Dag wachtwoord (?)

De octobermaand is voor e-kraker John Flynn, ex-Google, een mooie maand. Dan mogen hij en zijn companen bij Facebook gaten in het bedrijfsnetwerk zien te vinden. Vorig jaar verspreidde Flynn en zijn maten een nepnieuwsbericht dat bedoeld was om een worm in het netwerk te brengen. Als het goed is hebben de officiële Facebookkrakers het dit jaar moeilijker, want veel werknemers zijn voorzien, of althans hun computers, van een nieuw soort beveiliging tegen inbraak: de Yubikeys. Die ‘sleutels’ laten mensen veilig inloggen als ze een tik met een vinger krijgen, waarna elke keer een unieke code door de ‘sleutel’ wordt aangemaakt. Het dinkske, dat aangesloten wordt op een usb-contact, maakt het lastig in het netwerk te komen, zelf als de inbreker er in slaagt om de netwerkserver over te nemen. Facebook is de tweede die de ‘veiligheidssleutel’ omarmt, nadat eerder Google-medewerkers zich sterk hadden gemaakt voor het dinkske. Wachtwoorden geven slechts een idee van veiligheid, maar zijn ook nog eens lastig voor de gebruikers, is daarbij de redenering.
John Flynn. foto: Facebook

Voor de Facebookmedewerkers is de Yubikey een tweede verdedigingslinie. Om zijn/haar e-post te lezen, moet de medewerker nog steeds een gebruikersnaam en een wachtwoord invullen, dus zo gezien is de kop boven dit verhaal een licht misleidende. Elders, bijvoorbeeld in Pakistan, kan die medewerker ook met zijn/haar veiligheidssleutel aan de gang of, als dat systeem daar ter plekke niet voorhanden is via een de telefoon-app Duo. Bij Facebook in huis kom je nergens met een gestolen wachtwoord. Anderhalf jaar geleden al maakte Facebook een grotere beveiliging mogelijk voor zijn 1 miljard gebruikers, die via een mobiel nummer loopt: de inlogtoestemming.

Het wachtwoord is dus nog niet weg, maar daar wordt wel aan gewerkt, waarbij de ‘veiligheidssleutel’ wordt gecombineerd met, bijvoorbeeld,  de SSH techniek, die werkt met kryptografische sleutels. Bij Facebook kunnen sommigen het wachtwoord ook mijden door de sleutel te gebruiken in combinatie met het Unix-commando ‘sudo‘, dat hun code genereert en ze speciale bevoegdheden geeft. “Hoe meer mensen veilgiheidssystemen gebruiken die zowel veilig zijn als makkelijk, hoe beter het is,” zegt Flynn.

Bron: Wired