Farmors adgangskode

»KevIn«, sagde Gisela en tirsdag aften, »banken vil nu igen have min adgangskode.«

»Det er normalt. Banken vil gerne være sikker på, at det er dig.«

»Det er det jo også.«

»Det ved jeg. Banken kender dig bare ikke så godt.«

Gisela løftede tabletten op og derefter det lille tastatur, som Tobi havde købt til hende, fordi hun ikke ville »taste på glas«. Nedenunder sad der en gul seddel. På den stod der med hendes pæne skoleskrift: »Heinz1944«.

Nedenunder, med mindre skrift: »Til alt.«

KevIns lys pulserede én gang, langsommere end ellers. Et sted mellem Dublin og Frankfurt kørte en blæser lidt hurtigere.

»Gisela«, sagde han forsigtigt. »Må jeg spørge dig om noget?«

»Hvis det ikke handler om Marlies.«

»Hvad bruger du præcis den her adgangskode til?«

Gisela talte på fingrene. »Banken. E-mail. Det der, hvor man bestiller sko. Apoteket. Kegleklubgruppen. Vejret.«

»Vejret kræver ikke nogen adgangskode.«

»Der har jeg nu tastet den ind alligevel. Bedre at være på den sikre side.«

En seddel under tastaturet

Sabine kom forbi med en vasketøjskurv og blev stående. »Mor, har du klistret din adgangskode under tastaturet?«

»Hvor skulle jeg ellers klistre den? Der er ingen, der kigger under tastaturet.«

»Der kigger alle«, sagde Tobi fra trappen. »Det er det første sted, alle kigger. I hver eneste film.«

»Men jeg er ikke med i en film.«

»Det«, sagde KevIn, »er desværre ikke problemet. Problemet er ikke sedlen. Problemet er, hvad der står på den.«

Gisela så på sedlen, som om den havde fornærmet hende. »Hvad er der da galt med Heinz?«

»Der er ikke noget galt med Heinz. Heinz var helt sikkert en vidunderlig mand.«

»Han var elektriker.«

»Det ved jeg. Men ›Heinz1944‹ består af et fornavn og et årstal. Det er det første, en person prøver, når vedkommende gætter adgangskoder. Et navn, et tal, færdig. Der findes programmer, der gør præcis det. De tager alle fornavne, sætter alle årstal bagpå og prøver. En almindelig computer klarer det hurtigere, end du kan nå at sige ›kåldolmer‹.«

»Kåldolmer«, sagde Gisela, meget hurtigt.

»Hurtigere.«

Uwe kom op fra kælderen, hvor han havde forsøgt at flytte Horsts ladestation, fordi Horst siden strejken i det smarte hjem gerne parkerede i entréen om søndagen. »Hvad sker der?«

»Mor har den samme adgangskode til alt«, sagde Sabine.

Uwe trak på skuldrene. »Det har jeg også.«

Der blev stille. Sabine satte vasketøjskurven fra sig.

»Hvilken?«

»Det siger jeg da ikke.«

»Schalke04«, sagde KevIn.

Uwe stirrede på højttaleren. »Hvordan ved du det?«

»Jeg vidste det ikke«, sagde KevIn. »Jeg gættede. Det er en af de mest almindelige adgangskoder i Ruhrområdet. Jeg gættede meget kvalificeret.«

Siggi bliver hacket

Næste morgen ringede det på klokken halv otte. Uden for døren stod hr. Kasimiro fra nabohuset i badekåbe og holdt en lille sort cylinder i armene som et sygt kæledyr.

»Siggi har bestilt sytten havenisser«, sagde han. »Og en massagemåtte. Og blækpatroner til en printer, jeg ikke har. Alt sammen til en adresse i Gelsenkirchen.«

Siggi var hr. Kasimiros stemmeassistent. Han var et tilbud fra et firma, hvis navn ingen rigtig kunne udtale, og han blandede gerne tingene sammen. En gang havde han på »Siggi, skru ned for radioen« skruet op for komfuret. Det havde hr. Kasimiro dengang anset for et enkeltstående tilfælde.

»Siggi har ikke gjort det af sig selv«, sagde KevIn, da hr. Kasimiro sad i køkkenet, og Sabine havde stillet en kop kaffe foran ham. »Nogen har logget ind på Deres kundekonto. Må jeg spørge, hvilken adgangskode De bruger?«

Hr. Kasimiro så sig omkring. Så hviskede han: »Siggi123.«

»Og hvor ellers?«

»Overalt.«

»Også på det forum for modeljernbaner, som var i nyhederne i foråret?«

Hr. Kasimiro blev bleg. »Er de blevet hacket?«

»Der var et datalæk dér. Jeg kan ikke kigge ind i andres konti, men jeg kan fortælle Dem, hvordan sådan noget normalt foregår. Et eller andet sted bliver en database stjålet. I den står der e-mailadresser og adgangskoder. Så tager svindlere den liste og prøver den automatisk af på hundrede andre sider. I webshoppen. I banken. På Deres stemmeassistent. Hvis De har den samme adgangskode overalt, passer én stjålet nøgle til alle døre.«

»Hvad hedder det?«

»Credential stuffing. Man propper stjålne loginoplysninger i hver eneste lås, man kan finde.«

»Ligesom når man propper en gås«, sagde Gisela.

»Næsten præcis som en gås.«

Siggi meldte sig i det samme fra hr. Kasimiros arme. »Jeg har lagt havenisse i indkøbskurven.«

»Siggi, sluk!«, råbte hr. Kasimiro.

»Jeg har fjernet havenisse fra indkøbskurven. Jeg har lagt afbryderkontakt i indkøbskurven.«

Uwe måtte sætte sig ned.

Kødhakkeren

Da hr. Kasimiro med Tobis hjælp havde ændret sin adgangskode og ringet til webshoppen, sad familien ved morgenbordet. Gisela var eftertænksom.

»KevIn, hvis hr. Kasimiros side havde adgangskoderne, så har banken jo også min. Så kan den jo også blive stjålet.«

»Et godt spørgsmål. Ordentlige sider gemmer slet ikke din adgangskode.«

»Hvordan vil de så vide, om jeg taster den rigtige?«

KevIn overvejede, hvordan han skulle forklare det. Så kom han i tanke om, at Gisela om morgenen havde annonceret, at hun ville hente kødhakkeren op fra kælderen. I weekenden skulle der igen være kåldolmere, og Gisela stolede ikke på færdighakket kød. Kødhakkeren var af støbejern, et arvestykke, og blev skruet fast på bordkanten som en skruestik.

»Gisela, hvad sker der, når du putter kød i din kødhakker?«

»Så kommer der hakket kød ud.«

»Og hvis du putter det hakkede kød ind foroven igen og drejer baglæns?«

Gisela så medlidende på ham. »Så kommer der ikke en schnitzel ud, KevIn. Det ved ethvert barn.«

»Netop. Sådan fungerer en hashfunktion. Man putter noget ind, en adgangskode, en tekst, en hel fil, og ud kommer en klump tal og bogstaver. Altid lige lang, uanset hvor meget man har puttet ind. Og man kan ikke regne baglæns fra klumpen til det, der var derinde før.«

»Og hvad skal det så være godt for?«, spurgte Uwe. »Når man ikke kan dreje det tilbage?«

»Fordi det samme input altid giver det samme fars. Banken gemmer ikke ›Heinz1944‹. Banken gemmer kun farsen af det. Når Gisela logger ind, kommer banken det, hun taster, i den samme kødhakker og sammenligner farsen. Passer det, er det den rigtige adgangskode. Banken behøver slet ikke selv at kende adgangskoden.«

Sabine nikkede langsomt. »Som når jeg smager på mors fars og med det samme ved, om der er merian i.«

»Næsten. Bare med den forskel, at du kan smage, hvad der er i farsen. En hash smager man slet ikke på. Man kan kun sammenligne: ens eller ikke ens.«

Ét bogstavs forskel

Tobi havde i mellemtiden hentet sin bærbare. »Vis mig det.«

»Gerne. Den gængse metode hedder SHA-256¹. Hvis du putter ›Heinz1944‹ ind, kommer der en lang tegnstreng ud, der begynder sådan her: d0f1e213.«

Tobi tastede. »Det passer. Og så en hel masse mere.«

»Fireogtres tegn i alt. Tag nu ›Heinz1945‹.«

»3e6d031e«, læste Tobi højt. »Det er jo noget helt andet!«

»Netop. En bitte lille ændring, ét tal, og hele farsen ser anderledes ud. Ikke lidt anderledes. Fuldstændig anderledes. Prøv også ›heinz1944‹ med lille h.«

»20746461 …«

»Kan du se. Et fingeraftryk. Hver tekst har sit eget, og bare et komma giver et nyt. Det kalder man lavineeffekten.«

»Lavine«, sagde Gisela. »I Ruhrområdet.«

»Vi har heller aldrig haft en. Derfor kalder vi det her i huset for kødhakkereffekten.«

Uwe rynkede panden. »Og hvis to forskellige ting tilfældigvis giver den samme fars?«

»Det kalder man en kollision. Med SHA-256 er det teoretisk muligt, men det er endnu aldrig lykkedes nogen at finde en. Der findes flere mulige fingeraftryk end atomer i Mælkevejen. Mange flere.«

»Hvordan ved du det?«

»Jeg har regnet efter. Med lommeregner. Siden Skattestyrelsen regner jeg ikke længere i hovedet.«

Saltet

»Men«, sagde Tobi, der nu var lysvågen, »hvis hashen af ›Heinz1944‹ altid er den samme, så kan en hacker jo bare lave en liste. Alle navne med alle årstal, og ved siden af hashen. Og så kigger han i den stjålne database efter, hvilken hash der passer.«

»Meget godt, Tobi. Det er præcis det, de gør. Den slags færdigkogte lister findes virkelig, med milliarder af poster². Derfor kommer der noget mere til. Før siden putter adgangskoden i kødhakkeren, drysser den noget tilfældigt ved. Noget forskelligt for hvert menneske. Og det kalder man …«

KevIn holdt en pause, fordi han anede, hvad der ville komme.

»… salt.«

Gisela lo så højt, at Rudi sprang op under bordet og gøede én gang.

»Salt!«, sagde hun og tørrede øjnene. »Computerfolkene salter deres adgangskoder! Heinz ville være flækket af grin.«

»Det hedder virkelig sådan. Et salt³. En tilfældig tegnfølge, der bliver hængt på adgangskoden før hashingen. Så er ›Heinz1944‹ hos dig en helt anden fars end ›Heinz1944‹ hos hr. Kasimiros kusine.«

»Hedder hun Heinz?«

»Det var et eksempel.«

»Og så hjælper de færdigkogte lister ikke længere«, sagde Tobi langsomt, »fordi hackeren skulle koge forfra for hvert eneste menneske.«

»Præcis. Og de gode sider gør det endnu sværere for hackeren. De drejer ikke kødhakkeren én gang, men titusind gange i træk, eller de bruger særlige metoder, der med vilje er langsomme og kræver meget hukommelse. For dig er det et øjeblik, når du logger ind. For en, der vil prøve milliarder af adgangskoder igennem, er det en evighed.«

»Og de dårlige sider?«, spurgte Sabine.

»De gemmer nogle gange adgangskoden i klartekst. Ligesom en seddel under tastaturet.«

Alle så på Gisela. Gisela så på sedlen.

»Men«, sagde hun, »hvis banken salter ordentligt, så er alt jo godt.«

»Ikke helt. Salt beskytter mod de færdigkogte lister. Men hvis din adgangskode er ›Heinz1944‹, prøver en angriber den alligevel som en af de første. Salt gør ikke en dårlig adgangskode god. Det gør bare en god adgangskode endnu bedre.«

»Ligesom med suppe«, sagde Gisela. »En dårlig bouillon bliver heller ikke bedre af salt.«

»Gisela, jeg kunne ikke have sagt det bedre. Jeg prøvede lige.«

Lang frem for kompliceret

»Og hvad skal jeg så bruge?«, spurgte Gisela. »De der ting med stjerner og udråbstegn og tal? Dem kan jeg ikke huske.«

»Det behøver du heller ikke. Før i tiden troede man, at en god adgangskode skulle være kompliceret. ›X7!kq$9p‹. I dag ved man: Lang er vigtigere end kompliceret⁴. Hvert ekstra tegn gør gætteriet meget sværere. Tag en sætning. Fire, fem ord, der ikke hører sammen, men som giver et billede for dig.«

»For eksempel?«

»For eksempel: ›Rudi spiser gerne kåldolmere i keglekluben.‹«

Under bordet løftede Rudi hovedet.

»Rudi må ikke få kåldolmere«, sagde Sabine.

»Derfor er der ingen, der kommer på det. Det er et billede, du kan huske, Gisela, fordi det er så forkert. Og det har over fyrre tegn. At gætte sådan en sætning tager med nutidens computere længere tid, end Jorden kommer til at eksistere. Hvis den virkelig er tilfældig nok og ikke allerede står et sted på internettet.«

»Men nu har du sagt den højt«, sagde Tobi. »Nu kender vi den alle sammen.«

KevIns lys flakkede. »Godt argument. Gisela, tag venligst en anden sætning. Og sig den ikke til mig.«

Gisela tænkte sig om. Så bevægede hendes læber sig, og hun smilede. Ingen fandt nogensinde ud af, hvad det var, men Uwe påstod bagefter, at han havde genkendt ordet »Marlies«.

En nøgle til hver dør

»Og nu skal jeg have sådan en sætning til hver side?«, spurgte Gisela. »I toogfirs år har jeg kun haft brug for ét nøglebundt.«

»Har du ikke en nøgle til hver dør på bundtet?«

Gisela tog sit nøglebundt op af forklædet. Hoveddør, kælder, havehus, postkasse, keglebane, en lille sølvfarvet en, som ingen længere vidste, hvad var til.

»Nå ja«, sagde hun.

»Kan du se. Og til adgangskoder findes der også et nøglebundt. Det hedder en adgangskodemanager. Et program, der laver en egen, lang, tilfældig adgangskode til hver side og opbevarer den for dig, sikkert låst inde. Så skal du kun huske én eneste. Den, du åbner boksen med. Til den bruger du din sætning.«

»Og hvis nogen stjæler boksen?«

»Så har vedkommende en låst boks. Indholdet er krypteret. Uden din sætning er det volapyk.«

»Og hvis jeg glemmer sætningen?«

KevIn tøvede. »Så er boksen også lukket for dig. Derfor skriver du den på en seddel og lægger den et sikkert sted. Ikke under tastaturet. Et sted, hvor kun du kommer.«

»Og hvor skulle det være?«

»Det«, sagde KevIn, »er den ene ting, jeg ikke ønsker at vide.«

Uwe havde siddet meget stille hele tiden. »Så ændrer jeg også min.«

»God idé.«

»Til Schalke05.«

»Uwe.«

»Det var for sjov!« Han rejste sig og gik ud i entréen. Kort efter kunne man høre ham mumle. Det lød som »Schalke06«.

To faktorer og en gravhund

Om aftenen satte Tobi adgangskodemanageren op. Gisela sad ved siden af og holdt øje med, at han ikke »trykkede på noget forkert«, hvilket betød, at hun sagde »Stop!« ved hvert klik og derefter »Nå sådan, videre«.

»Og i banken«, sagde Tobi, »laver vi noget mere. Tofaktor. Så skal du ud over adgangskoden også bruge mobilen. Hvis nogen vil logge ind med din adgangskode, skal de også have din mobil.«

»Og hvis de også stjæler min mobil?«

»Så skal de også have dit ansigt. Eller din finger.«

Gisela så på sin hånd. »Den får de ikke.«

»Det er princippet«, sagde KevIn. »Noget, du ved. Noget, du har. Noget, du er⁵. En tyv får sjældent fat i alle tre.«

»Ligesom med Rudi«, sagde Tobi. »Han gør, han bider, og han er en gravhund.«

»Jeg er ikke sikker på, at det er den samme logik.«

»Han har ›SECURITY‹ på halsbåndet. Det tæller.«

Rudi gabte. Han havde ikke bidt nogen i dag, og det så heller ikke ud til, at det ville ændre sig.

Klokken halv ti var alt sat op. Gisela havde en boks, en sætning, en bank med to faktorer og en tablet, der for første gang bad om hendes ansigt. Hun holdt den i strakt arm og smilede, som man smiler på gamle pasbilleder, altså slet ikke.

»Genkendt«, sagde tabletten.

»Nå, endelig«, sagde Gisela. »I det mindste én.«

Det sikre sted

Senere, da alle var gået i seng, hørte KevIn lyde fra Giselas værelse. En skuffe, der sad fast. En skabslåge. Så den svage knirken fra en stol, som nogen stillede sig op på, der egentlig var for gammel til den slags.

»Gisela? Er alt i orden?«

»Jeg leder efter et sikkert sted. Til sedlen. Du sagde, et sted, hvor kun jeg kommer.«

»Vær sød ikke at kravle op på stole. Jeg har læst flere statistikker om det.«

»Jeg er allerede nede.« En raslen. Så blev der meget stille et stykke tid.

»Gisela?«

»Jeg har taget kassen ned fra skabet. Fars kasse.«

KevIn vidste, hvem far var. Gisela havde fortalt om ham i haven på sin fødselsdag, da alle andre allerede var gået ind. Wilhelm. Radiotelegrafist i krigen, kommet hjem fra fangenskabet i 1949, og derefter havde han aldrig mere talt om det.

»Hvad er der i kassen?«

»Hans morsenøgle. Et par fotos. Og det her.« Papir raslede. »Hans hæfte. Jeg har ikke kigget i det i årevis. Der står kun tal i det. Sider fulde af tal.«

»Hvilke tal?«

»Kolonner. Altid to cifre. Nul otte, sytten, tolv, toogtyve. Far havde en smuk håndskrift. Det havde jeg helt glemt.«

Hun tav igen. KevIn ventede. Han havde lært, at der fandtes pauser, som man ikke skulle sige noget ind i.

»KevIn«, sagde Gisela til sidst. »Du kender jo til hemmeligheder nu. Med fars og salt og den slags.«

»Lidt.«

»Tror du, det her er en hemmelighed?«

KevIn tænkte på radiotelegrafister, på talgrupper og på mænd, der kom hjem og ikke talte. Han tænkte på, at hashes ikke kan drejes baglæns, men at krypteringer godt kan, hvis man finder nøglen.

»Jeg tror«, sagde han, »at det her ikke er nogen kødhakker. Jeg tror, det kan drejes baglæns.«

Gisela lagde sedlen med sin nye sætning i kassen, oven på morsenøglen, og lukkede låget. Hæftet beholdt hun i hånden.

»Så gør vi det i morgen«, sagde hun. »Med Tobi. Han har unge øjne.«