Welk wachtwoord is beter: ieatkale88 of iloveyou88. Volgens deelnemers aan een Amerikaans onderzoek zijn beide wachtwoorden ongeveer even veilig, aangezien het om woorden uit een woordenboek gaat aangevuld met cijfers. De werkelijkheid is anders, zo stellen onderzoekers van de Carnegie Mellon University. Volgens de onderzoekers toont hun onderzoek aan dat gebruikers een verkeerde perceptie hebben van wat een veilig wachtwoord is en hoe aanvallers precies te werk gaan bij het kraken van wachtwoorden.

Het onderzoek (pdf) liet deelnemers verschillende wachtwoorden beoordelen. In het geval van ieatkale88 of iloveyou88 werden beide wachtwoorden als even veilig ingeschat. De onderzoekers ontwikkelden een model om beide wachtwoorden te kraken, waarbij het blijkt dat ieatkale88 vier miljard meer pogingen vereist om te kraken, aangezien de woordenreeks 'iloveyou' één van de meestgebruikte in wachtwoorden is.

"Hoewel deelnemers over het algemeen goed wisten wat een wachtwoord sterk of zwakker maakt, waren er ook belangrijke misvattingen over hoe wachtwoorden worden aangevallen en gingen deelnemers er ten onrechte vanuit dat wachtwoorden slechts een klein aantal pogingen om geraden te worden moeten kunnen weerstaan", zegt onderzoeker Blase Ur. Zo dachten deelnemers dat een wachtwoord met cijfers en symbolen een sterk wachtwoord is, wat niet altijd het geval is.

Zo vonden de deelnemers dat p@ssw0rd veel veiliger is dan pAsswOrd, maar uit het aanvalsmodel van de onderzoekers blijkt dat het kraken van pAssw0rd 4.000 meer pogingen vereist dan p@ssw0rd. Voor veel kraakprogramma's is het voorspelbaar om letters door getallen te veranderen. Een mogelijke oplossing voor het probleem is om gebruikers meer informatie te geven. Zo laten sommige websites wel zien dat de gebruiker een zwak of sterk wachtwoord kiest, maar wordt er niet uitgelegd waarom.