Tweestapsverificatie instellen voor je accounts is iets wat we niet vaak genoeg kunnen aanraden. Het is een van de meest gemakkelijke en veilige manieren om indringers buiten de deur te houden. Maar de techniek kent ook wat zwakke plekken, die we hier uiteen zetten.
Tweestapsverificatie heeft een aantal zwaktes. Zo leg je de beveiliging van meerdere accounts bij één apparaat of zelfs één app neer. Als je Google Authenticator gebruikt en je raakt je telefoon kwijt, dan ben je daarmee ook meteen de toegang kwijt tot al je accounts. Er zit immers geen back-upmogelijkheid in Authenticator. Crasht je telefoon of druk je per ongeluk op de verkeerde knop, dan kun je behoorlijk in de problemen komen.
Een tip is daarom om een authenticatiecode altijd met twee toestellen te scannen. Je hebt vast wel een oude Android-telefoon in een kast liggen die je niet meer gebruikt. Als je je aanmeldt voor een nieuwe dienst en 2FA instelt, doe dat dan niet alleen met je ‘daily driver’-telefoon, maar ook met het back-uptoestel. Dat kan gerust uit blijven staan en in een la blijven liggen; je hebt het immers alleen nodig als je je ‘daily driver’ kwijt bent.
Natuurlijk zijn diensten die 2FA aanbieden bekend met dit probleem. Daarom kun je op de meeste plekken een extra beveiligingslaag toevoegen, zoals een telefoonnummer ter controle of een alternatief e-mailadres. Maar dat gaat natuurlijk wel ten koste van je veiligheid: een potentiële inbreker kan bijvoorbeeld niet bij je Authenticator-app, maar toegang tot een alternatief e-mailadres is misschien een stuk makkelijker. Hoe maak je de afweging tussen het gemak van meerdere authenticatiemanieren en minder veiligheid?
Tweestapsverificatie omzeilen
Er zijn vrijwel geen diensten waar accountherstel helemaal onmogelijk is. Het veilige ProtonMail is een van de weinige. Als je daarvan je wachtwoord vergeet, is er geen enkele methode om nog in te loggen. Voor een dienst die zich puur richt op veiligheid is dat nog wel te verantwoorden, maar de meeste diensten sluiten gebruikers die hun wachtwoord vergeten niet buiten.
Daarom is het vaak mogelijk om tweestapsverificatie op een andere manier te omzeilen, bijvoorbeeld door een paar beveiligingsvragen te beantwoorden. En beveiligingsvragen, daar wil eigenlijk niemand aan. Ze zijn notoir zwak, in sommige gevallen met een bruteforce-aanval te kraken en in nog meer gevallen te beantwoorden met een simpele Google-opzoekopdracht. Zulke vragen waren ook het zwakke punt waardoor een hacker in 2014 duizenden naaktfoto’s uit de iCloud-accounts van beroemdheden wist te stelen.
Is sms wel veilig?
Beveiligingsonderzoekers proberen gewone gebruikers al jaren het belang van tweestapsverificatie duidelijk te maken. Maar ondertussen speelt er alweer een andere discussie: welke vórm is nu het best? De belangrijkste vraag die daarbij speelt: moeten we diezelfde gewone gebruikers wel of niet aanraden sms te gebruiken?
Sommige experts vinden dat je dat namelijk niet moet doen. Niet alleen omdat een sms-code niet te gebruiken is als je geen bereik hebt (wat heel vervelend is), maar ook vanwege de veiligheid. Sms kan namelijk makkelijk worden onderschept door een derde partij.
De technologie achter sms is niet gemaakt voor anonimiteit. Berichten zijn bijvoorbeeld niet versleuteld. Ook zitten er veel zwaktes in het SS7-protocol dat door vrijwel elke provider wordt gebruikt, waardoor het relatief eenvoudig is een sms’je te onderscheppen. Daar komt ook nog bij dat 2FA via sms met HOTP-wachtwoorden werkt en dat een code daarom langere tijd beschikbaar is om mee in te loggen. Dat maakt deze wachtwoorden een stuk onveiliger dan een TOTP-code.
Inmiddels stappen steeds meer instituten dan ook af van sms als OTP. In de bankensector wordt daar op Europees niveau bijvoorbeeld aan gewerkt in de Regulatory Technical Standard, een protocol dat banken moeten volgen om hun gebruikers een veilige inlogomgeving aan te bieden. Onderdeel daarvan is de clausule Strong Consumer Authentication (SCA): daar staat in veel woorden beschreven dat sms geen veilige authenticatiemethode is en dat banken er geen gebruik van moeten maken.
Er gaan inmiddels steeds meer stemmen op om tweefactorauthenticatie via sms af te schaffen. Bedrijven zouden de optie niet meer moeten aanbieden, redeneren veel beveiligingsexperts. Maar er zijn er ook die vinden dat gebruikers überhaupt eerst aan 2FA moeten, voordat we gaan nadenken over wat wel of niet veilig is. Bovendien is het risico relatief klein; een sms onderscheppen is nog steeds technisch ingewikkeld en komt daarom in de praktijk weinig voor.
Ingewikkeld
Geen enkel beveiligingsmechanisme is honderd procent waterdicht, maar voor de gemiddelde gebruiker is tweestapsverificatie een gigantische vooruitgang in zijn veiligheid. Toch blijft het gebruik nog veel achter en dat heeft een paar redenen. Zo kampt tweestapsverificatie met een imagoprobleem. Dat zit hem voor een deel in de naam. Door dit artikel heen gebruiken we al verschillende termen: tweefactorauthenticatie, tweestapsverificatie, 2FA of een combinatie van die begrippen.
En dan zijn er nog de vele opties: apps, usb-sticks, sms … Echt makkelijk wordt het voor gebruikers niet. Ook zijn veel gebruikers wat wantrouwig om hun telefoonnummer aan een bedrijf te geven. Maar belangrijker dan dat is dat tweestapsverificatie in de praktijk ingewikkeld is. Dat wordt al meteen duidelijk als je het wilt instellen.
Het kost bijvoorbeeld veel tijd en moeite om het proces op te zetten op een telefoon: je moet diep in je instellingen graven, een QR-code scannen, een code ter verificatie opgeven, en de backup-codes ergens bewaren of uitprinten.
En dan ben je nog niet eens ingelogd bij een dienst. Ook dat is vaak veel gedoe voor een doorsnee gebruiker. In het beste geval krijg je na het inloggen met je primaire wachtwoord de optie je 2FA-code in te voeren, maar soms moet je eerst handmatig je telefoonnummer invoeren of aangeven op welke manier je je 2FA-code wilt opgeven. Met een beetje pech duurt het dan nog enkele seconden voor het sms’je binnen is.
En dan is er nog het probleem van wat te doen als je telefoon stuk gaat of gestolen wordt. Je hebt dan back-upcodes nodig en het is voor veel gebruikers maar de vraag of ze die nog wel kunnen vinden, als ze die al ergens hebben liggen.
Conclusie
Het is dus niet zo gek dat consumenten wat overdonderd raken door de vele opties en keuzes waar ze vervolgens zelf naar op zoek moeten gaan. Zo overdonderd zelfs dat het in veel gevallen comfortabeler is om maar geen van de opties te gebruiken. Waarom zou je, als het je zo lastig wordt gemaakt?
Tweestapsverificatie is tot de dag van vandaag een van de beste methodes om een account beter te beveiligen. Het heeft weliswaar wat imperfecties, maar hoewel het niet gebruiksvriendelijk of onfeilbaar is, doe je er goed aan het op zoveel mogelijk accounts in te stellen.
Toch zorgen die imperfecties ervoor dat 2FA door maar weinig doorsnee gebruikers wordt opgepakt en geïmplementeerd. De industrie heeft dus nog een lange weg te gaan.