Wachtwoordchecker

Eén die niets verstuurt terwijl je typt en waarbij je dat zelf kunt controleren. Deze pagina controleert op je apparaat hoe sterk je wachtwoord is en of het bij de miljoen vaakst gelekte wachtwoorden staat. De volledige datalekcontrole wacht tot je stopt met typen en verstuurt één keer alleen 5 tekens van een digitale vingerafdruk. Je kunt dit volgen op het tabblad Netwerk in de ontwikkelaarstools van je browser. Of verbreek de internetverbinding en zie dat de wachtwoord checker blijft werken.

Typ of plak het hierboven. Als het bij de miljoen vaakst gelekte wachtwoorden staat, zie je dat meteen. Als je stopt met typen, worden ook alle bekende datalekken gecontroleerd. Komt je wachtwoord ergens voor, gebruik het dan niet meer.

Ja, voor wachtwoorden. De wachtwoordcontrole is zo opgezet dat de dienst je wachtwoord nooit ontvangt: je browser verstuurt alleen de eerste 5 tekens van de digitale vingerafdruk van je wachtwoord en voert de uiteindelijke vergelijking zelf uit. Deze pagina vraagt ook om nepvermeldingen in het antwoord, zodat zelfs de grootte ervan niets verraadt.

123456, meer dan 210 miljoen keer aangetroffen in datalekken, gevolgd door 123456789, 12345678, password en qwerty (cijfers van Have I Been Pwned). Alles wat iemand snel kan bedenken, staat al op de lijsten.

Elk voorbeeld dat je ergens gepubliceerd hebt gezien, is niet meer sterk, omdat het nu op de lijsten staat. Zelfs correcthorsebatterystaple uit de xkcd-strip is duizenden keren in datalekken opgedoken. Een sterk wachtwoord wordt willekeurig en speciaal voor jou gemaakt: gebruik de wachtwoordgenerator of de wachtwoordzingenerator.

Typ het hierboven en de wachtwoord checker toont de gemiddelde tijd die 1.000 videokaarten nodig hebben om het op volle snelheid te raden aan de hand van een gestolen wachtwoordenlijst. Dat is het scenario waar je rekening mee moet houden. Een willekeurig wachtwoord van 8 tekens wordt in enkele seconden gekraakt; bij een willekeurig wachtwoord van 16 tekens duurt dat ongeveer 3 miljard jaar.

Elke wachtwoord checker moet uitgaan van een bepaald type aanvaller, maar de meeste vertellen niet welk type. Veel gaan uit van een website die wachtwoorden op een bewust trage manier opslaat, waardoor er maar duizenden pogingen per seconde mogelijk zijn. Sommige gebruiken snelheden van videokaarten van jaren geleden. Andere kijken alleen naar de lengte en missen patronen zoals woorden en datums. Wij gaan uit van een ongunstiger scenario en zeggen dat er ook bij: een gestolen wachtwoordenlijst die met 1.000 videokaarten op volle snelheid wordt gekraakt. Bij veel goed beheerde websites duurt het kraken veel langer, maar je kunt niet zien hoe een website wachtwoorden opslaat. Beschouw onze tijden daarom als het ongunstigste scenario om rekening mee te houden.

Omdat kraakprogramma’s niet één letter tegelijk raden. Ze proberen hele woorden, namen, plaatsen, datums en veelgebruikte wachtwoorden, combineren die en voegen cijfers toe. LiverpoolFootball1892 heeft 21 tekens, maar voor een kraakprogramma zijn het twee veelgebruikte woorden en een jaartal: ongeveer honderd miljoen pogingen, die één videokaart in minder dan een seconde afwerkt. Lengte helpt alleen als de tekens onvoorspelbaar zijn, zoals bij een willekeurig wachtwoord of een wachtwoordzin van willekeurige woorden.

Je wachtwoordmanager kan ze allemaal tegelijk controleren. Open op een iPhone of Mac de app Wachtwoorden en kijk onder Beveiliging. In Chrome vind je de Wachtwoordcheck in Google Wachtwoordmanager. NordPass, Bitwarden, 1Password en de meeste andere wachtwoordmanagers hebben een vergelijkbaar overzicht.

Minstens 16 willekeurige tekens of zeven willekeurige woorden. NIST, een Amerikaans standaardisatie-instituut, schrijft voor dat websites wachtwoorden van minstens 64 tekens moeten accepteren en minimaal 15 tekens moeten eisen als het wachtwoord de enige beveiliging van het account is.