Het wachtwoord dat je elke dag tientallen keren intikt, heeft een geboorteplaats: begin jaren 60, één enkele gigantische computer bij MIT. Nog interessanter is dat de eerste bekende computerwachtwoorden ter wereld kort nadat ze in gebruik waren genomen in één keer werden gestolen. En niet door een hackersbende, maar door een promovendus die meer rekentijd wilde.
Eén computer, tientallen gebruikers
Begin jaren 60 waren computers machines die hele kamers vulden en maar één taak tegelijk uitvoerden. Je liet je programma op ponskaarten zetten, zette het in de rij en kreeg uren later het resultaat. Bij MIT wilde het team van Fernando Corbató dat veranderen: een systeem waarbij veel mensen tegelijk dezelfde machine vanaf een terminal konden gebruiken, oftewel "time-sharing".
Dit systeem kreeg de naam CTSS (Compatible Time-Sharing System). Het werd voor het eerst gedemonstreerd in november 1961 op de aangepaste IBM 709 van MIT en draaide in de jaren daarna op IBM 7094's. Zoals Wikipedia ook meldt, geldt CTSS als het eerste computersysteem dat inloggen met een wachtwoord toepaste.
Waarom was een wachtwoord nodig?
Het probleem was simpel: op dezelfde machine hadden tientallen mensen bestanden en een eigen toegewezen rekentijd. Er was een manier nodig om te onderscheiden wie wie was. Corbató vertelde jaren later aan Wired dat het idee om elke gebruiker een wachtwoord als slot te geven een "heel eenvoudige oplossing" leek.
Corbató was ook voorzichtig met het uitroepen van zichzelf tot de "eerste". Hij zei dat het reserveringssysteem Sabre van IBM uit 1960 waarschijnlijk ook wachtwoorden gebruikte, maar omdat daar geen gegevens van bewaard zijn, is niets zeker. Ook over welk jaar de wachtwoorden precies aan CTSS werden toegevoegd, zeggen de bronnen verschillende dingen. Wat we weten is dit: in het voorjaar van 1962 werkte het wachtwoordsysteem, want dat voorjaar werd het gestolen.
Het vrijdagavondplan van Allan Scherr
Allan Scherr was een onderzoeker die bij MIT promoveerde en complexe simulaties draaide. Volgens Wired kreeg hij op CTSS maar vier uur per week toegewezen (sommige bronnen zeggen vier uur per dag). Die tijd was niet genoeg voor hem.
Zijn oplossing was slim, maar ook een beetje ondeugend. Hij maakte gebruik van de functie van het systeem om bestanden offline af te drukken en maakte een ponskaart die om een afdruk van het wachtwoordbestand vroeg. Hij zette de kaart laat op een vrijdagavond in de rij en kwam zaterdagochtend vroeg de afdruk ophalen. Nu had hij de wachtwoorden van iedereen in het systeem.
Om zijn sporen uit te wissen deelde hij de wachtwoorden ook met andere gebruikers. Volgens Wired logde een van hen, J.C.R. Licklider, in op het account van laboratoriumdirecteur Robert Fano en liet daar spottende berichten achter. Scherr werd nooit gepakt en biechtte de zaak ongeveer een kwart eeuw na de gebeurtenis persoonlijk aan Fano op. Fano verzekerde hem dat zijn doctorstitel niet zou worden ingetrokken.
Toen en nu
| Toen (jaren 60) | Nu |
|---|---|
| Wachtwoorden als gewone tekst in één bestand | Wachtwoorden met een eenrichtingssamenvatting (hash) |
| Eén ponskaart was genoeg voor een afdruk | Toegangslogboeken, autorisatielagen |
| Doel: rekentijd verdelen | Doel: identiteit, geld en persoonsgegevens beschermen |
| Eén machine, één campus | Tientallen accounts per persoon |
Dat dit verhaal nog steeds leerzaam is, komt hierdoor: het wachtwoord wordt sinds de dag van zijn uitvinding op de proef gesteld door menselijk gedrag. Scherr deed geen complexe aanval om het systeem te kraken, hij gebruikte alleen op onverwachte wijze een functie die het systeem al bood. Ook een flink deel van de lekken van nu komt voort uit vergelijkbare simpele fouten.
Corbató kreeg in 1990 de Turing Award voor zijn werk op het gebied van time-sharing. Het slot dat zijn team als "eenvoudige oplossing" toevoegde, hangt nu op elke deur, van je e-mail tot je bank, en de zwakste schakel is nog steeds vaak de mens die dat slot gebruikt.
Ben je bereid vandaag wachtwoorden helemaal los te laten en volledig over te stappen op biometrie of een toegangssleutel (passkey)?