Hoe lang moet een wachtwoord zijn? Kracht zonder mythes
Lengte wint het elke keer van slimheid. Wat het bewijs zegt over wachtwoordlengte, waarom hergebruik het echte gevaar is, en een paar instellingen die het goed doen.
Lengte is de belangrijkste eigenschap van een wachtwoord. Elk extra teken vermenigvuldigt de moeite die een brute-force-aanval kost, terwijl het vervangen van een letter door een symbool per positie slechts één extra optie toevoegt. Een lang, saai wachtwoord verslaat consequent een kort, slim wachtwoord.
Als vuistregel: 16 of meer willekeurige tekens uit een generator zijn comfortabel voor accounts die je na aan het hart liggen, en een willekeurige wachtwoordzin van een paar losse woorden werkt net zo goed voor dingen die je met de hand typt. Een wachtwoord van 8 tekens is, hoe willekeurig ook, binnen bereik van iedereen die rekentijd per minuut huurt — daarom telt de lengte meer dan de symbooltjes die je erin strooit.
Hergebruik is het echte gevaar, niet complexiteit. Wanneer een slecht beveiligd bedrijf zijn database lekt, proberen aanvallers de e-mail/wachtwoord-combinaties overal elders; een sterk wachtwoord dat op meerdere sites opnieuw wordt gebruikt, wordt de zwakste schakel zodra er één uitvalt. Gebruik een wachtwoordmanager, maak elk wachtwoord uniek en zet tweestapsverificatie aan waar dat telt.
Normalisatie-instellingen hebben de oude regels stilletjes laten vallen, en met reden: verplichte regels als 'één hoofdletter, één cijfer, verloopt elke 90 dagen' stuwden mensen in voorspelbare patronen die aanvallers uit hun hoofd kennen. Lengte, uniekheid en een eerlijke krachtmeter — zoals die in onze generator, die volledig in je browser draait — brengen je verder dan welk ritueel dan ook.