Het beste alternatief voor de slechtste wachtwoorden

Ik schreef echter ook dat ik denk dat wachtwoorden in de toekomst zullen verdwijnen. Enkele lezers van AG Connect hadden wel een idee over wat er dan voor in de plaats moet komen (en wat vooral niet). Daar ga ik nu verder op in.

Binnen onze branche en zeker binnen mijn organisatie zijn de meeste mensen het erover eens: wachtwoorden zullen op den duur steeds minder gebruikt worden als beveiligingstool. Over de termijn waarop wachtwoorden zullen verdwijnen is meer onenigheid. Gebruiken we over vijf jaar al minder wachtwoorden dan nu? Of duurt het zeker tien jaar voordat wachtwoorden grotendeels zijn uitgefaseerd? Ik zou zeggen: hoe sneller, hoe beter. Maar realistisch gezien denk ik dat we een (klein) decennium verder zijn voordat we onze laptops kunnen gebruiken zonder eerst een wachtwoord in te voeren.

Biometrie: niet handig…

Wat komt er dan voor in de plaats? Ik had het in mijn vorige blog al over een combinatie van wachtwoorden en biometrische toegangsmethoden. Die combinatie zal vooral gebruikt worden in de komende periode; ik zie het als een tussenfase op weg naar beveiliging die gebaseerd is op doorlopende authenticatie. Daarover zo direct meer.

Het was duidelijk dat jullie de biometrische toegangsmethoden niet zo zien zitten. Lex van der Linden schreef in een reactie onder mijn blog bijvoorbeeld dat een vingerafdruk of irisscan niet handig is wanneer computers of tablets door meerdere gezinsleden gebruikt worden, en dat er helemaal een probleem ontstaat wanneer de gebruiker met toegang tijdelijk afwezig is of komt te overlijden. Nu zouden daar best oplossingen voor bedacht kunnen worden, maar ik ben het met Lex eens als hij schrijft dat er wel slimmere toegangsmethoden te verzinnen zijn.

…en onbetrouwbaar

Zo is het grootste nadeel van biometrische toegangsmethoden dat ze helemaal niet zo accuraat werken als de meeste mensen denken. Deze systemen worden geprogrammeerd om niet te streng te zijn, zodat het aantal valse afkeuringen acceptabel blijft. Ook denken veel mensen dat onze vingerafdrukken wereldwijd uniek zijn, maar de wetenschap is daar helemaal niet zeker van. (Die wetenschappelijke onzekerheid komt onder meer voort uit het feit dat we niet alle vingerafdrukken ter wereld verzameld hebben.) Stel dat ieders vingerafdruk wel uniek is, dan nog zal een gemiddeld biometrisch toegangssysteem vanwege gebrek aan accuratesse na een paar honderd vingerafdrukken een ‘match’ vinden.

Het tweede nadeel van biometrie als wachtwoordvervanger is dat iemands biometrische identiteit gestolen kan worden. Als je nu denkt dat zoiets alleen in theorie kan gebeuren, heb je het mis. In 2015 werd de HR-divisie van de Amerikaanse overheid gehackt, waarbij ruim vijf miljoen vingerafdrukken van onder meer hoge militairen en overheidsfunctionarissen (en zelfs van spionnen) werden buitgemaakt. Hoe kun je een biometrisch toegangssysteem nog vertrouwen als vingerafdrukken rondzwerven en eigenlijk niet meer terug te krijgen zijn?

Dus ja, we hebben inderdaad slimmere manieren nodig om ervoor te zorgen dat alleen de juiste gebruikers toegang hebben tot gegevens en systemen. Mijn collega’s en ik denken dat we, in plaats van wachtwoorden of multifactor-authenticatie, vormen van doorlopende authenticatie gaan zien. Geen eenmalige login dus, maar een systeem waarin alles wat een gebruiker doet voortdurend wordt beoordeeld.

Ben jij écht jij?

Google en Microsoft passen dit gedeeltelijk al toe. Ze houden honderden factoren bij (bijvoorbeeld jouw IP-adres, favoriete browser en hoe lang je erover doet om je wachtwoord in te typen) om te bepalen dat jij écht jij bent. Als ze merken dat je dingen doet die niet in jouw normale gedrag passen, volgt er direct controle via bijvoorbeeld je e-mailadres of telefoonnummer.

Dit soort doorlopende authenticatie is afgekeken van creditcardbedrijven, die al jaren zo te werk gaan. Als je in het buitenland weleens met creditcard betaald hebt, weet je dat je vaak niet eens een pincode hoeft in te voeren. De creditcardmaatschappij vertrouwt erop dat jij het bent, maar hangt direct aan de telefoon als er betalingsactiviteit plaatsvindt die niet bij jou past. Het voordeel hiervan is dat het een heel gebruiksvriendelijk systeem is – gebruikers worden niet lastiggevallen met authenticatie totdat er echt iets is dat niet in de haak lijkt te zijn.

Kortom, ik denk niet dat onze jonge kinderen en kleinkinderen nog wachtwoorden hoeven te gebruiken. De beveilig van de systemen die ze gebruiken is straks al geïntegreerd in hun dagelijkse bezigheden. Dat betekent niet dat onze branche achterover kan leunen. Welke methode er in de toekomst ook gemeengoed zal worden, op termijn zal deze gehackt en misbruikt worden. Organisaties zullen hun medewerkers altijd moeten blijven trainen, zodat ze op het werk en privé hun digitale identiteit goed kunnen beschermen.