"Programspesifikke passord" er såkalte for å oppmuntre til god sikkerhetspraksis - du skal ikke bruke dem igjen. Navnet kan imidlertid også gi en falsk følelse av sikkerhet for mange mennesker.
Hvorfor applikasjonsspesifikke passord er nødvendige
Tofaktorautentisering - eller to-trinns verifisering, eller hva en tjeneste kaller det - krever to ting for å logge på kontoen din. Du må først skrive inn passordet ditt, og du må da angi en engangskode generert av en smarttelefonapp, sendt via SMS, eller sendt til deg.
Slik fungerer det vanligvis når du logger deg på en tjenestes nettsted eller et kompatibelt program. Du skriver inn passordet ditt, og du blir bedt om engangskoden. Du skriver inn koden, og enheten din mottar et OAuth-token som vurderer at applikasjonen eller nettleseren er autentisert, eller noe lignende - det lagrer ikke passordet.
For å fikse dette, tilbyr Google, Microsoft, Apple og forskjellige andre kontoutbydere som tilbyr to-trinns bekreftelse også muligheten til å generere et "programspesifikt passord." Du skriver deretter inn dette passordet i programmet - for eksempel skrivebordet e-postadressen din Kundens valg - og det programmet kan gjerne koble til kontoen din. Problemet løst - programmer som ikke var kompatible med to-trinns autentisering, jobber nå med det.
Vent litt, hva skjedde?
De fleste vil trolig fortsette på vei, sikre at de bruker tofaktorautentisering og er trygge. Det "applikasjonsspesifikke passordet" er imidlertid et nytt passord som gir tilgang til hele kontoen din, omgå fullstendig tofaktorautentisering. Dette er hvordan disse programspesifikke passordene tillater eldre programmer som er avhengige av å huske passord for å fungere.
Sikkerhetskopieringskoder tillater deg også å omgå tofaktorautentisering, men de kan bare brukes en gang hver. I motsetning til sikkerhetskoder kan applikasjonsspesifikke passord brukes for alltid - eller til du manuelt opphever dem.
Hvorfor de kalles Application-spesifikke passord
Disse kalles ofte programspesifikke passord fordi du skal generere en ny for hvert program du bruker. Derfor tillater Google og andre tjenester deg ikke å se disse programspesifikke passordene når du har generert dem. De vises på nettstedet en gang, du skriver dem inn i programmet, og så ser du ideelt sett aldri dem igjen. Neste gang du trenger å bruke et slikt program, genererer du bare et nytt apppassord.
Dette gir noen sikkerhetsfordeler. Når du er ferdig med et program, kan du bruke knappen her til å "Tilbakekalle" et programspesifikt passord, og dette passordet gir ikke lenger tilgang til kontoen din. Eventuelle programmer som bruker det gamle passordet, virker ikke. App-passordet i skjermbildet nedenfor ble tilbakekalt, så derfor er det trygt å vise det.
Programspesifikke passord er absolutt en stor forbedring i forhold til at du ikke bruker tofaktorautentisering i det hele tatt. Å gi bort programspesifikke passord er bedre enn å gi hvert program ditt primære passord. Det er lettere å tilbakekalle et appspesifikt passord enn å endre hovedpassordet ditt helt.
Risikoen
Hvis du har generert fem programspesifikke passord, er det fem passord som kan brukes til å få tilgang til kontoene. Risikoen er klar:
- Hvis passordet er skadet, kan det brukes til å få tilgang til kontoen din. La oss for eksempel si at du har tofaktorautentisering opprettet på Google-kontoen, og datamaskinen er infisert av skadelig programvare. Tvåfaktorautentiseringen vil normalt beskytte kontoen din, men skadelig programvare kan høste programspesifikke passord lagret i programmer som Thunderbird og Pidgin. Disse passordene kan da brukes til å få tilgang til kontoen din direkte.
- Noen som har tilgang til datamaskinen din, kan generere et programspesifikt passord og deretter holde fast på det, ved å bruke det for å komme inn på kontoen uten tofaktorautentisering i fremtiden. Hvis noen så over skulderen din mens du opprettet et programspesifikt passord og fanget passordet ditt, hadde de tilgang til kontoen din.
- Hvis du oppgir et programspesifikt passord til en tjeneste eller et program, og at programmet er skadelig, har du ikke bare gitt en enkelt tilgang til programmet på kontoen din - programmets eier kunne passere passordet, og andre kan bruke det for ondsinnede formål.
Noen tjenester kan forsøke å begrense weblogg med applikasjonsspesifikke passord, men det er mer av en bandaid. Til slutt gir applikasjonsspesifikke passord ubegrenset tilgang til kontoen din ved design, og det er ikke mye som kan gjøres for å forhindre det.
Vi prøver ikke å skremme deg for mye her. Men virkeligheten av applikasjonsspesifikke passord er at de ikke er programspesifikke. De er en sikkerhetsrisiko, så du bør tilbakekalle programspesifikke passord du ikke lenger bruker. Vær forsiktig med dem, og behandl dem som hovedpassordene til kontoen din at de er.
