Britse geheime dienst: complexe wachtwoorden helpen niet
Complexe wachtwoorden helpen niet om aanvallers af te slaan, maar maken wel het leven van gebruikers veel lastiger. Er moet daarom anders met wachtwoorden worden omgegaan, zo adviseert de Communications and Electronics Security Group (CESG), onderdeel van de Britse geheime dienst GCHQ.
In een nieuw advies stelt de CESG dat veel wachtwoordadviezen, waaronder die de Britse geheime dienst zelf heeft gegeven, vaak complexe wachtwoorden adviseren. Die zouden namelijk "sterker" zijn. "Complexe wachtwoorden frustreren aanvallers meestal niet, maar maken wel het leven van gebruikers veel lastiger. Ze brengen kosten met zich mee, zorgen voor vertragingen en kunnen gebruikers dwingen om workarounds of onveilige alternatieven te zoeken die het risico vergroten."
De CESG pleit daarom voor een "drastische vereenvoudiging" van de huidige aanpak op systeemniveau, in plaats van dat gebruikers wordt gevraagd om onnodig complexe wachtwoorden te onthouden. Ten eerste moeten organisaties alle standaardwachtwoorden voor het uitrollen van systemen en apparatuur wijzigen, met name bij routers en firewalls. Ook moet hier regelmatig op worden gecontroleerd.
Gebruikers
De tweede tip van de CESG richt zich op gebruikers. "Gebruikers wordt vaak verteld om wachtwoorden te onthouden, ze niet te delen, niet te hergebruiken of op te schrijven. Maar de doorsnee gebruiker heeft tientallen wachtwoorden om te onthouden, niet alleen die van de organisatie", zo laat het advies weten. Het regelmatig wijzigen van wachtwoorden schaadt dan ook de veiligheid in plaats van dat het die verbetert. Gebruikers moeten dan ook niet met deze last worden opgezadeld. Wel moeten gebruikers hun wachtwoord wijzigen als er aanwijzingen van een hack zijn.
Om gebruikers met de wachtwoord "overload" te helpen moeten organsaties verder alleen wachtwoorden gebruiken als het echt nodig is. Ook moeten er technische oplossingen worden ingeschakeld om gebruikers te ontlasten, moeten gebruikers de mogelijkheid krijgen om veilig hun wachtwoorden op te slaan, moet het resetten van wachtwoorden goedkoop, snel en eenvoudig zijn en mogen gebruikers wachtwoorden niet delen. Verder bevat het wachtwoordadvies van de CESG ook andere aanbevelingen, zoals het niet opslaan van wachtwoorden in platte tekst, het beperken van inlogpogingen en het extra beveiligen van systeembeheerder- en remote user-accounts.
Nou ehh, bedankt voor deze wijze raad.
Het zijn en blijven wachtwoorden op een vreemde server, waarover jij geen controle hebt. Dat is dan ook gelijk een heikel punt. Vertrouwen. Vertrouw jij de server?
Gebruik sticky notes: https://cesgdigital.blog.gov.uk/wp-content/uploads/sites/126/2015/09/passwords_3.png
Overigens lijkt de CESG meer op op het NCSC. Het is allemaal overheid / ministeries die er achter staan.
Natuurlijk heb ik alle individuele gebruikersnamen en wachtwoorden in een versleuteld tekstbestand, en nog eens uitgeprint op papier. Dit alles niet tegen de overheid, maar eigenlijk alleen maar tegen een fatale crash van de PC, en eventueel tegen een onverlaat die er met de PC vandoor gaat.
Indien het niet kan worden onthouden, pakt men pen en papier, en schrijft het op. Natuurlijk goed opbergen.
Das mijn advies.
Precies! Je zou zeggen dat dit al algemeen bekend is, maar nu proberen overheidsinstanties het met enorm veel grote woorden uit te leggen? Plaatje van xkcd zou iedereen moeten snappen...
Precies! Je zou zeggen dat dit al algemeen bekend is, maar nu proberen overheidsinstanties het met enorm veel grote woorden uit te leggen? Plaatje van xkcd zou iedereen moeten snappen...
De woorden 'bits, entropy, 2^28, 2^44 , /sec ' en dan denken "iedereen moeten snappen" .
Ik verwacht niet eens 'iedereen' in de subset van mensen die met security bezig zijn. Heel veel 'lijstjes afvinker' types die bij
het enige stukje controleerbare security - password policy - alleen maar snappen 'lang en moeilijk is goed ' .
Precies! Je zou zeggen dat dit al algemeen bekend is, maar nu proberen overheidsinstanties het met enorm veel grote woorden uit te leggen? Plaatje van xkcd zou iedereen moeten snappen...
Heren, wel eens van een dictionary attack gehoord? Ondertussen niet zo'n goed voorbeeld meer van xkcd.
http://arstechnica.com/security/2012/08/passwords-under-assault/
Precies! Je zou zeggen dat dit al algemeen bekend is, maar nu proberen overheidsinstanties het met enorm veel grote woorden uit te leggen? Plaatje van xkcd zou iedereen moeten snappen...
Heren, wel eens van een dictionary attack gehoord? Ondertussen niet zo'n goed voorbeeld meer van xkcd.
http://arstechnica.com/security/2012/08/passwords-under-assault/
Zat het bericht toevallig net op ars te lezen en moest hard lachen!
Het plaatje van xkcd geeft een voorbeeld. Om hun voorbeeld te gebruiken IRL is natuurlijk hezelfde als "123456" te gebruiken.
Dictionary attacks hebben weinig effect als je echt 5 random woorden pakt. Of je moet je dictionary hebben die alle woorden 1-voor-1 koppelt met elkaar, maar zelfs dan gaat er dagen/weken/maanden overheen.
Precies! Je zou zeggen dat dit al algemeen bekend is, maar nu proberen overheidsinstanties het met enorm veel grote woorden uit te leggen? Plaatje van xkcd zou iedereen moeten snappen...
Heren, wel eens van een dictionary attack gehoord? Ondertussen niet zo'n goed voorbeeld meer van xkcd.
http://arstechnica.com/security/2012/08/passwords-under-assault/
De suggestie van xkcd is niet met een dictionary attack aan te vallen omdat het om een hele zin met willekeurige woorden gaat. Hun suggestie is meer geldig dan ooit want te korte wachtwoorden kunnen steeds sneller worden gekraakt en ingewikkelde wachtwoorden zijn moeilijk te onthouden, wat allerlei problemen geeft (vergeten, wordt opgeschreven, etc.). Daarom is het kiezen van een (vrij lange) zin met willekeurige woorden, die gemakkelijk te onthouden is, blijvend geldig en een goed voorbeeld. (Alleen niet het wachtwoord uit het xkcd plaatje overtikken, denkende dat dat wel een goeie zal zijn).
De suggestie van xkcd is niet met een dictionary attack aan te vallen omdat het om een hele zin met willekeurige woorden gaat. Hun suggestie is meer geldig dan ooit want te korte wachtwoorden kunnen steeds sneller worden gekraakt en ingewikkelde wachtwoorden zijn moeilijk te onthouden, wat allerlei problemen geeft (vergeten, wordt opgeschreven, etc.). Daarom is het kiezen van een (vrij lange) zin met willekeurige woorden, die gemakkelijk te onthouden is, blijvend geldig en een goed voorbeeld. (Alleen niet het wachtwoord uit het xkcd plaatje overtikken, denkende dat dat wel een goeie zal zijn).
allthegoodpasswordshavegone
allthegoodpasswordshavegone
Door gebruik te maken van zaken zoals de AM (Ashley Madison) hack en de fall-out ervan. Van de 35 miljoen zijn er "al" ongeveer 11 miljoen bekend gemaakt. Hiermee kunnen ze de libraries weer vullen met de meest vorkomende wachtwoorden/passphrases. Tenminste, dat zu ik doen...
Het is het startpunt voor een Security overweging.
Als de jan klaasen Katrin logonids met een password1 geen waarde vertegenwoordigen voor privacy of wat dan ook.
Waarom ga je dan als IT nerd tegenin en vindt dat die gebruikers verkeerd bezig zijn (oei wat zijn ze dom).
Je kunt ze ook iets willen aanbieden waarbij het gebruik van een login proces geminimaliseerd wordt. Sso en 2fa waar relevant. Hoe moeilijk kan zoiets zijn? (Heel moeilijk!)
"State security goes first, privacy is not important. We shall and will monitor all citizens to avoid another ALKHABAR attack like 9/11"
Allemaal bs dus, we gaan gewoon allemaal kapot aan deze capitalisme, ze manipuleren alles. De cashflow, gegevens geheimen. Import en export van goederen. Hun zijn en zullen dus ook de baas blijven op deze manier.
Kunnen wij niks meer aan doen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
