Zaterdag 22/02/2020

Digitale veiligheid

Maak werk van je digitale veiligheid: zo neem je een wachtwoordmanager

Beeld Matteo Bal

Dat je digitale veiligheid belangrijk is, snapt iedereen. Maar waar begin je? Zo beveilig je je accounts en ga je 2020 veilig in.

Letten op je onlineveiligheid, dat klinkt toch een beetje als iets uit de cyberspace van 2005. Oppassen voor kinderlokkers in de TMF-chat, niet zomaar webcammen met jan en alleman op MSN. En vooral een wachtwoord met veel cijfers en leestekens voor je Hotmail, dat je vervolgens overal hergebruikte.

En misschien vandaag de dag nog altijd gebruikt. Voor je Gmail, je Facebook, internetbankieren en je DigiD. Laten we daar eens mee ophouden. 

Hergebruik geen wachtwoorden

Goed, misschien ben jij niet zo iemand die ‘1234567’ als wachtwoord heeft, of simpelweg ‘wachtwoord’. Maar ook iets ingewikkelds als ‘Cwv7d@Ni4sG’ is niet veilig als je het wachtwoord recyclet op meerdere websites. Dan is je veiligheid namelijk afhankelijk van de zwakste website waarop je die toegangscode gebruikt hebt.

Grote techbedrijven als Google hebben complete teams die hackers tegengaan. Jouw lokale tennisclub waarschijnlijk niet. Dus als de fotosite van je sportclub gekraakt wordt en er wachtwoorden buitgemaakt worden, hebben de hackers ook meteen toegang tot alle andere diensten waarbij je dezelfde inloggegevens gebruikt hebt. Je Gmail bijvoorbeeld – Googles honderden veiligheidsexperts ten spijt.

En als inbrekers eenmaal toegang hebben tot iets centraals als je mailbox, waar weer talloze andere accounts aan gekoppeld zijn, raak je de grip op je digitale leven in mum van tijd kwijt. Ga maar na: wat doe je als je je wachtwoord voor demorgen.be bent vergeten? Dan klik je op ‘wachtwoord vergeten’, en krijg je een mailtje waarmee je nieuwe inloggegevens kunt aanmaken. Op deze manier raakte de Amerikaanse techjournalist Mat Hohan een aantal jaar terug alles in zijn Gmail en op zijn MacBook en iPhone kwijt.

Misschien denk je nu: ach, zo snel zal mijn wachtwoord wel niet gekraakt worden. Maar dikke kans dat er ook van jou gekraakte inloggegevens rondzwerven. Bij veelgebruikte diensten als LinkedIn en Dropbox zijn namelijk in het verleden inloggegevens buitgemaakt. Met die gegevens kan er niet meer in die accounts zelf ingebroken worden, want de getroffen accounts hebben allang nieuwe wachtwoorden moeten instellen. Maar andere sites waar je dezelfde gegevens voor hebt gebruikt, zijn nog wel kwetsbaar. Op de website Have I Been Pwned kun je je mailadres invullen om te checken of daaraan gekoppelde accounts ooit zijn gehackt. En bij het Nederlandse Shattered Secrets kun je zelfs zien welk wachtwoord er van jou rondzwerft.

Wat kan ik hier tegen doen?

Overal een ander wachtwoord gebruiken, is de remedie. Maar dat maakt het weer lastig om ze te onthouden. Zeker als je ook nog aan allerlei veiligheidseisen moet voldoen – cijfers, symbolen maar weer geen / of *, geen opeenvolgende letterreeksen. Gelukkig is er tegenwoordig gebruiksvriendelijke software die automatisch veilige, unieke wachtwoorden voor je bedenkt, ze onthoudt en ook nog eens invult wanneer je wilt inloggen. Wachtwoordmanagers dus.

Is het niet juist onveilig om ál je gegevens op een centrale plek te bewaren? Als die kluis gekraakt wordt, ben je immers alles kwijt. Dat is inderdaad een risico. Maar het bestaansrecht van een wachtwoordmanager is dat de kluis die ze aanbieden, goed beschermd is. “Met een wachtwoordmanager verklein je de kans op fouten”, zegt Evelyn Austin, directeur van digitale burgerrechtenorganisatie Bits of Freedom. “De meest voorkomende manier waarop mensen hun accounts in gevaar brengen is door wachtwoorden te hergebruiken, en dat voorkom je hiermee. De baten wegen tegen het risico op. Zorg alleen wel dat je een sterk wachtwoord kiest voor je manager.”

Hoe kies ik een wachtwoordmanager?

Bekende wachtwoordmanagers zijn 1Password, LastPass en Bitwarden. 1Password is het meest gelikt en het makkelijkst in het gebruik, maar niet gratis. Voor 2,65 euro heb je een persoonlijk account, voor 4,75 euro neem je een familieabonnement waarbij vijf gezinsleden ieder een eigen privékluis krijgen. De software is bovendien niet in het Nederlands beschikbaar, die van de concurrentie wel. 

LastPass biedt naast een vergelijkbaar betaald aanbod ook een gratis versie aan. Daarmee kom je al een heel eind. Wel zit de software soms net wat onlogischer in elkaar dan 1Password en is het minder gepolijst. 

Bitwarden is de goedkoopste van het stel: het is een gratis open source programma. Dat betekent dat iedere techneut de broncode van het programma kan inzien en controleren op kwetsbaarheden, in plaats van dat je erop moet vertrouwen dat een commercieel bedrijf zijn zaken goed op orde heeft. Wel moet je betalen voor functies als een seintje wanneer je wachtwoord voorkomt in een gekraakte database: 10 dollar per jaar.

Allemaal bieden ze apps en browserextensies aan, waardoor je wachtwoorden altijd toegankelijk zijn, ongeacht het apparaat dat je gebruikt.

Wanneer je de manager voor het eerst instelt, zal hij vragen om je bestaande wachtwoorden uit je browser te importeren. Vervolgens moet je bij alle diensten waar je een wachtwoord hergebruikt hebt, een nieuwe code aanmaken en opslaan in het programma. Dat is een nogal vervelend klusje. Pas eerst je belangrijkste accounts aan (mail, bankieren, DigiD, sociale media) en doe de rest de volgende keer dat je er weer inlogt. Of doe er elke dag vijf.

Ook moet je een hoofdwachtwoord kiezen: dat is hoe je je kluis ontgrendelt. Zorg dat je dit wachtwoord écht niet vergeet, anders is het een heel gedoe om al je andere accounts weer in te komen. Austin van Bits of Freedom raadt een woordreeks aan. “Het is niet zo dat alleen een wachtwoord met vier hoofdletters en zes vreemde tekens veilig is. Een opsomming van drie of vier woorden is ook al heel sterk, en makkelijker te onthouden bovendien.” Zorg wel dat het een vrij willekeurige reeks is, en geen bekend gezegde. Je kunt er ook cijfers en tekens aan toevoegen, als je ze maar onthoudt. Bijvoorbeeld: Groen2fijne6panne_koek. Op je telefoon kun je bovendien inloggen met je vingerafdruk of een gezichtsscan, in plaats van met je hoofdwachtwoord.

Maar mijn browser biedt ook aan om wachtwoorden te bedenken en ze op te slaan. Is dat geen goede optie?

Het is beter dan niets, maar de ingebouwde functie van je browser is een stuk minder uitgebreid dan de gespecialiseerde opties die we hierboven noemen. Zo geeft je webbrowser geen waarschuwing als een van je wachtwoorden in een datalek voorkomt en bovendien heeft iedereen die achter je computer kruipt, meteen toegang tot al je wachtwoorden. Bij een wachtwoordmanager moet je eerst nog het hoofdwachtwoord intypen. Ook heb je alleen toegang tot je wachtwoorden in je browser, en niet op bijvoorbeeld je telefoon of in apps.

Vergrendel je computer als je van je bureau bent

Grote kans dat jij je computer gewoon onbeheerd achterlaat als je even koffie haalt. Doe toch maar niet. Iedereen kan dan namelijk met een paar klikken je mail openen – of erger. En dat terwijl je je computer zo vergrendeld hebt: op Windows druk je op het toetsenbord Windowsvlaggetje-L in, op een Mac toets je Command-Control-Q in.

Stel tweestapsverificatie in

Oké, je hebt nu overal een uniek, veilig wachtwoord ingesteld. De volgende stap is om overal waar dat kan, tweestapsverificatie aan te zetten. Dat betekent dat je bij het inloggen naast je gebruikersnaam en wachtwoord nog op een extra manier moet bewijzen dat je de rechtmatige eigenaar van het account bent. Vaak gebeurt dit met een cijfercode die je laat genereren op je telefoon – zoals je misschien al gewend bent van het internetbankieren. Het voordeel hiervan is dat zelfs een hacker die jouw gebruikersnaam en wachtwoord heeft, alsnog jouw account niet in kan. Omdat de cijfercode pas op het moment zelf gegenereerd wordt, is hij niet van te voren te kraken.

Je kunt kiezen hoe vaak deze extra beveiligingsstap nodig is: elke keer dat je inlogt, of alleen als je dat nog niet eerder met dat apparaat hebt gedaan. Een wachtwoordmanager als 1Password kan de tijdelijke codes bovendien voor je genereren en automatisch invullen, waardoor je er geen omkijken meer naar hebt.

Zo zet je tweestapsverificatie aan

De gevoeligste diensten als je mail, sociale media en DigiD bieden allemaal een vorm van tweestapsverificatie. Bekijk hier hoe je het bij een aantal veelgebruikte diensten instelt:

Google 

Microsoft 

Apple 

Facebook 

WhatsApp 

DigiD 

Verplicht bijzondere tekens, hoofdletters en cijfers in je wachtwoord? ‘Dat is schijnveiligheid’

Goede veiligheid op internet begint met goede wachtwoorden, maar u wordt gek van al die wachtwoorden die u moet onthouden. Meesterhacker Rickey Gevers geeft tips uit eigen keuken. Vergeet de verplichte ingewikkelde tekens en cijfers. ‘Totale onzin.’

Meer over

Wilt u belangrijke informatie delen met De Morgen?

Tip hier onze journalisten


Op alle verhalen van De Morgen rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar info@demorgen.be.
DPG Media nv – Mediaplein 1, 2018 Antwerpen – RPR Antwerpen nr. 0432.306.234