Op de servers van DSE hebben veel mensen een account. Bij elk van die accounts hoort een wachtwoord waarmee je toegang tot dat account kan krijgen, een veel gebruikte manier van toegangscontrole, ondanks de beperkingen ervan.<\/p>\n
\nOp de servers van DSE hebben veel mensen een account. Bij elk van die accounts hoort een wachtwoord waarmee je toegang tot dat account kan krijgen, een veel gebruikte manier van toegangscontrole, ondanks de beperkingen ervan.
\n
\nZoals een aantal gebruikers al gemerkt heeft (bij het vergeten of kwijtraken van hun wachtwoord): de helpdesk en de beheerders van DSE hebben geen toegang tot wachtwoorden en ze worden ook niet als zodanig opgeslagen. Wat wordt opgeslagen is een zogenaamde ‘one way hash’, oftewel: het resultaat van het loslaten van een moeilijke functie op je wachtwoord. Het resultaat ervan is dat allerlei programma’s wel kunnen controleren dat je het goede wachtwoord geeft, zonder dat het wachtwoord zelf opgeslagen wordt of te herleiden is.<\/p>\n
De enige manier die overblijft om toch je wachtwoord te bepalen is via de zogenaamde “brute force” methode, oftewel probeer gewoon net zolang wachtwoorden tot je de goede hebt. Deze praktijken beginnen steeds populairder te worden op het boze Internet, omdat een gekaapt account betekent dat je een website hebt waar je spam mail kan versturen, een advertentie pagina kan neerzetten of zelfs criminele activiteiten als verspreiding van kinderporno kan uitvoeren.<\/p>\n
Hoewel we allerlei maatregelen nemen om dit soort aanvallen moeilijk of onmogelijk te maken, is de beste verdediging nog altijd het kiezen van goede wachtwoorden. Bij tests die we af en toe uitvoeren, blijkt dat er bij de gebruikers van DSE hier en daar erg makkelijke wachtwoorden gekozen zijn, enerzijds begrijpelijk (niet iedereen kan 8!415lAxg)6-aaGA onthouden) anderzijds wel een probleem om de boven genoemde redenen.<\/p>\n
Om aan te geven hoe brute force aanvallers werken, en om hopelijk enig bewustzijn te creeren, zal ik eens wat voorbeelden geven van bijv een gebruiker klaasvaak (die toevallig ook blijkt te bestaan bij DSE, maar goed, daar hebben de voorbeelden niets mee te maken hopelijk):<\/p>\n
* klaasvaak (de slechtst mogelijke, gewoon je accountnaam)
\n* klaas \/ vaak \/ kvaak \/ klaasv \/ klaas_vaak (delen van je accountnaam, triviale aanpassingen)
\n* kaavslaak (combinaties met omdraaien van delen\/woorden)
\n* kl44sv44k (a -> 4, e->3, i->1 etc)
\n* slapen \/ sleep \/ wekker (woorden uit standaard woordenboeken, Engels of Nederlands zijn voor een Nederlandse website het meest waarschijnlijk)
\n* meerdere accounts met hetzelfde (zwakke) wachtwoord<\/p>\n
Wat zijn dan wel goede wachtwoorden? Tsja, wachtwoorden die je wel kan onthouden maar die niet (te makkelijk) afgeleid zijn van dingen. Een aantal tips of ideeen is wel te geven, maar ben vooral creatief.<\/p>\n
* de beste methode is altijd: een volledig willekeurige combinatie van letters\/cijfers\/bijzondere tekens. Een wachtwoord als q8TDlXwb gaat niemand raden (gegenereerd met een Random Password Generator op Internet)<\/p>\n
* gebruik een zin die je makkelijk kunt onthouden, en gebruik daarvan de eerste of de laatste letters. (voorbeeldje: Now I lay me down to sleep: NIlmdts, dat is al een stuk beter wachtwoord dan ‘klaasvaak’)<\/p>\n
* als je een wachtwoord hebt dat je voor meerdere sites wilt gebruiken, zorg dan dat er iets afhankelijk is van wat je gebruikt. Stel dat je je wachtwoord hierboven wilt gebruiken zowel voor GMail als DSE als Hattrick, dan zou je kunnen zeggen “als eerste letter voeg ik de eerste letter van de dienst toe”, en dan krijg je GNIlmdts, DNIlmdts en HNIlmdts, 3 wachtwoorden voor de prijs van 1)<\/p>\n
En zo zijn er nog veel meer mogelijkheden te bedenken. Google is your friend! <\/p>\n","protected":false},"excerpt":{"rendered":"
Op de servers van DSE hebben veel mensen een account. Bij elk van die accounts hoort een wachtwoord waarmee je toegang tot dat account kan krijgen, een veel gebruikte manier van toegangscontrole, ondanks de beperkingen ervan.<\/p>\n","protected":false},"author":49,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"_links":{"self":[{"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/posts\/550"}],"collection":[{"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/users\/49"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/comments?post=550"}],"version-history":[{"count":0,"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/posts\/550\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/media?parent=550"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/categories?post=550"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dse.nl\/archief\/wp-json\/wp\/v2\/tags?post=550"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}