Wachtwoordsterkte controleren

Hoe het werkt

Er is een duidelijk probleem met wachtwoordsterktecontroles: ze gebruiken betekent een wachtwoord in een website typen. De meeste doen de controle op een server, waardoor je wachtwoord naar een vreemde is verzonden. Dit hier verlaat de pagina nooit, en alleen zo is de oefening zinvol.

Wat de schatting betekent

De gebruikte tekensets en de lengte geven een entropiewaarde in bits. Die wordt omgerekend naar een kraaktijd uitgaande van tien miljard pogingen per seconde, een realistische snelheid voor een aanvaller met een moderne videokaart die offline werkt tegen een gelekte wachtwoorddatabase. Online aanvallen op een echte inlog zijn veel trager, dus dit is het pessimistische scenario, en dat is het nuttige.

Lengte wint van complexiteit

Eén teken toevoegen vermenigvuldigt het werk meer dan een letter door een symbool vervangen. Een lange wachtwoordzin van gewone woorden wint van een korte onuitspreekbare reeks, zowel qua sterkte als onthoudbaarheid, en daarom geeft moderne richtlijn daar de voorkeur aan.

De grens van elke sterktemeter

Dit meet alleen de vorm. Het kan niet weten dat je wachtwoord in een lijst met gelekte wachtwoorden staat, dat het de naam van je hond is of het meest gebruikte wachtwoord ter wereld, en elk daarvan valt direct, wat de meter ook zegt. Zie een goede score als noodzakelijk, maar niet als voldoende.

Het echt goede antwoord

Een wachtwoordmanager die voor elke site een lang willekeurig wachtwoord genereert, lost het probleem helemaal op, omdat je er nooit een hoeft te onthouden of opnieuw te gebruiken.