Mijn Klacht:

Ik kan mijn standaardwachtwoord, wat lang en veilig is, niet gebruiken op het systeem van ING, omdat het speciale tekens bevat en de ING er slechts een paar speciale tekens toestaat (waarvan het gebruik dan wel weer verplicht is). Ik word hierdoor gedwongen óf een simpel wachtwoord te kiezen, óf mijn wachtwoord op te schrijven, wat beide onwenselijk is.

Ik ben zelf programmeur en als de ING zijn ICT op orde heeft zou dit een eenvoudige aanpassing moeten zijn.

Gewenste Oplossing:

Ik ben tevreden wanneer het wachtwoordbeleid van de ING veranderd is zodat wachtwoorden met speciale tekens toegestaan zijn. (Overigens zag ik in het verleden dat vergelijkbare klachten zoals https:www.klacht.nlwillekeurige-regels-wachtwoord-op-mijn-ing als opgelost gemarkeerd worden, terwijl het probleem nog niet is opgelost)

Beoordeling 5/10 (10)

Hoi Daphne,

Dank voor je antwoord! Ik weet dat jij (hoop ik) niet verantwoordelijk bent voor de veiligheid bij ING en er ook niet al te veel aan kan doen, dus neem het niet persoonlijk op dat ik niet zo meega in je antwoord.

Het kiezen van een maximale wachtwoordlengte van 20 karakters gaat zowel ten koste van de veiligheid als van het gebruiksgemak, net als de arbitraire regels voor speciale karakters.

Het is mij altijd een raadsel waarom een bank met 5 miljard euro winst (dus geen omzet maar *winst*) niet de moeite neemt om best practices op te volgen. Een voorbeeld van dergelijke best practices, samengesteld door een gezaghebbend instituut (de US National Institute of Standards and Technology), is:

https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63b.pdf

Een samenvatting, die ook op wikipedia te vinden is (zie https://en.wikipedia.org/wiki/Password_policy#cite_note-sp800-63B-13):
- Wachtwoorden moeten ten minste 8 karakters lang zijn, en gebruikers moeten de mogelijkheid hebben om wachtwoorden van ten minste 64 karakters op te geven.
- Alle ASCII karakters moeten toegestaan zijn.
- Er moeten geen eisen gesteld worden aan de verschillende typen karakters die in het wachtwoord voorkomen.
- Gebruikers moeten *niet* gedwongen worden om periodiek een nieuw wachtwoord te kiezen.

Veiligheid is altijd relatief, en er is dus aardig wat voor verbetering vatbaar bij de ING (sterker nog, de meeste sites hebben een betere password policy dan de ING!).

Als je het niet met de best practices eens bent, kan je de redenen ervoor in Appendix A van het document dat ik heb gelinkt vinden.

Groeten,

Ben