[SEC] Schneider: stop afschermen wachtwoorden met sterretjes

[Bor]

Onlangs riep Jakob Nielsen op te stoppen met het afschermen van wachtwoorden met sterretjes bij het invoeren. Nielsen kreeg recentelijk bijval van Bruce Schneier.

Schneier: "Het wordt tijd om wachtwoorden in leesbare tekst te tonen als gebruikers ze invoeren. Het geven van feedback en het visualiseren van de systeemstatus is altijd onderdeel van het standaard bruikbaarheids-principe geweest. Het tonen van een aantal sterretjes als gebruikers complexe code invoeren, voldoet hier zeker niet aan."

Nielsen: "Internetgebruikers die een wachtwoord invoeren, moeten dit gewoon kunnen zien, in plaats dat er sterretjes worden getoond. "Het maskeren van wachtwoorden verhoogt niet eens de beveiliging, maar vanwege inlogfouten jaagt het bedrijven wel op kosten"

Schneider vult nog aan:

"Schoudersurfen is een uitzondering en leesbare wachtwoorden verminderen het aantal fouten. Het irriteert me al tijden dat ik niet kan zien wat ik bij mijn Windows login, PGP etc, invoer."

Bron

Wat vinden de Tweakers? Is schoudersurfen inderdaad een overschat risico en schuilt er geen gevaar in het leesbaar weergeven van wachtwoorden bij het intypen?

Poll: Wachtwoorden afschermen of niet?
• Jazeker, afschermen blijft nodig
• Nee, afschermen van wachtwoorden is onnodig
• Geen menig of het maakt mij niet uit

^{Ook een poll maken? Klik hier}

[Pendaco]

Bor de Wollef schreef op zondag 28 juni 2009 @ 13:53:

"Het maskeren van wachtwoorden verhoogt niet eens de beveiliging, maar vanwege inlogfouten jaagt het bedrijven wel op kosten"

Geeft wel aan wat het uitgangspunt was

Ik heb respect voor Nielsen en al het werk wat hij doet, zit zelf ook in dat wereldje, maar met al het skimmen en al die camera's die overal hangen en/of in de mobieltjes zitten, denk ik dat dit niet heel verstandig is.

Wellicht is een globale instelling voor het systeem mogelijk zodat je een verschil tussen publiek en privé kunt maken maar denk dat dit enkel verwarrend werkt.

Heb zelf (op werk) ook wel eens gehad dat de TAB niet goed werkte en ik m'n wachtwoord vrolijk in het username gedeelte aan het invullen was, je kijkt toch altijd even rond

[Mike2k]

Ik denk dat het gewoon aan de gebruiker overgelaten moet worden. Zo moeilijk is dat niet...

[Jazzy]

Kijk eens hoe vaak je op een gemiddelde dag ergens een wachtwoord in geeft, ik moet er niet aan denken dat dit telkens leesbaar op het scherm te zien is. Er lopen, zeker op de werkplek, allerlei mensne om je heen waarvan je niet wilt dat zij ook gelijk je wachtwoord weten.

Hoge kosten door overlast van inlogfouten? Zet dat maar eens af tegen de kosten die gevolg zijn van het meelezen zijn van wachtwoorden. Trouwens, er zijn betere manieren om dat op te lossen. Zoals zelf-hulp systemen voor gebruikers die hun wachtwoord kwijt zijn of opnieuw in willen stellen.

[Bor]

Fastex schreef op zondag 28 juni 2009 @ 14:07:
Ik denk dat het gewoon aan de gebruiker overgelaten moet worden. Zo moeilijk is dat niet...

Interessante stelling. Ik denk dat we ons in dat geval ook moeten afvragen waar de verantwoordelijkheid ligt in het geval het wel mis gaat. Een gestolen wachtwoord kan erg moeilijk te bewijzen zijn.

[leuk_he]

Het feit dat het nu niet instelbaar is is het probleem.

In openbaren ruimte is **** beter.


@pendanko,
het argument can camera's is juist NIET goed. Want met een camera kun je een toetsenbord opnemen en is het een fluitje van het cent om de aanslagen die op het toetsenbord te reproduceren door het langzaam af te spelen.

[_JGC_]

Hoe vaak ik wel niet samen met iemand achter de PC zit en even moet inloggen als administrator of het een en ander moet doen met een wachtwoord... ik heb dan geen zin om mijn wachtwoord op het scherm te zien verschijnen.
Zelf gebruik ik overigens een OS waarbij wachtwoorden nog iets veiliger gemaskeerd worden: je ziet gewoon helemaal niks als je een wachtwoord invoert. Zo krijgt de schouderkijker ook geen idee van hoeveel tekens je wachtwoord bevat.

[Bor]

leuk_he schreef op zondag 28 juni 2009 @ 14:11:
Het feit dat het nu niet instelbaar is is het probleem.

In openbaren ruimte is **** beter.


@pendanko,
het argument can camera's is juist NIET goed. Want met een camera kun je een toetsenbord opnemen en is het een fluitje van het cent om de aanslagen die op het toetsenbord te reproduceren door het langzaam af te spelen.

Op zich is het moment van kwetsbaarheid natuurlijk wel korter bij het maken van bv foto's. Bij het intypen zul je elke keer dat er een karakter word ingetypt een foto moeten maken. Wanneer het wachtwoord compleet zichbaar is kan men met slechts 1 foto volstaan.

[Haan]

De beste oplossing zou natuurlijk zijn om met een bepaalde toetscombinatie te kunnen schakelen tussen wel/niet weergeven van de werkelijke tekens. Sinds Windows Vista kan je dat ook al doen bij het invoeren van een wachtwoord voor draadloze netwerken (maar dan met muisklik )

[stftweaker]

tuurlijk moet dat blijven. aangezien je bijna niemand echt kan vertrouwen. een wachtwoord is iets heel erg persoonlijks. en wat je dan ook gaat krijgen is dat iedereen voor elke service een ander wachtwoord neemt. want als iemand een wachtwoord weet is dit niet gelijk van elke service. wat ga je krijgen mensen gebruike simpele wachtwoorden of gaan deze op zeker vergeten of sticky notes ofsow. en ja als ik mijn wachtwoord even ergens moet invoeren kan ik moeilijk iedere keer vragen of die persoon zich even wil omdraaien of uit de ruimte weg te gaan.

[jeanj]

Wat het al een stuk beter zou maken is een vinkje waarmee je het ww wel of niet kan zien, of met de mouse over het wel of niet zichtbaar maken, mocht je het willen controleren. Default sterretjes is wel prima.

Daarnaast heeft dacht ik opera op mijn mobiel het zodanig geimplementeerd dat de laatste ingetikte letter even zichtbaar is.

[Ruudjah]

Masker niet weghalen. Je kan misschien met een camera ook de toetsaanslagen opnemen, maar dit is noch altijd een drempel hoger dan een fotootje nemen op het moment dat iemand de submit button indrukt. Bovendien werk ik ook met wachtwoorden in publieke plaatsen, waar dus iedereen met één blik m'n wachtwoord kan kapen. Ik moet er niet aan denken.

De gedachte is goed: meer usability. Maar ik denk dat netto er minder usability komt door de ellende wat dit gaat veroorzaken. Ik ben zelf ook usability freak, maar dit offer wil ik nog wel maken.

Wat bijvoorbeeld wél interresant is, is om de juist ingetypte letter 200-500msec weer te geven, en dan over te laten gaan in een maskerteken. Dan heb je wel de controle van de gebruiker, maar ook nog min of meer de veiligheid. Alléén mensen die over je schouder meekijken kunnen dan je wachtwoord alsnog kapen. Ik denk dat dit zeker een goed tussenvorm is die toepasbaar is op een aantal plaatsen waar het maskeren van wachtwoorden minder belangrijk is. Zoals bijvoorbeeld inlogaccountjes op nieuwssites.

[g0tanks]

Wat Ruudjah voorstelt vind ik wel een goed idee. Op de iPhone/iPod Touch heb je ook zoiets. het laatst getypte teken is eventjes zichtbaar en veranderd dan daarna na een sterretje.

[Verwijderd]

Bij pinautomaten moet de automaat hardop uitspreken wat iemand heeft ingedrukt. Speciaal voor slechtziende mensen...

EEN - ACHT - VIJF - DRIE

Jezus, wat heeft die Jakob Nielsen af en toe al onzin lopen verkondigen, en nu gaat die andere opa ook meedoen. Ze vertellen echt niet alleen maar onzin, maar dit slaat echt weer eens nergens op.

Als iemand het wachtwoord van mijn werk kan meelezen heb ik een groot probleem. Je kunt er enkele miljoenenbedrijf makkelijk mee in diskrediet brengen. Dan lijkt het me toch wat waard om gewoon mijn wachtwoord voor mezelf te kunnen houden. Ook je collega's gaat een wachtwoord niks aan.

Dat opa's met een slecht geheugen en slechte motoriek wat hulp nodig hebben, ok, maar dit slaat weer nergens op.

[Marzman]

Op Windows Mobile is het even (een seconde ongeveer) leesbaar voor het in een sterretje veranderd. Dat is nodig omdat je per toets 3 tot 4 tekens kan hebben op een telefoon.

Maar de sterretjes moeten gewoon blijven. Iedereen is er aan gewend en als je ergens een foutje maakt kun je alles weghalen en opnieuw beginnen. Zeker in bedrijven lijkt het risico dat er iemand achter je meeleest te groot (in thuissituaties maakt het niet zo veel uit)

[Bor]

Verwijderd schreef op zondag 28 juni 2009 @ 14:37:

Jezus, wat heeft die Jakob Nielsen af en toe al onzin lopen verkondigen, en nu gaat die andere opa ook meedoen. Ze vertellen echt niet alleen maar onzin, maar dit slaat echt weer eens nergens op.

...

Dat opa's met een slecht geheugen en slechte motoriek wat hulp nodig hebben, ok, maar dit slaat weer nergens op.

Sorry maar dit slaat gewoon nergens op. Bruce Schneier is van 1963.

Ik vind zelf de optie om het laatste character kort te laten zien indien er bv een bepaalde tijd een pauze in het is geweest de beste verdeling tussen veiligheid en usability. Het laatste karakter hoeft immers niet zichtbaar te zijn wanneer iemand redelijk snel doortypt en dus blijkbaar redelijk zeker van zijn of haar zaak is.

[Johnny]

Het zichtbaar maken van het laatste karakter is alleen een goed idee voor mobiele apparaten. Wanneer je scherm is aangesloten op een beamer kan alsnog het hele publiek meelezen. Een beter alternatief voor desktopcomputers zou zijn een toets of knop die je ingedrukt moet houden wanneer het wachtwoord veld focus heeft, wellicht met een kleine vertraging om te voorkomen dat iemand het per ongeluk indrukt.

[Ruudjah]

Poll: Is tijdelijk wél het karakter tonen een goed alternatief?
• Ja, altijd
• Ja, soms
• Nee.

^{Ook een poll maken? Klik hier}

[Verwijderd]

...

[ Voor 99% gewijzigd door Verwijderd op 29-05-2018 17:05 ]

[_JGC_]

De door jou voorgestelde aanpassing zou dus alle hashingmethodes aan de kant zetten omdat wachtwoorden plaintext opgeslagen moeten worden zodat je ze kunt vergelijken.

[Bor]

Verwijderd schreef op zondag 28 juni 2009 @ 17:42:
Qua usability heb ik het volgende idee, ik ben wel benieuwd naar jullie mening.

Een foutmarge is een slecht idee omdat je de sterkte van een wachtwoord gewoon enorm naar beneden haalt. In plaats van 10^4 mogelijkeden bij gebruik van alleen 0 t/m beperk je je tot bv 10^3 (dus 1 character mag fout zijn). Een wachtwoord is goed of fout en niet 95% goed.

[g0tanks]

Verwijderd schreef op zondag 28 juni 2009 @ 17:42:
Ik vind dit een zeer slecht idee. Veel mensen hebben wachtwoorden als boomfiets oid. Je ziet het en je onthoud het. Een beter alternatief zou ik een extra button vinden waarop een 2e login scherm verschijnt welke geen sterretjes heeft. Dan hou je de keuze aan de gebruiker zelf.

Als het niet optioneel is voorzie ik een hoop problemen op:

- plaatsen waar camera's zijn
- Mensen die even wat aan vrienden willen laten zien via hun mail etc

Qua usability heb ik het volgende idee, ik ben wel benieuwd naar jullie mening. Stel je stelt een fout marge van x% in bij een wachtwoord bijv. Je wachtwoord is KJYGlu89KJ$a maar je typt in KJYGlu89KJ$s of KJYGlu89KJ#a zeg maar de simpele typo's. Dit zou goedgekeurt moeten worden (en qua inperken van de mogelijkheden valt het wel mee). Een type als KJYGlu89KJ$l wordt overigens niet geaccepteerd dus alleen voor de hand liggende typo's max 1 of 2 per wachtwoord.

Nog iets, tokens daarbij zou ik het wel een goede optie vinden omdat die toch om de minuut veranderen. Het liefst wel weer in combi met een wachtwoord (dat weer met sterretjes werkt).

Waarom zou die laatste niet goedgekeurd worden? Omdat de I ver van de s ligt ofzo? Maar hoe ga je dan rekening houden met de verschillende toetsenbordlayouts?

[Bor]

g0tanks schreef op zondag 28 juni 2009 @ 17:59:
[...]


Waarom zou die laatste niet goedgekeurd worden? Omdat de I ver van de s ligt ofzo? Maar hoe ga je dan rekening houden met de verschillende toetsenbordlayouts?

Niet alleen verschillende toetsenbord layouts maar ook verschillende character sets? Arabische / aziatische tekens? Behandel je die als gelijk aan westerse characters?

[ Voor 6% gewijzigd door Bor op 28-06-2009 18:10 ]

[Verwijderd]

...

[ Voor 99% gewijzigd door Verwijderd op 23-05-2018 15:36 ]

[DeTeraarist]

"Schoudersurfen is een uitzondering en leesbare wachtwoorden verminderen het aantal fouten. Het irriteert me al tijden dat ik niet kan zien wat ik bij mijn Windows login, PGP etc, invoer."

Dit snap ik dan niet, het lijkt me een logisch gevolg van de sterretjes dat schoudersurfen nu een uitzondering is. Als we straks weer karakters zien gaat iedereen juist weer meekijken en moeten we ons extra breed gaan maken voor onze nieuwe breedbeeld. De 17" beeldschermpjes van vroeger kon ik achter m'n lichaam nog wel verstoppen, maar met de 23" modellen wordt dat toch wat moeilijker

[Ruudjah]

Goed verhaal tegenin Nielsen.

[Verwijderd]

Ik vind dat je gewoon een bepaald basisbesef van veilig omgaan met een PC moet hebben, en anders moet je van die dingen afblijven. Dus goede wachtwoorden gebruiken, en ook blind je ww kunnen typen in een veld van sterretjes.

[LuckY]

Wilt die man persé aandacht hoe de F*ck kom je erbij om dit te verzinnen, kan je net zo goed iedereen een banner op zijn monitor geven waar de wachtwoorden opstaan.
of post-its.
Zoals ik ergens anders een reactie las is dat usability het tegenover gestelde is van security.
Hoe makkelijker een computer bedienbaar is hoe minder veilig deze is (geen rechten verschil/automatische inlog). Hoe minder makkelijk te gebruiken hoe veiliger (denk aan meerdere passwords, meerdere account namen/manueel inloggen).

[Verwijderd]

_JGC_ schreef op zondag 28 juni 2009 @ 14:13:
Zelf gebruik ik overigens een OS waarbij wachtwoorden nog iets veiliger gemaskeerd worden: je ziet gewoon helemaal niks als je een wachtwoord invoert. Zo krijgt de schouderkijker ook geen idee van hoeveel tekens je wachtwoord bevat.

Ik gebruik dagelijks hetzelfde OS en ik blijf het inderdaad erg prettig vinden om helemaal niets te zien als ik een password invoer. Sterretjes is toch weer net iets onveiliger

[bord4kop]

Veiligheid ieder systeem zit tussen scherm en stoel.

spoiler:

de gebruiker dus

Asteriksen om een wachtwoord te maskeren of gewoon laten zien?

Maskeren of niet, mijn vrouw bijvoorbeeld, ziet precies wat mijn wachtwoord is door naar mijn vingers te kijken, dan heeft maskeren of zelfs helemaal niets laten zien op het scherm totaal geen zin.

Wat te denken als je een wachtwoord moet ingeven op een groot scherm /beamer, met honderden pottekijkers (Aan de andere kant, het zou beter zijn als dat niet nodig was, ligt dan dus misschien aan de inrichting van het systeem )


Mogelijke oplossing

Wij -beheerders- leren altijd om het wachtwoord retesnel te typen, das niet te volgen.

Persoonlijk draai ik me altijd even om als iemand zijn / haar wachtwoord typt. En dat zou iedereen moeten doen!
Je moet gewoon de ander vragen om even om te draaien, niet te kijken.
Ik zeg / vraag dat zowiezo altijd als ik een admin wachtwoord in moet geven.

Op mijn werk-laptop heb ik een vingerscanner, helemaal ideaal, geen geziek met wachtwoorden ingeven.
En een tweede vingertje (2e verantwoordelijke) geregistreerd voor als er wat met mij gebeurt.

[dinkelover]

We vergeten hier dat het om jan en alleman gaat. Niet om tweakers, laat staan systeem beheerders. Een wachtwoord blind kunnen laten typen? Wat denk je zelf? Bedenk eens het percentage mensen dat met 2 vingers typt, of gewoon simpel: nauwelijks kunnen typen. Dat zijn er nog héél veel! (including me btw, dat wil zeggen, gebruik 4 vingers oid. Nooit typcursus gehad, maar kan mijn wachtwoorden wel <1s ingevoerd krijgen gelukkig). Het duurt nog decennia eer iedereen de (verplichte?) typcursus heeft gehad die men de afgelopen jaren aan leerlingen geeft.

Ik ben het overigens gedeeltelijk eens met dhr Schneider. Het kost bedrijven veel (valt wel mee denk ik zelf), maar het kost bedrijven ook veel als de security in het gedrang komt. Moet goed worden afgewogen. En wanneer wordt er een wachtwoord afgekeken? Zelden, omdat het prima beschermd is zoals het nu is. Als we het open maken.. marktwerking, vraag en aanbod Er zullen vele makkelijkere onopvallende trucjes komen om wachtwoorden op die manier te verkrijgen.

Zoals al eerder werd geopperd, de optie binnen Vista WAC bij invoering van de beveiligingssleutel voor draadloos netwerk, "Tekens weergeven" is een mooi voorbeeld hoe het ook kan. (Zéér effectief voor een helpdesk voor internetproviders). Nu zou je nog kunnen twijfelen over het feit wel of geen sterretjes te laten zien in afgeschermde status. Maar ik denk dat sterretjes geen kwaad kunnen. Laat voor de systemen waar het wachtwoord écht belangrijk is ook de sterretjes achterwege en ook geen optie deze te laten zien. Deze systemen worden (hoop ik) toch bediend door deskundigen. Die grens is ook makkelijk te trekken voor bedrijven.

[Ruudjah]

Verwijderd schreef op maandag 29 juni 2009 @ 06:05:
Ik vind dat je gewoon een bepaald basisbesef van veilig omgaan met een PC moet hebben, en anders moet je van die dingen afblijven. Dus goede wachtwoorden gebruiken, en ook blind je ww kunnen typen in een veld van sterretjes.

Dat vind ik juist helemaal niet. Tegenwoordig heb je zoveel goede alternatieven voor input, en veel betere interfaces dan pakweg 10 jaar geleden. Denk dan aan de iPhone, project Natal, Xbox, Media Center en ja; dat zijn ook computers. Misschien kan je die dingen beter classificeren als appliances. Voor typen heb je misschien wel een punt voor professioneel en semi-professioneel gebruik (op 't werk).

We vergeten hier dat het om jan en alleman gaat. Niet om tweakers, laat staan systeem beheerders. Een wachtwoord blind kunnen laten typen? Wat denk je zelf? Bedenk eens het percentage mensen dat met 2 vingers typt, of gewoon simpel: nauwelijks kunnen typen.

Juist daarom.

[Verwijderd]

Ik blijf er bij: mensen die de basic skills missen om een ww blind te typen horen niet achter een PC te zitten. Het is een mooie, en notabene superlage, drempel. Mensen die dit al niet lukt, zullen altijd problemen met een PC hebben. Zet ze dan niet achter zo'n ding zonder een cursus om de skills op te vijzelen.