Evernote-hack toont aan dat wachtwoorden niet goed genoeg zijn

Evernote onthulde tijdens het weekend dat het het slachtoffer was van een datalek, gebruikers e-mailde en een bericht op haar website plaatste dat aanvallers toegang hadden gekregen tot gebruikersnamen, e-mailadressen en gecodeerde wachtwoorden met Evernote-accounts. Als voorzorgsmaatregel dwong Evernote alle 50 miljoen gebruikers hun wachtwoord opnieuw in te stellen. Dat is een goede stap, maar het is niet echt niet goed genoeg - dus Evernote versnelt zijn plan om tweeledige authenticatie uit te rollen.

Evernote-gebruikers werden uitgesloten van hun accounts totdat ze hun wachtwoorden veranderden.

Evernote wasn ' t oorspronkelijk ontworpen als een zakelijke service, ten minste tot de december-release van Evernote for Business. Evernote is in de eerste plaats een hulpmiddel voor het maken van aantekeningen en voor organisaties, vergelijkbaar met Microsoft's OneNote. Evernote biedt een reeks services - waaronder Evernote Food, Evernote Peek, Skitch, Penultimate en meer - als op het web gebaseerde tools of apps voor verschillende besturingssystemen en mobiele platforms. De mogelijkheid om gegevens op een breed scala aan apparaten te openen en te synchroniseren, maakt het aantrekkelijk als een bedrijfsinstrument. Van nature is Evernote een uitstekend voorbeeld van een service waarin u zowel persoonlijke als professionele gegevens opslaat. Zoals elke op de cloud gebaseerde service, heeft het een inherent risico. Telkens wanneer u bedrijfsgegevens in de cloud plaatst, met name gevoelige informatie zoals namen of adressen van klanten, bank- of financiële gegevens of eigen bedrijfsonderzoek, vertrouwt u erop dat de leverancier deze gegevens beschermt. Het grote voorbehoud is echter dat u nog steeds de eindverantwoordelijke bent voor wat er met uw gegevens gebeurt.

[Verdere lectuur: de beste tv-streamingdiensten]

Eén wachtwoord om ze allemaal te beheren?

Na de aanval, Evernote duwde een software-update.

Evernote beweert dat de wachtwoordgegevens die door de aanvallers zijn vastgelegd, gecodeerd waren, maar het zorgde er nog altijd voor dat alle gebruikers nieuwe wachtwoorden selecteerden, voor het geval dat. Zoals de gerespecteerde veiligheidsautoriteit Brian Krebs opmerkt in zijn blogpost over de Evernote-inbreuk, bieden de standaard hashing- en zoutalgoritmen die verkopers gebruiken om wachtwoordgegevens te coderen triviale bescherming die relatief gemakkelijk kan worden gekraakt.

Een oplossing zou zijn om sterker te gebruiken wachtwoorden of wachtzinnen en om ervoor te zorgen dat u niet hetzelfde wachtwoord gebruikt voor meer dan één service. Wanneer u dit doet, kan een gegevensinbreuk bij één leverancier uw wachtwoord blootleggen, waardoor de aanvaller vervolgens toegang heeft tot al uw accounts in plaats van de schade te beperken tot de inbreuk die is begaan.

Tientallen keren of honderden herinneringen onthouden wachtwoorden is een beetje een enorme taak, vooral als je sterke, complexe wachtwoorden gebruikt. Mijn PCWorld-collega John Mello suggereert een paar opties voor het vereenvoudigen van wachtwoordbeheer, zoals OneID, KeePass en RoboForm.

De echte les van de Evernote-hack is dat wachtwoorden geen erg goede bescherming bieden voor uw gegevens. Unieke wachtwoorden die complex zijn, bieden betere bescherming dan het gebruik van de naam van uw hond of helemaal geen wachtwoord, maar uiteindelijk kunnen alle wachtwoorden worden gekraakt of geraden, mits voldoende tijd en moeite.

Verhuizen naar multi-factor authenticatie

Met dat in Evernote voegt zich bij Facebook, Dropbox, Microsoft SkyDrive, PayPal, Gmail en een groeiende lijst van online serviceproviders door tweeledige authenticatie toe te passen.

Een voorbeeld van tweefactorauthenticatie op het werk

Multi-factor authenticatie biedt een extra beschermingslaag om uw gegevens te beschermen. Telefoongebaseerde authenticatie kan bijvoorbeeld de beveiliging dramatisch verhogen. U bent waarschijnlijk een melding voor telefoongebaseerde authenticatie tegengekomen wanneer u zich probeert aan te melden bij een bankwebsite vanaf een apparaat dat u normaal niet gebruikt.

Met telefoongebaseerde authenticatie wordt een willekeurige of eenmalige code verzonden naar een mobiele telefoon, en moet worden ingevoerd naast de standaard gebruikersnaam en wachtwoord. Sommige oplossingen gebruiken een mobiele app om een ​​eenmalige pincode te genereren. Hoe dan ook, om als aanvaller toegang te krijgen tot het account, moeten ze zowel je wachtwoord kraken als in het bezit zijn van je mobiele telefoon.

Naast telefonische verificatie zijn er nog veel meer opties, zoals toegangstokens, smartcards en e-mailverificatie. De exacte methode varieert sterk. Ongeacht de implementatie biedt tweefactorauthenticatie een extra beschermingslaag en verdient Evernote de aanbeveling deze aan te bieden.