Volgens beveiligingsexpert Robert Graham zijn wachtwoorden makkelijker en sneller te kraken dan veel mensen denken. Wat hem vooral opvalt is, dat bedrijven geen goede informatie verschaffen aan medewerkers over het kiezen van een sterk wachtwoord. Om te beginnen zijn er twee soorten aanvallen: online- en offline aanvallen. Bij het eerste soort probeert de hacker, gewoon door de raden, in te loggen als het slachtoffer. Als men dan een moeilijk wachtwoord gekozen heeft, is dit geen groot gevaar, aangezien de meeste servers een account na meerdere foutieve pogingen vergrendelen.

Het echte gevaar schuilt in "offline cracking". Hackers breken in op een systeem en stelen vervolgens een versleuteld wachtwoordenbestand of gebruiken een sniffer. Daarna hebben ze alle tijd van de wereld om het wachtwoord te ontcijferen. "Hackers kunnen op deze manier miljarden wachtwoorden per seconde raden. Dat lijkt snel, maar niet wanneer je over de omvang van het probleem denkt", aldus de beveiligingsexpert. Ervan uitgaande dat een wachtwoord bestaat uit letters, nummers en symbolen, betekent dat ongeveer 100 combinaties per karakter. Een wachtwoord van vijf karakters heeft dan tien miljard combinaties. "Een hacker kan dus een wachtwoord met vijf karakters in slechts tien seconden raden". Echter, al snel stuit de hacker op problemen. Zo duurt het 1000 seconden om een wachtwoord van zes karakters te raden, één dag voor een wachtwoord van zeven karakters, 115 dagen voor acht karakters, 31 jaar voor negen karakters en het kost maar liefst 3000 jaar om een wachtwoord van tien karakters te kraken. "Dat is waarom lange wachtwoorden zo belangrijk zijn."

Methoden en tips
Aangeraden wordt om complexe wachtwoorden te gebruiken, die bestaan uit hoofd- en kleine letters, nummers en symbolen. Dat zijn honderd mogelijke combinaties per wachtwoord. Wachtwoorden die alleen uit kleine letters bestaan hebben slechts 26 combinaties per karakter. "Een hacker kan een wachtwoord van tien karakters, dat alleen uit kleine letters bestaat, binnen twee dagen kraken".

Maar hackers hebben nog met een ander probleem te maken: de "mutated dictionary" aanval. Vanwege het eerder genoemde probleem, zullen gebruikers wellicht een lang wachtwoord als "Aardvark-Zebra9" kiezen. Dit is langer dan wat een hacker met "brute-force" kan hacken. Maar ook hier zijn oplossingen voor, genaamd "dictionary attack". In plaats van alle combinaties van karakters te testen, proberen ze wachtwoorden die overeen komen met hun "woordenboek". Vervolgens muteren ze de woorden, gebaseerd op vaak voorkomende dingen die mensen doen om hun wachtwoord zogenaamd uniek te maken. "Wanneer mensen het advies krijgen om hun wachtwoorden complex te maken, voegen ze vaak iets eenvoudigs als een uitroepteken toe aan hun wachtwoord. Dit is de meest voorkomende mutatie".

Social engineering
Dan is er nog iets als mensenkennis. Wanneer een hacker persoonlijke informatie van een slachtoffer heeft, zijn de wachtwoorden ook makkelijk te raden. Stel je voor dat de naam van het doelwit "John Smith" is, hij in een "BMW" rijdt, werkt voor "Microsoft" en zijn favoriete serie "The Office" is. Een hacker googled deze termen en vervolgens creëert hij een woordenlijst aan de hand van de resultaten. "Een wachtwoord als "Carell325i" lijkt een prima wachtwoord, maar een hacker die deze man kent heeft het wachtwoord zo gekraakt."

Dus, hoe ben je hackers dan te slim af? Niet alle hackers zijn professioneel. Hoe gecompliceerder het geheel is, hoe minder kans van slagen ze hebben. Ze zullen de nummers aan het einde van het wachtwoord checken, maar zolang dit niet je geboortedatum of 1234 is, loopt de gebruiker geen groot gevaar. "Een internationaal karakter toevoegen, zoals een umlaut, stuurt de meeste hackers gegarandeerd de mist in", besluit Graham zijn verhaal.

Update: De redactie was niet wakker, het betreft natuurlijk karakters en geen cijfers