Security (b)log: passwordmanager

Posts tonen met het label passwordmanager. Alle posts tonen

vrijdag 10 januari 2025

Verlichte geesten

Foto van auteur

Wist je dat maar liefst 78% van de mensen tussen 18 en 65 jaar een password manager gebruikt? En dat dit percentage bij de schoolgaande jeugd zelfs op ruim tachtig procent ligt? Verreweg de meeste mensen zijn dus verstandig en gebruiken voor al hun accounts een ander, sterk wachtwoord, en ze gunnen zich het gemak van het automatisch inloggen. Doe jij al mee?

Bovenstaande cijfers heb ik uit mijn duim gezogen. “Ooooh, foei!”, hoor ik je denken. Laat me uitleggen hoe ik daartoe gekomen ben. Ik voel mijzelf namelijk ook beetgenomen. Door een artikel dat eergisteren in de krant stond onder de kop: ‘De fietser zónder licht valt tegenwoordig op – Goede verlichting de norm dankzij losse lampjes én e-bike’. Een verkeerspsycholoog (ik wist niet dat dit beroep bestaat) legt in het artikel uit dat mensen trendgevoelige kuddedieren zijn; als het in jouw ‘subcultuur’ vanzelfsprekend is om het licht aan te doen, dan ga jij dat ook doen. Volgens de psycholoog was de insteek vroeger: truttige oude mensen hebben fietsverlichting en jongeren niet (ik maak hierbij zelf liever het onderscheid tussen slim en dom). Bovendien wordt licht voeren steeds gemakkelijker door goedkope, oplaadbare lampjes én door de e-bike. Géén verlichting voeren zou dan een bewuste keuze zijn.

Ik ben het op zoveel punten oneens met dat artikel, dat ik bijna niet weet waar ik moet beginnen. Nou, om toch maar te beginnen: in welke plaats hebben ze dit in vredesnaam onderzocht? In ieder geval niet in mijn stad, waar ik met grote regelmaat onverlichte fietsers tegenkom, die dan ook nog eens donkere kleding dragen. Als ik zo iemand tegenkom, dan roep ik soms: “Licht aan!” Laatst snauwde een jongen terug: “Lampje is toch kapot man!”. Er zit ook veel rommel tussen die losse lampjes. Sommige exemplaren geven nauwelijks meer licht dan een kaars – ik noem ze ‘schaamlampjes’, omdat hun enige doel is om triomfantelijk te kunnen zeggen: “Kijk agent, mijn fiets is wel degelijk verlicht!” Zo iemand snapt dus gewoon niet dat goede verlichting cruciaal is voor zijn eigen veiligheid.

Het krantenartikel zette me aan het denken. Hoe kan het dat ik in de krant iets lees wat totaal niet strookt met mijn eigen ervaring? Oké, ik wil nog best geloven dat het minder erg is dan vroeger, maar dat gejuich over hoe geweldig het tegenwoordig is, dat gaat mij veel te ver. Het artikel lijkt zelf antwoord te geven op mijn vraag, Als de psychologie dicteert dat we dingen doen om niet buiten de groep te vallen, dan kun je dat mechanisme ook gebruiken om mensen te beïnvloeden. Als je in de krant schrijft dat de meeste mensen braaf met licht fietsen, dan kun je daarmee duistere types ertoe aanzetten om de knop om te zetten, want tja, wie wil er nou buiten de groep vallen?

En zo kwam ik dus tot mijn nepcijfers over password managers. Door de uitsmijter “Doe jij al mee?” geef ik je nog een extra duwtje in de rug. Want het is best wel belangrijk dat iedereen zo’n hulpje gaat gebruiken. Vroeger was het gemakkelijk: je had één wachtwoord en niemand anders had daar belangstelling voor. Tegenwoordig heb je tientallen accounts en staat er op iedere digitale straathoek een cybercrimineel. Dat is een gevaarlijke combinatie, en daar komt nog een belangrijke factor bij: niet alle sites en bedrijven, waar jij een account hebt, beveiligen jouw gegevens even goed. Soms worden er bij een hack gebruikersgegevens gestolen en weten de criminelen de wachtwoorden te kraken. Gebruik je hetzelfde wachtwoord voor meerdere accounts, dan lopen die allemaal gevaar. Weet je trouwens wat je allerbelangrijkste account is? Nee, niet je bank. Je e-mail. Want iemand die bij jouw e-mail kan, die kan overal op “Wachtwoord vergeten” klikken en, met behulp van de mailtjes die dat oplevert, een nieuw wachtwoord instellen. Zo word jij buitengesloten en kan de crimineel onder jouw naam van alles doen.

Een net zo belangrijke maatregel is tweefactorauthenticatie (2FA), die ervoor zorgt dat je pas kunt inloggen nadat je via een ander apparaat een extra handeling hebt verricht (bijvoorbeeld een code intoetsen of je vingerafdruk aanbieden). Daarmee voorkom je dat iemand, die een wachtwoord van jou heeft, op dat account kan inloggen. Zet het dus overal aan waar dat kan. Wist je dat ruim zeventig procent…

Misschien vind je het betuttelend om “Licht aan!” te roepen. Ik doe dat echter uit medelijden met de automobilist, die zo’n duistere fietser vroeg of laat van z’n sokken rijdt. En als ik tegen jou zeg: “Password manager en 2FA aan!”, dan is ook dat met de beste bedoelingen. En dan nog iets: kijk uit voor nepberichten.

En in de grote boze buitenwereld …

vrijdag 8 september 2023

Sleutels namaken

Foto van auteur

Herinner je je Mister Minit nog? In mijn herinnering waren dat van die kiosken in warenhuizen waar je schoenen kon laten herstellen en sleutels kon laten namaken. In diezelfde herinnering zie ik het logo, een mannetje in een rood jasje, dat een uitnodigend gebaar maakt. Tot mijn verrassing bestaat Mister Minit nog. Tegenwoordig draagt hij een blauwe polo en heeft hij in Nederland slechts drie vestigingen. Ten zuiden en oosten van ons land is hij veel groter. En hij heeft bijgeleerd – hij repareert nu ook je horloge en graveert je naam op een pen of naambord.

In Australië en Nieuw-Zeeland is Mister Minit heel groot, maar ik weet niet of hij ooit de VS heeft betreden. Daar hebben ze sowieso een andere oplossing voor het namaken van sleutels: automaten. Het bedrijf Minutekeys (hé, ik zie een overeenkomst!) heeft automaten (‘kiosks’) in de entree van grote supermarkten, zoals Walmart. Die automaten kunnen sleutels van woningen, kantoren en hangsloten namaken. Sleutels met de merking ‘Do Not Duplicate’ en sleutels van schoolgebouwen of andere sleutels waar een beperking op rust, worden niet nagemaakt.

Ken je die Engelse uitdrukking “what could possibly go wrong?” Het is natuurlijk weer mijn beroepsdeformatie die ervoor zorgt dat ik me bij zo’n machine meteen afvraag wat er zoal mis zou kunnen gaan. Toen ik voor het eerst zo’n automaat zag, schoot ik ook meteen in die modus. Een machine, waarbij je geheel anoniem – je kunt ook met contanten betalen – een sleutel kunt laten namaken, biedt perspectieven voor kwaadwillenden. Daar zijn die automaten natuurlijk helemaal niet voor bedoeld; ze zijn er om jou sleutels te laten namaken van sloten die van jou zijn. Maar is het zo vergezocht dat iemand een sleutel ‘leent’, die snel laat namaken en het origineel gauw teruglegt? Je bent aan het sporten, iemand brengt een bezoekje aan de kleedkamer, haalt jouw huissleutel op en gaat even langs zo’n automaat. Vooraf heeft hij bij de sporthal staan posten, dus hij weet bij wie die tas hoort waar de sleutel in zat. Na het sporten volgt hij je naar huis. Nu weet hij waar je woont en hij heeft de sleutel van je huis al. Hij hoeft alleen nog een gunstig moment af te wachten om de boel leeg te halen. Andere scenario’s zijn welkom (alleen voor onderzoeksdoeleinden).

Zoals trouwe lezers weten, begint deze blog vaak met een situatie uit het echte leven, die ik vervolgens een twist geef richting informatiebeveiliging. Dat is niet altijd gemakkelijk; soms begin ik met schrijven en vraag me onderwijl af hoe ik die situatie in hemelsnaam naar mijn vakgebied toe kan praten. Daar zat ik nu ook beetje mee, maar het eten van een appel bracht uitkomst. Want tijdens het eten kan ik niet schrijven, maar wel lezen. En dus begon ik alvast wat artikelen voor de rubriek En in de grote boze buitenwereld… te lezen. Blijkt er dus twee dagen geleden een artikel te zijn verschenen over iemand uit Boskoop, die op het dark web sleutels kocht voor de wachtwoordkluizen (password managers) van ruim duizend mensen. Daardoor kon hij beschikken over de wachtwoorden van alle accounts die iemand daar in had staan: e-mail, online winkels, noem maar op. Hij kon spullen bestellen en de bestelbevestigingen uit de mail verwijderen, zodat er geen haan naar kraaide. Alleen de bankrekening van het slachtoffer maakte melding van de bestellingen.

Betekent dat nu dat password managers toch niet veilig zijn? Nou, nee. De wachtwoorden van die kluizen werden gejat met behulp van malware. Als je een computer of een mobiel apparaat hebt zonder goede virusscanner, dan loop je het risico op een besmetting. Criminelen kunnen dan malware installeren die het wachtwoord voor je kluis afvangt als je zelf de kluis opent. Het is dus niet de kluis zelf die niet veilig is – de kluis staat alleen in een onveilige omgeving. Als je een echte brandkast in de publieke ruimte neerzet, moet je ook niet raar opkijken als sommige mensen over je schouder meekijken als je de code invoert.

Bij deze dan ook weer de periodieke oproep om te zorgen voor goede bescherming tegen malware. Dat hoeft je niet eens geld te kosten. Zo presteert bijvoorbeeld de in Windows ingebouwde virusscanner (Microsoft Defender Antivirus) prima – maar alleen als hem niet hebt uitgezet. Ook voor Android-toestellen zijn er prima gratis en betaalde apps beschikbaar (die je uiteraard alleen van Google Play haalt). Ik adviseer dan ook zeker om je Android-toestel ermee te beveiligen. Gebruikers van iPhones en iPads moeten nog steeds vertrouwen op het inherent veilige ecosysteem dat Apple voor deze apparaten meent te hebben; er staan geen virusscanners in de App Store (wel talrijke andere beveiligingsapps).

Wat overigens ook helpt tegen het verkrijgen van illegale toegang tot je password manager, is als je die app opent met je vingerafdruk in plaats van met het wachtwoord. Die kunnen Mister Minit en de automaten van Minutekeys nog niet namaken.

En in de grote boze buitenwereld …

vrijdag 2 december 2022

Wachtwoorden - nóg een keer

Afbeelding via Pixabay

De Security (b)log van vorige week met de titel Wachtwoorden – ja alweer leverde een aantal vragen op die de moeite waard zijn om ze voor een breder publiek te beantwoorden. Dus daar gaan we, nóg een keer wachtwoorden!

Er kwam een opmerkelijke werkwijze langs, die in gewichtige taal al gauw het label zero knowledge opgeplakt zou kunnen krijgen. Als een site om een wachtwoord vraagt, dan klikt de gebruiker iedere keer op “wachtwoord vergeten”. Doorgaans stuurt de site dan een herstelbericht naar het bij haar bekende e-mailadres. De link in die mail leidt je naar een pagina om een nieuw wachtwoord in te stellen. Daar ramt de gebruiker op een stel willekeurige toetsen, waarbij hij geen enkele moeite doet om het nieuwe wachtwoord te onthouden. Want de volgende keer doet hij gewoon weer hetzelfde. Of ik daar iets van wil vinden.

Mijn eerste twee gedachten hierbij zijn: “hé, wat creatief” en “oei, wat bewerkelijk”. De combinatie van die beide gedachten is: prima bruikbaar voor accounts waar je maar zelden komt. Je bestelt een cadeau op een site waar je nog nooit eerder was en waar je waarschijnlijk voorlopig niet meer hoeft te zijn, maar ze willen per se dat je een account aanmaakt. Lijkt me prima om dit systeem in dat geval te gebruiken. Maar voor accounts die je vaker nodig hebt lijkt het me minder bruikbaar; je bent dan telkens erg lang bezig om binnen te komen. Nog even een tip: je doet er goed aan om het wachtwoord eerst in de Kladblok of desnoods in een nieuw Word-document te typen en van daaruit naar de wachtwoordvelden te kopiëren, aangezien je anders een uitdaging hebt om in het tweede wachtwoordveld nog eens hetzelfde wachtwoord te typen. Daarna sluit je het bestand, zonder het op te slaan. Weet je trouwens wie erg goed is in het verzinnen van dat soort wachtwoorden? Password managers… (zie verderop).

Dat systeempje maakt overigens nog eens duidelijk dat het van groot belang is om je e-mail goed te beschermen. Immers: als een aanvaller toegang heeft tot je mail, dan kan hij zelf ook overal op “wachtwoord vergeten” klikken en vervolgens via het herstelbericht toegang tot al die sites krijgen – onder jouw naam.

Sommige mensen zijn sceptisch over wachtwoordkluizen. Zijn die apps wel veilig? Zou er niet toch een achterdeurtje in zitten? Het eerlijke antwoord: dat weten we niet, althans niet met zekerheid. Kijk, zo’n password manager is software, en software bevat per definitie fouten. Een deel van die fouten is van invloed op de veiligheid van het product. Bovendien draait een dergelijke app meestal niet geïsoleerd op jouw apparaat, maar synchroniseert het de gegevens via de cloud, zodat je je kluis op al je apparaten kunt gebruiken. Met andere woorden: jouw wachtwoorden staan meestal niet op je apparaat, maar op een computer ergens ter wereld. Onder het motto ‘toeval bestaat niet’ ontving ik net vanochtend een mailtje van LastPass, de password manager die ik vroeger gebruikte. Er was “ongebruikelijke activiteit” in de door hen gebruikte clouddienst. Hackers konden gebruikersinformatie inzien. Maar, zo benadrukken ze, de wachtwoorden zijn versleuteld en omdat jij de enige bent die de sleutel kent, lopen die geen gevaar. Ze laten in het midden of die versleutelde wachtwoorden wel zijn buitgemaakt. Maar in moedwillig aangebrachte achterdeurtjes geloof ik niet zo, zolang je maar geen password managers gebruikt die uit verdachte landen zoals Rusland of China komen. Sommige producten zijn open source, hetgeen iedereen de mogelijkheid biedt om het programma binnenstebuiten te keren (of dat ook echt gebeurt, is een tweede). En misschien vindt uitgerekend een kwaadwillende een kwetsbaarheid.

Het verplichte gebruik van een mix van hoofdletters, kleine letters, cijfers en overige tekens roept ook steeds vragen op. Het belangrijkste element van een goed wachtwoord is zijn lengte, maar ook het aantal karakters waar je uit kunt kiezen doet een duit in het zakje. Als je alleen kleine letters gebruikt, dan heeft een aanvaller, die je wachtwoord probeert te raden, een kans van 1 op 26 per positie dat hij goed zit. Gebruik je daarnaast ook hoofdletters, dan wordt die kans een stuk kleiner: 1 op 52. Gooi je er ook nog cijfers en 'rare tekens' bij, dan wordt de kans op goed raden nóg kleiner. Dat werkt vervolgens mooi door in de lengte van het wachtwoord: bij een wachtwoord van 3 tekens met alleen kleine letters is het aantal mogelijkheden 26*26*26 = 17.576. Gebruik je daarnaast hoofdletters, dan kun je daarmee al 52*52*52 = 140.608 verschillende wachtwoorden maken. Met wachtwoordlengte 8 ga je naar respectievelijk bijna 209 miljard en bijna 53,5 biljoen mogelijkheden. Merk op dat het uitbreiden van het aantal mogelijke karakters in dit voorbeeld slechts acht keer zoveel mogelijkheden geeft, terwijl het langer maken van het wachtwoord twaalf miljoen keer zoveel mogelijke wachtwoorden oplevert. Dat lijkt idioot veel, maar bedenk dat aanvallers vaak een heleboel computers aan het werk zetten om wachtwoorden te kraken. Vele handen maken licht werk!

Samenvattend: gebruik lange wachtwoorden, liefst gegenereerd door en opgeslagen in een betrouwbare app. En zoals altijd: zet overal waar dat kan tweefactorauthenticatie/tweestapsverificatie aan.

En in de grote boze buitenwereld …

donderdag 24 november 2022

Wachtwoorden - ja, alweer

Afbeelding via Pixabay

Vandaag is het Nationale Check-je-wachtwoorden-dag. Dat is een initiatief van techwebsite Tweakers en het Openbaar Ministerie, en de intranetredactie vroeg mij om een extra blog aan deze dag te wijden. Ik sta altijd open voor verzoeknummers, waar ik dan op geheel eigen wijze invulling aan geef.

Eerst maar eens kijken naar de website die bij het initiatief hoort. Daar lezen we het volgende: Als internetter word je geconfronteerd met veel websites die vereisen dat je een gebruikersaccount aanmaakt en een wachtwoord kiest. Veel mensen vinden het moeilijk om al die verschillende wachtwoorden te bedenken en te onthouden. Dat heeft helaas als gevolg dat veel Nederlanders niet veilig omgaan met hun wachtwoorden, door bijvoorbeeld wachtwoorden te kiezen die makkelijk te raden zijn, of wachtwoorden te hergebruiken. Via de Nationale Check je Wachtwoorden Dag willen we mensen hiervan bewustmaken en uitleggen dat het bedenken en onthouden van goede wachtwoorden niet moeilijk hoeft te zijn.

De pagina met wachtwoordtips bevat tot mijn verbazing slechts vier tips. Laten we eens naar die tips kijken. Nummer 1: gebruik een wachtwoord van minimaal acht tekens. Mwah, acht tekens is tegenwoordig wat aan de krappe kant. Tegenwoordig wordt twaalf als veilig minimum beschouwd. Zou men bang zijn dat het dan te moeilijk is om het te onthouden? Daar hebben we een oplossing voor; zie verderop.

Tip 2: stel nooit één enkel woord in als uw wachtwoord. Mee eens, want dan staat je wachtwoord in het woordenboek en hackers zijn er erg goed in om buitgemaakte wachtwoordbestanden geautomatiseerd tegen een woordenboek aan te houden. Dat maakt een wachtwoord als autoband kansloos. Net zo kansloos overigens als aut0b@nd, want dat trucje staat ook in de hackerwoordenboeken.

De derde tip luidt: gebruik minimaal één woord en een cijfercombinatie die alleen u kent. Dus zoiets als autoband2022? Daarmee wordt het wachtwoord in ieder geval langer, en lengte is echt de belangrijkste factor. De geadviseerde cijfercombinatie wordt helaas al gauw een jaartal, verjaardag of de pincode van je bankpas, die het wachtwoord niet echt sterker maken en misschien zelfs een risico introduceren (ja, ik doel op die pincode).

Maar gelukkig zeggen ze in tip 4: gebruik geen geboortedata, adressen of iets anders dat eenvoudig is te raden. Helemaal mee eens. Deze tip is vooral bedoeld om doelgerichte aanvallen op specifieke personen af te wenden. Als een kwaadwillende niet een willekeurig iemand, maar jou op het oog heeft, dan gaat hij alles wat hij over je kan vinden gebruiken voor zijn aanval. Alle persoonlijke informatie, ook al is het nog zo ver gezocht, is dus taboe voor gebruik als (onderdeel van) wachtwoord.

Na de genummerde tips komen er toch nog een paar extra tips. Dat je je wachtwoord niet op een post-it moet schrijven. En over beveiligingsvragen – er zijn nog steeds sites die je verplichten om op te geven hoe je eerste huisdier/schooljuf/liefje heette, of soortgelijke vragen – zeggen ze dat je geen vragen moet kiezen waarop anderen het antwoord weten. Ik zeg het krachtiger: lieg! Wat is uw geboorteplaats? Banaan. Hoe heette uw eerste schooljuf? Fotolijstje. Natuurlijk moet je die leugens wel ergens opslaan, anders heb je er niks aan.

En dat brengt me op de beloofde oplossing om al die geheimen te onthouden: de wachtwoordkluis/ passwordmanager/wachtwoordmanager – een app die je wachtwoorden en andere geheime informatie voor je onthoudt, terwijl jij zelf alleen het wachtwoord van die app hoeft te onthouden. Volgens onderzoek in opdracht van Tweakers gebruikt slechts 7% van de Nederlanders zo’n app. Dat is echt betreurenswaardig weinig. Dus bij deze een oproep aan de overige 93%: download nú een wachtwoordmanager en neem ‘m in gebruik. Kijk even welke het beste bij jou past; op de website staan er drie, maar er zijn veel meer (pssst: mijn favoriet is Bitwarden). En nog een extra tip: wachtwoordmanagers zijn ook geweldig in het verzinnen van sterke wachtwoorden.

Dit is een Security (b)log special. Daarom (en vanwege een paar vrije dagen) is er deze week geen nieuws uit de grote boze buitenwereld.

vrijdag 11 december 2020

Wachtwoordsysteempje

Frans, Fred en Frits hadden alle drie een systeempje. Zonder het van elkaar te weten, hadden ze min of meer hetzelfde systeem bedacht. Niet om rijk worden in het casino, maar ze zouden er wel hun talloze wachtwoorden op een slimme manier mee kunnen beheren, dachten ze. Want, zo hadden ze geleerd, je moet voor al je accounts een ander wachtwoord gebruiken. Doe je dat niet en lekt je wachtwoord van account A uit, dan loop je ook gevaar voor accounts B tot en met Z.

Het systeem van de drie F’s zag er als volgt uit: elk wachtwoord bestond uit twee delen; het eerste deel was voor alle accounts hetzelfde, het tweede deel was variabel. Frans gebruikte voor het eerste deel een stukje voornaam en een stukje achternaam, Fred en Frits hadden een vast woord waar alvast de meest voorkomende wachtwoordeisen in voorkwamen (hoofdletter, cijfer, symbool). Meteen maar even een tip: het verwerken van je naam is niet aan te bevelen, net zomin als het gebruik van geboortedata, adressen, namen van huisdieren, auto- en biermerken, de naam van je lief en al die andere dingen die aan jou te linken en dus raadbaar zijn.

Maar het echte venijn zat ‘m in het tweede deel. Dat was namelijk bij hen alle drie een rechtstreekse verwijzing naar de naam van de site of het systeem waartoe het wachtwoord toegang gaf. Stel dat het vaste woord van Fred ‘moTorf1et$’ was, dan had hij dus wachtwoorden als moTorf1et$linkedin, moTorf1et$gmail en moTorf1et$rabo.

Waarom dat geen goed idee is? Op een slechte dag bemachtigt een hacker het wachtwoordbestand van een site waar jij een account had (dat overkwam LinkedIn bijvoorbeeld in 2014). Wachtwoorden horen versleuteld te worden opgeslagen, en wel dusdanig dat de versleuteling onomkeerbaar is. Maar niet alle bedrijven doen dat netjes, waardoor hackers er soms in slagen om de wachtwoorden leesbaar te maken. En dan ziet zo’n hacker jouw wachtwoord moTorf1et$linkedin en denkt: hmm, Fred heeft de naam van het account in zijn wachtwoord verwerkt, zou hij een wachtwoordsysteem gebruiken met een vast en een variabel deel? Laat ik eens proberen of ik op die manier bij een bank of bij een mailaccount kan inloggen… Hackers zijn vaak slimme mensen, mensen.

Frits besefte al jaren geleden dat dit systeem risicovol was en veranderde de verwijzing naar de site in willekeurige tekens die hij, samen met de naam van de desbetreffende site, in een lijstje ging noteren. Omdat het vaste deel van de wachtwoorden daar niet bij stond, was het niet zo erg als dat lijstje zou uitlekken. Frans vroeg onlangs aan iemand met verstand van informatiebeveiliging wat die van zijn systeem vond en heeft hopelijk inmiddels de nodige aanpassingen gedaan.

En Fred, die kreeg onlangs een wake-up call. Hij had een account aangemaakt bij een webshop en zoals gebruikelijk ontving hij even later een welkomstmailtje. Tot zijn schrik bevatte het mailtje, bij wijze van goedbedoelde service, Freds wachtwoord. E-mail is nog vaak als een briefkaart: iedereen die ‘m ziet – de postbode, een huisgenoot, een toevallige passant – kan lezen wat erop staat. En dus, zo besefte Fred, was zijn wachtwoordsysteem gecompromitteerd. Bovendien slaat die webshop de wachtwoorden van zijn klanten waarschijnlijk onversleuteld op, waarvoor ze een ferme tik op de vingers verdienen.

Laten we twee afspraken maken. Eén: als je, net als Fred, een mailtje van een bedrijf ontvangt waarin ze je wachtwoord vermelden, neem dan even de moeite om hen te laten weten dat ze daarmee de veiligheid van hun klanten in gevaar brengen. Twee: als je ook zo’n Frans/Fred/Frits-systeempje voor je wachtwoorden gebruikt, kijk er dan eens kritisch naar. Als het verwijzingen naar jou bevat, of naar het object waartoe het toegang geeft, dan is er werk aan de winkel.

Maar je kunt het nóg beter doen. Gooi je systeem overboord en stap over op een password manager: een app die al jouw wachtwoorden veilig bewaart én sterke wachtwoorden voor je verzint. Lekker lange, willekeurige wachtwoorden, zonder systeem. Want dat zijn de beste. Je favoriete zoekmachine helpt je om de voor jou meest geschikte password manager te vinden. Of praat eens met wat mensen die er al eentje gebruiken.

Doe het vandaag.