IT-personell får ikke lagre passord og MFA (2FA) i samme elektroniske passordbehandler (password manager). Kravet gjelder både for primær- og driftskonto.
Det åpnes ikke for lagring av passord i nettleseres innebyggede passordbehandlere.
Først - masterpassord
Felles for alle elektroniske passordbehandlere er at de skal sikres med et passord/passordfrase som er minst like sikker som det mest sensitive passordet som oppbevares i den, og at masterpassordet kun skal benyttes til dette formålet. Biometri (fingeravtrykk eller Face ID) er tillatt for å låse opp passordbehandlere.
Elektroniske passordbehandlere med multiplattform-støtte
Dette er passordbehandlere som er tilgjengelig på flere plattformer, og som muliggjør synkronisering av vault (inneholdende hemmelighetene) mellom dine ønskede enheter (gjerne via en skytjeneste).
Enpass
Enpass er et populært program for oppbevaring av passord, passkeys og tofaktor, samt andre hemmeligheter. Klienter er tilgjengelig for Android, iOS, iPadOS, Linux, macOS og Windows.
Vaultene hvor hemmelighetene lagres, kan du lagre på et tilgangsstyrt område (et område som ikke er åpent og under din kontroll), og krypteres med et overfornevnt masterpassord. Dersom du ønsker at hemmelighetene skal være tilgjengelig på flere enheter, anbefales det at vaultet med hemmeligheter fortrinnsvis lagres på share.uio.no for IT-ansatte, og ellers i Onedrive.
Merk at Enpass er gratis for mobiltelefoner for opp til 25 passord, mens Desktop-versjonen kan holde rede på ubegrenset antall passord. Gratis versjonene har begrenset funksjonalitet og anses tilstrekkelig for bruk ved UiO. Ønsker du å bruke Enpass til formål ut over dette og det må tegnes abonnement, dekkes ikke kostnaden av UiO.
GnuPG
Denne finnes i de fleste Linux-distribusjoner, samt for macOS og Windows. Den kan benyttes for å kryptere filer, og passordbeskytte dem. Merk! Bruken fordrer at en behersker GPG (lagring av nøkler på sikkert sted, tilfredstillende passordfraser osv.).
Pass er en kommandolinjepakke rundt GPG (GNU Privacy Guard) som kan brukes.
KeePass / KeePassXC
Er en anerkjent løsning med åpen kildekode for elektronisk oppbevaring av passord.
Hemmelighetene kan lagres på et tilgangsstyrt område (et område som ikke er åpent og under din kontroll), og krypteres med et overfornevnt masterpassord. Dersom du ønsker at hemmelighetene skal være tilgjengelig på flere enheter, anbefaler vi at vaultet med hemmeligheter fortrinnsvis lagres på share.uio.no for IT-ansatte, og ellers i Onedrive.
Ønsker du å bruke kommersielle versjoner av KeePass, dekkes ikke kostnaden av UiO.
Merk at KeePassX ikke lenger utvikles, og er derfor ikke er godkjent.
ssh-keygen / ssh-agent
SSH-keygen og SSH-agent er godkjent i form av at de lagrer og håndterer nøkler ved bruk av ssh.
Password (Keychain Access) for Apple enheter (og Windows)
Apple-enheter kommer med Passord/Password (et innebygget program i operativsystemet for oppbevaring av passord, passkeys og MFA). Selve oppbevaringen skjer i Keychain Access (lokalt vault) med synkronisering av vaultet via iCloud Keychain. Dette gjør at passordene, passkeys og MFA-oppsett synkroniseres til alle dine Apple-enheter. Løsningen kan også brukes på Windows.
På Apple-enheter bes du bruke biometri (fingeravtrykk eller Face ID) for å få tilgang til lagrede hemmeligheter.
Merk! Password (Keychain Access) er ikke godkjent brukt for UiO data på enheter som ikke er personlige (dvs. enheter som brukes av flere).
Bitwarden
Bitwarden er en multiplattform klient basert på åpen kildekode. Klienten finnes i en gratis versjon med begrenset funksjonalitet (Android, iOS, Linux, macOS og Windows). For å få tilgang til full funksjonalitet kreves det abonnement.
Merk! Versjonen som er gratis anses som tilstrekkelig for bruk ved UiO. Ønsker du å bruke Bitwarden til formål ut over dette og det må tegnes abonnement, dekkes ikke kostnaden av UiO.
Linux
Seahorse er et grafisk grensesnitt for GNOME Keyring (og er innebygd i noen Linux-distribusjoner). Klienten kan hjelpe deg med å administrere passordene dine, krypteringsnøklene og Secure Shell (SSH)-nøklene dine.
Skal denne klienten benyttes så skal det lages en separat nøkkelring for priviligerte passord, slik at disse ikke låses opp med ditt vanlige passord.
Hva med andre tjenester?
Vi får ofte spørsmål om hvorfor andre enkelttjenester ikke er godkjent for UiO-bruk. Det er tre hovedårsaker til dette:
- Det er flere tilbydere som ikke har oppgitt nok informasjon til at vi tilstrekkelig kan vurdere sikkerheten i tjenesten. Disse kan også ha en historikk med datalekkasjer som gjør det risikabelt å ta dem i bruk ved UiO.
- Det er en fordel at brukere ved UiO bruker så få forskjellige tjenester som mulig. Det oppdages med jevne mellomrom sårbarheter i tjenestene. Jo flere tjenester som er i bruk, jo mer arbeid vil gå med til å overvåkning, kommunikasjon og opprydning.
Ta kontakt med Seksjon for arbeidsflater hvis nye programmer ønskes vurdert. Seksjonen vil sammen med IT-sikkerhet vurderer årlig om listen over godkjente tjenester skal oppdateres.