U kunt beginnen zonder hoogwaardige wachtwoorden te riskeren
Als de bovenstaande risico’s u doen aarzelen om een wachtwoordbeheerder voor al uw accounts te gebruiken, overweeg dan om te beginnen met die wachtwoorden waarover u zich het minst zorgen zou maken dat ze verloren gaan of worden gecompromitteerd.
U geeft bijvoorbeeld waarschijnlijk niet om een wachtwoord dat wordt gebruikt om een proefabonnement van zeven dagen op een softwareprogramma te maken, nieuwsartikelen te lezen of onderzoek te doen. Als u bij veel verschillende websites winkelt, hebt u misschien tientallen accounts die allemaal kopieën van dezelfde informatie beschermen: uw creditcardnummer, telefoonnummer en adres. Geen van deze informatie is erg geheim, uw aansprakelijkheid is beperkt als uw creditcardnummer wordt gestolen, en het is gemakkelijk om het wachtwoord voor de meeste winkelsites opnieuw in te stellen door een wachtwoord-reset e-mail te ontvangen.
Door te beginnen met uw wachtwoorden met een lagere waarde, kunt u vertrouwd raken met hoe wachtwoordbeheerders werken terwijl de gevolgen van fouten laag zijn. Naarmate u meer ervaring opdoet, zult u ook de risico’s en voordelen beter begrijpen. U kunt merken dat wanneer u niet langer hoeft te maken, onthouden en typen van die lagere-waarde wachtwoorden, u een deel van die bespaarde inspanning kunt steken in het beschermen van wachtwoorden voor hogere-waarde accounts.
U kunt uw wachtwoordbeheerder ook gebruiken om willekeurige wachtwoorden te genereren die u niet zou moeten opslaan. U zult deze waarschijnlijk willen opschrijven. U zou in staat moeten zijn om willekeurige wachtwoorden te leren voor een paar accounts na verloop van tijd, gewoon door ze te gebruiken.
De meeste gebruikers kunnen aan de slag zonder nieuwe software te kopen of te downloaden. Als u voornamelijk Safari of Chrome gebruikt, hebben beide browsers wachtwoordmanagers die willekeurige wachtwoorden voor u zullen genereren. Ik ga Brave, Edge of Firefox niet behandelen, omdat ze op het moment van dit schrijven geen wachtwoorden genereren.
Hoewel u stand-alone wachtwoordmanagers moet overwegen, vooral als u wachtwoorden voor uw waardevollere accounts opslaat, kunt u de wachtwoorden die u hebt opgeslagen tijdens het uitproberen van de ingebouwde wachtwoordmanagers in Chrome of Safari eenvoudig in hen importeren.
Een reden om verder te gaan dan Chrome is dat het niet zal identificeren welke wachtwoorden u tussen sites hebt hergebruikt . Controle op hergebruikte wachtwoorden is essentieel om de beveiligingsvoordelen te krijgen die een wachtwoordbeheerder kan bieden. De meeste stand-alone wachtwoordmanagers bieden een auditfunctie, en Safari’s ingebouwde wachtwoordbeheerder (Apple’s Keychain) heeft er onlangs ook een toegevoegd.
Zelfs als u probeert geen belangrijke wachtwoorden op te slaan in uw wachtwoordbeheerder, is het nog steeds de moeite waard om periodiek te bekijken welke wachtwoorden u hebt opgeslagen en welke worden hergebruikt – sommige accounts die waardeloos leken toen u ze maakte, kunnen na verloop van tijd waardevoller blijken te zijn. Sommige wachtwoordmanagers zullen u er ook op wijzen als sommige van uw wachtwoorden duidelijk zwak zijn (bijvoorbeeld als ze voorkomen op veelgebruikte wachtwoordlijsten). Als u uw oude wachtwoorden wilt vervangen, kan de hoeveelheid werk ontmoedigend zijn. U hoeft niet te wachten tot u genoeg tijd hebt om ze allemaal tegelijk te veranderen; stel prioriteiten en ga aan de slag.
Alas, wachtwoordmanagers die testen of u een wachtwoord opnieuw hebt gebruikt, doen dat alleen als u hen toestaat dat wachtwoord op te slaan. Als u alleen wachtwoorden voor laagwaardige accounts opslaat, kan de wachtwoordmanager u alleen vertellen welke van uw laagwaardige wachtwoorden zijn hergebruikt. Ik ken geen wachtwoordmanager die u waarschuwt als u een wachtwoord dat u voor een andere site hebt opgeslagen, intypt op de huidige webpagina. Er is geen technische reden waarom de meeste wachtwoordmanagers u niet zouden kunnen waarschuwen voor dergelijk hergebruik van wachtwoorden, dus ik hoop dat sommige dat snel zullen doen.
Leer een sterk hoofdwachtwoord
De meeste wachtwoordmanagers beschermen uw wachtwoorden met nog een ander wachtwoord – meestal een hoofdwachtwoord genoemd. Stand-alone wachtwoordmanagers zullen u vragen een hoofdwachtwoord te maken wanneer u ze gaat gebruiken. Als u Google’s Chrome-browser gebruikt om uw wachtwoorden op te slaan en te delen tussen apparaten, worden uw wachtwoorden opgeslagen door Google en beschermd door het wachtwoord voor uw Google-account (samen met alle tweede factoren die u mogelijk gebruikt). Apple’s iCloud Keychain vertrouwt voornamelijk op uw apparaatwachtwoorden en ontgrendelingsfuncties om zijn gegevens regelmatig te beschermen, maar heeft een fallback-masterwachtwoord genaamd een iCloud-beveiligingscode .
Gebruik geen masterwachtwoord dat u voor iets anders hebt gebruikt. Dit moet worden herhaald omdat je waarschijnlijk hebt geleerd te waarschuwen tegen hergebruik van wachtwoorden nadat je dergelijk advies hebt gekregen voor accounts waar je niets om geeft. In tegenstelling tot die waardeloze wachtwoorden, moet het hoofdwachtwoord dat al uw andere wachtwoorden beschermt echt uniek zijn.
Als u de Chrome-wachtwoordbeheerder gebruikt die is gesynchroniseerd via uw Google-account, en u bent er niet 100% zeker van dat uw Google-account een sterk en uniek wachtwoord heeft, maakt u een nieuw wachtwoord (na ervoor te zorgen dat u een herstelplan hebt voor als u dat nieuwe wachtwoord vergeet, zoals hieronder wordt besproken). Dit is ook een goed moment om opnieuw te beoordelen of u twee-factorauthenticatie voor dat account moet hebben. Op dezelfde manier, als u Apple’s iCloud Keychain gebruikt, hergebruik dan geen wachtwoord als uw iCloud-beveiligingscode.
Uw hoofdwachtwoord moet willekeurig worden gegenereerd en lang genoeg zijn om uw wachtwoord te beschermen, zelfs als aanvallers de versleutelde wachtwoordlijst van een website in handen krijgen en proberen die versleuteling te breken. Om er zeker van te zijn dat uw wachtwoord echt willekeurig is, laat uw wachtwoordmanager het genereren (of gebruik dobbelstenen en een woordenlijst). Veel mensen denken ten onrechte dat ze willekeurigheid kunnen genereren door letters in hun hoofd op te roepen of op hun toetsenbord te rammen, maar veel van de mentale processen die we als willekeurig beschouwen, zijn in werkelijkheid niet echt willekeurig. Een goede wachtwoordbeheerder gebruikt een cryptografische willekeurige getallengenerator om ervoor te zorgen dat uw wachtwoord voldoende willekeurig is (en dobbelstenen zijn een beproefde bron van fysieke willekeurigheid die u kunt controleren op eerlijkheid door ze gewoon te rollen).
Uw hoofdwachtwoord moet ten minste 12 kleine letters of vijf woorden zijn. Waarom kleine letters of woorden gebruiken als u in het verleden waarschijnlijk bent verteld (en gedwongen) om hoofdletters en symbolen te gebruiken? Als u het wachtwoord moet invoeren op een apparaat met een schermtoetsenbord (zoals uw telefoon), kan het zijn dat u voor elke hoofdletter of elk symbool extra toetsen moet indrukken. U kunt dezelfde beveiliging krijgen, en uzelf veel frustratie besparen, door uw wachtwoord met alleen kleine letters 30% langer te maken dan wanneer het met hoofdletters zou zijn. Met andere woorden, een willekeurig gegenereerd 13-karakter kleine letters wachtwoord, dat kan worden ingevoerd met 13 toetsaanslagen, is net zo veilig als een 10-karakter gemengd wachtwoord, waarvoor mogelijk veel meer nodig zijn.
Verwacht niet dat u uw nieuwe hoofdwachtwoord onmiddellijk leert – zeer weinig mensen kunnen een lange willekeurig gegenereerde reeks in één keer leren. De beste manier om uw hoofdwachtwoord te leren is het op te schrijven en het vaak te gebruiken. Configureer uw wachtwoordmanager zo dat u het minstens één keer per dag opnieuw moet invoeren totdat u het weet, en gooi uw papieren exemplaar pas weg nadat u het vele dagen op betrouwbare wijze uit het hoofd hebt ingevoerd. Hoewel het vermogen van mensen om willekeurige wachtwoorden te leren niet goed is onderzocht, blijkt uit onderzoek dat mijn medewerkers en ik hebben uitgevoerd, dat het tussen de 10 en 30 keer zal duren om het te onthouden. (Dat onderzoek onderzoekt technieken die wachtwoordbeheerders zouden kunnen gebruiken om u te helpen sterke hoofdwachtwoorden te leren, maar geen enkele biedt momenteel enige hulp.)
Finitief, ga er niet van uit dat u uw papieren kopie van het hoofdwachtwoord niet zult verliezen voordat u het hebt onthouden, of dat u het later niet zult vergeten.
Factor herstel in het kiezen van een wachtwoord manager
Since de een van de grootste verschillen tussen wachtwoord managers is proces om uw gegevens te herstellen als u verliest uw master wachtwoord, moet u niet kiezen voor een wachtwoord manager zonder onderzoek naar de nood herstel proces. Nadat u uw keuze heeft gemaakt, is het eerste wat u moet doen, samen met het kiezen van uw hoofdwachtwoord, het instellen van dit herstelproces. U kunt het heel snel nodig hebben, omdat u de meeste kans hebt om een hoofdwachtwoord te vergeten kort nadat u het hebt gemaakt, en voordat u het door herhaald gebruik hebt geleerd.
Hoewel de gevolgen van het verlies van uw wachtwoorden misschien klein lijken wanneer u dingen instelt, en nog geen opgeslagen wachtwoorden hebt om te verliezen, kunt u snel afhankelijk worden van uw wachtwoordbeheerder. U kunt er ten onrechte van uitgaan dat u uw wachtwoord nooit meer zult vergeten als u het eenmaal hebt geleerd. Hoewel het gebruikelijk is om wachtwoorden te vergeten kort nadat u ze hebt aangemaakt, is het ook gebruikelijk om ze te vergeten nadat u ze een tijd niet hebt gebruikt. Bijvoorbeeld, u kunt het vergeten na die volgende vakantie die u hebt gepland, of, zoals een vriend een paar jaar geleden leerde, na een ongepland ziekenhuisverblijf.
Waarom gaat elk product anders om met herstel? Gedeeltelijk, omdat het een heel moeilijk probleem is, zelfs voor bedrijven die behoren tot ’s werelds grootste, best gefinancierde, en meest bekend om grote bruikbaarheid. Neem Apple’s iCloud, waarin de iCloud-sleutelhanger wordt opgeslagen die door Safari wordt gebruikt. Een van de manieren om een iCloud-account te herstellen is via de klantenservice, maar hackers hebben supportmedewerkers zo ver gekregen dat ze gebruikersaccounts hebben gecompromitteerd, onder meer voor een prominente journalist in 2012. Daarom bood Apple gebruikers de mogelijkheid om een willekeurig gegenereerd wachtwoord op te slaan voor herstel (Apple noemde dit een herstelcode) en hun account zo te configureren dat de klantenservice het wachtwoord niet kon wijzigen. Weinig gebruikers kozen voor herstelcodes, en sommigen die dat wel deden, waren boos toen ze ontdekten dat de klantenondersteuning hen in feite niet meer kon helpen als ze dat nodig hadden. Apple is in 2015 gestopt met het aanbieden van herstelsleutels. Apple staat momenteel toe dat wachtwoorden worden gereset na verificatie van klanten via hun telefoonnummer, ondanks dat dit proces behoorlijk kwetsbaar is voor aanvallen.
Of dat nog niet erg genoeg was, zijn de vereisten die bepalen of de klantenondersteuning het wachtwoord of andere referenties van een gebruiker zal resetten, niet beschikbaar voor het publiek. Van de bedrijven die de klantenservice toestaan de accountgegevens van gebruikers opnieuw in te stellen, ken ik er geen die de regels deelt die zij gebruiken om te beslissen wat nodig is om weer binnen te komen. Zonder die regels kunnen gebruikers niet weten onder welke voorwaarden zij hun account kunnen herstellen en onder welke voorwaarden een aanvaller hun account kan overnemen. Het is de moeite waard om dit te herhalen: deze bedrijven verwachten dat u hen vertrouwt met uw account, maar vertellen u niet de regels die dicteren of u toegang zult kunnen blijven krijgen of dat een aanvaller het van u kan stelen .
In plaats van te vertrouwen op ondoorzichtige regels voor klantenondersteuning, gebruiken veel wachtwoordbeheerders oplossingen die minder kwetsbaar zijn voor aanvallen, maar kwetsbaarder voor onopzettelijk verlies.
Open source wachtwoordbeheerders KeePass en PasswordSafe (de oorspronkelijke wachtwoordbeheerder) laten het aan u over om een manier te vinden om het bestand met uw wachtwoorden op te slaan en te back-uppen, samen met de sleutel die wordt gebruikt om de gegevens in die bestanden te beschermen (versleutelen). Dus, als u uw wachtwoorden wilt delen tussen machines, moet u een online bestandsopslag account maken (bijv. DropBox). Uw back-up kan een schriftelijke kopie zijn van het hoofdwachtwoord en het wachtwoord voor de account voor bestandsdeling. Als u tweefactorauthenticatie op dat account gebruikt, hebt u ook daarvoor een back-up nodig.
LastPass, Keeper en Dashlane laten u noodcontacten vooraf machtigen om toegang te krijgen tot uw account … zolang ze ook een account hebben bij dezelfde wachtwoordbeheerder. Deze vereiste is op zijn plaats omdat deze producten cryptografie gebruiken om ervoor te zorgen dat uw vrienden, maar niet de bedrijven, toegang kunnen krijgen tot deze gegevens. Dit helpt u te beschermen als hun dienst wordt gehackt of als een aanvaller zich met succes voordoet als u bij hun klantenservicemedewerkers. Het nadeel is dat een aanvaller die de account van uw contact besmet, ook de uwe kan besmetten. U kunt de kans daarop verkleinen door een tijdsvertraging in te stellen voordat uw informatie kan worden vrijgegeven aan uw contactpersoon in noodgevallen. Als u mensen kent die een van deze producten gebruiken en die u zou vertrouwen om uw contactpersoon voor noodgevallen te zijn, kan dat product beter voor u zijn dan de producten die uw contactpersonen niet gebruiken.
Met 1Password bestaat uw hoofdgeheim eigenlijk uit twee delen: een geheime sleutel, die de software opslaat op elk apparaat waar u uw wachtwoorden op hebt gezet, en uw hoofdwachtwoord. Om een nieuw apparaat met 1Password te gebruiken, moet u uw geheime sleutel overbrengen naar het apparaat. U kunt een back-up van uw geheime sleutel maken door een “noodpakket” te maken, een PDF die u kunt afdrukken en die uw geheime sleutel bevat en ruimte om uw hoofdwachtwoord op te schrijven. (Hopelijk is uw handschrift beter dan het mijne.) Net als LastPass en Dashlane, heeft 1Password hun online service zo ontworpen dat ze deze geheimen niet bewaren en dat de klantenservice een aanvaller – of u – niet kan helpen om toegang te krijgen tot uw gegevens zonder deze geheimen. In tegenstelling tot LastPass en Dashlane, vereist hun herstelproces geen interactie met de dienst, of iemand anders. Dit maakt 1Password aantoonbaar de meest private optie, maar er is een prijs voor elke klant die dit niveau van privacy heeft: 1Password kan niet weten welk deel van de klanten herstel kits hebben afgedrukt, hoeveel er succesvol gebruik van hebben gemaakt, noch hoeveel er hun wachtwoorden voor altijd zijn kwijtgeraakt. De enige gegevens die ze krijgen om hen te helpen de betrouwbaarheid van hun herstelproces te verbeteren, komt van wat gebruikers vrijwillig doen als ze contact opnemen met ondersteuning.
Als u Chrome gebruikt met een Google-account en twee-factorauthenticatie, kunt u tien herstelwachtwoorden voor eenmalig gebruik krijgen (achtcijferige nummers die ze back-upcodes noemen) die een van uw twee factoren kunnen vervangen . Google raadt u aan deze “af te drukken of te downloaden”. Google slaat deze codes ook op en dus, in tegenstelling tot goed beheerde willekeurig gegenereerde wachtwoorden, kunnen uw codes worden gecompromitteerd als Google een inbreuk lijdt.
Als u een afgedrukt herstelgeheim gebruikt met Chrome of 1Password, of als u uw eigen voor KeePass of PasswordSafe maakt, moet u beslissen waar u uw herstelgeheimen opslaat nadat u ze hebt afgedrukt. Een kluis of een kluis thuis kan geschikt zijn, vooral als u er al een hebt of er toch een nodig hebt. Er is geen technische reden waarom je geen uitdraaien van je geheimen zou kunnen delen met vrienden. Als je dat zou doen, zou je misschien niet willen dat er op het blad staat voor wie het is, omdat het uitsluiten van dat feit een kleine verdediging zou kunnen bieden als het gestolen wordt. Een andere optie is om twee vertrouwde contacten de helft van een code te geven, of drie vertrouwde contacten tweederde van elke code (zodat elke twee contacten je kunnen helpen).
Als je geen van de bovenstaande opties leuk vindt, zou je al je wachtwoorden periodiek kunnen afdrukken of ze opschrijven. Als u afdrukt, vertrouwt u erop dat uw printer veilig is en dat u een veilige netwerkverbinding met die printer hebt.
Uw primaire e-mailwachtwoord vereist ook speciale aandacht bij het plannen van uw herstelstrategie, omdat veel andere wachtwoorden per e-mail kunnen worden gereset. Dit is misschien wel het belangrijkste wachtwoord om te wijzigen in een willekeurig gegenereerd wachtwoord, maar het is ook het wachtwoord dat u het meest nodig hebt als u de toegang tot uw wachtwoordbeheerder verliest. Als u dat wachtwoord verandert, moet u overwegen het ook op te schrijven of er een back-up van te maken.