Door Ashiq Nanhekhan en Roy Jansen
De cybersecurity-community was onlangs weer eens bijeen in het Renaissance Hotel voor de 
tweede Caribbean Cybercrime-conferentie. Daar werden meerdere spraakmakende datalekken en cyberaanvallen benoemd. Een van deze incidenten, recent ook breed uitgemeten in de media, betrof een Nederlandse hacker die een zoekmachine heeft gebouwd waarmee meer dan één miljard e-mailadressen en wachtwoorden van over de hele wereld opgezocht konden worden. Dit betrof een overzicht van eerdere hacks bij bedrijven als LinkedIn, Playstation en Dropbox, die al jaren rondcirculeren onder hackers. Deze hacker heeft de lijsten gebundeld in een database en daarop een soort zoekmachine, zoals Google, gebouwd. Uiteindelijk heeft de hacker een uitgeklede versie van de site online gezet, waarin niet gezocht kon worden om vooral burgers bewust te maken en aan te zetten tot actie.Daarop bedachten wij - Ashiq Nanhekhan en Roy Jansen, beiden werkzaam bij Deloitte Dutch Caribbean - om dit artikel voor het <I>Antilliaans Dagblad<I> te schrijven en de bevolking van Curaçao een aantal praktische ‘tips & tricks’ te geven over hoe iemand sterke wachtwoorden maakt. We zijn namelijk slechts voor een deel van onze online 
veiligheid afhankelijk van dienstverleners als Facebook, Google en andere grootverbruikers van onze persoonlijke data. Een belangrijk deel ligt bij onszelf.In dit artikel passeert het belang van sterke wachtwoorden de revue en wat u als individu zelf kunt doen ter bescherming tegen hackers, zodat u niet (meer) tot de grote groep mensen behoort die het meest voorkomende wachtwoord ‘123456’ gebruiken voor hun online veiligheid.
Onze digitale identiteitSinds 1996, toen het internet bekend werd bij het grote publiek, is een nieuwe digitale wereld gecreëerd. Deze digitale wereld heeft zich flink uitgebreid in de afgelopen 20 jaar, wat de kans heeft geboden voor onlinediensten als Facebook en Amazon. Deze diensten, en vele andere, dwingen ons om een ‘digitale’ identiteit aan te maken of te hebben in de digitale wereld, die onze identiteit vanuit de ‘fysieke’ of ‘echte’ wereld representeert. Een wachtwoord ter identificatieHet gebruik van onze digitale identiteit stelt ons in staat om allerlei diensten online te gebruiken: we kunnen inloggen op onze Facebookpagina, onze e-mail lezen, een vliegticket boeken of een nieuw paar schoenen bestellen vanuit bijna elk land ter wereld. Voordat wij gebruik kunnen maken van deze diensten, moeten wij allereerst bewijzen dat we zijn wie wij zeggen dat we zijn, net zoals in de fysieke wereld. Bijvoorbeeld: we moeten ons identificeren in de fysieke wereld met ons paspoort of sédula bij Kranshi als we een adreswijziging of de geboorte van een kind willen melden. In onze digitale wereld bewijzen wij onze identiteit in de meeste gevallen nog steeds met enkel een wachtwoord (authenticatie), waar ons paspoort meerdere echtheidskenmerken bevat, zoals meerkleurige stempels, speciaal papier, een watermerk en als laatste toevoeging de RFID-chip voor toevoeging van biometrische kenmerken.Waarom lijken we toch een stuk minder bezorgd over onze identiteit online dan in de fysieke wereld, zeker gezien de steeds toenemende tijd die we online doorbrengen?
De consequenties van een wachtwoord-hackZo’n grootschalige wachtwoord-hack heeft meerdere verregaande gevolgen. Zodra een hacker over een wachtwoord beschikt, kan deze zich online voordoen als de eigenaar van het wachtwoord. Dit betekent dat de hacker kan inloggen op Facebook of een e-mailaccount, online financiële transacties namens diegene kan uitvoeren en inzicht heeft in privacygevoelige informatie. Het is daarom van essentieel belang dat burgers individueel, maar ook organisaties voor hun personeel, nadenken over de complexiteit van hun wachtwoorden.
De componenten van een sterk wachtwoord1. Kies geen wachtwoord dat informatie bevat die voor iedereen online beschikbaar, of gemakkelijk gevonden zou kunnen worden op social media. Bijvoorbeeld: de namen van je kinderen, huisdieren of je geboortedatum. Het is beter om een wachtwoord te kiezen dat niet voorkomt in het woordenboek;2. Gebruik een zin in plaats van één woord. Dit zou een zin moeten zijn die gemakkelijk te onthouden is. Is een zin te lang, neem dan bijvoorbeeld van elk woord van de zin de eerste letter, wat een uniek woord creëert dat moeilijk te raden of te kraken is; 3. Gebruik een mix van hoofdletters en kleine letters. Probeer dit juist niet in een vaste volgorde te doen, maar gebruik de hoofdletters willekeurig door het hele wachtwoord heen. 4. Gebruik nummers en speciale tekens (bijvoorbeeld: !@#$ etc.). Ook hier is het van belang om de speciale tekens willekeurig te gebruiken. Gebruik de nummers en speciale tekens niet als vervanging voor een letter of woord, bijvoorbeeld: “@nt!l!@@n$ D@gbl@d”. Hackers weten dat veel mensen dit toepassen en zullen dit meenemen bij het kraken van wachtwoorden;5. Zorg ervoor dat je wachtwoorden lang zijn. Tussen de 12-14 tekens geeft, tegenwoordig, reeds een voldoende sterk wachtwoord. 6. Wijzig je wachtwoord regelmatig, Dit maakt het moeilijker voor een hacker om te hacken en, als je al bent gehackt, dan heeft een hacker slechts een beperkte periode toegang tot je accounts;7. Schrijf je wachtwoorden niet op een stuk papier en sla ze niet op in je telefoon;8. De laatste tip: hét perfecte wachtwoord bestaat niet. Waarom niet? Omdat je altijd meerdere wachtwoorden zou moeten hebben, bij voorkeur voor elk account een ander wachtwoord. Dit maakt dat hackers geen toegang hebben tot al je accounts, als een wachtwoord van een account is gehackt. Heb je bijvoorbeeld een LinkedIn-account waarvan het wachtwoord bekend is geworden tijdens de hack van een aantal jaren geleden, maar gebruik je dit wachtwoord alleen voor LinkedIn, dan blijft de eventuele schade beperkt tot dat platform.
Hoe je al je sterke wachtwoorden moet onthoudenOnline veiligheid is in ieders belang, maar het moet ook wel werkbaar blijven. Een ‘passwordmanager’ is daarom het overwegen waard. Het betreft online tools of apps waarin de wachtwoorden opgeslagen kunnen worden. Sommige van deze producten hebben ook de mogelijkheid om sterke wachtwoorden voor jou te genereren. Bij het gebruik van een passwordmanager zal je slechts één sterk wachtwoord moeten onthouden (voor de passwordmanager zelf). Vaak zijn deze oplossingen aanvullend beveiligd met een zogeheten ‘multi factor authenticatie’, wat betekent dat je ook nog aanvullend dient te authentiseren door bijvoorbeeld een sms op je telefoon te ontvangen die eveneens ingevuld dient te worden. Daarmee is de online veiligheid nog verder zeker gesteld.
Is uw wachtwoord gehackt? Op de website ‘haveibeenpwned.com’ kunnen e-mailadressen ingevuld worden. De website geeft vervolgens weer of het betreffende e-mailadres, en dus ook het bijbehorende wachtwoord, voorkomt in een van de datalekken. Ook al komt een e-mailadres niet voor volgens deze website, dan is het nog steeds sterk aan te raden om sterke wachtwoorden te hanteren. Het is zeker geen garantie op het uitblijven van een hack, u behoort dan ieder geval al lang niet meer tot de groep mensen die ‘123456’ als wachtwoord gebruiken om hun digitale identiteit veilig te stellen.
Over de auteursAshiq Nanhekhan is op een missie om onze regio veiliger, meer waakzaam en weerbaarder te maken op het gebied van cybersecurity. Hij is manager van de Cyber Risk Services-praktijk van Deloitte Dutch Caribbean, waar hij, samen met het team, klanten ondersteunt en adviseert met diverse, complexe cybersecurityvraagstukken. Cybersecurity is zijn passie en daarom deelt hij zijn kennis graag ook op andere manieren naast zijn klantprojecten.
Roy Jansen is als director Risk Advisory onder andere verantwoordelijk voor de Cyber Risk-dienstverlening van Deloitte Dutch Caribbean. Doordat hij zijn loopbaan bij de overheid is gestart, gelooft hij sterk in het gedachtegoed om vanuit de overheid beleidslijnen uit te zetten, in het bijzonder ten behoeve van de vitale sectoren waar de maatschappij op steunt. Voor Curaçao voorziet hij dat een meer innige samenwerking tussen de overheid en private sector nodig is, teneinde Curaçaos doelstelling om een ‘Smart Nation’ te worden op een verantwoorde en veilige manier te realiseren.
