Kryptografisk nøgle vs. Adgangskode

Hvorfor de er forskellige

En adgangskode vælges og huskes af et menneske; en nøgle er en lang tilfældig værdi, der skabes og gemmes af en maskine.

Kryptografisk nøgle

Kryptografi

Den hemmelige værdi, der styrer, hvordan data krypteres og gøres læsbare igen - den, der har den, kan læse de beskyttede data.

Formelt

En lang, tilfældigt valgt værdi, der indgår i en krypterings- eller signeringsmetode. Selve metoden er offentlig, så al beskyttelse hviler på, at den rette nøgle holdes hemmelig og er for lang til at blive gættet.

Forklaret enkelt

Som nøglen til en hængelås - alle ved, hvordan hængelåse virker, men kun den med den rette nøgle kan åbne netop denne.

I praksis

Den IT-driftsansvarlige i en pensionskasse opbevarer nøglerne til de krypterede backups i et separat, aflåst system, så en angriber, der får fat i backuppene, ikke også får nøglerne.

Hvorfor det betyder noget

Kryptering er aldrig bedre end omhuen med nøglerne; en mistet nøgle betyder mistede data, og en lækket nøgle betyder ingen beskyttelse overhovedet.

Adgangskode

Identitet og adgang

En hemmelig række tegn, som kun brugeren kender, og som indtastes for at bevise, at vedkommende er den, de udgiver sig for.

Formelt

En hemmelighed, som brugeren husker udenad, og som bruges som loginoplysning ved autentificering. Systemet bør kun gemme den i en forvansket form, der ikke kan regnes tilbage, så ikke engang systemet selv kan læse den.

Forklaret enkelt

Som en hemmelig bankekode aftalt med en ven - den virker kun, så længe ingen andre kender den, og er værdiløs, når nogen har hørt den.

I praksis

Efter NIST's anbefaling holder IT-chefen i en mindre dansk virksomhed op med at kræve skift af adgangskode hver 90. dag og kræver i stedet lange adgangsfraser, der tjekkes mod lister over kendte lækkede adgangskoder.

Hvorfor det betyder noget

Adgangskoder er lette at gætte, genbruge og lokke ud af folk med phishing, så alene er de svage - netop derfor findes MFA.