Pereffect Website ontwerp -bouw en -onderhoud

Tweestapsverificatie

Stel je eens voor, je komt er achter dat iemand jouw Gmail account gebruikt heeft en namens jou berichten heeft verstuurd. Of nog erger, iemand heeft jouw Hotmail met OneDrive gehackt en je kunt er zelf niet meer bij en al je foto’s zijn weg. Maar even niet aan denken…

Het gebruik van wachtwoorden

In één van mijn vorige blogs heb ik beschreven wat het nut van wachtwoorden is. Wachtwoorden moeten voorkomen dat iemand zomaar bij jouw gegevens kan komen. Zie het maar als de voordeur waar in ieder geval een cilinderslot in moet zitten. Je kunt extra veiligheid halen uit een slot met een 3 sterren SKG keurmerk. Dat lijkt dan op een wachtwoord van minimaal 12 tekens. Maar ook dat kun je per ongeluk ergens achterlaten. Of je wordt via een phishing-e-mail verleid om dat wachtwoord in te typen en dan is de veiligheid alsnog weg.

Voor extra veiligheid wordt gebruik gemaakt van een combinatie van verschillende beveiligingsmogelijkheden.

  • Iets dat je weet
    Dit is een wachtwoord of een pincode
  • Iets dat je hebt
    Dit is jouw telefoon of de huissleutel of jouw bankpasje
  • Iets dat je bent
    Dit is jouw vingerafdruk, jouw stem of de iris van jouw ogen

Door 2 van deze zaken te combineren zorg je voor een extra beveiligingslaag. Zie het maar als een extra bijzetslot op je voordeur.

Beveiliging met 2 mogelijkheden

Het beveiligen met 2 mogelijkheden (tweestapsverificatie, 2 factor authenticatie of 2FA) doen we eigenlijk al een hele tijd. Dit is hoe we zorgen dat we kunnen betalen vanaf onze bankrekening. Dan hebben we een bankpas nodig (iets dat je hebt) en de pincode die hierbij hoort (iets dat je weet).

Voor de beveiliging van inloggegevens bestaat er ook een dergelijke methode. Een combinatie van iets dat je weet, het wachtwoord, en iets dat jij hebt, jouw telefoon. De manier waarop je met DigiD bij de overheid in kunt loggen is hier een voorbeeld van. Nadat je je wachtwoord hebt ingevoerd krijg je een SMS-je met een code die je nog moet invoeren. Alleen degene die de telefoon bezit en in de buurt van het inlogscherm zit, kan dan inloggen. Deze methode met een code via SMS is een hele goede stap, maar er kleven nadelen aan. De telefoon moet altijd bereik hebben en het SMS systeem kan relatief gemakkelijk gehackt worden. Dit is de reden van het invoeren van 2FA op de manier die Google heeft bedacht.

Google Authenticator

De manier die Google heeft bedacht werkt op een manier waarbij op basis van een geheime sleutel iedere 30 seconden een 6-cijferige code wordt berekend. Die code komt in plaats van het SMS-berichtje en kan door een app worden berekend. Een telefoon- of internetverbinding is hiervoor niet nodig. De Google Authenticator app op je telefoon is de basisversie die dit mogelijk maakt. Naast het eenmalig installeren van deze app moet je iedere dienst die je op deze manier wil beveiligen, bijvoorbeeld Dropbox, ook eenmalig activeren.

De app van Google is erg veilig, alleen het gebruiksgemak laat wat te wensen over. De app werkt alleen op je telefoon en er is geen mogelijkheid om de instellingen te back-uppen. Verlies je de telefoon, dan ben je afhankelijk van enkele back-upcodes, maar die moet je dan wel hebben. Anders wordt het moeilijk om nog bij de diensten die je beveiligd hebt in te loggen. En, als je een nieuwe telefoon koopt, dan kun je alle beveiligingen weer opnieuw instellen. Ook dan moet je oude telefoon nog goed werken! Dus, een veilige oplossing, maar je moet met veel zaken rekening houden.

Authy

Gelukkig is er een bedrijf dat brood gezien heeft in deze vorm van beveiliging. Dit bedrijf heet Twilio en zij maken goede beveiligingssoftware die werkt met hetzelfde principe als het Google algoritme. Met hun app Authy hebben ze ervoor gezorgd dat deze ook met de instellingen van Google kan werken, maar ze hebben ook de nadelen ervan aangepakt. Naast het gebruik op een telefoon kun je de data met jouw codes in de cloud back-uppen. Ook bestaat er vervolgens de mogelijkheid om de data op verschillende apparaten te gebruiken. Er is een app voor de telefoons met Android en Apple en ook draait de software onder Windows, MacOs en Linux. Met Authy kun je dus prima maatregelen nemen om te voorkomen dat je vastloopt als er iets met je telefoon gebeurt.

Installeer vooral ook de app op je tablet of op je computer, want hiermee zorg je ervoor dat je altijd kunt inloggen en dat je gemakkelijk van telefoon of telefoonnummer kunt veranderen.

Beginnen met 2FA

Beginnen met tweestapsverificatie kan zeker een drempel zijn. Wat moet je doen als je deze beveiliging hebt aangezet, maar je kunt geen codes meer berekenen? Is de oplossing niet erger dan het probleem?

Zoals met zoveel IT-zaken is een goede voorbereiding het halve werk. Beginnen met Authy en desnoods een eenvoudig testaccount is al een goede eerste stap. Om het werken met Authy gemakkelijker te maken heb ik enige tijd geleden een handleiding geschreven. Hiermee kun je stap voor stap de instellingen maken. Zorg dus ook voor een veilig gebruik van online accounts en installeer 2FA.