De teller loopt op. Elke dag verzamelt de gemiddelde persoon een nieuwe inloggegevens.
Banken. E-mail. E-commerce. Sociale media. Het kantoorportaal.
Je leidt een groeiend leger van karakters. En iemand probeert ze altijd te stelen.
Hackers willen niet alleen toegang. Ze willen het geld dat aan die toegang verbonden is. Frauduleuze transacties, gestolen identiteiten, leeggelopen rekeningen. Het motief is eenvoudig. De methode is meedogenloos.
Hoe doe je de deur op slot als je vijftig sleutels op zak hebt?
Er ontstaat een nieuwe aanpak. Het gaat er niet alleen om dat wachtwoorden moeilijker te raden zijn. Het gaat erom ze onnodig te maken.
De vermoeidheid van wrijving
Denk eens aan de dag van een typische gebruiker.
Je wordt wakker. Je controleert je e-mail. U logt in op uw bankapp. Je zoekt naar een nieuw shirt. U antwoordt op een Slack-werkbericht.
Dat zijn vijf verschillende authenticatiegebeurtenissen.
Stel je nu eens voor dat je dat doet voor elke dienst die je gebruikt.
De wrijving is reëel. En het is gevaarlijk.
Omdat gebruikers moe zijn. Als de beveiliging te ingewikkeld wordt, spelen mensen vals.
Ze gebruiken overal hetzelfde wachtwoord.
Ze schrijven het op.
Zij delen het.
Dit creëert een enorme kwetsbaarheid. Als één site wordt gehackt, heeft de aanvaller de sleutel tot al het andere.
Phishing en brute kracht
De bedreigingen evolueren ook.
Phishing-aanvallen worden steeds slimmer. Ze bootsen legitieme sites na met angstaanjagende nauwkeurigheid. U typt uw wachtwoord op een valse inlogpagina. De hacker snapt het meteen.
Dan is er sprake van brute kracht. Geautomatiseerde scripts proberen duizenden combinaties per seconde. Als uw wachtwoord “Password123” is, bent u klaar.
De financiële schade is onmiddellijk.
Er wordt geld van uw creditcard afgeschreven. Je identiteit is gestolen. Uw reputatie is aangetast.
De verschuiving naar wachtwoordsleutels
Dit is waar de nieuwe methode in beeld komt.
Het heet wachtwoordsleutels.
Ook bekend als FIDO2-referenties of WebAuthn.
De naam doet er niet zoveel toe als de functie.
Wachtwoorden vervangen wachtwoorden volledig.
Ze vertrouwen op cryptografie met publieke sleutels.
Hier ziet u hoe het werkt in gewoon Engels.
Uw apparaat (telefoon of laptop) genereert een uniek sleutelpaar.
Eén sleutel blijft op uw apparaat aanwezig. Het gaat nooit weg.
De andere sleutel wordt naar de website of app gestuurd. Dit is de publieke sleutel.
Wanneer u inlogt, bewijst uw apparaat dat het de privésleutel bezit.
Dit gebeurt met behulp van biometrie of een pincode.
FaceID. Vingerafdruk. Uw schermvergrendelingscode.
Er is geen gedeeld geheim. Geen reeks letters om te raden.
Als een website wordt gehackt, krijgt de aanvaller alleen de publieke sleutel. Nutteloos.
Ze kunnen uw wachtwoord niet reverse-engineeren.
Ze kunnen het niet elders gebruiken.
Waarom dit voor jou belangrijk is
Je hoeft de wiskunde niet te begrijpen.
Je hoeft alleen maar het voordeel te kennen.
Nooit meer complexe snaren onthouden.
Nooit meer vergeten wachtwoorden opnieuw instellen.
Nooit meer vallen voor phishing-sites die om een wachtwoord vragen.
Een phishing-site kan er echt uitzien. Mogelijk wordt er zelfs om een verificatiecode gevraagd.
Maar zonder uw fysieke apparaat en uw biometrische toestemming mislukt het inloggen.
De hacker krijgt niets.
Dit is geen toekomstconcept.
Grote platforms rollen het uit
Waarom eenvoudige wachtwoorden falen en hoe op gedrag gebaseerde beveiliging het spel verandert
Je telefoon is eigenlijk een computer met je hele leven in zijn zak. Bankgegevens. Privé e-mails. De lijst gaat maar door. Aan dat gemak hangt een zwaar prijskaartje: het risico op infecties, Trojaanse paarden en regelrechte hacking. Als criminelen binnenkomen, is de schade reëel. En toch maken we het ze steeds te gemakkelijk.
De gemiddelde persoon jogt met meer dan twintig met een wachtwoord beveiligde accounts. Ze gebruiken grofweg vijf verschillende wachtwoorden om ze allemaal ontgrendeld te houden. Deze herhaling is een veiligheidsnachtmerrie.
Hoe criminelen daadwerkelijk uw sleutels stelen
Stephan Wiefling, een expert van de Bonn-Rhein-Sieg University of Applied Sciences (H-BRS), legt de twee belangrijkste manieren uit waarop hackers uw verdediging omzeilen. Het is niet altijd hightech magie.
Ten eerste zijn er enorme databaselekken. Ken je Adobe nog? LinkedIn? Mijn ruimte? Deze sites sloegen gebruikersgegevens vaak slecht op. Hackers stelen de combinatie van e-mailadres en wachtwoord. Vervolgens gebruiken ze een techniek genaamd ‘Credential Stuffing’. Het is geautomatiseerd. Ze proberen dezelfde inloggegevens op elke andere site die u gebruikt. Akamai, een online dienstverlener, registreert dagelijks 250 miljoen van deze pogingen. Als u wachtwoorden opnieuw gebruikt, bent u klaar.
Ten tweede is er de kunst van het raden. Het klinkt naïef. Het werkt hoe dan ook. Wiefling merkt op dat de succespercentages in minder dan 100 pogingen 70% bereiken. Waarom? Omdat mensen voorspelbaar zijn. Hackers gebruiken uw naam, de naam van uw huisdier en familieverjaardagen. Ze verwerken dit in statistische modellen om een lijst met de meest waarschijnlijke wachtwoorden te genereren. De computer raadt wat jij slim vindt. Het is meestal verkeerd.
Een nieuw schild: de echte jij herkennen
Om dit te stoppen ontwikkelde Wiefling een beveiligingssysteem. Er wordt niet alleen gecontroleerd of uw wachtwoord juist is. Er wordt gecontroleerd of jij degene bent die het typt.
Dit heet risiko-basierte Authentifizierung (op risico gebaseerde authenticatie). Het systeem accepteert uw inloggegevens zolang er niets raars uitziet. Als het vreemd gedrag waarneemt, vereist het een tweede verificatiestap.
Wat telt als raar? Met een apparaat waarop u nog nooit eerder heeft ingelogd. Inloggen vanaf een geografische locatie die u nog nooit heeft bezocht. Of ga op dinsdag om 3 uur ‘s ochtends naar de site, terwijl je normaal slaapt. Het systeem signaleert deze afwijking. Er wordt om bewijs gevraagd.
Comfort ontmoet voorzichtigheid
Voor de meeste sites is dit een fluitje van een cent. U typt uw wachtwoord één keer. Als het gedrag normaal is, doe je mee. Een laboratoriumonderzoek met bijna zeventig deelnemers bevestigde dat dit werkt. Gebruikers voelden zich aanzienlijk veiliger met op risico gebaseerde authenticatie dan met eenvoudige wachtwoorden. Ze gaven er de voorkeur aan voor sociale media en winkelsites.
Maar hoe zit het met bankrekeningen?
Mensen zijn daar anders. In een tweede onderzoek weigerden de deelnemers uitsluitend te vertrouwen op het gedrag op zwaarbeveiligde sites. Ze wilden traditionele tweefactorauthenticatie (2FA). Dit betekent dat u altijd twee keer moet inloggen. Wachtwoord plus een eenmalige pincode. Het is meer wrijving. Maar voor uw geld neemt u het.
Wat maakt een wachtwoord eigenlijk veilig?
Niets van dit alles werkt als uw basiswachtwoord onzin is. Wiefling stelt voor om een wachtwoordbeheerder te gebruiken. Veel browsers bieden dit ingebouwd.
Hier is het contra-intuïtieve deel: complexiteit is niet koning. Lengte is. Een lange, gedenkwaardige zin als “Montags arbeite ich oft sehr gerne” verslaat een korte, chaotische reeks als “$Le90pch”. Het is moeilijker voor een computer om een lange zin bruut te forceren.
En alsjeblieft. Stop met het hergebruiken van wachtwoorden. Gebruik de beheerder. Het bewaart ze in een gecodeerde digitale kluis. U hoeft slechts één hoofdwachtwoord te onthouden. Die ene sleutel ontgrendelt al het andere.
Het is niet perfect. Het systeem kan nog steeds voor de gek worden gehouden als een aanvaller uw routine kent. Of als u op reis bent en het systeem uw normale gedrag als verdacht markeert. Maar het is een stapje hoger dan de hoop dat niemand de naam van uw hond raadt.
Je moet nog steeds voorzichtig zijn. De hulpmiddelen helpen. Ze redden je niet.
