Wachtwoordsterkte en beleid

Entropie meet onvoorspelbaarheid in bits. Een wachtwoord dat 94 afdrukbare ASCII-tekens gebruikt: elk teken voegt ongeveer 6,5 bits toe. Een wachtwoord van 16 tekens heeft ongeveer 104 bits entropie en is in de praktijk niet met bruteforce te kraken.

Lengte is belangrijker dan complexiteit: "correcthorsebatterystaple" > "P@ss1".

Aanvallers weten dat gebruikers kiezen voor:

• Woorden uit het woordenboek met eenvoudige vervangingen (p@ssw0rd)
• Persoonlijke informatie (geboortedatum, naam van huisdier)
• Toetsenbordpatronen (qwerty, 123456)
• Bedrijfsnaam + jaartal
• Overal hetzelfde wachtwoord

Effectief wachtwoordbeleid (volgens NIST SP 800-63B):

• Minimaal 8 tekens (12 of meer heeft de voorkeur)
• Controleer wachtwoorden aan de hand van lijsten met bekende gelekte wachtwoorden
• Verplicht niet dat wachtwoorden regelmatig worden gewijzigd (dit moedigt zwakke wachtwoorden aan)
• Stel geen willekeurige complexiteitsregels verplicht die gebruikers proberen te omzeilen
• Sta plakken toe zodat wachtwoordbeheerders kunnen worden gebruikt

Een wachtwoordbeheerder genereert en bewaart unieke, sterke wachtwoorden voor elk account achter één hoofdwachtwoord. Dit voorkomt hergebruik van wachtwoorden — de hoofdoorzaak van aanvallen waarbij gestolen inloggegevens automatisch worden hergebruikt.

Populaire opties: Bitwarden (opensource), 1Password, KeePass, Dashlane.

Een wachtzin — vier of meer willekeurige woorden — combineert onthoudbaarheid met hoge entropie. "TrafficLampFrogBridge" is veiliger dan "T!@#k7" en veel gemakkelijker te onthouden en te typen.

Voor bedrijfsomgevingen:

• Stel een minimale lengte verplicht via Group Policy / IdP
• Blokkeer veelgebruikte wachtwoorden (lijst met de 100.000 meest gebruikte)
• Schakel MFA in voor alle accounts
• Controleer logboeken op patronen van wachtwoordspraying en bruteforce-aanvallen
• Gebruik LAPS om wachtwoorden van lokale beheerders regelmatig te wijzigen

HaveIBeenPwned (HIBP) van Troy Hunt bevat miljarden gestolen inloggegevens. Organisaties kunnen de HIBP-API gebruiken om wachtwoorden te blokkeren die in bekende datalekken zijn aangetroffen.

Je kunt je e-mailadres controleren via haveibeenpwned.com.

Biometrische gegevens (vingerafdruk, gezicht) zijn handig, maar hebben beperkingen: je kunt ze niet wijzigen als ze gecompromitteerd raken. Je gebruikt ze het best als tweede factor naast een sterk wachtwoord, niet als vervanging.

Passkeys (FIDO2/WebAuthn) vervangen wachtwoorden door cryptografische sleutelparen. De privésleutel verlaat het apparaat nooit. Vanwege het ontwerp bestand tegen phishing — er is geen wachtwoord om te stelen. Apple, Google en Microsoft hebben ze ingevoerd.

Sterke wachtwoorden zijn vooral gebaseerd op lengte en uniciteit, en minder op complexe regels voor tekens. Wachtwoordbeheerders lossen het probleem van hergebruik op. De richtlijnen van NIST bevelen aan wachtwoorden te controleren aan de hand van databases met gelekte gegevens in plaats van regelmatige wijzigingen af te dwingen. Passkeys (FIDO2) zijn de phishingbestendige toekomst van authenticatie.