Er zijn twee manieren waarop een wachtwoord kan worden opgeslagen: plain-text of via wachtwoord hashing. Het wordt steeds belangrijker vooral voor bedrijven om persoonlijke gegevens te beschermen en dus ook het veilig opslaan van wachtwoorden. Veel bedrijven krijgen te maken met cyberdreigingen waardoor datalekken ontstaan. Wachtwoord hashing is een essentiële techniek die organisaties gebruiken om de gevoelige informatie van hun gebruikers te beschermen. In deze blog leg ik uit wat wachtwoord hashing is en hoe deze technologie fungeert als een verdedigingslinie tegen ongeautoriseerde toegang.
Waarom is wachtwoord hashing belangrijk?
Bijna iedereen heeft wel een mail ontvangen van een bedrijf waar jij een account hebt, met de mededeling dat jouw persoonsgegevens mogelijk zijn gelekt. Net zoals Easypark in januari 2024. Vaak staat in deze mail welke persoonsgegevens mogelijk zijn gelekt, een e-mailadres, jouw bankgegevens en/of jouw wachtwoord. Dit betekent dat een aanvaller ongeautoriseerd toegang heeft verkregen tot de bedrijfssystemen waar persoonsgegevens staan opgeslagen van de klanten van dat bedrijf. De aanvaller heeft deze persoonsgegevens gestolen en daarom noemen we dit een datalek.
Wachtwoorden op twee manier opslaan
Een bedrijf kan op twee manieren jouw wachtwoord opslaan: gewoon in tekst, of in een beveiligde vorm. Als het bedrijf jouw wachtwoord gewoon in tekst had opgeslagen, betekent dit dat de aanvaller gelijk toegang hebben tot jouw wachtwoord. Zij hebben dan toegang tot jouw account bij het bedrijf met dat wachtwoord, of tot andere accounts waarbij jij datzelfde wachtwoord gebruikt.
Maar als het bedrijf jouw wachtwoord heeft opgeslagen in een beveiligde vorm, noemen we dat wachtwoord hashing. In dit geval heeft een aanvaller niet direct toegang tot jouw wachtwoord. Het staat namelijk opgeslagen in een schijnbaar willekeurige reeks teken, waardoor het voor aanvallers bijzonder moeilijk wordt om de oorspronkelijke wachtwoorden te achterhalen.
Hoe werkt wachtwoord hashing?
Wachtwoord hashing is een algoritme gebaseerd op een eenrichtingsfunctie, wat betekent dat het eenvoudig is om een wachtwoord te hashen, maar bijna onmogelijk om de oorspronkelijke tekst te herstellen uit de resulterende hash. Deze hashfuncties nemen het ingevoerde wachtwoord en produceren een unieke tekenreeks van vaste lengte. Een belangrijk kenmerk van deze functies is dat een kleine wijziging in het oorspronkelijke wachtwoord een volledig andere hash oplevert.
Bijvoorbeeld de hashwaarde voor welkom01 is:
bd5a8156923ea4c948bbbae3888eb735b86f31372d2e3e49447c2f8a2c470dbc
Maar de hashwaarde voor welkom01! Is:
f8ad97067405b0f288526ed4a7e7c23367be3a3ba5388418d9f0bd5332d0293a
Het belang van sterke wachtwoorden:
Maar stel een kwaadwillende heeft zo een lijst met wachtwoordhashes en dus niet de wachtwoorden in tekst zelf, kunnen ze deze alsnog proberen te kraken (oftewel brute-forcen). Als er een zwak wachtwoord tussen zit kan deze wel degelijk gekraakt worden. De cybercrimineel kan namelijk een lijst maken van veelvoorkomende wachtwoorden en deze zelf hashen. Of gebruikmaken van rainbow tables, dit zijn tabellen welke miljoenen / miljarden woorden bevatten met de daarbij behorende hash.
Als een hash overeenkomt met een hash uit de wachtwoordenlijst die is gestolen dan is het wachtwoord gekraakt. De cybercrimineel moet dan wel weten/of erachter komen met welk hashalgoritme de wachtwoorden zijn gehasht. Daarom is het heel belangrijk om een sterk wachtwoord te gebruiken, deze kunnen niet zo makkelijk of deze manier gekraakt worden als alleen de hash hiervan is gestolen.
Het belang van zout in wachtwoord hashing:
Om te voorkomen dat aanvallers met behulp van zogenaamde 'rainbow tables' gemakkelijk wachtwoorden kunnen kraken, wordt vaak een techniek genaamd "zouten" gebruikt. Een zout is een willekeurige reeks tekens die aan het wachtwoord wordt toegevoegd voordat het wordt gehasht. Zout voegt een extra laag complexiteit en dus beveiliging toe aan het hashen. Om later de data te kunnen verifiëren is het wel noodzakelijk om dit salt (indien opnieuw gegenereerd bij elk wachtwoord) in de database op te slaan naast het resultaat van de hash van de data plus het salt.
Tips voor bedrijven:
De wereld van cybersecurity evolueert voortdurend, en wat vandaag veilig lijkt, kan morgen misschien niet meer voldoende bescherming bieden. Het is essentieel voor bedrijven om op de hoogte te blijven van de nieuwste en sterkste hashalgoritmen. Krachtige algoritmen zoals bcrypt, scrypt, en Argon2 zijn tegenwoordig populair vanwege hun vermogen om aanvallen zoals brute force en rainbow table-aanvallen te weerstaan.
Tips voor de gebruiker:
Als jij in een datalek voorkomt en ook al zijn de gelekte wachtwoorden gehasht en gereset, is het aan te raden om wachtwoorden op andere online platformen te wijzigen mochten zij daar hetzelfde wachtwoord hebben gebruikt. Een andere manier om wachtwoorden veilig en uniek te houden is door middel van een wachtwoordmanager
Conclusie:
Wachtwoord hashing is een onmisbaar element in de strijd tegen cyberdreigingen. Door wachtwoorden om te zetten in ondoorgrondelijke hashes met behulp van sterke algoritmen en zouten, kunnen organisaties een stevige barrière opwerpen tegen potentiële aanvallers. Een doordachte benadering van wachtwoordbeveiliging is cruciaal om de integriteit van persoonlijke gegevens te waarborgen en het vertrouwen van gebruikers te behouden in een wereld waar cybercriminaliteit altijd op de loer ligt.
