Internetgebruikers doen er verstandig aan om een wachtwoordmanager en tweefactorauthenticatie te gebruiken, zo laat het Nationaal Cyber Security Center (NCSC) van de overheid vandaag weten. Volgens de overheidsdienst komt het nog steeds vaak voor dat gebruikers simpele wachtwoorden kiezen, wat het makkelijker voor aanvallers maakt om toegang tot een account te krijgen. Daarom is er nu een speciale factsheet (pdf) met advies over wachtwoorden en aanvullende beveiligingsmaatregelen gepubliceerd.

Om online accounts te beschermen krijgen gebruikers het advies om tweefactorauthenticatie in te schakelen, ook wel tweestapsverificatie genoemd. Hierbij worden gebruikers bij het inloggen aan de hand van twee "factoren" geauthenticeerd, zoals een wachtwoord en een authenticatiecode die via sms is verstuurd. Dit moet voorkomen dat als een aanvaller het wachtwoord van een gebruiker weet hij direct op het account kan inloggen. Hiervoor heeft hij dan ook het tweede kanaal nodig, zoals de smartphone waar de authenticatiecode naar toe wordt verstuurd.

Wachtwoordmanager

Het tweede advies van het NCSC gaat over het gebruik van een wachtwoordmanager. Hiermee kunnen wachtwoorden worden beheerd en in sommige gevallen ook gegenereerd. Volgens het NCSC is het grote voordeel van wachtwoordmanagers dat ze wachtwoorden versleuteld opslaan en de gebruiker maar één hoofdwachtwoord hoeft te onthouden. Toch is ook het gebruik van een wachtwoordmanager niet zonder risico.

"Een nadeel is dat alle wachtwoorden op dezelfde plek worden bewaard. Wanneer de wachtwoordmanager wordt gecompromitteerd, krijgt kwaadwillende toegang tot alle wachtwoorden van de gebruiker", aldus de overheidsdienst. Gebruikers kunnen uit twee soorten wachtwoordmanagers kiezen, namelijk online en offline. "Een online wachtwoordmanager is handiger, een offline wachtwoordmanager is veiliger", laat het NCSC verder weten.

"Een voordeel van een offline wachtwoordmanager is dat de gebruiker zelf de controle heeft over het beheer van zijn wachtwoorden. Hij slaat zijn wachtwoorden lokaal op en is niet afhankelijk van de beveiliging van een clouddienst. Hij is dan ook zelf verantwoordelijk voor de beveiliging van de plek waar hij zijn wachtwoorden opslaat. Een nadeel van een offline wachtwoordmanager is dat de gebruiker ook in dit geval de versleutelingstechniek van de wachtwoordmanager moet vertrouwen."

Gevoeligheid

In het geval dat een gebruiker niet voor een wachtwoordmanager kiest raadt het NCSC aan om accounts in te delen op basis van gevoeligheid en wachtwoorden te kiezen op basis van de schade die met een account veroorzaakt kan worden. Het gaat dan om accounts met een lage waarde, zoals accounts voor websites waar geen persoonlijke informatie is opgeslagen, en accounts met een hoge waarde, zoals e-mailaccounts en accounts van banksites. Tot slot adviseert de overheidsdienst om sterke wachtwoorden te gebruiken en een uniek wachtwoord voor elk account te kiezen.