Sterke wachtwoorden of twee-factor-authenticatie: hoe belangrijk is het echt?
Wachtwoorden wijzigen. Het is een van die terugkerende kleine kantoorergernissen. Je werkgever wil dat je het elke 3 maanden of vaker doet. Uit dwarsigheid kies je een wachtwoord dat makkelijk te onthouden is. Bijvoorbeeld de naam van je kind plus geboortejaar of je favoriete voetbalclub met een oplopend cijfer erachter. Een snelle en praktische oplossing. Of niet?
Een wachtwoord kiezen kan vergaande gevolgen hebben. Voor werknemer én voor werkgever. Helemaal als een werknemer thuis werkt op een privécomputer. Door een wachtwoord te kiezen zoals hierboven beschreven, wordt de data die lokaal of in de cloud staat opgeslagen mogelijk blootgesteld aan hackers.
Datalekken
Er zijn diverse methodes om achter een wachtwoord te komen. Sociale media zijn beruchte bronnen van privacy-gevoelige informatie. Zo kan een hacker in spe bijvoorbeeld eens rondkijken op de Facebook-pagina van een medewerker. Zo kan hij of zij mogelijk de namen van kinderen of sportclubs en geboortedata achterhalen. Om vervolgens een gokje te wagen volgens de formule: wachtwoord = naam kind + geboortedatum.
De meest gebruikte methode om wachtwoorden te kraken is de zogenaamde brute-force- methode. Bij deze methode laat een hacker een stukje software lopen die een lijst langsgaat van gebruikersnamen en/of wachtwoorden afkomstig uit datalekken bij bedrijven of websites.
Naar schatting bevat deze wereldwijde database met gelekte wachtwoorden meer dan 3 miljard (!) gebruikersnamen en wachtwoorden. Ze zijn afkomstig van grote hacks in het verleden bij bijvoorbeeld LinkedIn, Adobe en Facebook.
Zelf checken
Wil je weten of de gegevens van jouw mailaccounts gelekt zijn, dan kun je dit eenvoudig zelf checken via de website https://haveibeenpwned.com. Het enige dat je hoeft te doen, is je mailadres invullen en op de zoek-knop klikken. Blijkt jouw mailaccount voor te komen in de database, dan is het verstandig om direct je wachtwoord te wijzigen. Vergeet daarbij ook niet de websites waarvoor je hetzelfde wachtwoord gebruikt.
Brute-force-methode
Maar daarmee zijn we er nog niet. Lukt het de hacker niet om via deze methode je gegevens te achterhalen, dan is er via de brute-force-methode nog de mogelijkheid om een oneindig aantal combinaties te proberen. Stel je hebt een wachtwoord voor een website of device dat uit vier cijfers bestaat. Dan voert de software net zo lang opeenvolgende cijferreeksen in tot het wachtwoord is achterhaald: 0001, 0002, 0003 et cetera. Diezelfde methode wordt ook toegepast bij wachtwoorden die uit vier of zes karakters bestaan.
Tegenwoordig zijn computersystemen zo snel dat ze wachtwoorden die makkelijk ‘leesbaar’ zijn in enkele minuten kunnen kraken. Bestaat je wachtwoord uit een code tot 10 cijfers, dan is dit wachtwoord vrijwel direct te kraken.
In onderstaand overzicht zie je hoelang het duurt om wachtwoorden met een verschillende moeilijkheidsgraad te kraken met behulp van de brute-force-methode.
Bron: https://www.hivesystems.io/
Zoals je ziet, is het uiterst belangrijk om een zo complex mogelijk wachtwoord te kiezen. Het liefst een met kleine letters, hoofdletters, getallen en speciale tekens of zelfs symbolen.
Hiermee zal de moeilijkheidsgraad en daarmee de benodigde tijd om een wachtwoord te kraken exponentieel toenemen. Een wachtwoord van 13 karakters met de hoogste complexiteit zorgt er dus voor dat brute-force-software 2 miljoen jaar bezig is dit wachtwoord te kraken. Wel zo’n veilig idee.
Bij gebruik van complexe wachtwoorden geldt nog steeds dat je een wachtwoord slechts gebruikt voor één toepassing. Op deze manier voeg je een extra laag toe aan veilig wachtwoordgebruik.
Voor ondersteuning van complexe wachtwoorden zijn er gelukkig password-managers. Die zorgen voor een goede beveiliging doordat ze enorm complexe wachtwoorden aanmaken. Deze software heeft de mogelijkheid alle gebruikte wachtwoorden op te slaan in een soort van software-kluis. De toegang tot deze kluis regel je via een uniek master-password. Of bijvoorbeeld via biometrische gegevens als een vingerafdruk of Face ID op je smartphone.
Met het oog op de veiligheid adviseert Brisk ICT om een sterk wachtwoord te gebruiken en niet biometrische gegevens voor toegang tot de virtuele kluis met al je wachtwoorden.
Voorbeelden van password-managers zijn:
⦁ Keepass
⦁ Lastpass
⦁ Dashlane
⦁ 1Password
Het betreft hier software met een gratis versie, maar ook betaalde versies die je meer mogelijkheden geven. Denk hierbij aan het delen van de wachtwoorden met je gezin of familieleden.
Twee-factor-authenticatie
De beste methode om het kraken van je wachtwoord tegen te gaan is gebruikmaken van twee-factor-authenticatie (2FA). Hierbij log je in met gebruikersnaam en wachtwoord en is er een tweede stap nodig voor toegang door middel van een mailtje of een berichtje op je smartphone. Hierin staat een code die je vervolgens invult op het platform waarop je wilt inloggen.
De laatste tijd is het gebruik van een authenticator-app erg in opkomst voor het genereren van inlogcodes. Je logt in op een website of stukje software die zal vragen of je de inlogpoging wilt goedkeuren in een app. Sommige banken maken hier inmiddels gebruik van.
Je opent de app en geeft toestemming, de inlog verloopt voor de rest automatisch.
Wachtwoord minder relevant
Doordat twee-factor-authenticatie steeds meer beschikbaar is als oplossing voor toegangscontrole en gemakkelijker in gebruik is, verandert onze kijk op het gebruik van wachtwoorden. Een goed of sterk wachtwoord wordt minder belangrijk door die extra stap, waarbij je moet bevestigen dat jij het echt bent die ergens probeert in te loggen.
Ondertussen is het goed om continu de toegangscontrole tot het bedrijfsnetwerk, cloud-diensten en werkplekken onder de loep te nemen en de eventuele gevaren te onderkennen. In elk geval doe je er goed aan om hergebruik van wachtwoorden te vermijden, sterke wachtwoorden te bedenken, een goede wachtwoordmanager te gebruiken en als dat mogelijk is altijd twee-factor-authenticatie toe te passen.
Hulp en advies
Als Brisk ICT zorgen wij voor een goede beveiliging door de implementatie van twee-factor-authenticatie (2FA) voor alle toegangen tot de werkplekken, cloud-diensten en servers van klanten. Bovendien monitoren de systemen waarmee wij werken of er abnormale inlogpogingen worden ondernomen op een server of account. Op deze manier krijgen we inzicht in mogelijke bedreigingen.
Zo zorgt Brisk ICT voor de veiligheid van de gegevens van klanten in een wereld waarin cybercrime en cybersecurity steeds meer om aandacht vragen.
Verder praten over de beveiliging van jouw systemen? Meer informatie nodig?
Bel ons gerust, wij helpen je graag.
