Wachtwoorden zonder speciale tekens en cijfers en geen wachtwoordresets meer?
Het National Institute of Standards and Technology (NIST) heeft een belangrijke stap gezet om het beheer van wachtwoorden te vereenvoudigen door verouderde praktijken te elimineren en duidelijke richtlijnen te bieden voor beste praktijken. In deze blogpost bespreken we de belangrijkste wijzigingen in de meest recente ontwerpversie van de NIST-wachtwoordrichtlijnen.
Wat moet je weten over de geüpdatete wachtwoordrichtlijnen
Wat zijn de vereisten:
• Minimale lengte: Wachtwoorden moeten minimaal acht tekens lang zijn, met een aanbevolen minimale lengte van 15 tekens.
• Maximale lengte: Wachtwoorden kunnen tot 64 tekens lang zijn.
• Toegestane karakters: Alle ASCII- [RFC20] en Unicode [ISO/IEC 10646] karakters zijn toegestaan, inclusief spaties. Elke Unicode-codepunt telt als één teken in de wachtwoordlengte.
Wat wordt gestopt:
• Arbitraire complexiteit: Geen eisen op vlak van speciale tekens of combinaties van karakters.
• Verplichte wachtwoordresets: Geen verplichte resets meer op vaste tijdstippen, tenzij er bewijs is van een inbreuk.
• Wachtwoordtips: Het opslaan of bewaren van wachtwoordtips is niet meer toegestaan.
• Beveiligingsvragen: Stop met het gebruik van kennis gebaseerde authenticatie (KBA) bij het kiezen van wachtwoorden.
• Afgebroken wachtwoorden: Verifieer het volledige wachtwoord in plaats van een afgebroken versie.
Wat moeten we blijven doen:
• Begeleiding bieden: Blijf gebruikers ondersteunen bij het kiezen van sterke wachtwoorden.
• Encryptie gebruiken: Gebruik encryptie en authentieke beschermde kanalen bij het aanvragen van wachtwoorden.
• Wachtwoordmanagers toestaan: Wachtwoordmanagers worden aangemoedigd, omdat ze de kans vergroten dat gebruikers sterke wachtwoorden kiezen.
Belangrijke aanbevelingen!
Gebruik wachtwoordzinnen
Er wordt aangeraden om langere wachtwoorden te gebruiken, maar als je net als mij al moeite had met het onthouden van korte wachtwoorden, begrijp ik je bezorgdheid. Maar maak je geen zorgen, daarom raden we het volgende aan: Gebruik wachtwoordzinnen in plaats van complexe wachtwoorden. Dit is een slimme manier om je accounts beter te beveiligen. Een wachtwoordzin bestaat uit meerdere woorden die samen een langer maar makkelijk te onthouden zin vormen, zoals "Mijnhondlooptgraagindewinter!". Dit maakt het niet alleen eenvoudiger om te onthouden, maar ook veiliger dan een korte combinatie van letters, cijfers en symbolen. Lange wachtwoordzinnen zijn moeilijker te kraken, maar omdat ze logisch zijn voor de gebruiker, heb je minder kans om ze te vergeten. Hierdoor krijg je het beste van beide werelden: gebruiksvriendelijkheid en sterke beveiliging.
Phishingresistente authenticatie
Lange wachtwoorden zijn belangrijk, maar niet voldoende om je volledig te beveiligen. Daarom werd Multi-Factor Authenticatie (MFA) geïntroduceerd om een extra beveiligingslaag te bieden. Maar, ook methoden zoals het ontvangen van een code via sms of e-mail zijn inmiddels achterhaald en kwetsbaar voor aanvallen. Daarom raden we phishingresistente authenticatie aan: Phishingresistente authenticatie is een vorm van MFA waarbij gebruik wordt gemaakt van fysieke hardwaretokens, zoals een USB-sle
utel, FIDO-sleutel of smartcard. Het belangrijkste voordeel hiervan is dat de gebruiker iets fysieks bij zich heeft dat nodig is om in te loggen. Dit maakt het veel veiliger dan traditionele methoden. Bij klassieke authenticatie, zoals wachtwoorden of sms-codes, kunnen aanvallers via phishing wachtwoorden of codes stelen en zich voordoen als de gebruiker. Met phishingresistente authenticatie wordt dit risico uitgesloten, omdat de inlogmethode niet kan worden gekopieerd of onderschept via een simpele valse website of phishinglink.
Gebruik een passwoordmanager
Wachtwoordzinnen maken het een stuk makkelijker om wachtwoorden te onthouden, maar met veel verschillende wachtwoorden blijft dat een uitdaging. Daarom gebruik ik een wachtwoordmanager. Dit is een digitale kluis die al mijn wachtwoorden veilig opslaat op één centrale plek, beveiligd met een sterk hoofdwachtwoord en een extra phishingresistente authenticatiestap. De wachtwoordmanager vult automatisch mijn wachtwoorden in bij de websites die ik gebruik, wat me niet alleen veel tijd bespaart, maar ook zorgt voor betere beveiliging en minder stress over het onthouden van al mijn wachtwoorden.
Conclusie
De recente updates van de NIST-wachtwoordrichtlijnen zijn een stap in de goede richting voor zowel gebruikers als organisaties. Door complexe en verouderde praktijken te elimineren en duidelijke richtlijnen te bieden, kunnen we de veiligheid van wachtwoorden verbeteren en tegelijkertijd gebruiksvriendelijkheid bevorderen. Laten we deze veranderingen omarmen en de beveiliging van onze accounts naar een hoger niveau tillen!
