Vanochtend logde ik in op de hosting van een klant. Niks bijzonders, dat doe ik een paar keer per week. Maar toen ik het wachtwoord daarna opsloeg in onze wachtwoordmanager, kleurde het schermpje rood: “Dit wachtwoord komt voor in een bekend datalek.”

Even slikken. En daarna: hier moet ik eigenlijk eens een stuk over schrijven. Want ik vermoed dat deze melding bij veel ondernemers voorbijkomt zonder dat iemand precies weet wat ie ermee moet. En dat je ‘m dan maar wegklikt, want het werkt toch gewoon.

Wat zo’n melding wél betekent (en vooral: wat niet)

Laat ik beginnen met de geruststelling. Zo’n waarschuwing betekent niet dat de hosting gehackt is. Niet dat iemand op dat account heeft ingebroken. En niet dat er iets is misgegaan bij ons of bij de hostingpartij.

Wat het wél betekent: dit exacte wachtwoord staat in een van de vele verzamelingen wachtwoorden die in de loop der jaren bij datalekken zijn buitgemaakt en sindsdien over het internet zwerven. Ergens, ooit, bij een of andere dienst. Misschien bij een webshop waar je in 2015 één keer sokken hebt besteld.

En dát is het probleem. Aanvallers gebruiken die lijsten namelijk actief. Ze laten een programma miljoenen bekende wachtwoorden loslaten op duizenden diensten, om te kijken waar er eentje past. Volautomatisch, dag en nacht.

Vergelijk het met een sleutel waarvan ergens een kopie rondslingert. Het slot doet het nog prima. Alleen ben jij niet meer de enige met een sleutel, en je weet niet wie de andere heeft.

Hoe weet mijn wachtwoordmanager dit eigenlijk?

Logische vervolgvraag: als mijn wachtwoordmanager kan controleren of mijn wachtwoord gelekt is, stuurt hij mijn wachtwoord dan naar een of andere server? Dat zou nogal wrang zijn.

Nee dus. En het is best slim opgelost.

Je wachtwoord wordt op je eigen computer omgerekend naar een lange, onomkeerbare reeks tekens. Van die reeks gaan alleen de eerste vijf tekens naar de controledienst. Die stuurt vervolgens een paar honderd tot duizend reeksen terug die met diezelfde vijf tekens beginnen. Jouw eigen computer kijkt daarna of die van jou ertussen zit.

Het gevolg: de dienst aan de andere kant weet nooit welk wachtwoord je controleerde, van welk account het was, of het überhaupt een treffer was. Zij zien alleen vijf tekens waar duizenden verschillende wachtwoorden bij passen.

Wij gebruiken zelf Passbolt, dat we op onze eigen server draaien, maar Bitwarden, 1Password en de ingebouwde wachtwoordcontrole van Chrome en Firefox werken op precies dezelfde manier. Ze kloppen allemaal aan bij dezelfde bron: Have I Been Pwned, een project van beveiligingsonderzoeker Troy Hunt.

Uit welk lek komt het dan?

Dat kun je niet zien. Niet omdat iemand geheimzinnig doet, maar omdat die informatie er simpelweg niet is.

De lijst waartegen gecontroleerd wordt, is één grote bak met honderden miljoenen lósse wachtwoorden, samengeraapt uit honderden verschillende lekken. Zonder bron, zonder account, zonder datum. Het enige dat erbij staat is een teller: hoe vaak dit wachtwoord in het totaal voorkomt. Staat jouw wachtwoord er tienduizend keer in, dan is het niet alleen gelekt maar ook nog eens populair. Dubbel slecht nieuws.

Wil je wél weten bíj welke diensten jouw gegevens ooit zijn gelekt, dan moet je niet op wachtwoord zoeken maar op e-mailadres. Ga naar haveibeenpwned.com, vul je adres in, en je krijgt een lijst met namen en jaartallen. LinkedIn 2012, Adobe 2013, dat werk. Gratis, en er wordt niets met je adres gedaan. Doen, is mijn advies. Al is het maar om te weten waar je aan toe bent.

Wat je eraan doet

Vier dingen, in deze volgorde.

1. Wijzig het wachtwoord waar de melding over ging. Kies een nieuw wachtwoord dat je nergens anders gebruikt. Laat het genereren, dan is het gegarandeerd uniek.

2. Wijzig het overal waar je hetzelfde wachtwoord gebruikt. Of een variant erop, met een ander cijfertje erachter. Dit is het vervelende deel, en tegelijk het belangrijkste. Eén gelekt wachtwoord op tien plekken is tien problemen.

3. Neem een wachtwoordmanager. Niet omdat het hoort, maar omdat het punt hierboven anders onmogelijk is. Je kunt geen zestig unieke wachtwoorden onthouden. Niemand kan dat. Een manager onthoudt ze voor je, genereert ze, en waarschuwt je als er eentje in een lek opduikt. Precies wat er vanochtend bij mij gebeurde.

4. Zet tweestapsverificatie aan waar het kan. Dan is een uitgelekt wachtwoord op zichzelf niet meer genoeg om binnen te komen. Voor je e-mail en je hosting zou ik dit sowieso doen: dat zijn de sloten waarmee je alle andere sloten kunt openbreken.

Eén kanttekening nog, want eerlijk is eerlijk: niet elke melding is even hard. Sommige wachtwoordmanagers geven ook een waarschuwing bij een wachtwoord dat vooral kort of zwak is, zonder dat het echt in een lek is aangetroffen. Twijfel je, dan kun je een wachtwoord zelf testen op haveibeenpwned.com/Passwords. Dat werkt met dezelfde slimme truc: je wachtwoord zelf verlaat je browser niet. Maar of het nou een echte treffer is of een zwak wachtwoord: in beide gevallen is vervangen het antwoord.

Hoe wij het doen

Wij beheren de wachtwoorden van klantomgevingen in een wachtwoordmanager die op onze eigen server draait, niet bij een Amerikaanse clouddienst. Elk account krijgt een eigen, gegenereerd wachtwoord, en we krijgen dus automatisch een seintje zodra er eentje in een lek opduikt. Zoals vanochtend.

Dat is precies waarom ik zo’n melding niet wegklik maar de klant bel. Het kost vijf minuten en het scheelt in het slechtste geval een hoop ellende.

Tot slot

Kreeg jij zo’n melding en weet je niet goed wat je ermee moet? Of wil je gewoon een keer weten hoe het met de wachtwoorden rond jouw website en mail geregeld is? Bel of mail even », dan kijken we er samen naar.

—

Over dit artikel: Geschreven door René, gestructureerd met behulp van Claude, Tekeningen met de hand van Vita. En daarna met mensenogen nagelopen.