Wachtwoordgenerator

Entropie per lengte en per karakterset

Wat entropie in de praktijk betekent

• 40 bits – vandaag de dag kan dit in enkele dagen worden gekraakt met één GPU. Ideaal voor tijdelijke accounts.
• 60 bits – bestand tegen online-aanvallen, maar kwetsbaar voor specifieke offline-crackingmethoden.
• 80 bits – sterk bestand tegen offline-cracking op de huidige hardware.
• 100 bits – feitelijk oncrackbaar tot de kwantumcomputing volledig ontwikkeld is.
• 128 bits – overeenkomt met de sleutelsterkte van AES-128.

Voor de meeste online accounts zijn 16 karakters uit het volledige karakterset (105 bits) meer dan voldoende. Bankrekeningen, wachtwoordmanagers en cryptowallets vereisen daarentegen meer dan 20 karakters.

Waarom karaktersklassen belangrijk zijn

Elke klasse bevat extra opties per karakter. Met de 26 kleine letters levert elk karakter een hoeveelheid van log₂(26) = 4,7 bits op. Het toevoegen van grote letters resulteert in 52 karakters en 5,7 bits per karakter; cijfers geven 62 karakters en 5,95 bits; symbolen leiden tot 94 karakters en 6,55 bits. Bij meer dan 16 karakters componeert deze verschillen tot ongeveer 30 bits – het verschil tussen iets wat gemakkelijk te kraken is en iets dat niet de moeite waard is om te proberen.

Wanneer dubbelzinnige tekens moeten worden uitgesloten

Als het wachtwoord vanaf het scherm naar een apparaat wordt ingetypt zonder gebruik te maken van een kopie-eenpast-mechanisme – bij console-installaties, bepaalde hardware-wallets of oudere gebruikers die wachtwoorden hardop uitspreken – voorkomt het gebruik van de codes 0, O, 1, l en I transcriberingsfouten. De entropiekosten zijn minimaal (2–3 bits uit meer dan 80).

Werkstroom van de wachtwoordbeheerder

1. Installeer een wachtwoordmanager (Bitwarden, 1Password, KeePass).
2. Stel een sterke hoofdphrasencombinatie in (bestaande uit 6 tot 8 willekeurige woorden; zie de phrasengenerator).
3. Gebruik de generator van de manager voor elke locatie en stel de standaardsterke instellingen in.
4. Gebruik nooit wachtwoorden op verschillende websites, zelfs niet tijdelijke wachtwoorden.
5. Aktiveer 2FA op alle apparaten waarop dit mogelijk is.

Handmatig ingetypte wachtwoorden moeten zelden worden gebruikt — enkel voor de beheerder, voor volledige schijfversleuteling en mogelijk voor het inloggen op uw werkcomputer.

Dingen die niet helpen

– Veranderen elke 90 dagen. Verplichte rotatie bevordert voorspelbare patronen (Zomer 2024 → Herfst 2024). NIST SP 800-63B raadt dit expliciet af.

• Schrijven op papier in een portemonnee: veiliger dan het hergebruiken van zwakke wachtwoorden, maar slechter dan gebruikmaken van een wachtwoordmanager.
• Beveiligingsvragen met echte antwoorden. ‘First school’ is voor de meeste mensen bereikbaar via een zoekopdracht op Google. Genereer willekeurige valse antwoorden en sla ze op in uw systeem.