Wachtwoorden zijn achterhaald: zo beveilig je endpoints structureel

Het gevolg: bedrijven die hun personeel verplichten om regelmatig een nieuw complex wachtwoord te verzinnen, bereiken daarmee vaak precies het tegenovergestelde van wat ze willen.

Rekenkracht maakt de 1 en ! overbodig

Wachtwoordbeveiliging stamt uit het tijdperk van mainframes — quasi-afgesloten netwerken met beperkte externe toegang. Nu vrijwel alles op internet is aangesloten, schiet die aanpak tekort. De rekenkracht van moderne hardware maakt dat een uitroepteken of een cijfer in een wachtwoord nauwelijks nog iets toevoegt aan de veiligheid.

Daar komt bij dat gelekte databases van platformen als LinkedIn en Marriott openlijk beschikbaar zijn. Wachtwoorden die daar in voorkomen, worden ook elders geprobeerd. Gecombineerd met publieke informatie (de naam van een eerste huisdier, de meisjesnaam van de moeder), hebben kwaadwillenden vaak al genoeg om toegang te forceren.

De aanvalsvector zit bij je medewerkers

Een gehackt account lijkt voor de werknemer zelf weinig schade aan te richten. Maar via de endpoints van medewerkers kunnen criminelen dieper binnendringen in een bedrijfsnetwerk. Die endpoints vormen een veel grotere aanvalsvector dan de cloud of een datacenter, die doorgaans sterk beveiligd zijn. Gemiddeld hebben medewerkers drie apparaten waarmee ze het bedrijfsnetwerk kunnen benaderen. Als die allemaal draaien op vergelijkbare of hergebruikte wachtwoorden, is dat een structureel risico.

Het alternatief: iets wat je hebt, weet én bent

De oplossing is multifactor-authenticatie op basis van certificaten, gecombineerd met een pincode en/of biometrie: een vingerafdruk, gezichtsscan, iris of hartritme. De logica is eenvoudig: je combineert iets wat je hebt (een gekoppeld apparaat), iets wat je weet (een pincode) en iets wat je bent (een biometrisch kenmerk). Wordt er afwijkend gedrag gedetecteerd, dan wordt één van die factoren ingetrokken.

Dat principe kennen de meesten al van hun bank: pincode invoeren, verificatiecode ontvangen op een vooraf gekoppelde telefoon, en voor bijzondere handelingen een extra stap via een reader of scanner.

En dan is er nog het BIOS

Beveiliging op OS-niveau is de afgelopen jaren sterk verbeterd, maar daaronder (op BIOS-niveau) liep het traditioneel achter. De gangbare praktijk was dat laptops uit dezelfde batch hetzelfde BIOS-wachtwoord kregen. Dat wachtwoord werd gedeeld, bleef hangen in hoofden van IT’ers die van werkgever wisselden, en was daarmee een sluimerend risico.

HP Wolf Security for Business lost dit op met een meerlaagse BIOS-beveiliging op basis van certificaten, waarmee die afhankelijkheid van gedeelde wachtwoorden verdwijnt.

Lengte telt meer dan complexiteit

Voor organisaties die de overstap naar multifactor-authenticatie nog niet hebben gemaakt, geldt één praktische vuistregel: lengte telt meer dan complexiteit. De entropie van een wachtwoord neemt toe met elk extra teken: een lang maar leesbaar wachtwoord is sterker dan een kort maar cryptisch exemplaar.

En misschien wel de belangrijkste les: beveiliging die te ingewikkeld is, wordt omzeild. Gebruikers die workarounds verzinnen, maken een systeem kwetsbaarder dan wanneer je het simpeler had gehouden. Goede beveiliging is beveiliging die mensen ook daadwerkelijk gebruiken.