Is er verschil in kwalteit complexe wachtwoorden?

[Pluisje_AMD]

Hallo,

Maakt het iets uit of je letters, cijfers, of vreemde tekens voor je wachtwoord gebruikt, of herhaling tekens? Is dat voor een hacker lastiger of maakt het niks uit?

Is er bijvoorbeeld verschil in wachtwoorden (15 tekens):

wdrgyjvk4862463 of
g#^n&*&$yT%bB59 of
333333%%%&&&ccc

?


Bij voorbaat dank.

[ Voor 9% gewijzigd door Pluisje_AMD op 06-12-2021 12:48 ]

[corporalnl]

Wat heb je zelf al gevonden?

De complexiteit van een wachtwoord is niet het enige wat voorkomt om gehackt te worden.
Er zijn meerdere factoren van invloed namelijk.

[MAX3400]

Het aantal "combinaties" is afhankelijk van je keyboard-settings.

Als jouw alfabet & keyboard slechts 10 verschillende karakters kent, dan is een password van 3 posities natuurlijk 10x10x10 raden oftewel 1000 combinaties.

Maar als jou alfabet 1000 karakters kent dan is 3 posities dus 1000x1000x1000 oftewel 1 miljard combinaties.

Als je naar bepaalde pass-phrases kijkt; vaak zie je daar enkel alfanumerieke opties dus 36 karakters per positie. Maar omdat het een phrase is, heb je wel 40 posities bijvoorbeeld en dus 36^40 combinaties.

[ Voor 0% gewijzigd door MAX3400 op 06-12-2021 12:54 . Reden: Typefoutjes. ]

[F_J_K]

Klinkt als een huiswerkvraag, wat zijn je eigen gedachten?

Ook: “hangt er van af”. Waar verdedig je tegen? Hoe gaat het gebruikt worden? Ik zou overigens stellen dat alle drie hooguit matige wachtwoorden zijn. En 2FA belangrijker is.

[Blokker_1999]

Het korte antwoord is neen, het langere antwoord is complexer en dan zou ook ik graag weten waar de vraag vandaan komt.

936

[ Voor 15% gewijzigd door Blokker_1999 op 06-12-2021 12:57 ]

[eric.1]

Uiteindelijk ligt het vooral aan hoe de hele keten in ingeregeld bij de partij waar je het wachtwoord gebruikt en hoe jij met je wachtwoorden omgaat.

Als je b.v. maar 3x mag proberen in te loggen voordat je account wordt geblokkeerd dan moet je van goede huize komen om een wachtwoord te raden, indien het geen standaard "1234567890" of "Welkom123" is. Dan maakt het weinig uit wat je gebruikt als het maar uniek is en voldoende lang.

Als de "hacker" de database weet te bemachtigen dan is het weer een ander verhaal.

[ Voor 8% gewijzigd door eric.1 op 06-12-2021 13:11 ]

[Pluisje_AMD]

Blokker_1999 schreef op maandag 6 december 2021 @ 12:56:
Het korte antwoord is neen, het langere antwoord is complexer en dan zou ook ik graag weten waar de vraag vandaan komt.

936

Heel simpel: het komt wel eens voor dat je een wachtwoord voor bijvoorbeeld ergens opnieuw moet invoeren
(bepaald account, wifi of iets anders). Het is dan een heel gedoe indien het handmatig moet om een zeer complex wachtwoord FOUTLOOS in te typen. Als de tekens voor een hacker gelijkwegend zijn (ik neem aan dat zij software gebruiken?), maakt het dan niks uit en kun je beter iets eenvoudigs maken met alleen letters.

Dus louter vanuit praktisch oogpunt.

[Pluisje_AMD]

F_J_K schreef op maandag 6 december 2021 @ 12:54:
Klinkt als een huiswerkvraag, wat zijn je eigen gedachten?

Ook: “hangt er van af”. Waar verdedig je tegen? Hoe gaat het gebruikt worden? Ik zou overigens stellen dat alle drie hooguit matige wachtwoorden zijn. En 2FA belangrijker is.

2FA ?? wat is dat?

[Umbrah]

Eigenlijk is dit één van de redenen dat ik steeds minder heil zie in wachtwoorden als concept; er zijn altijd concepten en kraakbare systemen, en rainbowtables. Dan is er ook nog de kwestie van gemak, het risico op social engineering, en een moment dat een wachtwoord zó complex is dat je het opschrijft.

Een password manager met een master-code is een mooie tussenstap, en als het écht met een wachtwoord moet, dan voor mij liever een wachtzin van ~40 tekens ipv een wachtwoord met gekke tekens van ~20 tekens.

Het liefste gebruik ik een dienst á la Microsoft account logins, waar ik een concept als een OTP + PIN of OTP + biometrie aan kan koppelen. Ja: een single point of failure, maar wel een met een component wat niet op de dienstverlener staat, maar bij mijzelf leeft.

[TERW_DAN]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:22:
[...]


2FA ?? wat is dat?

2 factor authentication.

Beveiliging kan op 3 manieren. Iets dat je weet (een wachtwoord), iets dat je bent (bijv vingerafdruk) en iets dat je hebt (bijv telefoon).

Als jij inlogt met een wachtwoord, en daarna moet bevestigen met een code vanaf je telefoon, dan heb je dus 2 factoren te pakken, in plaats van maar eentje. Dan kan ik je wachtwoord hebben, als ik geen toegang heb tot je telefoon, dan kan ik nog niets.

[F_J_K]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:19:
Heel simpel: het komt wel eens voor dat je een wachtwoord voor bijvoorbeeld ergens opnieuw moet invoeren
(bepaald account, wifi of iets anders). Het is dan een heel gedoe indien het handmatig moet om een zeer complex wachtwoord FOUTLOOS in te typen. Als de tekens voor een hacker gelijkwegend zijn (ik neem aan dat zij software gebruiken?), maakt het dan niks uit en kun je beter iets eenvoudigs maken met alleen letters.

Dus louter vanuit praktisch oogpunt.

Nog steeds. Wat zijn je eigen gedachten? Je gooit een vraag over de muur - en negeert in je reactie hierboven zelfs de al gegeven input.

2FA: zie zoeken bij google naar '2fa' (en zie hierboven). Is iets dat ook 'overal' wel wordt gepusht.

Maar zie dus Blokker_1999 in "Is er verschil in kwalteit complexe wachtwoorden?"

Neem "Is iets dat ook 'overal' wel wordt gepusht." als wachtwoord. Natuurlijk voor elke dienst een ander wachtwoord. Nooit een wachtwoord herbruiken. En neem een authenticator app voor de 2FA/MFA.

Edit: en mn mening over de vraag in de topicstart: hangt dus af van het soort aanvaller. 333333%%%&&&ccc is prima vergelijkbaar met g#^n&*&$yT%bB59 - als niemand kan weten dat je zo herhaalt.

[ Voor 7% gewijzigd door F_J_K op 06-12-2021 13:28 ]

[Pluisje_AMD]

TERW_DAN schreef op maandag 6 december 2021 @ 13:25:
[...]

2 factor authentication.

Beveiliging kan op 3 manieren. Iets dat je weet (een wachtwoord), iets dat je bent (bijv vingerafdruk) en iets dat je hebt (bijv telefoon).

Als jij inlogt met een wachtwoord, en daarna moet bevestigen met een code vanaf je telefoon, dan heb je dus 2 factoren te pakken, in plaats van maar eentje. Dan kan ik je wachtwoord hebben, als ik geen toegang heb tot je telefoon, dan kan ik nog niets.

mee eens, maar dat kan niet altijd

[Umbrah]

En dat is een reden om sommige diensten te ontwijken. Bij Tweakers gebruik ik welliswaar een "intern" wachtwoord, met een wachtzin, op een intern account; maar via 2FA heb ik de microsoft authenticator er aan gehangen -- al zou je mijn wachtwoord uit m'n koude tengels grijpen; je hebt er nog niks aan zonder een van mijn devices en een vingerafdruk.

[TERW_DAN]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:27:
[...]


mee eens, maar dat kan niet altijd

Nee, maar het is voor veel dingen wel in te stellen.

En voor het inloggen bij m'n bank, of op m'n passwordmanager vind ik 't een stuk belangrijker als inloggen op 1 van de vele webshops of forums waar ik een accountje heb, maar verder weinig belangrijke gegevens heb staan.

Maar als je de optie hebt om het aan te zetten, zet het aan!

[Pluisje_AMD]

F_J_K schreef op maandag 6 december 2021 @ 13:26:
[...]

Nog steeds. Wat zijn je eigen gedachten? Je gooit een vraag over de muur - en negeert in je reactie hierboven zelfs de al gegeven input.

2FA: zie zoeken bij google naar '2fa' (en zie hierboven). Is iets dat ook 'overal' wel wordt gepusht.

Maar zie dus Blokker_1999 in "Is er verschil in kwalteit complexe wachtwoorden?"

Neem "Is iets dat ook 'overal' wel wordt gepusht." als wachtwoord. Natuurlijk voor elke dienst een ander wachtwoord. Nooit een wachtwoord herbruiken. En neem een authenticator app voor de 2FA/MFA.

Edit: en mn mening over de vraag in de topicstart: hangt dus af van het soort aanvaller. 333333%%%&&&ccc is prima vergelijkbaar met g#^n&*&$yT%bB59 - als niemand kan weten dat je zo herhaalt.

is het nu ja of nee? Ik ga uit van de meest fanatieke doorsnee aanvaller, dus ga ervan uit dat het dus niks uit maakt als uitleessoftware gebruikt wordt (als dat bestaat). In dat geval zou 2FA beter zijn en is dat de oplossing, hoewel je weer een probleem hebt als je telefoon niet bij de hand hebt. Of het simpelweg niet mogelijk is.

[Pluisje_AMD]

TERW_DAN schreef op maandag 6 december 2021 @ 13:38:
[...]

Nee, maar het is voor veel dingen wel in te stellen.

En voor het inloggen bij m'n bank, of op m'n passwordmanager vind ik 't een stuk belangrijker als inloggen op 1 van de vele webshops of forums waar ik een accountje heb, maar verder weinig belangrijke gegevens heb staan.

Maar als je de optie hebt om het aan te zetten, zet het aan!

Toch vreemd. Voor Google gebruik ik het ook (2FA), maar zie nu op een website dat mijn wachtwoord toch gevonden is. Of is zulke site gewoon commerciële bangmakerij?
zie https://haveibeenpwned.com/

[MAX3400]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:59:
[...]


Toch vreemd. Voor Google gebruik ik het ook (2FA), maar zie nu op een website dat mijn wachtwoord toch gevonden is. Of is zulke site gewoon commerciële bangmakerij?
zie https://haveibeenpwned.com/

Lees je ook wel een recent over data-breaches? Hele dumps van LinkedIn en Facebook zijn al (jaren) online en onder andere door die site "geindexeerd". Volgens mij alleen deze 2 dumps bevat meer dan 1.2 miljard records.

[Pluisje_AMD]

MAX3400 schreef op maandag 6 december 2021 @ 14:01:
[...]

Lees je ook wel een recent over data-breaches? Hele dumps van LinkedIn en Facebook zijn al (jaren) online en onder andere door die site "geindexeerd". Volgens mij alleen deze 2 dumps bevat meer dan 1.2 miljard records.

Daar zit ik juist niet op met mijn emailadres, vandaar

[Hahn]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:59:
[...]


Toch vreemd. Voor Google gebruik ik het ook (2FA), maar zie nu op een website dat mijn wachtwoord toch gevonden is. Of is zulke site gewoon commerciële bangmakerij?
zie https://haveibeenpwned.com/

Het één heeft totaal niks met het ander te maken. Jouw wachtwoord kan prima lekken, zelfs al heb je 2FA, omdat 2FA niks met je wachtwoord te maken heeft.

Als jouw wachtwoord gelekt is, door wat of wie dan ook, dan heb je alleen wel het geluk dat 2FA ervoor zorgt dat je ook iets anders moet hebben, bijvoorbeeld een app waarin een andere code getoond wordt, om de inlog succesvol te laten zijn. Heeft de 'hacker' dat niet, dan kan 'ie zelfs met jouw wachtwoord niet in je account.

[Pluisje_AMD]

Hahn schreef op maandag 6 december 2021 @ 14:07:
[...]

Het één heeft totaal niks met het ander te maken. Jouw wachtwoord kan prima lekken, zelfs al heb je 2FA, omdat 2FA niks met je wachtwoord te maken heeft.

Als jouw wachtwoord gelekt is, door wat of wie dan ook, dan heb je alleen wel het geluk dat 2FA ervoor zorgt dat je ook iets anders moet hebben, bijvoorbeeld een app waarin een andere code getoond wordt, om de inlog succesvol te laten zijn. Heeft de 'hacker' dat niet, dan kan 'ie zelfs met jouw wachtwoord niet in je account.

da's waar ook

[F_J_K]

Umbrah schreef op maandag 6 december 2021 @ 13:30:
En dat is een reden om sommige diensten te ontwijken. Bij Tweakers gebruik ik welliswaar een "intern" wachtwoord, met een wachtzin

offtopic:
Bij Tweakers kan je gewoon 2FA gebruiken
https://tweakers.net/instellingen/tweefactorauthenticatie/

edit oeps @Umbrah ik keek scheef

[ Voor 5% gewijzigd door F_J_K op 06-12-2021 14:20 ]

[MAX3400]

Pluisje_AMD schreef op maandag 6 december 2021 @ 14:03:
[...]


Daar zit ik juist niet op met mijn emailadres, vandaar

Oke... Ik gaf ook maar 2 (recente) voorbeelden waar je "wel" in zit als je kijkt naar https://haveibeenpwned.com/PwnedWebsites

zie nu op een website dat mijn wachtwoord toch gevonden is

Waar heb je op gezocht dan? Welke breaches staan er vermeld dan?

[Umbrah]

F_J_K schreef op maandag 6 december 2021 @ 14:16:
[...]

offtopic:
Bij Tweakers kan je gewoon 2FA gebruiken
https://tweakers.net/instellingen/tweefactorauthenticatie/

Dat zei ik ook - met de Microsoft Authenticator 😊

[F_J_K]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:40:
[...]
is het nu ja of nee? Ik ga uit van de meest fanatieke doorsnee aanvaller, dus ga ervan uit dat het dus niks uit maakt als uitleessoftware gebruikt wordt (als dat bestaat). In dat geval zou 2FA beter zijn en is dat de oplossing, hoewel je weer een probleem hebt als je telefoon niet bij de hand hebt. Of het simpelweg niet mogelijk is.

Het is een soms, hangt er van af, sowieso een slecht wachtwoord.

99999999999999999 is een heel veilig wachtwoord te noemen, als de aanvaller puur brute force passwords probeert te raden. Zie vooral de eerdergenoemde xkcd-link.

Als de aanvaller niets weet, zijn ze functioneel gelijk.

[Pluisje_AMD]

MAX3400 schreef op maandag 6 december 2021 @ 14:17:
[...]

Oke... Ik gaf ook maar 2 (recente) voorbeelden waar je "wel" in zit als je kijkt naar https://haveibeenpwned.com/PwnedWebsites


[...]

Waar heb je op gezocht dan? Welke breaches staan er vermeld dan?

Hoe zie ik dat? ik ben geen lid en krijg een standaardreactie. Zie nu ook de grote lekken. Het zou zo maar Adobe kunnen zijn. Tjeemigdepeemig !

[Pluisje_AMD]

F_J_K schreef op maandag 6 december 2021 @ 14:22:
[...]

Het is een soms, hangt er van af, sowieso een slecht wachtwoord.

99999999999999999 is een heel veilig wachtwoord te noemen, als de aanvaller puur brute force passwords probeert te raden. Zie vooral de eerdergenoemde xkcd-link.

Als de aanvaller niets weet, zijn ze functioneel gelijk.

Oke, daar gaat het me om. Alleen de lengte maakt dan misschien nog uit en kun je het beste een lange zin gebruiken, tenzij lengte er ook niet (meer) toe doet....

[Hahn]

Lengte maakt altijd uit, complexiteit kan uitmaken, maar hangt er ook vanaf hoe er ge-bruteforced wordt.

Valt me mee/tegen (?) dat nog niemand dit soort overzichten heeft gedeeld:


Is vast niet 100% waterdicht, maar geeft een indicatie/stof tot discussie

[sdk1985]

Pluisje_AMD schreef op maandag 6 december 2021 @ 13:19:
[...]


Heel simpel: het komt wel eens voor dat je een wachtwoord voor bijvoorbeeld ergens opnieuw moet invoeren
(bepaald account, wifi of iets anders). Het is dan een heel gedoe indien het handmatig moet om een zeer complex wachtwoord FOUTLOOS in te typen. Als de tekens voor een hacker gelijkwegend zijn (ik neem aan dat zij software gebruiken?), maakt het dan niks uit en kun je beter iets eenvoudigs maken met alleen letters.

Dus louter vanuit praktisch oogpunt.

Zie deze video: https://www.cbsnews.com/news/bill-burr-passwords-guidance/

[ Voor 6% gewijzigd door sdk1985 op 06-12-2021 14:39 ]

[Pluisje_AMD]

Hahn schreef op maandag 6 december 2021 @ 14:33:
Lengte maakt altijd uit, complexiteit kan uitmaken, maar hangt er ook vanaf hoe er ge-bruteforced wordt.

Valt me mee/tegen (?) dat nog niemand dit soort overzichten heeft gedeeld:
[Afbeelding]

Is vast niet 100% waterdicht, maar geeft een indicatie/stof tot discussie

Nuttig. Wel de vraag hoelang zoiets stand houdt met steeds snellere computers en software. Uit welk jaar is dit? Ik hoop niet uit 1985.

[Theone098]

Pluisje_AMD schreef op maandag 6 december 2021 @ 12:44:
Hallo,

Maakt het iets uit of je letters, cijfers, of vreemde tekens voor je wachtwoord gebruikt, of herhaling tekens? Is dat voor een hacker lastiger of maakt het niks uit?

Is er bijvoorbeeld verschil in wachtwoorden (15 tekens):

wdrgyjvk4862463 of
g#^n&*&$yT%bB59 of
333333%%%&&&ccc

?


Bij voorbaat dank.

Dat noemen we password entropy. Google maar eens of zie hier.

Spoiler alert: een lang wachtwoord is beter dan een complexer maar korter wachtwoord.....

[TERW_DAN]

Pluisje_AMD schreef op maandag 6 december 2021 @ 14:50:
[...]


Nuttig. Wel de vraag hoelang zoiets stand houdt met steeds snellere computers en software. Uit welk jaar is dit? Ik hoop niet uit 1985.

Ach, zelfs al zou het 1000 keer sneller kunnen, als je een simpel wachtwoord hebt (dus alleen letters) van 16 karakters, dan zou het van 34000 jaar naar 34 jaar gaan om te kraken. Nog steeds nagenoeg onmogelijk.

En 1000 keer sneller is op het moment niet iets dat ik verwacht mee te maken op korte termijn

[ Voor 9% gewijzigd door TERW_DAN op 06-12-2021 15:09 ]

[Blokker_1999]

Dus, zoals vele al geschreven hebben is een eerste belangrijk punt de entropy. Hoeveel mogelijke combinaties zijn er die men moet gaan testen. Dit is afhankelijk van enkele dingen waaronder de lengte van je wachtwoord (nog altijd 1 van de belangrijkste, size does matter in this case), de complexiteit die je mag hebben in je wachtwoord (hoe meer types van karakters en symbolen er zijn toegestaan, hoe beter. Gotta love a password full of smileys)

Voor een aanvaller is jIhGf#Ed^4Cb7A even moeilijk om te raden als 11111111111111 op voorwaarde dat de aanvaller niet weer hoe lang het wachtwoord is en hoe repetitief het wachtwoord is. Vandaar dat een wachtzin met gewoon 25 letters even goed is als een wachtwoord met 25 willekeurige karakters.

Belangrijke opmerking daarbij is dan wel weer dat er geen bijkomende eisen gesteld worden. Als je gaat eisen dat er minimaal 1 hoofdletter en minimaal 1 cijfer en minimaal 1 kleine letter en minimaal 1 speciaal karakter in moet zitten dan heb je als aanvaller ineens weer een hoop extra gegevens om het net eenvoudiger te maken om je wachtwoord te kraken daar op voorhand enorm veel combinaties geschrapt kunnen worden.

[Blokker_1999]

Pluisje_AMD schreef op maandag 6 december 2021 @ 14:50:
[...]


Nuttig. Wel de vraag hoelang zoiets stand houdt met steeds snellere computers en software. Uit welk jaar is dit? Ik hoop niet uit 1985.

En dat maakt op zich niet veel uit. Wanneer er zwaktes gevonden worden dan duurt het meestal nog jaren voor ze praktisch uit te voeren zijn maar zie je al wel direct een beweging ontstaan naar betere algoritmes. Dat is een beweging die trouwens continue bezig is. Elke paar jaar zie je op cryptografisch gebied nog betere vormen van bescherming komen.

[Pluisje_AMD]

Als men toch eenmaal je netwerk gekraakt heeft en binnen is, heeft het dan wel zin om alle wachtwoorden te vervangen, of kan men iets wijzigen of achterlaten zodat ze daarna toch bij je binnen kunnen ??

en wat heeft beveiligingssoftware dan eigenlijk voor zin?

[ Voor 13% gewijzigd door Pluisje_AMD op 08-12-2021 09:23 ]

[Jazzy]

Pluisje_AMD schreef op woensdag 8 december 2021 @ 09:16:
Als men toch eenmaal je netwerk gekraakt heeft en binnen is, heeft het dan wel zin om alle wachtwoorden te vervangen, of kan men iets wijzigen of achterlaten zodat ze daarna toch bij je binnen kunnen ??

en wat heeft beveiligingssoftware dan eigenlijk voor zin?

Modbreak:

We hebben je nu een paar keer gevraagd om niet alleen een vraag te dumpen maar ook te benoemen wat je zelf denkt of al gevonden hebt. Voor een goede discussie is die eigen inzet echt essentieel, dat mist tot nu toe. Ik doe dit topic daarom ook op slot en wil je nogmaals vragen om hier voor het plaatsen van een eventueel volgend topic meer aandacht aan te besteden.