WACHTWOORDMANAGER

Wat is een wachtwoordmanager?

Er was eens, in de vroege jaren van het internet, dat je misschien een handvol wachtwoorden had voor een paar essentiële webapplicaties die je gebruikte om te winkelen, studeren, verbonden te blijven en te werken. Tegenwoordig is alles veel ingewikkelder. Gemiddeld wordt gerapporteerd dat mensen ongeveer 100 wachtwoorden moeten onthouden.

Terwijl technologie belooft ons leven gemakkelijker te maken, en dat doet het meestal ook, is elke nieuwe website en applicatie waar we ons voor aanmelden een extra wachtwoord dat we moeten onthouden. Voor de meesten is het onmogelijk geworden om ze allemaal te onthouden. Denk aan jezelf - hergebruik je je wachtwoorden voor meerdere accounts (net als tweederde van de internetgebruikers)? Dit zou je echt niet moeten doen.

Door gigantische lijsten van gestolen wachtwoorden (ook wel "dumps" genoemd) te gebruiken, gekocht van het donkereweb, kunnen cybercriminelen brute force gebruiken om toegang te verkrijgen tot andere sites of oude wachtwoorden gebruiken om gebruikers in scams te chantageren. Dit is het datalek domino-effect. De ene inbreuk leidt tot een andere en nog een, enzovoort.

Er wordt gemeld dat de meeste datalekken worden veroorzaakt door gecompromitteerde, zwakke en hergebruikte wachtwoorden. 1234567, iemand? 

Dus, hoe zijn we hier terechtgekomen en wat kunnen we eraan doen?

De beroemde xkcd webcomic "Password Strength" legde het het beste uit: "Na 20 jaar inspanning hebben we iedereen succesvol getraind om wachtwoorden te gebruiken die moeilijk voor mensen te onthouden zijn, maar gemakkelijk voor computers om te raden."

Het klopt. 20 jaar geleden zorgden cybersecurity professionals ervoor dat consumenten de standaardwachtwoorden op IoT-apparaten (zoals je internetrouter) wijzigden of makkelijke wachtwoorden zoals "12345" of "wachtwoord" vermeden. Hieruit ontstond het lange en sterke wachtwoord waar xkcd grappig over doet: een gewoon woord met een mix van hoofd- en kleine letters, minstens één cijfer en één symbool.

Bij het aanmaken van een nieuw account eisen websites dat we lange en sterke wachtwoorden maken. Als dat niet lukt, mogen we niet eens een account aanmaken. Stel dat je de accountaanmaakfase doorstaat, dan vergeet je snel de Enigma-machine cypher die je zojuist hebt gemaakt en moet je jezelf er bij neerleggen dat je de "Wachtwoord vergeten?"-link als dagelijkse inlogoptie gebruikt.

Gelukkig hoef je niet al die wachtwoorden te onthouden. Een wachtwoordmanager kan ze voor je onthouden.

Malwarebytes Labs definieert een wachtwoordmanager als "een softwaretoepassing ontworpen om online inloggegevens op te slaan en te beheren. Het genereert ook wachtwoorden. Meestal worden deze wachtwoorden opgeslagen in een versleutelde database en achter een hoofdwachtwoord vergrendeld."

Zodra al je accountnamen en wachtwoorden in de kluis zijn ingevoerd, is je hoofdwachtwoord het enige dat je hoeft te onthouden. Het invoeren van je hoofdwachtwoord ontgrendelt je wachtwoordkluis, en vanuit je kluis kun je vervolgens elk wachtwoord opvragen dat je nodig hebt.

Wat zijn de voordelen van een wachtwoordmanager?

Je hoeft niet meer al je wachtwoorden te onthouden. Je hoeft alleen het hoofdwachtwoord te onthouden dat je wachtwoordkluis ontgrendelt. En als je kiest voor een op de cloud gebaseerde wachtwoordmanager, kun je je wachtwoordkluis overal en vanaf elk apparaat openen.

Ze kunnen zeer veilige wachtwoorden voor je genereren. Wachtwoordmanagers vragen je meestal of je een automatisch gegenereerd wachtwoord wilt gebruiken wanneer je een nieuw account aanmaakt bij een website of toepassing. Deze willekeurige wachtwoorden zijn lang, alfanumeriek en in feite onmogelijk te raden.

Ze kunnen je waarschuwen voor een phishing-site. Hier is een snelle uitleg over phishing-zwendel. Spam e-mails worden gespoofd of vervalst zodat ze lijken te komen van een betrouwbare afzender, zoals een vriend, familielid, collega of organisatie waar je zaken mee doet. Links in de e-mail leiden naar vergelijkbaar gespoofde kwaadaardige websites die inloggegevens oogsten. Als je een browser-gebaseerde wachtwoordmanager gebruikt, zal deze de gebruikersnaam- en wachtwoordvelden niet automatisch invullen omdat het de website niet herkent als degene die aan het wachtwoord is gekoppeld.

Ze kunnen je begunstigden helpen als je komt te overlijden. Dit heet een digitale erfenis. In het geval van je overlijden krijgen je familie of wie je ook aanwijst om je nalatenschap te beheren, toegang tot je wachtwoordkluis.

Wachtwoordmanagers besparen tijd. Naast het opslaan van wachtwoorden voor je, vullen veel wachtwoordmanagers ook automatisch inloggegevens in voor snellere toegang tot online accounts. Bovendien kunnen sommigen ook naam-, adres-, e-mail-, telefoonnummer- en creditcardgegevens opslaan en automatisch invullen. Dit kan bijvoorbeeld veel tijd besparen bij het online winkelen.

Veel wachtwoordmanagers synchroniseren tussen verschillende besturingssystemen (OS). Als je op je werk een Windows-gebruiker bent en thuis een Mac-gebruiker, van maandag tot vrijdag een Android gebruikt en in het weekend een iOS, heb je snel toegang tot je wachtwoorden, ongeacht op welk platform je je bevindt. Hetzelfde geldt voor alle populaire webbrowsers; d.w.z. Chrome, Firefox, Edge, Internet Explorer en Safari.

Ze helpen je identiteit te beschermen. Op een indirecte manier helpen wachtwoordmanagers bij het beschermen tegen identiteitsdiefstal, en hier is waarom. Door een uniek wachtwoord voor elke site te gebruiken, segmenteer je in feite je gegevens over elke website en toepassing die je gebruikt. Als een crimineel inbreekt in een van je accounts, kunnen ze niet zomaar toegang krijgen tot de andere accounts. Het is niet waterdicht, maar het is een extra beveiligingslaag die je zeker zult waarderen na een datalek.

Zijn wachtwoordmanagers veilig?

Wachtwoordmanagers zijn gehackt, maar hun algehele staat van dienst als het gaat om het beveiligen van gebruikersgegevens is erg goed. Wachtwoordmanager LastPass heeft een paar datalekken ondergaan - net als een paar andere wachtwoordmanagertools. Er zijn veel betrouwbare wachtwoordmanagers die encryptie gebruiken en veilig zijn om in 2023 te gebruiken. Een voorbeeld is NordPass Password Manager, dat ook op de lijst van de veiligste wachtwoordmanagers van Cyber News staat.

Het is belangrijk om te onthouden dat als je telefoon besmet is met malware, je wachtwoordmanager ook gecompromitteerd kan worden. Zorg er dus voor dat je anti-malware- en antivirussoftware up-to-date is.

Welke soorten wachtwoordmanagers zijn er?

Desktop-gebaseerde wachtwoordmanagers slaan je wachtwoorden lokaal op je apparaat op, zoals je laptop, in een versleutelde kluis. Je kunt die wachtwoorden niet vanaf een ander apparaat openen, en als je het apparaat kwijt bent, dan verlies je alle opgeslagen wachtwoorden. Lokaal geïnstalleerde wachtwoordmanagers zijn een goede optie voor mensen die hun gegevens niet op het netwerk van iemand anders willen opslaan. Sommige lokaal geïnstalleerde wachtwoordmanagers vinden een balans tussen privacy en gemak door je de mogelijkheid te geven om meerdere wachtwoordkluizen te creëren op je apparaten en ze te synchroniseren wanneer je verbinding maakt met internet.

Cloud-gebaseerde wachtwoordmanagers slaan je versleutelde wachtwoorden op in het netwerk van de serviceprovider. De serviceprovider is direct verantwoordelijk voor de beveiliging van je wachtwoorden. Het belangrijkste voordeel van cloud-gebaseerde wachtwoordmanagers, zoals 1Password en NordPass als goede voorbeelden, is dat je overal toegang hebt tot je wachtwoordkluis, zolang je een internetverbinding hebt. Web-gebaseerde wachtwoordmanagers kunnen in verschillende vormen voorkomen – meestal als een browserextensie, desktop-app of mobiele app.

Single sign-on (SSO). In tegenstelling tot een wachtwoordmanager die unieke wachtwoorden opslaat voor elke toepassing die je gebruikt, stelt SSO je in staat om één wachtwoord voor elke toepassing te gebruiken. Zie SSO als je digitale paspoort. Bij het betreden van een vreemd land vertelt een paspoort de douanebeambten dat je land van herkomst voor je instaat en dat je het land met minimale problemen binnen mag komen. Evenzo hoef je bij het gebruik van SSO om in te loggen in een toepassing niet je identiteit te verifiëren. In plaats daarvan staat de SSO-provider in voor je identiteit. Bedrijven geven de voorkeur aan SSOs boven wachtwoordmanagers om een paar redenen. Vooral omdat SSO een veilige en gemakkelijke manier is voor werknemers om toegang te krijgen tot de toepassingen die ze nodig hebben om hun werk te doen. SSOs verminderen ook de tijd die IT besteedt aan het oplossen van problemen en het resetten van vergeten wachtwoorden.

Beste wachtwoordinzichten

Herhaal wachtwoorden niet. Zelfs niet met een wachtwoordmanager. Maak in plaats daarvan unieke wachtwoorden voor elke site en laat je wachtwoordmanager doen waarvoor deze is ontworpen. Gebruik een veilige sterk wachtwoord generator om unieke wachtwoorden voor al je accounts te maken.

Creëer complexe wachtwoorden. Veel wachtwoordmanagers stellen handig sterke wachtwoorden voor telkens wanneer je een account aanmaakt voor een nieuwe site. Zo niet, probeer dan een willekeurige combinatie van letters en cijfers te gebruiken, en wissel af tussen hoofd- en kleine letters. Hoe complexer en onzinniger, hoe beter—vooral omdat je het niet hoeft te onthouden. De wachtwoordmanager doet dat wel. Het ene verschil zit in het creëren van je hoofdwachtwoord (die ene die alle andere wachtwoorden ontgrendelt). Deze moet je wel onthouden, dus tenzij je een eidetic geheugen hebt, probeer iets te bedenken dat voor jou memorabel is, maar niet gemakkelijk terug te herleiden is naar je identiteit. Voeg dan wat hoofdletters, letters en speciale tekens toe, en je hebt een goed beveiligde wachtwoordkluis.

Gebruik een wachtwoordzin. Als het gaat om het creëren van je hoofdwachtwoord (deze die je andere wachtwoorden ontgrendelt), probeer dan een wachtwoordzin te gebruiken; dat wil zeggen, een reeks woorden die gemakkelijk te onthouden is, maar moeilijk te raden. Iets bekends met een vreemde draai, bijvoorbeeld: “boon burrito ijs opsplitsen.” Of gewoon een stel willekeurige dingen die een mens gemakkelijk kan visualiseren, maar een computer niet: "fancy rat neon avocado auto." Gebruik je verbeelding! Huisdieren, kinderen of andere familienamen of regels zoals “Laat me binnen!” zijn veel te vaak voorkomend en daarom gemakkelijk voor cybercriminelen om te ontcijferen.

Schakel twee-factor (2FA) of multi-factor authenticatie (MFA) in. Een van de beste manieren om elk account te beveiligen, wachtwoordmanager of niet, is MFA in te schakelen. Met een MFA-ingeschakelde wachtwoordmanager moet je je identiteit verifiëren met twee of meer authenticatiefactoren, waaronder iets dat je weet, iets dat je bezit en iets dat je bent. Het iets dat je weet is meestal je wachtwoord, maar het kan ook een pincode zijn. Iets dat je bezit kan je mobiele telefoon, bankkaart of een beveiligingstoken op een USB-stick zijn. Tot slot kan iets dat je bent worden geverifieerd met biometrie, zoals gezichts-, stem- of irisherkenning en vingerafdrukidentificatie. Gedrag biometrie, zoals toetsaanslagen, kan ook worden toegepast.

Deze extra beveiligingslaag betekent dat iedereen die je account probeert in te loggen (inclusief jijzelf) de extra authenticatiefactoren buiten gebruikersnaam en wachtwoord moet beheersen. Een voorbeeld hiervan zou zijn: Nadat je je hoofdwachtwoord hebt ingevoerd om toegang te krijgen tot de wachtwoordmanager, wordt een code naar je mobiele telefoon gestuurd, die je vervolgens moet invoeren voordat je toegang krijgt tot de kluis. Een ding om in gedachten te houden bij het gebruik van je telefoon als authenticatiefactor—telefoonnummers kunnen worden gehackt.

Dit heet SIMjacking (ook wel SIM-swapping genoemd) en het gebeurt wanneer een cybercrimineel, zich voordoend als jij, je telefoonprovider overtuigt om je telefoonnummer naar hun telefoon over te zetten door succesvol je beveiligingsvragen te beantwoorden. Een oppervlakkig zoekopdracht op sociale media is vaak alles wat nodig is voor boeven om de antwoorden te vinden die ze nodig hebben. En zodra criminelen controle hebben over je telefoon, hebben ze alles wat ze nodig hebben om je identiteit te stelen. Daarom kun je overwegen om voor kritische accounts in plaats daarvan een software-gebaseerde authenticatie zoals Authy of Google Authenticator te gebruiken.

Denk goed na over gratis wachtwoordmanagers. Veel van de meest populaire gratis wachtwoordmanagers werken eigenlijk onder een freemium bedrijfsmodel, wat betekent dat je moet betalen als je de beste—soms essentiële—functies wilt. Moet je je wachtwoorden synchroniseren tussen browsers en apparaten? Heb je digitale erfenis nodig? Moet je inloggegevens delen met familie? Heb je multi-factor authenticatie nodig? Gratis wachtwoordmanagers bevatten deze functies meestal niet. MFA, in het bijzonder, is een must-have. In de discussie tussen gratis vs. betaald, kies voor een betaalde wachtwoordmanager.

Creëer een wachtwoordmanagerbeleid. Hier is een tip voor kleine en middelgrote bedrijven: Creëer een wachtwoordmanagerbeleid en laat werknemers weten dat het oké is om een wachtwoordmanager te gebruiken om hun werkaccounts te beveiligen. Je personeel gebruikt al allerlei methoden die mogelijk onveilig zijn om hun vele wachtwoorden te beheren, en de meeste datalekken beginnen met een zwak of hergebruikt wachtwoord. Een officieel wachtwoordmanagerbeleid is je eerste verdedigingslinie tegen een cyberaanval op je netwerk.

Zie ook: Passkey