Change Your Password Day: 29 procent van de Belgen trekt zich er niets van aan

Als je inderdaad een wachtwoordmanager gebruikt - en die ook je wachtwoorden laat genereren - dan is het dus nergens voor nodig om 'regelmatig je wachtwoord te veranderen'; dat advies dateert nog van de oude NIST-richtlijnen, waar na jaren ageren vanuit de infosec-gemeenschap eindelijk wijzigingen in zijn aangebracht.

Sterker nog, nu beveelt NIST aan om dat niet meer te doen.

Het oorspronkelijke idee achter het regelmatig wijzigen van wachtwoorden is dat, mocht er een dienst gehackt worden, je de impact limiteert door ieder wachtwoord maximaal X tijd geldig te laten zijn, waardoor de aanvaller vervolgens niet meer in je account kan na die tijd.

In de praktijk blijkt echter:

- Mensen kiezen zwakkere wachtwoorden om te compenseren voor dit rotatie-werk.
- Het tijdsbestek tot aan de volgende wachtwoordwijziging is lang genoeg dat een aanvaller 9 van de 10 keer alles kan doen wat hij of zij in gedachten had.
- Het hele nut van zo'n rotatie valt weg als je toch al geen wachtwoorden hergebruikt; als iemand je wachtwoord heeft voor een dienst, betekent dat hoogstwaarschijnlijk dat de dienst zelf gehackt is en de aanvaller dus toch al toegang tot alle gegevens en functionaliteit heeft.

Er zijn dan ook maar twee situaties waarin je daadwerkelijk je wachtwoord hoeft te veranderen:

1. Wanneer een site gehackt wordt (en dan zal de site dit doorgaans afdwingen), of
2. Wanneer je zelf je wachtwoord ergens lekt.

Met andere woorden: prima dat mensen zich niets van deze dag aantrekken, want regelmatig je wachtwoorden veranderen is gewoon geen zinvolle actie in de praktijk, en een hoop werk. Als het nou "schakel om naar een wachtwoordmanager"-dag geweest zou zijn, dan zou het nog nuttig zijn.