Waarom verplichten bedrijven je om bij online inloggen wachtwoorden op een bepaalde manier te maken?

De gedacht er achter is dat je een wachtwoord dient te kiezen die voldoende sterk is dat het minimaal zo veel uur kost voor een computer om het te raden door alle mogelijkheden uit te testen.

Ook willen bedrijven dat je voor hun andere gebruikersnaam en wachtwoord kiest dan bij de andere bedrijven. Want niet alle bedrijven bewaren hun wachtwoorden even goed, dus via deze omweg dwingen ze je een ander wachtwoord te kiezen.

In het voorbeeld dat je kiest, als het script vertelt word dat mogelijk er een achternaam in het wachtwoord zit, dan gaat deze alle mogelijke combinatie met en van de achternamen en willekeurig tekens proberen.

Waarom maximaal aantal tekens, dit heeft waarschijnlijk te maken met de lengte van het invoerveld en de grote van de opslag capaciteit.

Wachtwoorden moeten uiteraard zo moeilijk mogelijk te raden zijn. Maar dat is maar 1 reden waarom wachtwoorden aan bepaalde eisen moeten voldoen. Hackers zijn in staat om patronen te herkennen. Ook als een wachtwoord versleuteld wordt opgeslagen - wat gek genoeg niet altijd het geval is, in ieder geval niet "versleuteld genoeg" - is een hacker in staat om door middel van het aanleggen van een databank patronen te herkennen, door meerdere wachtwoorden met elkaar te vergelijken.

Het beste wat je kunt doen, is een volstrekt willekeurige tekenreeks te gebruiken en dan eentje per dienst waarvoor je je moet registreren. Lange wachtwoorden hebben geen zin; zo tussen de 12 en 20 tekens is genoeg.

Ik kan je Keepass aanraden. Dit is een wachtwoorddatabank waarin je al je wachtwoorden kunt opslaan en die je tevens helpt om wachtwoorden te genereren. Gebruik voor dit soort zaken nooit wachtwoordmanagers of online diensten; die zijn een stuk onveiliger dan een wachtwoorddatabank.

Ik weet niet welk besturingssysteem je gebruikt, maar Keepass is opensource en - al dan niet via van Keepass afgeleide programma's - beschikbaar voor elk systeem.

Omdat er verschillende manieren zijn om wachtwoorden te kraken.

1 daarvan is een dictionnary attack. Dus wil je wachtwoord op die manier niet te kraken zijn mag het niet in het woordenboek voorkomen. Waarschijnlijk is het daarom verplicht om er ook vreemde tekens in te vermengen. Zoveel woorden uit het woordenboek hebben die niet. Maar eigenlijk is dat principe van die leestekens al achterhaald.

Een andere is een brute force attack en dat is nu diegene waar je je wel tegen wilt beschermen. Dat doe je door je wachtwoord zo lang mogelijk te maken (dan moet daar te lang op gerekend worden, en als het jarenlang gaat duren eer je wachtwoord gekraakt zou kunnen worden zit je in feite safe).

En dan heb je nog eens rainbowtables... tja, dat alles maakt het niet makkelijk voor een webbeheerder om wachtwoorden veilig te houden!

Mijn wachtwoorden bestaan altijd uit minstens negen tekens. En ik gebruik nooit hetzelfde wachtwoord meer dan 1 keer.

Je hebt dan 2 keuzes:

1. ze onthouden (een vast systeem helpt weliswaar)

2. ze opslaan in een (liefst dubbel) versleutelde wachtwoordkluis.

Persoonlijk kies ik zelf voor dat eerste. Je hebt bij dat 2de namelijk het nadeel dat veel van zulke software niet platformonafhankelijk is en als ze wel platformonafhankelijk is werkt ze meestal via de cloud en dat vertrouw ik nu ook niet bepaald. Dus de enige plek die overblijft om wachtwoorden op te slaan is in dat persoonlijk computertje van 12 Watt.

Dus je eigen wachtwoord Fleuren34? had waarschijnlijk nooit gekraakt geweest met een dictionnary attack (aangezien ik veronderstel dat het in geen enkel woordenboek voorkomt) en waarschijnlijk ook niet met een brute force attack. Maar bij een korter wachtwoord had die kans veel groter geweest.

Een belangrijke niet te onderschatten 3de methode om wachtwoorden te achterhalen haal je gedeeltelijk zelf al aan: "Iemand die mij niet kent zou dat nooit geweten hebben."

Maar als iemand die je wel kent kwade bedoelingen heeft kan ie dit soort wachtwoorden wel gaan proberen. En kennen is dan nog een groot woord, mensen zijn een zwakke schakel en daar maken wachtwoordkrakers gebruik van! Dit heet social engineering (tegenwoordig met de hulp van facebook en netlog poepsimpel). Goed, die 34? die achter die naam komt kan men niet achterhalen via social engineering maar het geheel zou wel achterhaald kunnen worden door een combinatie van social engineering en brute force. In feite is het dus niet onmogelijk dat dat wachtwoord te kraken is.