Websites en bedrijven die denken dat het beter is om een kort, maar ingewikkeld wachtwoord te hebben in plaats van één die lang en eenvoudig is, slaan de plank volledig mis, zo beweert security expert Roger Grimes. Grimes moest van het bedrijf dat zijn aandelen beheert een nieuw account aanmaken. Standaard gebruikt Grimes wachtwoorden van 31 karakters lang.

Op die manier is het lastig om te raden en kan het wachtwoord zelfs een brute force aanval overleven. Voor zijn nieuwe account moest Grimes precies zes karakters invoeren, die ook nog eens complex moesten zijn. Hij is blij met mensen die complexe wachtwoorden van zes tot negen karakters hebben. Als hacker maakt dat zijn leven een stuk eenvoudiger.

Een simpele rekensom laat namelijk zien dat je bij een lang wachtwoord veel meer mogelijkheden hebt dan bij een kort wachtwoord. Zeker tot negen karakters is het nog te doen om een wachtwoord te hacken, maar vanaf 10 karakters wordt het een stuk moeilijker. Mensen die hun wachtwoord willen verbeteren doen er dan ook verstandig aan om complexe karakters te laten voor wat ze zijn en gewoon voor een lang wachtwoord te gaan. Een lang en complex wachtwoord is de beste optie, maar vaak moeilijk te onthouden.

Grimes is zelfs een wedstrijd gestart waarbij deelnemers een complex wachtwoord van 10 letters en een eenvoudiger wachtwoord van 15 karakters moeten kraken. Voor de echte diehards is er ook een redelijk complex wachtwoord van 15 karakters. Grimes laat weten dat het 10 karakter wachtwoord waarschijnlijk eerder gekraakt zal zijn dan het langere en eenvoudigere wachtwoord.

Bill Burr van het National Institute of Standards and Technology (NIST) schreef dit artikel over het berekenen van de sterkte van een wachtwoord.