Tja, als iemand zijn inloggegevens lekt dan kun je een wachtwoord van 50 karakters hebben met een entropy van 1000bits maar helaas pindakaas, het gaat niemand tegen houden. Helaas is 2fa ook niet zaligmakend want ook daar valt omheen te klussen. Het probleem is het gedrag van de gebruikers en de soms stompzinnige wijze waarop het beheer is ingericht. Leverancier op je omgeving laten inloggen met alleen username/pass? Onder welke steen heeft beheer gelegen als ze dat nog toestaan? Dat een wachtwoord vaak moet worden gewijzigd is ook maar security by obscurity want mensen hebben nu eenmaal een slecht geheugen en gaan het wachtwoord ergens opschrijven of herbruiken het vorige wachtwoord maar zetten er een cijfer 2 achter i.p.v. van de cijfer 1 die er eerder stond. Dat heet het paard achter de wagen spannen in vaktermen. Beter is het om alle wachtwoorden op een bepaald moment te laten vervallen, zodat gebruikers een nieuw wachtwoord moeten opstellen, maar de kwaliteit van de nieuw in te voeren wachtwoorden door ...