%%{init: {"theme": "base", "flowchart": {"useMaxWidth": true}} }%%
graph LR
A("Plaintext 🚫") --> B("Hashing")
B --> C("Hashing + Salting")
C --> D("CRAM / SCRAM")
style A fill:#ff4444,stroke:#333,color:#fff
style D fill:#44aa44,stroke:#333,color:#fff
Authenticatie
Cyberboswachters
Rainbow table: het concept
- Een gecomprimeerde tabel van precomputed hashes
- Niet alle hashes bewaren, maar toch een grote set bestrijken
- Vergelijk: getallen 1 tot 101 bewaren als “start=1, eind=101, stap=2”
Ieder wachtwoord mapt naar exact één hash.
Rainbow table: opbouwen
- Kies een startpunt (wachtwoord uit de set)
- Genereer de hash
- Pas een reduction functie toe → terug naar een wachtwoord
Van de hash via de reductiefunctie terug naar een ander wachtwoord.
Tip
Reductiefunctie: bv. som van ASCII-waarden → index in de wachtwoordenset.
Rainbow table: de chain
- Herhaal hash + reductie duizenden keren → een chain
- Bewaar enkel het startpunt en de laatste hash
Voorbeeld van een chain.
Meerdere chains met verschillende reducties
Drie parallelle chains, elk met een eigen reductiefunctie (kleur). Bron: Wikimedia Commons, CC BY-SA 2.5.
Rainbow table: kraken
- Start met de gestolen hash
- Pas reductie + hash toe tot je een bekend eindpunt vindt
- Neem het startpunt van die chain
- Herhaal hash + reductie tot je de gestolen hash bereikt
- Één stap terug = het wachtwoord!
Het volledige zoekproces in één beeld
Van gestolen hash re3xes → eindpunt linux23 vinden → chain herberekenen vanuit passwd → wachtwoord culture ligt één stap vóór de gestolen hash. Bron: Wikimedia Commons, CC BY-SA 4.0.
Stap 3: Salting
- Salt = random extra stuk dat je toevoegt aan het wachtwoord vóór het hashen
- Unieke salt per gebruiker → zelfs identieke wachtwoorden geven andere hashes
- Rainbow tables worden onbruikbaar (set wordt te groot)
Het salting proces.
CRAM
Challenge-Response Authentication Mechanism
- Gebruiker krijgt een challenge (vraag) en moet een geldig response (antwoord) geven
- Wachtwoord-login = een vorm van CRAM
- Andere voorbeelden: CAPTCHA’s, irisscan, …
CRAM.
CRAM: de flow
- Gebruiker stuurt username → “ik wil inloggen”
- Server genereert random challenge → stuurt terug
- Beiden berekenen: hash(challenge + password hash)
- Client stuurt zijn response naar server
- Server vergelijkt → match = toegang
CRAM flow.
SCRAM: Salted Challenge-Response Authentication Mechanism
Lost pass-the-hash op! Twee garanties:
- De salted hash wordt NOOIT verzonden
- Geen replay aanval mogelijk
Server stuurt ook de bewaarde salt naar de client → client moet zelf de hash berekenen.
Multifactor authentication (MFA)
Vier factoren om identiteit te controleren:
| Factor | Voorbeeld |
|---|---|
| Iets wat je weet | Wachtwoord, pincode, rijksregisternummer |
| Iets wat je bent | Vingerafdruk, irisscan (biometrics) |
| Iets wat je hebt | Smartphone, USB-key |
| Waar/wanneer je bent | IP-adres, tijdstip van login |
Federation
- Zelf logindata beheren? → grote kans op fouten
- Federation: SSO over de grenzen van organisaties heen
- Gebruikers loggen in via bestaand account (Google, Facebook, …)
- Jouw site = service provider
- Google/Facebook = identity provider
Een vereenvoudigd SSO proces.
Delegation vs Federation
| Concept | Beschrijving |
|---|---|
| Delegation | Verplicht inloggen met één specifieke third-party (bv. Facebook) |
| Federation | Éénder welke compatibele third-party (bv. via OpenID) |
Typische SSO knoppen.
Tip
OAuth (open authorization) is een gestandaardiseerde manier om aan authenticatie te doen.
Waarschuwing
Bij federatie: in hoeverre vertrouw je Google of Meta met jouw (login)data? → privacy!
Inloggen met een Passkey
Gebaseerd op public key crypto:
- Server stuurt een challenge
- Gebruiker encrypteert de challenge met zijn private sleutel
- Server decrypteert met de bewaarde publieke sleutel
- Lukt dit? → gebruiker is geauthenticeerd!
Het login proces met een passkey.
