Poll

Als je veel hetzelfde ww gebruikt bij dezelfde "categorie" diensten - of zo lijkt het- een simpele voor simpele diensten, een moeilijke voor de belangrijkere, dan nog steeds ALS ze er eentje hebben zijn ze binnen bij die andere van dezelfde categorie. En je kunt je afvragen wat laat je daar achter? Misschien wel hints naar die andere diensten en of wachtwoorden.

En waarom overweeg je een simpelere te gebruiken bij de minder belangrijke diensten? Ik neem aan dat je de indruk hebt dat ze hun zaakjes misschien niet op orde hebben en dat wachtwoorden misschien zelfs wel eens plaintext ergens terecht kunnen komen, naast dat het je niet zoveel uitmaakt. Maar hoeveel diensten zijn dat ondertussen?

Een leuke test: voer de "ik ben mijn wachtwoord vergeten"-procedure uit en goh wat staat er in je email: het wachtwoord wat je eerder had ingevoerd maar zogenaamd was vergeten. Heb je een gameranger account, probeer maar....ja het kan nog steeds in deze tijd.

En zo is bij het kraken van de ene account ook de andere gekraakt, mocht je al die correspondentie al via een SSL laagje gedaan hebben....maar goed, er hoeft er maar 1 tussen te zitten die nog werkt met de verkeerde openssl versie en via de heartbleed bug ben je nog de sjaak.

Bovendien: we zijn mensen en geef toe: vaak verschillen die wachtwoord niet eens zoveel, verander het laatste karakter, tel een cijfertje op, een klein beetje brute force later: en binnen.

Een wachtwoordmanager genereert gelukkig kompleet onlogische en ongerelateerde wachtwoorden. Het voorbeeld wat je noemt is minder willekeurig en daarmee makkelijker gekraakt. De wachtwoordmanager is (ik kan niet spreken in het algemeen) waarschijnlijk ook nog paranoide als de onsuccesvolle inlogpogingen erg snel volgen of van verschillende locaties plaatsvinden. In ieder geval weet ik dat gmail zo is ook al zonder 2 layer auth.

En tenslotte hoe komt die crimineel aan mijn yubikey? Juist een 2nd layer auth in de vorm van iets fysieks wat aan mijn sleutelbos hangt, voor die ene kluis die alle wachtwoorden bevat die ik zelf niet eens kan onthouden en totaal random zijn....ik wens meneer de crimineel veel succes.

Begrijp me niet verkeerd, ik redeneerde precies zo. Ik had een makkelijk wachtwoord voor de diensten die niet belangrijk waren omdat ik dacht lui te zijn en bij een eventuele kraak daarvan het me toch niet veel uit zou maken, maar ik weet inmiddels beter.
Niet dat ik ben gekraakt maar het is makkelijker een password manager te gebruiken dan al die wachtwoorden te verzinnen en onthouden. Je argument gaat nog steeds op, maar in mijn geval met de yubikey valt die. Mensen die hun 2e laag via een sms of OTP app op de foon realiseren zijn in principe net zo veilig...maar goed wat wordt meestal gejat: juist de telefoon.