Defensieminister: veiligheid niet in geding door LulzSec-hack

Elke maand je wachtwoord veranderen zorgt er daarnaast ook voor dat je meer oproepen krijgt op de helpdesk van mensen die hun wachtwoord net veranderd hebben maar alweer vergeten zijn of die enkele keren hun oude wachtwoord ingegeven hebben en zichzelf dus uit het systeem buitengesloten hebben (elk deugdelijk systeem moet na een aantal pogingen blokkeren, al is het maar tijdelijk). Kortom: meer IT-kosten en zowel IT als gebruiker zal ontevreden zijn.

Daarnaast zorgen dergelijke policies er ook voor dat de entropie van je wachtwoorden dalen, wat dus helemaal een slecht idee is. Je krijgt dan veel mensen die wel een ander wachtwoord kiezen, maar een dat makkelijk af te leiden is uit een vorig wachtwoord. De veiligheid die je zo maakt, is schijnveiligheid. Hun wachtwoorden zullen dan iets zijn in de aard "*****1", "*****2", ... of "*****aug", "*****sep" waarbij het eigenlijke wachtwoord nog zo sterk mag zijn, eenmaal een hacker er één (of meerdere) van heeft, kan hij natuurlijk ook educated guesses beginnen maken naar wat het huidige wachtwoord zou kunnen zijn.

Je kan natuurlijk met policies beginnen afdwingen dat je wachtwoord "genoeg" moet verschillen (bv. dat er geen substring van N tekens overgenomen wordt uit vorige wachtwoorden). Maar eigenlijk is dat allemaal makkelijker op te lossen: als je met een OTP werkt bovenop je wachtwoord. Dus bv. met een Yubikey, RSA Token, DigiPass, of zelfs een complete challenge-response, dan is het voor een hacker bijna onmogelijk om in te loggen.

Het is allemaal een kwestie van de juiste balans vinden. Voor sommige systemen is het misschien best een goed idee om ieder maand een ander password te nemen. Dan moet je wel bereid zijn om bv. 2 uur per maand per medewerker te verliezen aan tijd om die wachtwoorden te onthouden en/of om bij de helpdesk langs te gaan voor een nieuw wachtwoord. Dat moet je echter niet aan duizenden mensen tegelijk opleggen, dan is je beveiliging niet goed gecompartementaliseerd.

Een aardig compromis tussen random wachtwoorden opleggen en mensen zelf wachtwoorden laten kiezen, is ze laten kiezen uit meerdere random wachtwoorden. Je computer genereert een lijst met 100 goede wachtwoorden en de gebruiker moet er 1 kiezen. Met 100 wachtwoorden zit er altijd wel 1 bij waar je iets in ziet waardoor het makkelijk te onthouden wordt.

Nog een laatste ei dat ik kwijt wil: je moet mensen niet straffen voor het vergeten van hun wachtwoord. Liever 100 keer iemands wachtwoord resetten dan dat ze het op een briefje gaan schrijven. Wel moet je een goede controle-procedure hebben, bv fysiek langsgaan en je paspoort laten zien, dat is al straf genoeg.