Privacy en veiligheid in de Apple wereld:

30-01-2015

Kiezen of je je wachtwoorden synchroniseert of niet

Elk wachtwoord dat je aanmaakt zou uniek moeten zijn: elke site, dienst of systeem heeft er een nodig. Ze moet ook lang zijn en geen woorden bevatten die te vinden zijn in woordenboeken, of leestekens bevatten, of een duidelijk uitgesproken gedachte weergeven, of de beroemde pudding recept van je oma.

Wachtwoorden zijn belachelijk en je kan ontmoedigd worden door het feit dat ze de hele tijd, met miljoenen tegelijk, uit gekraakte databases en websites lekken. Je bent misschien een fatalist geworden en je denkt dat wat je ook doet en hoe je het doet, je wachtwoorden zullen waarschijnlijk toch mislukken.

Niet wanhopen! Het is nog altijd de moeite waard om je in te spannen om unieke, sterke wachtwoorden te bedenken die niet te onthouden zijn (en dat hoeft je ook niet) en ze te beschermen met een enkele wachtwoord die je onthoudbaar maakt zonder risico’s te lopen.

Je hoort vaak geluiden over uitgelekte gegevens van accounts en/of e-mails, gegevens die beschermd waren met versleutelde wachtwoorden, gecodeerd met de cryptografische "hashfunctie" of “klutsfunctie” die de "platte tekst" (de werkelijke wachtwoord) zodanig versleuteld dat het onmogelijk wordt de versleutelde gegevens te decoderen en het origineel te herstellen.

Als er een lek is en zolang de wachtwoorden versleuteld zijn, zal een sterke wachtwoord kraakpogingen weerstaan. Telkens een nieuwe sterke wachtwoord kiezen voor elk toepassing betekent ook dat een eventuele mislukking op die ene site of dienst niet meteen elk aspect van je identiteit overal blootgeeft.

Zoals bij vele andere aspecten van online beveiliging, tenzij je persoonlijk het mikpunt bent - waar een kwaadwillende partij, een crimineel, of een regering vastberaden pogingingen doen om je gegevens in handen te krijgen – zijn je risico’s nog steeds te beperken. Je moet dan denken: als ik een heleboel wachtwoorden bedenk die onmogelijk te onthouden zijn, moet ik ze dan op een makkelijke manier beschermen? Ik zal het daar over hebben, dat beloof ik.

Sterke wachtwoorden worden gegenereerd, niet verzonnen

Het is nog nooit zo makkelijk geweest om unieke en sterke wachtwoorden aan te maken en op te slaan, zodat ze makkelijk beschikbaar zijn als je ze nodig hebt. De toevoeging van iCloud Sleutelhangertoegang in Mac OS X 10.9 Mavericks en iOS 7 door Apple in 2013 was een verbetering, hoewel niet volledig. In Safari, kunnen iOS en OS X een lang, sterk wachtwoord aanmaken, het lokaal bewaren en eventueel met andere apparaten synchroniseren die bij hetzelfde iCloud account zijn aangemeld.

Apple genereert bijna gedenkwaardige wachtwoorden: twaalf tekens in vier groepen (gescheiden door koppeltekens) met een mix van hoofd- en kleine letters en cijfers. iCloud Sleutelhangertoegang kan ook eventuele wachtwoorden opslaan en synchroniseren die je in webformulieren invoert en andere systeem wachtwoorden, ook voor Wi-Fi-netwerken.

Uitbreidingen in iOS 8 maakten het programma 1Password nog handiger - nu heb je je kluisje met wachtwoorden die je ook in andere applicaties kan gebruiken, waaronder Safari,.

Het wachtwoord aanmaken en opslaan werkt alleen binnen Safari, hoewel apps van derden de iCloud Sleutelhangertoegang kunnen gebruiken voor opslag en synchronisatie. Verschillende opties van derden bieden dezelfde of grotere voordelen. Ik gebruik 1Password, maar veel van mijn collega's hebben LastPass gekozen. Ook zou je er voor kunnen kiezen om een mac antivirus software te installeren met ingebouwde wachtwoord manager.

Deze combinaties van wachtwoordengenerator en opslag werken op meerdere platforms en bieden meerdere mogelijkheden voor synchronisatie. In iOS 8, met behulp van App Extensies, kunnen ze het rechtstreeks aan Safari koppelen. Veel populaire apps hebben de 1Password API aangeboord, zodat je toegang tot je opgeslagen wachtwoorden kan krijgen buiten de 1Password app. Beide applicaties maken ook Touch ID mogelijk voor ontgrendeling. (Transmit voor iOS is een favoriet, omdat het een file-server verbinding app is die 1Password kan gebruiken als ik de verbindingen instel die ik ook op het bureaublad gebruik).

Synchroniseren of niet synchroniseren?

Dat is dus de vraag: als je al de moeite doet om verschillende wachtwoorden te creëren, is het niet een vreselijk, vreselijk idee om ze allemaal op een plaats te hebben, beschermd door een enkel wachtwoord dat je makkelijk kan onthouden? En als je je wachtwoorden via Dropbox, iCloud, of een andere cloud-opslag synchroniseert, stel je al die wachtwoorden niet bloot aan een te makkelijk, massale diefstal? Niet echt, hoewel het misschien een enorm risico lijkt.

Allererst, heb je een fysieke toegang. iCloud Sleutelhangertoegang en 1Password eisen dat je plaatselijke toegang krijgt tot een apparaat of computer. (Remote screen-sharing – scherm delen op afstand - naar een Mac is ook een risico, afhankelijk van hoe je het instelt of als je het instelt).

Met twee-factor authenticatie ingeschakeld, de instelling van je iCloud Sleutelhangertoegang op een nieuw apparaat vraagt je je iCloud wachtwoord plus goedkeuring vanaf een ander apparaat.

Tweede, zelfs met fysieke toegang (of webgebaseerde toegang met LastPass, verderop uitgelegd), iemand moet je hoofdwachtwoord weten of andere factoren. Apple en wachtwoord applicaties van derden bieden allerlei mogelijkheden voor toegang naar mobiele apparaten en computers verder te beveiligen. Zelfs als iemand een archief te pakken krijgt die je wachtwoorden bevat en ongestoord al de verschillende wachtwoorden automatisch zou uitproberen, voor uren of voor jaren, de slimmere methode waarmee 1Password, LastPass, en andere programma’s je hoofdwachtwoord met hash functie versleutelen maakt elke poging om je wachtwoord te kraken computationeel een onmogelijk dure grap.

Derde, er zijn twee verschillende delen aanwezig om toegang te krijgen tot in de cloud opgeslagen gegevens. De eerste is de toegang tot de account; de tweede is het decoderen van de data die hier opgeslagen is - hetzelfde probleem als in het tweede punt hierboven. Apple geeft de iCloud Sleutelhangertoegang extra bescherming, bovenop de inmiddels verbeterde zekerheid voor iCloud opslag in het algemeen. Het is zo veilig dat je kan, per ongeluk, jezelf buiten vergrendelen en niet meer kunnen synchroniseren! Ik moet toegeven dat het mij bijna gebeurd was na een iPhone upgrade waarin ik niet in slaagde de juiste PIN in te voeren die ik voor mijn backup (reservekopie) gebruik. Ja, dit kan echt iedereen overkomen!

Beschermingslagen

1Password kan synchroniseren op een paar manieren, waaronder lokaal via de Wi-Fi, maar wanneer het zijn data in Dropbox opslaat, zou een mogelijke aanvaller je Dropbox wachtwoord moeten hebben (plus een tweede factor, als je het ingesteld hebt, zoals aangeraden). Dan nog moet de aanvaller, zelfs met de 1Password pakket, nog je hoofdwachtwoord weten om je opgeslagen gegevens te kunnen decoderen.

LastPass gebruikt zijn eigen cloud-gebaseerde opslag voor synchronisatie en browser toegang, wat betekent dat iemand enkel door de account laag hoeft in te breken, maar het bedrijf biedt een zeer solide scala aan methoden om identiteitsgegevens te beperken en valideren, waaronder verschillende opties met meerdere factoren.

Wat dit duidelijk moet maken is dat het zwakste punt in al deze systemen is dat ene iets (of meer) die je collectie wachtwoorden opent. Met Apple, omdat het extra stappen nodig zijn om apparaten die synchroniseren te valideren, kun je rekenen op alle waarborgen die ze toepassen en bieden voor OS X, iOS en voor iCloud.

Op je iPhone kun je, in plaats van je hoofdwachtwoord, Touch ID gebruiken zowel met 1Password als met LastPass.

Met 1Password, LastPass en anderen, moet je een sterk hoofdwachtwoord kiezen die je kan onthouden en het is echt geen gedoe om het routinematig op een mobiel apparaat in te voeren (tenzij je de voorkeur geeft aan Touch ID). Beveiligingsgoeroe en cryptograaf Bruce Schneier heeft een goed advies over hoe je zo’n wachtwoord moet kiezen en wat te vermijden.

Ik ben niet zo makkelijk met mijn wachtwoorden: een website met een slechte beveiliging kan wachtwoorden van de gebruikers kwetsbaar maken op verschillende plekken. Maar ik ben wel een fan van verdeling. In plaats van overal een zwak wachtwoord op te geven en gebruiken, kies ik unieke wachtwoorden die ik nooit zou kunnen onthouden en één sterk hoofdwachtwoord die ze beschermt en het risico minimaliseert die je kan lopen door slechte beslissingen van andere mensen.

Glenn Fleishman is hoofdredacteur en uitgever van Macworld, geeft regelmatige bijdragen aan Boing Boing en de Economist en is een senior Macworld medewerker.

Deel dit artikel: