wachtwoordopslag

Wachtwoordopslag verwijst naar de manier waarop wachtwoorden veilig bewaard worden in systemen en toepassingen, zodat ze niet in leesbare vorm beschikbaar zijn. Het doel is authenticatie mogelijk te maken terwijl de wachtwoorden zelf niet uitlegbaar zijn bij een datalek.

Bij server-side opslag worden wachtwoorden doorgaans niet opgeslagen als plaintext, maar gehasht in combinatie met een unieke salt. De combinatie van hash en salt maakt het voor kwaadwillenden moeilijker wachtwoorden te achterhalen, zelfs als de database wordt gestolen. Voorbeelden van veilige hashingfuncties zijn Argon2id, bcrypt en scrypt. Een pepper, een extra geheim getal, kan aanvullende bescherming bieden maar wordt minder breed gebruikt. Het gebruik van key stretching vertraagt brute force-aanvallen en vermindert risico's.

Daarnaast bestaan er client-side oplossingen en wachtwoordmanagers. Een wachtwoordmanager slaat wachtwoorden in een beveiligde kluis op en versleutelt deze met een masterwachtwoord. Veel aanbieders hanteren zero-knowledge beveiliging. Synchronisatie via cloud gebeurt meestal met end-to-end encryptie. Bij lokale opslag moet ook rekening gehouden worden met beveiliging van het apparaat.

Best practices voor organisaties en gebruikers omvatten: het verplichten van sterke, unieke wachtwoorden voor elk account; het inzetten van multi-factor authenticatie; het beveiligen van de opslag met moderne, langzame hashingfuncties; het beschermen tegen phishing; het regelmatig controleren op datalekken; het beperken van toegangsrechten.

Risico's en normen: datalekken kunnen leiden tot gestolen wachtwoordhashes, met risico's afhankelijk van de gebruikte hashfunctie en salt. Aanvallers kunnen wachtwoorden proberen via brute force, rainbow tables en phishing. Goede praktijk omvat up-to-date hashing, salting, mogelijk peppering; MFA; training. Juridische context: GDPR en normen zoals ISO/IEC 27001 en NIST bieden richtlijnen voor beveiliging.