Van PIN-code tot gekke zin: zo lang doet een hacker erover om uw wachtwoord te kraken. En waarom een passkey het wachtwoord steeds vaker vervangt.
Iedereen weet dat “welkom123” geen goed wachtwoord is. Maar wat dan wel? Is een wachtwoord met een uitroepteken veilig? Is een lange zin beter dan een kort wachtwoord vol rare tekens? Waarom is een PIN-code van vier cijfers op uw bankpas wél genoeg? En wat is die passkey waar u steeds vaker om gevraagd wordt?
Wij zetten het op een rij. Met onze gratis wachtwoordgenerator maakt u meteen een sterk wachtwoord.
Hoe kraakt een hacker een wachtwoord?
Bij een datalek komen wachtwoorden vaak versleuteld op straat te liggen. Een hacker probeert die daarna op zijn eigen computer te raden. Dat gaat razendsnel: miljarden pogingen per seconde. Eerst probeert hij lijsten met bekende wachtwoorden en woorden, daarna alle mogelijke combinaties.
Hoe langer en gevarieerder uw wachtwoord, hoe meer combinaties er zijn en hoe langer het raden duurt. Elk extra teken maakt het wachtwoord tientallen keren sterker.
Zo lang duurt het kraken
Wij gaan uit van twee aanvallers:
- Een hacker met een snelle pc: één krachtige videokaart, ongeveer 10 miljard pogingen per seconde.
- Een supercomputer: een opstelling met honderden tot duizenden videokaarten, ongeveer 100 biljoen pogingen per seconde.
| Soort wachtwoord | Voorbeeld | Snelle pc | Supercomputer |
|---|---|---|---|
| Bekend woord met jaartal | Zomer2024! |
direct | direct |
| PIN-code, 4 cijfers | 4821 |
direct | direct |
| PIN-code, 6 cijfers | 482193 |
direct | direct |
| 8 kleine letters | kwpzrbto |
10 seconden | direct |
| 12 kleine letters | kwpzrbtoalmv |
55 dagen | 8 minuten |
| 8 tekens, alles door elkaar | k#9Lq!2v |
4 dagen | 30 seconden |
| 12 tekens, alles door elkaar | k#9Lq!2vR$7m |
750.000 jaar | 75 jaar |
| 16 tekens, alles door elkaar | k#9Lq!2vR$7mE@4x |
langer dan het heelal bestaat | 6 miljard jaar |
| Zin van 4 woorden met getal | 412 Rode Olifanten Eten! |
3 uur | 1 seconde |
| Zin van 6 woorden met getal | 865 Wijze Dichters Bakken Stiekem Blauwe Wafels! |
18 jaar | 16 uur |
| Zin van 8 woorden met getal | 28 Trouwe Uilen Poetsen Netjes Zoete Ketels In Budel. |
6.000 jaar | 222 dagen |
Gemiddelde tijd voor een willekeurig gekozen wachtwoord. De voorbeelden zijn alleen ter illustratie: gebruik ze niet.
Wat zegt deze tabel?
Lengte wint van rare tekens. Een wachtwoord van 8 tekens vol symbolen is binnen een paar dagen gekraakt. Maakt u het 12 tekens lang, dan duurt het honderdduizenden jaren. Elk teken extra telt.
Bekende woorden zijn altijd zwak. Zomer2024! lijkt sterk: hoofdletter, cijfers, symbool. Maar hackers proberen juist dit soort patronen als eerste. Het gaat erom dat een wachtwoord willekeurig is, niet dat het er ingewikkeld uitziet.
Een zin is sterk én te onthouden. Een gekke zin als 865 Wijze Dichters Bakken Stiekem Blauwe Wafels! onthoudt u na een paar keer typen. Maak er een plaatje bij in uw hoofd, dan vergeet u hem niet meer. Gebruik voor belangrijke accounts een zin van minimaal 6 woorden, en voor uw allerbelangrijkste wachtwoord (bijvoorbeeld van uw wachtwoordmanager) 8 woorden.
Willekeurige tekens zijn het sterkst. Een wachtwoord van 20 willekeurige tekens is met geen enkele computer te kraken. Onthouden lukt niet, maar dat hoeft ook niet: daar is een wachtwoordmanager voor.
Waarom is een PIN-code dan wél veilig?
Een PIN-code van 4 cijfers kent maar 10.000 mogelijkheden. Een computer probeert die in een fractie van een seconde. Toch is uw bankpas veilig, omdat de pas na drie foute pogingen blokkeert. Uw telefoon werkt net zo: na een paar foute pogingen moet u steeds langer wachten.
Een PIN-code werkt dus alleen op een apparaat of pas die het aantal pogingen beperkt. Gebruik nooit alleen cijfers als wachtwoord voor een website of account.
Is het in de praktijk echt zo snel?
Vaak duurt het langer. Goede websites slaan wachtwoorden zo op dat raden duizenden tot miljoenen keren trager gaat. En wie online inlogt, wordt na een paar foute pogingen tegengehouden.
Toch kunt u er beter niet op rekenen. U weet niet hoe een website uw wachtwoord bewaart, en na een datalek heeft een hacker alle tijd. Kies daarom een wachtwoord dat ook in het slechtste geval sterk genoeg is.
De passkey: inloggen zonder wachtwoord
Steeds meer diensten bieden een passkey aan, zoals Microsoft 365, Google en Apple, en ook veel banken en webwinkels. Een passkey vervangt het wachtwoord. U logt in met uw vingerafdruk, gezichtsherkenning of de pincode van uw toestel, net zoals u uw telefoon ontgrendelt.
Hoe werkt een passkey?
Bij het aanmaken maakt uw toestel twee sleutels die bij elkaar horen. De geheime sleutel blijft op uw toestel of in uw wachtwoordmanager. De website krijgt alleen de openbare sleutel. Bij het inloggen bewijst uw toestel dat het de geheime sleutel heeft, zonder die te versturen. Uw vingerafdruk of gezicht verlaat uw toestel niet.
Waarom is een passkey veiliger dan een wachtwoord?
- Er valt niets te raden. Een passkey is geen woord of zin, maar een lange willekeurige sleutel. De tabel hierboven is er niet op van toepassing.
- Een datalek levert niets op. De website bewaart alleen de openbare sleutel. Daarmee kan een hacker niet inloggen.
- Phishing werkt niet. Een passkey hoort bij het echte adres van de website. Op een nagemaakte inlogpagina doet de passkey het niet, en u kunt hem ook niet per ongeluk intypen of doorgeven.
- U hoeft niets te onthouden. Geen wachtwoord, en vaak ook geen losse code meer: het toestel en uw vingerafdruk zijn samen al twee stappen.
Waar moet u op letten?
- Zorg voor een reserve. Bewaar uw passkeys in een wachtwoordmanager of in het account van Apple, Google of Microsoft, zodat ze ook op een nieuw toestel beschikbaar zijn. Of registreer een tweede toestel of beveiligingssleutel.
- Beveilig uw toestel goed. Wie uw telefoon kan ontgrendelen, kan uw passkeys gebruiken. Kies een sterke pincode en zet schermvergrendeling aan.
- Het wachtwoord blijft vaak bestaan. Veel diensten houden het wachtwoord als reserve achter de hand. Zolang dat zo is, moet dat wachtwoord nog steeds sterk en uniek zijn.
- Nog niet overal beschikbaar. Niet elke dienst ondersteunt passkeys. Voor alle andere accounts blijven een sterk wachtwoord en tweestapsverificatie nodig.
Ons advies: zet een passkey aan waar dat kan, te beginnen bij uw e-mail en uw Microsoft 365-account. Wie daar binnenkomt, kan namelijk van bijna al uw andere accounts het wachtwoord opnieuw instellen.
Zes tips voor veilig inloggen
- Gebruik een passkey waar dat kan. Veiliger en makkelijker dan een wachtwoord.
- Gebruik voor elk account een ander wachtwoord. Lekt er één uit, dan blijven uw andere accounts veilig.
- Gebruik een wachtwoordmanager. Die onthoudt al uw wachtwoorden en passkeys. U hoeft er maar één te kennen: maak daar een lange zin van.
- Zet tweestapsverificatie aan. Met een code of melding op uw telefoon komt een hacker er niet in, zelfs niet met uw wachtwoord.
- Lang is beter dan ingewikkeld. Minimaal 12 willekeurige tekens of een zin van 6 woorden.
- Laat een computer kiezen. Mensen zijn slecht in willekeurig zijn. Een generator niet.
Probeer het zelf
Met de gratis Valcore wachtwoordgenerator maakt u in één klik een sterk wachtwoord: willekeurig, als gekke zin of als PIN-code. U ziet direct hoe sterk het is en hoe lang het kraken zou duren. Het wachtwoord wordt alleen in uw eigen browser gemaakt. Er wordt niets verstuurd of opgeslagen.
De generator staat ook op een eigen pagina: valcore-group.nl/wachtwoordgenerator.
Wilt u dat uw hele organisatie veilig werkt, met passkeys, een wachtwoordmanager en tweestapsverificatie voor iedereen? Neem contact op met Valcore ICT. Wij helpen u graag.
