Stel je voor… je wordt wakker en pakt je telefoon om te kijken wat je tijdens je slaap gemist hebt. Bijzonder, je hebt allemaal e-mails midden in de nacht ontvangen! Je opent je mailbox en je ziet een groot geweld aan veiligheidsmeldingen van Google, Facebook, Twitter en je andere sociale media platformen. Er is ingelogd vanaf een onbekend adres en je wachtwoord is aangepast!
Bovenstaand verhaal klinkt wellicht heel onwerkelijk, toch komt dit veel vaker voor dan dat je je misschien kan voorstellen.
Hoe kan dit?
In dit scenario is je wachtwoordhash gelekt. Dit is een sleutelde variant van je wachtwoord wat onleesbaar is. Een hacker kan ervoor kiezen om een brute force aanval uit te voeren op de hash om zo je echte wachtwoord te ontfutselen. Dit houdt in dat elk mogelijk wachtwoord wordt gegenereerd en de hash hiervan wordt vergeleken met jouw achterhaalde hash.
Waar brute forcing vroeger een zeer intensief proces was waar enorm snelle en krachtige apparatuur bij kwam kijken, is tegenwoordig een normale desktop PC met een krachtige (gaming) videokaart nodig. Om je een kader te geven: Het kraken van een wachtwoord van acht willekeurige letters, cijfers en speciale teken duurt op zo’n desktop ongeveer tussen de twee en vierentwintig dagen (!). Daarnaast gebruiken “echte” hackers een combinatie van brute force en dictionary attacks. Dit zijn lijsten met wachtwoorden die al zijn gekraakt op het internet waardoor het kraken van je wachtwoord maar luttele seconden hoeft te duren, mits je een “generiek” wachtwoord gebruikt.
Hoe kan ik dit voorkomen?
Het antwoord op deze vraag is meervoudig te beantwoorden. Het gaat om een combinatie van sterke en unieke wachtwoorden, multifactor authenticatie (MFA) en bewustzijn.
Sterke wachtwoorden
In de laatste twintig jaar is ons als gebruiker geleerd om wachtwoorden te gebruiken die complexiteit boven lengte prefereren. We zijn namelijk geleerd om complexe wachtwoorden te bedenken. Maar die wachtwoorden zijn moeilijk te onthouden door ons als mens maar een computer heeft hier juist geen enkel probleem mee. Het is dan ook aan te raden (naast complexiteit) vooral naar de lengte van de wachtwoorden te kijken. Ditiseenveelveiligerwachtwoorddandevariantdiehiernakomt! Gr4pp1Gh3?
Natuurlijk is het sterkste wachtwoord een lang wachtwoord waar ook veel complexiteit in zit verwerkt. Maar hoe onthoud je dat wachtwoord dan weer? Dat is waar een wachtwoordkluis de oplossing kan zijn. Met een wachtwoordkluis zorg je ervoor dat je met één masterpassword je kluis opent. In deze kluis kan je per website een uniek wachtwoord laten genereren en dit centraal opslaan. Wij gebruiken zelf wachtwoorden van meer dan 64 karakters! Mocht een wachtwoord dan van een site worden achterhaald door een hacker dan is het risico dat een hacker ook andere accounts weet te bemachtigen met datzelfde wachtwoord gemitigeerd. Immers heeft elke site een uniek wachtwoord.
Het is dan wel van belang dat je voor je wachtwoordkluis zelf een nieuw, uniek, lang en het liefst complex wachtwoord gebruikt. Het zou natuurlijk een veel groter probleem zijn als een hacker toegang krijgt tot je kluis! Er zijn een aantal offline en gratis varianten zoals Keepass. Dit heeft het voordeel dat je wachtwoorden niet online worden opgeslagen maar dit kan soms wel omslachtig zijn in gebruik. Als online variant adviseren wij een oplossing zoals Lastpass of Keeper. Hou er dan wel rekening mee om multifactor authenticatie in te stellen op je account!
Multifactor authenticatie
Multifactor authenticatie (MFA) is niets anders dan wat het woord omschrijft: Nog een factor of handeling die moet worden uitgevoerd voordat toegang wordt verschaft. In de praktijk zal je merken dat bij het inloggen op een website wordt gevraagd om een One Time Password (OTP). Dit is een tijdsgebonden code die wordt gegenereerd door je MFA oplossing. In de praktijk worden vaak de oplossingen van Google en Microsoft gebruikt, beide genaamd “Authenticator” in de Play- of Appstore. Door de code die je in de app ziet in te voeren op de website doe jij dus de benodigde handeling om samen met het correcte wachtwoord (uit je kluis) in te loggen. Dit maakt het voor een hacker veel moeilijker om in te loggen op jouw dienst. Hij heeft daarvoor natuurlijk toegang nodig tot jouw telefoon en de authenticator app en tegelijk dat enorm complexe wachtwoord uit je wachtwoordkluis. In de praktijk blijkt dit een bijzonder effectieve oplossing.
Bewustzijn
Naast de technische mogelijkheden is het vooral heel belangrijk om bewust te zijn van wat hackers kunnen doen om jouw informatie te achterhalen. Security awareness noemen wij dit. In een volgend blog zullen wij hier nog dieper op ingaan maar heel concreet betekend dit: gebruik je verstand. Hieronder hebben we een paar tips op een rij gezet:
- Zorg voor unieke en complexe wachtwoorden die ook lang zijn
- Gebruik een wachtwoordkluis met MFA toegang
- Gebruik verschillende wachtwoorden voor verschillende accounts
- Deel je wachtwoorden met niemand
Mocht je toch het vermoeden hebben dat een wachtwoord is gekraakt door hackers? Op HaveIBeenPwned kun je je e-mail adres en wachtwoord invoeren om te controleren of deze bekend is.
Let wel op: Ondanks dat deze website tot nu toe betrouwbaar is gebleken is er altijd een risico door je wachtwoord zo in te voeren. Doe dit dan ook alleen wanneer je concrete aanwijzingen hebt dat je wachtwoord gelekt is en je de intentie hebt om het wachtwoord nergens meer te gebruiken!
Denk je dat er mogelijk iets speelt en wil je dit helemaal tot de bodem uitzoeken? Neem dan contact met ons op en wij helpen je de situatie onder controle te krijgen.
Recente reacties