Heb je via een wachtwoordmanager voor al je online accounts een veilig en uniek wachtwoord aangemaakt? Fantastisch! Toch ben je er nog niet, want als een wachtwoord lekt kunnen kwaadwillenden alsnog in je account. Het lekken van deze gegevens gebeurt helaas nog veel te vaak, maar er is een manier om je ook daar tegen te beschermen: 2FA.
Deze afkorting ben je vast wel eens tegengekomen. Het staat voor two factor authentication, ook wel tweestapsverificatie. Het betekent dat je jouw identiteit naast een wachtwoord op een tweede manier moet bevestigen.
Je identiteit kan online op drie verschillende manieren worden geverifieerd: met iets dat je weet, iets dat je bent of iets dat je hebt.
Bij 2FA worden twee van bovenstaande factoren gecombineerd. Je wachtwoord is iets dat je weet, waarna je jouw identiteit extra bevestigt met bijvoorbeeld een code via de smartphone die je hebt.
De meest bekende vorm van 2FA is sms. Bij het maken van je account heb je dan een telefoonnummer ingevuld. Probeer je vervolgens in te loggen met je gebruikersnaam en wachtwoord, dan krijg je een sms'je met een cijfercode. Het idee is dat alleen jij bij je telefoon kan, dus op deze manier bevestig je jouw identiteit.
Een andere populaire manier om 2FA toe te voegen is de authenticator-app. Deze apps werken door een qr-code te scannen van de verschillende diensten waar je 2FA voor wil instellen. Vervolgens genereert de app voor elke dienst elke dertig seconden een nieuwe cijfercode. De app zelf zit vaak op slot achter een pincode.
Rabobank-klanten waren lang verplicht om een Rabo Scanner te gebruiken voor het internetbankieren. Dat is een voorbeeld van fysieke verificatie. Inmiddels wordt dit apparaatje als onpraktisch en onnodig beschouwd, omdat andere vormen van 2FA ook veilig zijn.
Apple en Google maken 2FA tegenwoordig wel heel erg makkelijk, omdat je vaak alleen maar op een notificatie hoeft te tikken die op een ander apparaat verschijnt waar jij bent ingelogd.
Toch is niet elke 2FA-optie even veilig. Zo wordt tweestapsverificatie via sms het meest gebruikt, maar dat is tevens de meest onveilige vorm van 2FA. Met gerichte hackaanvallen zijn codes via sms namelijk te onderscheppen.
Ook is het een nadeel dat je voor 2FA via sms je telefoonnummer moet achterlaten. Toen begin 2021 gegevens van miljoenen Facebook-gebruikers op straat lag, zaten daar ook veel telefoonnummers tussen die men juist had ingevuld om 2FA via sms toe te voegen voor extra veiligheid.
Fysieke 2FA is de meest veilige, maar ook de meest onpraktische optie. Voornamelijk bedrijven zetten usb-sleutels in om de identiteit van hun werknemers te bevestigen zonder onhandige codes. Het nadeel is dat deze oplossing een stuk duurder is en je deze apparaatjes makkelijk kwijt kunnen raken. Voor de gemiddelde internetgebruiker is dat daarom niet ideaal.
Helaas is het nog lang niet bij elke dienst mogelijk om 2FA toe te voegen. Bij AFAS is 2FA verplicht, omdat we ervoor willen zorgen dat de gegevens van onze gebruikers zo veilig mogelijk zijn. Daarom kiezen we er ook voor om 2FA via sms te schrappen.
Hoewel 2FA via sms veiliger is dan helemaal geen 2FA gebruiken, raden wij het gebruik van een authenticator-app aan. Deze apps bieden de beste combinatie van veiligheid en gebruiksgemak. Menig wachtwoordmanager-app heeft een eigen authenticator-optie, zoals LastPass en 1Password. Daarnaast zijn de losse apps Google Authenticator en Microsoft Authenticator aan te raden.
Stel 2FA in voor de belangrijkste en meest persoonlijke accounts die je bezit. Denk in eerste instantie aan je wachtwoordmanager en daarna bijvoorbeeld aan je e-mail, bankaccount, WhatsApp en sociale media. Let wel op dat je een back-up maakt binnen de authenticator-app van je keuze, want anders kan het flinke hoofdpijn opleveren als je jouw smartphone kwijtraakt.
Met 2FA voeg je een tweede laag aan beveiliging toe, maar daar stopt het niet. Daarom spreken wij eigenlijk liever van MFA: multi factor authentication. Want waarom zou je bij twee factoren van verificatie stoppen? Als je de mogelijkheid krijgt is het altijd beter om zoveel mogelijk stappen toe te voegen om in je belangrijkste accounts te komen. Blijf veilig!
Ignaece, Security Officer (CISO) bij AFAS, helpt je in een serie artikelen om je internetveiligheid te vergroten. In dit tweede artikel: 2FA.