Dwing mij niet om wachtwoorden in te stellen die te lang zijn om in mijn hoofd te onthouden. Want dan moet ik die wachtwoorden ergens op gaan schrijven of in een "wachtwoordmanager" in de "cloud" onderbrengen, waardoor ik juist kwetsbaarder wordt.

Het ministerie van "Justitie en Veiligheid" heeft zichzelf met het digidrammen in een hoek geschilderd, en probeert het probleem nu af te wentelen op burgers die dan van het ministerie langere wachtwoorden moeten maken.

Blijkbaar hebben de ambtenaren nog nooit gehoord van rainbow tables.
En dat moet de CBW gaan handhaven.

Langer biedt ook bij snelle genereren van willekeurige tokens een grotere mathematische kans op een match plus de kans dat mensen als gebruiker hulpmiddelen gaan inzetten voor paswoorden en dus toevoeging van een single point of faillure.

Rainbow tables zijn niet meer relevant. GPU's kunnen dit vaak sneller kraken mits het wachtwoord dus niet lang (genoeg) is. Daarnaast is salt (en pepper) een prima methode om rainbowtables volledig nutteloos te maken.

Blijkbaar zijn alle ambtenaren in uw ogen hetzelfde en bent u onbekend met hoe de Cbw gehandhaafd gaat worden. Maar goed, u heeft een mening en die uit u. Gefeliciteerd.

Dat hangt wat af van de context: Als je wachtwoord echt willekeurig is, minstens 12 tekens lang is, uniek is en niet voorkomt in gelekte databases, dan hebben rainbow tables in de praktijk nauwelijks nog waarde.

Blijkbaar heeft de Drs niet gehoord van moderne KDFs waar rainbow tables totaal nutteloos zijn.

Wat is het toch met die posters die altijd vliegen moeten gaan zitten afvangen op een standaard advies voor een 'gemiddelde situatie' dat gewoon helemaal prima is ?

In een bijzondere situatie geef je een maatwerkadvies, maar als je iets roept voor "internetgebruikers' is 'minimaal 12' helemaal prima .

Ja duurt precies 2-5 seconden langer. Wachtwoordzin is beter maar ook hier met voorwaarden. 2FA is veel beter maar ook niet onfeilbaar. Mooiste zijn altijd de +1 wachtwoorden.

Echter: Een lang wachtwoord en 2FA helpt geen zier tegen phishing. Controleer dus altijd het hangslotje. Kijk of je verbinding hebt met de juiste site.

Bovendien is het verlies van bijvoorbeeld het device waar je passkeys op staan drama omdat je jezelf dan met 2FA hebt buitengesloten tot je eigen accounts en data. Het recoveren van een account met 2FA is niet altijd even makkelijk zonder die tweede factor.

Ook is er een verschil tussen wachtwoorden die via een interface moeten worden gebruteforced. En wachtwoorden waarvan je de hash hebt gestolen. Dat laatste kan veel sneller en daarvoor zijn de 12 (random) tekens nodig. Voor de beheerinterface van je modem kan je met veel minder tekens toe.

Oh? Hoe stel ik die als gebruiker in? Is dat even goed als de 2FA die ze aanraden? ;-)

Dat weet ik ;)
Maar er zijn zo veel verschillende adviezen over wachtwoorden, van lengtes tot complexiteit en Microsoft die adviseert (op basis van 16 jaar oud "onderzoek") dat je hem helemaal neit hoeft te wijzigen, dat ik een beetje afvraag waar deze blogpost van het ministerie voor dient.
Nog afgezien dat je best op wat plekken een wachtwoord zin vaak niet eens mag gebruiken of speciale tekens niet mogen.
En 2FA op e-mail is vaak al helemaal lastig, gebruik je bijvoorbeeld IMAP dan kan het eigenlijk niet eens (er is wel een mogelijkheid gebruik van certificaten, niet echt 2FA, maar dat implementeert niemand).

Blijkbaar heb je nog nooit gehoord van salts? Hierdoor hebben rainbow tables amper nut. Daar bovenop, ieder zichzelf respecterend bedrijf/website/platform gebruikt Argon2 of Bcrypt hashing voor wachtwoorden, waar ieder wachtwoord een eigen salt heeft, waardoor rainbow tables nog minder dan amper nut hebben.

Op zich geen slecht advies, ik denk dat dit al beter is dan 80% van de mensen qua wachtwoord. Maar een beter advies zou zijn "gebruik een wachtwoord manager". Nu gaan mensen alsnog afgeleide wachtwoorden maken, of ze ergens opschrijven :)

app based passwords voor mail. Elk apparaat zijn eigen set en primary inlog houdt je voor als beheer nodig is en zet je MFA op. Hang alle aparaten in een eigen MDM en je hebt een stevige basis om vanaf te werken.

Tja, complexe(re) wachtwoorden zijn in alle omstandigheden beter, dus ik denk dat het ministerie dat ook wel begrijpt. Echter, alle kritiekpunten zijn terecht en daarom is de stapel maatregelen naast gebruik van sterke wachtwoorden wat de verdediging sterk (of zwak) maakt. Maak gebruik van beheerste apparaten verplicht bijvoorbeeld. Om er maar eens eentje te noemen.
Ach ja.

Als wachtwoorden op de juiste wijze gesalt zijn, dan zijn rainbow tables al nauwelijks effectief. Bovendien leveren ook langere wachtwoorden problemen op voor het gebruik van rainbow tables.

Uiteindelijk staat en valt alles met de complexiteit van het wachtwoord. Doorgaans worden wachtwoorden buitgemaakt doordat de aanvaller een hele database vol hashes van wachtwoorden weet te stelen, en daarna ruim de tijd heeft om te proberen te achterhalen welke wachtwoorden die hashes opleveren. Wachtwoorden uit eerdere lekken, bestaande woorden, zinnen, standaard lettervervangingen (o = 0, i = 1), en "hoofdletter aan het begin, uitroepteken aan het eind" zijn veel gebruikte patronen die als eerste gecheckt worden omdat die de meeste hits opleveren.

Zorg voor een voldoende lang en voldoende random wachtwoord dat je niet overal opnieuw gebruikt (wachtwoord-managers zijn hier heel nuttig voor), en de kans dat je wachtwoord binnen een redelijke termijn te kraken valt, wordt vrij klein.

Minimaal twaalf tekens lijkt een vrij redelijk advies op dit moment.

Passwordless FTW

Deze gebruik ik, niks in de cloud. Al mijn wachtwoorden zijn 64 tekens lang. en kun je met KeePassXC genereren.
Het hoofdwachtwoord bestaat uit 7 Nederlandse woorden die ik op een blaadje staan mocht ik het ooit vergeten.

Verder gebruik ik niet te veel website's,met een account, en zit ik op bijna geen forum :-)

https://keepassxc.org/

#nofurthercomment

Passkey + 2FA ... zou een hele mooie combi zijn ( is het een idee ? )

Voor wat het waard is: Of een dienstverlener wachtwoorden 'salt' kun je over het algemeen niet weten.

Klinkt goed. Maar eh... je hebt toch wel ergens een backup van je database, voor het geval je apparaat het loodje legt?

Ben je een enorme autist met een geheugen beter dan 99.9999% van de bevolking, of ben je gewoon dom en eigenwijs ?

De lengte van wat mensen acceptabel kunnen onthouden (en ook nog random genoeg is) is al lang veel korter dan wat je "veilig" kunt noemen .
Nog meer gezien het ook erg valide advies om verschillende passwords te gebruiken.

Nu zit het hier vol sneeuwvlokjes die graag vertellen hoe speciaal en anders ze zijn , maar van de set adviezen sinds de jaren 80 is "niet opschrijven" gewoon van de lijst gegaan , omdat random, lang genoeg, en verschillend veel relevanter zijn.

Als je meer dan de titel leest : dit was een algemeen advies aan "prive personen" . ('internet gebruikers') .

Prima om "rustige" (geen wilde, onbeheerste) apparaten te nemen , maar wat stel je je precies voor qua verplicht "beheerde" apparaten voor prive personen/prive gebruik ?

Ach ja... lezen...

Wachtwoordmanagers zijn ook niet veilig en cloud dus ook niet
wat beter is maar wat meer moeite kost is een notitieboekje
pen en papier (wat ook meer privacy geeft i.p.v de cloud)

Dat is toch niet zo moeilijk als je kijkt wat er staat .
De zoveelste algemene advies voorlichting voor gewone mensen .

En dat soort dingen kun je niet genoeg herhalen - en moet je net simpel en haalbaar genoeg maken voor de doelgroep .


Voor de doelgroep (gewone 'internetgebruikers' )is e-mail "webmail" en dan kan 2FA prima .

En zoals je gemerkt (kunt) hebben als ze in deze materie zit : de 'grote' providers zijn heel hard bezig om imap-met-hetzelfde-password-als-de-login uit te roeien .

Dat is onder water een passkey of oauth2 geworden , die zo af en toe gerefreshed wordt via een login waarbij dan weer de 2e factor vereist is .
Zie bv alle boze fetchmail gebruikers van gmail, en de erg matige kludges .

Niemand dwingt jou, het is een advies. Het gebruik van een "wachtwoordmanager" in de "cloud" zoals je dat zelf zegt is niet per definitie kwetsbaarder dan alles in je hoofd onthouden. Daarnaast kan je mij niet vertellen dat jij voor 150 accounts uit je hoofd het wachtwoord onthoudt.

Geen idee wat je bedoelt met "in een hoek schilderen" en hoe dat zich verhoudt tot advies om langere wachtwoorden te maken.

Denk is een keer na voordat je een opmerking plaatst. Je doet nu ongefundeerde uitspraken. Zo houden we het niveau op security.nl ook wat hoger ;)

Ik heb mijn eigen methodiek in mijn hoofd maar die ga ik hier natuurlijk niet vertellen.
Vroeger konden mensen hele boeken uit hun hoofd, bv. de bijbel, alleen niet zo precies als moet met wachtwoorden.
Daarnaast verstandig om zo min mogelijk systemen te gebruiken en zelf losgekoppeld te blijven. Dat geeft vrijheid.

Boeken letterlijk onthouden kon ook wel - omdat het boek niet veranderd , erg vaak herhaald wordt (opdreunen WERKT, als je gewoon moet onthouden) , en juist helemaal niet "random" is .

In teksten bedoeld om te onthouden en voordragen (niet lezen)- zoals de Ilias en Odyssea , zitten enorm veel herhalende aanduidingen :

De listige Odysseus, de snel-voetige Achilles etc etc. Dat was om het reciteren en onthouden makkelijker te maken .

Het leeft nog voort in de basisschool : kofschip , meneer van dale wacht op antwoord . (in plaats van de reeks letters).

Het maakt de tekst wel langer, maar voegt dus geen informatie toe - en wat een password nodig heeft is genoeg "informatie" (jargon : entropie) . Een langer woord of 'gewone zin', of een bijbelvers, of een gedicht strofe bevat relatief weinig informatie is dus net zo makkelijk te vinden .

Anyway : een niet veranderend boek (of gedicht) na jaren van herhalen letterlijk onthouden is niet ontzettend bijzonder en in elk geval niet relevant voor wat een wachtwoord nodig heeft : iets wat _wel_ zo af en toe veranderd moet worden, wat je niet hoorbaar gaat zitten opdreunen, en wat genoeg "informatie" bevat binnen een intikbaar aantal karakters .

Allemaal precies het tegenovergestelde van een bijbel, of heldendichten of Duitse grammatica vervoegingen.

Verder is een paswoord met een structuur schema meestal ook slecht : welkomjan2026 welkomfeb2026 zijn de heel slechte voorbeelden.

Je mag natuurlijk zo eigenwijs doen als je wilt, maar je "advies" is gewoon een slecht advies.

Ik ben dus hacker, en het boeit allebij geen kanker zolang je het goede wachtwoord maar raad. Pure bruteforcing is tering traag omdat je biljoen opties hebt. Social engineering (wachtwoorden aanpassen naar de gebruiker of wachtwoorden hergebruiken) is veel beter.

Kortom lange complexe wachtwoorden zijn goed / sterk ook voor wifi netwerken (je gebruikt alleen liever radius) maar ook daar geld dat lange complexe wachtwoorden sterker zijn, mschapv2 kraken bvb

Als je op phihing let hoeft een 2FA toch niet (bij een sterk wachtwoord.
Bij internetbankieren overigens moet het met een scanner(ING)
daar dus beter wel . Maar minder belangrijke accounts niet.
Email lijkt me erg belangrijk. Dus wel weer 2FA
Of zoals bij google extended protection met hardware key only

klopt het worden steeds meer layers toegevoegd wat niet gemakkelijk werkt maar je kan uitbreiden naar hardware Yubikeys, die zelfs van een pin voorzien, maar je moet ze niet kwijtraken inderdaad...