Advies aan beheer: pest gebruikers niet langer met complexe wachtwoordregels

Hoewel zijn adviezen in eerste instantie bedoeld zijn voor gebruikers van zijn Active Directory-diensten en Microsoft-accounts, hebben ze volgens de auteurs ongetwijfeld een bredere geldigheid.

Nieuw paradigma voor beheerders

IT-beheerders krijgen van Microsoft 7 adviezen:

1. Houd een minimumlengte van 8 karakters aan, maar langer is niet noodzakelijkerwijs beter
2. Schaf het vereiste van gebruik van verschillende karaktertekens af
3. Dwing gebruikers niet langer om periodiek hun wachtwoord te veranderen
4. Sta veelgebruikte simpele wachtwoorden gewoonweg niet toe
5. Wijs gebruikers erop dat ze inloggegevens van het werk niet moeten gebruiken voor niet-werkgerelateerde doelen
6. Dwing gebruik van authenticatie via verschillende kanalen af.
7. Maak het aantal authenticatiemechanismes dat je inzet, afhankelijk van de risico's.

De reden voor deze adviezen is dat het onthouden van wachtwoorden een belasting is voor gebruikers. En hoe zwaarder de eisen, hoe moeilijker ze deze kunnen onthouden. Dat leidt tot het gebruik van allerlei ezelsbruggetjes die hackers ook kennen, en hun inbraakpogingen dus een stuk kansrijker.

Gebruikers moeten beter nadenken

Voor gebruikers heeft Microsoft ook advies:

1. Gebruik geen wachtwoorden die hetzelfde zijn of lijken op wachtwoorden die je op andere websites gebruikt
2. Gebruik geen afzonderlijke woorden of veelgebruikte zinnen
3. Zorg ervoor dat je wachtwoord ook lastig te raden is voor mensen die jou kennen - en dus weten wanneer jij, je vrouw, je kinderen of je huisdieren geboren zijn, je stopwoordjes kennen, weten van welke bands je fan bent, enz.

Voor wie twijfelt aan het nut van deze adviezen: de onderbouwing ervan vind je - samen met adviezen om de beveiliging van computers te versterken - in de publicatie Microsoft Password Guidance van Robyn Hicock van Microsofts identity protection team.