Wachtwoord-beveiliging: welke good practises zijn gemeengoed

[StephanVierkant]

Ik kom regelmatig sites tegen die bizarre eisen stellen aan wachtwoorden, wachtwoordmanagers afraden (en tegenwerken door autocomplete=off in te broncode te zetten, elke maand een (compleet) nieuw wachtwoord te eisen en dan via plain text je vergeten wachtwoord mailen.

Helaas kost het soms veel moeite die bedrijven te overtuigen van hun domme keuzes t.a.v. beveiliging. Naar welke bron(nen) kan ik het beste verwijzen om uit te leggen welke keuzes dom ('tussen de 8 en 10 tekens, minimaal 2 cijfers, maar niet aan het begin, etc. etc.') en slim (two-factor authentication) zijn? Met een verzameling goede bronnen is het gemakkelijker deze bedrijven te overtuigen.

TS trapt af:

• Factsheet Gebruik tweefactorauthenticatie (NSCS). Ze raden in dat artikel bovendien wachtwoordmanagers aan. (via)

[ Voor 5% gewijzigd door StephanVierkant op 16-09-2015 10:27 ]

[marcop82]

Sites die geen wachtwoord laten opslaan kom ik enkel professioneel tegen eerlijk gezegd. Webinterfaces van servers en switches bijvoorbeeld.

Persoonlijk gebruik ik een paswoordmanager privé met randomly generated paswoorden op elke andere site. Ik ken deze paswoorden ook niet. Op sites waar ik soms in noodsituaties moet zijn, heb ik dan een random paswoord gememoriseerd.

Professioneel ken ik weinig paswoorden uit mijn hoofd, buiten de meestgebruikte. Die van devices staan enkel in documentatie bijvoorbeeld, niet in de browser zijn paswoord manager. Als beheerder heb ik dan weer regelmatig gebruik van het adminpaswoord nodig, die ik dus ook blindelings kan typen.

Aan de collega gebruikers (niet-IT'ers) raad ik dan ook aan om een paswoord te gebruiken dat ze zelf kunnen herinneren (eerste gedachten zijn wel handig), er een bepaalde structuur in aan te brengen (namen, nummers, maand, seizoen, TV-serie,...) of desnoods zelfs een zin met wat tekens aan het begin, einde of ertussen.

Sowieso zie ik geen probleem bij het opschrijven van paswoorden in bv. een agenda (zonder verdere referentie of uitleg) of in een notitie op een telefoon, wederom zonder de aanduiding erbij waarvoor het dient. Maar dat is voornamelijk bedoeld voor mensen die zelf al weinig rechten hebben. Bij beheer belangrijke gegevens waar iemand je effectief kwaad kan doen, kun je een stap verder gaan.

Two-factor is afhankelijk van de applicatie of apparaat, maar hier ga ik vanuit dat het een gegenereerd nummer is op een extern apparaat of dat er een hardware-key nodig is. Dan gebruik je natuurlijk geen simpeler wachtwoord, aangezien je dan toch niets extra moet onthouden.

[tikkietrugjaap]

Weet niet of je dit bedoelt met je TS maar ik heb zelf een A4tje met de meeste wachtwoorden opgeschreven. Die ligt vervolgens in een onopvallend kastje in mijn rommel/werkkamer.

Volgens mij is een dergelijke airgap (wellicht verbaster ik de term nu) wel voldoende veilig voor thuisgebruik.

Nadeel is natuurlijk wel dat mocht er worden ingebroken en ze besluiten het A4tje/kastje mee te nemen dat ik als de sodemieter alles moet gaan veranderen.

Ik raad het overigens mijn vrienden wel aan om op een dergelijke manier een breuk tussen de digitale en de analoge wereld te maken als ze me vragen hoe ze zoveel wachtwoorden veilig moeten opslaan.