Veilig omgaan met passwords op internet

In de afgelopen 10 a 15 jaar zijn de internetsites waar je moet inloggen als paddenstoelen uit de grond gekomen. De gemiddelde Nederlander zal waarschijnlijk bij tientallen sites geregistreerd staan. Bij al die sites is een username en wachtwoord nodig om in te loggen. Dat kan al snel problemen opleveren.

Als je je netjes aan de regels voor internet-security houdt, moet je voor elke site een ander wachtwoord gebruiken. Bovendien mag je die wachtwoorden nergens opschrijven. Dat begint al heel lastig te worden: van tientallen sites verschillende wachtwoorden onthouden zonder ze op te schrijven, is een hele uitdaging. Maar het wordt nog lastiger: de meeste sites hebben tegenwoordig (uit veiligheidsoverwegingen) een 'strong password policy'. Dat betekent dat je password een minimale lengte moet hebben, minimaal een aantal bijzondere tekens, cijfers en hoofdletters moet bevatten. Dat maakt het onthouden ervan niet eenvoudiger.

Om het nog lastiger te maken ben je ook steeds vaker verplicht het wachtwoord regelmatig te wijzigen. Je mag dan natuurlijk geen eerder gebruikte wachtwoorden hergebruiken (dat spreekt voor zich).
Kortom, de gemiddelde Nederlander wordt geacht voor tientallen sites regelmatig nieuwe complexe wachtwoorden te bedenken en die (zonder ze op te schrijven) te onthouden. Volgens mij een onmogelijke opgave. Gevolg is dat mensen de regels aan hun laars gaan lappen: dezelfde wachtwoorden voor verschillende sites gebruiken of wachtwoorden opschrijven. Niet verstandig, maar wel de enige mogelijkheid om nog ergens in te kunnen loggen.

Natuurlijk kun je de wachtwoorden laten opslaan door de browser (of een lokale wachtwoordbeheerder), maar dan ben je wel volledig afhankelijk van de machine waarop de wachtwoorden opgeslagen zijn. Als je op een andere machine wilt inloggen, ben je de klos, nog afgezien van het feit dat we eigenlijk geen wachtwoorden zouden mogen opslaan, zelfs niet in een veilige omgeving.

Op internet zijn ook allerlei wachtwoordbeheerders beschikbaar die wachtwoorden voor je onthouden en deze in de cloud opslaan. Het probleem is alleen dat dat eigenlijk hetzelfde risico heeft als wanneer je hetzelfde wachtwoord voor meer sites gebruikt: als het wachtwoord dat je gebruikt voor de wachtwoordbeheerder gekraakt wordt, heeft men in één klap toegang tot al je privé-informatie.
De vraag is of het überhaupt nog wel mogelijk is veilig met passwords op internet om te gaan en of we in de toekomst, naast passwords, ook andere authenticatiemiddelen zouden moeten gaan gebruiken.