Sterke en unieke wachtwoorden gebruiken voor al je online accounts: vrijwel iedereen weet inmiddels dat dit verstandig is. In de praktijk blijkt het echter lastig. We hebben tientallen accounts, wachtwoorden worden vergeten en uit gemak gebruiken veel mensen hetzelfde wachtwoord op meerdere plekken. De Nederlandse dienst MindYourPass kiest voor een andere benadering van wachtwoordbeheer. In plaats van wachtwoorden in een traditionele digitale kluis te bewaren, worden ze gegenereerd wanneer je ze nodig hebt.
Het probleem met wachtwoorden
Voor vrijwel iedere digitale dienst hebben we tegenwoordig een account nodig. Van webwinkels en sociale media tot e-mail, streamingdiensten en financiële toepassingen. Voor ieder account zou je eigenlijk een lang, sterk én uniek wachtwoord moeten gebruiken.
Vooral dat laatste is belangrijk. Wanneer je hetzelfde wachtwoord voor verschillende diensten gebruikt en één van die diensten wordt getroffen door een datalek, kunnen criminelen proberen de buitgemaakte combinatie van e-mailadres en wachtwoord ook op andere websites te gebruiken. Dit wordt ook wel 'credential stuffing' genoemd.
Een wachtwoordmanager kan dit probleem grotendeels oplossen. Traditionele wachtwoordmanagers genereren sterke wachtwoorden en bewaren deze doorgaans versleuteld in een digitale kluis. Je hoeft dan meestal nog maar één hoofdwachtwoord te onthouden. MindYourPass pakt dit anders aan.
Geen kluis met al je wachtwoorden
Volgens MindYourPass worden de wachtwoorden van gebruikers niet opgeslagen in een centrale wachtwoordkluis. De technologie genereert het benodigde wachtwoord opnieuw op het moment dat je het nodig hebt. De dienst spreekt zelf over 'on-the-fly' genereren. Daardoor hoeft het uiteindelijke wachtwoord niet permanent door MindYourPass te worden bewaard.
Dat is een interessant verschil met veel traditionele wachtwoordmanagers. Een digitale kluis is weliswaar sterk versleuteld, maar bevat uiteindelijk veel waardevolle gegevens. MindYourPass wil dit potentiële centrale doelwit vermijden door wachtwoorden niet op deze manier op te slaan.
Volgens de uitleg van het bedrijf worden verschillende factoren gebruikt om telkens opnieuw hetzelfde wachtwoord voor een specifiek account te genereren. De gebruiker kan daarbij onder meer gebruikmaken van een gemakkelijk te onthouden wachtwoord of biometrische verificatie.
Sterk én uniek
Het uitgangspunt blijft hetzelfde als bij iedere goede aanpak van wachtwoordbeveiliging: voor ieder account een ander en zo sterk mogelijk wachtwoord.
MindYourPass geeft aan dat het in principe wachtwoorden tot 128 tekens kan genereren, maar dat websites zulke lange wachtwoorden lang niet altijd accepteren. In de praktijk kunnen daarom bijvoorbeeld kortere wachtwoorden van 32 tekens worden gebruikt.
Het voordeel voor de gebruiker is dat je dergelijke ingewikkelde wachtwoorden niet zelf hoeft te bedenken of te onthouden. Dat verlaagt de verleiding om eenvoudige wachtwoorden te kiezen of één favoriet wachtwoord steeds opnieuw te gebruiken.
Nederlandse ontwikkeling
Een ander kenmerk is dat MindYourPass een Nederlandse oplossing is. Het bedrijf is gevestigd op de High Tech Campus in Eindhoven en stelt dat zijn servers uitsluitend in Nederland staan. Het bedrijf vermeldt daarnaast een ISO 27001-certificering en een Data Pro-certificering.
Voor organisaties kan de dienst bovendien worden gebruikt om inzicht te krijgen in wachtwoordgebruik en authenticatiemethoden en om beleid rond toegang en wachtwoorden centraal te beheren. De zakelijke dienstverlening gaat daarmee verder dan alleen het genereren van wachtwoorden.
Voor particuliere gebruikers is vooral interessant dat MindYourPass zijn privéversie gratis en onbeperkt aanbiedt. De dienst is volgens de aanbieder beschikbaar voor onder andere Chrome, Edge, Safari, Firefox en Brave en voor mobiele apparaten met iOS en Android.
Is een wachtwoordmanager zonder kluis automatisch veiliger?
Het ontbreken van een centrale wachtwoordkluis is een interessante beveiligingskeuze, maar betekent niet dat gebruikers daarmee automatisch tegen iedere vorm van digitale fraude zijn beschermd. De veiligheid van een account wordt uiteindelijk door meerdere factoren bepaald.
Ook met sterke wachtwoorden blijft het daarom verstandig om waar mogelijk multifactorauthenticatie (MFA) in te schakelen. Nog beter is het wanneer een dienst ondersteuning biedt voor moderne inlogmethoden zoals passkeys. Daarnaast blijft waakzaamheid voor phishing noodzakelijk. Cybercriminelen proberen immers niet alleen wachtwoorden technisch te kraken, maar vooral gebruikers te verleiden zelf hun inloggegevens prijs te geven.
Wie een wachtwoordmanager kiest, doet er bovendien goed aan zelf te onderzoeken hoe de gebruikte technologie werkt, welke gegevens worden verwerkt en welke mogelijkheden er zijn wanneer je bijvoorbeeld de toegang tot je account verliest.
Wat betekent dit voor HCC-leden?
Voor HCC-leden die moeite hebben om voor tientallen websites afzonderlijke sterke wachtwoorden te bedenken en te onthouden, kan MindYourPass een interessante oplossing zijn om nader te bekijken. Vooral het afwijkende concept waarbij wachtwoorden volgens de aanbieder niet in een traditionele centrale kluis worden opgeslagen, maakt de Nederlandse dienst het bekijken waard.
De gratis beschikbaarheid voor privégebruik maakt het bovendien relatief eenvoudig om zelf ervaring met de oplossing op te doen. Wie MindYourPass wil proberen, kan via de website een account aanmaken en vervolgens de browserextensie of mobiele app installeren.
Het is daarbij verstandig om niet direct al je bestaande wachtwoordbeheer om te gooien, maar eerst goed te begrijpen hoe de oplossing werkt en te beoordelen of deze aansluit bij je eigen manier van werken.
Standpunt van HCC
HCC benadrukt al langere tijd het belang van sterke en vooral unieke wachtwoorden. Het hergebruiken van hetzelfde wachtwoord voor verschillende websites en diensten blijft een belangrijk digitaal veiligheidsrisico. Het gebruik van een betrouwbare wachtwoordmanager kan daarom voor veel gebruikers een goede manier zijn om hun digitale veiligheid te verbeteren.
MindYourPass is vanuit dat perspectief een interessante Nederlandse ontwikkeling, vooral omdat het bedrijf kiest voor een technisch andere benadering waarbij wachtwoorden niet in een traditionele digitale kluis worden opgeslagen.
HCC adviseert leden wel om bij iedere wachtwoordoplossing kritisch te blijven kijken naar veiligheid, privacy, herstelmogelijkheden en gebruiksgemak. Combineer sterke, unieke wachtwoorden waar mogelijk met MFA of passkeys en blijf altijd alert op phishing.
Een wachtwoordmanager kan het digitale leven een stuk gemakkelijker én veiliger maken. Maar uiteindelijk blijft goede digitale beveiliging altijd een combinatie van veilige techniek en bewust gebruikersgedrag.
