access denied

Was het online leven al behoorlijk ingeburgerd, een jaar geleden nam het écht een vlucht met de komst van het coronavirus. Bijna alles kun je regelen vanuit the comfort of your own thuisisolatie, als je maar een fatsoenlijke internetverbinding hebt en een apparaat waarop dat wereldwijde web bereikbaar is.

Om al uw persoonlijke gegevens – benodigd bij het plaatsen van bijvoorbeeld een bestelling – te beschermen, vraagt ongeveer elke website of app tegenwoordig of u een account wilt aanmaken. Ik zeg ‘vraagt’, maar in de meeste gevallen komt u er niet omheen om zich te registeren, alvorens u gebruik mag maken van de diensten die geboden worden. Dus u vult keurig in van welk geslacht u bent (wat er écht nóóit toe doet bij de dienst waarvan u gebruik wenst te maken), uw personalia, adresgegevens, e-mailadres, telefoonnummer(s)… en dan komt het: u moet een wachtwoord aanmaken.

“Nou, en!”, hoor ik u denken. “Ik gebruik gewoon de naam van m’n golden retriever en klaar.” Nou, mooi niet dus. Want waar eenvoudige websites u er nog op wijzen dat uw wachtwoord zwak is of juist sterk, zijn er ook genoeg bedrijven en diensten die u verplichten tot het gebruiken van tekens, cijfers, hoofdletters én kleine letters. Komt u dus mooi niet meer weg met vicky max.

Jammer, is dat het gebruik van willekeurige hoofdletters of tekens zeker helpt tegen het ontsleutelen van een wachtwoord, maar dat vooral de lengte van belang is. Size matters, alweer! Maar vertel dat eens aan al die online diensten die u dwingen een wachtwoord op te bouwen conform hun vaak achterhaalde regels met allerlei niet te onthouden tekentjes en een door hen bepaalde minimum- én maximumlengte. Daarnaast zijn er ook nog ellendelingen die u periodiek verzoeken uw bestaande wachtwoord te updaten, waarbij u dus wéér iets te onthouden heeft gekregen. Onthouden ja, want u bent natuurlijk wel slimmer dan al die wachtwoorden op te schrijven. Toch?

Hoeveel verschillende combinaties kraaksoftware moet doorworstelen om resultaten te boeken, vindt u hieronder in een overzichtje^a.

Een wachtwoord:

• met alleen cijfers (10 mogelijke karakters) en een lengte van 5, geeft 10⁵=100.000 combinaties
• met alleen kleine letter (26 mogelijke karakters) en een lengte van 5, geeft 26⁵=11.881.376 combinaties
• met kleine- en hoofdletters (26+26=52 mogelijke karakters) en een lengte van 5, geeft 52⁵=380.204.032 combinaties
• met kleine-, hoofdletters en cijfers (26+26+10=62 mogelijke karakters) en een lengte van 5, geeft 62⁵ = 916.132.832 combinaties
• met alleen kleine letters (26 mogelijke karakters) en een lengte van 10, geeft 26¹⁰ =  141.167.095.653.376 combinaties
• met kleine- en hoofdletters (26+26=52 mogelijke karakters) en een lengte van 10, geeft 52¹⁰ =  144.555.105.949.057.024 combinaties

Om u een idee te geven van de creativiteit van uw online medemens, laat ik u graag de top 10 zien van meest gebruikte wachtwoorden én de tijd die het kost om deze wachtwoorden te kraken. Mocht u een wachtwoord herkennen als het uwe…

Veel mensen gebruiken, om het geheugen een beetje te ontzien, een – in hun ogen – ingenieus wachtwoord voor ál hun bij elkaar gesprokkelde accounts. Dit zijn er vaak >50. Scheelt veel tijd en onnodige geheugenissues. Totdat u bij het inloggen op één van deze websites de melding krijgt:

“Dit wachtwoord is betrokken bij een datalek,
waardoor er een hoog risico is dat dit account wordt gehackt.
U moet uw wachtwoord onmiddellijk wijzigen.”

Dán is het ineens vrij bewerkelijk om te bedenken welke accounts allemaal zijn ‘beveiligd’ met dit oh-zo-ingenieuze wachtwoord en kunt u ze één voor één afgaan om uw wachtwoord aan te passen.

Kleine domper: mocht uw wachtwoord middels phishingmail worden onderschept, dan maakt het niet zoveel meer uit hoeveel moeite u gestoken had in de complexiteit van uw wachtwoord. Maar zo stom bent u natuurlijk niet.

Op de werkvloer blijkt een overdosis verschillende en regelmatig wijzigende wachtwoorden zelfs voor stress te zorgen. Er wordt daarom ook steeds vaker gekeken naar de mogelijkheid van bijvoorbeeld biometrische authenticatie; denk hierbij aan vingerafdrukken, irisscans of gezichtsherkenning. Echter, mocht een hacker hiermee aan de haal gaan, dan valt er weinig opnieuw te beveiligen en een nieuwe vingerafdruk is ook geen optie.
Experts wijzen er daarom op dat Multi Factor Authenticatie (MFA^b) nog steeds de veiligste optie is. De gemiddelde hacker – nerd, bleek, indoorsy, mensenschuw – zal waarschijnlijk niet snel zijn computerkelder verlaten om, naast uw gekraakte wachtwoord, ook uw pasje te stelen en uw oog uit te steken.

U kunt zich natuurlijk groen en geel ergeren aan elke website die bovenstaande ellende aan u opdringt, maar de váder van dit alles is Bill Burr. Blame him!

Gelukkig is er zicht op verbetering, de chip die ze toevoegen aan het Covid-vaccin lijkt immers een ideale manier om biometrie te verenigen met beveiligingssoftware om zo via 5G-palen veilig toegang te krijgen tot al uw accounts. Techniek staat voor niets!^c

^a bron

^b MFA: een methode om de authenticiteit van een gebruiker te verifiëren op meer dan één enkele manier (met behulp van meerdere factoren). Bijv.:

• iets dat de gebruiker weet, zoals een wachtwoord of pincode

• iets dat de gebruiker heeft, zoals een pasje

• iets dat de gebruiker is (een eigenschap van de gebruiker), zoals een vingerafdruk

^c complotgekkies