Wachtwoord
Een wachtwoord of paswoord, (in computerjargon ook wel password (uit het Engels)), is een geheim woord dat aan degene die het kent, toegang verschaft tot een locatie of tot informatie.
Een wachtwoord waarmee men vriend van vijand onderscheidt is een sjibbolet, zoals "scilt ende vriend", waarmee franskiljons tijdens de Brugse metten konden worden ontmaskerd[bron?] of "Scheveningen" dat tijdens de Duitse aanval op Nederland in 1940 eenzelfde functie had.[1]
Inhoud |
[bewerken] Wachtwoord en computers
In de ICT is een wachtwoord of toegangscode een rijtje met letters, cijfers of andere tekens waarmee toegang tot informatie kan worden verkregen.
Een wachtwoord is normaliter gekoppeld aan een gebruikersnaam, die identificeert wie of wat er toegang krijgt. De gebruikersnaam is openbaar - althans niet geheim - het wachtwoord is geheim.
Het invoeren van gebruikersnaam en wachtwoord om toegang te krijgen wordt 'aanmelden' of 'inloggen' genoemd. Het laatste is afgeleid van het Engelse login.
Door het kraken van een wachtwoord (door het afluisteren ervan of het ontcijferen van een wachtwoordenbestand) kan een cracker stiekem gebruikmaken van andermans informatie. Om die reden wordt in de meeste professionele omgevingen een complex wachtwoord vereist, dat regelmatig door de eigenaar ervan moet worden gewijzigd. Het gelijkt helemaal niet meer op een woord, maar is een combinatie van letters, cijfers en andere tekens. Daarom noemt men het ook toegangscode.
In hoogbeveiligde omgevingen wordt ook wel eens een passphrase (wachtwoordzin) gebruikt. Dit is geen wachtwoord maar een of meer wachtwoordzinnen. Het voordeel van een passphrase is dat het illegaal verkrijgen van toegang nog moeilijker wordt.
[bewerken] Wachtwoordcomplexiteit
Een wachtwoord dient zo lang mogelijk te zijn om "aanvallen" te weerstaan. Hiermee wordt bedoeld dat het wachtwoord op methodische wijze wordt achterhaald. Er zijn een aantal mogelijkheden om een wachtwoord, bijvoorbeeld "zon" te vinden:
- willekeurig raden[2]. Voorbeelden zijn: je achternaam, de naam van je vrouw, namen van huisdieren, de geboortedatum, favoriete muziekartiest, sportman of voetbalploeg, ... Dit is een zeer eenvoudige methode om wachtwoorden te raden, maar ook zeer eenvoudig om te vermijden
- een bruteforce-aanval. Hierbij worden domweg alle mogelijkheden (bijv. aaa, aab, aac, aad, ..., zol, zom, zon) geprobeerd.
- gebruik van een woordenboek of -lijst. Hierbij wordt een lijst overlopen van veel voorkomende woorden (bijv. zonder, zolder, zowel, zondag, zon ). Alternatief kan ook een volledig woordenboek nagelopen worden. Dit is eenvoudig te vermijden door geen standaardwoorden te gebruiken.
Daarnaast kan het wachtwoord geraden worden door er gewoon naar te vragen. Dit wordt 'social engineering' genoemd.
Het is de bedoeling het wachtwoord zo "moeilijk" te maken zodat het kraken ervan zolang duurt dat de informatie die door het wachtwoord beveiligd wordt niet meer relevant is, of in de tussentijd het wachtwoord opnieuw is gewijzigd.
[bewerken] Wachtwoorden kraken
Een wachtwoord met slechts 5 karakters wordt binnen enkele uren door een gemiddelde computer gevonden. Een wachtwoord met 6 karakters duurt al snel enkele dagen; Een gemiddelde 3GHz-processor genereert 3 miljoen wachtwoorden per seconde. Het berekenen van het aantal combinaties van een wachtwoord kan men doen met de volgende formule: aantal tekensaantal posities.
Een voorbeeld: wanneer men alleen de 26 letters (alleen kleine letters of hoofdletters) van het alfabet kan gebruiken en het wachtwoord 5 karakters lang mag zijn is het aantal combinaties: 265 = 11881376. Wanneer men het wachtwoord 6 karakters lang wordt is het aantal combinaties inmiddels 266 = 308915776; 26 keer zoveel combinaties.
Om te vermijden dat een wachtwoord gekraakt wordt door alle denkbare combinaties te proberen, twee mogelijkheden:
- Als enkele keren het verkeerde wachtwoord is opgegeven, wordt de toegang definitief geblokkeerd. Deze methode wordt gebruikt bij pinpassen en mobiele telefoons. Nadeel is dat de rechtmatige eigenaar daardoor ook wordt uitgesloten.
- Als enkele keren het verkeerde wachtwoord is opgegeven, wordt de toegang gedurende enige tijd, bijvoorbeeld een uur, geblokkeerd. Hierdoor werkt een bruteforce-aanval onaanvaardbaar langzaam.
[bewerken] Veilige wachtwoorden
Een eerste methode om veilige wachtwoorden te kiezen, is een combinatie van letters (kleine letter en hoofdletter), cijfers en leestekens. Dit bemoeilijkt het raden omdat er veel meer mogelijkheden zijn. Deze combinaties zijn vaak moeilijk te onthouden en moeilijk om in te geven op draagbare toestellen. Voorbeelden zijn "slejnn12][" of "QSK12$%j"
Een tweede mogelijk is een lang wachtwoord opgebouwd uit gewone letters. Een eenvoudige manier om een dergelijk lang wachtwoord te kiezen, is een zin van een aantal willekeurige woorden. Bijvoorbeeld "gsm laptop kredietkaart". Dit is een wachtwoord dat eenvoudig te onthouden is, maar door de 23 karakters toch moeilijk genoeg is om aanvallen af te slaan.
[bewerken] Versleuteling
Over het algemeen worden wachtwoorden gehasht opgeslagen.
Het hashen van wachtwoorden is geen vorm van cryptografie. Er wordt namelijk een algoritme gebruikt dat niet omkeerbaar is. Men kan uit het wachtwoord de gehashte vorm berekenen, maar niet andersom, behalve door alle mogelijkheden een voor een te proberen. Iemand die het algoritme kent en toegang heeft tot het bestand waarin de wachtwoorden opgeslagen zijn, weet dus nog niet wat de wachtwoorden zijn. Bij UNIX is het zelfs regel dat het bestand voor iedereen leesbaar is.
Is iemand zijn wachtwoord vergeten, dan kan de systeembeheerder een nieuw wachtwoord voor hem instellen. Veel websites op het internet sturen desgevraagd een wachtwoord per e-mail op. Door de hashing is het niet mogelijk het oude wachtwoord te achterhalen.
[bewerken] Zie ook
| Bronnen, noten en/of referenties |
 |
Zoek wachtwoord op in het WikiWoordenboek. |
 |
Wikibooks heeft een studieboek over dit onderwerp: Cursus veilig op het internet: Wachtwoorden. |
