"Drie wachtwoorden voldoende voor consument"
Internetgebruikers hoeven slechts drie wachtwoorden te onthouden om al hun online accounts en gegevens te beschermen, aldus beveiligingsexpert Robert Graham. Hij reageert op het lek van 860.000 wachtwoorden van Stratfor-klanten. Volgens sommige berichten zou dit aantonen dat zelfs experts zwakke wachtwoorden kiezen en dat het verstandig is om lange, complexe wachtwoorden te gebruiken.
"Dat is fout advies. Je wachtwoord voor een gratis of goedkoop Strafor account hoeft niet complex te zijn, omdat er weinig te verliezen valt als hackers het raden", aldus Graham. Het belangrijkste is volgens hem dat het wachtwoord uniek is. "De meeste websites zijn net als Stratfor en zijn slecht beveiligd." Informatie die gebruikers op dit soort sites achterlaten wordt volgens Graham vroeger of later door hackers gestolen. Wordt het hier gebruikte wachtwoord ook voor andere accounts gebruikt, dan zullen de aanvallers ook die accounts kapen.
Drie
Graham verdeelt de websites op het internet in drie lagen. De belangrijkste laag is het e-mailaccount. "Als je e-mailaccount wordt gehackt, kunnen hackers de wachtwoorden van al je andere accounts resetten." Dit wachtwoord moet volgens de expert complex zijn en niets met andere accounts te maken hebben.
De tweede laag zijn grote webwinkels, zoals Amazon.com en Apple.com. "Deze grote websites worden waarschijnlijk niet gehackt. Je kunt waarschijnlijk hetzelfde wachtwoord voor al deze accounts gebruiken."
De laatste en minst belangrijke laag is voor websites zoals Stratfor, merkt Graham op. "Waar het geen ramp is als je wachtwoord verloren raakt. Je zou een eenvoudig wachtwoord zoals passwd1234 voor al deze accounts kunnen kiezen. Het wordt waarschijnlijk binnen een jaar gestolen, maar wat boeit het?"
Uniek
"Je hebt dus echt maar drie wachtwoorden voor elke laag nodig, dus zoveel moeite is het niet." Voor extra bescherming adviseert Graham om het wachtwoord uniek te maken, bijvoorbeeld bij de derde laag. Gebruikers zouden in dit geval de domeinnaam als wachtwoord kunnen gebruiken. "Bijvoorbeeld 'passwdStratfor1'. Als een hacker inbreekt en een geautomatiseerd script draait om te zien of je wachtwoord uniek is, zal het script geen match op andere sites vinden."
Een hacker die het wachtwoord handmatig controleert zal het "schema" ontdekken, maar met een lek van 860.000 wachtwoorden is het onwaarschijnlijk dat iemand elk wachtwoord handmatig naloopt.
"Samengevat, je eerste wachtwoord moet niet complex, maar uniek zijn. Als hackers een website zoals Stratfor hacken en ontdekken dat je wachtwoord 'password1' is, hoef je je niet te schamen. Je moet gewoon zeggen dat je Stratfor account je niets kan schelen en dat het wachtwoord niet bij je belangrijke accounts te gebruiken is."
Dus indien men Apple hackt, en mijn credentials steelt, dan is het geen probleem indien men vervolgens spullen bestelt met mijn Amazon account ?
Misschien moet ik ook maar een zelfbenoemd expert worden zodat ik overal mijn ondoordachte ideeën op nieuws sites kan krijgen, das nog interessanter als die zelfde ideeën in een reply op een bericht van een andere zelfbenoemde expert natuurlijk.
Overigens, als je kijkt naar de kwaliteit van gebruikerswachtwoorden sta je soms versteld. Mensen die 4 cijfers gebruiken (wat ooit een oude inlogcode was bijvoorbeeld), of iets als "muziek" ofzo. Als ze daar eens vanaf stapten en 3 xkcd.com/936 wachtwoorden gebruikten waren er heel veel hacks de wereld uit.
Persoonlijk pas ik ongeveer hetzelfde toe als hierboven beschreven staat, maar dan met een stuk of 11 wachtwoorden. Simpele sites zonder https-login krijgen simpele wachtwoorden, de wat zwaarder beveiligde sites wat beters en bijv. mijn eigen server weer wat beters.
En de personen waarvan de accounts gehackt zijn, zijn ook nu niet echt oninteressante mensen. Best handig om daar bijvoorbeeld een e-mail adres van te hebben. Journalist, politicus, hoge ambtenaar. Ook al weet je het wachtwoord van hun e-mail adres dan weer niet omdat die dan weer wel veilig is.
Gebruik dan liever een password manager. Zoals die standaard in OS X zit. Of schrijf het op en stop het in een kluis bij je andere waardevolle spullen. Zo vaak hoef je ook weer niet overal in te loggen. Dan heb je tenminste een overzicht van al je accounts.
Als ze nu gewoon eens keychains/managers gaan promoten op dat het gebruiksgemak geeft (laat het hele veiligheid verhaal voor wat het is voor de leek) dan zien gebruikers vanzelf dat dit hun tijd bespaart omdat ze geen wachtwoorden meer hoeven te onthouden (op de keychain pw na dan) en zijn ze onbewust hun eigen en andermans veiligheid op het web aan het versterken. Keyloggers wordt een stuk lastiger wachtwoorden zijn niet meer gebonden aan iets wat onthouden moet worden.
De enige dwarsbomer dan zijn nog de sites/diensten die vaak belachelijk simpele wachtwoordbeleids hanteren. Zoals Strafor klaarblijkelijk.
Nee dank je ik hou het bij mijn 80+ wachtwoorden met gezondverstand. Hoef ik teminste als er weer een bedrijf is dat blundert niet alle sites handmatig een wachtwoord te veranderen uit het risico dat ze het kapen.
In de praktijk merk ik wel dat het soms moeilijk is een strakke scheiding tussen de lagen aan te brengen. Dit leidt er soms toe dat ik bij het uitproberen van het juiste wachtwoord uiteindelijk ook wachtwoorden van een hogere laag ga proberen. (mede) Om die reden wil ik in elk geval voor de onderste laag gaan overstappen op een programma als keypass.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
