Bill Gates sa i sin RSA 2004 keynote at passordets tid var snart forbi. Andre sa det samme før ham, og enda flere sier det fortsatt. “Gå over til passordløs autentisering” er blant årets “moteord” innen it-sikkerhet. Jeg sier at det finnes hverken risikoanalyser eller forretningsgrunnlag som rettferdiggjør å fjerne bruken av passord i svært mange tilfeller.

Staten selv derimot er ikke fremmed for å sende passord på standard epost via internett til både fjern og nær, noe et enkelt søk i offentlig postjournal viser tydelig.

Staten selv har lenge anbefalt å bruke to-faktor autentisering, altså å bruke noe i tillegg til bare passord, for eksempel en kode man får på sms eller fra en app. Leter man litt så finner man også en del anbefalinger i retning passordløs autentisering, dog ikke lengre enn at man bør skru det på for sine Microsoft kontoer i bedriftsøyemed.

Gjør et søk etter passord på eInnsyn portalen så finner man en del interessant. Statens kartverk sender muligens ut passord på epost, det gjør tilsynelatende også Forbrukertilsynet, Statsforvalterne for flere ulike fylker, Sivilombudet, Norsk filminstitutt, Barne-, ungdoms- og familiedirektoratet, direktoratet for medisinske produkter, Oslo kommune, Sjøfartsdirektoratet, Helsedirektoratet, Direktoratet for utviklingssamarbeid, Skattedirektoratet og Valgdirektoratet. Da har jeg bare listet funn tilbake til og med august 2025. Søker vi etter password på samme portal så kan vi legge til enda flere på listen.

Da finner vi også at Statistisk Sentralbyrå tilsynelatende har gått til anskaffelse av “Pleasant Password Server Enterprise 30 users with upgrades and support”, mens Norsk Helsenett ser ut til å ha kjøpt inn “Keeper Security Password Manager”. Informasjon som så absolutt er nyttig for en angriper å kjenne til.

Jeg har, ikke overraskende, søkt om innsyn i en rekke av disse sakene. Det er selvfølgelig heller ikke overraskende at jeg har fått avslag på stort sett samtlige innsynsforespørsler, da disse epostene anses å inneholde informasjon unntatt offentlighet.

Hvorfor har da informasjon som åpenbart bør være sikret mot innsyn blitt sendt på epost over internett?

Det er en kjensgjerning at de aller fleste ikke har på plass tilstrekkelig sikkerhet for å sende epost med “ende til ende kryptering”. Ei heller en sikkerhet som beskytter eposten mot uautorisert innsyn fra fremmede aktører på veien gjennom etablerte standarder.

Men kanskje viktigst av alt: det finnes en rekke tilstrekkelig sikre måter å dele sensitiv informasjon, inkludert passord, med eksterne utenfor egen organisasjon. Er det menneskelig feil som ligger til grunn i alle de tilfellene som er dokumentert gjennom eInnsyn, og vil staten i så tilfelle gjøre noe med det?

Det er på tide å gå fra ord til handling.