Lösenordssäkerhet: Generera, Lagra och Granska Starka Lösenord
Snabbt svar
Generera 16+ tecken slumpmässiga lösenord med vår Password Generator, återanvänd dem aldrig och lagra dem i en password manager. På servern, hash med bcrypt (work factor 12+), scrypt eller Argon2id —aldrig MD5 eller SHA-256. Auditera breaches via Have I Been Pwned API.
Introduktion
Svaga, återanvända och felaktigt lagrade lösenord orsakar majoriteten av kontoövertaganden. Denna guide löser fyra konkreta problem: (1) generera lösenord med tillräcklig entropy för att motstå brute force, (2) hash-lösenord med en långsam KDF istället för en snabb hash, (3) undvika återanvändning mellan tjänster och (4) auditera läckta credentials.
Steg för steg
-
Skapa ett lösenord med hög entropi
Använd lösenordsgeneratorn för att skapa ett lösenord på 16+ tecken som blandar övre, nedre, siffror och symboler. Entropi = log2(teckenuppsättningStorlek^längd); ett 16-teckens alfabet med 94 symboler ger ~105 bitar, vilket är omöjligt för brute force även vid 10^12 gissningar/sekund.
-
Återanvänd aldrig lösenord mellan tjänster
Att återanvända ett lösenord innebär att ett enda intrång äventyrar varje konto som delar det. Skapa ett unikt lösenord per tjänst och lagra dem i en lösenordshanterare (Bitwarden, 1Password, KeePassXC). Huvudlösenordet är det enda du behöver komma ihåg — gör det till en lång lösenordsfras.
-
Hash lösenord med en långsam KDF på servern
Lagra aldrig lösenord med MD5, SHA-1 eller rå SHA-256 – de är för snabba och GPU:er kan prova miljarder per sekund. Använd bcrypt med arbetsfaktor 12+, scrypt med N=2^17 eller Argon2id med 64MB minne. Dessa KDF: er är medvetet långsamma och minnessvåra för att besegra GPU/ASIC-attacker.
-
Använd ett salt för att besegra regnbågsbord
Ett salt är ett unikt slumpmässigt värde per lösenord, infört eller kombinerat före hashning. Det säkerställer att identiska lösenord producerar olika hash, vilket gör förberäknade regnbågstabeller värdelösa. bcrypt och Argon2 genererar och bäddar in saltet automatiskt – rulla inte ditt eget.
-
Granska för intrångade lösenord
Innan du accepterar ett lösenord, kontrollera det mot Have I Been Pwned API med k-anonymitetsprotokollet: skicka endast de första 5 tecknen i SHA-1-hash, ta emot listan över matchande suffix och jämför lokalt. Detta avslöjar aldrig det fullständiga lösenordet för API.
Exempel
Starkt genererat lösenord (16 tecken, ~105 bitars entropi)
Input: Längd 16, alla karaktärsklasser
Produktion: K9$mP2#vL7@nQ4!x (slumpmässigt, unikt, aldrig återanvänt)
Lösenfras för ett huvudlösenord (minnesvärt + starkt)
Input: 4 slumpmässiga vanliga ord
Produktion: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
bcrypt hash av ett lösenord (arbetsfaktor 12)
Input: lösenord123 med bcrypt kostar 12
Produktion: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (salt + kostnad + hash inbäddad)
Vanliga problem
- Att använda MD5 eller SHA-256 för lösenordshasning: båda är snabba hash. En modern grafikprocessor beräknar ~10 miljarder SHA-256/s och knäcker ett lösenord på 8 tecken på några minuter. Använd alltid bcrypt, scrypt eller Argon2id.
- Återanvändning av ett lösenord mellan webbplatser: ett intrång på den svagaste platsen läcker lösenordet för varje webbplats. Skapa unika lösenord och lagra dem i en manager.
- Lagring av lösenord i klartext eller reversibel kryptering: om databasen läcker, äventyras varje konto omedelbart. Hashing är enkelriktad och oåterkallelig — även servern kan inte återställa originalet.
- Låg arbetsfaktor i bcrypt: kostnad 4 var bra 2002; 2026 använd kostnad 12+ (ungefär 4096 iterationer). Hash på nytt vid inloggning för att uppgradera gamla hash utan att tvinga fram en lösenordsåterställning.
Tips
- Sikta på minst 100 bitar av entropi för konton med högt värde — det vill säga 16 slumpmässiga tecken från ett alfabet med 94 symboler, eller 6 slumpmässiga tärningsord.
- Aktivera tvåfaktorsautentisering (TOTP eller hårdvarunyckel) för varje konto som stöder det — ett starkt lösenord enbart räcker inte om lösenordet är nätfiske.
- Använd vår lösenordsgenerators "exkludera tvetydiga tecken"-alternativ (0/O, 1/l/I) när lösenord läses upp eller skrivs från utskrift.
- Rotera lösenord endast efter ett bekräftat brott, inte enligt ett fast schema – påtvingad rotation driver användare till förutsägbara mönster som Spring2026!.