LastPass wil de accounts van haar klanten beter beveiligen. De wachtwoordmanager verplicht daarom iedereen die een account heeft of aanmaakt om een masterwachtwoord van tenminste 12 karakters in te stellen. Verder controleert het bedrijf nieuwe en geresette hoofdwachtwoorden met een database van bekende datalekken.
LastPass kondigt de veranderingen in het wachtwoordbeleid aan in haar weblog.
Dit is de reden waarom LastPass een hoofdwachtwoord van minimaal 12 tekens verplicht
Sinds 2018 adviseert LastPass haar gebruikers om een masterwachtwoord van minimaal 12 karakters in te stellen. Klanten konden dit advies ter harte nemen, of aan hun laars lappen: het was immers niet verplicht om een lang wachtwoord te nemen. “Door nu een minimum hoofdwachtwoord van 12 tekens verplicht te stellen, helpen we onze klanten proactief om sterkere en veerkrachtigere encryptiesleutels te maken voor toegang tot en versleuteling van hun LastPass kluisgegevens”, aldus de ontwikkelaar van de wachtwoordmanager.
Het National Institute of Standards and Technology (NIST) raadt aan om wachtwoorden minimaal 8 karakters lang te maken. LastPass wijkt bewust van dit advies af. “Gezien de recente vooruitgang in technologie en technieken voor het kraken van wachtwoorden en brute forcing, in combinatie met de natuurlijke menselijke neiging om wachtwoorden te maken die voorspelbaar en gemakkelijk te onthouden zijn, wordt een nog langer wachtwoord aanbevolen”, zo zegt het bedrijf.
Met deze tips maak je een sterk wachtwoord
Sinds april 2023 zijn bestaande en nieuwe klanten van LastPass die hun hoofdwachtwoord aanpassen verplicht om een wachtwoord te genereren van minimaal 12 karakters. Er is echter een grote groep die sindsdien zijn kluiswachtwoord niet heeft aangepast. Om hen aan te sporen dit alsnog te doen, is het sinds dinsdag verplicht om een masterwachtwoord van 12 tekens of meer te bedenken.
Wie inlogt op zijn account, krijgt twee opties voorgeschoteld. Wie reeds een wachtwoord van 12 karakters of meer heeft, hoeft niets te doen. Gebruikers die dat nog niet hebben, krijgen de opdracht om dit alsnog te doen.
LastPass geeft diverse tips om sterke wachtwoorden te verzinnen:
- 12 karakters is het minimum. Hoe langer je wachtwoord, des te moeilijker het is om deze te kraken.
- Gebruik een combinatie van kleine letters, hoofdletters, cijfers en symbolen.
- Kies een wachtwoord dat je makkelijk kunt raden, maar niet te voor de hand ligt, zoals een passphrase of wachtwoordzin.
- Kies voor een uniek hoofdwachtwoorden. Als er een datalek plaatsvindt, zijn je accounts ontoegankelijk voor hackers.
- Verwerk niet je e-mailadres of persoonlijke gegevens in je hoofdwachtwoord.
- Gebruik geen opeenvolgende karakters in je wachtwoord, zoals ‘1234’, ‘aaaa’ of ‘!@#$’.
LastPass kondigt Dark Web Monitoring aan
Naast een langer wachtwoord kondigt LastPass meerdere maatregelen aan om accounts van klanten nog beter te beschermen. Vanaf volgende maand start de wachtwoordmanager met Dark Web Monitoring. Nieuwe en geresette hoofdwachtwoorden worden dan vergeleken met een database waarin gelekte wachtwoorden zijn opgenomen.
“Gelekte wachtwoorden zijn gemakkelijk te kraken. Moderne wachtwoordkrakers kunnen lijsten met bekende wachtwoorden opnemen als onderdeel van hun dataset, waardoor het veel minder tijd kost om de gegevens van een account te achterhalen. Door onze klanten te verplichten een wachtwoord te kiezen dat nog niet bekend is, wordt het aanzienlijk moeilijker om het te kraken”, zo motiveert LastPass.
Tot slot verplicht LastPass haar gebruikers om de wachtwoordmanager opnieuw aan te melden bij authenticator-apps zoals Microsoft Authenticator, Google Authenticator en LastPass Authenticator. Aanleiding hiervoor is een beveiligingsincident van maart 2023, waardoor het noodzakelijk was om tweefactorauthenticatie (2FA) opnieuw in te stellen.
Wachtwoorden en privégegevens LastPass-klanten op straat door datalek
In augustus 2022 meldde LastPass dat het getroffen was door een datalek. IT-medewerkers zagen “ongebruikelijke activiteiten” in delen van de ontwikkelaarsomgeving. Al snel werd duidelijk dat onbevoegden toegang hadden tot de interne systemen van het bedrijf. Hiervoor gebruikten de aanvallers een gecompromitteerde ontwikkelaarsaccount.
Aanvankelijk suggereerde de ontwikkelaar van de wachtwoordmanager dat enkel ‘bepaalde elementen van klantgegevens’ en ‘een aantal technische gegevens’ waren gestolen bij de aanval. In december 2022 erkende LastPass dat er wel degelijk wachtwoorden en privégegevens van klanten waren buitgemaakt.
