Hoe websites wachtwoorden echt opslaan
Gerenommeerde websites slaan wachtwoorden niet op in platte tekst, maar eerder als gehashte waarden met aanvullende beschermingsmechanismen zoals salt en moderne wachtwoordhashing-procedures.
Waarom websites geen wachtwoorden in platte tekst nodig hebben
Een dienst hoeft uw wachtwoord niet te kunnen lezen om in te loggen. Hij hoeft alleen maar te controleren of de invoer overeenkomt met het eerder opgeslagen bewijsmateriaal.
Daarom worden wachtwoorden idealiter niet omkeerbaar opgeslagen, maar met behulp van geschikte procedures omgezet in veilige vergelijkingswaarden.
De gebruikelijke veilige procedure
- Bij het instellen van het wachtwoord wordt een salt toegevoegd en een hash gemaakt.
- Het is niet het wachtwoord zelf dat in de database terechtkomt, maar alleen de daaruit afgeleide waarde plus de benodigde metadata.
- Wanneer u inlogt, wordt hetzelfde proces opnieuw uitgevoerd en vergeleken met de opgeslagen hash.
Waar implementaties mislukken
Er ontstaan problemen wanneer applicaties verouderde algoritmen, te weinig parameters of zelfs omkeerbare opslag gebruiken. Dan worden databaselekken aanzienlijk gevaarlijker.
Vanuit gebruikersperspectief is dit nog een reden om wachtwoorden nooit opnieuw te gebruiken. Zelfs als een provider slecht is geïmplementeerd, verspreidt de schade zich mogelijk niet naar andere accounts.
Korte lijst
De belangrijkste acties uit deze gids, kort samengevat.
- Gebruik alleen moderne wachtwoordhashing-procedures in uw eigen projecten.
- Gebruik als gebruiker sterke, unieke wachtwoorden, omdat u nooit volledige controle heeft over de serverimplementatie.
- Controleer oude accounts regelmatig en update ze als u het niet zeker weet.
Veelgestelde vragen
Maak nu een sterk wachtwoord
Gebruik de generator van Zenkey.click om direct een sterk willekeurig wachtwoord of een veilige wachtwoordzin te maken.
Hashing versus encryptie van wachtwoorden: wat is het verschil?
Als je wilt doorlezen, is dit de meest logische volgende gids.
Hashing en encryptie worden vaak door elkaar gehaald. Voor wachtwoorden is hashing de juiste aanpak, omdat de server het oorspronkelijke geheim niet zou moeten kunnen terughalen.