Wachtwoordsterkte controleren

Wat de checklistscore beloont

Het oordeel komt voort uit een eenvoudige score van 0 tot 6. Elk van deze punten telt één punt op:

De lengte draagt in haar eentje drie van de zes punten, omdat lengte de belangrijkste enkele factor is voor echte sterkte.

Hoe entropie en kraaktijd worden geschat

Entropie is het aantal bits dat nodig zou zijn om het wachtwoord te beschrijven als elk teken willekeurig was: length × log2(alphabet size). De alfabetgrootte telt de gebruikte klassen op: 26 voor kleine letters, 26 voor hoofdletters, 10 voor cijfers en 33 voor veelgebruikte symbolen, dus een wachtwoord dat alle vier gebruikt put uit 95 mogelijke tekens.

De schatting van de kraaktijd gaat uit van een offline aanvaller die de gestolen hash al heeft en ongeveer 10 miljard (10^10) pogingen per seconde kan doen op snelle consumenten-GPU’s. Dat cijfer past bij zwakke, snelle hashes zoals MD5 of SHA-1. Bewust trage hashes zoals bcrypt of Argon2 verlagen die snelheid met een factor van miljoenen, waardoor hetzelfde wachtwoord daar veel veiliger is.

Wat deze tool wel en niet controleert

• Ze controleert wel de lengte, welke tekenklassen aanwezig zijn, de ruwe entropie in bits en een schatting van de kraaktijd op basis daarvan.
• Ze controleert niet je wachtwoord tegen woordenboeken, lijsten met gelekte wachtwoorden, toetsenbordpatronen (qwerty, 1qaz2wsx) of veelvoorkomende vervangingen (p@ssw0rd). Een wachtwoord kan elke tekenklassecontrole doorstaan en toch triviaal te raden zijn als het een bekend woord of een gelekt wachtwoord is.

Zie de score als een ondergrens, niet als een garantie: hij vertelt je dat een wachtwoord te kort of te simpel is, maar een hoge score bewijst niet dat het wachtwoord onvoorspelbaar is.

Wat een wachtwoord echt sterk maakt

1. Lengte eerst. Elk extra teken is meer waard dan welke andere enkele verandering ook. Een willekeurig wachtwoord van 14 tekens verslaat elke keer een complex wachtwoord van 8 tekens.
2. Willekeur. Mensen verzinnen in hun hoofd slechte entropie. Laat een generator de tekens kiezen.
3. Spreid de variatie. Zet cijfers en symbolen overal, niet alleen aan het eind waar krakers ze verwachten.
4. Eén wachtwoord per site. Een sterk wachtwoord dat over 50 accounts wordt hergebruikt is slechts zo veilig als de zwakste site die het opslaat.

De veilige aanbeveling

• Gebruik een wachtwoordmanager om voor elke site een uniek, willekeurig wachtwoord van 16 tekens of meer aan te maken en op te slaan.
• Gebruik een wachtwoordzin van 5 tot 8 willekeurige woorden voor de weinige wachtwoorden die je met de hand moet typen, zoals het hoofdwachtwoord van je manager.
• Schakel tweefactorauthenticatie in overal waar het wordt aangeboden.
• Controleer pwnedpasswords.com voordat je een wachtwoord blijft hergebruiken, want deze tool kan niet zien of het jouwe al is gelekt.