Wat een wachtwoord sterk maakt
Een wachtwoord is zo sterk als het aantal pogingen dat een aanvaller nodig heeft. Dat aantal wordt bepaald door lengte en echt toeval, niet door slimme vervangingen zoals een @ voor een a.
Entropie: pogingen tellen
Wachtwoordsterkte wordt gemeten in bits entropie. Een wachtwoord dat willekeurig uit N mogelijkheden is gekozen heeft log2(N) bits, en elke extra bit verdubbelt het werk van een aanvaller. Een willekeurig wachtwoord van 12 tekens uit 94 afdrukbare tekens heeft ongeveer 79 bits. Het draait om het woord willekeurig: een wachtwoord dat mensen zelf kiezen, zoals een naam met een jaartal en een uitroepteken, heeft veel minder bits dan de lengte doet vermoeden, omdat aanvallers zulke patronen eerst proberen.
Diceware en wachtwoordzinnen
In 1995 publiceerde Arnold Reinhold diceware: gooi vijf dobbelstenen om een woord te kiezen uit een lijst van 7776, en herhaal dat. Elk woord voegt ongeveer 12,9 bits toe, dus zes woorden geven ongeveer 77 bits en blijven makkelijk te typen. De Electronic Frontier Foundation publiceerde in 2016 verbeterde woordenlijsten, en deze generator gebruikt haar grote lijst. Het idee werd beroemd door de strip uit 2011 die correct horse battery staple vergeleek met het lastig te onthouden maar zwakke Tr0ub4dor&3.
Wat de richtlijnen zeggen
De NIST Digital Identity Guidelines (SP 800-63B) kiezen voor lengte boven samenstellingsregels: sta lange wachtwoorden en wachtwoordzinnen toe, controleer nieuwe wachtwoorden tegen lijsten van gelekte wachtwoorden en dwing geen periodieke wijzigingen af zonder reden. Opgelegde complexiteitsregels leiden vooral tot voorspelbare patronen. Lengte met echt toeval, en een ander wachtwoord voor elke site, tellen veel zwaarder.
Hoe snel aanvallers raden
Als een site wordt gehackt, proberen aanvallers offline gokken op de gestolen hashes. Met snelle hashes en moderne videokaarten kunnen dat miljarden pogingen per seconde zijn, de aanname achter de kraaktijd die hier staat. Trage hashes zoals bcrypt of Argon2 verlagen dat tempo flink, maar je weet niet wat een site gebruikt. Mik op minstens 70 tot 80 bits, unieke wachtwoorden, een wachtwoordmanager en tweestapsverificatie.
Veelgestelde vragen
Hoe lang moet een wachtwoord zijn?
Voor een willekeurig wachtwoord met letters, cijfers en symbolen geven 16 tekens of meer ruim 100 bits. Gebruik voor een wachtwoordzin minstens 5 of 6 willekeurige woorden. Lengte is de eenvoudigste manier om sterkte toe te voegen.
Zijn vervangingen zoals P@ssw0rd sterk?
Nee. Aanvallers kennen gangbare vervangingen en proberen ze automatisch, dus ze voegen heel weinig toe. Echt toeval maakt een wachtwoord sterk.
Moet ik wachtwoorden regelmatig wijzigen?
Volgens de huidige richtlijnen niet, tenzij er een reden is zoals een datalek. Vaak gedwongen wijzigen leidt meestal tot zwakkere, voorspelbare wachtwoorden. Gebruik unieke wachtwoorden en wijzig er één als het gelekt kan zijn.
Gerelateerde gereedschappen
Wachtwoordgenerator
Gratis wachtwoordgenerator: sterke willekeurige wachtwoorden en wachtwoordzinnen uit crypto.getRandomValues, met lengte, tekensets, uitsluiting van verwarrende tekens, bulkgeneratie, entropie, sterktemeter en kraaktijd. Niets wordt opgeslagen of verzonden.
Lorem ipsum-generator
Gratis lorem ipsum-generator: opvultekst als alinea's, zinnen, woorden, lijstitems of bytes, in klassiek Latijn, het Cicero-origineel of woordensets met een thema, met HTML-uitvoer, koppen en een herhaalbare seed.
Hoofdletter converter
Gratis tekst hoofdletter converter: HOOFDLETTERS, kleine letters, titelhoofdletters met taalregels, zinshoofdletters, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case en URL-slugs, plus opruimen van spaties, regeleinden, opsommingstekens en emoji's.
JSON-formatter
Gratis JSON-formatter en validator: JSON netjes opmaken of minimaliseren, de regel en kolom van een fout vinden, sleutels sorteren, door een boom bladeren, paden kopiëren en arrays omzetten naar CSV, alles in je browser.
Het verhaal achter lorem ipsum
Waar lorem ipsum vandaan komt: een passage uit De finibus bonorum et malorum van Cicero uit 45 v.Chr., verhaspeld tot dummytekst en verspreid door Letraset-vellen in de jaren zestig en dtp-software zoals Aldus PageMaker.
Klaar om het te proberen?
Open PictorX in uw browser - geen installatie, geen creditcard vereist om te starten.
Open de wachtwoordgenerator