Kraken van wachtwoorden

Pas op voor je digitale identiteit: regelmatig je wachtwoord veranderen, zorg dat het een complex wachtwoord is en vooral niet uitlenen aan anderen!

Goede tips en we blijven bezig om mensen ervan te overtuigen om verstandig om te gaan met hun accounts en hun wachtwoorden. Jawel, we blijven daarmee bezig. Want ja, als je wachtwoord door een ander gebruikt wordt, dan is je identiteit (je account) gestolen. En dan is alles wat met dat account wordt gedaan eigenlijk onbetrouwbaar geworden. Dus uitlenen is uit den boze, maar ook moet je ervoor zorgen dat je wachtwoord zo complex is, dat een crimineel het niet zomaar kan kraken, want dat is wel het grootste probleem dat ons kan overkomen.

In mijn vorige blog (weg met wachtwoorden) gaf ik al aan dat kraken van wachtwoorden, wat mij betreft, niet het grootste probleem is. Integendeel. Wachtwoorden worden niet gekraakt. In ieder geval niet zomaar. Want hoe kom je als crimineel, of dienaar van een of andere overheid, aan een wachtwoord? Waar staat zo’n wachtwoord? Nou, dat is simpel, een wachtwoord staat in een bestand op een computer. En hoe kom je er dan aan? Door dat bestand te openen. En hoe open je zo’n bestand? Door het op te zoeken. Kijk, daar gaat het fout voor de crimineel. Je kunt niet zomaar bij een bestand met wachtwoorden komen. Dat is namelijk heel goed beveiligd. Het bestand met wachtwoorden op een computer is zodanig beveiligd, dat, ook al weet je waar het staat, je er niet zomaar bij kunt. Dus als een computer, of een server, op een standaard manier is beveiligd, dan kan niemand er zomaar bijkomen, ook een crimineel niet. Een crimineel kan niet vanaf het internet het wachtwoord van mijn pc vinden. Een crimineel kan ook niet zomaar het wachtwoord afluisteren. Op een lokaal netwerk kan dat niet (het is versleuteld of er is gewoonweg geen verbinding mogelijk) en op het internet is het ook niet zomaar af te luisteren. Waar zou je ook moeten afluisteren? Tussen een pc en een server? Ja, maar vindt maar eens een stek waar dat kan. Nee, ik geloof er niet in.

De belangrijkste drempel voor een crimineel is fysieke toegang tot een computer of het netwerk. Als je met je vingers aan een computer of aan een netwerkapparaat kunt komen, dan is een wachtwoord niet te beveiligen. En dan kun je een wachtwoord zo complex maken als je wilt, het is gewoonweg niet te beveiligen. Een crimineel kan dan op heel veel manieren een wachtwoordenbestand vinden, ontcijferen, overschrijven, wijzigen, wat hij of zij maar wil. Dus de belangrijkste aanbeveling is hoe dan ook fysiek afschermen van wachtwoordenbestanden!

Als een crimineel niet op deze manier bij een wachtwoordenbestand kan komen, dan is hij kansloos. Tenzij… En die tenzij is wel spannend, tenzij een hacker via een reguliere manier misbruik van fouten kan maken. En dat gebeurt nog te vaak. Websites die niet goed zijn gebouwd, bieden de mogelijkheid om vanaf het internet in te breken op het wachtwoordenbestand van die website. En dat leidt dan tot de vele publicaties over gelekte persoonsgegevens.

En natuurlijk wordt er door criminelen misbruik van vertrouwen gemaakt. Als iemand door een crimineel wordt verleid om op een linkje in een onveilig e-mailbericht of op een onveilige website te klikken, dan heeft zo’n crimineel ook een grote kans om bij het wachtwoord van een gebruiker te komen. Niet door fysiek in de computer in te breken, maar via het internet. Deze manier van misbruik komt ook regelmatig voor en dat leidt dan tot grote security rampen, denk aan wat onlangs naar voren kwam over het hacken van bankaccounts. Criminelen krijgen de wachtwoorden op die manier in de schoot geworpen. Natuurlijk zijn heel veel wachtwoorden niet zomaar te gebruiken. Als je een wachtwoordenbestand vindt, dan moet je het misschien wel ontcijferen, maar dat is tegenwoordig niet meer zo heel moeilijk. Er zijn op het internet wel conversietabellen (rainbow tables) te vinden waarin ook de meest complexe wachtwoorden voorkomen.Zo werden we vorig jaar opgeschrikt door het bericht dat er 1.2 miljard wachtwoorden gestolen waren. het was misschien niet helemaal een goed signaal, maar ook ons NCSC werd erdoor geprikkeld…

De meest spannende conclusie is eigenlijk dat het kraken van wachtwoorden niet het grootste risico is. Al die campagnes om vooral moeilijke wachtwoorden te gebruiken adresseren eigenlijk de verkeerde dreiging. Wachtwoorden worden niet zomaar gekraakt, ze worden vooral gevonden. Dus daar moet je wat aan doen. Zorg dat mensen weerbaar worden tegen verleidingen en dat systemen weerbaar zijn tegen criminelen die wachtwoorden proberen te vinden. Zorg er vooral voor dat mensen weten dat ze niet overal hetzelfde wachtwoord voor moeten gebruiken. Als het namelijk een keer ergens is gevonden, dan kan het overal worden hergebruikt…

Die wachtwoorden, ach, daar moeten we gewoon maar van af. Als je geen wachtwoord hebt, dan kun je het ook niet kwijtraken, toch?