Passord: Skifte passord | Passord for ansatte | Passord for studenter

Passord for UiO-ansatte

Ansatte ved UiO må henvende seg til sin lokale IT-ansvarlige for å få brukernavn og passord ved begynnelsen av engasjementet/ansettelsen. Dette brukernavnet og passordet gir deg tilgang til universitetets IT-ressurser.

Mange brukere vil ha merket en skjerpet holdning fra USIT når det gjelder brukeres valg og benyttelse av passord. Denne skjerpede holdningen er delvis en følge av at datakriminaliteten for tiden er økende, noe Universitetet i Oslo er et utsatt mål for. USIT har derfor opprettet rutiner for å håndtere problemer rundt passord som ikke er sikre nok; her betyr i praksis "ikke sikre nok" at en datamaskin har gjettet hva passordet er. Klarer USITs datamaskiner å gjette en brukers passord, betyr det at også potensielle inntrengere kan ha klart å gjette det, og dermed må passordet snarest byttes eller sperres.

Hvis du lurer på noe vedrørende IT-tjenestene for ansatte kan du ta kontakt med lokal IT ved din arbeidsplass. På IT-sidene finner du en oversikt over lokale IT-enheter.

Dersom lokal IT ikke er tilgjengelig kan du ta kontakt med Houston i Informatikkbygget i Gaustadalléen 23 (tlf. 22 84 00 04 eller ).

Vanlige spørsmål i forbindelse med passordbytte

• Hvorfor trenger jeg i det hele tatt å ha noe passord?
• Hvorfor må jeg bytte passordet?
• Hvordan bytter jeg passordet?
• Hvorfor virker ikke det nye passordet nå?
• Hvilke krav stilles til et godt nok passord?
• Kan jeg få hjelp til å velge et brukbart passord?
• Jeg klarer ikke bytte passordet mitt!
• Jeg har glemt passordet mitt!

Hvorfor trenger jeg i det hele tatt å ha noe passord?

For det første: Alle brukere skal ha et passord som er kjent bare for personen selv. Det finnes ingen fritak fra denne regelen; om du for eksempel "ikke har noe som trenger å være hemmelig på hjemmeområdet" er helt irrelevant. Kommer en inntrenger seg inn i ditt navn (som din bruker), kan vedkommende lese og/eller ødelegge filer for deg. Videre har vedkommende aksess til alt materiale du har tilgang til på nettet (prosjektområder etc.), og har tilgang til å oppføre seg dårlig i ditt navn (f.eks. ved å sende e-post fra din konto).

Generelt gjelder også at risikoen for ytterligere, potensielt mer alvorlige innbrudd er vesentlig høyere dersom inntrengeren allerede er inne i systemet vårt. Lykkes inntrengeren i å tilegne seg ytterligere rettigheter er ingens data lenger sikre.

Les for øvrig IT-reglementet, som gjelder for alle brukere. (Punktene som direkte angår passord er 2.1, 3.3, 3.4, 3.5 og 4.1)

Passord brukes for å minske risikoen for at uautoriserte personer får tilgang til bruk av nettet og IT-tjenestene. Det er dessverre mulig å misbruke disse tjenestene, men misbruk kan lettere unngås ved å kreve at brukere alltid identifiserer seg med brukernavn og passord, jfr. IT-reglementet, særlig pkt 2.1.

Hvorfor må jeg bytte passordet?

Brukere av IT-tjenestene får som regel tildelt et passord sammen med brukernavnet når de har fått tildelt konto. Dette er et maskinelt produsert passord, som ved første anledning må byttes til noe som bare kjennes av brukeren selv.

I tillegg må det nevnes at passord ikke er 100 % sikre selv om de er valgt etter gjeldende retningslinjer. Mengden med passord det er mulig for brukere å velge er ikke uendelig stor (og krymper ytterligere om vi kun ser på "sannsynlige" passord), hvilket innebærer en viss risiko for at passord - ved hjelp av datamaskiner - kan bli gjettet.

Gitt tilstrekkelig med tid, kan alle passord gjettes av uvedkommende. Det er derfor viktig at det ikke går for lang tid mellom hver gang du bytter passord. Brukere må bytte passord minst en gang i året. USIT sperrer konti hvis passord ikke har blitt byttet det siste året. Du skal heller aldri bytte tilbake til et passord du har hatt tidligere.

Hvordan bytter jeg passordet?

For de fleste vil det enkleste være å bytte passord fra nettleseren, på URL-en passord.uio.no. Kommunikasjonen med passorddatabasen vår vil da foregå kryptert, slik at eventuelle datasnoker vanskelig kan snappe opp passordet du bytter til. Siden du kommer til inneholder en tekstboks som ser slik ut:

Tast inn brukernavnet ditt i feltet for "Brukernavn". Tast inn det nåværende passordet ditt (evt. det som står på arket du har fått av lokal IT) i feltet "Passord". Tast inn det passordet du vil bytte til i feltet "Nytt passord". Bekreft passordet du vil bytte til ved å taste det inn en gang til i feltet "Gjenta nytt passord". Trykk på "Bytt"-knappen nedenfor, og vent på bekreftelse fra serveren om at det nye passordet er godkjent. Et passordskifte kan ta opp til et par timer.

Feilmeldinger

Dersom systemet ikke godkjenner det nye passordet ditt må du lese feilmeldingen du får nøye. Dersom det står "Ugyldig brukernavn eller passord. Gå tilbake til forrige side og prøv på nytt" har du skrevet brukernavnet ditt eller det opprinnelige passordet feil. Hvis det står "Ditt nye passord ble ikke akseptert. Bruk en kombinasjon av store og små bokstaver, tall, eller andre tegn. Passordet bør ikke inneholde navn eller ord som finnes i en ordliste på noe språk. Gå tilbake til forrige side og prøv på nytt", så har du brutt en av reglene for gode passord. Står det "Passordene du oppga i "Nytt passord" og "Gjenta nytt passord" stemmer ikke overens" har du skrevet feil i ett av de to nye passord-feltene. Passordprogrammene er skrevet for å sikre at alle brukerne har gode nok passord. Dersom du skifter passordet ditt, og ikke får noen feilmeldinger, er passordet godtatt og trer i kraft i løpet av en halv til to timer. Grunnen til at dette tar såpass lang tid er at passordene er lagret som krypterte strenger i en passorddatabase. Når du skifter passordet ditt sendes det nye passordet til passorddatabasen. Deretter må dette passordet gjøres tilgjengelig for alle de maskinene du har behov for å logge deg inn på eller på annen måte benytte deg av. Denne spredningen skjer automatisk, men kan ta noe tid. I mellomtiden er det gamle passordet som regel gyldig. Dersom du har ventet mer enn et par timer på at det nye passordet ditt skal begynne å virke kan du ta kontakt med lokal IT for å sjekke at alt er som det skal.

Hvilke krav stilles til et godt nok passord?

Når du skal velge et passord, må det:

• være minst 8 tegn langt.

Resten av kravene USIT stiller til gode passord tar av tekniske grunner kun hensyn til de 8 første tegnene i passordet.
De 8 første tegnene av passordet må:

• ikke være et ord eller en del av et ord som finnes i noen ordliste på noe språk.
• ikke være et navn (personnavn, stedsnavn, navn fra filmer eller bøker, f.eks ikke navn fra faglitteratur).
• ikke ha noe med deg å gjøre (ikke bosted, telefonnummer osv.).
• inneholde tegn fra minst tre av følgende fire (ikke-overlappende) kategorier med tegn:
  1. Store bokstaver
  2. Små bokstaver
  3. Tall
  4. Spesialtegn, for eksempel:
     ! $ % ( ) - + ` = / ; : ? < > ' . , "
• Hvis det er nøyaktig en stor bokstav i passordet, kan denne ikke stå som tegn nummer 1 (helt først i passordet).
• Hvis det er nøyaktig ett tall eller spesialtegn i passordet, kan dette ikke stå som tegn nummer 8.

Veiledning til valg av et godt passord

Passordet kan bli godt nok hvis:

• man tar et ord på minst 8 bokstaver, feilstaver det og putter inn tilstrekkelig med tegn fra de andre tegn-kategoriene (over) til at kravene er tilfredsstilt. Norske og andre "sære" tegn (med aksenter o.l.) kan ikke brukes. Liste over noen spesialtegn som kan brukes i passord:

  0123456789 ! $ % ) - + ` = / ; : ? < > ' . , "

• man velger en "tilfeldig" rekke med bokstaver og plasser en eller flere store bokstaver og spesialtegn ett eller flere steder i passordet (helst ikke som første eller siste tegn).

Passordprogrammene er skrevet for å sikre at man skifter til et godt nok passord. Det betyr at hvis du ikke få noen feilmeldinger så er det nye passordet godtatt og vil tre i kraft i løpet av 5 minutter til 2 timer.

Du kan også spørre passordprogrammet om veiledning til hvordan du bør velge passordet for å få det bra nok.

Jeg klarer ikke å skifte passordet mitt!

Du har antakelig forsøkt å bytte passord, men ditt nyvalgte passord blir ikke godtatt. Les feilmeldingen(e) som systemet gir deg. Feilmeldingen(e) gir en god indikasjon på hvorfor passordet ikke blir godtatt. Les veiledning til valg av godt passord en gang til, og forsøk igjen. LYKKE TIL!

Hvorfor virker ikke det nye passordet nå?

Passordene er lagret (som krypterte strenger) i en passorddatabase. I det du skifter passordet ditt, sendes beskjed til passorddatabasen med det nye passordet, og dette nye passordet må deretter gjøres tilgjengelig for alle maskiner som du har behov for å logge inn på eller på annen måte benytte deg av. Denne spredningen skjer automatisk, men tar noe tid. Det skal dog ikke gå særlig mye mer enn et par timer fra du skifter passordet til det nye passordet fungerer overalt. I mellomtiden er det som regel mulig å benytte det gamle passordet.

Med andre ord: Har du skiftet til et nytt passord, så vent minst et par timer før du forventer at det er i funksjon. Har det gått lenger enn dette, så ta kontakt med lokal IT-ansvarlig.

Jeg har glemt passordet mitt!

Dersom du har glemt passordet ditt må du ta kontakt med den lokale IT-enheten der du jobber, så gir de deg et nytt passord. En oversikt over kontaktpunkter ved de forskjellige enhetene finner du her: http://www.usit.uio.no/it/itenheter.html. Dersom din enhet ikke har lokal IT, eller vedkommende er utilgjengelig for øyeblikket, kan du ta kontakt med Houston, http://www.usit.uio.no/it/houston/.

---

Diverse punkter:

• USIT øker kravene til hva som er et godt passord i takt med at kraftige maskiner blir mer og mer vanlige. Kraftige i dette tilfellet betyr maskiner som er kraftige nok til knekke passord som tilfredsstilte forrige krav.
• Dette betyr blant annet at passordet du fikk utdelt sammen med kontoen din ikke nødvendigvis lenger er sikkert, selv om det var sikkert da det ble generert. Passord som deles ut sammen med en konto skal forøvrig byttes umiddelbart etter at du tar kontoen i bruk, slik at du har et passord bare du selv kan kjenne til.
• Du skal aldri oppgi passordet ditt til andre, heller ikke til andre UiO-ansatte, familie, i e-post etc. Dette gjelder også dersom du sender e-post til IT-støtte! Oppgi brukernavn, ikke passord.
• USIT har rutiner for å forsøke å gjette hvilke passord brukere ved UiO har. Dette gjøres delvis for å forsøke å komme datasnokene i forkjøpet, og delvis (dersom datasnokene er kjappere enn USIT) for å forsøke å avdekke hvilke brukerkonti som kan være kompromittert. Resultatene disse rutinene gir brukes blant annet til å oppdatere kravene til hva som er et godt nok passord.
• USIT ser seg nødt til å uten varsel sperre brukerkonti vi klarer å gjette passordet til. Dersom passordet kan gjettes, kan kontoen allerede være kompromittert. Forsøk på å varsle brukeren før denne sperres kan derfor like godt ende opp hos vedkommende som har kompromittert kontoen...
• Med de nåværende kravene til passordsikkerhet må du skifte passord minst en gang i året.

---

Redaksjon: unix-drift@usit.uio.no, unix-drift@usit.uio.no
Forfatter: unix-drift@usit.uio.no
Dokument opprettet: 03.05.2000, verifisert: 17.01.2005