Evaluatie van wachtwoordrisico's

Voordat u code implementeert die wachtwoorden beveiligt, is het raadzaam om uw specifieke omgeving te analyseren op manieren waarop een aanvaller softwarebeveiliging kan binnendringen.

Begin met het analyseren van uw netwerk- of systeemarchitectuur. Hier volgen enkele voorbeelden:

• Het aantal wachtwoorden dat moet worden beveiligd. Is een wachtwoord vereist om u aan te melden bij de lokale computer? Wordt hetzelfde wachtwoord gebruikt om u aan te melden bij het netwerk? Worden wachtwoorden doorgegeven aan meer dan één server in het netwerk? Hoeveel wachtwoorden moeten worden ondergebracht?
• Het soort netwerk (indien van toepassing) dat wordt gebruikt. Wordt het netwerk geïmplementeerd met behulp van een bedrijfsdirectorysysteem (zoals LDAP) en wordt de wachtwoordarchitectuur gebruikt? Zijn er objecten die niet-versleutelde wachtwoorden opslaan?
• Open versus gesloten netwerk. Is het netwerk zelfstandig of is het open voor de buitenkant? Zo ja, wordt deze beveiligd door een firewall?
• Ras. Moeten gebruikers toegang krijgen tot het netwerk vanaf een externe locatie?

Nadat u uw systeem- of netwerkarchitectuur hebt geanalyseerd, kunt u beginnen te analyseren hoe een aanvaller kan proberen deze aan te vallen. Hier volgen enkele mogelijkheden:

• Lees een niet-versleuteld wachtwoord uit het register van een computer.
• Lees een niet-versleuteld wachtwoord dat in de software is vastgelegd.
• Lees een niet-versleuteld wachtwoord van de wisselcodepagina van een computer.
• Lees een wachtwoord uit het gebeurtenislogboek van een programma.
• Lees een wachtwoord uit een uitgebreid Microsoft Active Directory-adreslijstserviceschema met objecten die een wachtwoord zonder opmaak bevatten.
• Voer een foutopsporingsprogramma uit voor een programma waarvoor een wachtwoord is vereist.
• Raad een wachtwoord. Een van de verschillende technieken kan worden gebruikt. De aanvaller kan bijvoorbeeld bepaalde persoonlijke gegevens over een gebruiker kennen en proberen een wachtwoord van die informatie te raden (bijvoorbeeld de naam van een echtgenoot/partner of kind). Of een brute-force methode kan worden geprobeerd, waarbij alle combinaties van letters, cijfers en interpunctie worden geprobeerd (alleen haalbaar wanneer korte wachtwoorden worden gebruikt).

Als u de mogelijke aanvalsmethodologieën vergelijkt met systeem- of netwerkarchitectuur, worden waarschijnlijk beveiligingsrisico's weergegeven. Op dat moment kan voor elk risico een risicofactor worden vastgesteld en kunnen de risicofactoren worden gebruikt om oplossingen te classificeren.