I forbindelse med oprettelsen af en ny konto anvender flere hjemmesider værktøjer, der fortæller brugeren, om det kodeord, han eller hun er ved at vælge, er godt eller dårligt. Pointen er at undgå, at brugerne vælger for svage kodeord. Men værktøjerne er ifølge Mark Stockley fra Compound Eye ikke gode.
Stockley har undersøgt dueligheden af fem udbredte programmer til vurdering af kodeordsstyrken. Og de forhindrer ikke dårlige kodeord i at blive anvendt, konkluderer han.
»Du kan ikke stole på kodeord-styrke-målere på hjemmesider,« fortæller Stockley i et indlæg på Naked Security.
»Kodeordene, som jeg brugte i testen, er alle, bevidst, fuldstændigt forfærdelige ... de er valgt ud fra en liste med de 10.000 mest almindelige kodeord og har karakteristika, som jeg tænkte, kodeordsmålerne nok ville overvurdere.«
Stockley påpeger, at kodeordsmålerne ser på kompleksiteten af karakterer, men værktøjerne fejler, når det gælder om at spotte kombinationer, der uden videre kan gættes, såsom populære kodeord og klichéfyldte kombinationer.
Således vurderede flere af målerne, at ‘abc123’, ‘trustno1’, ‘ncc1701’ (registreringsnummeret på USS Enterprise i Star Trek-universet), 'iloveyou!' og 'primetime21' var acceptable.
Og for at bekræfte sin antagelse om, at kodeordene er for dårlige, satte Stockley dem op mod open source-kodeordsknækkeren John the Ripper. De blev knækket stort set omgående, beretter han.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
