“Vervang de a's door @ en voeg een uitroepteken toe”: dat oude advies houdt de aanvalstools van vandaag niet meer stand. De sterkte van een wachtwoord is meetbaar en berekenbaar, en hangt minder af van schrijftrucs dan van hoe willekeurig en hoe uniek het is. Deze gids geeft de ordes van grootte, de goede gewoonten en de grenzen van elke controle.
Meten in bits entropie
Entropie, uitgedrukt in bits, meet de hoeveelheid onzekerheid: elke extra bit verdubbelt het aantal pogingen dat nodig is om het wachtwoord te vinden. Voor een echt willekeurig wachtwoord is het gelijk aan lengte × log₂(grootte van het alfabet).
| Wachtwoord | Berekening | Entropie | Bij 10¹² pogingen per seconde* |
|---|---|---|---|
| 8 kleine letters | 8 × log₂(26) | ≈ 37,6 bits | ≈ 0,2 seconde |
| 12 tekens uit 94 | 12 × log₂(94) | ≈ 78,7 bits | ≈ 15.000 jaar |
| 16 tekens uit 94 | 16 × log₂(94) | ≈ 104,9 bits | Buiten bereik |
| Zin van 6 woorden (lijst van 1.000 woorden) | 6 × log₂(1.000) | ≈ 59,8 bits | ≈ 12 dagen |
| Zin van 8 woorden (lijst van 1.000 woorden) | 8 × log₂(1.000) | ≈ 79,7 bits | ≈ 32.000 jaar |
*Een extreme, theoretische aanname: een aanvaller met een database van snelle vingerafdrukken (zie MD5-, SHA-256- en bcrypt-hashes: een bestand controleren, een wachtwoord opslaan) en zeer krachtige hardware. Gemiddeld slaagt een poging na de helft van de ruimte. De duur zijn ordes van grootte; ze illustreren vooral de enorme kloof tussen 38 en 80 bits.
Een wachtwoord genereren met Wachtwoordgenerator
- Kies de lengte (8 tot 128 tekens) en de gewenste tekensets: kleine letters, hoofdletters, cijfers, symbolen.
- De tool trekt elk teken met de veilige willekeurige generator van je browser en verwerpt waarden die de verdeling zouden scheeftrekken: elk teken heeft precies dezelfde kans om te verschijnen. Minstens één teken uit elke aangevinkte set is gegarandeerd.
- “Sluit op elkaar lijkende tekens uit” verwijdert I, l, 1, O en 0, die makkelijk te verwarren zijn bij het lezen of dicteren.
- Lees de getoonde entropie en mik op minstens 80 bits voor een belangrijk account.
- Kopieer het resultaat naar je wachtwoordbeheerder: er wordt niets verzonden of bewaard en het verdwijnt als je de pagina verlaat.
Een wachtzin (woorden willekeurig getrokken uit een lijst van meer dan 1.000 woorden) is veel makkelijker te onthouden dan een reeks symbolen. Let op de lengte: 6 woorden geven slechts 59,8 bits, genoeg voor een account op een site die pogingen beperkt, maar kwetsbaar tegen een snelle offline aanval; reken op 8 woorden (79,7 bits) voor het wachtwoord van je beheerder of je computer, dat je met de hand moet typen.
Praktische regels
- Eén uniek wachtwoord per account. Een uitstekend wachtwoord dat op tien sites wordt hergebruikt, ligt bij het eerste lek bloot.
- Gebruik een wachtwoordbeheerder om één sterk geheim te onthouden (een wachtzin) en de rest door de beheerder te laten maken.
- Zet tweestapsverificatie aan waar mogelijk, bij voorkeur via een app of hardwaresleutel in plaats van sms.
- Deel een wachtwoord nooit per e-mail of chat; wijzig het als het is blootgesteld.
- Dwing geen regelmatige wijziging zonder reden af: elk kwartaal wijzigen drijft mensen naar zwakkere keuzes. Wijzig bij een lek of twijfel.
Veelgemaakte fouten
- Vertrouwen op een ingewikkeld uiterlijk (“P@ssw0rd!”): aanvallers proberen deze vervangingen als eerste.
- Een geboortedatum, een voornaam of de naam van een huisdier of team gebruiken.
- Hetzelfde wachtwoord van site tot site variëren door de naam van de site toe te voegen.
- Een kort wachtwoord kiezen omdat “de site onbelangrijk is”: vaak is dat de weg naar je mailbox.
- De herstelcode van de wachtwoordbeheerder vergeten.
Eerlijke beperkingen
- Kraaktijden hangen af van aannames over de hardware van de aanvaller en over hoe de site wachtwoorden opslaat: het zijn ordes van grootte.
- Een uitstekend wachtwoord beschermt niet tegen phishing of spyware.
- De lekcontrole heeft een internetverbinding nodig en kan door de dienst worden beperkt; de tool toont dan hoe lang je moet wachten.
Veelgestelde vragen
Welke lengte moet ik kiezen?
Minstens 12 willekeurige tekens, 16 voor een belangrijk account. Mik bij een wachtzin uit een lijst van 1.000 woorden op 8 willekeurig getrokken woorden.
Worden gegenereerde wachtwoorden opgeslagen?
Nee. Ze worden in je browser gemaakt en verdwijnen als je de pagina verlaat: kopieer ze naar je beheerder.
Wordt mijn wachtwoord verzonden om een lek te controleren?
Nee. Alleen de eerste vijf tekens van de SHA-1-vingerafdruk worden verzonden; de uiteindelijke vergelijking gebeurt op je apparaat.
Is een wachtzin veiliger dan een wachtwoord?
Om te onthouden wel, bij gelijke entropie. Voor de sterkte hangt alles af van het aantal woorden en hun willekeur: een bekend citaat is zwak.
Moet ik mijn wachtwoorden regelmatig wijzigen?
Niet zonder reden. Wijzig ze bij een lek, een vermoeden of per ongeluk delen, en houd ze uniek.