En lösenordshanterare är programvara som hjälper användaren att hantera lösenord och PIN-koder . Sådan programvara har vanligtvis en lokal databas eller filer som innehåller krypterade lösenordsdata. Många lösenordshanterare fungerar också som formulärutfyllare, vilket innebär att de fyller i användarfältet och lösenordsdata automatiskt på formulär. De implementeras vanligtvis som en webbläsartillägg.
Lösenordshanterare delas in i tre huvudkategorier:
Lösenordshanterare kan också användas som nätfiskeskydd . Till skillnad från människor kan lösenordshanteraren hantera ett automatiserat inloggningsskript som är immunt mot visuella imitationer som ser ut som webbplatser, det vill säga genom att klicka på en tvivelaktig länk till en nätfiskesida, kommer lösenordshanteraren inte att ersätta inloggningslösenordet i inmatningsformulären, och användaren kommer att förstå att sidan är falsk. Med denna inbyggda fördel är det fördelaktigt att använda en lösenordshanterare även om användaren bara har några få lösenord att komma ihåg. Men inte alla lösenordshanterare kan automatiskt hantera de mer komplexa identifieringsprocedurerna som många bankwebbplatser kräver.
Lösenordshanterare använder vanligtvis ett användarvalt huvudlösenord, eller lösenordsfras, för att bilda en nyckel som används för att kryptera lagrade lösenord. Detta huvudlösenord måste vara tillräckligt komplext för att motstå attacker från inkräktare (som brute force ).
Om huvudlösenordet är knäckt kommer alla lösenord som är lagrade i programmets databas att avslöjas. Detta visar det omvända förhållandet mellan användbarhet och säkerhet: ett enda lösenord kan vara bekvämare, men om det äventyras kommer det att äventyra alla lagrade lösenord.
Huvudlösenordet kan också attackeras och upptäckas med en keylogger eller akustisk kryptoanalys . Ett sådant hot kan mildras genom att använda ett virtuellt tangentbord , som i KeePass .
Vissa lösenordshanterare inkluderar en lösenordsgenerator. Genererade lösenord kan gissningsbara om inte lösenordshanteraren använder en kryptografiskt säker slumptalsgenerator .
En lösenordshanterare online är en webbplats som lagrar inloggningsuppgifter säkert. Detta är alltså nätverksversionen av den vanliga skrivbordslösenordshanteraren.
Fördelarna med lösenordshanterare online framför stationära versioner är portabilitet (de kan användas på vilken dator som helst med en webbläsare och internetanslutning, utan att behöva installera programvara) och mindre risk för att förlora lösenord genom stöld eller skada på datorn. Risken för skador kan reduceras avsevärt om säkerhetskopior görs i förväg .
Den största nackdelen med lösenordshanterare online är att du måste lita på webbplatsens värd . Upprepade hack och förlust av centralt lagrad information på servern inger inte förtroende.
Det finns blandade lösningar. Ett antal resurser, såsom FortNotes [1] , som tillhandahåller onlinelagringstjänster för lösenord och annan hemlig data, distribuerar källkoderna för dessa system. Möjligheten att granska koden och installera ett sådant system på en server som skyddas av en brandvägg eller på en server som inte har direkt tillgång till Internet gör att du kan lösa problemet med eventuell datakompromering.
Att använda en webbaserad lösenordshanterare är ett alternativ till Single Sign On -teknik som OpenID eller Microsofts Windows Live ID och kan användas som en tillfällig åtgärd tills en bättre metod antas.
Det finns även lösenordshanterare med barriärskydd. I det här fallet är användarens Internetkonto som helhet skyddat. Skyddsperimetern är byggd från motverkan till keyloggers och skärmspioner, och slutar med skydd mot förfalskning av IP-adressen för en nätverksresurs. Google Public DNS används för nätverksskydd och antispionprogram tillhandahålls genom automatisk ersättning av auktoriseringsdata i webbformulär.