • Aktiver tofaktor, hvis det er tilgængeligt, så en eventuel adgangskodeafsløring ikke automatisk giver adgang.

Hvis du kun ændrer én ting, så ændrer du ofte mest ved at fjerne genbrug og øge længde/uforudsigelighed.

Usikkerheder og undtagelser du bør kende

Der findes ingen universel, endegyldig måde at måle “den bedste” adgangskode på tværs af alle systemer. Risikoen afhænger af:

  • Hvilken metode angriberen bruger (gæt baseret på lister, brute-force, phishing osv.).
  • Hvilke beskyttelser tjenesten har på login-siden.
  • Om adgangskoden allerede er eksponeret gennem andre hændelser.

Derfor bør du fokusere på robuste vaner frem for at jagte et bestemt styrketal. Det giver en mere stabil sikkerhedsforbedring, uanset hvilken teknik der i praksis bliver mest relevant.