Hier is waarom het wijzigen van uw wachtwoord vaak een slecht idee kan zijn

Een mantra bij degenen die regelmatig internet gebruiken voor de meeste dingen gaat ongeveer als volgt: "Wijzig uw wachtwoord elke paar maanden / weken om uw accounts veilig te houden." Het lijkt eenvoudig en logisch: met nieuwe, draaiende wachtwoorden, moet moeilijker zijn voor informatie dieven de toegang krijgen tot uw prive-informatie. Maar de hoofdtechnoloog van de Federal Trade Commission, Professor Lorrie Cranor van Carnegie Mellon University, is het niet eens met deze theorie.

Tijdens de BSides veiligheidsconferentie vorige week in Las Vegas, ging Cranor in op haar punt, dat voortkwam na het zien van de adviezen van de FTC zelf. "Ik ging naar mensen op de sociale media en vroeg hen dat," legde Cranor uit. "Ze zeiden:" Nou, het moet een goed advies zijn, want bij de FTC veranderen we onze wachtwoorden elke 60 dagen. "" De verkeerde richting was meer dan voldoende om de alarmbellen in Cranor's gedachten te laten afgaan.

41% van de nieuw veranderde wachtwoorden offline gekraakt op basis van transformaties van eerdere wachtwoorden, zegt onderzoek via Lorrie Cranor @BSidesLV

- Claus Cramon Houmann (@ClausHoumann) 2 augustus 2016

Een wachtwoordonderzoeker van beroep, Cranor, zei dat het gevaar van het wijzigen van wachtwoorden zo vaak ligt in het feit dat het wijzigen van wachtwoorden vaak kwetsbaarheid achterlaat als het gaat om het bedenken van complexe combinaties voor de bescherming van uw account. Onder verwijzing naar een studie van de Universiteit van North Carolina in Chapel Hill die meer dan 10.000 verlopen rekeningen voor patronen onderzocht: "De UNC-onderzoekers zeiden dat als mensen hun wachtwoorden elke 90 dagen moeten veranderen, ze de neiging hebben om een ​​patroon te gebruiken en ze doen wat we een transformatie, "zei Cranor. "Ze nemen hun oude wachtwoorden, ze veranderen het op een kleine manier en ze verzinnen een nieuw wachtwoord."

Bovendien konden de onderzoekers een manier creëren om de patronen van wachtwoorden te voorspellen - een actie die niet uitzonderlijk is wanneer een script kan worden ontworpen om precies dat te doen. Uiteindelijk heeft het algoritme 17 procent van de accounts gekraakt in minder dan vijf pogingen.

De manier van denken van Cranor maakt langzaam een ​​verschil, het meest recent bij de FTC. "Ik ben blij om te kunnen melden dat ik voor twee van mijn zes overheidswachtwoorden niet meer hoef te veranderen," grapte ze.