Microsoft: uitfaseren wachtwoorden verhoogt kosten aanvaller
Het uitfaseren van wachtwoorden verhoogt de kosten voor aanvallers en moet daarom worden gedaan, zo stelt Ann Johnson, vicepresident van de Microsoft Enterprise Cybersecurity Group. Volgens Johnson is phishing nog altijd de voornaamste manier waardoor aanvallers toegang tot accounts weten te krijgen.
"Daarom proberen we wachtwoorden uit het ecosysteem te krijgen: we willen dat iedereen wachtwoordloos wordt. Als we wachtwoorden uitfaseren gaan de kosten van een aanval omhoog. En dat is wat je wilt, we willen de kosten van aanvallen verhogen", aldus Johnson in een interview met The Irish Times. Eerder deze week liet Microsoft via de eigen website weten dat het van Windows 10 een "wachtwoordloos platform" wil maken.
Met de lancering van de Windows 10 May 2019 Update kunnen gebruikers nu op allerlei manieren accounts zonder wachtwoord aanmaken. In plaats van wachtwoorden ziet Johnson een oplossing in biometrie, zowel voor eindgebruikers als personeel van bedrijven. "Aan het eind van de dag zijn wachtwoorden veel minder betrouwbaar dan biometrie", zo laat ze weten.
Toch zijn niet alle experts over biometrie te spreken. "Biometrie is eenvoudig te stelen. Je laat je vingerafdrukken op alles wat je aanraakt achter, je irisscan overal waar je kijkt", aldus beveiligingsexpert Bruce Schneier in 1998. De expert merkt verder op dat het eenvoudig is om wachtwoorden te wijzigen, maar dat dit bij vingerafdrukken niet mogelijk is. "Biometrie is eenvoudig, gemakkelijk en wanneer goed gebruikt erg veilig. Het is alleen geen wondermiddel."
Internet of Things
Tevens laat Johnson in het interview met The Irish Times weten dat ze geen smart speakers in haar woning heeft. "En dat ben ik ook niet van plan. We hebben allemaal een grens van wat acceptabel is. Ik heb ook nauwelijks Internet of Things-apparaten in huis."
Door mensen tips te geven door te werken met wachtwoordzinnen en het instellen van 2fa, geef je ze namelijk wel de handvatten om de geforceerde maatregel werkbaar te maken.
Wat mij betreft staat deze Ann Johnson allerlei slechte ideetjes voor die helaas maar niet willen sterven.
https://www.theguardian.com/science/2016/jun/28/why-bad-ideas-refuse-die
Biometrie heeft een rechtstreekse link met de persoon die het gebruikt.
Wachtwoorden hoeven dit niet te hebben.
Met biometrie loop je dus veel meer risico dat je je privacy op straat gooit.
En dat is waar nu ook microdinges naar op jacht is.
Biometrie heeft een rechtstreekse link met de persoon die het gebruikt.
Wachtwoorden hoeven dit niet te hebben.
.....
Lijkt me vreselijk voor hackers, geen kans meer zoals bij Passwords. Wat nog wel gedaan moet worden zijn serviceaccounts, die moeten nog aan een password nog aan biometrie gekoppeld zijn
Zodra we een weg hebben om bij een system te komen en anderen kunnen deze weg ook gebruiken zal, welke methoden er ook gekozen is, het system hackbaar zijn. Als we het een hacker moeilijker maken (en zorgen dat de informatie niet de moeite van het stelen waard is ) zal deze uitwijken naar de buurman (analoog aan wat inbrekers doen) .
wachtwoorden zijn handig en vervangbaar en samen met 2fa redelijk veilig.
Om belangrijke informatie veilig te bewaren : kooi van faraday. omgeven door niet licht- en geluiddoorlatend materiaal en natuurlijik om niet te vergeten airgapped van welk network dan ook. Daar dit een onmogelijke situatie is (en een USB stick houd ook een risico in, vraag maar aan Iran) , zullen we, vrees ik moeten roeien met de riemen die we hebben. Ik hoop in ieder geval dat Microsoft zich hier niet echt aan gaat wagen......
Bedrijven die bewust de cloud negeren worden hier niet in voorzien. Er bestaan wel passwordless on-premise oplossingen maar niet elk bedrijf wil wachtwoorden de nek omdraaien.
Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.
Je kunt een losse webcam kopen, al vanaf 15 euro bij bol.com
Door mensen tips te geven door te werken met wachtwoordzinnen en het instellen van 2fa, geef je ze namelijk wel de handvatten om de geforceerde maatregel werkbaar te maken.
Goed idee op zich maar gaat in de praktijk niet werken. De grootste groep Windows gebruikers zijn Jip en Jannekes en die krijg je makkelijker aan de vingerafdruk of irisscan dan dat ze complexe wachtwoorden gaan onthouden of wachtwoord managers gaan gebruiken. 2FA snappen ze al helemaal niet.
Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.
Een Azure MFA server installeren on-prem?
Die mogelijkheid zit er naar mijn weten al vanaf dag 1 (dat Azure MFA uit kwam) in...
Je kunt een losse webcam kopen, al vanaf 15 euro bij bol.com
Bedrijven die bewust de cloud negeren worden hier niet in voorzien. Er bestaan wel passwordless on-premise oplossingen maar niet elk bedrijf wil wachtwoorden de nek omdraaien.
Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.
Je kan het inderdaad met Azure AD afnamen, maar je kan ook een 3de partij gebruiken voor je MFA.
En Je kan ook gewoon Azure MFA onprem draaien op je eigen infrastructuur.
Er zijn dus mogelijkheden genoeg zonder dwang....
Als er dan iets gejat mag worden uit een database heb ik liever een wachtwoord uit een afgeschermde database.
Een vingerafdruk die gejat wordt uit een futoristisch computer systeem heeft veel ernstigere consequenties dan zo'n wachtwoord.
Allebei (wachtwoord of vingerafdruk) doen ze hetzelfde, namelijk het openen van deuren, echter bij de een beperkt de schade zich tot de diefstal van de gegevens, maar bij de laatste wordt niet alleen de data gestolen, maar ook je verdere persoonlijke leven bedreigt en moet je tot aan je dood met het feit leven dat die ene gemakzuchtige beslissing strategisch toch niet de slimste destijds was, en blijf je altijd moeten omkijken. De een is veranderbaar, de andere is een eID zoals de EU dat wil, want dan krijgt iedereen een niet-uitwisbare stempel op zijn voorhoofd. De natste droom van elke forensische onderzoeker..
Nee doe mij maar old fashioned wachtwoord.Desnoods met een USB tooltje met daarin een groot wisbaar/veranderbaar bestand dat voor de chaos zorgt dat mijn privacy behouden blijft.
Nu ze dat mogen en iedereen het accepteert, willen ze meer.
Ja het is echt waar, tog heeft iedereen windows omdat er geen keuze is.
Waarom willen ze per se mijn email lezen ?, een bedrijf dat zoveel geld verdient.
Je kan ze niet vertrouwen.
Met de NSA op de achtergrond zitten je mooie looks of vingerafdruk binnen no-time in hun databases. je zult maar 15 minuten voordat een zelfmoordaanvaller zich opblies op dezelfde stoel in een café hebben gezeten.
"They're coming to take me away haha, ….."
https://www.youtube.com/watch?v=TXZMZ-XvvzI
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
