Goede wachtwoorden voor systeembeheerders

[bregweb]

We hebben hier op onze afdeling systeembeheer een discussie over goede wachtwoorden. Het is niet zo dat we 1 wachtwoord zoeken, maar we beheren switches, camera's, servers NAS enz enz.

Ik persoonlijk ben van de eenvoud en ik vind Ikbeheereenswitch een goed wachtwoord dat ook makkelijk te onthouden is. Ik weet dat *&^12hjbg56hjgui78JHJFSD# een beter wachtwoord is, maar als je dat dagelijks 5 keer moet intypen ga je ook omwegen verzinnen die de veiligheid verminderen.

Een wachtwoordmanager is een oplossing, maar die heb ik niet altijd paraat als ik door het bedrjif heen loop.

Wat gebruiken jullie voor methode om veiligheid en werkbaarheid te combineren?

[Rikkiz0r]

Voor alles een ander wachtwoord en een KeePass database die ik dmv. Dropbox tussen verschillende apparaten synchroniseer

[Room42]

ikbeheereenswitch is geen goed wachtwoord omdat het contextgerelateerd is. "Fiets exe bach nacht" is dan beter. Dat staat allemaal los van elkaar en de context.

[ReTechNL]

Ik kan maar niet vaak genoeg deze afbeelding laten zien:
http://xkcd.com/936/

[ Voor 37% gewijzigd door ReTechNL op 20-03-2015 13:40 ]

[Japie07]

Is het misschien een optie om wachtwoordzinnen te gebruiken? Bijvoorbeeld: 'Pietje vindt het wachtwoord voor de switch op de 3e verdieping erg sterk, maar Henk vindt van niet!' -> Pvhwvdsod3ves,mHvvn! Zo kan je ze wel makkelijker onthouden.

[DJMaze]

Overal waar mogelijk mijn SSH key en SSH accepteerd alleen keys

[jeroen3]

Een wachtwoord van minimaal 10 karakters met speciaal teken, cijfer en hoofdletter is toch niet zo moeilijk te onhouden?
Zeker als je een "pronounceable" generator gebruikt valt het reuze mee.

[Room42]

DJMaze schreef op vrijdag 20 maart 2015 @ 13:48:
Overal waar mogelijk mijn SSH key en SSH accepteerd alleen keys

Heb jij maar één key dan?

[Room42]

jeroen3 schreef op vrijdag 20 maart 2015 @ 13:50:
Een wachtwoord van minimaal 10 karakters met speciaal teken, cijfer en hoofdletter is toch niet zo moeilijk te onhouden?
Zeker als je een "pronounceable" generator gebruikt valt het reuze mee.

Nee, één wachtwoord niet nee Maar nu heb je 25 of 250 accounts... Daar ga je niet steeds hetzelfde wachtwoord voor gebruiken.

Ik zou sowieso ook een password manager opteren. Inderdaad is KeePass hier geschikt voor, zeker als je instelt dat bij opslaan "synchronize" geforceerd wordt. Wel goed backuppen, natuurlijk, en daar echt een sterk wachtwoord op zetten.

[DJMaze]

Room42 schreef op vrijdag 20 maart 2015 @ 13:50:
Heb jij maar één key dan?

Ja ik gebruik maar één 4k key voor alles, en elke medewerker moet zijn eigen 4k key hebben.
Ik plaats dan hun public key op het apparaat waar zij toegang toe mogen hebben.
De private key heeft natuurlijk een wachtwoord zin.

Meer dan 4 keys op je pc is sowieso onhandig vanwege sshd beveiliging.
Stel, je roept het volgende aan

code:

ssh [e-mail]

Dan zou ssh elke key moeten proberen op example.com totdat het lukt.
Meeste ssh servers accepteren niet meer dan 5 pogingen en dan krijg je een error melding.

[Brad Pitt]

ReTechNL schreef op vrijdag 20 maart 2015 @ 13:39:
Ik kan maar niet vaak genoeg deze afbeelding laten zien:

Dit heb ik nooit geweten Dacht altijd dat aantal leestekens, cijfers en letters veiliger zou zijn dan een aantal random woorden achter elkaar. Dus bijv. (soms moét je een cijfer gebruiken) tweakers2015vlakoe is "super" veilig?

[Room42]

Brad Pitt schreef op vrijdag 20 maart 2015 @ 14:03:
[...]

Dit heb ik nooit geweten Dacht altijd dat aantal leestekens, cijfers en letters veiliger zou zijn dan een aantal random woorden achter elkaar. Dus bijv. (soms moét je een cijfer gebruiken) tweakers2015vlakoe is "super" veilig?

Naar mijn mening zitten daar nog teveel voorspelbare gegevens in. Tweakers en 2015 welteverstaan. "Metselaars 20@% vla koe" maakt hem alweer beter, imho. (@% zijn "hoofdletters" 15 ) En ik gebruik ook spaties omdat dat lekker wegtypt.

[Brad Pitt]

Room42 schreef op vrijdag 20 maart 2015 @ 14:49:
Naar mijn mening zitten daar nog teveel voorspelbare gegevens in. Tweakers en 2015 welteverstaan. "Metselaars 20@% vla koe" maakt hem alweer beter, imho. (@% zijn "hoofdletters" 15 ) En ik gebruik ook spaties omdat dat lekker wegtypt.

Ah okay, duidelijk! Geen idee waarom maar ik ging er eigenlijk van uit dat spaties zelden zouden mogen

[Room42]

Brad Pitt schreef op vrijdag 20 maart 2015 @ 14:52:
[...]

Ah okay, duidelijk! Geen idee waarom maar ik ging er eigenlijk van uit dat spaties zelden zouden mogen

Als het goed is worden wachtwoorden niet als zodanig opgeslagen en is het resultaat een spatieloze hash van het wachtwoord zelf. Het zou dus totaal niet uit mogen maken welke tekens je in je wachtwoord stopt.

[Davidshadow13]

Brad Pitt schreef op vrijdag 20 maart 2015 @ 14:03:
[...]

Dit heb ik nooit geweten Dacht altijd dat aantal leestekens, cijfers en letters veiliger zou zijn dan een aantal random woorden achter elkaar. Dus bijv. (soms moét je een cijfer gebruiken) tweakers2015vlakoe is "super" veilig?

Voor een brute-force aanval op je wachtwoorden geldt gewoon hoe langer hoe beter want hoe meer karakters hoe meer informatie en dus hoe meer mogelijkheden en dus langer om te kraken. Dat is ook wat dat plaatje verteld. Als je echter veel informatie in context gaat gebruiken dan is de kans dat je wachtwoord geraden wordt door een dictionary attack (of gewoon door een persoon) een stuk groter.

Bij een switch is het logisch gezien makkelijker om voor die switch het wachtwoord te raden als het woord switch daar in voorkomt. Net als bij routers het wachtwoord "admin" op basis van bovenstaande net zo veilig is als "!H0x" zal admin toch veel vaker worden geraden dan het tweede wachtwoord.

Voor makkelijk te onthouden wachtwoorden die toch sterk zijn zou ik altijd een zin van uit de context gehaalde woorden aanraden die ook niks met die machine te maken hebben. Dus woorden als switch, windows, pc e.d. niet gebruiken. Iets als "mierenlustengeenappelsin2015" is in mijn ogen een sterk wachtwoord, complete bullshit dus lastig te raden en genoeg karakters om lastig te kraken te zijn en makkelijk te onthouden

[hans_lenze]

Als ik het echt moet onthouden ga ik voor volzinnen. Omdat ik met een kleine nogal veel kinderliedjes zing is het vaak een variatie daarop. Iets als "Wolkje, wolkje, aan de wand, wolkje, wolkje, aan de kant!"
Alle andere wachtwoorden staan in een Keepass database.

[downtime]

ReTechNL schreef op vrijdag 20 maart 2015 @ 13:39:
Ik kan maar niet vaak genoeg deze afbeelding laten zien:
http://xkcd.com/936/
[afbeelding]

Stop er maar mee. Het voorbeeld wat ze geven is misleidend. De indruk wordt gewekt dat je alleen maar vier alledaagse woorden achter elkaar hoeft te plakken en dan een password met een gigantisch hoge entropie hebt. Dat klopt alleen als een aanvaller "dom" is en een pure brute force attack doet waarbij hij elke denkbare combinatie van karakters probeert.
En aangezien de meeste mensen toch relatief simpele passwords gebruiken hoef je ook niet aan te nemen dat een aanvaller de brute force methode hanteert.

Zodra dat niet het geval is stort je entropie in omdat er in de praktijk beperkingen aan zo'n passphrase zijn. Die is namelijk niet opgebouwd uit random karakters maar uit een (relatief) kleine set alledaagse woorden die gewoon in een woordenboek terug te vinden zijn.
Feitelijk is helemaal niet aan te geven hoe hoog de entropie is, want dat is afhankelijk van de aannames die je doet, zoals de omvang van de woordenschat van de eigenaar van het password. En die woordenschat is relatief klein. Je kunt de entropie wel weer wat verhogen door hoofdletters en kleine letters te mixen, bepaalde letters door andere tekens te vervangen, etc. Maar dan verlies je het voordeel van passphrases weer, namelijk dat ze eenvoudig te onthouden zijn.

[Megamind]

downtime schreef op dinsdag 24 maart 2015 @ 03:05:
[...]

Stop er maar mee. Het voorbeeld wat ze geven is misleidend. De indruk wordt gewekt dat je alleen maar vier alledaagse woorden achter elkaar hoeft te plakken en dan een password met een gigantisch hoge entropie hebt. Dat klopt alleen als een aanvaller "dom" is en een pure brute force attack doet waarbij hij elke denkbare combinatie van karakters probeert.
En aangezien de meeste mensen toch relatief simpele passwords gebruiken hoef je ook niet aan te nemen dat een aanvaller de brute force methode hanteert.

Zodra dat niet het geval is stort je entropie in omdat er in de praktijk beperkingen aan zo'n passphrase zijn. Die is namelijk niet opgebouwd uit random karakters maar uit een (relatief) kleine set alledaagse woorden die gewoon in een woordenboek terug te vinden zijn.
Feitelijk is helemaal niet aan te geven hoe hoog de entropie is, want dat is afhankelijk van de aannames die je doet, zoals de omvang van de woordenschat van de eigenaar van het password. En die woordenschat is relatief klein. Je kunt de entropie wel weer wat verhogen door hoofdletters en kleine letters te mixen, bepaalde letters door andere tekens te vervangen, etc. Maar dan verlies je het voordeel van passphrases weer, namelijk dat ze eenvoudig te onthouden zijn.

Als je 2 wachtwoorden neemt:

code:

Ke@pmY4$$S4f!

code:

keep my password safe please

Bruteforce aanval van de eerste, 13 tekens, 77 verschillende tekens, ongeveer 3.3²⁴ combinaties, de tweede: 28 tekens, 26 verschillende tekens, ongeveer 4.4³⁷ combinaties.

Als we van het tweede wachtwoord uitgaan dat het altijd lowercase is en dat het alleen bestaat uit Engelse woorden, dan nemen we voor het gemak het Engelse woordenboek waar 171.476 woorden inzitten (Oxford English Dictionary).

Als we 5 woorden hebben dan moeten we dus al 1.4²⁶ combinaties checken, en 6 woorden is dus al 7.4⁴¹ combinaties.

Dus zelfs met een dictionary attack is het lastig te onthoude wachtwoord alsnog minder veilig dan een simpel zinnetje van 5 woorden uit het Engelse woordenboek. Nederlands wordt helemaal lastig aangezien je woorden aan elkaar kan zetten.

Nu kan je moeilijk gaan doen met geavanceerde dictionary attacks die de kans op een vervolgwoord statistisch bepalen, maar dan nog blijven lange wachtwoorden veiliger dan gekke wachtwoorden.

[ Voor 4% gewijzigd door Megamind op 24-03-2015 03:41 ]

[CyBeR]

downtime schreef op dinsdag 24 maart 2015 @ 03:05:
[...]

Stop er maar mee. Het voorbeeld wat ze geven is misleidend. De indruk wordt gewekt dat je alleen maar vier alledaagse woorden achter elkaar hoeft te plakken en dan een password met een gigantisch hoge entropie hebt. Dat klopt alleen als een aanvaller "dom" is en een pure brute force attack doet waarbij hij elke denkbare combinatie van karakters probeert.
En aangezien de meeste mensen toch relatief simpele passwords gebruiken hoef je ook niet aan te nemen dat een aanvaller de brute force methode hanteert.

Zodra dat niet het geval is stort je entropie in omdat er in de praktijk beperkingen aan zo'n passphrase zijn. Die is namelijk niet opgebouwd uit random karakters maar uit een (relatief) kleine set alledaagse woorden die gewoon in een woordenboek terug te vinden zijn.
Feitelijk is helemaal niet aan te geven hoe hoog de entropie is, want dat is afhankelijk van de aannames die je doet, zoals de omvang van de woordenschat van de eigenaar van het password. En die woordenschat is relatief klein. Je kunt de entropie wel weer wat verhogen door hoofdletters en kleine letters te mixen, bepaalde letters door andere tekens te vervangen, etc. Maar dan verlies je het voordeel van passphrases weer, namelijk dat ze eenvoudig te onthouden zijn.

Dan snap je dus het hele concept niet.

Dat woordenboekverhaal is niet helemaal juist. Dat wil zeggen, het hele punt is dat je ze uit een woordenboek haalt omdat je 't dan kunt onthouden. Bij elk woord zie je 11 blokjes staan. Dat betekent 11 bits aan entropie. M.a.w., elk woord is er één die compleet willekeurig gekozen is uit een lijst van 2¹¹ = 2048 woorden. (Of iets minder willekeurig uit een grotere lijst.)

Neem daar vier woorden van en je hebt dus 44 bits aan entropie: (2¹¹)⁴ oftewel 2048 * 2048 * 2048 * 2048. Da's best veel mogelijkheden. En dan ga je er vanuit dat je aanvaller precies weet hoe je wachtwoorden in elkaar zitten en welke lijst woorden je gebruikte. Dat is in werkelijkheid vaker niet dan wel zo, en dan gaat 't dus nog langzamer.

Het gaat er ook specifiek niet om dat 'correct horse battery staple' een beter wachtwoord zou zijn dan 'o9/ta2*s9lt)l8{7', want dat is inderdaad niet zo. Het gaat er om dat 't beter is dan wat de meeste mensen doen om een wachtwoord te maken: een woord uit het woordenboek nemen en er wat karakters in wijzigen.

[Verwijderd]

CyBeR schreef op dinsdag 24 maart 2015 @ 03:59:
Bij elk woord zie je 11 blokjes staan.

Misschien begrijp ik je verkeerd, maar het gaat er toch juist om dat elk woord geen 11 blokjes waard is, omdat ze voorspelbaarder zijn, omdat ze uit een woordenboek komen? Je hebt geen 11 willekeurige tekens.

[CyBeR]

Verwijderd schreef op dinsdag 24 maart 2015 @ 04:02:
[...]

Misschien begrijp ik je verkeerd, maar het gaat er toch juist om dat elk woord geen 11 blokjes waard is, omdat ze voorspelbaarder zijn, omdat ze uit een woordenboek komen? Je hebt geen 11 willekeurige tekens.

11 willekeurige (écht willekeurige) tekens zouden dan ook geen 11 blokjes zijn maar 88. (In de praktijk is je character set gelimiteerd en kun je niet stellen dat 1 char = 8 bits entropy, dus 't is minder.)

Basically, 1 bit entropy betekent 2 mogelijkheden, die beide even waarschijnlijk zijn want willekeurig. 11 bits entropy betekent dus 2048 mogelijkheden.

[ Voor 24% gewijzigd door CyBeR op 24-03-2015 04:07 ]

[downtime]

Megamind schreef op dinsdag 24 maart 2015 @ 03:39:
Als je 2 wachtwoorden neemt:

code:

Ke@pmY4$$S4f!

code:

keep my password safe please

Bruteforce aanval van de eerste, 13 tekens, 77 verschillende tekens, ongeveer 3.3²⁴ combinaties, de tweede: 28 tekens, 26 verschillende tekens, ongeveer 4.4³⁷ combinaties.

Als we van het tweede wachtwoord uitgaan dat het altijd lowercase is en dat het alleen bestaat uit Engelse woorden, dan nemen we voor het gemak het Engelse woordenboek waar 171.476 woorden inzitten (Oxford English Dictionary).

Ik zat er inderdaad naast door Tr0ub4dor&3 als een serie random karakters te zien in plaats van een gewoon woord met wat standaard substituties. Maar het gebruik van gewone woorden in een passphrase is niet veel beter omdat het phrases oplevert die kwetsbaar zijn voor statistische analyse en die dus potentieel hetzelfde probleem hebben.

Jij gaat zelf ook de fout in door de aanname dat het om willekeurig gekozen woorden uit een woordenboek met (in jouw voorbeeld) 171.476 woorden gaat. De woordenschat van normale mensen ligt in de orde van 10-20.000 woorden, 30.000 is al uitzonderlijk, en met wat statistisch onderzoek is vast wel te bepalen welke (combinaties van) woorden meer gebruikt worden dan andere. Woorden gebruiken die je normaal zelden of nooit gebruikt, en waarvan je de betekenis misschien niet eens kent, is ook niet veel makkelijker te onthouden dan willekeurige karakters.

CyBeR schreef op dinsdag 24 maart 2015 @ 04:05:
Basically, 1 bit entropy betekent 2 mogelijkheden, die beide even waarschijnlijk zijn want willekeurig. 11 bits entropy betekent dus 2048 mogelijkheden.

2048 is een stuk reëeler dan 171.476 en waarschijnlijk zelfs aan de conservatieve kant. Probleem is alleen dat onmogelijk te voorspellen is hoe willekeurig die woorden in de praktijk gekozen worden. Als veel mensen woorden kiezen die je toevallig op een gemiddelde werkplek om je heen ziet (bureau, stoel, computer, raam, deur, etc), dan daalt die entropie weer een stuk.

Eerlijk gezegd is de hele discussie ook wat onzinnig. Passwords zijn per definitie onveilig en dat geldt zeker voor passwords die we willen onthouden want die zullen relatief voorspelbare patronen volgen.

[CyBeR]

downtime schreef op dinsdag 24 maart 2015 @ 10:57:
[...]

2048 is een stuk reëeler dan 171.476 en waarschijnlijk zelfs aan de conservatieve kant. Probleem is alleen dat onmogelijk te voorspellen is hoe willekeurig die woorden in de praktijk gekozen worden. Als veel mensen woorden kiezen die je toevallig op een gemiddelde werkplek om je heen ziet (bureau, stoel, computer, raam, deur, etc), dan daalt die entropie weer een stuk.

Klopt. Het idee bij die 11 bits is wel dat je dus die lijst van 2048 hebt (met redelijke woorden die de meeste mensen kennen) en daar dan echt random uit kiest. Of beter: laat kiezen door een programma.

Overigens kom je ook bij 11 bits uit als je iets minder random bezig bent uit een lijst van, zeg, 10000 woorden.

Point is: je maakt best veel mogelijke combinaties op die manier en omdat 't resultaat ook nog 's heel lang is, is 't heel moeilijk om 't te bruteforcen. Zelfs als je de opmaak en de lijst precies weet wat dus zoals ik al zei meestal niet zo is.

En ik ben nog steeds van mening dat de simpele toevoeging van een spatie in je ww de meeste mensen al compleet om de tuin leidt omdat niemand schijnt te weten dat dat (meestal) kan.

[ReTechNL]

Maar het punt wat jullie allemaal vergeten is dat de aanvaller niet weet wat de lengte van jouw wachtwoord is en hoe deze is opgebouwd. Dan moet de aanvaller de persoon kennen. En dat is in 99,99% niet het geval. Tenzij de aanval specifiek gericht is op 1 persoon en de aanvaller veel meer onderzoek heeft verricht naar deze persoon.

[CyBeR]

CyBeR schreef op dinsdag 24 maart 2015 @ 03:59:
[...]

En dan ga je er vanuit dat je aanvaller precies weet hoe je wachtwoorden in elkaar zitten en welke lijst woorden je gebruikte. Dat is in werkelijkheid vaker niet dan wel zo, en dan gaat 't dus nog langzamer.

[Standeman]

Rikkiz0r schreef op vrijdag 20 maart 2015 @ 13:33:
Voor alles een ander wachtwoord en een KeePass database die ik dmv. Dropbox tussen verschillende apparaten synchroniseer

^^ 100% dit

Ik heb ook gewoon mijn KeePass db in dropbox hangen en kan hem van elk device (linux dev, andriod phone, en online) benaderen.

Keepass ww is zoiets als "#St4nd3m4n is echt niet gek hoor!!11oneone" en verander ik regelmatig.

Dan heb je voor al je accounts altijd een sterk wachtwoord dat je nooit hoeft te onthouden. En mocht mijn db corrupt raken, gooi ik bijv mijn laptop aan zonder verbinding en heb ik nog een werkende kopie van mijn KeePass db.

Waar ik wel een absolute pesthekel aan heb zijn accounts die alleen ww's toestaan tussen de 4-8 karakters met alleen leestekens

[ Voor 9% gewijzigd door Standeman op 24-03-2015 16:23 ]

[downtime]

ReTechNL schreef op dinsdag 24 maart 2015 @ 16:07:
Maar het punt wat jullie allemaal vergeten is dat de aanvaller niet weet wat de lengte van jouw wachtwoord is en hoe deze is opgebouwd. Dan moet de aanvaller de persoon kennen. En dat is in 99,99% niet het geval. Tenzij de aanval specifiek gericht is op 1 persoon en de aanvaller veel meer onderzoek heeft verricht naar deze persoon.

En hoeveel brute force attacks worden er gedaan? Ik denk dat dat ook niet die andere 99,99% is. Ik durf te stellen dat het bij die 99,99% vooral om simpele dictionary attacks gaat met hooguit een paar duizend pogingen. Daarna concludeer je dat het password te zwaar is en val je een ander account aan. Bij de meeste aanvallen richt men zich niet op 1 account maar is het gewoon een statistisch spel: Je valt 1000 accounts aan en kraakt er misschien 10.

Beveiliging tegen dat soort statistische spellen moet anders zijn dan een doelbewuste aanval op één specifiek en heel belangrijk account. Je beveiliging zal daar ook rekening mee moeten houden.

[mvds]

Standeman schreef op dinsdag 24 maart 2015 @ 16:21:
[...]

^^ 100% dit

Ik heb ook gewoon mijn KeePass db in dropbox hangen en kan hem van elk device (linux dev, andriod phone, en online) benaderen.

Keepass ww is zoiets als "#St4nd3m4n is echt niet gek hoor!!11oneone" en verander ik regelmatig.

Dan heb je voor al je accounts altijd een sterk wachtwoord dat je nooit hoeft te onthouden. En mocht mijn db corrupt raken, gooi ik bijv mijn laptop aan zonder verbinding en heb ik nog een werkende kopie van mijn KeePass db.

In mijn geval 1Password, maar inderdaad voor alles een ander ww, en altijd erg lang, met cijfers en leestekens, als de site (of wat dan ook) het toe laat 32 tekens, en anders het maximaal toegestane.

[anboni]

Standeman schreef op dinsdag 24 maart 2015 @ 16:21:
Waar ik wel een absolute pesthekel aan heb zijn accounts die alleen ww's toestaan tussen de 4-8 karakters met alleen leestekens

En dat dan ook nog verpakken als 'wij vereisen sterke wachtwoorden' (ben ze wel eens tegengekomen, wachtwoord in de vorm van DfkDrlakw4alK35dSlkdg weigeren omdat dat te zwak zou zijn)

[Wim-Bart]

downtime schreef op dinsdag 24 maart 2015 @ 10:57:
[...]

Jij gaat zelf ook de fout in door de aanname dat het om willekeurig gekozen woorden uit een woordenboek met (in jouw voorbeeld) 171.476 woorden gaat. De woordenschat van normale mensen ligt in de orde van 10-20.000 woorden, 30.000 is al uitzonderlijk, en met wat statistisch onderzoek is vast wel te bepalen welke (combinaties van) woorden meer gebruikt worden dan andere. Woorden gebruiken die je normaal zelden of nooit gebruikt, en waarvan je de betekenis misschien niet eens kent, is ook niet veel makkelijker te onthouden dan willekeurige karakters.

[...]

2048 is een stuk reëeler dan 171.476 en waarschijnlijk zelfs aan de conservatieve kant. Probleem is alleen dat onmogelijk te voorspellen is hoe willekeurig die woorden in de praktijk gekozen worden. Als veel mensen woorden kiezen die je toevallig op een gemiddelde werkplek om je heen ziet (bureau, stoel, computer, raam, deur, etc), dan daalt die entropie weer een stuk.

[...]

Daarom zijn dialecten handig voor wachtwoord-zinnen. Wegaannognietnaarhuis versus Wegoannognietnoarhuus bijvoorbeeld laat een dictionary attack stuklopen wanneer deze alleen de originele woorden bevat.

Maar inderdaad wachtwoorden zijn sowiso niet veilig, maar tja, welke methodiek is dat wel. Als ze echt willen hakken ze wel een vinger af voor de afdruk of wippen ze een oog uit voor een irisscan.

[Standeman]

Wim-Bart schreef op dinsdag 24 maart 2015 @ 16:39:
[...]


Daarom zijn dialecten handig voor wachtwoord-zinnen. Wegaannognietnaarhuis versus Wegoannognietnoarhuus bijvoorbeeld laat een dictionary attack stuklopen wanneer deze alleen de originele woorden bevat.

Maar inderdaad wachtwoorden zijn sowiso niet veilig, maar tja, welke methodiek is dat wel. Als ze echt willen hakken ze wel een vinger af voor de afdruk of wippen ze een oog uit voor een irisscan.

Dan moet je ook fysieke aanwezig op een beveiligde locatie zijn en met meerdere mensen authenticeren. Maar alleen leuk als je ICBM's wil lanceren of voor de private keys van een grote bank..

Doet inderdaad wel weer denken aan

[ Voor 13% gewijzigd door Standeman op 25-03-2015 08:57 ]

[djohn_croot]

Even een erg late duit in het zakje: Volgens mij geven UNIX-opdrachten en programmeercodeconstructies moeilijk te raden en makkelijk te onthouden wachtwoorden (als die opdrachten kent natuurlijk). Zo kun je iets doen als:

:%s/slecht/goed/g
(Vervang slecht door goed in een heel document.)

Ik ken alleen Vi(m), maar als je bijvoorbeeld met Python of Bash werkt, kun je vergelijkbare voorbeelden zo bedenken. De gewone woorden kun je dan zo persoonlijk maken als je wilt.

[Verwijderd]

bregweb schreef op vrijdag 20 maart 2015 @ 13:30:
Wat gebruiken jullie voor methode om veiligheid en werkbaarheid te combineren?

Een passwordmanager.

[kaopadkai]

Smartcard authenticatie.
Een certificaat staat op de smartcard in combinatie met een korte pincode.

[SoundByte]

ReTechNL schreef op vrijdag 20 maart 2015 @ 13:39:
Ik kan maar niet vaak genoeg deze afbeelding laten zien:
http://xkcd.com/936/
[afbeelding]

Huuuh? 4 common words met spatie ertussen is moeilijker te raden voor een computer middels dictionary attack dan rare woorden/zinnen met misplaatste en toegevoegde leestekens. Echt ?

Uh oh dan is mijn truecrypt pw van 50 plus tekens echt nie goed. Dit wist ik niet.

He? Dit is echt vreemd voor mij. Kan idmand dit in 1-2 zinnen uitleggen waarom dit is.

[ Voor 7% gewijzigd door SoundByte op 28-06-2015 15:42 ]

[SoundByte]

Je kun toetscombinaties op de keyboard onthouden + 1 variabrle = het ww voor systeem xyz?

Er zijn zoveel manieren

Voor korte projecten gebruikten ik en een maat altijd toetscombis op keyboard + naam vh project. Dit werkt heel snel.

[ Voor 34% gewijzigd door SoundByte op 28-06-2015 15:44 ]