Het echte probleem met wachtwoorden
Het probleem is niet dat wachtwoorden te kort zijn. Het probleem is dat mensen ze hergebruiken. Eén lek bij een webshop van jaren geleden levert een lijst op die aanvallers vervolgens uitproberen op je zakelijke account.
Regels als verplicht elke drie maanden wijzigen maken dat erger. Mensen plakken er dan een cijfer achter, en dat is voor een aanvaller geen enkele hindernis. Ook het NCSC adviseert (opent in een nieuw tabblad) lange unieke wachtwoorden in een manager boven periodiek wijzigen.
Wat een wachtwoordmanager oplost
Je onthoudt er nog één, en de rest wordt lang, willekeurig en overal anders. Dat is de hele winst, en die is groot.
Een tweede voordeel dat vaak wordt vergeten is dat een manager het adres controleert. Sta je op een nagemaakte inlogpagina, dan biedt hij niets aan. Dat is een waarschuwing die je zelf makkelijk mist.
Passkeys, de opvolger
Een passkey vervangt het wachtwoord door een sleutelpaar. Het geheime deel blijft op je toestel en verlaat het nooit. Inloggen doe je met je vingerafdruk, je gezicht of je pincode.
Het belangrijkste verschil met een code uit een app is dat een passkey aan het echte adres vastzit. Je kunt hem niet per ongeluk invullen op een nepsite, want daar werkt hij simpelweg niet. Dat maakt het de enige vorm die echt bestand is tegen phishing.
Zet een passkey op minstens twee toestellen, of gebruik een manager die ze synchroniseert. Anders sta je buiten zodra je telefoon in het water valt.
Invoeren zonder weerstand
- Begin bij de accounts met de meeste rechten. Daar is de winst het grootst.
- Zet gedeelde wachtwoorden in een kluis met vaste toegang, en haal ze uit spreadsheets en mailtjes.
- Laat mensen zelf hun bestaande wachtwoorden importeren, zodat ze niet alles opnieuw hoeven te typen.
- Zet passkeys aan waar de dienst het ondersteunt, en laat het wachtwoord voorlopig staan als terugval.
- Stop met verplicht periodiek wijzigen, behalve als er aanwijzingen zijn dat er iets is uitgelekt.
Zakelijk gebruik
Kies een manager waarbij je als organisatie kunt zien wie waar bij kan, en waarbij toegang meegaat als iemand uit dienst gaat. Dat laatste is precies wat er misgaat bij persoonlijke accounts.
Combineer dit met multifactor-authenticatie en met het opruimen van rechten, zie rechten in Microsoft 365 opruimen. Wij richten dit in vanuit IT-consultancy.