"Wachtwoord sterretjes noodzakelijk kwaad"
De opmerking van beveiligingsgoeroe Bruce Schneier dat het afschermen van wachtwoorden met sterretjes onzinnig is en moet stoppen, heeft voor verhitte discussies gezorgd. Twee Britse virusbestrijders zijn het er in ieder geval niet mee eens. Volgens Schneier en Jakob Nielsen heeft het tonen van de wachtwoorden als gebruikers die invoeren tal van voordelen en zou schoudersurfen geen echt probleem vormen.
Trend Micro's Rik Ferguson vraagt zich af of schoudersurfen werkelijk geen probleem is en ziet graag bewijs voor de uitspraak van Schneier. "Het grootste gedeelte van het kantoorpersoneel is niet gelukkig genoeg dat ze veilig in hun eigen kamer zitten." Ferguson herinnert zich de kantoren waar hij werkte en hoeveel schermen daar direct zichtbaar waren. Er was daar volgens hem voldoende gelegenheid om wachtwoorden af te kijken. Daarnaast is hier mogelijk sprake van een kip-ei situatie. Doordat wachtwoorden gemaskeerd zijn, vindt er ook weinig schoudersurfen plaats.
Deurslot
Het maskeren van wachtwoorden is dan ook de slimste keuze, aangezien het de veiligste optie is en "standaard veilig" is het doel voor zowel systeem als infrastructuur ontwerpen. Daarbij wijst Ferguson naar Schneier, die zelf aangaf dat systemen standaard veiliger horen te zijn. "Het is lastig om dat standpunt te verenigen met de mogelijkheid om gebruikers het maskeren van hun wachtwoord uit te laten zetten." Daarnaast zijn de sterretjes ook handig voor het verslaan van malware die screenshots van het scherm maakt. Een manier die Trojaanse paarden gebruiken om virtuele toetsenborden te omzeilen.
"Als het maskeren van wachtwoorden een systeem minder bruikbaar maakt, dan moet ik misschien ook het slot van mijn voordeur verwijderen? Het is vreselijk onhandig om mijn sleutel uit mijn jas te vissen als ik mijn handen vol boodschappen heb."
Browser keuze
Graham Cluley van Sophos is het met Ferguson eens. Het is vervelend als je ergens bent om in te loggen terwijl er anderen in de buurt zijn, ook al zijn dit je vrienden. "Stel ik ben bij mijn vriend en wil snel even mijn webmail lezen. Natuurlijk is hij mijn vriend en verwacht ik niet dat hij zich misdraagt, maar ik vind niet dat ik mijn wachtwoord met hem moet delen."
De grootste fout die Schneier en Nielsen volgens Cluley maken, is dat het niet de websites zijn die de wachtwoorden maskeren, maar de browser die de HTML van de website interpreteert en vervolgens maskeert.
Off topic denk ik echter dat dit meer een andere wens blootlegt, de wens om eindelijk eens een betere manier van authenticatie te vinden zodat we van die wachtwoorden af zijn ;)
Dit snap ik niet helemaal. Kun je dit nader toelichten, want je zou juist in de Amerikaanse situatie van Cubicles schoudersurfen verwachten. Of ben jij in de Europese situatie alleen maar grote open ruimtes gewend, i.p.v. kleinere kamers?
Kan in veel gevallen wel maar niet als je de gegevens niet kan onderscheppen.
"Frl"
Schneier heeft ook gelijk. Als je complexe wachtwoorden wilt gebruiken, van +20 karakters. Dan is dat veel gemakkelijk als je kunt lezen wat je typt. Dat is vooral nuttig bijv. voor het eenmalig openen van een encrypted volume, of bijv. als je een master password voor je webbrowser eenmalig invoert. Je kunt dan zelf even in de gaten houden of niemand kijkt.
En ik denk ook dat Schneier op een ander meer theoretisch oogpunt bekijkt: als je fysiek kunt observeren wanneer iemand inlogt, dan is je security zowieso al in gebreke: iemand die determined is, kan opnemen wat je intypt. Ook al is dit moeilijker, het is zeker niet onmogelijk. En dus geeft in theorie de sterretjes een vals gevoel van veiligheid. Met Schneier's crypto achtergrond, vermoed ik dat hij hiermee een discussie wil aanroepen, dat het gebruik van wachtwoorden alleen op die manier zowieso onveilig is.
Als je ook kijkt naar de feasibility van het opnemen van input keys, dan is dat vele malen eenvoudiger dan het breken van de hash.
Het lijkt erop dat velen zijn mening te ernstig opvatten. Schneier roept echt niet zo maar wat. En hij heeft gewoon gelijk dat er situaties zijn waarin het maskeren van een wachtwoord eerder avenrechts werkt. Want mensen bedenken daardoor eenvoudige wachtwoorden. Althans, dat is het vermoeden, en zou onderzocht moeten worden.
Ik ben het niet eens met het malware argument. Als je malware op je PC hebt die screenshots maakt, dan heb je al verloren. Als het niet met screenshots is, dan kan malware op andere manieren wel je wachtwoorden stelen.
In z'n blog post maakt schneier duidelijk de opmerking dit niet aan te raden voor pin automaten.
"Frl"
Hij heeft gewoon een blog waar hij een klein stukje wijd aan het ondersteunen van iemands mening. Lees eerst z'n post voordat je zelf gaat "zeiken" over schneier's opmerking in dit artikel. Bovendien is hij niet degeen die het zo uit z'n verband trekt, maar dat zijn de felle tegenstanders van een eenvoudig idee.
Bovendien is niet iedereen het met je eens dat dit een zinloze discussie is, zoals je ook ziet aan de reacties.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
