Terwijl je dit leest is de kans groot dat internetcriminelen jouw persoonlijke gegevens en wachtwoorden proberen te achterhalen. Deze zijn waardevol omdat hiermee jouw identiteit gebruikt kan worden voor duistere zaken. Of omdat ze toegang kunnen geven tot netwerken, informatie, geld of nog meer wachtwoorden.
Cybercriminelen gebruiken steeds geavanceerdere methoden en technieken. Ook geven onbedoelde informatielekken soms genoeg informatie om zomaar als jou in te loggen. Daarmee is het simpele gebruik van een een gebruikersnaam en wachtwoord voor veel online toepassingen eigenlijk onvoldoende. Door meerdere beveiligingslagen te gebruiken om je data te beschermen maak je het criminelen een stuk moeilijker. Het gebruik van two-factor authentication is een goed voorbeeld van zo’n extra beveiliging. En je kunt het voor meer toepassingen gebruiken dan je denkt!
Inloggen op een online applicatie kan op verschillende manieren en bestaat in ieder geval uit drie stappen:
Voor de authenticatie zijn er verschillende manieren om je identiteit te bevestigen. Dit worden authenticatiefactoren genoemd. Deze factoren kunnen verband houden met:
Je zal het al raden: gebruik je één factor dan maak je gebruik van single-factor authentication. Bij twee factoren is het two-factor authentication. Bij gebruik van nog meer factoren spreek je van multi-factor authentication.
In het algemeen worden de termen two-factor authentication en two-step authentication veel door elkaar gebruikt. Je spreekt over two-step authentication als je twee maal dezelfde authenticatiefactor gebruikt voor autorisatie. Bijvoorbeeld een vingerafdruk én irisscan (2 maal iets wat je bent).
Vanuit beveiligingsoogpunt is een wachtwoord + code die je op je telefoon ontvangt ook two-step authentication. Kritisch bekeken is de sleutel niet de telefoon zelf is, maar informatie die erop staat.
Voor het gemak wordt in dit artikel de term two-factor authentication gebruikt voor beide manieren. Neemt niet weg dat hoe je het ook noemt je het cyberboeven heel erg moeilijk maakt als je het gebruikt.
Two-factor authentication klinkt misschien ingewikkeld, maar als je jouw boodschappen afrekent met je pinpas maak je er al gebruik van. Hierbij gebruik je als authenticatiefactoren iets dat je hebt (je pinpas) en iets dat je weet (je pincode).
Online zie je vaak een combinatie van iets dat je kent (wachtwoord) en iets dat je hebt (je reader voor internetbankieren). Door het sturen van bijvoorbeeld een code per SMS of door gebruik te maken van een speciale app op je smartphone. Met de code van de telefoon bevestig je de tweede factor: het bezit van de telefoon.
Two-factor authentication gebruik je het liefst altijd als dit wordt ondersteund door de applicatie die je gebruikt. Natuurlijk gebruik je alleen maar sterke en unieke wachtwoorden voor elk account. Toch?
Zelfs als je de meest ingewikkelde wachtwoorden gebruikt is dat nog geen garantie voor veiligheid. Er zijn tal van manieren waardoor jouw wachtwoord in handen kan vallen van kwaadwillenden.
Met geïnfecteerde software, een klik op een verkeerde link, een hack, lek of het kwijtraken van je notitieboekje liggen je gegevens zo op straat. Inloggen op jouw account is dan een eitje. Met een extra beveiligingslaag in de vorm van two-factor authentication hou je boeven buiten. Zelfs als ze je wachtwoord hebben.
Steeds meer online services ondersteunen het gebruik van two-factor authentication. Daarbij wordt gebruik gemaakt van een code die als SMS wordt verstuurd naar je mobiele telefoon. Of van een app als Google Authenticator, Authy of Microsoft Authenticator als je veel gebruik maakt van Microsoft producten.
Via twofactorauth.org ontdek je of een website die je gebruikt two-factor ondersteunt en hoe je deze instelt. Hieronder geven we alvast een beknopt overzicht van populaire services:
Kun je bij het instellen van two-factor authentication kiezen voor authenticatie per SMS of het gebruik van authentication app? Kies dan voor de app. Mobiele telefoonnummers kunnen gekaapt worden en SMS-berichten onderschept. In Wired verscheen hierover een toegankelijk artikel (EN). Ook geeft een authenticator app wat meer gebruiksgemak omdat deze niet afhankelijk hoeft te zijn van een internetverbinding of mobiel netwerk. Vergeet niet: beter two-factor per SMS dan helemaal geen two-factor authentication!
Zonder smartphone is two-factor authorisation ook mogelijk. Bijvoorbeeld door het gebruik van een beveiligingssleutel (dongle). Deze methode is zelfs veiliger dan het gebruik van een telefoon. De meesten werken via USB, Bluetooth, NFC of een speciale kaartlezer. De Google Titan, Yubikey en Feitian worden breed ondersteund. Enkele ondersteunen ook biometrische authenticatie. Deze dongles maken gebruik van Universal 2nd Factor (U2F) of Initiative for Open Authentication (OATH) protocol. Bekijk voor aanschaf altijd even welke services authenticatie met deze dongles ondersteunen.
Daarnaast wordt ook andere hardware gebruikt om two-factor authentication mogelijk te maken. Vaak gebaseerd op de ‘wat je hebt’ authenticatiefactor. Denk bijvoorbeeld aan de specifieke hardware (tokens) die wordt gebruikt bij het online bankieren, smartcards binnen bedrijven of chipcards binnen de zorg.
Natuurlijk zijn er ook nadelen aan het gebruik van two-factor authentication. Denk bijvoorbeeld aan:
Toch wegen de voordelen ruimschoots op tegen de nadelen. De gevolgen van een overgenomen account kunnen desastreus zijn. Dat staat niet in verhouding met de kleine moeite die het kost om two-factor authentication te gebruiken. Zeker gezien de hoeveelheid en aard van de gegevens die we nu gewend zijn online op te slaan. Gebruik het waar mogelijk!
Digital agency Superlatief ontwikkelt bedrijfskritische online applicaties en websites. Online beveiliging is daarbij een belangrijk onderdeel. Heb je vragen, wil je ons iets voorleggen of reageren? Neem gerust contact op!
