Wachtwoorden en wachtwoordmanagers
De meeste accounts worden niet gehackt door slimme trucs, maar doordat iemand een wachtwoord hergebruikt dat al eens is uitgelekt. Goede wachtwoorden zijn dus vooral lang, uniek en opgeslagen in een wachtwoordmanager. Je onthoudt er daarna maar één. In dit artikel lees je wat een sterk wachtwoord is, hoe je het maakt en welke aanvullende bescherming echt helpt.
Wat maakt een wachtwoord sterk?
Het gaat om lengte en om willekeur. Een aanvaller probeert niet alle mogelijkheden, maar eerst de bekende woorden, namen en patronen. Welkom01! voldoet aan elke regel (hoofdletter, cijfer, teken) en is toch binnen een paar seconden geraden.
Hoe sterk een wachtwoord is, zie je aan het aantal “bits” willekeur. Elke bit verdubbelt het aantal pogingen:
| Wachtwoord | Opbouw | Ongeveer |
|---|---|---|
| 8 willekeurige tekens | letters, cijfers en tekens (94 mogelijk) | 52 bits |
| 16 willekeurige tekens | zelfde | 105 bits |
| 4 willekeurige woorden | uit een lijst van 7.776 woorden | 52 bits |
| 6 willekeurige woorden | zelfde | 78 bits |
Dat geldt alleen als de tekens of woorden werkelijk willekeurig zijn gekozen, niet als jij ze verzonnen hebt. Een wachtzin van vier tot zes willekeurige woorden is sterk en toch te onthouden, bijvoorbeeld voor het hoofdwachtwoord van je wachtwoordmanager. Voor al het andere laat je een wachtwoordmanager willekeurige tekens maken.
Maak er een met de Wachtwoordgenerator. Die rekent in je browser en stuurt niets weg.
De vier regels
- Elk account een eigen wachtwoord. Lekt een webwinkel uit, dan proberen aanvallers die combinatie meteen bij je mail en bank.
- Lang boven ingewikkeld. Liever 16 tekens willekeurig dan 8 tekens met een uitroepteken.
- Niet verzinnen, maar laten genereren. Mensen kiezen voorspelbaar.
- Niet steeds wijzigen, alleen als er iets is gebeurd (een lek, een gedeeld account). Verplicht om de paar maanden veranderen leidt tot zwakkere wachtwoorden.
Een wachtwoordmanager
Een wachtwoordmanager bewaart al je wachtwoorden versleuteld, achter één hoofdwachtwoord. Hij vult ze voor je in en genereert nieuwe. Er zijn grofweg drie soorten:
- Online diensten zoals Bitwarden, 1Password of Proton Pass. Synchroniseren tussen je apparaten gaat vanzelf.
- Een bestand op je eigen apparaat, zoals KeePassXC. Jij zorgt zelf voor de back-up en het kopiëren naar andere apparaten.
- Zelf hosten, bijvoorbeeld met Vaultwarden in een container. Dat past bij een homelab, maar dan ben jij verantwoordelijk voor https, updates en back-ups. Zet het niet zomaar open op internet; gebruik liever een vpn, zoals in WireGuard of Tailscale.
Welke je ook kiest: maak een back-up van de kluis, en bewaar je hoofdwachtwoord (en eventueel een herstelcode) op papier op een veilige plek. Ben je het hoofdwachtwoord kwijt, dan kan niemand je helpen. Meer over back-ups: de 3-2-1-regel.
Tweestapsverificatie
Met tweestapsverificatie (2FA) is een gestolen wachtwoord niet meer genoeg. Een volgorde van sterk naar zwak:
- Beveiligingssleutel of passkey (een fysiek sleuteltje of je telefoon met vingerafdruk): beschermt ook tegen nepsites.
- Code uit een app (TOTP), zoals de codes die je wachtwoordmanager of een authenticator-app maakt.
- Sms-code: beter dan niets, maar te onderscheppen. Gebruik het alleen als er niets anders is.
Zet 2FA in elk geval aan op je e-mail, je wachtwoordmanager en alles waar geld of beheerrechten aan hangen.
Is mijn wachtwoord al uitgelekt?
Veel wachtwoordmanagers en browsers controleren dat voor je: ze waarschuwen als een opgeslagen wachtwoord in een bekend datalek voorkomt. Krijg je zo’n waarschuwing, verander dat wachtwoord dan meteen, ook op elke andere site waar je het gebruikte. Hoe een hash werkt, zie je met de Hash-generator.
Staat je wachtwoord in de lijst? Wijzig het meteen, ook op alle plekken waar je het ook gebruikte.
In je homelab
- Verander elk standaardwachtwoord van routers, camera’s, een NAS en Proxmox direct na de installatie.
- Gebruik SSH-sleutels in plaats van wachtwoorden en zet inloggen met een wachtwoord uit. Zie Cheatsheet: SSH en de SSH-config-generator.
- Zet beheerpagina’s niet open naar internet. Bereik ze via een vpn.
- Geef elke dienst een eigen wachtwoord, ook voor databases in Docker Compose. Zet die niet in een bestand dat je deelt of in een git-repository.
Kort samengevat
- Lang, willekeurig en uniek: dat is het sterkste wachtwoord.
- Gebruik een wachtwoordmanager en maak een back-up van de kluis.
- Zet tweestapsverificatie aan, met een sleutel of app waar het kan.
- Controleer wachtwoorden die je al gebruikt op een lek.