De belangrijkste les uit Heartbleed: weg met wachtwoorden

De beruchte Heartbleed-bug heeft opnieuw de schijnwerper gericht op de inherente zwakheid van wachtwoorden. Het mechanisme waarmee we al minstens vijftig jaar lang onze computers beveiligen.

Ik zeg al een tijdje dat wachtwoorden en de volledige wijze waarop we IT-veiligheid benaderen, flink op de schop moet worden genomen. Deze foto dateert uit 2011:

[related_article id=”161920″]

Ik was hier niet blij mee, zoals je wel kunt bedenken. Ik beschouw mezelf als uiterst voorzichtig wanneer het op pc-veiligheid aankomt. Ik gebruik nooit tweemaal hetzelfde wachtwoord en mijn wachtwoorden zien eruit als “12KLzox88°4K!”. 

Janboel
Het aantal wachtwoorden dat we tegenwoordig moeten bijhouden is enorm: Gmail, LinkedIn, Facebook, Twitter, Flickr, Amazon, Onedrive en ga zo maar door. Om de hele rimram te beheren, hebben we spreadsheets en documenten nodig, want het is hopeloos om alles te onthouden. En als je ze toch vergeet, moet je weer een ellenlange procedure doorlopen om ze te veranderen. Kortom: een complete janboel.

Maar goed, terug naar Gmail. Ondanks dat ik dus sterke wachtwoorden gebruik, was toch iemand erin geslaagd om mijn mailbox te kraken. Ik gebruik niet alleen een pc om Gmail te benaderen. Toentertijd had ik ook twee Androidtelefoons en een iPad. De aanval kon dus ook van daaruit gebeurd zijn.

Ondertussen zijn er zelfs nog veel meer apparaten bijgekomen: laptops, Windows-smartphones, een Microsoft Surface, een iPhone… En oh ja, en een Xbox, een Roku en een Apple TV. En dan vergeet ik er waarschijnlijk nog een paar.

Ik heb nu nog altijd geen idee hoe mijn Gmail toen gehackt werd: een malicieuze Android-app? Via Facebook? Phishing? Een brute force-attack, ondanks mijn sterke wachtwoorden? Het zou ook kunnen dat de servers van Google rechtstreeks werden gekraakt. Eigenlijk maakt het zelfs niet uit. Als mijn wachtwoord al op straat kan belanden, dan kan dat bij iedereen gebeuren.

Betere oplossing
Hier past dus eigenlijk maar één conclusie: wachtwoorden zijn rommel. Gelukkig is er een veel betere oplossing en dat is biometrie.

Biometrie wordt al een tijdje in verschillende computerapplicaties gebruikt, voornamelijk in high security-omgevingen als bepaalde overheidsdiensten, banken en systemen van spionageagentschappen. Meestal wordt er gewerkt met scans van het retina of je vingerafdruk, soms ook met systemen om de stem te herkennen. Er bestaan ook systemen die verschillende biometrische kenmerken combineren.

Vingerafdruk
Scanners voor vingerafdrukken zijn niet echt duur. Voor een paar tientjes kan je er al eentje kopen voor je pc. In sommige laptops zitten ze al ingebouwd. De kostprijs gaat nog een heel stuk verder omlaag als je er een paar tientallen miljoenen tegelijk van maakt, zoals Samsung doet in zijn Galaxy S5-gsm of Apple in de iPhone 5S.

De ingebouwde camera’s van laptops en gsm’s worden ook almaar beter, met betere sensoren en preciezere lenzen, zodat je ook deze over enkele jaren zou kunnen inzetten om je retina te scannen.

Ook deze methodes kan je combineren met bijvoorbeeld stemherkenning, RFID, virtuele smartcards en Trusted Platform Modules (TPM), zodat hackers het een stuk moeilijker krijgen om biometrische informatie na te bootsen. Met een hartslagsensor zou je dan weer kunnen vermijden dat iemand gedwongen inlogt als er een pistool tegen zijn hoofd wordt gehouden.

API dringend gevraagd
De kostprijs en de hardware-integratie zijn maar een deel van het probleem. Wat er dringend moet komen, is een standaard-API die op elk OS werkt en op het web, zodat je compleet naadloos kan inloggen op alle diensten die je gebruikt. Ook het ingeven van je biometrische gegevens moet een stuk simpeler kunnen en moet liefst centraal beheerd worden, bijvoorbeeld door een overheidsdienst. Bedrijven als Google, Facebook, Amazon en Apple zouden hier, samen met de Amerikaanse regering en de EU, een prioriteit van moeten maken.

Identiteitsdiefstal kost bedrijven en individuen momenteel honderden miljoenen dollars per jaar, om nog maar te zwijgen van de reputatieschade, de gêne en het werk om de schade te herstellen.

Hoog tijd dus om hier iets aan te doen. 

De beruchte Heartbleed-bug heeft opnieuw de schijnwerper gericht op de inherente zwakheid van wachtwoorden. Het mechanisme waarmee we al minstens vijftig jaar lang onze computers beveiligen.

Ik zeg al een tijdje dat wachtwoorden en de volledige wijze waarop we IT-veiligheid benaderen, flink op de schop moet worden genomen. Deze foto dateert uit 2011:

[related_article id=”161920″]

Ik was hier niet blij mee, zoals je wel kunt bedenken. Ik beschouw mezelf als uiterst voorzichtig wanneer het op pc-veiligheid aankomt. Ik gebruik nooit tweemaal hetzelfde wachtwoord en mijn wachtwoorden zien eruit als “12KLzox88°4K!”. 

Janboel
Het aantal wachtwoorden dat we tegenwoordig moeten bijhouden is enorm: Gmail, LinkedIn, Facebook, Twitter, Flickr, Amazon, Onedrive en ga zo maar door. Om de hele rimram te beheren, hebben we spreadsheets en documenten nodig, want het is hopeloos om alles te onthouden. En als je ze toch vergeet, moet je weer een ellenlange procedure doorlopen om ze te veranderen. Kortom: een complete janboel.

Maar goed, terug naar Gmail. Ondanks dat ik dus sterke wachtwoorden gebruik, was toch iemand erin geslaagd om mijn mailbox te kraken. Ik gebruik niet alleen een pc om Gmail te benaderen. Toentertijd had ik ook twee Androidtelefoons en een iPad. De aanval kon dus ook van daaruit gebeurd zijn.

Ondertussen zijn er zelfs nog veel meer apparaten bijgekomen: laptops, Windows-smartphones, een Microsoft Surface, een iPhone… En oh ja, en een Xbox, een Roku en een Apple TV. En dan vergeet ik er waarschijnlijk nog een paar.

Ik heb nu nog altijd geen idee hoe mijn Gmail toen gehackt werd: een malicieuze Android-app? Via Facebook? Phishing? Een brute force-attack, ondanks mijn sterke wachtwoorden? Het zou ook kunnen dat de servers van Google rechtstreeks werden gekraakt. Eigenlijk maakt het zelfs niet uit. Als mijn wachtwoord al op straat kan belanden, dan kan dat bij iedereen gebeuren.

Betere oplossing
Hier past dus eigenlijk maar één conclusie: wachtwoorden zijn rommel. Gelukkig is er een veel betere oplossing en dat is biometrie.

Biometrie wordt al een tijdje in verschillende computerapplicaties gebruikt, voornamelijk in high security-omgevingen als bepaalde overheidsdiensten, banken en systemen van spionageagentschappen. Meestal wordt er gewerkt met scans van het retina of je vingerafdruk, soms ook met systemen om de stem te herkennen. Er bestaan ook systemen die verschillende biometrische kenmerken combineren.

Vingerafdruk
Scanners voor vingerafdrukken zijn niet echt duur. Voor een paar tientjes kan je er al eentje kopen voor je pc. In sommige laptops zitten ze al ingebouwd. De kostprijs gaat nog een heel stuk verder omlaag als je er een paar tientallen miljoenen tegelijk van maakt, zoals Samsung doet in zijn Galaxy S5-gsm of Apple in de iPhone 5S.

De ingebouwde camera’s van laptops en gsm’s worden ook almaar beter, met betere sensoren en preciezere lenzen, zodat je ook deze over enkele jaren zou kunnen inzetten om je retina te scannen.

Ook deze methodes kan je combineren met bijvoorbeeld stemherkenning, RFID, virtuele smartcards en Trusted Platform Modules (TPM), zodat hackers het een stuk moeilijker krijgen om biometrische informatie na te bootsen. Met een hartslagsensor zou je dan weer kunnen vermijden dat iemand gedwongen inlogt als er een pistool tegen zijn hoofd wordt gehouden.

API dringend gevraagd
De kostprijs en de hardware-integratie zijn maar een deel van het probleem. Wat er dringend moet komen, is een standaard-API die op elk OS werkt en op het web, zodat je compleet naadloos kan inloggen op alle diensten die je gebruikt. Ook het ingeven van je biometrische gegevens moet een stuk simpeler kunnen en moet liefst centraal beheerd worden, bijvoorbeeld door een overheidsdienst. Bedrijven als Google, Facebook, Amazon en Apple zouden hier, samen met de Amerikaanse regering en de EU, een prioriteit van moeten maken.

Identiteitsdiefstal kost bedrijven en individuen momenteel honderden miljoenen dollars per jaar, om nog maar te zwijgen van de reputatieschade, de gêne en het werk om de schade te herstellen.

Hoog tijd dus om hier iets aan te doen.