Facebook noemt sterke wachtwoorden zwak
Websites zoals Facebook, PayPal, Yahoo! en eBay noemen sterke wachtwoorden zwak, terwijl ze zwakkere wachtwoorden wel toestaan en zelfs sterk noemen. Dat blijkt uit onderzoek door Dan Wheeler. Hij registreerde zich bij verschillende webdiensten met de wachtwoorden qwER43@!, Tr0ub4dour&3 en correcthorsebatterystaple. Deze wachtwoorden zijn afkomstig van een bekende XKCD-strip over wachtwoorden. Passphrases, oftewel wachtwoorden die uit meerdere woorden bestaan, zijn vanwege het aantal karakters veel sterker dan een kort wachtwoord met speciale tekens.
Ontwikkelaars van tal van webdiensten zijn echter niet bekend met het concept van passphrases en de bescherming die dit biedt. Van de drie wachtwoorden die Wheeler gebruikte is correcthorsebatterystaple het sterkst. PayPal, Facebook en Yahoo! noemen het een zwak wachtwoord, terwijl eBay, Citibank en de Bank of America het wachtwoord niet eens toestaan.
Google noemt de passphrase "good", maar bestempelde qwER43@! als 'strong', terwijl dit over het algemeen als een zwak wachtwoord wordt beschouwd.
Een dictionary attack lijkt me juist vele malen effectiever bij wachtwoorden (passphrase) zoals correcthorsebatterystaple.
Als we dan gaan kijken naar brute force, dan zijn inderdaad de kortere wachtwoorden met speciale tekens beter, toch?
Dan zou een passphrase met speciale tekens en opzettelijke typfouten toch het beste moeten zijn.
Correct me if i'm wrong!
Liever een passphrase met ook cijfers en hoofdletters; dat is volgens mij ook wat "moeder" Certified Secure aanraadt
In sommige gevallen gelukkig wat meer, maar een sha512sum van een bestand als wachtwoord gebruiken gaat hem helaas vrijwel nergens worden.
Het bekende XKCD stripje geeft voor het wachtwoord Tr0ub4dour&3 een entropie van 28 bits - wat kennelijk te kraken is in 3 dagen. Het 'correcthorsebatterystaple ' wachtwoord - alhoewel minder complex maar met meer tekens, zou een entropie hebben van 44 bits en dus veel lastiger.
Wikipedia heeft een heel stuk over de entropie van wachtwoorden op http://en.wikipedia.org/wiki/Password_strength#Random_passwords.
Theoretisch - bij volledig willekeurige wachtwoorden - geldt per karakter bij gebruik van de complete ascii set dat de entropie 6 1/2 bits is. Mijns inziens zou Tr0ub4dour&3 dan (12 karakters lang) een sterkte hebben van ongeveer 78 bits. Het wachtwoord correcthorsebatterystaple (25 letters) heeft door gebruik van alleen de lower-case karakters een entropie van 4.7 bits per karakter dus in totaal ongeveer 120 bits.
Hoeverre je dit woordenboek kan noemen, vaak is het gewoon een lijst in een bestandje met de meeste voorkomende "wachtwoorden". Dus die pakt ook speciale tekens als een "woord" dit bevat uit de lijst.
Maar goed deze aanvallen werken vaak met één woord, niet vier willekeurige woorden. Dus als je Bruteforce aanval uitvoert waarbij hij alle tekens gebruikt zal dus een langere wachtwoord veel effectiever zijn. Deze meneer heeft dus 100% gelijk wat hij zegt, best stom eigenlijk als ik er nu over nadenk dat ik ook minstens 2 soorten tekens gebruik bij mijn wachtwoorden terwijl ik beter veel langere wachtwoorden kan gebruiken.
Je kunt als ontwikkelaar nooit tegen wordlists van bekende wachtwoorden checken, die verlopen veel te vaak, en zijn dus niet te onderhouden. Je kunt alleen checken of een wachtwoord voldoende entropie bevat, zodat een aanvaller veel te veel tijd kwijt is om een wachtwoord te kraken. De (oude) regels om speciale tekens te vereisen zijn tegenwoordig niet meer zo effectief omdat password cracking tools daar rekening mee houden. Uit een recente hack bleek dat wachtwoorden als G1rlp0wer! ook niet zo effectief meer zijn. Daardoor is het ook een stuk lastiger geworden om te controleren of een wachtwoord veilig is of niet.
Pak een aantal woorden en zet er ook speciale tekens tussen :)
Als Facebook, PayPal, Yahoo! en eBay bij iedere wachtwoord zou zeggen dat het zwak is dan hebben ze gelijk.
Greetingz,
Jacco
Pak een aantal woorden en zet er ook speciale tekens tussen :)
Dat voegt weinig toe. 'correct horse battery staple' heeft een search space van 3.9 * 10^49. 'corr 12 hor #$ batte ^& stap' wat evenveel karakters kent, maar ook cijfers en leestekens (en wat veel moeilijker te ondhouden is) is 'maar' 100 keer moeilijker te raden (search space 3.12 * 10^51)
Hoop geetter voor relatief weinig winst. Het toevoegen van een enkel woord maakt de search space 10^14 keer groter. 'correct horse battery staple factory' heeft een search space van 5.73 * 10^63. Nauwelijks moeilijker te onthouden, veel meer werk voor iemand die wil brute-forcen.
Een van de weinige keren dat lengte wel uitmaakt. Langer is beter dan complex, tenzij we overstappen op Koreaans (met 11.172 'letters' in hun 'alfabet'.)
Die wachtwoorden zijn juist heel sterk, mits je daadwerkelijk compleet willekeurige woorden neemt; in de engelse taal zijn er zo'n miljoen woorden; dus dat maakt (10^6)^4=10^24 combinaties. Laat daar maar een dictionary attack op los, dan duurt het nog een eeuwigheid.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
