# Accounts en secrets Wachtwoorden, tweestapsverificatie, phishing en de sleutels in je code. Het minimum om je werk en je stage niet kwijt te spelen. Multimedia & Creatieve Technologie · 0.0 General · Zelfstudie · versie 1.0.1 · 2026-09-30 Tags: security Slides: Speaker notes: ## Agenda 1. Wat er op het spel staat: Vier jaar werk aan één sleutel 2. Wachtwoorden: Lengte, kluis, hergebruik 3. Tweede stap: 2FA en passkeys 4. Phishing: Herkennen en wat daarna 5. Secrets in code: env, git en API keys 6. De rest: Toestel, wifi, updates ## Zelfstudie: Werkwijze *30 minuten, Alleen* Reken op een halfuur. Aan het einde staat een opdracht die je dezelfde avond nog uitvoert, anders gebeurt het nooit. 1. Het wachtwoordlabo en de phishingdrill staan in het midden 2. Hou je telefoon bij de hand voor het stuk over 2FA 3. Sluit af met een kluis, 2FA op drie accounts en een gecontroleerde repo ## 1. Wat er op het spel staat *Niet je bankrekening, wel je werk, je stage en je naam.* **Eén sleutel op vier jaar werk.** Je schoolaccount hangt vast aan je mail, je Drive, je inzendingen en straks aan de systemen van je stagebedrijf. Eén wachtwoord houdt dat allemaal dicht. ### Hoe het meestal misloopt - Een site waar je in 2019 een account maakte, lekt zijn database - Jouw mailadres en wachtwoord staan in een lijst die vrij circuleert - Iemand probeert die combinatie op honderd andere diensten - Op de drie waar je hetzelfde wachtwoord gebruikte, lukt het - Je merkt het pas als er mails vertrekken uit jouw naam > **Credential stuffing** > > Niemand probeert jouw wachtwoord te raden. Ze proberen een wachtwoord dat al van jou bekend is, ergens anders. ### Staat jouw adres er al in *Have I Been Pwned verzamelt de lekken die publiek circuleren en zegt in welke jouw adres voorkomt.* - **[haveibeenpwned.com](https://haveibeenpwned.com)**: Typ je mailadres en je ziet in welke lekken het opdook. Voor de meeste mensen staan er drie tot tien in de lijst. - **Wat je dan doet**: Het wachtwoord van die dienst veranderen, en van elke andere dienst waar je hetzelfde gebruikte. Dat laatste is meestal het echte werk. > [!NOTE] > De site bewaart je adres niet en toont geen wachtwoorden. Wil je zeker zijn, gebruik dan de functie die in je password manager zit, die doet hetzelfde zonder te typen. ## 2. Wachtwoorden *Lengte wint van rariteit, en hergebruik verliest altijd.* ### Hoe kraken echt gaat *Niemand tikt gokjes in een inlogscherm. Een lek geeft een lijst met versleutelde wachtwoorden, en die draait door een machine.* 1. **Eerst de lijsten**: Elk wachtwoord dat ooit in een lek stond, plus elk woord uit een woordenboek. Dat zijn miljarden pogingen en ze kosten seconden. 2. **Dan de varianten**: Hoofdletter vooraan, cijfer achteraan, een a die een @ werd. Precies de trucs die iedereen gebruikt, staan als eerste in de lijst. 3. **Pas daarna raden**: Alle combinaties aflopen. Hier telt lengte, en enkel lengte. > [!WARNING] > `P@ssw0rd!` voelt sterk en staat in elke lijst. `gele-fiets-tafel-kraan` ziet er simpel uit en houdt het eeuwen vol. ### Wachtwoordlabo *Vier woorden achter elkaar houden het langer vol dan acht tekens met een uitroepteken.* - `Kdg2026!`: Raden duurt meteen - `wachtwoord`: Raden duurt meteen - `P@ssw0rd!`: Raden duurt meteen - `Fluffy2024`: Raden duurt 1 jaar - `gele-fiets-tafel-kraan`: Raden duurt langer dan de aarde bestaat - `x7Qz$4mK9pLw`: Raden duurt langer dan de aarde bestaat ### Wat wel en niet helpt *De regels van tien jaar geleden hebben vooral onhandige wachtwoorden opgeleverd.* #### Werkt - Lengte: elk teken erbij vermenigvuldigt het werk - Vier of vijf willekeurige woorden na elkaar - Een generator die volledig willekeurig kiest - Voor elke dienst iets anders #### Werkt niet - Een hoofdletter vooraan en een cijfer achteraan - a vervangen door @ en o door 0 - Elke drie maanden hetzelfde wachtwoord met een ander cijfer - Je geboortejaar, je huisdier, je voetbalclub ### Een kluis is de enige haalbare aanpak *Vijftig unieke wachtwoorden onthouden lukt niemand. Eén sterk wachtwoord onthouden lukt wel.* - **[Bitwarden](https://bitwarden.com)**: Gratis, open source, werkt op al je toestellen en in elke browser. De standaardkeuze als je nog niets hebt. - **[1Password](https://1password.com)**: Betalend, erg afgewerkt, met deelbare kluizen voor groepswerk en later voor je team. - **Je browser of iCloud**: Beter dan niets, en ondertussen degelijk. Minder handig zodra je tussen systemen springt. - **Je hoofd**: Voor precies twee wachtwoorden: dat van je kluis en dat van je laptop. De rest ken je niet uit het hoofd, en dat hoort zo. ### Zo zet je een kluis op - Kies er één en installeer de app plus de browserextensie - Maak één lang hoofdwachtwoord van vier of vijf woorden en leer dat vanbuiten - Zet 2FA op de kluis zelf en bewaar de herstelcodes op papier - Laat hem je bestaande wachtwoorden importeren uit je browser - Vervang de komende weken de hergebruikte wachtwoorden, belangrijkste eerst > [!WARNING] > **Het hoofdwachtwoord** > > Dat ene wachtwoord kan niemand voor je resetten. Vergeet je het, dan is je kluis weg. Schrijf het op en leg het ergens veilig thuis. ### Wat is de grootste fout van de vier? - A. Hetzelfde wachtwoord op meerdere diensten - B. Een wachtwoord van tien tekens - C. Je wachtwoord in je kluis bewaren - D. Een wachtwoord dat je niet vanbuiten kent **Antwoord:** A. Hetzelfde wachtwoord op meerdere diensten Hergebruik maakt van één lek bij een willekeurige webshop meteen een probleem op je mail, je GitHub en je school. De andere drie zijn prima, of net de bedoeling. ## 3. Tweede stap *Een wachtwoord dat gelekt is, blijft waardeloos voor de dief zolang er een tweede stap staat.* ### De soorten, van zwak naar sterk *Alles is beter dan niets, maar er zit veel verschil tussen.* | Soort | Hoe | Zwakke plek | | --- | --- | --- | | Sms-code | Een code per bericht | Een simkaart overzetten is makkelijker dan je denkt | | Authenticator-app | Een code van zes cijfers die elke 30 seconden wisselt | Je kan hem nog altijd op een nepsite intypen | | Pushmelding | Bevestigen op je telefoon | Je tikt op ja terwijl je aan iets anders denkt | | Passkey of sleutel | Vingerafdruk of usb-sleutel | Vrijwel niets, maar je hebt je toestel nodig | > [!TIP] > Een passkey hangt vast aan het domein en werkt dus enkel op de echte site. Daarom houdt hij phishing tegen. ### Herstelcodes *Het lijstje dat je krijgt bij het instellen, en dat iedereen wegklikt.* - Tien codes die elk één keer werken in plaats van je tweede stap - Je hebt ze nodig wanneer je telefoon kapot, gestolen of gewist is - Bewaar ze in je kluis, of print ze en leg ze bij je papieren thuis - Niet in een screenshot op dezelfde telefoon, dat is geen backup > [!WARNING] > Zonder herstelcodes en zonder toestel bestaat er voor sommige diensten geen weg meer terug naar je account. Ook niet via de helpdesk. ### Waar je het zeker aanzet *Vijf accounts waar de rest aan hangt.* - **Je mail**: Wie je mailbox heeft, reset elk ander account van je. Dit is de belangrijkste van allemaal. - **Je schoolaccount**: Je inzendingen, je Drive, je mail naar lectoren en bedrijven. - **GitHub**: Je code, je history, en straks de repo's van je stagebedrijf. - **Je kluis**: De sleutelbos zelf. Hier is 2FA geen luxe. - **Betalen en cloud**: Alles met een kaart of een abonnement eraan. - **Discord en socials**: Je naam staat eronder. Een overgenomen account stuurt scam naar je hele klas. ## 4. Phishing *De aanval die niet je systeem kraakt, maar jou even laat twijfelen.* ### Waar je naar kijkt *Vier dingen, in deze volgorde, en je hebt er tien seconden voor nodig.* 1. **Het domein**: Niet de naam van de afzender, maar wat er na de laatste punt voor de eerste slash staat. kdg.be.login-portal.com is niet kdg.be. 2. **De urgentie**: Binnen 24 uur, anders wordt je account geblokkeerd. Echte diensten doen niet aan tijdsdruk. 3. **De vraag**: Aanmelden, betalen, een code doorgeven, een bijlage openen. Altijd iets dat jij moet doen. 4. **De context**: Verwachtte je dit? Een factuur van een dienst die je niet gebruikt, is geen factuur. ### Phishingdrill *Zes berichten zoals ze binnenkomen. Telkens één vraag: meedoen of niet.* **1. Een mail van "KdG ICT" met de vraag je wachtwoord te bevestigen, link naar kdg-be-login.net.** - Aanmelden via de link - **Weggooien en melden** ✓ - Eerst antwoorden en vragen of het klopt Het domein is niet kdg.be maar kdg-be-login.net. Een school vraagt nooit per mail om je wachtwoord te bevestigen. Melden en weg ermee. **2. Een sms: "Uw pakket kon niet geleverd worden, betaal 1,95 euro verzendkosten."** - Betalen, het is maar twee euro - **Negeren en wissen** ✓ - De link openen om te kijken Dit is de meest verstuurde scam van het land. Het gaat niet om die twee euro, ze willen je kaartgegevens. Verwacht je een pakket, kijk dan in de app van de vervoerder. **3. Een Discord-dm van een klasgenoot: "kan je even stemmen op mijn project? hier de link"** - Klikken, het is je klasgenoot - **Eerst navragen via een ander kanaal** ✓ - Je Discord-login invullen op de pagina Dit is de klassieke manier waarop Discord-accounts elkaar aansteken. De pagina vraagt je login of je QR-code. Vraag het even na in het echt, of in het kanaal. **4. Een mail van GitHub over een nieuwe aanmelding, met een knop om je account te beveiligen.** - De knop gebruiken - **Zelf naar github.com surfen en daar kijken** ✓ - De mail negeren De mail kan echt zijn, maar dat weet je niet. Ga altijd zelf naar de site in plaats van op de knop te duwen. Staat er iets aan de hand, dan zie je dat daar ook. **5. Een telefoontje van "de helpdesk" die je code voorleest en vraagt die te bevestigen.** - De code doorgeven - **Ophangen** ✓ - Terugbellen naar het nummer dat belde Een code van een tweede stap geef je nooit door, aan niemand. Geen enkele echte helpdesk vraagt erom. Terugbellen naar hetzelfde nummer levert dezelfde oplichter op. **6. Een mail van een stagebedrijf, met een bijlage genaamd opdracht.pdf.exe.** - Openen, je verwacht de opdracht - **Niet openen en navragen** ✓ - Eerst hernoemen naar .pdf Een dubbele extensie is bijna altijd malware. Hernoemen verandert niets aan wat erin zit. Bel of mail het bedrijf op een adres dat je zelf opzoekt. ### Toch geklikt *Het overkomt iedereen een keer. Wat je in het eerste kwartier doet, bepaalt de schade.* 1. **Verander het wachtwoord**: Van die dienst, en van elke andere waar je hetzelfde gebruikte. Begin bij je mail. 2. **Gooi de sessies eruit**: In de instellingen van de dienst: alle apparaten afmelden. Anders blijft de indringer gewoon ingelogd. 3. **Zeg het**: Aan de helpdesk van je school, aan je stagebegeleider, aan je klas als er berichten uit jouw naam vertrokken. > [!NOTE] > Erover zwijgen uit schaamte maakt het alleen erger. Iedereen die dit al meemaakte, weet dat het snel gaat. ## 5. Secrets in code *De sleutels van een API horen nergens in je repo.* **Een key in git is een key op straat.** Een publieke repo wordt binnen enkele minuten gescand door bots die precies naar dat soort sleutels zoeken. Rekeningen van duizenden euro's beginnen zo. ### Wat een secret is *Alles waarmee iemand anders zich kan voordoen als jouw applicatie.* | Soort | Voorbeeld | Wat iemand ermee kan | | --- | --- | --- | | API key | `sk_live_51H...` | Kosten maken op jouw rekening | | Databasewachtwoord | `DB_PASSWORD=...` | Je volledige database lezen of wissen | | Token | `ghp_xxxxxxxx` | Pushen naar je repo's in jouw naam | | Certificaat of sleutelbestand | `id_rsa` | Inloggen op je server | ### Waar ze wel horen *In een bestand dat niet meegaat met git, en op de server in de instellingen van je hosting.* ```bash # .env (blijft op je machine) WEATHER_API_KEY=abc123geheim DB_PASSWORD=ook-geheim # .env.example (gaat wel mee, zonder waarden) WEATHER_API_KEY= DB_PASSWORD= # .gitignore .env .env.local ``` > [!TIP] > Het voorbeeldbestand is geen formaliteit. Zonder dat weet je groepsgenoot niet welke sleutels hij zelf moet aanvragen. ### Per ongeluk gepusht *Verwijderen in een nieuwe commit is niet genoeg. Je key staat nog in de geschiedenis.* ```console $ git rm --cached .env haalt het bestand uit git, laat het op je schijf staan $ echo ".env" >> .gitignore zodat het niet opnieuw meegaat $ git commit -m "Verwijder .env uit versiebeheer" de key staat nog in elke oudere commit $ # trek de key in bij de dienst en maak een nieuwe aan dit is de stap die echt telt ``` > [!WARNING] > Ga er altijd van uit dat de key gezien is. Intrekken en vervangen kost twee minuten, de geschiedenis herschrijven lost niets op als iemand al gekopieerd heeft. ### Wat GitHub zelf doet *Er staat een vangnet, maar reken er niet op.* - GitHub herkent de sleutelformaten van grote diensten en blokkeert zo'n push - Bij een lek waarschuwt het de dienst, die de key vaak meteen intrekt - Dat werkt alleen voor formaten die ze kennen, niet voor je eigen tokens - En niet voor een databasewachtwoord dat er als gewone tekst in staat > [!NOTE] > Zet het vangnet zeker aan in je eigen repo's, maar behandel het als een vangnet. De regel blijft: secrets gaan niet in git. ## 6. De rest *Drie gewoontes die evenveel opleveren als alle voorgaande samen.* ### Je toestel *De laptop op je schoot is de zwakste plek van je hele opstelling.* - **Vergrendelen**: Automatisch na vijf minuten, en handmatig wanneer je weggaat. In een leslokaal, een café of de bib duurt onbewaakt lang genoeg. - **Schijfversleuteling**: FileVault op macOS, BitLocker op Windows. Zonder dat is een gestolen laptop een open boek, ook met een wachtwoord op je account. - **Updates**: De meeste aanvallen gebruiken gaten die al maanden gedicht zijn. Updaten is saai en het werkt. - **Backups**: Een gestolen of versleutelde laptop kost je niets zodra je werk ergens anders ook staat. ### Publieke wifi *Veel minder gevaarlijk dan tien jaar geleden, en toch geen plek voor alles.* #### Wat je vergeten mag - Bijna alles gaat over https, dus meelezen lukt niet - Een vpn is geen bescherming tegen phishing of een zwak wachtwoord - De gratis vpn uit een advertentie leest zelf mee #### Wat nog telt - Waarschuwingen over certificaten negeer je nooit - Een netwerk dat om een inlog via een pagina vraagt, doe je met argwaan - Deel je scherm niet in een ruimte waar je mail openstaat ### Wat je zelf weggeeft *De meeste informatie lekt niet, ze wordt gepost.* - Een screenshot van je scherm met je mailadres, je tokens of een klantnaam erop - Je volledige uurrooster en adres in een publiek profiel - Een foto van je studentenkaart in een groepschat - Aangemeld blijven op een pc van school of van een vriend > [!TIP] > Voor je een screenshot deelt: kijk naar de randen. Tabbladen, notificaties en mapnamen verklappen meer dan de fout die je wou tonen. ### Je duwt per ongeluk een `.env` met een API key naar een publieke repo. Wat doe je eerst? - A. De key intrekken bij de dienst en een nieuwe aanmaken - B. De commit verwijderen en opnieuw pushen - C. De repo op privé zetten - D. Het bestand hernoemen **Antwoord:** A. De key intrekken bij de dienst en een nieuwe aanmaken Bots vinden zo'n key binnen minuten. Zodra hij online stond, is hij verbrand. Eerst intrekken, dan pas opkuisen: .env uit git halen en in .gitignore zetten. ### Spiekbriefje *Zes dingen, en de eerste drie doe je vanavond nog.* - **Kluis**: Eén lang hoofdwachtwoord, de rest gegenereerd en uniek per dienst. - **2FA**: Op je mail, je schoolaccount, GitHub en je kluis. Herstelcodes bewaren. - **Hergebruik**: Nul diensten met hetzelfde wachtwoord. Begin bij de belangrijkste. - **Phishing**: Kijk naar het domein, niet naar de afzender. Ga zelf naar de site. - **Secrets**: In `.env`, nooit in git. Gelekt is ingetrokken. - **Toestel**: Vergrendelen, versleutelen, updaten, backuppen. ### Opdracht: Een halfuur, vanavond *30 minuten, Alleen* Dit is de opdracht van dit deck met de grootste opbrengst per minuut. 1. Installeer een password manager en zet je hoofdwachtwoord op vier woorden 2. Zet 2FA aan op je mail, je schoolaccount en GitHub, en bewaar de herstelcodes 3. Kijk je mailadres na op haveibeenpwned.com en vervang de wachtwoorden die erin staan 4. Loop je repo's door: staat er ergens een `.env`, een token of een wachtwoord in? 5. Zet schijfversleuteling aan als dat nog niet zo is ### Verder *Vier plekken waar je het naslaat.* - **[haveibeenpwned.com](https://haveibeenpwned.com)**: Kijk in welke lekken je adres voorkomt. - **[bitwarden.com](https://bitwarden.com)**: Gratis kluis, werkt op alles. - **[Safeonweb.be](https://safeonweb.be/nl)**: De Belgische overheidssite met actuele waarschuwingen over scams. - **[GitHub over secrets](https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning)**: Wat GitHub doet wanneer er een sleutel in een repo belandt. ## Begrippen - **Credential stuffing**: Een mailadres en wachtwoord uit een lek uitproberen op honderd andere diensten. Het lukt overal waar je hetzelfde wachtwoord hergebruikte. (slide 6) - **Have I Been Pwned**: Een site die de publiek circulerende lekken verzamelt en zegt in welke jouw mailadres voorkomt. Staat je adres erin, verander dan dat wachtwoord overal waar je het gebruikte. (slide 7) - **Wachtwoord kraken**: Een gelekte lijst versleutelde wachtwoorden door een machine halen. Eerst bekende wachtwoorden en hun gewone varianten, pas daarna alle combinaties, en enkel daar telt lengte. (slide 9) - **Password manager**: Een app, ook kluis genoemd, die al je wachtwoorden bewaart en per dienst een uniek, willekeurig wachtwoord maakt. Bitwarden is de gratis standaardkeuze. (slide 12) - **Hoofdwachtwoord**: Het ene lange wachtwoord dat je kluis opent, liefst vier of vijf woorden. Niemand kan het voor je resetten: vergeet je het, dan is je kluis weg. (slide 13) - **2FA**: Tweestapsverificatie. Naast je wachtwoord nog een tweede bewijs, zoals een code of je vingerafdruk, zodat een gelekt wachtwoord alleen niet volstaat. Een sms-code is de zwakste vorm. (slide 16) - **Authenticator-app**: Een app die elke 30 seconden een nieuwe code van zes cijfers maakt als tweede stap. Sterker dan sms, maar je kan de code nog altijd op een nepsite intypen. (slide 16) - **Passkey**: Aanmelden met je vingerafdruk of een usb-sleutel. Hangt vast aan het domein en werkt dus enkel op de echte site, daarom houdt hij phishing tegen. (slide 16) - **Herstelcodes**: Codes die elk één keer werken in plaats van je tweede stap, voor als je telefoon kapot of weg is. Bewaar ze in je kluis of op papier, niet in een screenshot op dezelfde telefoon. (slide 17) - **Phishing**: Een nagemaakt bericht dat je laat aanmelden, betalen, een code doorgeven of een bijlage openen. Kijk naar het domein, niet naar de naam van de afzender, en ga bij twijfel zelf naar de site. (slide 20) - **Dubbele extensie**: Een bestandsnaam als opdracht.pdf.exe die zich voordoet als document. Bijna altijd malware, en hernoemen verandert niets aan wat erin zit. (slide 21) - **Sessie**: Een apparaat dat bij een dienst aangemeld blijft. Na een hack meld je in de instellingen alle apparaten af, anders blijft de indringer gewoon ingelogd, ook na een nieuw wachtwoord. (slide 22) - **Secret**: Alles waarmee iemand zich kan voordoen als jouw applicatie: een API key, een databasewachtwoord, een token of een sleutelbestand. Hoort nooit in git. (slide 25) - **API key**: De sleutel waarmee je code zich aanmeldt bij een dienst. Wie hem heeft, maakt kosten op jouw rekening. (slide 25) - **Token**: Een reeks tekens die rechten geeft, zoals een GitHub-token (ghp\_...). Wie hem heeft, pusht naar je repo’s in jouw naam. (slide 25) - **.env**: Het bestand met je secrets dat op je machine blijft en in .gitignore staat. Op de server zet je dezelfde waarden in de instellingen van je hosting. (slide 26) - **.env.example**: Het voorbeeldbestand dat wel mee in git gaat: dezelfde namen als in .env, zonder waarden. Zo weet je groepsgenoot welke sleutels hij zelf moet aanvragen. (slide 26) - **Key intrekken**: Een gelekte key ongeldig maken bij de dienst en een nieuwe aanmaken. Het eerste wat je doet na een lek, want een nieuwe commit haalt hem niet uit je geschiedenis. (slide 27) - **Secret scanning**: GitHub herkent de sleutelformaten van grote diensten, blokkeert zo’n push en waarschuwt de dienst bij een lek. Een vangnet: je eigen tokens en een wachtwoord als gewone tekst ziet het niet. (slide 28) - **Schijfversleuteling**: FileVault op macOS, BitLocker op Windows. Zonder is een gestolen laptop een open boek, ook met een wachtwoord op je account. (slide 30) ## Links en bronnen ### In de presentatie - [haveibeenpwned.com](https://haveibeenpwned.com) (slide 7, slide 36) - [Bitwarden](https://bitwarden.com) (slide 12, slide 36) - [1Password](https://1password.com) (slide 12) - [Safeonweb.be](https://safeonweb.be/nl) (slide 36) - [GitHub over secrets](https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning) (slide 36)