Source: http://tweakers.net/reacties.dsp?Action=Posting&ParentID=5064163

Door curry684, woensdag 26 oktober 2011 12:52

Nee, wachtwoorden zijn dat niet. Tegelijk klopt Cliph’s uitspraak ook niet dat ‘security by obscurity’ onacceptabel zou zijn, het ligt ten grondslag aan veel risicocalculaties. Om maar een gangbaar voorbeeld te noemen – als je een Windows-domain aanvalt kun je de basisaanname maken dat er een user ‘Administrator’ is op het domain. Met deze voorkennis maak je het hacken van die account exponentieel simpeler dan het kraken van een account waarvan je de naam nog niet wist. Derhalve is het renamen van de domain administrator account een simpele en zeer efficiente manier om de security van een Windows domain exponentieel moeilijker te maken.

Op dezelfde manier kun je bijvoorbeeld bij WordPress de default admin-URL veranderen van /wp-admin naar /my-admin, of phpMyAdmin op een server installeren op /dbbeheer ipv het standaard /phpmyadmin, enzovoorts. Door simpelweg je aanvaller algemeen beschikbare voorkennis te ontkennen gooi je een hoge extra drempel op voor een simpele hack als er een andere factor compromised is of raakt.

Security by obscurity is nooit iets dat op zichzelf mag staan maar kan een zeer belangrijke factor zijn in het complexer maken van een kraak.

Wachtwoorden zelf zijn een toepassing van 1 van de 3 basisfactoren van authenticatie om je identiteit kenbaar te maken aan een digitaal systeem: ‘something you know’, ‘something you have’, en ‘something you are’. In volgorde betreffen dit bijvoorbeeld dus een wachtwoord, een RFID-chip die poortjes opent, en een irisscan of vingerafdruk. Bij systemen waar beveiliging vitaal is wordt vrijwel altijd gekozen voor zogenaamde ‘two factor authentication’, waarbij je een element moet overleggen uit 2 van de 3 genoemde groepen. Zo worden pintransacties en het inloggen bij internetbankieren redelijk standaard uitgevoerd doordat je je pinpas (have) in een lezer moet stoppen en dan je pincode (know) moet intoetsen. Oude postbankklanten kunnen transacties uitvoeren met een TAN-code die je op je mobiel (have) toegestuurd krijgt, verstopt achter je login (know).