Passord i AI-alderen: risiko, AI og en passordløs fremtid

Hjem » Teknologi » Passord i AI-tiden: risiko, AI og en passordløs fremtid

Passord står overfor en skikkelig test midt i revolusjonen innen kunstig intelligens . De er fortsatt det mest utbredte autentiseringssystemet på planeten, men alle fremskritt innen kunstig intelligens, cyberangrep og automatisering legger mer press på en modell født i en annen tid. I mellomtiden fortsetter millioner av brukere å beskytte e-post-, bank- og sosiale mediekontoer med passord som en moderne angriper kan knekke på sekunder.

Samtidig er ikke alle kontoer klare for å ta spranget til en passordløs verden . Passord, biometrisk autentisering og nulltillitsmodeller er i utvikling, ja, men de eksisterer side om side med klassiske innloggingsskjemaer og eldre tjenester som fortsatt er avhengige av det «noe du vet». I denne sammenhengen er det ikke lenger et teknisk problem å forstå hvorfor passord er viktigere enn noen gang, hvordan AI utfordrer dem, og hvilke reelle alternativer vi har: det handler om grunnleggende digital overlevelse.

Hvorfor passord fortsatt er kritiske i AI-alderen

I dag har personlige og bedriftsdata blitt kontanter . Et enkelt lekket passord kan selges for noen få dollar på undergrunnsfora, men hvis passordet åpner døren til en bedrifts-e-post, et internt filsystem eller en bankkonto, kan den økonomiske konsekvensen nå hundretusenvis av euro.

Tjenester så forskjellige som nettbank, e-post, medisinske journaler, sosiale medier og skybaserte arbeidsverktøy er fortsatt avhengige av passord som primær tilgangskontroll. Hvis noen logger seg inn med «password123» eller en annen slurvete variant, er det den digitale ekvivalenten av å la inngangsdøren stå åpen med et «kom inn uten å banke på»-skilt.

Forskning viser at omtrent halvparten av alle applikasjoner er utelukkende avhengige av passord , uten noen ekstra sikkerhetslag. Og i tillegg bruker bare et mindretall av brukerne forskjellige passord for hver tjeneste. Dette står i sterk kontrast til virkeligheten: folk flest administrerer mellom 70 og 100 nettkontoer, mens vi i beste fall bare kan huske 5 til 7 forskjellige passord.

Dette gapet mellom hva vi kan memorere og antall kontoer vi bruker daglig fører til farlige vaner: gjenbruk av passord, skriv dem ned i ukrypterte notater eller deling av dem gjennom usikre kanaler . Selv om du sannsynligvis ikke gjør det, lagrer mange fortsatt passord i en notatapp eller på et ark festet til skjermen, noe som forenkler arbeidet til enhver moderat organisert angriper betraktelig.

AI legger til et nytt lag med kompleksitet: brute-force- , ordbok- og legitimasjonsfyllingsangrep kan nå automatiseres og optimaliseres i industriell skala . Det som tidligere krevde tid, innsats og noe teknisk ekspertise, kan nå orkestreres med avanserte verktøy som tester millioner av kombinasjoner lært fra reelle datainnbrudd.

Lengde, kompleksitet og entropi: hva gjør et passord virkelig sterkt

En av de mest utbredte mytene er at et passord «som virker komplisert» automatisk er sikkert . Å legge til store bokstaver, erstatte bokstaver med tall eller inkludere et symbol gir et visst inntrykk av styrke, men mot moderne angrepsmetoder er den avgjørende faktoren noe annet: lengde.

Når en angriper får tilgang til en lekket database med påloggingsinformasjon fra et stort selskap, lagres passordene vanligvis ikke i ren tekst, men som krypterte hashkoder . For å prøve å gjenopprette det opprinnelige passordet bruker de knekkingsteknikker: de genererer gjetninger av passord, krypterer dem på samme måte og sammenligner resultatene til de finner treff.

I så fall, jo lengre passordet er, desto mer eksplosiv blir veksten i antall mulige kombinasjoner . Et passord på 8 tegn kan knekkes på sekunder eller minutter i en GPU-klynge eller i et skybasert databehandlingsmiljø, selv om det veksler mellom bokstaver, tall og symboler. I motsetning til dette kan et godt konstruert passord på 16 tegn ta år, århundrer, eller rett og slett være umulig å knekke med dagens ressurser.

Hvis vi også tenker på fremtidige kvantedatamaskiner, utgjør lengden fortsatt forskjellen: en absurd streng som 40 ganger den samme bokstaven ville være praktisk talt umulig å bryte med teoretiske kvantekapasiteter, mens et kort «kreativt» passord basert på fotballaget ditt eller en kjent sang kan gjettes på et blunk.

Fra et mer formelt perspektiv måles passordsikkerhet i biter av entropi , som gjenspeiler hvor mange forsøk som i gjennomsnitt kreves for å gjette det. Jo bredere sett med tegn som brukes (store bokstaver, små bokstaver, tall, symboler) og jo lengre kombinasjonen er, desto høyere entropi og desto vanskeligere er det å knekke ved hjelp av brute-force-angrep.

Et passord med rundt 20 bits entropi genererer omtrent én million mulige kombinasjoner, noe en angriper med moderne GPU-er kan knekke i løpet av sekunder . I motsetning til dette ville et passord med rundt 100 bits entropi involvere så mange kombinasjoner at det i praksis ville ta milliarder av år å dekryptere. Forskjellen mellom de to er ikke magi: det er den faktiske lengden og det effektive variasjonen av tegn, ikke bare inntrykket av kompleksitet.

Den store feilen: å overlate sikkerheten til AI-genererte passord

Med fremveksten av chatboter er det fristende å be en modell som ChatGPT, Claude eller Gemini om å «generere et sikkert passord på 16 tegn med tall, symboler og bokstaver ». På papiret høres det perfekt ut: modellen returnerer komplekse strenger, vanskelige å lese og umulige å huske med et øyekast, veldig likt de som tilbys av passordbehandlere.

Problemet er at språkmodeller under panseret ikke er designet for å produsere ekte tilfeldighet . De fungerer ved å forutsi det nest mest sannsynlige tekststykket (tokenet) basert på dataene de ble trent på. Dette er det stikk motsatte av hva vi trenger for et sterkt passord, som krever like sannsynlige og uforutsigbare valg.

Nyere forskning utført av spesialister på AI-sikkerhet har vist at når disse modellene ble bedt om å generere dusinvis av «unike» passord, dukket det opp svært tydelige og repeterende mønstre . I tester med Claude begynte mange passord med samme bokstav, og det andre tegnet var nesten alltid det samme tallet. Dessuten ble en svært liten delmengde av alfabetet gjenbrukt, slik at de fleste bokstavene ble utelatt.

Noe lignende skjedde med ChatGPT: nesten alle passordene startet med samme bokstav, og nesten halvparten brukte «Q» som andre tegn . Gemini viste også tilbakevendende mønstre, med kombinasjoner som virket tilfeldige, men som, når de ble analysert statistisk, var langt fra en jevn fordeling.

Det mest slående er at mange av disse genererte passordene ikke viste en eneste repetisjon av tegn . For det menneskelige øyet gir dette en følelse av kaotisk orden, men fra et probabilistisk synspunkt er det ekstremt usannsynlig at beslutninger virkelig ble tatt tilfeldig. Dette er en klar indikasjon på at modellen følger «interne regler» som gjør den mye mer forutsigbar enn den ser ut til.

Da entropien til disse passordene laget av LLM ble målt, var resultatene ødeleggende: sammenlignet med de omtrent 6,13 bitene med entropi per tegn som en virkelig tilfeldig generator ville produsere , klarte modellene bare rundt 2,08 biter per tegn. I et passord på 16 tegn betyr det å gå fra omtrent 98 biter (svært robust) til bare 27 biter, noe en angriper kan knekke med brute-force-angrep uten å bli slitsom.

Til slutt identifiserte forskerne karakteristiske mønstre i AI-genererte passord på tvers av virkelige internettjenester . Med andre ord finnes det applikasjoner og nettsteder som allerede er beskyttet av passord som deler forutsigbare strukturer, noe som gjør dem til perfekte mål for spesialiserte ordboksangrep som inkluderer «lister over typiske chatbot-passord».

Derfor er mange sikkerhetsselskaper tydelige på dette: det er ikke en god idé å delegere passordoppretting til en generell AI . De er optimalisert for å produsere troverdig tekst, ikke for å garantere en tilfeldig fordeling som er motstandsdyktig mot analyse. Hvis du allerede har generert passord med en chatbot, er det verdt å endre dem og som et minimum legge til tofaktorautentisering (2FA) for å øke beskyttelsesnivået.

Passordbehandlere, ekte tilfeldighet og grunnleggende beste praksis

Hvis det er umulig å memorere dusinvis av unike, lange og komplekse passord (noe det er), er den praktiske løsningen å sentralisere administrasjonen . Det er her passordbehandlere kommer inn i bildet , og de oppretter og lagrer sterke passord i et kryptert «hvelv» beskyttet av et hovedpassord og i økende grad av ytterligere autentiseringsfaktorer.

I motsetning til LLM- er bruker passordbehandlere kryptografiske tilfeldige tallgeneratorer . Disse er avhengige av operativsystemets entropi og fysiske kilder (musebevegelser, timing mellom hendelser osv.) for å produsere virkelig uforutsigbare biter, som deretter konverteres til tegnstrenger uten å introdusere noen "pene" mønstre for det menneskelige øyet.

Verktøy som Bitwarden, som tilbyr en ganske omfattende gratisversjon, eller 1Password, en betalt, men svært kraftig tjeneste , lar deg administrere ikke bare passord, men også kredittkort, sikre notater og annen sensitiv informasjon. Brukeren trenger bare å huske et veldig sterkt hovedpassord (og ideelt sett beskytte kontoen med tofaktorautentisering), mens administratoren tar seg av resten.

I tillegg til å generere sterke passord, inkluderer disse administratorene vanligvis funksjoner som periodisk rotasjon av påloggingsinformasjon, varsler om kjente datainnbrudd og kontroller av gjenbruk av passord . Hvis et nettsted opplever et brudd, eller hvis dataene dine vises på lister over det mørke nettet, kan administratoren varsle deg slik at du kan endre de berørte passordene før noen utnytter dem.

En annen god vane er å slette kontoer du ikke lenger bruker . Det er lett å glemme en gammel Myspace-profil, en Hotmail-konto fra tidlig på 2000-tallet eller en tjeneste du registrerte deg for «bare for å prøve det ut». Men hvis du noen gang har brukt den e-postadressen som gjenopprettingsadresse for en annen viktig konto, blir den en sårbar lenke i sikkerhetskjeden din.

Til slutt er det praktisk talt obligatorisk å aktivere flerfaktorautentisering på alle mulige kontoer . Enten du bruker SMS, apper som Authy eller Google Authenticator, eller mer avanserte metoder, reduserer kravet om en ekstra faktor (kode, fysisk nøkkel, biometri) effekten av et kompromittert passord drastisk.

Hvordan AI styrker både angripere og forsvarere

Kunstig intelligens endrer spillet for begge sider. På den ene siden er nettkriminelle ikke lenger utelukkende avhengige av klassisk rå makt : de trener modeller med millioner av lekkede passord for å generere ekstremt effektive ordbøker, som er i stand til å fange opp menneskelige mønstre når de lager passord (navn, datoer, lag, sangtekster osv.).

Verktøy som PassGAN, basert på generative nettverk, kan produsere enorme mengder passordgjetninger uten å kreve eksplisitte, menneskedefinerte regler . I motsetning til tradisjonelle verktøy som Hashcat, som bruker forhåndsdefinerte transformasjoner på kjente lister, fortsetter disse modellene å lære og forbedre resultatet etter hvert som de genererer flere forsøk.

I tester utført med datasett som den beryktede RockYou-lekkasjen eller LinkedIn-passord, har PassGAN gjettet riktig mellom 51 % og 73 % flere unike passord enn regelbaserte verktøy . Spesielt trent på prøver fra en bestemt lekkasje, var det i stand til å gjette riktig nesten en fjerdedel av passordene i et annet, uavhengig sett – en spesielt bekymringsfull statistikk med tanke på brukere som bruker passord på tvers av forskjellige tjenester.

Videre drar angrepsteknikker som credential stuffing og password spraying stor nytte av avansert automatisering . Med AI kan angripere justere rekkefølgen og prioriteten til passordene de prøver, optimalisere ressurser og fokusere på kombinasjoner med høyere sannsynlighet for suksess basert på offerets profil.

Men AI mangedobler også skaden i en annen dimensjon: phishing og sosial manipulering . Generative modeller tillater opprettelse av e-poster, falske påloggingsnettsteder og til og med taleanrop med deepfakes som etterligner familiemedlemmer, sjefer eller kolleger med et foruroligende nivå av realisme. I slike situasjoner, uansett hvor sterkt passordet ditt er, er det lite nyttig hvis du ender opp med å skrive det inn på en falsk side som sender det direkte til angriperen.

På den defensive siden har imidlertid AI blitt en uunnværlig alliert . Mange sikkerhetssystemer bruker modeller for å analysere innloggingsmønstre og oppdage unormal atferd: tilgang fra uvanlige land, mistenkelige tidspunkter, skrivehastigheter som ikke er i samsvar med et menneskes, eller uvanlige enheter.

Hvis for eksempel tilgang oppdages fra et atypisk sted kombinert med et tilsynelatende automatisert interaksjonsmønster , kan systemet blokkere forsøket, be om ytterligere verifisering eller tvinge frem et passordskifte. Nøkkelen her er kontinuerlig overvåking: det er ikke nok å bare låse døren; du må holde øye med hvem som prøver å komme inn og hvordan.

Utover passordet: MFA, biometri, null tillit og passordnøkler

Med den kontinuerlige økningen i angrep og spredningen av digitale identiteter (både menneskelige og ikke-menneskelige), har den klassiske modellen basert utelukkende på brukernavn og passord ikke fungert . Trenden er å flytte sikkerhetsbyrden fra en enkelt hemmelighet til en kombinasjon av signaler, kontekst og kontinuerlig verifisering.

For det første har flerfaktorautentisering (MFA) blitt en hjørnestein . Ikke alle faktorer er like robuste: engangskoder via SMS er for eksempel sårbare for avlyttingsangrep, kloning av SIM-kort eller sofistikert phishing. Likevel er de bedre enn ingenting, og neste steg er å investere i mer robuste metoder, for eksempel dedikerte apper, sikkerhetsnøkler eller push-varsler med svindelbeskyttelse.

Biometri, som ansiktsgjenkjenning eller fingeravtrykksskanning på moderne mobiltelefoner og bærbare datamaskiner , tilbyr en svært praktisk opplevelse og hever standarden for angripere, selv om det ikke er idiotsikkert. Kombinert med kryptografiske nøkler lagret på enheten, tillater det systemer der det ikke finnes noe passord som brukeren kan skrive inn, noe som reduserer risikoen for phishing.

Det er her passord og passordløse løsninger kommer inn i bildet , som bruker offentlig nøkkelkryptografi for å autentisere brukeren uten behov for en tradisjonell nøkkel. Tjenester som Okta FastPass lar deg sikkert koble en enhet til en identitet og validere tilgang ved hjelp av kryptografiske nøkler, og integrerer også med metoder som Windows Hello, Apple Touch ID eller Face ID.

Denne typen løsning forbedrer ikke bare brukeropplevelsen (slipper å huske dusinvis av passord), men reduserer også drastisk sannsynligheten for at en angriper stjeler gjenbrukbar legitimasjon . Det finnes ingen "delt hemmelighet" som reiser over nettverket som kan fanges opp: verifisering gjøres gjennom kryptografiske utfordringer som bare den legitime enheten kan løse.

Parallelt tar mange organisasjoner i bruk Zero Trust-tilnærmingen, som antar at ingen tilgang er klarert som standard , selv om den kommer fra bedriftsnettverket. Hver forespørsel evalueres med tanke på flere faktorer: hvem brukeren er, hvilken enhet de bruker, deres plassering, tidspunktet for tilgang, deres nylige oppførsel og så videre.

I denne modellen blir identitets- og tilgangsstyring (IAM/IGA) det sentrale fokuset for sikkerhetskontroll . Prinsipper om minste privilegium, periodiske tillatelsesgjennomganger og sanntids korrelasjon av risikosignaler anvendes. Når noe avviker fra det forventede mønsteret, kan systemet umiddelbart tilbakekalle privilegier eller kreve ytterligere verifisering.

Den nye fronten: AI-agentidentiteter og ikke-menneskelige kontoer

Fremveksten av AI med autonome agenter legger til et nytt lag med kompleksitet. Disse agentene spør ikke bare systemer, men opptrer også i dem : de autentiserer, kaller API-er, leser og skriver data, og tar til og med driftsavgjørelser på vegne av selskapet.

Hver agent av denne typen trenger sin egen identitet, eller i det minste et sett med legitimasjon . Dette utvider angrepsflaten betydelig, fordi vi snakker om API-nøkler, OAuth-tokener, tjenestekontoer og andre hemmeligheter som ofte er dårlig inventarisert, har for mange tillatelser eller utløper sent (hvis i det hele tatt).

Videre introduserer agentbaserte systemer nye og spesifikke sårbarheter : kommandoinjeksjon i instruksjonene de mottar, modellforgiftning, datamanipulering, uønsket privilegieeskalering og så videre. Ikke bare tradisjonell kode angripes, men også AI-ens beslutningslogikk.

Den såkalte «skygge-AI-en» forverrer situasjonen: ansatte som integrerer uautoriserte AI-verktøy i arbeidsflytene sine, kan skape sårbarheter som tradisjonelle kontroller (brannmurer, antivirus, eldre policyer) ikke er utformet for å håndtere. En feilkonfigurert agent kan for eksempel tilbakekalle legitim legitimasjon eller sette kritiske ressurser i karantene uten at noen merker det i tide.

Derfor anbefaler eksperter å behandle AI-agenter som digitale identiteter med høy verdi . Dette innebærer å kun gi dem de strengt nødvendige tillatelsene, nøye overvåke aktiviteten deres, etablere mekanismer for å stoppe eller begrense handlingene deres hvis de avviker fra forventet atferd, og sørge for at sikkerhetskopiering, gjenoppretting og styring også adresserer disse komponentene.

En betydelig utfordring er ren synlighet: mange selskaper vet ikke engang hvor mange agenter som er i drift til enhver tid, hvilke systemer de kobler seg til, eller hvilke data de har tilgang til . Uten lagerbeholdning eller sporbarhet øker risikoen for å miste kontroll i været, og enhver hendelse kan forsterkes av selve autonomien til disse systemene.

Den gode nyheten er at verktøyene for å administrere identiteter, tillatelser og tilgang – både menneskelige og ikke-menneskelige – allerede finnes og er ganske modne . Den virkelige utfordringen er kulturell og organisatorisk: å integrere styring, robusthet og opplæring fra starten av, i stedet for å behandle AI som en enkel plug-and-play-plugin.

Når man ser på det store bildet, er det tydelig at passord fortsatt spiller en viktig rolle, men de kan ikke lenger alene sikre digital sikkerhet . I en kontekst der AI akselererer både angrep og forsvar, der autonome agenter tar beslutninger i kritiske systemer, og der identiteter mangedobles, innebærer strategien å bruke lange, unike passord som administreres med robuste verktøy, alltid støtte dem med MFA, gradvis redusere viktigheten deres gjennom passordnøkler og passordløse ordninger, og forsterke en identitets- og tilgangsmodell basert på null tillit og kontinuerlig overvåking. Bare på denne måten kan vi holde et trusselmiljø i sjakk som blir raskere, mer automatisert og mer intelligent for hver dag.