In elk geval een veel betere reactie dan gelijk boos worden en met een rechtszaak gaan dreigen...

mehor: Waarom zou JetBlue met een rechtszaak gaan dreigen? En, waarom zou de klant dat willen? Ik zie daartoe geen enkele reden

"What is the name of your favourite childhood friend"

Klassieke beveiligingsvraag.

@Cyberficial:
antwoord: "zeg ik niet"

Persoonlijk kies ik op mijn website(s) liever om mijn leden de optie te bieden zelf een of meerdere beveiligingsvragen te verzinnen. Dit is vele malen veiliger dan standaard vragen.

Een van mijn oude wachtwoorden was bijvoorbeeld een GameGenie code voor de oude Nintendo Gameboy van vroeger.

Mijn beveiligingsvraag was dan: "Welke Nintendo speelde je vroeger?". Het juiste antwoord was iets totaal onmogelijks wat nergens op sloeg. De vraag was dan ook bedoeld om mij te herinneren aan welk wachtwoord ik gebruikt heb en niet om hem te resetten

De hint "Nintendo" zegt mij genoeg. Maar een ander kan hier totaal niets mee behalve antwoorden aan Nintendo gerelateerd verzinnen die toch nooit zullen werken.

Beveiligingsvragen zijn sowieso al achterhaald. Net als wachtwoorden verplicht periodiek moeten wijzigen.

In 99% van de gevallen schaadt het de beveiliging meer dan dat het beter wordt.

Zelf verplichten tot meerdere speciale tekens een cijfer en een hoofdletter werkt meestal averechts.

@DrZiggy: Ja en nee. De manier waarop wachtwoorden tegenwoordig versleuteld kunnen worden, maakt het niet echt meer nodig. Maar er zijn nog wel degelijk goede redenen voor zulke acties.

Geen enkel systeem is 100% veilig. Hoewel het vrijwel onmogelijk en compleet nutteloos is om een server aan te vallen om een wachtwoord te hacken, geld dat niet voor datalekken. Wanneer de database eenmaal in verkeerde handen gevallen is, kan de aanvaller die database ergens privé op zijn / haar dooie gemakje gaan zitten uitpluizen.

Geen enkel type versleuteling is bestand tegen zogenaamde "brute force / library" aanvallen. Het gebruik van speciale tekens / hoofdletters en een minimale lengte etc beschermd jou wachtwoord tegen dit soort aanvallen. En het periodiek wijzigen van je wachtwoord zorgt ervoor dat ALS iemand het uiteindelijk lukt om het wachtwoord te ontcijferen, deze toch niet langer zal werken.

Nu kun je natuurlijk argumenteren dat brute force aanvallen dusdanig veel tijd kosten dat het niet rendabel is, maar met de opkomst van de Quantum processor, is dat een probleem van verleden tijd.

Daarentegen is tweewegs-verificatie natuurlijk een veel betere en veiligere oplossing.

@Cubbie: dus

En natuurlijk stel ik niet voor dat je een bestaand woord moet gebruiken. Maar het verplichten van meerdere rare dingen, die het voor mensen moeilijk maakt te onthouden, zorgt ervoor dat het wordt opgeschreven of op en andere manier onveilig wordt gemaakt.

Datzelfde gebeurd met automatisch wachtwoord wijzigen. De meeste mensen kunnen niet iedere 3 maanden een nieuw super sterk wachtwoord kiezen en dus wordt het een makkelijk wachtwoord met een cijfer erachter. "mijnkat1", "mijnkat2".

Als je bang bent voor datalekken en brute-force aanvallen met een library, sla je als developer de wachtwoorden gewoon op met een salt. Gebruik je bcrypt bijvoorbeeld, dan gebeurt dat vanzelf en dan is het gewoon veilig. Dus er zijn wel degelijk versleutelmethodes die bestand zijn tegen bruteforce.

Los daarvan steelt vrijwel niemand een database om wachtwoorden te kraken, om vervolgens dat wachtwoord te gebruiken om in te loggen op een website om dan daar de data weer vanaf te halen. Ze willen de data hebben die in de database staat en die hebben ze al. En als je gevoelige gegevens veilig opslaat met bijvoorbeeld een AES encryptie, dan maakt het wachtwoord van de gebruiker niet uit.

Het wachtwoord kraken zou alleen nut hebben als je stiekem een account wilt overnemen, maar het nut daarvan is slechts bij een handjevol mensen van toepassing. Zou je het wachtwoord willen kraken om de versleuteling op de database te omzeilen, dan zijn beide evengoed onhaalbaar in de huidige tijd.

De opkomst van Quantum wordt veel rooskleuriger gemaakt dan het is. Het zal er vast aankomen, maar het duurt nog vele jaren voor het instaat is om encryptie te breken. Er zijn vele duizenden qubits nodig om encryptie te verslaan en we zitten nu, na een halve eeuw, op 72.
En zelfs als we het juiste aantal halen, dan nog moet het ook nog super stabiel worden alvorens een poging te wagen.
Al laatste moet zo'n computer dan ook nog eens in verkeerde handen vallen.

Al met al niet iets om je de komende 10 jaar druk om te maken.

Twee-staps verificatie is natuurlijk beter, maar dan moet het ook op een veilige manier gemaakt zijn. Want ook daar worden veel fouten meegemaakt.

@DrZiggy: Nou, wanneer ze je database kunnen bemachtigen, kunnen ze ook je salt key verkrijgen. En de reden waarom ze meestal wel wachtwoorden uit een database proberen te achterhalen is zodat ze kunnen kijken of je toevallig hetzelfde wachtwoord op andere online services gebruikt

Overigens maakt de lengte van een wachtwoord altijd een hoop verschil. Hoe langer een wachtwoord, hoe moeilijker het wordt hem te achterhalen.

Wat betreft Quantum heb je gelijk in. Dat zal inderdaad echt nog wel aardig wat jaren duren. Ik bedoelde daarmee dat de technologie niet stil staat. Wat op dit moment niet rendabel of mogelijk is, kan in de toekomst een eitje worden om te doen

@Cubbie: Bij mij zijn database en applicatie volledig apart, dus dat ze beide hebben kan, maar is niet waarschijnlijk. Maar zelfs al zouden ze beide hebben, dan heeft bcrypt nog een ingebouwde salt om rainbow tables uit te sluiten.

En met een fatsoenlijk cost factor heb je een paar seconde nodig om hash te bereken, waardoor een bruteforce aanval niet echt rendabel is. Dat kan je ook niet versnellen met meer GPU power, omdat bcrypt juist ontworpen is om versnelling met GPU tegen te werken.

Uiteraard is een sterk en lang wachtwoord altijd het veiligste tegen computeraanvallen. Maar veruit de meeste problemen voor consumenten komen door social engineering en dan werkt het weer averechts.

@Khitchaku

waarom dreigen met een rechtszaak? Er gebeuren nog wel veel gekkere dingen tegenwoordig. Mensen en ook instanties willen tegenwoordig beledigd zijn, dus ik verwacht elke idiote reactie.

mehor: Mensen, en dan met name Amerikanen zijn inderdaad dol op rechtszaken. Bedrijven? Ach, bedrijven niet zozeer denk ik.