Wachtwoordgenerator – Maak Sterke Willekeurige Wachtwoorden

Entropie van wachtwoorden: De wetenschap van sterke wachtwoorden

De sterkte van wachtwoorden wordt gemeten in bits van entropie — de logaritme (basis 2) van het aantal mogelijke wachtwoorden. Meer entropie betekent een moeilijker wachtwoord om te kraken. Het begrijpen van entropie is de sleutel tot het maken van wachtwoorden die resistent zijn tegen brute-force-aanvallen en methoden voor het kraken van wachtwoorden op basis van woordenboeken.

Formule: Entropie = log₂(C^L) = L × log₂(C), waarbij C = grootte van het karakterset en L = lengte van het wachtwoord.

*Aannemend 100 miljard gokjes per seconde met moderne GPU-hardware. Beveiligingsdeskundigen raden een minimum van 80 bits van entropie aan voor algemene accounts en 128+ bits voor kritieke accounts zoals e-mailmasterwachtwoorden, bankrekeningen en encryptie sleutels.

Karaktersets en wat ze toevoegen aan sterkte

Het toevoegen van elk extra karakterklasse vermenigvuldigt het zoekruimte dat een aanvaller moet verkennen. Hier is hoe elk karakterset bijdraagt aan de entropie van het wachtwoord:

De meest impactvolle upgrade voor elk wachtwoord is lengte verhogen. Van 12 naar 16 tekens met het volledige ASCII-set voegt 4 × 6,55 = 26,2 extra bits van entropie toe — gelijk aan het vermenigvuldigen van de zoekruimte met ongeveer 80 miljoen. Lengte is altijd belangrijker dan complexiteit wanneer beide niet tegelijkertijd kunnen worden gemaximeerd.

Maar gebruik van alle karaktertypen samen (grote en kleine letters, cijfers en symbolen) op een gegeven lengte maximaliseert de entropie per karakter. Een 12-teken wachtwoord met alleen kleine letters heeft 56,4 bits van entropie; hetzelfde lengte met alle karaktertypen heeft 78,7 bits — een verbetering van 40% zonder een enkel karakter toe te voegen.

Wachtwoordbest practices

Huidige richtlijnen van NIST (Special Publication 800-63B), beveiligingsonderzoekers en industrie-standaarden zijn aanzienlijk veranderd van oude aanbevelingen. Hier zijn de meest actuele best practices:

• Lengte boven complexiteit: Een 20-teken willekeurig wachtwoord is sterker en herkenbaarder dan een 12-teken symbolenrijk wachtwoord. NIST raadt ten minste 8 tekens aan, maar beveiligingsdeskundigen raden 12–16 tekens aan voor standaardaccounts en 20+ voor kritieke accounts.
• Unieke wachtwoorden per site: Ongeveer 85% van datalekken betreft credential stuffing — aanvallers testen gelekte gebruikersnaam/wachtwoordcombinaties op andere diensten. Elk account moet een uniek wachtwoord hebben.
• Gebruik een wachtwoordbeheerder: Tools als Bitwarden (gratis, open-source), 1Password, KeePass of Dashlane genereren en opslaan van unieke wachtwoorden veilig. Je hoeft alleen je masterwachtwoord te onthouden. Wachtwoordbeheerders zijn de enige meest effectieve upgrade voor persoonlijke beveiliging.
• Activering van twee-factor authenticatie (2FA): Een gekraakte wachtwoord wordt veel moeilijker te exploiteren met 2FA. Gebruik een authenticator-app (Google Authenticator, Authy of een hardware-sleutel zoals YubiKey). Vermijd SMS-gebaseerde 2FA wanneer mogelijk, aangezien het vatbaar is voor SIM-swapping-aanvallen.
• Controleer breukdatabanken: Gebruik haveibeenpwned.com om te controleren of je e-mail of wachtwoorden in bekende datalekken voorkomen. Als een wachtwoord in een breukdatabank voorkomt, verander het onmiddellijk, zelfs als het er sterk uitziet.
• Rotatie van wachtwoorden op schema: NIST's bijgewerkte gids beveelt expliciet tegen gedwongen periodieke wachtwoordveranderingen. Reguliere rotatie leidt tot voorspelbare modificaties ("Wachtwoord1" → "Wachtwoord2"). Verander wachtwoorden alleen wanneer er bewijs is van een inbraak.

Gemeenschappelijke wachtwoordfouten en hoe je ze kunt voorkomen

Anvallers gebruiken woordenboekaanvallen (testen van gangbare woorden, namen en patronen) voordat ze overgaan tot brute force. Moderne wachtwoordkrakers gebruiken geavanceerde regelsets die voorspellen van gangbare menselijke gedragingen. Voorkom deze gemeenschappelijke fouten:

De meest gekraakte wachtwoorden wereldwijd (per doorbraakdatabase-analyses) zijn: 123456, password, 123456789, qwerty, 12345678, 111111, 1234567890, 1234567, password1, en qwerty123. Als je wachtwoord lijkt op een van deze patronen, verander het meteen.

Passphrases: De Herinnerbare Alternatief

Een passphrase is een reeks willekeurig geselecteerde woorden die gebruikt wordt als wachtwoord. Passphrases zijn over het algemeen langer dan traditionele wachtwoorden, waardoor ze moeilijker te kraken zijn, terwijl ze aanzienlijk gemakkelijker te onthouden zijn. Het concept werd populair gemaakt door het beroemde XKCD-comic "correct horse battery staple."

De kritische vereiste voor de beveiliging van een passphrase is dat de woorden willekeurig moeten zijn geselecteerd — geen betekenisvolle zin, citaat, liedtekst of zin die je natuurlijk zou zeggen. "Ik hou van mijn hond heel veel" is een slecht passphrase omdat het voorspelbaar is. "Blanket-topaz-furnace-mango" is uitstekend omdat de woordcombinatie willekeurig en onverwacht is.

Om een passphrase te genereren, gebruik de Diceware-methode: gooi vijf dobbelstenen om een vijf-cijferig getal te krijgen, en kijk vervolgens op de corresponderende woordenlijst (die 7.776 woorden bevat). Herhaal dit voor elk woord. Alternatief kun je een passphrase-generator gebruiken in je wachtwoordbeheerder, die dit proces veilig automatisert.

Wachtwoordbeheerders: Je Beveiligingscentrum

Een wachtwoordbeheerder is software die wachtwoorden genereert, opslaat en automatisch invult voor elk van je accounts. Het is de meest aanbevolen beveiligingsinstrument door elke belangrijke cybersecurity-organisatie. Hier is een vergelijking van de meest populaire opties:

Wanneer je een wachtwoordbeheerder kiest, prioriteer: nul-kennis encryptie (de organisatie kan je wachtwoorden niet lezen), cross-platform beschikbaarheid, veilige wachtwoordgeneratie en doorbraakmonitoring. Je masterwachtwoord — het ene wachtwoord dat je moet onthouden — moet een sterk passphrase zijn van 5+ willekeurige woorden met minimaal 70 bits entropie.

Overgang naar een wachtwoordbeheerder hoeft niet allemaal tegelijk te gebeuren. Begin met het toevoegen van je meest kritische accounts (email, bank, sociale media) en voeg geleidelijk andere toe wanneer je inlogt. De meeste beheerders kunnen wachtwoorden importeren van browsers om de migratie te versnellen.

Twee-factor authenticatie (2FA) methoden vergeleken

Alleen de sterkste wachtwoord biedt maar één laag van verdediging. Twee-factor authenticatie voegt een tweede laag toe die iets vraagt dat je hebt (een telefoon of hardware-sleutel) naast iets dat je kent (je wachtwoord).

Voor maximale beveiliging, gebruik een hardware-sleutel voor beveiliging (FIDO2/WebAuthn) voor je meest kritische accounts. Voor dagelijkse accounts biedt een authenticator-app als Google Authenticator, Authy of Microsoft Authenticator een uitstekende balans tussen beveiliging en gemak. Enige vorm van 2FA is dramatisch beter dan wachtwoord-only authenticatie.

Hoe wachtwoordkraken werkt

Door te begrijpen hoe aanvallers wachtwoorden kraken, kan je zien waarom willekeurige, lange wachtwoorden essentieel zijn. Moderne wachtwoordkraken betreft verschillende technieken, elk uitbuitend verschillende zwakke plekken in wachtwoordselectie.

Moderne GPU-clusters die tools als Hashcat gebruiken, kunnen meer dan 100 miljard MD5-hashes per seconde testen, of ongeveer 10 miljard bcrypt-hashes per seconde met gespecialiseerde hardware. Dit is waarom wachtwoordlengte zo belangrijk is — elke extra karakter verhoogt de tijd nodig voor het kraken met de grootte van het karakterset. Een willekeurig gegenereerd 16-karakters wachtwoord met alle printbare ASCII-tekens zou langer duren dan de leeftijd van het universum om te kraken door brute force, zelfs met de snelste beschikbare hardware vandaag. Echter, geen wachtwoord van enige lengte beschermt tegen phishing — wat is waarom twee-factor authenticatie essentieel is als een aanvullende verdedigingslaag.