image

Microsoft: uitfaseren wachtwoorden verhoogt kosten aanvaller

donderdag 13 juni 2019, 15:07 door Redactie, 20 reacties

Het uitfaseren van wachtwoorden verhoogt de kosten voor aanvallers en moet daarom worden gedaan, zo stelt Ann Johnson, vicepresident van de Microsoft Enterprise Cybersecurity Group. Volgens Johnson is phishing nog altijd de voornaamste manier waardoor aanvallers toegang tot accounts weten te krijgen.

"Daarom proberen we wachtwoorden uit het ecosysteem te krijgen: we willen dat iedereen wachtwoordloos wordt. Als we wachtwoorden uitfaseren gaan de kosten van een aanval omhoog. En dat is wat je wilt, we willen de kosten van aanvallen verhogen", aldus Johnson in een interview met The Irish Times. Eerder deze week liet Microsoft via de eigen website weten dat het van Windows 10 een "wachtwoordloos platform" wil maken.

Met de lancering van de Windows 10 May 2019 Update kunnen gebruikers nu op allerlei manieren accounts zonder wachtwoord aanmaken. In plaats van wachtwoorden ziet Johnson een oplossing in biometrie, zowel voor eindgebruikers als personeel van bedrijven. "Aan het eind van de dag zijn wachtwoorden veel minder betrouwbaar dan biometrie", zo laat ze weten.

Toch zijn niet alle experts over biometrie te spreken. "Biometrie is eenvoudig te stelen. Je laat je vingerafdrukken op alles wat je aanraakt achter, je irisscan overal waar je kijkt", aldus beveiligingsexpert Bruce Schneier in 1998. De expert merkt verder op dat het eenvoudig is om wachtwoorden te wijzigen, maar dat dit bij vingerafdrukken niet mogelijk is. "Biometrie is eenvoudig, gemakkelijk en wanneer goed gebruikt erg veilig. Het is alleen geen wondermiddel."

Internet of Things

Tevens laat Johnson in het interview met The Irish Times weten dat ze geen smart speakers in haar woning heeft. "En dat ben ik ook niet van plan. We hebben allemaal een grens van wat acceptabel is. Ik heb ook nauwelijks Internet of Things-apparaten in huis."

Reacties (20)
13-06-2019, 15:38 door Anoniem
Hoe denken mensen hier over het forceren van veilige wachtwoorden; dus minimaal 15 tekens?
Door mensen tips te geven door te werken met wachtwoordzinnen en het instellen van 2fa, geef je ze namelijk wel de handvatten om de geforceerde maatregel werkbaar te maken.
13-06-2019, 15:43 door Anoniem
Ja nou nee. Al die alternatieven zijn iedere keer weer een stuk controle-overdracht naar andere partijen die het zogenaamd beter weten, zoals, nouja, microsoft bijvoorbeeld. Dus doe dat maar niet.

Wat mij betreft staat deze Ann Johnson allerlei slechte ideetjes voor die helaas maar niet willen sterven.

https://www.theguardian.com/science/2016/jun/28/why-bad-ideas-refuse-die
13-06-2019, 16:30 door Anoniem
Er is nog iets met biometrie:
Biometrie heeft een rechtstreekse link met de persoon die het gebruikt.
Wachtwoorden hoeven dit niet te hebben.

Met biometrie loop je dus veel meer risico dat je je privacy op straat gooit.
En dat is waar nu ook microdinges naar op jacht is.
13-06-2019, 17:36 door Anoniem
Door Anoniem: Hoe denken mensen hier over het forceren van veilige wachtwoorden; dus minimaal 15 tekens?
Wel eens met de gebruikers hierover gesproken? Die zien je aankomen.

Door mensen tips te geven door te werken met wachtwoordzinnen en het instellen van 2fa, geef je ze namelijk wel de handvatten om de geforceerde maatregel werkbaar te maken.
Te veel tips werken weer niet. Gewone tips worden gewoon genegeerd of niet gevolgd. 2FA is daarin een hele oplossing. Liefst via push notification. En alles aan SSO hangen.
13-06-2019, 20:24 door karma4
Door Anoniem: Er is nog iets met biometrie:
Biometrie heeft een rechtstreekse link met de persoon die het gebruikt.
Wachtwoorden hoeven dit niet te hebben.
.....
Je geeft perfect aan waarom biometrie privacy beschermend is. Dat is die directe relatie met de persoon.
Lijkt me vreselijk voor hackers, geen kans meer zoals bij Passwords. Wat nog wel gedaan moet worden zijn serviceaccounts, die moeten nog aan een password nog aan biometrie gekoppeld zijn
13-06-2019, 22:27 door Anoniem
Door karma4: Je geeft perfect aan waarom biometrie privacy beschermend is. Dat is die directe relatie met de persoon.
minitrue zegt het dus het is waar.
13-06-2019, 23:50 door Anoniem
Ik denk dat als je tegen Ann Johnson zegt "kijk daar vliegt een olifant", dat je zo haar handtas pikt en d'r telefoon. Ik denk zelfs dat ze niet eens merkt dat haar dure schoenen ook nog gejat zijn.
14-06-2019, 09:44 door Anoniem
Biometrie heeft een groot nadeel. Opsporingsdiensten kunnenn dit gebruiken om je vergrendelingen te ontsluiten zonder dat jij hier toestemming voor geeft of mee wil werken. Password is altijd nog 'je moet meewerken' of 'brute-force' wat tijd kost.
14-06-2019, 10:34 door Anoniem
Ik werk op een oude desktop zonder webcam met Windows 10. Hoe moet die desktop mijn Iris scannen of mijn vingerafdruk nemen? Ben ik verplicht een nieuwe computer te kopen waar dat soort scanners op zitten als ik verder wil met Windows 10? Ik heb net tegen mijn zin een smartphone met abonnement gekocht omdat de communicatie met de bank, allerlei overheidsorganen en mijn ziekteverzekering erom vroegen. Nu weer een nieuwe computer? Alles bij elkaar wordt de communicatie wel heel wat duurder dan af en toe een postzegel - zoals voor de digitale revolutie.
14-06-2019, 10:49 door SPer
Alle methoden die we gebruiken om ons te authenticeren zijn in de basis onveilig.

Zodra we een weg hebben om bij een system te komen en anderen kunnen deze weg ook gebruiken zal, welke methoden er ook gekozen is, het system hackbaar zijn. Als we het een hacker moeilijker maken (en zorgen dat de informatie niet de moeite van het stelen waard is ) zal deze uitwijken naar de buurman (analoog aan wat inbrekers doen) .

wachtwoorden zijn handig en vervangbaar en samen met 2fa redelijk veilig.

Om belangrijke informatie veilig te bewaren : kooi van faraday. omgeven door niet licht- en geluiddoorlatend materiaal en natuurlijik om niet te vergeten airgapped van welk network dan ook. Daar dit een onmogelijke situatie is (en een USB stick houd ook een risico in, vraag maar aan Iran) , zullen we, vrees ik moeten roeien met de riemen die we hebben. Ik hoop in ieder geval dat Microsoft zich hier niet echt aan gaat wagen......
14-06-2019, 10:55 door Anoniem
Dit is allemaal leuk en aardig maar Microsoft dwingt je zakelijk tot Azure of als consument met een MS-account.

Bedrijven die bewust de cloud negeren worden hier niet in voorzien. Er bestaan wel passwordless on-premise oplossingen maar niet elk bedrijf wil wachtwoorden de nek omdraaien.

Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.
14-06-2019, 11:26 door [Account Verwijderd]
Door Anoniem: Ik werk op een oude desktop zonder webcam met Windows 10. Hoe moet die desktop mijn Iris scannen of mijn vingerafdruk nemen? Ben ik verplicht een nieuwe computer te kopen waar dat soort scanners op zitten als ik verder wil met Windows 10? Ik heb net tegen mijn zin een smartphone met abonnement gekocht omdat de communicatie met de bank, allerlei overheidsorganen en mijn ziekteverzekering erom vroegen. Nu weer een nieuwe computer? Alles bij elkaar wordt de communicatie wel heel wat duurder dan af en toe een postzegel - zoals voor de digitale revolutie.

Je kunt een losse webcam kopen, al vanaf 15 euro bij bol.com
14-06-2019, 11:42 door [Account Verwijderd]
Door Anoniem: Hoe denken mensen hier over het forceren van veilige wachtwoorden; dus minimaal 15 tekens?
Door mensen tips te geven door te werken met wachtwoordzinnen en het instellen van 2fa, geef je ze namelijk wel de handvatten om de geforceerde maatregel werkbaar te maken.

Goed idee op zich maar gaat in de praktijk niet werken. De grootste groep Windows gebruikers zijn Jip en Jannekes en die krijg je makkelijker aan de vingerafdruk of irisscan dan dat ze complexe wachtwoorden gaan onthouden of wachtwoord managers gaan gebruiken. 2FA snappen ze al helemaal niet.
14-06-2019, 13:00 door Anoniem
Door Anoniem:
Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.

Een Azure MFA server installeren on-prem?
Die mogelijkheid zit er naar mijn weten al vanaf dag 1 (dat Azure MFA uit kwam) in...
14-06-2019, 17:22 door Anoniem
Door Kili Manjaro:
Door Anoniem: Ik werk op een oude desktop zonder webcam met Windows 10. Hoe moet die desktop mijn Iris scannen of mijn vingerafdruk nemen? Ben ik verplicht een nieuwe computer te kopen waar dat soort scanners op zitten als ik verder wil met Windows 10? Ik heb net tegen mijn zin een smartphone met abonnement gekocht omdat de communicatie met de bank, allerlei overheidsorganen en mijn ziekteverzekering erom vroegen. Nu weer een nieuwe computer? Alles bij elkaar wordt de communicatie wel heel wat duurder dan af en toe een postzegel - zoals voor de digitale revolutie.

Je kunt een losse webcam kopen, al vanaf 15 euro bij bol.com
Is die goed genoeg voor een iris scan? En een vingerafdruk scanner kost?
14-06-2019, 17:54 door Anoniem
Door Anoniem: Dit is allemaal leuk en aardig maar Microsoft dwingt je zakelijk tot Azure of als consument met een MS-account.

Bedrijven die bewust de cloud negeren worden hier niet in voorzien. Er bestaan wel passwordless on-premise oplossingen maar niet elk bedrijf wil wachtwoorden de nek omdraaien.

Naar mijn weten is er geen 2FA-optie on-prem, met wachtwoord en een andere factor (biometrisch of met app).
Derde partijen doen het wel maar MS niet.
Waarom dwingt Microsoft je?

Je kan het inderdaad met Azure AD afnamen, maar je kan ook een 3de partij gebruiken voor je MFA.
En Je kan ook gewoon Azure MFA onprem draaien op je eigen infrastructuur.

Er zijn dus mogelijkheden genoeg zonder dwang....
15-06-2019, 14:28 door Anoniem
Ze gelooft zeker dat een hardwarematige read-only beveiligings oplossing een biometrisch gescheiden beveiligings systeem kan beschermen EN kan beveiligen.

Als er dan iets gejat mag worden uit een database heb ik liever een wachtwoord uit een afgeschermde database.
Een vingerafdruk die gejat wordt uit een futoristisch computer systeem heeft veel ernstigere consequenties dan zo'n wachtwoord.
Allebei (wachtwoord of vingerafdruk) doen ze hetzelfde, namelijk het openen van deuren, echter bij de een beperkt de schade zich tot de diefstal van de gegevens, maar bij de laatste wordt niet alleen de data gestolen, maar ook je verdere persoonlijke leven bedreigt en moet je tot aan je dood met het feit leven dat die ene gemakzuchtige beslissing strategisch toch niet de slimste destijds was, en blijf je altijd moeten omkijken. De een is veranderbaar, de andere is een eID zoals de EU dat wil, want dan krijgt iedereen een niet-uitwisbare stempel op zijn voorhoofd. De natste droom van elke forensische onderzoeker..

Nee doe mij maar old fashioned wachtwoord.Desnoods met een USB tooltje met daarin een groot wisbaar/veranderbaar bestand dat voor de chaos zorgt dat mijn privacy behouden blijft.
15-06-2019, 21:12 door karma4
Door Anoniem:
Door karma4: Je geeft perfect aan waarom biometrie privacy beschermend is. Dat is die directe relatie met de persoon.
minitrue zegt het dus het is waar.
Als je enige optie is om op de man te spelen maar geen inhoudelijke argumenten hebt, d an toon je je ongelijk en onkunde. Dank je voor de bevestiging dat ik goed zit.
16-06-2019, 15:11 door Anoniem
Microsoft is een bedrijf net zoals google dat jouw emails leest.
Nu ze dat mogen en iedereen het accepteert, willen ze meer.

Ja het is echt waar, tog heeft iedereen windows omdat er geen keuze is.
Waarom willen ze per se mijn email lezen ?, een bedrijf dat zoveel geld verdient.
Je kan ze niet vertrouwen.
17-06-2019, 00:31 door Anoniem
.
Met de NSA op de achtergrond zitten je mooie looks of vingerafdruk binnen no-time in hun databases. je zult maar 15 minuten voordat een zelfmoordaanvaller zich opblies op dezelfde stoel in een café hebben gezeten.

"They're coming to take me away haha, ….."

https://www.youtube.com/watch?v=TXZMZ-XvvzI
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.