Multifactorauthenticatie ofwel mfa is in opkomst als een manier om accounts extra te beveiligen, zodat slechts een wachtwoord niet meer volstaat om binnen te komen. Deze methode is zonder meer veiliger, maar waterdichte garanties zijn er evenmin. We bekijken enkele uiteenlopende hackscenario’s.

Steeds meer diensten en websites dwingen gebruikers tot veiliger oplossingen op basis van multifactorauthenticatie (mfa), ook wel multi factor verification (mfv) genoemd – hoewel de termen authenticatie en verificatie niet helemaal identiek zijn.

Ook al wordt in bedrijfsomgevingen vaak adaptieve mfa toegepast, waarbij contextuele gegevens en bedrijfsregels bepalen welke factoren in een gegeven situatie gebruikt moeten worden, gaat het bij de meeste mfa-implementaties om twee factoren (2fa). Hierbij heb je naast iets wat je kent of weet, zoals een pincode of een wachtwoord, ook een factor nodig die je bezit, zoals een usb-token of een smartcard, of een die je ‘bent’. Bij dit laatste gaat het dan om biometrische authenticatie, zoals een vingerafdruk of een retinascan. 

Heel wat diensten en websites spreken wel over 2fa, maar laten een gebruiker inloggen met twee factoren van hetzelfde type. Over het algemeen tweemaal iets wat je kent. In die gevallen hebben we het (slechts) over tweestapsauthenticatie.

Het mag duidelijk zijn dat mfa (en 2fa) absoluut veiliger is dan sfa (singlefactorauthenticatie, dus alleen een wachtwoord bijvoorbeel), en producenten pakken daarom graag uit met de claim dat hun mfa-oplossing nog nooit is gehackt. Maar zelfs áls dat zo is, dan kunnen er de volgende dag wellicht wél kwetsbaarheden worden gevonden, of dat nu door pentesting, fuzz testing, een kwetsbaarhedenscan of threat modeling gebeurt. Bij threat modeling worden alle denkbare bedreigingen geïdentificeerd, vervolgens geprioriteerd en (hopelijk) ook opgelost.

Mfa-componenten

Het grootste veiligheidsprobleem met mfa blijft wel dat zo’n oplossing allerlei ondersteunende componenten en infrastructuren bevat waar de producent van de mfa-oplossing geen controle over heeft. Veiligheidsexpert Roger Grimes hamert er in zijn uitstekende boek ‘Hacking Multifactor Authentication’ voortdurend op dat zowat elk onderdeel op een of andere manier vatbaar is voor hacking. We beperken ons hier tot twee componenten.

Zo is een van de eerste fasen in een mfa-proces de initiële registratie, ook wel provisioning of enrollment genoemd. Dat gebeurt via een identity provider die op basis van enkele unieke attributen de identiteit van de aanvrager hoort te bevestigen. Helaas bewijst de praktijk vaak anders. Zo vertrouwen veel services op ‘geverifieerde’ accounts van Google of Facebook, terwijl er massale hoeveelheden frauduleuze accounts actief zijn. 

Of neem een op zich degelijk systeem als PGP (Pretty Good Privacy). Ook hier zetten frauduleuze gebruikers publieke sleutels van anderen in, omdat ontvangers toch zelden de geldigheid van de bijhorende digitale handtekening checken.

©PXimport

Hardware is uiteraard ook een onmisbare component in mfa-implementaties, en of het nu gaat om computers, telefoons of netwerkinterfaces, hardware blijkt altijd wel te compromitteren, waarna het authenticatieproces niet langer betrouwbaar is.

Initiatieven als Trusted Computing proberen dat tegen te gaan en ervoor te zorgen dat elke niet-geautoriseerde aanpassing wordt gedetecteerd. Een typisch voorbeeld is het Trusted Boot-proces van Windows 10, waarbij de bootchip-code van de UEFI-firmware digitaal is ondertekend en elke daaropvolgende hardwarecomponent op de vorige vertrouwt om zijn eigen handtekening te verifiëren, tot Windows is opgestart.

Social engineering

De meeste mfa-aanvallen blijken een mix te zijn van social engineering-technieken en zuiver technische malversaties, waarbij de eerste vaak het pad effenen voor de tweede.

Social engineering zou in al zijn varianten, zoals spear phishing, vishing (phishing over voice) en smishing (phishing via sms), voor zo’n 80 procent van alle digitale inbreuken verantwoordelijk zijn. Ook mfa-oplossingen zijn zeker niet immuun voor dit type aanvallen.

Het meest populair is de truc waarbij een gebruiker via phishing naar een valse site wordt gelokt die niet zelden voorzien is van een geldig digitaal certificaat, dankzij gratis diensten als Let’s Encrypt. Zo’n site imiteert een legitieme site waarop de gebruiker zich aanmeldt met mfa, bijvoorbeeld op basis van de Google Authenticator-app. Zodra het wachtwoord en de gegenereerde code zijn ingevoerd, vraagt de valse site om extra beveiligingsinformatie, zoals wachtwoordherstel- of creditcardgegevens, en pas daarna wordt de gebruiker alsnog naar de echte site doorverwezen.

Een andere, vaak toegepaste social engineering-truc is als een scammer iemand opbelt of een bericht stuurt, zogezegd uit naam van zijn financiële instelling. De scammer waarschuwt de gebruiker dat er frauduleuze transacties zijn vastgesteld, maar dat de instelling die kan blokkeren zodra de gebruiker zijn inloggegevens ter verificatie heeft doorgegeven.

©PXimport

Met deze gegevens kan de scammer het gebruikersaccount nu in herstelmodus plaatsen; alsof je je wachtwoord vergeten bent. Veel mfa-aanbieders bieden alternatieve authenticatiemethodes aan als het een legitieme gebruiker niet meer lukt zich aan te melden. Helaas zijn deze back-up-authenticatieprocedures meestal weinig dwingend.

Door de herstelmodus zal de nietsvermoedende gebruiker bijvoorbeeld een nieuwe code op een alternatief e-mailadres doorgestuurd krijgen. In het slechtste geval kan zo’n code zelfs naar een niet eerder geregistreerd e-mailadres worden verstuurd, wat het de scammer wel heel makkelijk maakt, aangezien hij dan een eigen adres kan invullen. In het andere geval meldt de scammer aan de gebruiker dat ook deze code ter verificatie moet worden doorgestuurd, waarna hij met die code het account kan overnemen.

Heel wat diensten laten de gebruiker in de herstelmodus een aantal vooraf beantwoorde persoonlijke vragen oplossen. Vragen als je geboortedatum, je postcode en de locatie van de eerste ontmoeting met je partner. Stemmen de antwoorden overeen, dan gaat zo’n dienst ervan uit dat het om de legitieme gebruiker gaat. Deze drie herstelvragen volstonden bijvoorbeeld om het e-mailaccount van oud-vicepresidentskandidate Sarah Palin over te nemen.

De moraal van dit verhaal: als het ook maar enigszins mogelijk is, vermijd dan de persoonlijke vragen voor de herstelmodus. Maak je er toch gebruik van, verzin dan bij voorkeur specifieke antwoorden voor iedere website en bewaar ze in een wachtwoordbeheerder.

Brute force

Ook zijn er nog altijd accounts die zich via ‘brute force’-technieken laten hacken. Hierbij worden talloze pogingen met telkens andere wachtwoorden of pincodes uitgevoerd tot de login slaagt. Dat kan zowel handmatig als met geautomatiseerde tools, zoals L0phtcrack, John the Ripper of Burp Suite. Zo werd met Burp Suite bijvoorbeeld een mfa-oplossing op basis van een otp (one-time password) gehackt. 

De hacker ontving een otp-verzoek, en na een analyse van het bewuste pakket wist hij dat er een code van zes cijfers werd verwacht. Hij sluisde het pakket door naar het tabblad Intruder van de Burp Suite, waar hij het bewuste otp-veld via brute force door diverse mogelijke combinaties liet vervangen tot de otp door de server werd geaccepteerd.

©PXimport

Een min of meer vergelijkbare poging op de otp-oplossing van Instagram werd succesvol uitgevoerd door een whitehat-hacker (die daarvoor een bug bounty van 30.000 dollar van Facebook ontving). Ook deze service verwachtte een code van zes cijfers voor de 2fa – binnen de otp-verlooptijd van 10 minuten. Bovendien liet Instagram niet meer dan 250 pogingen toe per ip-adres.

Wel bleek het mogelijk tot 500 pogingen te ondernemen wanneer er afwisselend een ander ip-adres werd gebruikt. Voor 150 dollar kon de hacker via een cloudservice-provider ten slotte de brute force-aanval uitvoeren, vanaf zo’n 4000 ip-adressen tegelijk.

Mite en mitb

Een andere manier om gegevens buit te maken, zijn mitm-aanvallen (man-in-the-middle), maar uiteraard zijn er ook mite-aanvallen mogelijk. Dat staat voor man-in-the-endpoint, waarbij een hacker erin slaagt een toestel van de gebruiker zelf te compromitteren. Het zal je weinig verbazen dat in zo’n scenario eigenlijk geen enkele communicatiewijze nog betrouwbaar is, en dus ook mta niet.

Zo’n mite-aanval vinden we bijvoorbeeld vaak terug bij banking trojans. Hierbij wordt in de lokale pc met behulp van social engineering of drive-by-downloads eerst een trojan geïnstalleerd. Die monitort heimelijk wat er in de browser gebeurt (man-in-the-browser, mitb). Wanneer er een trefwoord herkend wordt dat aangeeft dat de gebruiker zich aanmeldt bij een bancaire instelling, start de trojan een tweede, verborgen browsersessie. Zodra de gebruiker – al dan niet via mfa – is aangemeld en zijn rekeningen bekijkt, wijzigt de trojan stiekem de accountinformatie en doet een bankoverschrijving naar een frauduleus bankaccount. Vraagt de bank om nadere uitleg, dan komt die automatisch terecht bij de hackers.

Om deze praktijken tegen te gaan, stuurden banken bij wijze van mfa authenticatiecodes door, gelinkt aan een specifieke transactie. Aanvankelijk hielp dat, maar de banking trojans pasten zich aan. Voortaan wachtten ze tot de gebruiker zelf een banktransactie deed, om dan in het geniep alleen de eigen transactie naar de bank te verzenden. Die stuurde daarop de mfa-code voor de frauduleuze transactie door en de gebruiker tikte die nietsvermoedend in.

©PXimport

Namespace hijacking

Een ‘namespace’ verwijst naar een gedeeld systeem waarbinnen objecten op een specifieke wijze opgeslagen en gelokaliseerd worden. Bekende namespaces zijn bijvoorbeeld AD (Active Directory in domeinnetwerken), LDAP (Lightweight Directory Access Protocol) en DNS (Domain Name System). Deze laatste zet webadressen om in de bijhorende ip-hostadressen en is daarmee een gewild doelwit voor allerlei aanvallen, waaronder DNS-hijacking.

We beperken ons hier tot een paar veelgebruikte methodes, waarvan de eenvoudigste de zogenoemde ‘doppelganger domains’ zijn. Dat zijn domeinnamen die bijna identiek zijn aan bekende exemplaren, zoals www.arnazon.com (in plaats van amazon), www.llnkedin.com (linkedin) en www.micosoft.com (microsoft). Iets technischer is malware die de instellingen van de DNS-client aanpast, meestal door de DNS-server bij de gebruiker te wijzigen of door het hosts-bestand van malafide ingangen te voorzien.

 Dit laatste kun je in Windows snel zelf uitzoeken. Druk op Windows-toets+R en voer %windir%\system32\drivers\etc in. Versleep het bestand hosts naar je bureaublad en open dit in Kladblok. Voeg de regel <ip-adres> <hostnaam> toe, met het ip-adres van een andere webserver dan die van de hostnaam). Sla het bestand op, versleep het weer naar de originele submap en sta de operatie toe. 

Herstart je pc en tik de hostnaam in je browser in. Je wordt nu omgeleid naar de webserver van het ip-adres. Een andere populaire techniek zijn de domain hijacks. Een hacker slaagt erdan in een ‘authoritative’ DNS-server over te nemen (wellicht via het account van een DNS-beheerder), waarna hij het ip-adres van een DNS-record naar een onbetrouwbare locatie laat verwijzen.

©PXimport

Access token

Wanneer een gebruiker zich succesvol authenticeert, genereren de meeste authenticatiesystemen een access (control) token en sturen dat door naar (het betreffende proces van) die gebruiker. Zo’n token kan de vorm aannemen van bijvoorbeeld een Kerberos-ticket (in een Windows-netwerk), maar kan net zo goed een html-cookie zijn, bijvoorbeeld als de gebruiker zich bij een website wil aanmelden. Dit token zorgt ervoor dat de gebruiker zich voor de daaropvolgende handelingen binnen dezelfde sessie niet telkens opnieuw hoeft aan te melden.

Natuurlijk, wie zo’n access token in handen krijgt, kan zich dus binnen zo’n sessie voordoen als de legitieme gebruiker (session hijacking). Dat kan in principe op twee manieren. Zo zijn er nog altijd heel wat websites die eenvoudig te raden sessie-ID’s gebruiken, zodat ze makkelijk kunnen worden gereproduceerd. Maar tokens stelen is vaak nog eenvoudiger, bijvoorbeeld door het kapen van een netwerksessie met tools als het reeds eerder vermelde Burp Suite of WebScarab (een onderdeel van Kali Linux). 

In feite komt dit neer op een mitm-aanval. Zo’n opzet is bijvoorbeeld mogelijk wanneer de hacker ongemerkt een proxy node opzet die alle commando’s van de client en de server naar de andere partij doorstuurt. In een lan kan dat bijvoorbeeld via arp poisoning. Loopt de communicatie over internet, dan kan de gebruiker bijvoorbeeld via phishing of met een doppelganger domain naar de malafide proxy worden gelokt waar alle input van de gebruiker, waaronder zijn mfa-authenticatie, in het geheim wordt doorgestuurd naar de echte doelsite (en omgekeerd).

©PXimport

Onbetrouwbare software

Soms maken de ontwikkelaars van mfa-oplossingen of van een van de ondersteunende componenten hackers het ongewild makkelijk. Er duiken namelijk nog vrij vaak kwetsbaarheden op in zulke software. Hier vind je een lijst met veelvoorkomende software-onvolkomenheden, specifiek voor authenticatie-doeleinden.

Wil je zelf uitzoeken of er hiaten zijn gevonden bij een (authenticatie-)product of softwareproducent, raadpleeg dan de CVE Details-database (Common Vulnerability and Exposures). Hier zie je ook de meest gebruikelijke programmeerfouten. We beperken ons hier tot twee bekende types: xss en buffer overflow.

Xss staat voor cross-site scripting en is een aanval op basis van code-injectie aan de clientzijde. Deze injectie kan bijvoorbeeld plaatsvinden wanneer je een webpagina met een malafide code bezoekt (persistent xss) of er via een ‘foute’ link terechtkomt (reflected xss). Bij deze laatste zijn dan aan het einde van de url extra parameters toegevoegd die door de server als commando’s worden geïnterpreteerd. Die kunnen er bijvoorbeeld voor zorgen dat de gebruiker stiekem naar een andere site wordt omgeleid.

Het andere type, buffer overflow, is bijna net zo oud als het programmeren zelf. Hierbij wordt bijvoorbeeld aan een listening service andere dan de verwachte en ook meer data doorgespeeld, waardoor deze input niet alleen de voorziene dataruimte opvult, maar ook de coderuimte, zodat de programma-instructies van de hacker worden uitgevoerd.

©PXimport

Fysieke aanval

Xss en buffer overflow zijn dus ongewilde bugs door ontwikkelaars van mfa-oplossingen, maar aan de andere kant van het spectrum bevinden zich de doelbewuste hardware-manipulaties door hackers. Dat kan zo simpel zijn als ‘schoudersurfen’ (meekijken over de schouder van een weinig alerte gebruiker – daarom ook hangen er doorgaans spiegels bij bankautomaten) of diefstal van het mfa-apparaat, zoals een totp-apparaat (time-based one-time password). Maar het kan ook veel geavanceerder, tot zogenoemde side-channel attacks (laterale kanaalaanvallen) aan toe.

Bij zo’n aanval wordt informatie verkregen door de fysieke implementatie van een systeem, zoals een specifiek energieverbruik, ultrasone emanaties (van beeldschermen) of elektromagnetische lekken. Op deze site kun je meer technische details lezen over een side-channel-aanval van begin 2021 op de security keys van Google Titan en YubiKey op basis van elektromagnetische straling.

Of wat tenslotte te denken van cold boot-aanvallen, waarbij geheugenchips zoals de TPM-chip (Trusted Platform Module) worden bespoten met vrieslucht, zodat de inhoud van de chips even behouden blijft – waaronder bijvoorbeeld de (decryptie)sleutel van een encryptietool als BitLocker. Vervolgens kan een hacker de inhoud van die chips met speciale software naar een ander apparaat kopiëren en daar uitlezen om zo de sleutel te bemachtigen. 

Dergelijke aanvallen zijn al met succes gedemonstreerd en ook op YouTube vind je hier aardig wat video’s over. Net zoals over vele andere aanvallen waarmee ook mfa-oplossingen te omzeilen zijn.

Bij ID.nl zijn we gek op producten met een mooie prijs of die iets bijzonders te bieden hebben. Daarom gaan we een paar keer per week op zoek naar zulke deals. Dit keer een bijzondere categorie die nog niet eerder aan bod is geweest: verstelbare bureau's voor een ergonomische werkplek.

Veel mensen die thuiswerken heb niet altijd de mogelijkheid om een apart bureau te gebruiken en ziten bijvoorbeeld vaak aan de eet- of keukentafel. Toch kan het lonen om te investeren in een goed bureau, omdat daarmee - in combinatie met een goede stoel - je werkhouding een stuk beter wordt. Wij bekijken vijf handige bureaus 's die in hoogte verstelbaar zijn.

Casaria 160x75

Het tafelblad van dit bureau uit de Casaria‑lijn is in hoogte verstelbaar van 73 tot 118 cm en beweegt met een snelheid van 2,25 cm per seconde. Je bedient de motor via een lcd‑scherm en kan twee voorkeursstanden opslaan, zodat je met één druk op de knop naar je favoriete werkhoogtes gaat. Er zit ook een herinneringsfunctie in die je eraan herinnert om weer te gaan staan of juist te zitten. Met het robuuste stalen frame en een draagvermogen van 80 kg is het bureau geschikt voor zware monitoren. Handige details zijn de kabelgeleider, beker‑ en koptelefoonhouder en in hoogte verstelbare poten. Het blad van 160 × 75 cm bestaat uit twee delen en is afgewerkt met melamine zodat het tegen een stootje kan. Dit bureau komt inclusief montagebenodigdheden en is verkrijgbaar in verschillende kleurvarianten.

Avalo 140x60

Avalo levert dit elektrisch verstelbaar bureau (de P58) met een compact blad van 140 × 60 cm. De hoogte is traploos verstelbaar van 73 tot 117 cm en kun je drie verschillende hoogtestanden opslaan. Dat is handig als je het bureau deelt met collega's of medethuiswerkers, of wanneer je snel wilt wisselen tussen zit‑ en stahouding. De bediening gebeurt via een bedieningspaneeltje aan de voorkant; met één druk op de knop gaat het blad naar de gewenste stand. Het frame is gemaakt van staal, het blad van P2‑melamine en de rand is afgewerkt met hittebestendig ABS. Verder wordt benadrukt dat het bureau plug‑and‑play is: je hoeft alleen de stekker in het stopcontact te steken en kunt meteen aan de slag. Door het smalle ontwerp past het bureau goed in kleinere kamers, maar biedt het toch voldoende ruimte voor een monitor, toetsenbord en documenthouder. Voor wie een elektrische zit‑sta‑oplossing zoekt met geheugenfunctie en solide materialen is dit model een optie.

Avalo 120x60

Dit is een kleinere variant van de hierboven besproken Avalo AP58. Dit model heeft een 20 cm minder breed blad, maar uiteraard ook elektrisch verstelbaar. Net als de grotere uitvoering varieert de hoogte van 73 tot 117 cm en kan het bureau drie standen onthouden. Voor het instellen gebruik je een eenvoudige bediening waarbij je een favoriete zit‑ en stahoogte opslaat en later oproept. Het frame bestaat uit staal en het blad uit melamine met een rand van warmtebestendig ABS. D tafel weegt 27 kg en is het daardoor stabiel zonder moeilijk te verplaatsen. Ook deze uitvoering is plug‑and‑play; je hoeft geen ingewikkelde montage uit te voeren. Door de compactere afmetingen is dit model ideaal voor kleinere werkplekken of voor wie extra apparatuur (zoals een printer) op een tweede tafel wil plaatsen. De strakke vormgeving past in verschillende interieurs en de elektrische motor zorgt ervoor dat je eenvoudig van houding wisselt.

VDD Gaming 118x58cm

Het frame van deze VDD is elektrisch in hoogte verstelbaar van 73 tot 118 cm. Hiermee wissel je gemakkelijk tussen zitten en staan en kun je de juiste houding aannemen voor langdurige sessies. Het witte werkblad van 118 × 58 cm biedt voldoende ruimte voor een monitor en toetsenbord en dankzij de krachtige motor is het maximaal belastbaar tot 60 kg. De tafel wordt geleverd met instructies en alle benodigde onderdelen, waardoor je de montage zelf kunt uitvoeren. Er worden geen extra functies zoals geheugenstanden vermeld, waardoor je elke gewenste hoogte handmatig instelt. Voor wie een elektrisch verstelbaar bureau zoekt dat weinig ruimte inneemt, is dit een praktische optie; vooral gamers zullen baat hebben bij het kunnen aanpassen van de werkhoogte tijdens een sessie.

Schaffenburg Linesto Plus 140x80

Het Schaffenburg Linesto Plus‑bureau is een rechthoekige tafel met een T‑poot. Het frame is zonder gereedschap te monterenen in hoogte verstelbaar met een drukknop tussen 65,5 en 85,5 cm. De maximale belasting bedraagt 70 kg. De hoogtebediening gebeurt via een knop aan het onderstel; er zijn geen geheugenstanden. De tafel is voorzien van een 25mm dik melamine blad, een metalen onderstel en stelvoeten om de tafel waterpas te zetten. Kabelbeheer is mogelijk via accessoires, en er zijn diverse blad‑ en framekleuren beschikbaar. Het Schaffenburg-bureau heeft verder een stalen frame met twee telescoperende buisdelen en een krasvaste coating. Als enige in dit overzicht is deze Linestor geen zit/sta-bureau, maar kan hij in zithoogte tot maximaal 85,5 cm worden gebracht.

Sinds juni 2025 is het voor fabrikanten van smartphones verplicht om een energiebabel voor hun apparaten te voeren. De consument kan aan de hand van het energielabel zien hoe energiezuinig een telefoon is, maar ook hoe makkelijk het is om de telefoon te (laten) repareren en wat het updatebeleid voor de software is. Door middel van het nieuwe energielabel kun je dus veel bewuster kiezen voor een bepaalde telefoon.

Het energielabel werd ooit bedacht om apparaten op een uniforme manier te vergelijken, los van marketingclaims. Door elk product in te delen op een schaal van A tot en met G ontstaat ruimte om echte koplopers te herkennen en achterblijvers aan te sporen. Smartphones waren nog niet eerder voorzien van een energielabel, maar hebben dat vanaf juni 2025 wel gekregen. Dat is logisch, want bij smartphones draait energie-efficiëntie niet alleen om het stopcontact, maar vooral om hoe slim hardware en software met de energie van een accu omgaan en hoeveel jaren je uit dezelfde telefoon haalt. Door die informatie eenduidig te tonen, verschuiven de argumenten over de oplaadtijd en de schermgrootte naar hoelang een telefoon meegaat en hoe makkelijk hij te repareren is.

Energie en duurzaamheid

Een smartphone gaat gemiddeld gezien wel een dagje mee op een enkele acculading, afhankelijk natuurlijk van het gebruik door de eigenaar. Erg veel energie wordt er dus niet verspild, maar de grootste winst wat betreft het klimaat is vooral te behalen uit de levensduur van de smartphone en of deze makkelijk te repareren is. De EU koppelt het nieuwe energielabel aan het eco-design van de telefoon. Het label dat de telefoon krijgt, is afhankelijk van een aantal factoren en is een gemiddelde van de prestaties van al deze factoren. Welk factoren dat zijn, lichten we je hieronder verder toe.

Levensduur accu

Het nieuwe energielabel laat zien wat de gemiddelde levensduur van de accu van de telefoon is. Dat wordt bekeken aan de hand van het aantal laadcycli: hoe vaak kan een telefoon opnieuw worden opgeladen voordat de kwaliteit van de accu achteruit gaat? Daarbij wordt een capaciteitsvermindering van 80 procent aangehouden: na hoeveel keer laden is de capaciteit tot 80 procent gedaald? Hoe hoger dit getal, des te betrouwbaarder is de accu.

Uithoudingsvermogen

Uiteraard wordt er ook gekeken naar de gebruiksduur van een telefoon of tablet als deze volledig is opgeladen. Door het uitvoeren van een zogeheten reallife-situatie wordt het gemiddelde gebruik van een smartphone geëmuleerd. Hoeveel uur en minuten je met de smartphone kunt werken op die enkele lading, wordt op het label getoond.

Vrije val

Een van de andere eigenschappen waarop wordt getest, is de vrije val-test. Hoe snel gaat een telefoon kapot als je deze vanaf een bepaalde hoogte op een harde ondergrond laat vallen? Misschien vraag je je af wat dit met duurzaamheid te maken heeft? Nou, heel veel: als je telefoon snel kapot gaat als je hem laat vallen, moet je al snel een nieuwe. Niet heel duurzaam dus. Op het energielabel vind je de valbestendigheid tussen de A en E. Hoe lager de letter (A), des te beter kan zo'n telefoon een val overleven. De test is gebaseerd op een val van 1 meter boven een verharde ondergrond en wordt met vijf modellen van hetzelfde toestel tot wel 270 keer uitgevoerd.

Elke keer dat een telefoon is gevallen, wordt gecontroleerd of het scherm nog functioneert en reageert op aanrakingen, of de camera het nog doet, of de mobiele functies als wifi en mobiel nog werken, of de telefoon kan worden opgeladen en of de audio nog goed functioneert. Barsten in het frame of het glas worden wel geaccepteerd, mits de telefoon nog veilig kan worden gebruikt. Bijvoorbeeld als het glas wel gebarsten is, maar geen splinters heeft.

Bescherming tegen stof of water

Ook de zogeheten IP-tests (IP = Ingression Protection, of indringbescherming) worden uitgevoerd bij de telefoons en zijn een belangrijk onderdeel van de algehele score die een telefoon krijgt. De apparaten worden getest op het binnendringen van stof en water. De waterbestendigheidstest controleert bijvoorbeeld of een smartphone bestand is tegen spatwater vanuit verschillende richtingen, zonder dat de werking of veiligheid van het toestel wordt aangetast. Hiermee wordt gegarandeerd dat een telefoon in elk geval bestand is tegen vocht, bijvoorbeeld bij het gebruik tijdens een regenbui, het morsen van vloeistof of het gebruik van natte handen.

Repareerbaarheid

Een ander duurzaamheidsonderdeel waar de EU goed naar kijkt, is de repareerbaarheid van een smartphone. Dat omvat een groot aantal parameters, zoals welke onderdelen makkelijk te vervangen zijn, in hoeverre een consument bepaalde onderdelen zelf kan vervangen, en hoelang en hoe goed bepaalde onderdelen van de telefoon op voorraad zijn.

De EU wil dat smartphones langer meegaan en eenvoudiger te herstellen zijn – zowel door professionele reparateurs als (in bepaalde gevallen) door consumenten zelf. De eisen met betrekking tot repareerbaarheid blijven minimaal zeven jaar gelden na het einde van de verkoop van een model.

©WICHAN SHOP

Een fabrikant van een smartphone moet garanties kunnen geven met betrekking tot de ondersteuning van een telefoon. Als een toestel op de Europese markt wordt uitgebracht, mag de consument verwachten dat een telefoon zeven jaar na het verschijnen van de telefoon op de markt nog steeds gerepareerd kan worden.

Onderdelen

De reparatie- of 'vervangarantie' geldt voor alle essentiële onderdelen van een smartphone of tablet, zoals de accu, camera's, externe poorten voor audio en opladen, de microfoons en luidsprekers, de knoppen en de scharnieren als het een opklapbare telefoon betreft. De fabrikant moet zelfs de schroefjes op voorraad hebben als de originele niet meer kunnen worden gebruikt.

De bovenste onderdelen kunnen door een fabrikant of een telefoonreparateur worden gerepareerd, maar de EU vindt dat ook consumenten zelf onderdelen moeten kunnen bestellen en vervangen, zoals de accu, de achterzijde, de hele beeldschermunit en de oplader. Voor die zelfrepareerbaarheid krijgt een telefoon ook een waardering van A t/m E. De fabrikant is daarnaast verplicht om aan te geven waar reserveonderdelen te verkrijgen zijn, welk gereedschap er nodig is om de reparatie te kunnen uitvoeren en waar je de benodigde handleidingen kunt vinden.

Reparatie-index

Telefoonfabrikanten moeten dus uitgebreide informatie geven over hoe je je smartphone kunt repareren, maar ook over de complexiteit van de reparatie. Zijn de onderdelen die je wilt vervangen bijvoorbeeld makkelijk te bereiken, of moet je eerst andere onderdelen verwijderen om erbij te kunnen? Ook dat wordt allemaal opgenomen in de uiteindelijke classificering van de telefoon: hoe minder stappen er nodig zijn, des te hoger is de score die wordt toegekend.

Tot slot

De Europese Unie heeft met het nieuwe energielabel voor smartphones een goede stap gezet in de richting van duurzaamheid. Het uiteindelijke doel is om ervoor te zorgen dat fabrikanten meer hun best gaan doen om een zo makkelijk mogelijk te repareren telefoon uit te brengen. Deze strengere regels in de EU betekenen ook dat deze toestellen in andere landen buiten de EU makkelijker te repareren zullen zijn, omdat een telefoonfabrikant waarschijnlijk niet compleet verschillende uitvoeringen van een model smartphone gaat maken. Maar of consumenten in landen buiten de EU ook zo makkelijk zelf aan onderdelen kunnen komen, is dan nog maar de vraag; deze mate van tegemoetkoming aan of bescherming van de consument gelden vaak niet in andere landen. Fabrikanten hoeven deze informatie dus niet beschikbaar te stellen in landen buiten de EU.