Wachtwoorden en passkeys

Sinds juli 2025 zegt de Amerikaanse standaard NIST SP 800-63B-4 dat een zelfstandig gebruikt wachtwoord minstens 15 tekens moet hebben en diensten geen periodieke wijzigingen mogen afdwingen.

‘Zomer2024!’ voldoet aan alle regels. Waarom is het toch zwak?

Veel mensen denken nog dat een sterk wachtwoord een hoofdletter, cijfer en symbool nodig heeft en elke 90 dagen wijzigen het veilig houdt. Aanmeldformulieren leerden dit jarenlang. Bekijk het resultaat: ‘Zomer2024!’ voldoet aan alles. Negentig dagen later wordt het ‘Herfst2024!’ en wie het eerste zag, raadt het tweede. De regels maakten wachtwoorden lastiger te onthouden, maar nauwelijks lastiger te raden.

Wat de Amerikaanse standaard van 2025 wel vraagt

De huidige Amerikaanse richtlijn NIST Special Publication 800-63B-4, definitief sinds juli 2025, keert die gewoonten om. Een zelfstandig wachtwoord moet minstens 15 tekens hebben. Als onderdeel van meervoudige authenticatie is het minimum 8. Diensten moeten minstens 64 tekens, spaties en alle afdrukbare tekens toestaan en mogen geen andere samenstellingsregels zoals ‘één symbool’ opleggen. Periodiek wijzigen mag ook niet worden afgedwongen. Wijzigen is alleen nodig bij bewijs van uitlekken. NIST vraagt ook elk nieuw wachtwoord te vergelijken met een blokkeerlijst van veelgebruikte, verwachte of gelekte wachtwoorden. Een uitgelekt wachtwoord is immers geen geheim meer, hoe lang ook.

Tellen hoeveel een aanvaller moet raden

Waarom wint lengte? Elk extra teken vermenigvuldigt het aantal mogelijkheden. Acht kleine letters geven 26 tot de macht 8, ongeveer 209 miljard combinaties. Een computer doorzoekt een gestolen wachtwoordbestand dan snel. Vier willekeurige woorden uit een lijst van 7776 geven ongeveer 3.66 × 10¹⁵. De tabel toont de groei en verderop bereken je zelf twee aantallen in de codeoefening.

Waarom één lek andere accounts raakt

De Amerikaanse cyberveiligheidsdienst CISA vat een sterk wachtwoord samen: lang (minstens 16 tekens), willekeurig en uniek per account. Willekeurig is een gemengde tekenreeks of een wachtwoordzin van vier tot zeven ongerelateerde woorden. Uniek is het belangrijkst. Lekt één site, dan proberen criminelen hetzelfde e-mailadres en wachtwoord elders. Hergebruik maakt één lek tot vele. Niemand onthoudt tientallen lange willekeurige wachtwoorden. Daarom steunen CISA en NIST wachtwoordmanagers die ze maken, bewaren en invullen, zodat je er maar één onthoudt. Volgens NIST moeten diensten managers en automatisch invullen toestaan en ook plakken mogelijk maken.

Een passkey laat niets te typen of te stelen over

Een passkey vervangt een gedeeld geheim door publieke-sleutelcryptografie. MDN beschrijft een sleutelpaar bij je account op één website. De privésleutel blijft in een authenticator op of aan je apparaat, ontgrendeld met pincode, vingerafdruk of gezicht. De publieke sleutel staat op de server. Bij inloggen stuurt de site een uitdaging die je apparaat ondertekent. Je typt geen geheim en de server bewaart er geen. Een serverlek levert dus niets herbruikbaars op. De passkey is ook aan het domein gebonden: een gelijkende phishingsite kan hem niet gebruiken. NIST noemt dit phishingbestendig, wachtwoorden niet, en staat passkeys toe die tussen apparaten synchroniseren.

Waar begin je? Geef eerst e-mail een lange wachtwoordzin, want daarmee herstel je andere accounts. Gebruik je een wachtwoordmanager, dan wordt die zin het ene wachtwoord dat je onthoudt. Verander daarna elk hergebruikt wachtwoord, eerst bank- en winkelaccounts. Een aangeboden passkey accepteren is meestal de snelste verbetering. Het wachtwoord kan als terugvaloptie blijven.