In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.

Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.

Deze week de tip van Martijn Grooten

Het kiezen van een veilig wachtwoord
Het voordeel van het kiezen van een veilig wachtwoord is dat het een eenvoudig uit te leggen en in principe ook eenvoudig op te volgen advies is. En het helpt ook nog: zo'n wachtwoord voorkomt écht dat zelfs de meest geavanceerde krakingsalgoritmen er millennia over doen alvorens ze je wachtwoord kraken.

Maar als je écht wilt voorkomen dat je wachtwoord bekend wordt, zul je ook moeten zorgen dat de dienst die je gebruikt de wachtwoorden niet in platte tekst opslaat, noch op een manier die indirect gekraakt kan worden. Je moet er ook voor zorgen dat de dienst geen cross-site scripting lekken heeft, waardoor anderen je account kunnen overnemen en wellicht je wachtwoord kunnen wijzigen.

De computers waar vanaf je het wachtwoord intypt moeten geen keyloggers geïnstalleerd hebben en evenmin andere malware die je wachtwoord kan achterhalen. En het protocol waarover je het wachtwoord verstuurt moet geen lekken bevatten die het voor anderen mogelijk maken om de verbinding en daarmee je wachtwoord te kraken.

Geen van dit alles heb je zelf in de hand. (Het spreekt voor zich dat lezers van deze site diensten en computers vermijden waarvan zulke lekken bekend zijn.)

Ooit wordt het bekend
Het is daarom goed bij het kiezen van een wachtwoord te bedenken dat het ooit aan derden bekend wordt, ongeacht hoe moeilijk je het kraken van een wachtwoord ook maakt. Dat is iets waar je je dus bewust van moet zijn tijdens de keuze van het wachtwoord.

Idealiter kies je daarom een dienst die twee-factor authenticatie aanbiedt, in elk geval voor alle accounts die écht belangrijk zijn. Wie op elke slak zout legt zal er graag op wijzen dat twee-factor authenticatie niet zonder problemen is, maar voor de meeste mensen is het veilig genoeg. Mits je je realiseert dat het sturen van een sms naar de telefoon vanwaar je ook het wachtwoord intypt géén twee-factor authenticatie is.

De meeste diensten bieden het echter niet aan en in veel gevallen is dat begrijpelijk: voor het forum van de plaatselijke visvereniging is het teveel gedoe, te duur en de extra veiligheid niet waard. Voor een e-mailaccount dat je alleen gebruikt om nieuwsbrieven op te ontvangen is het waarschijnlijk evenmin nodig.

Maar wat je wel altijd kunt, en daarom moet, doen is het kiezen van verschillende wachtwoorden. Eentje voor elk account, hoe veel het er ook zijn. Voor de tientallen niet zo belangrijke accounts zijn kleine variaties (voeg de initialen van de site of een jaartal toe) geen probleem, zolang je er maar voor zorgt dat de krakers van het ene account niet automatisch in alle andere accounts kunnen inloggen - met alle gevolgen van dien.

Wat dat betreft is het met accounts net als met banken: als er eentje instort is dat buitengewoon vervelend. Maar als ze zo met elkaar verbonden zijn dat ze automatisch allemaal omvallen is het pas écht een ramp.

Martijn Grooten test spam-filters en web-filters voor Virus Bulletin, waarvoor hij ook over diverse andere beveiligingsonderwerpen schrijft.

Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.