Wachtwoorden zijn een essentieel aspect van ons online leven, maar ze zijn ook vaak een bron van frustratie én onveiligheid. Frustratie omdat mensen verschillende wachtwoorden moeten onthouden, die liefst ook nog eens sterk zijn, en onveiligheid, omdat mensen daardoor geitenpaadjes gaan bedenken zoals wachtwoorden die data bevatten (zoals welkom2020) en daardoor makkelijk te raden zijn of wachtwoorden gaan hergebruiken.

Het algemene advies is om je wachtwoorden te beheren met een wachtwoordmanager zodat je dat zelf niet hoeft te doen. Tot nu toe heeft elke wachtwoordmanager een kluis waarin de wachtwoorden worden opgeslagen. Zo'n kluis is echter een single point of failure en daarmee kwetsbaar, want iemand die toegang heeft tot de kluis heeft toegang tot al je wachtwoorden.

In dit artikel presenteren we een next-generation wachtwoordmanager die de opslag van wachtwoorden, en daarmee het gebruik van een kluis, overbodig maakt.

In plaats van wachtwoorden op te slaan in een kluis, gebruikt deze wachtwoordmanager een formule waarmee wachtwoorden telkens berekend kunnen worden. Met deze vault-less wachtwoordmanager kun je zo beschikken over de sterkst-mogelijke wachtwoorden zonder de risico's van een kluis bij een traditionele wachtwoordmanager.

Hieronder bekijken we de voordelen van deze innovatieve aanpak, waaronder verbeterde veiligheid, meer gemak en meer privacy.

Inleiding

Wachtwoorden worden al lang gebruikt als het primaire authenticatiemiddel voor onlineaccounts, maar ze brengen allerlei uitdagingen met zich mee. Het verzinnen én onthouden van goede wachtwoorden is voor de meeste mensen onbegonnen werk. Toch hebben we steeds meer wachtwoorden nodig. Mensen nemen daardoor vaak (noodgedwongen) hun toevlucht tot het gebruik van zwakke wachtwoorden en/of het hergebruik van wachtwoorden voor meerdere accounts. Dit brengt aanzienlijke veiligheidsrisico's met zich mee. Vandaar dat bij nagenoeg elk cyberincident ook sprake is van een wachtwoord incident.

Mensen hebben daarom ondersteuning nodig bij het gebruik van wachtwoorden. Dit is waar een wachtwoordmanager om de hoek komt kijken. Met een wachtwoordmanager hoeft een gebruiker namelijk zelf geen wachtwoorden meer te onthouden, want deze worden bewaard in een kluis. Wel zo makkelijk! De kluis van een traditionele wachtwoordmanager is echter kwetsbaar voor aanvallen van hackers, aangezien een inbreuk op de kluis alle daarin opgeslagen wachtwoorden in gevaar brengt. Recent zijn er enkele incidenten geweest waarbij deze kwetsbaarheid duidelijk zichtbaar werd.

De wachtwoordmanager zonder wachtwoordkluis

Onze innovatieve wachtwoordmanager elimineert de afhankelijkheid van een wachtwoordkluis. In plaats daarvan wordt gebruikgemaakt van een gepatenteerde techniek waarbij elk wachtwoord steeds opnieuw berekend wordt aan de hand van een zestal factoren.

Alleen met de juiste factoren kan het juiste wachtwoord berekend worden. Hierbij bepaalt de formule de kwaliteit van elk berekend wachtwoord. De formule van onze wachtwoordmanager maakt gebruik van 512 bits SHA2 hashing. Dat levert erg lange en complexe wachtwoorden op. Door de factoren en de berekening te spreiden over verschillende entiteiten, wordt voorkomen dat iemand ongeoorloofd toegang krijgt tot alle benodigde informatie voor het berekenen van een wachtwoord. Dit maakt deel uit van onze zero-knowledge aanpak.

Om te voorkomen dat wachtwoorden automatisch berekend kunnen worden, wordt één factor door de gebruiker ingevoerd. Hierdoor blijft de gebruiker zelf in control. Deze factor kan een makkelijk-te-onthouden wachtwoord zijn (deze mag voor elk account hetzelfde zijn), of bijvoorbeeld een biometrische code op basis van een vingerafdruk of gezichtsherkenning. Bovendien integreert onze wachtwoordmanager elke FIDO2 authenticator zodat deze factor ook via, bijvoorbeeld, Windows Hello, ingegeven kan worden.

De wachtwoorden van onze wachtwoordmanager zijn phishing-resistant. Dat wil zeggen dat het berekende wachtwoord voor een look-alike website waardeloos is voor een hacker omdat het volledig anders is dan het berekende wachtwoord voor de echte site.

Voordelen van een wachtwoordmanager zonder wachtwoordkluis

Verbeterde beveiliging

Met onze wachtwoordmanager wordt het risico van een wachtwoordkluis geëlimineerd, omdat wachtwoorden nergens worden opgeslagen. De informatie die nodig is om de wachtwoorden te berekenen zit voor een deel in het hoofd van de gebruiker en voor een ander deel wordt deze verspreid bewaard op verschillende locaties bij verschillende organisaties. Op die manier is er geen enkele entiteit in het systeem die beschikt over alle informatie die nodig is voor het berekenen van een wachtwoord. Het berekende wachtwoord is enkel beschikbaar op het endpoint van de gebruiker.

Verhoogd gemak

Gebruikers hoeven niet langer meerdere complexe wachtwoorden te verzinnen of te onthouden, maar kunnen altijd beschikken over de sterkst-mogelijke wachtwoorden zonder zich zorgen te hoeven maken over de veiligheid en het beheer van een wachtwoordkluis.

Onze wachtwoordmanager biedt, net als traditionele wachtwoordmanagers, een naadloze gebruikerservaring, waarbij wachtwoorden voor websites en apps automatisch worden ingevuld en gebruikers eenvoudig wachtwoorden voor al hun accounts kunnen toevoegen. Dit vereenvoudigt wachtwoordbeheer en vermindert de cognitieve belasting die gepaard gaat met het onthouden en beheren van allerlei losse wachtwoorden. Onze wachtwoordmanager is beschikbaar op alle bekende platformen en is gratis voor privégebruik zonder inperking in functionaliteit.

Verbeterde privacy

Gebruikers van onze wachtwoordmanager zijn anoniem. Dit is een unicum voor wachtwoordmanagers en het gevolg van het privacy-by-design principe dat we tot het uiterste doorvoeren. Zo willen we geen wachtwoorden bewaren maar ook geen andere informatie van gebruikers. Hiermee helpen we mee aan de privacybescherming van onze gebruikers, maar neemt ook de veiligheid toe omdat er niets te halen valt.

Conclusie

Traditionele wachtwoordmanagers die gebruik maken van een wachtwoordkluis hebben beperkingen op het gebied van veiligheid en privacy. Onze voorgestelde wachtwoordmanager zonder wachtwoordkluis biedt een innovatieve oplossing om deze problemen aan te pakken. Door wachtwoorden te berekenen in plaats van te bewaren kunnen gebruikers beschikken over de sterkst-mogelijke wachtwoorden zonder in te boeten op veiligheid en privacy.