Onderzoek: veel consumenten met wachtwoord van 10 jaar oud
Ondanks allerlei adviezen blijken internetgebruikers nog altijd zelden hun wachtwoord te wijzigen. Zo gebruikt één op de vijf consumenten wachtwoorden die 10 jaar of ouder zijn, zo blijkt uit onderzoek onder 2.000 Amerikanen en Britten. Het gaat in dit geval om wachtwoorden die al bestaan voordat er diensten als YouTube en Twitter verschenen. Verder blijkt dat bijna de helft (47%) een wachtwoord gebruikt dat al vijf jaar niet is aangepast.
Daarnaast geeft 73% aan dezelfde wachtwoorden voor meerdere accounts te gebruiken. Gemiddeld gebruiken consumenten slechts zes unieke wachtwoorden om 24 online accounts mee te beveiligen. Om accounts te beveiligen adviseren experts vaak om twee-factor authenticatie (2FA) in te schakelen, waarbij er naast het wachtwoord een aanvullende code moet worden ingevuld, die bijvoorbeeld via sms wordt verkregen. 61% van de mensen weet echter niet wat 2FA is.
- DigID ( en alles dat daarmee werkt) is op dit moment een van de weinige inlogs, die ik bij met 2FA moet/kan gebruiken.
- Bankieren: ING en SNS hebben elk hun eigen methode, geen 2FA zijnde.
- Winkelen op het Web: van de webshops die ik met enige regelmaat bezoek is mij geen enkele bekend die 2FA gebruikt.
- Forums: idem, geen enkele van de ca 10 forums waar ik kom gebruikt 2FA. Die forums kunnen trouwens meestal via een cookie onthouden dat je aangemeld bent.
Twitter en Facebook gebruik ik niet, maar het lijkt me lastig elke keer als je in je Facebook iets wilt schrijven een 2FA te moeten gebruiken.
Voor een doorsnee PC-gebruiker zal de term "twee-factor authenticatie" eigenlijk niets zeggen, zelfs al gebruken ze dat wél bij DigID.
Voor beheerders van servers ed. ligt dat natuurlijk anders cq zou de inlog strikter moeten zijn, maar ook die laten nog wel eens een geeltje met het password op een monitor hangen.....
10 jaar lang hetzelfde password is natuurlijk niet echt slim, maar ik denk dat het huidige gevaar toch vooral zit in hetzelfde password gebruiken voor bankieren als voor webshops ed. en in het maar klikken op bijlages of links in (spam-)mails!
Hoe zorg je dat gebruikers hun wachtwoord wijzigen ? Is dat enkel door awareness, of ook door een goede security policy, waarbij gebruikers gedwongen worden om na een bepaalde tijd een nieuw wachtwoord te kiezen ?
Natuurlijk een goede tip, maar komen diezelfde experts niet tevens op het idee om wachtwoord te laten verlopen ?!
Een erg kort wachtwoord?
- DigID ( en alles dat daarmee werkt) is op dit moment een van de weinige inlogs, die ik bij met 2FA moet/kan gebruiken.
- Bankieren: ING en SNS hebben elk hun eigen methode, geen 2FA zijnde.
- Winkelen op het Web: van de webshops die ik met enige regelmaat bezoek is mij geen enkele bekend die 2FA gebruikt.
- Forums: idem, geen enkele van de ca 10 forums waar ik kom gebruikt 2FA. Die forums kunnen trouwens meestal via een cookie onthouden dat je aangemeld bent.
Twitter en Facebook gebruik ik niet, maar het lijkt me lastig elke keer als je in je Facebook iets wilt schrijven een 2FA te moeten gebruiken.
Voor een doorsnee PC-gebruiker zal de term "twee-factor authenticatie" eigenlijk niets zeggen, zelfs al gebruken ze dat wél bij DigID.
Voor beheerders van servers ed. ligt dat natuurlijk anders cq zou de inlog strikter moeten zijn, maar ook die laten nog wel eens een geeltje met het password op een monitor hangen.....
10 jaar lang hetzelfde password is natuurlijk niet echt slim, maar ik denk dat het huidige gevaar toch vooral zit in hetzelfde password gebruiken voor bankieren als voor webshops ed. en in het maar klikken op bijlages of links in (spam-)mails!
Ik ben bang dat je het concept 2FA dan niet helemaal heb begrepen,
Iets wat je hebt,
iets wat je bent
Iets wat je weet
Bij SNS heb je een pincode en een token nodig ( weet en hebt)
(of wchtwoord en TAN, maar dat is inderdaad verouderd en op het randje van..)
Voor google (gmail etc) kan je TFA inschakelen
En op veel service kan je met een pass through (oauth2 meestal) inloggen via een dienst die wel 2FA instelbaar heeft.
Voordeel is dat je op dergelijke fora geen wachtwoorden hebt staan, en dat deze dus ook niet gestolen kunnen worden.
een SMS sturen is maar een manier voor TFA en nog eens een van de slechtse ook omdat deze veelal op hetzelfde aparaat binnenkomen als waar je de site/app in de eerste plaats mee bezoekt.
DigiD is trouwens het schooklvoorbeeld van hoe TFA dus NIET werkt..
Als je TFA hebt ingesteld, kan je ook gewoon inloggen met User en Password alleen!
Een broodje aap dus!
TFA wordt niet afgedwongen daar...
Maar goed..
Het zou veel vaker gebruikt moeten worden!
Als je TFA hebt ingesteld, kan je ook gewoon inloggen met User en Password alleen!
Een broodje aap dus!
TFA wordt niet afgedwongen daar...
Het staat er wel als aanvink mogelijkheid maar dat werkt dus niet je moet alsnog met 2FA aanmelden.
Het grootste probleem in het hele wachtwoord fiasco zijn de beheerders.
Het grootste probleem in het hele wachtwoord fiasco is het feit dat we ze in cleartext opsturen naar iedere site die daar om vraagt .Fixed that for you.
Een zero-knowledge-protocol (http://srp.stanford.edu/) zou al veel schelen. Het zat al in sommige browsers maar niet in alle. Daarom kozen de sitebouwers voor het meest compatibel protocol: cleartext passwords. Dat werkte overal. Met de bekende gevolgen.
Ik noem dit de 'Toxic Combination': http://eccentric-authentication.org/blog/2014/11/30/spot-the-differences.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
