Azure AD ondersteunt nu wachtwoorden van 256 karakters
Microsoft heeft aanpassingen aan Azure Active Directory (AD) doorgevoerd waardoor nu wachtwoorden van maximaal 256 karakters worden ondersteund, inclusief spaties. Voorheen waren wachtwoorden van maximaal 16 karakters toegestaan. Dat laat Microsoft in een blogposting weten.
Azure Active Directory is een cloudoplossing voor identiteits- en toegangsbeheer, waarmee gebruikers toegang tot clouddiensten en applicaties kunnen krijgen. Door de aanpassing wil Microsoft het voor cloudgebruikers mogelijk maken om langere wachtwoorden en passphrases te kiezen. Eerder werd dit niet door de dienst ondersteund.
Een passphrase van 256 karakters die alleen uit kleine letters bestaat is niet mogelijk. Microsoft verplicht dat een wachtwoord minimaal 8 karakters lang is en drie criteria combineert, waarbij gekozen kan worden uit hoofdletters, kleine letters, cijfers en symbolen.
Zou wettelijk verplicht moeten worden zoiets. Ook voor websites. Maar nee, we krijgen een cookiewall van onze regering... Zucht.
Je hebt verder wel een gewoon normaal leven? Immers misschien pakken ze je huidige irritaties ook pas in de volgende generatie aan.
Wachtwoord van 16 tekens is meer dan voldoende. Mooi is leuk, maar een nice to have feature. Zeker niet iets om vanuit een
overheid verplicht te maken. Totaal geen toegevoegde waarde.
En laat zien, dat je eigenlijk niet snapt hoe zo iets in elkaar zit of wat werkelijke de noodzaak is dit soort nice to have features. Zowel om iets vanuit een overheid te verplichten, of wat een werkelijke toegevoegde waarde is van een extreem lang wachtwoord.
En laat zien, dat je eigenlijk niet snapt hoe zo iets in elkaar zit of wat werkelijke de noodzaak is dit soort nice to have features.
En laat zien, dat je eigenlijk niet snapt hoe zo iets in elkaar zit of wat werkelijke de noodzaak is dit soort nice to have features.
MFA is een veel betere oplossing en is de toekomst. Passwords zijn van 1995, the future is now.
Klinkt als werkverschaffing: ben je een halve dag bezig met intypen van je wachtwoord.
(of het moet op 1 of andere manier geautomatiseerd zijn)
MFA is een veel betere oplossing en is de toekomst. Passwords zijn van 1995, the future is now.
En met "12345" als wachtwoord kun je ook niet echt meer van 2FA spreken als je daarnaast een andere factor gebruikt.
Microsoft's clouddiensten hebben in toenemende mate last van account takeover attacks waarvan er veel te veel slagen. Daar zitten ook steeds meer accounts bij die met MFA beschermd zijn. Een van de problemen van MFA is, vergelijkbaar met "wachtwoord vergeten", dat die tweede factor ook wel eens niet werkt (bijv. smartphone vergeten of in de plee gevallen). Lastig is het daarbij om onderscheid te maken tussen de echte account-eigenaar en een cybercrimineel: als de beheerder dan weer terugvalt op vragen naar je geboortedatum ter "authenticatie", is het voorspelbaar hoe zoiets kan aflopen.
De hier zo geroemde MFA (Multi Factor Authentication) is veilig, maar heeft een hoog irritatie gehalte.
Hogere entropie = veiliger
Stel, ik loop 's morgens het kantoorpand binnen, en moet met mijn pasje de sluis, of deur, of lift ontgrendelen. Dàt, plus het feit, dat mijn bedrijfstelefoon in het gebouw aanwezig is, zijn alvast twee factoren, die duidelijk maken, dat ik hoogstwaarschijnlijk in het gebouw ben. Als ik vervolgens op een bekend (mijn werkstation) IP-adres met alleen een wachtwoord inlog, dat heb ik MFA (multi is indit geval 6) die niet lastig is.
Als ik vervolgens drie uur later vanuit Oeganda probeer in te loggen, dan krijg ik verzoek om mijn hardware token (Ubikey) te gebruiken, en mijn telefoon te ontgrendelen. Zo snel vanuit NL naar Oeganda reizen is vrijwel onmoglijk, vandaar extra acties.
Oh - en de zes factoren zijn: tijd ('s morgens), locatie (kantoor), aanwezigheid geldige security pas, aanwezigheid terlefoon, locatie (IP adres), wachtwoord.
Klinkt als werkverschaffing: ben je een halve dag bezig met intypen van je wachtwoord.
(of het moet op 1 of andere manier geautomatiseerd zijn)
Mensen snappen niet dat software zoals KeePass dat voor je genereert en dat je soort van copy+paste doet om je wachtwoord in te voeren. Dat is het essentie achter het verhaal waarom Azure dit nu wel ondersteund.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
