betreft: https://www.security.nl/posting/490722/Expert%3A+Gebruik+wachtwoord+van+minstens+32+karakters Ha, antwoorden, fijn! :-) En meer vragen en kritiek ook?... Terecht! Hier mijn nieuwe bijdrage over dit onderwerp: Uit: http://www.faqs.org/rfcs/rfc2104.html: "The cryptographic strength of HMAC depends on the properties of the underlying hash function." Een hash met HMAC berekenen doet men als volgt: H(K XOR opad, H(K XOR ipad, text)). Hierin is "H" de gebruikte hashfunctie. Dus in geval van HMAC.SHA1 zoals gebruikt in PBFKDF2 (in WPA2): (waarbij K wordt verondersteld het wachtwoord te zijn, en "text" de SSID, zie: http://stackoverflow.com/questions/2465690/pbkdf2-hmac-sha1, krijgen we dan dus: SHA1(password XOR opad, SHA1(password XOR ipad, SSID)) Uiteindelijk is HMAC-SHA1 dus ook maar gewoon een ordinaire SHA1 hash van één of ander "door elkaar geschud" gegeven. Voor verkrijgen van maximale security: "In any case the minimal recommended length for K is L bytes (as the hash output length)" (dit ...