Wachtwoordbeveiliging: Sterke Wachtwoorden Genereren, Opslaan en Auditen
Snel antwoord
Genereer 16+ teken willekeurige wachtwoorden met onze Password Generator, hergebruik ze nooit en sla ze op in een wachtwoordmanager. Hash op de server met bcrypt (work factor 12+), scrypt of Argon2id —nooit MD5 of SHA-256. Audit breaches via Have I Been Pwned's k-anonymity API.
Invoering
Zwakke, hergebruikte en onjuist opgeslagen wachtwoorden veroorzaken het merendeel van account-overnames. Deze gids lost vier concrete problemen op: (1) wachtwoorden genereren met voldoende entropy om brute force te weerstaan, (2) wachtwoorden hashen met een trage KDF in plaats van een snelle hash, (3) hergebruik over services vermijden en (4) gelekte credentials auditen.
Stap voor stap
-
Genereer een wachtwoord met een hoge entropie
Gebruik de wachtwoordgenerator om een wachtwoord van meer dan 16 tekens te maken, waarbij u hoofd-, onder-, cijfers en symbolen combineert. Entropie = log2(charsetSize^length); een alfabet van 16 tekens van 94 symbolen levert ~105 bits op, wat zelfs bij 10^12 gissingen/seconde onhaalbaar is met brute kracht.
-
Gebruik nooit wachtwoorden voor verschillende services
Het hergebruiken van één wachtwoord betekent dat één enkele inbreuk elk account dat het deelt, in gevaar brengt. Genereer per dienst een uniek wachtwoord en sla deze op in een wachtwoordmanager (Bitwarden, 1Password, KeePassXC). Het hoofdwachtwoord is het enige dat u hoeft te onthouden. Maak er een lange wachtwoordzin van.
-
Hash-wachtwoorden met een langzame KDF op de server
Sla wachtwoorden nooit op met MD5, SHA-1 of onbewerkt SHA-256: ze zijn te snel en GPU's kunnen miljarden per seconde proberen. Gebruik bcrypt met werkfactor 12+, scrypt met N=2^17 of Argon2id met 64 MB geheugen. Deze KDF's zijn opzettelijk traag en geheugenbelastend om GPU/ASIC-aanvallen te verslaan.
-
Gebruik een zout om regenboogtafels te verslaan
Een salt is een unieke willekeurige waarde per wachtwoord, voorafgegaan of gecombineerd vóór hashing. Het zorgt ervoor dat identieke wachtwoorden verschillende hashes produceren, waardoor vooraf berekende regenboogtabellen nutteloos worden. bcrypt en Argon2 genereren en sluiten het zout automatisch in – rol het niet zelf.
-
Controle op geschonden wachtwoorden
Voordat u een wachtwoord accepteert, controleert u het aan de hand van Have I Been Pwned API met behulp van het k-anonimiteitsprotocol: verzend alleen de eerste 5 tekens van de SHA-1-hash, ontvang de lijst met overeenkomende achtervoegsels en vergelijk lokaal. Hierdoor wordt nooit het volledige wachtwoord voor de API onthuld.
Voorbeelden
Sterk gegenereerd wachtwoord (16 tekens, ~105 bits entropie)
Invoer: Lengte 16, alle karakterklassen
Uitvoer: K9$mP2#vL7@nQ4!x (willekeurig, uniek, nooit hergebruikt)
Wachtwoordzin voor een hoofdwachtwoord (gedenkwaardig + sterk)
Invoer: 4 willekeurige veel voorkomende woorden
Uitvoer: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
bcrypt-hash van een wachtwoord (werkfactor 12)
Invoer: wachtwoord123 met bcrypt-kosten 12
Uitvoer: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (zout + kosten + hash ingebed)
Veelvoorkomende problemen
- Gebruik MD5 of SHA-256 voor wachtwoordhashing: beide zijn snelle hashes. Een moderne GPU berekent ~10 miljard SHA-256/s en kraakt binnen enkele minuten een wachtwoord van 8 tekens. Gebruik altijd bcrypt, scrypt of Argon2id.
- Hergebruik van één wachtwoord op verschillende sites: bij een inbreuk op de zwakste site lekt het wachtwoord voor elke site. Genereer unieke wachtwoorden en bewaar deze in een manager.
- Wachtwoorden opslaan in platte tekst of omkeerbare encryptie: als de database lekt, wordt elk account onmiddellijk gecompromitteerd. Hashing is eenrichtingsverkeer en onomkeerbaar: zelfs de server kan het origineel niet herstellen.
- Lage werkfactor in bcrypt: kosten 4 waren prima in 2002; in 2026 kost het gebruik 12+ (ongeveer 4096 iteraties). Opnieuw hashen bij inloggen om oude hashes te upgraden zonder een wachtwoordreset te forceren.
Tips
- Streef naar ten minste 100 bits entropie voor accounts met een hoge waarde, dat wil zeggen 16 willekeurige tekens uit een alfabet met 94 symbolen, of 6 willekeurige diceware-woorden.
- Schakel tweefactorauthenticatie (TOTP of hardwaresleutel) in voor elk account dat dit ondersteunt. Een sterk wachtwoord alleen is niet voldoende als het wachtwoord via phishing wordt gebruikt.
- Gebruik de optie 'dubbelzinnige tekens uitsluiten' van onze Wachtwoordgenerator (0/O, 1/l/I) wanneer wachtwoorden hardop worden voorgelezen of vanaf de afdruk worden getypt.
- Wissel wachtwoorden alleen af na een bevestigde inbreuk, en niet volgens een vast schema. Geforceerde roulatie drijft gebruikers naar voorspelbare patronen zoals Lente 2026!.