informatica Welkom! maandag 16 November Les B-6

informatica Extra Wachtwoorden 2 Les B-6

informatica Inhoud van de les Waar moet je op letten bij het maken van wachtwoorden? Hoe beheer je je eigen wachtwoorden? Welke technieken worden gebruikt om te kraken, en hoe werken ze? Wat kun je tegen de technieken doen? Waarom wordt encryptie gebruikt? Wat komt er kijken bij encryptie? Les B-6 3 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Voorbeeld Mijn ouders hadden voor de poort jarenlang een vier-cijferige code. Raad eens wat die code had kunnen zijn? 1234 Les B-6 4 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Meest gebruikte wachtwoorden password qwerty baseball 9. dragon 10. football monkey 13. letmein Les B abc mustang 17. access 18. shadow 19. master 20. michael 21. superman batman 25. trustno1 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Do’s en Don’ts Wat je zeker niet moet doen: Wachtwoord is niet één woord of naam Voorkom geboortedata Gebruik voor elk account een ander wachtwoord Tips: Maak je eigen aparte algoritme om een wachtwoord te construeren. Zorg ervoor dat het vreemd is, maar makkelijk voor jezelf om te onthouden. Les B-6 6 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Onthoud! Les B-6 7 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Beheer wachtwoorden Tegenwoordig bestaan er ook zogenoemde password managers. Deze maken en onthouden wachtwoorden voor al je accounts. Voordeel: Alle wachtwoorden makkelijk binnen bereik. Nadeel: Veel vertrouwen leggen in één manager. Les B-6 8 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Hoe kraak je ze? De manieren om een wachtwoord digitaal te kraken zijn: Brute force Dictionary attack Keylogger attack Les B-6 9 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Brute force Alle mogelijke wachtwoorden uitproberen (‘forceren’) Het is geen algoritme, enkel elke mogelijkheid uitproberen. Tijdrovend, omdat er veel mogelijkheden kunnen zijn. Voorbeeld: De ‘Bombe’ Vraagje: Stel dat een wachtwoord 10 tekens lang is, hoeveel mogelijke wachtwoorden zullen er ongeveer zijn? Les B-6 10 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Maak je wachtwoord ingewikkeld! Les B-6 11 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Dictionary attack Veel wachtwoorden zijn/waren enkel een woord dat ook in een woordenboek staat. In combinatie met de woorden wordt geprobeerd: –een ander woord eraan vast –een getal –geboortedatum Alle woorden in een woordenboek proberen gaat sneller dan brute force, maar niet elk wachtwoord zul je zo raden. Les B-6 12 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Keylogger attack Een programmaatje (malware?) houdt alle ingedrukte toetsen van de gebruiker bij. Zo kan de maker van het programma uitfilteren wat het wachtwoord moet zijn. Ieder wachtwoord is te achterhalen, hoe lang of moeilijk het ook is. Dit programma moet de gebruiker wel zelf installeren! Hoe keylogger te voorkomen? Anti keylogger software – detecteert en schakelt keyloggers uit of verwijdert ze. Extra extern wachtwoord (zoals SMS-code bij DigiD). Les B-6 13 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Keyloggers nuttig? Keylogger software is niet noodzakelijk slecht. Denk aan: –onderzoek naar typgedrag (Dvorak toetsenbord) –onderzoek naar IT-problemen bij bepaalde toetscombinaties Les B-6 14 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Wachtwoord versleutelen Voor exra veiligheid worden wachtwoorden in een database versleuteld naar een cipher. Voorbeeld: Als je wachtwoord 1234 is, dan wordt deze volgens een algoritme versleuteld en in de database opgeslagen als bijvoorbeeld aq2v101. De versleuteling noemen we encryptie. Les B-6 15 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Encrypties Elk stuk tekst dat je niet herkenbaar wilt hebben, versleutel je met een encryptie. Voorbeeld: berichten tijdens oorlogen dataverkeer via (openbare) netwerken Ook voor wachtwoorden worden encrypties gebruikt. Op het internet zijn allerlei databases met gebruikersnamen en wachtwoorden. Als iemand in zo’n database kan, kan die dus ook bij allerlei accounts. Daarom encryptie op het wachtwoord zelf. Les B-6 16 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Encryptietechnieken Er zijn heel veel soorten technieken. Belangrijke verschillen tussen ze zijn: –het algoritme is één- of tweezijdig (inverteerbaar) –het algoritme varieert wel/niet na elk gebruik Les B-6 17 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Een- of tweezijdig Tweezijdig: Hiermee kan het wachtwoord zowel versleuteld als ontsleuteld (decryptie) worden. Dat kan op 2 manieren: Zowel de versleuteling als de ontsleuteling gaat via een shared key. (symmetrisch) De versleuteling gaat via een public key, het ontsleutelen via een private key. (asymmetrisch) Les B-6 18 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Tweezijdig Voordeel? als het wachtwoord kwijt is, kan het altijd via de database terug ontsleuteld worden. Nadeel? zodra een hacker de shared key weet, weet die ook de inverteerbare, en samen met de database heeft die élk wachtwoord. dit geldt ook voor de private key, alleen is die key voor slechts één gebruiker. Public en private keys zijn veiliger dan shared keys. Les B-6 19 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Een- of tweezijdig Eenzijdig: Het wachtwoord wordt eenmaal versleuteld, maar kan nooit meer terug vertaald worden naar het wachtwoord. Elke keer dat je inlogt, wordt je ingetypte wachtwoord weer versleuteld om te vergelijken met degene in de database. Voordeel? Moeilijker te kraken. Nadeel? Zodra je je wachtwoord vergeet, moet een nieuwe aangevraagd worden. Les B-6 20 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Variatie in sleutel Als het algoritme voor de sleutel hetzelfde is voor iedere gebruiker, zijn alle wachtwoorden te kraken zodra je dat ene algoritme weet. De truc is dus om het algoritme te variëren per gebruik. Mogelijkheden: Een uniek stuk aantal bits toevoegen aan elk versleuteld wachtwoord (padding). Een variable stuk aantal bits toevoegen. Les B-6 21 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica OpenSSL en Heartbleed Een open-source software bibliotheek bedoeld voor veilig data verkeer. –Versleutelde communicatie –Identificatie van gebruikers In 2014 maakte 2/3 van alle webservers gebruik van OpenSSL. Heartbleed: 7 april 2014 werd bekend dat er een lek in de beveiliging zat.N –Slachtoffers: Google, YAHOO, Netflix, You Tube, Instagram Les B-6 22 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL

informatica Inhoud van de les Waar moet je op letten bij het maken van wachtwoorden? Hoe beheer je je eigen wachtwoorden? Welke technieken worden gebruikt om te kraken, en hoe werken ze? Wat kun je tegen de technieken doen? Waarom wordt encryptie gebruikt? Wat komt er kijken bij encryptie? Les B-6 23 Inhoud wachtw. do/don’t manager kraken encryptie zijdig? uniek? OpenSSL Vragen?