Farmors lösenord

”KevIn”, sa Gisela en tisdagskväll, ”banken vill ha mitt lösenord igen.”

”Det är normalt. Banken vill vara säker på att det är du.”

”Men det är ju jag.”

”Det vet jag. Banken känner dig inte lika väl.”

Gisela lyfte upp surfplattan, sedan det lilla tangentbordet som Tobi hade köpt till den åt henne, eftersom hon inte ville ”skriva på glas”. Under det satt en gul lapp. På den stod det med hennes prydliga skolstil: ”Heinz1944”.

Under det, med mindre stil: ”Till allt.”

KevIns ljus pulserade en gång, långsammare än vanligt. Någonstans mellan Dublin och Frankfurt gick en fläkt lite fortare.

”Gisela”, sa han försiktigt. ”Får jag fråga dig en sak?”

”Om det inte handlar om Marlies.”

”Vad exakt använder du det här lösenordet till?”

Gisela räknade på fingrarna. ”Banken. E-posten. Den där grejen där man beställer skor. Apoteket. Kägelklubbens grupp. Vädret.”

”Vädret behöver inget lösenord.”

”Där har jag skrivit in det ändå. Säkert är säkert.”

En lapp under tangentbordet

Sabine kom förbi med en tvättkorg och stannade. ”Mamma, har du klistrat ditt lösenord under tangentbordet?”

”Var ska jag annars klistra det? Under tangentbordet tittar ingen.”

”Där tittar alla”, sa Tobi från trappan. ”Det är första stället där alla tittar. I varenda film.”

”Men jag är inte med i någon film.”

”Det”, sa KevIn, ”är tyvärr inte problemet. Problemet är inte lappen. Problemet är vad som står på den.”

Gisela tittade på lappen som om den hade förolämpat henne. ”Vad är det för fel på Heinz?”

”Inget fel på Heinz. Heinz var säkert en underbar man.”

”Han var elektriker.”

”Jag vet. Men ’Heinz1944’ består av ett förnamn och ett årtal. Det är det första som någon som gissar lösenord provar. Ett namn, ett tal, klart. Det finns program som gör precis det. De tar alla förnamn, hänger på alla årtal och provar. En vanlig dator klarar det fortare än du hinner säga ’kåldolme’.”

”Kåldolme”, sa Gisela, mycket fort.

”Fortare.”

Uwe kom upp från källaren, där han hade försökt flytta Horsts laddstation, eftersom Horst sedan strejken i det smarta hemmet gärna parkerade i hallen på söndagarna. ”Vad är det som händer?”

”Mamma har samma lösenord till allt”, sa Sabine.

Uwe ryckte på axlarna. ”Det har jag också.”

Det blev tyst. Sabine ställde ner tvättkorgen.

”Vilket?”

”Det tänker jag inte säga.”

”Schalke04”, sa KevIn.

Uwe stirrade på högtalaren. ”Hur vet du det?”

”Jag visste det inte”, sa KevIn. ”Jag gissade. Det är ett av de vanligaste lösenorden i Ruhrområdet. Jag gissade mycket bildat.”

Siggi blir hackad

Nästa morgon ringde det på dörren halv åtta. Utanför stod herr Kasimiro från huset bredvid, i morgonrock, och höll en liten svart cylinder i famnen som ett sjukt husdjur.

”Siggi har beställt sjutton trädgårdstomtar”, sa han. ”Och en massagematta. Och bläckpatroner till en skrivare som jag inte har. Allt till en adress i Gelsenkirchen.”

Siggi var herr Kasimiros röstassistent. Han var ett lockpris från ett företag vars namn ingen riktigt kunde uttala, och han blandade gärna ihop saker. En gång hade han på ”Siggi, sänk radion” vridit upp spisen. Herr Kasimiro hade den gången trott att det var en engångsföreteelse.

”Siggi har inte gjort det av sig själv”, sa KevIn, när herr Kasimiro satt i köket och Sabine hade ställt fram en kopp kaffe åt honom. ”Någon har loggat in på ert kundkonto. Får jag fråga vilket lösenord ni använder?”

Herr Kasimiro såg sig omkring. Sedan viskade han: ”Siggi123.”

”Och var mer?”

”Överallt.”

”Också på det där forumet för modelljärnvägar som var med på nyheterna i våras?”

Herr Kasimiro bleknade. ”Blev de hackade?”

”Det var en dataläcka där. Jag kan inte titta in i andras konton, men jag kan berätta för er hur sådant brukar gå till. Någonstans stjäls en databas. I den står e-postadresser och lösenord. Sedan tar bedragare den listan och provar den automatiskt på hundra andra sajter. I nätbutiken. På banken. Hos er röstassistent. Om ni har samma lösenord överallt passar en stulen nyckel i alla dörrar.”

”Vad kallas det?”

”Credential stuffing. Man stoppar stulna inloggningsuppgifter i varje lås man hittar.”

”Som när man stoppar en gås”, sa Gisela.

”Nästan precis som när man stoppar en gås.”

Just då hördes Siggi från herr Kasimiros famn. ”Jag har lagt trädgårdstomte i varukorgen.”

”Siggi, av!” ropade herr Kasimiro.

”Jag har tagit bort trädgårdstomte från varukorgen. Jag har lagt avstängningsknapp i varukorgen.”

Uwe var tvungen att sätta sig.

Köttkvarnen

När herr Kasimiro med Tobis hjälp hade bytt lösenord och ringt till nätbutiken satt familjen och åt frukost. Gisela var fundersam.

”KevIn, om herr Kasimiros sajt hade lösenorden, då har ju banken mitt också. Då kan det ju också bli stulet.”

”En bra fråga. Ordentliga sajter sparar inte ditt lösenord alls.”

”Hur ska de då veta om jag skriver in rätt?”

KevIn funderade på hur han skulle förklara det. Sedan kom han ihåg att Gisela på morgonen hade sagt att hon skulle hämta köttkvarnen från källaren. I helgen skulle det bli kåldolmar igen, och Gisela litade inte på färdig färs. Köttkvarnen var av gjutjärn, ett arvegods, och skruvades fast vid bordskanten som ett skruvstäd.

”Gisela, vad händer när du stoppar kött i köttkvarnen?”

”Då kommer det ut färs.”

”Och om du stoppar in färsen där uppe igen och vevar baklänges?”

Gisela tittade medlidsamt på honom. ”Då kommer det inte ut någon schnitzel, KevIn. Det vet varje barn.”

”Precis. Det är så en hashfunktion fungerar. Man stoppar in något, ett lösenord, en text, en hel fil, och ut kommer en klump av siffror och bokstäver. Alltid lika lång, oavsett hur mycket man har stoppat in. Och man kan inte räkna baklänges från klumpen till det som fanns där innan.”

”Och vad ska det vara bra för?” frågade Uwe. ”Om man inte kan veva tillbaka?”

”För att samma indata alltid ger samma färs. Banken sparar inte ’Heinz1944’. Banken sparar bara färsen av det. När Gisela loggar in kastar banken det hon skriver in i samma köttkvarn och jämför färsen. Stämmer den är det rätt lösenord. Banken behöver inte ens känna till själva lösenordet.”

Sabine nickade långsamt. ”Som när jag smakar på mammas färs och direkt vet om hon har mejram i den.”

”Nästan. Fast med färsen smakar du vad som finns i den. Med hashen smakar man ingenting alls. Man kan bara jämföra: lika eller inte lika.”

En bokstavs skillnad

Tobi hade under tiden hämtat laptopen. ”Visa.”

”Gärna. Den vanliga metoden heter SHA-256¹. Om du stoppar in ’Heinz1944’ kommer det ut en lång teckensträng som börjar så här: d0f1e213.”

Tobi skrev. ”Stämmer. Och sedan en massa till.”

”Sextiofyra tecken totalt. Ta nu ’Heinz1945’.”

”3e6d031e”, läste Tobi högt. ”Det är ju något helt annat!”

”Precis. En pytteliten ändring, en siffra, och hela färsen ser annorlunda ut. Inte lite annorlunda. Helt annorlunda. Prova ’heinz1944’ med litet h också.”

”20746461 …”

”Där ser du. Ett fingeravtryck. Varje text har sitt eget, och redan ett kommatecken ger ett nytt. Det kallas lavineffekten.”

”Lavin”, sa Gisela. ”I Ruhrområdet.”

”Vi har aldrig haft någon heller. Därför kallar vi det här för köttkvarnseffekten.”

Uwe rynkade pannan. ”Och om två olika saker råkar ge samma färs?”

”Det kallas en kollision. För SHA-256 är det teoretiskt möjligt, men ingen har någonsin lyckats hitta en. Det finns fler möjliga fingeravtryck än det finns atomer i Vintergatan. Mycket fler.”

”Hur vet du det?”

”Jag har räknat efter. Med miniräknaren. Sedan Skatteverket räknar jag inte längre i huvudet.”

Saltet

”Men”, sa Tobi, som nu var klarvaken, ”om hashen av ’Heinz1944’ alltid är densamma, då kan ju en hackare helt enkelt göra en lista. Alla namn med alla årtal, och hashen bredvid. Och sedan kollar han i den stulna databasen vilken hash som passar.”

”Mycket bra, Tobi. Det är precis vad de gör. Sådana förkokta listor finns på riktigt, med miljarder poster². Därför kommer det till en sak till. Innan sajten stoppar lösenordet i köttkvarnen strör den på något slumpmässigt. Något annat för varje människa. Och det kallas …”

KevIn gjorde en paus, eftersom han anade vad som skulle komma.

”… salt.”

Gisela skrattade så högt att Rudi for upp under bordet och skällde en gång.

”Salt!” sa hon och torkade ögonen. ”Datafolket saltar sina lösenord! Heinz hade skrattat ihjäl sig.”

”Det heter verkligen så, på engelska också. Salt³. En slumpmässig teckenföljd som hängs på lösenordet innan det hashas. Då blir ’Heinz1944’ hos dig en helt annan färs än ’Heinz1944’ hos herr Kasimiros kusin.”

”Heter hon Heinz?”

”Det var ett exempel.”

”Och då hjälper de förkokta listorna inte längre”, sa Tobi långsamt, ”eftersom hackaren skulle behöva koka på nytt för varenda människa.”

”Exakt. Och de bra sajterna gör det ännu svårare för hackaren. De vevar inte köttkvarnen en gång, utan tiotusen gånger efter varandra, eller så använder de särskilda metoder som med flit är långsamma och kräver mycket minne. För dig när du loggar in är det ett ögonblick. För någon som vill pröva igenom miljarder lösenord är det en evighet.”

”Och de dåliga sajterna?” frågade Sabine.

”De sparar ibland lösenordet i klartext. Som en lapp under tangentbordet.”

Alla tittade på Gisela. Gisela tittade på lappen.

”Men”, sa hon, ”om banken saltar ordentligt, då är ju allt bra.”

”Inte riktigt. Salt skyddar mot de förkokta listorna. Men om ditt lösenord är ’Heinz1944’ provar en angripare det ändå bland de första. Salt gör inte ett dåligt lösenord bra. Det gör bara ett bra lösenord ännu bättre.”

”Som med soppan”, sa Gisela. ”En dålig buljong blir inte heller bättre av salt.”

”Gisela, jag hade inte kunnat säga det bättre. Jag försökte nyss.”

Långt i stället för krångligt

”Och vad ska jag ta då?” frågade Gisela. ”De där grejerna med stjärnor och utropstecken och siffror? Dem kan jag inte komma ihåg.”

”Det behöver du inte heller. Förr trodde man att ett bra lösenord måste vara krångligt. ’X7!kq$9p’. I dag vet man: Långt är viktigare än krångligt⁴. Varje extra tecken gör gissandet mycket svårare. Ta en mening. Fyra, fem ord som inte hör ihop, men som blir en bild för dig.”

”Till exempel?”

”Till exempel: ’Rudi äter gärna kåldolmar i kägelklubben.’”

Under bordet lyfte Rudi på huvudet.

”Rudi får inte äta kåldolmar”, sa Sabine.

”Därför kommer ingen på det. Det är en bild som du kan komma ihåg, Gisela, just för att den är så fel. Och den har över fyrtio tecken. Att gissa en sådan mening tar med dagens datorer längre tid än jorden kommer att finnas kvar. Om den verkligen är tillräckligt slumpmässig och inte redan står någonstans på internet.”

”Men nu har du sagt den högt”, sa Tobi. ”Nu känner vi alla till den.”

KevIns ljus fladdrade. ”Bra argument. Gisela, ta en annan mening. Och säg den inte till mig.”

Gisela funderade. Sedan rörde sig hennes läppar, och hon log. Ingen fick någonsin veta vad det var, men Uwe påstod senare att han hade känt igen ordet ”Marlies”.

En egen nyckel till varje dörr

”Och nu måste jag ha en sådan mening för varje sajt?” frågade Gisela. ”I åttiotvå år har jag bara behövt en nyckelknippa.”

”Har du inte en egen nyckel för varje dörr i knippan?”

Gisela tog fram sin nyckelknippa ur förklädet. Ytterdörren, källaren, trädgårdsboden, brevlådan, kägelbanan, en liten silverfärgad som ingen längre visste vad den var till.

”Nåja”, sa hon.

”Där ser du. Och för lösenord finns det också en nyckelknippa. Den kallas lösenordshanterare. Ett program som skapar ett eget, långt, slumpmässigt lösenord för varje sajt och förvarar det åt dig, säkert inlåst. Då behöver du bara komma ihåg ett enda. Det som du öppnar kassaskåpet med. Till det tar du din mening.”

”Och om någon stjäl kassaskåpet?”

”Då har han ett låst kassaskåp. Innehållet är krypterat. Utan din mening är det rotvälska.”

”Och om jag glömmer meningen?”

KevIn tvekade. ”Då är kassaskåpet stängt för dig också. Därför skriver du upp den på en lapp och lägger den på ett säkert ställe. Inte under tangentbordet. Ett ställe där bara du går.”

”Och var ska det vara?”

”Det”, sa KevIn, ”är det enda jag inte vill veta.”

Uwe hade suttit väldigt tyst hela tiden. ”Då byter jag också mitt.”

”Bra idé.”

”Till Schalke05.”

”Uwe.”

”Det var ett skämt!” Han reste sig och gick ut i hallen. Strax efteråt hörde man honom mumla. Det lät som ”Schalke06”.

Två faktorer och en tax

På kvällen ställde Tobi i ordning lösenordshanteraren. Gisela satt bredvid och passade på att han inte ”tryckte fel”, vilket betydde att hon sa ”Stopp!” vid varje klick och sedan ”Jaha, fortsätt”.

”Och på banken”, sa Tobi, ”gör vi en sak till. Tvåfaktor. Då behöver du mobilen förutom lösenordet. Om någon vill logga in med ditt lösenord behöver han också din mobil.”

”Och om han stjäl min mobil också?”

”Då behöver han ditt ansikte också. Eller ditt finger.”

Gisela tittade på sin hand. ”Det får han inte.”

”Det är principen”, sa KevIn. ”Något du vet. Något du har. Något du är⁵. En tjuv får sällan tag i alla tre.”

”Som med Rudi”, sa Tobi. ”Han skäller, han bits, och han är en tax.”

”Jag är inte säker på att det är samma logik.”

”Han har ’SECURITY’ på halsbandet. Det räknas.”

Rudi gäspade. Han hade inte bitit någon i dag, och det såg inte ut som om det skulle ändras.

Halv tio var allt klart. Gisela hade ett kassaskåp, en mening, en bank med två faktorer och en surfplatta som för första gången frågade efter hennes ansikte. Hon höll den på armlängds avstånd och log, så som man ler på gamla passfoton, det vill säga inte alls.

”Igenkänd”, sa surfplattan.

”Äntligen”, sa Gisela. ”Åtminstone en.”

Det säkra stället

Senare, när alla hade gått och lagt sig, hörde KevIn ljud från Giselas rum. En byrålåda som kärvade. En skåpdörr. Sedan det svaga knarret från en stol som någon ställde sig på, någon som egentligen var för gammal för det.

”Gisela? Är allt bra?”

”Jag letar efter ett säkert ställe. För lappen. Du sa ett ställe där bara jag går.”

”Snälla, kliv inte upp på stolar. Jag har läst flera statistiska undersökningar om det.”

”Jag är redan nere.” Ett prassel. Sedan blev det mycket tyst en stund.

”Gisela?”

”Jag har tagit ner lådan från skåpet. Pappas.”

KevIn visste vem pappa var. Gisela hade berättat om honom i trädgården på sin födelsedag, när alla andra redan hade gått in. Wilhelm. Radiotelegrafist i kriget, hemkommen från fångenskapen 1949, och efter det hade han aldrig mer pratat om det.

”Vad finns i lådan?”

”Hans telegrafnyckel. Några foton. Och det här.” Papper prasslade. ”Hans häfte. Jag har inte tittat i det på åratal. Det står bara siffror i det. Sidor fulla med siffror.”

”Vad för slags siffror?”

”Kolumner. Alltid två siffror. Noll åtta, sjutton, tolv, tjugotvå. Pappa hade en vacker handstil. Det hade jag helt glömt.”

Hon tystnade igen. KevIn väntade. Han hade lärt sig att det fanns pauser som man inte skulle säga något i.

”KevIn”, sa Gisela till slut. ”Du kan ju det där med hemligheter nu. Med färs och salt och sådant.”

”Lite grann.”

”Tror du att det här är en hemlighet?”

KevIn tänkte på radiotelegrafister, på sifferkolumner och på män som kom hem och inte pratade. Han tänkte på att hashar inte går att veva tillbaka, men att krypteringar gör det, om man hittar nyckeln.

”Jag tror”, sa han, ”att det här inte är någon köttkvarn. Jag tror att det här går att veva tillbaka.”

Gisela lade lappen med sin nya mening i lådan, ovanpå telegrafnyckeln, och fällde igen locket. Häftet behöll hon i handen.

”Då gör vi det i morgon”, sa hon. ”Med Tobi. Han har unga ögon.”