Cookies: wat je moet weten!

Inhoudsopgave – Alles wat je moet weten over cookies en veiligheid

• Wat is een cookie? – Een simpele definitie.
• Cookies inschakelen of uitschakelen? – Voordelen en nadelen.
• Waar staan cookies? – Waar worden cookies opgeslagen.
• Ethical hack test – Wij testen of we door de default map te kopiëren een account kunnen hacken…
• Cookies misverstand – Cookies zijn GEEN wachtwoorden.
• Het echte gevaar – Waar zit het echte gevaar?

Wat is een cookie?

Een cookie is een klein stukje informatie dat op je computer wordt opgeslagen wanneer je een website bezoekt.

Wat is het doel van een cookie?

Het doel is om die opgeslagen informatie opnieuw te kunnen raadplegen wanneer je dezelfde website opnieuw bezoekt. De website weet dan bijvoorbeeld dat je al was ingelogd, dat je geen nieuwe gebruiker bent, of kan bij het invullen van gegevens de informatie alvast voor je klaarzetten.

Cookies inschakelen of uitschakelen

Via de instellingen van je browser kun je cookies toestaan of weigeren. Let op: het niet toestaan van cookies heeft ook nadelen. Je moet op een website dan steeds je gegevens opnieuw invullen. Dat is niet handig, maar het kan in principe wel. Houd er ook rekening mee dat het uitschakelen van cookies de functionaliteit van sommige websites zodanig kan verstoren dat ze zelfs onbruikbaar worden. Een andere mogelijkheid is om cookies wel toe te staan, maar ze steeds te wissen bij het sluiten van de browser.

Zogenaamde privacybewuste browsers doen dit standaard en nog veel meer, zoals:

• Automatisch trackers en advertenties van derden blokkeren.
• Je surfgegevens (geschiedenis, cookies, cache) standaard wissen.
• Veilige Https verbindingen forceren waar mogelijk.
• Je beschermen tegen Browser Fingerprinting

Waar staan die cookies fysiek?

Cookies worden opgeslagen in een speciale map op je computer, beheerd door je browser. De exacte locatie is verborgen en verschilt per browser. Voor Microsoft Edge is dat bijvoorbeeld:

C:\Users\[JouwNaam]\AppData\Local\Microsoft\Edge\User Data\Default\

In deze map vind je een databasebestand genaamd Network\Cookies.

De gevaren: een ethical hack-test

Om de risico’s beter te begrijpen, kopieerden we de volledige ‘Default’-profielmap van Microsoft Edge naar een andere computer. Stel je voor: een hacker kopieert die bestanden van je computer. Krijgt hij dan toegang tot je Facebook, VTM GO of Gmail?

De uitkomst is zowel geruststellend als verontrustend.

Het goede nieuws: een hacker die deze gestolen map op zijn eigen pc gebruikt, krijgt geen directe toegang tot je accounts. Je wachtwoorden en actieve sessies blijven veilig dankzij sterke versleuteling die aan de originele computer is gebonden.

Het verontrustende nieuws: een hacker ziet wél alle login-namen en e-mailadressen die je ooit in die browser hebt ingevuld. Dit lijkt onschuldig, maar is cruciaal. Zonder je loginnaam tast een hacker in het duister. Met je loginnaam kan hij gerichte aanvallen starten: phishingmails opstellen, wachtwoordresetpogingen doen of gelekte wachtwoorden op andere sites uitproberen. Het is de eerste en belangrijkste sleutel tot je digitale leven.

De oplossing: dit beperkte risico kun je volledig tenietdoen door regelmatig je cookies en browsergeschiedenis te wissen (via Instellingen > Privacy & beveiliging > Browsergegevens wissen). Hierdoor verdwijnen ook deze opgeslagen login namen uit het gestolen profiel.

Een gigantisch misverstand: cookies bevatten wachtwoorden

NEE. Dit is een van de grootste en gevaarlijkste misverstanden over cookies. Je wachtwoord wordt NOOIT in plain text (als leesbare tekst) in een cookie opgeslagen.

Wat er wél gebeurt: wanneer je inlogt, controleert de website of je combinatie van gebruikersnaam en wachtwoord klopt. Als dat zo is, geeft de website je browser een unieke, willekeurige code – een soort digitaal toegangsticket of ‘sessie-ID’. Dat ticket wordt in de cookie bewaard. Elke keer als je iets op de site doet, toon je dat ticket. De server herkent het ticket en weet: “Ah, dit is Jan, hij is al gecontroleerd.” Je wachtwoord blijft veilig op de server en reist nooit heen en weer in de cookie.

Waar en hoe bewaart je browser dan wél wachtwoorden?

Als je je browser vraagt wachtwoorden te onthouden, slaat hij die apart en veel veiliger op. Moderne browsers zoals Edge, Chrome en Firefox doen dit als volgt:

1. Aparte, versleutelde opslag: Wachtwoorden worden bewaard in een speciaal, sterk versleuteld bestand in je profielmap (bijv. Login Data of logins.json).
2. Gebonden aan je computer-account: De versleutelingssleutel is gekoppeld aan je Windows-gebruikersaccount (of macOS-gebruikersaccount). Alleen als jij bent ingelogd op de computer, kan de browser de wachtwoorden ontcijferen en gebruiken.
3. Extra beveiliging: Je kunt vaak een hoofdwachtwoord (master password) of je Windows-wachtwoord instellen om deze ontcijfering extra te beveiligen.

Dit verklaart het resultaat van onze test: toen we het browserprofiel kopieerden naar een andere computer, konden de wachtwoorden niet worden gelezen. De versleutelingssleutel van de originele computer ontbrak, waardoor de gestolen wachtwoorden onbruikbare, versleutelde data bleven. Je belangrijkste sleutels zijn dus extreem goed beschermd.

Maar pas op voor de automatische invuller (Autofill)!

De browser bewaart je inlognaam of e-mailadres vaak in een ander, soms minder streng beveiligd onderdeel: de autofill-cache of formuliergeschiedenis. Dit is precies wat we in onze test wél konden uitlezen. Een aanvaller krijgt dus niet je wachtwoord, maar wel vaak de helft van je inloggegevens: je gebruikersnaam. En zoals je verderop zult zien, is dat voor een hacker al een zeer waardevolle schakel.

Het allergrootste risico staat niet in de cookie, maar in je gewoonte

Ok, dus onze test bewees dat het gevaar niet meteen de cookies zijn, alhoewel deze wel de login-namen kunnen onthullen. De wachtwoorden zijn wel degelijk beschermd en zelfs bij het kopiëren van de ganse default profiel map van de browser heeft een hacker nog steeds geen toegang tot je Facebook, Gmail en andere websiteprofielen. Maar wat zijn dan wel de mogelijke gevaren?

Een onbetrouwbare website kan gevaarlijk zijn

Een onbetrouwbare website is vooral een risico als je moet aanmelden of registreren. De combinatie met onze eigen slechte gewoonte van op veel websites steeds hetzelfde wachtwoord te gebruiken is werkelijk de pap in de mond geven. Een malafide of onethische eigenaar kan je wachtwoord gewoon opslaan, lezen of zelfs doorverkopen. Als je dan gewoon hetzelfde wachtwoord gebruikt als je wachtwoord van Facebook of Gmail dan staat de deur letterlijk wagenwijd open!!

Voorkomen is nochtans eenvoudig, maar we zijn hardleers.

We weten het en toch doen we het niet…. je kan dit perfect voorkomen door voor elke website een ander moeilijk wachtwoord te gebruiken! Bovendien bieden veel websites Tweefactorauthenticatie (2FA) wat echt een aanrader is! Er zijn natuurlijk ook nog hulpmiddelen zoals een wachtwoordmanager voor het beheren van je wachtwoorden.

Het kopiëren van een browsermap is een interessant experiment, maar het echte gevaar is banale gewoonte en uitbuitbaar vertrouwen. Los dat op, en je bent veiliger dan 99% van de internetgebruikers.