Je moet zowiezo geen woorden gebruiken is de concensus dus
ga natuurlijke wijze getallen met nummers en speciale tekens
mixen.
Dit is voor mij persoonlijk al aanleiding om het op te
schrijven want anders vergeet ik het gewoonweg.
Je heb al met zoveel paswoorden tegenwoordig te maken op het
net, ik kan het echt niet allemaal onthouden.

met opschrijven heb ik geen probleem, mits het papier veilig opgebrogen
wordt en niet op buro's e.d. achtergelaten wordt.
Zo zegt ook de Code voor Informatiebeveiliging.

10. Enkel relevant als de waarde van de te beschermen data
niet de kosten van implementatie en onderhoud van
(bijvoorbeeld) biometrie overstijgt.

Hmm. Ik wil niet zeggen dat ik het er helemaal mee oneens
ben, maar ik hou ervan om de duivels advocaat te spelen. Dus:



Oja? Daar weet ik niks van.



Maar...ze hadden toch hun langste tijd gehad?



Dit zijn eigenlijk twee punten, die allebei heel belangrijk
zijn. Ten eerste dat je als gebruiker je wachtwoord niet op
moet schrijven, en ten tweede dat je als organisatie moet
zorgen dat gebruikers dat niet doen.



Inderdaad. Dus zorg er als organisatie voor dat gebruikers
zelf een wachtwoord in _moeten_ stellen, voordat ze het
systeem kunnen gebruiken.



En de reden dat mensen teveel wachtwoorden hebben is
meestal dat er teveel verschillende arbitraire regels zijn.
Bijvoorbeeld, sommige toepassingen vereisen dat een
wachtwoord tenminste 8 tekens heeft, terwijl anderen er
maximaal 5 toestaan (belachelijk maar waar).



En _dat_ is nou zo'n arbitraire regel waar ik liever zonder
zou doen. Nou moet je opeens een heel nieuw wachtwoord gaan
bedenken en onthouden...



Ja. Zoals onder punt 4 al genoemd werd. Natuurlijk moet je
als je als organisatie wil dat er bepaalde restricties op
wachtwoorden zitten (zoals hier dat ze niet langer dan een
bepaalde tijd kunnen worden gebruikt) ervoor zorgen dat
gebruikers die restricties niet kunnen omzeilen. Gebruikers
zijn lui (en zo hoort het) en zullen dus hun wachtwoord niet
wijzigen als je ze niet dwingt. Aan de andere kant geldt ook
weer: als je het te rigoreus doet, gaan ze wachtwoorden
opschrijven.



En, als je toch bezig bent, nog een hele reeks andere
beveiligingsonderwerpen. Je kunt nog zulke goede
wachtwoorden hebben binnen je organisatie, als mensen
vervolgens media met onbeveiligde gevoelige gegevens in
huurauto's laten liggen...



Ik zou zeggen: wacht tot de technologie zich bewezen heeft,
en overweeg dan om het te gaan toepassen. Anders heb je
straks veel geld gestoken in een nieuw systeem, al je
gebruikers geïrriteerd door ze te dwingen het te gebruiken,
en dan kom je erachter dat het helemaal niet beter is.
Gebeurt maar al te vaak.

Ik vind dat regels 4, 5 en 7 juist ervoor zorgen dat regel 1
gebeurd: Doordat je regelmatig echt nieuwe lange wachtworden
moet verzinnen, is het systeem eigenlijk te complex.

Ik moet op m'n werk maandelijks mijn password veranderen ...
dus wat doe je, zoals bijna iedereen, je verwerkt het
maandnummer erin ... dus ook iemand die je eenmalig je
password hebt gegeven, kan waarschijnlijk binnen 3x proberen
het juiste password wel achterhalen. Zou deze frequentie
minder hoog liggen, is het beter te doen om echt unieke
passwords te kiezen.

Uiteraard is het veranderen van een password goed, maar
eigenlijk vraag ik me af of periodiek vervangen echt nodig
is. Persoonlijk geef ik nooit m'n password aan iemand
anders, en het is een redelijk complex password (met
inderdaad het eerder geschetste probleem dat ik het niet
overal kan gebruiken), is een nieuw password dan echt
veiliger ? Ik betwijvel het.

biometrie

is

niet

geschikt

voor

authenticatie

.

Biometrie is prima geschikt voor authenticatie. En dan hoor ik de
opmerking al komen "maar een vingerafdruk is na te maken". Dat klopt,
maar een wachtwoord is vaak ook te kraken. En zo niet, dan zijn er tal van
andere manieren om de boel te hacken. Denk dat een vingerafdruk in
combinatie met een pincode voor veel dingen een afdoende beveiliging is.
Hangt er een beetje vanaf wat je probeert te beschermen. Irisscanners in
combinatie met een vingerafdruk kan natuurlijk ook, maar kost wat meer.

Ben het helemaal eens met inglorion , de regels 4, 5 en 7 zijn idioot en
werken opschrijven van wachtwoorden in de hand.

Niet eens met Blowfish, een vingerafdruk is een kwartier te kraken en
daarna is ie permanent gecompromitteerd, hij is niet meer herbruikbaar op
anderen plekken, immers je hebt er maar 1 in gebruik (en maar 9 reserve).
En een pincode is al helemaal makkelijk van iemands toetsaanslagen af
te lezen, dat wordt bij bankfraudes maar al te vaak bewezen.

Een goed wachtwoord (in een goed operating system) kraken is heel wat
lastiger. Wordt ie (na veel moeite) toch gekraakt dan het het opnieuw
instellen van een goed wachtwoord voldoende om opnieuw dezelfde
bescherming te geven.
Nee, wachtwoorden zijn nog lang niet aan het einde van hun latijn. Ze
kunnen nog wel versterkt worden door 2 factor authenticatie, door een
goed wachtwoord (geen pincode) te combineren met het bezit van een
chipcard.