När du använder e-handelssajter, upplever du att du enkelt kan använda starka och unika lösenord?
Efter samma forskningsdrivna slutanvändare som vi använde för Banking Edition och Social Media Edition, utforskade vi nyligen e-handel. Vi minskade vår forskningslista till de fem bästa e-handelssidorna i USA rankade efter total webbtrafik, som vi identifierade som Amazon; eBay; Walmart; Craigslist; och Etsy. Därifrån bestämde vi kriterier för att utvärdera lösenordssäkerhet, testade kriterierna och presenterar nu resultaten med ett numeriskt betygssystem.
Pandemin påskyndade näthandeln kraftigt. Denna acceleration, även om den är fördelaktig för e-handelsföretag, innebär större risker för konsumenterna eftersom mer data delas, fler användarnamn och lösenord skapas, och därefter en större attackyta för cyberbrottslingar att rikta in sig på. Men att hålla sig säker är fullt möjligt med konsekvent användning av starka och unika lösenord.
Gör dessa mycket populära e-handelssajter det möjligt? Först en översikt över våra betygskriterier.
Kriterierna som används för att bedöma lösenordssäkerhet är:
Tillåter e-handelssidan lösenord som är minst 40 tecken?
Experter rekommenderar att lösenord är starka och unika, där styrkan bäst bestäms av långa, slumpmässiga lösenord. I Hur säkert är mitt lösenord noterar vi, "Korta lösenord är mycket mer mottagliga för en brute force attack, där en dator eller skadlig programvara går igenom varje 8-siffrig kombination (eller fler) av tecken tills den hittar en matchning."
För syftet med den här övningen utvärderar vi specifikt om organisationer tillåter användare att skapa lösenord som är minst 40 tecken - ett antal vi nöjt oss med eftersom lösenordsfraser, som blir allt populärare, tenderar att vara ganska långa. Dessutom kan lösenordshanterare - som hjälper människor att skapa, lagra och hantera lösenord - generera mycket längre lösenord för ökad säkerhet som kan överskrida gränsen.
Tillåter e-handelssidan användare att klistra in och autofylla lösenord?
Det här är bra. Lösenordsklistring möjliggör användning av lösenordshanterare och autofyll möjliggör snabb och enkel inloggning.
Erbjuder e-handelswebbplatsen tvåfaktorsautentisering (2FA)?
Det här är bra. Som vi har sagt gång på gång är tvåfaktorsautentisering säkrare än att bara använda ett användarnamn och lösenord.
Tillåter e-handelswebbplatsen autentiseringsappar?
Tillåter e-handelsplatsen autentiseringshårdvara?
Dessa är båda bra. Autentiseringsappar och hårdvara lägger till extra nivåer av starkt skydd och är säkrare än SMS-meddelanden.
Skickar e-handelssidan ett e-postmeddelande som informerar användaren om en lösenordsåterställning?
Kräver e-handelssidan att användaren loggar in igen med det nya lösenordet?
Dessa är båda praktiska steg. Det är klokt att varna användare om en lösenordsändring som de kanske inte har auktoriserat. Att kräva att de loggar in igen är en säkerhetspraxis.
I bedömningen ingår ett betyg för varje företag. För att bestämma betyget tilldelade vi antingen ✅ (bra) och ⛔ (inte bra) till de sju frågorna ovan. Till exempel är 7/7 ✅ ett perfekt resultat, eller 100 %. En 5/7 är 71%, vilket definieras som "rättvist".
Nedan finns en enkel guide till betygsättningen. Nedanför ser du betygen för varje bank.
85-100%: Bra
71-84%: Rättvist
0-70%: Utrymme för förbättring
Amazon får ett perfekt betyg eftersom det uppfyller alla kriterier som möjliggör användning av ett starkt och unikt lösenord. Bland annat begränsar den inte lösenord, tillåter inklistring (en funktion som är vänlig för lösenordshanterare) och tillåter autentiseringslösningar. Detta är ett uppmuntrande betyg för världens mest populära e-handelssida.
Lösenordssäkerhet: Bra
✅ Tillåter lösenord ≥ 40 tecken
✅ Tillåter användare att klistra in lösenord
✅ Erbjuder tvåfaktorsautentisering
✅ Tillåter autentiseringsappar
✅ Tillåter autentiseringshårdvara
✅ Informerar användare om lösenordsåterställning
✅ Kräver inloggning med nytt lösenord
SÄKERHETSPOINT FÖR LÖSENORD: 100 %
eBay tillåter inte autentiseringsappar, även om användare kan utnyttja autentiseringshårdvara.
Även om det informerar användarna om en lösenordsåterställning, kräver eBay inte användare att logga in igen med det nya lösenordet.
Lösenordssäkerhet: Rättvist
✅ Tillåter lösenord ≥ 40 tecken
✅ Tillåter användare att klistra in lösenord
✅ Erbjuder tvåfaktorsautentisering
⛔ Tillåter inte autentiseringsappar
✅ Tillåter autentiseringshårdvara
✅ Informerar användare om lösenordsåterställning
⛔ Kräver inte inloggning med nytt lösenord
SÄKERHETSPOINT FÖR LÖSENORD: 71 %
Walmart har utrymme för förbättringar på ett antal fronter, men att inte möjliggöra användning av 2FA är ett allvarligt och uppenbart misstag. Medan de andra kriterierna - att tillåta autentiseringsappar, kräver en ny inloggning - är viktiga, kommer 2FA-förbättringar att gå långt för att förbättra användarsäkerheten.
Lösenordssäkerhet: utrymme för förbättringar
✅ Tillåter lösenord ≥ 40 tecken
✅ Tillåter användare att klistra in lösenord
⛔ Erbjuder inte tvåfaktorsautentisering
⛔ Tillåter inte autentiseringsappar
⛔ Tillåter inte autentiseringshårdvara
✅ Informerar användare om lösenordsåterställning
⛔ Kräver inte inloggning med nytt lösenord
SÄKERHETSPOINT FÖR LÖSENORD: 42 %
I likhet med Walmart har Craiglist också avsevärt utrymme för förbättringar när det kommer till både grunderna (så att användare kan klistra in lösenord, möjliggöra användning av 2FA) och trevliga att ha (tillåter autentiseringsappar).
Lösenordssäkerhet: utrymme för förbättringar
✅ Tillåter lösenord ≥ 40 tecken
⛔ Tillåter inte användare att klistra in lösenord
⛔ Erbjuder inte tvåfaktorsautentisering
⛔ Tillåter inte autentiseringsappar
⛔ Tillåter inte autentiseringshårdvara
✅ Informerar användare om lösenordsåterställning
⛔ Kräver inte inloggning med nytt lösenord
SÄKERHETSPOINT FÖR LÖSENORD: 28 %
Etsy, liksom Amazon, är en framstående. Den uppfyller alla grundläggande kriterier för att underlätta användningen av starka och unika lösenord, och de flesta av kriterierna för "nice to have". Företagets "bra" poäng är välförtjänt.
Lösenordssäkerhet: Bra
✅ Tillåter lösenord ≥ 40 tecken
✅ Tillåter användare att klistra in lösenord
✅ Erbjuder tvåfaktorsautentisering
✅ Tillåter autentiseringsappar
⛔ Tillåter inte autentiseringshårdvara
✅ Informerar användare om lösenordsåterställning
✅ Kräver inloggning med nytt lösenord
SÄKERHETSPOINT FÖR LÖSENORD: 85 %
Vi kan dra slutsatsen att Amazon kommer ut i toppen, följt av Etsy och eBay, med Walmart och Craigslist som slutar sist. Det finns ett par mönster vi har observerat: 4 av de 5 företagen som utvärderas här tillåter användare att klistra in lösenord, vilket är en vinst för lösenordshanterarens fans där ute. Och 3 av 5 möjliggör användning av 2FA. Även om det kan tyckas uppmuntrande, bör den siffran vara 100 % år 2022.
Det här kriteriet är förståeligt nog inte uttömmande. Men det borde ge dig en känsla av hur vänliga e-handelssajter är för användarsäkerhet och ge dig möjlighet att göra de val du behöver för att stärka din säkerhet på några av de webbplatser som kan släpa efter. Dra nytta av de möjligheter du ges. Om webbplatsen du använder inte tillåter användning av 2FA men inte begränsar lösenordslängden, se till att lösenordet du använder är starkt och unikt. Om sajten inte erbjuder 2FA men tillåter användare att klistra in lösenord, använd en lösenordshanterare - och integrera den med en 2FA-lösning!
Så hur presterade din favoritwebbplats för e-handel? Följ Bitwarden på Twitter och låt oss veta.
Är du redo att testa lösenordsdelning med Bitwarden? Kom snabbt igång med ett gratis Bitwarden-konto, eller starta en 14-dagars gratis provperiod på våra affärsplaner för att hålla ditt team säkert online.
Kom ikapp resten av serien för att se hur de bästa företagen i följande branscher klarar sig när det gäller att låta konsumenter använda starka lösenord: