Multifactorauthenticatie ofwel mfa is in opkomst als een manier om accounts extra te beveiligen, zodat slechts een wachtwoord niet meer volstaat om binnen te komen. Deze methode is zonder meer veiliger, maar waterdichte garanties zijn er evenmin. We bekijken enkele uiteenlopende hackscenario’s.

Steeds meer diensten en websites dwingen gebruikers tot veiliger oplossingen op basis van multifactorauthenticatie (mfa), ook wel multi factor verification (mfv) genoemd – hoewel de termen authenticatie en verificatie niet helemaal identiek zijn.

Ook al wordt in bedrijfsomgevingen vaak adaptieve mfa toegepast, waarbij contextuele gegevens en bedrijfsregels bepalen welke factoren in een gegeven situatie gebruikt moeten worden, gaat het bij de meeste mfa-implementaties om twee factoren (2fa). Hierbij heb je naast iets wat je kent of weet, zoals een pincode of een wachtwoord, ook een factor nodig die je bezit, zoals een usb-token of een smartcard, of een die je ‘bent’. Bij dit laatste gaat het dan om biometrische authenticatie, zoals een vingerafdruk of een retinascan. 

Heel wat diensten en websites spreken wel over 2fa, maar laten een gebruiker inloggen met twee factoren van hetzelfde type. Over het algemeen tweemaal iets wat je kent. In die gevallen hebben we het (slechts) over tweestapsauthenticatie.

Het mag duidelijk zijn dat mfa (en 2fa) absoluut veiliger is dan sfa (singlefactorauthenticatie, dus alleen een wachtwoord bijvoorbeel), en producenten pakken daarom graag uit met de claim dat hun mfa-oplossing nog nooit is gehackt. Maar zelfs áls dat zo is, dan kunnen er de volgende dag wellicht wél kwetsbaarheden worden gevonden, of dat nu door pentesting, fuzz testing, een kwetsbaarhedenscan of threat modeling gebeurt. Bij threat modeling worden alle denkbare bedreigingen geïdentificeerd, vervolgens geprioriteerd en (hopelijk) ook opgelost.

Mfa-componenten

Het grootste veiligheidsprobleem met mfa blijft wel dat zo’n oplossing allerlei ondersteunende componenten en infrastructuren bevat waar de producent van de mfa-oplossing geen controle over heeft. Veiligheidsexpert Roger Grimes hamert er in zijn uitstekende boek ‘Hacking Multifactor Authentication’ voortdurend op dat zowat elk onderdeel op een of andere manier vatbaar is voor hacking. We beperken ons hier tot twee componenten.

Zo is een van de eerste fasen in een mfa-proces de initiële registratie, ook wel provisioning of enrollment genoemd. Dat gebeurt via een identity provider die op basis van enkele unieke attributen de identiteit van de aanvrager hoort te bevestigen. Helaas bewijst de praktijk vaak anders. Zo vertrouwen veel services op ‘geverifieerde’ accounts van Google of Facebook, terwijl er massale hoeveelheden frauduleuze accounts actief zijn. 

Of neem een op zich degelijk systeem als PGP (Pretty Good Privacy). Ook hier zetten frauduleuze gebruikers publieke sleutels van anderen in, omdat ontvangers toch zelden de geldigheid van de bijhorende digitale handtekening checken.

©PXimport

Hardware is uiteraard ook een onmisbare component in mfa-implementaties, en of het nu gaat om computers, telefoons of netwerkinterfaces, hardware blijkt altijd wel te compromitteren, waarna het authenticatieproces niet langer betrouwbaar is.

Initiatieven als Trusted Computing proberen dat tegen te gaan en ervoor te zorgen dat elke niet-geautoriseerde aanpassing wordt gedetecteerd. Een typisch voorbeeld is het Trusted Boot-proces van Windows 10, waarbij de bootchip-code van de UEFI-firmware digitaal is ondertekend en elke daaropvolgende hardwarecomponent op de vorige vertrouwt om zijn eigen handtekening te verifiëren, tot Windows is opgestart.

Social engineering

De meeste mfa-aanvallen blijken een mix te zijn van social engineering-technieken en zuiver technische malversaties, waarbij de eerste vaak het pad effenen voor de tweede.

Social engineering zou in al zijn varianten, zoals spear phishing, vishing (phishing over voice) en smishing (phishing via sms), voor zo’n 80 procent van alle digitale inbreuken verantwoordelijk zijn. Ook mfa-oplossingen zijn zeker niet immuun voor dit type aanvallen.

Het meest populair is de truc waarbij een gebruiker via phishing naar een valse site wordt gelokt die niet zelden voorzien is van een geldig digitaal certificaat, dankzij gratis diensten als Let’s Encrypt. Zo’n site imiteert een legitieme site waarop de gebruiker zich aanmeldt met mfa, bijvoorbeeld op basis van de Google Authenticator-app. Zodra het wachtwoord en de gegenereerde code zijn ingevoerd, vraagt de valse site om extra beveiligingsinformatie, zoals wachtwoordherstel- of creditcardgegevens, en pas daarna wordt de gebruiker alsnog naar de echte site doorverwezen.

Een andere, vaak toegepaste social engineering-truc is als een scammer iemand opbelt of een bericht stuurt, zogezegd uit naam van zijn financiële instelling. De scammer waarschuwt de gebruiker dat er frauduleuze transacties zijn vastgesteld, maar dat de instelling die kan blokkeren zodra de gebruiker zijn inloggegevens ter verificatie heeft doorgegeven.

©PXimport

Met deze gegevens kan de scammer het gebruikersaccount nu in herstelmodus plaatsen; alsof je je wachtwoord vergeten bent. Veel mfa-aanbieders bieden alternatieve authenticatiemethodes aan als het een legitieme gebruiker niet meer lukt zich aan te melden. Helaas zijn deze back-up-authenticatieprocedures meestal weinig dwingend.

Door de herstelmodus zal de nietsvermoedende gebruiker bijvoorbeeld een nieuwe code op een alternatief e-mailadres doorgestuurd krijgen. In het slechtste geval kan zo’n code zelfs naar een niet eerder geregistreerd e-mailadres worden verstuurd, wat het de scammer wel heel makkelijk maakt, aangezien hij dan een eigen adres kan invullen. In het andere geval meldt de scammer aan de gebruiker dat ook deze code ter verificatie moet worden doorgestuurd, waarna hij met die code het account kan overnemen.

Heel wat diensten laten de gebruiker in de herstelmodus een aantal vooraf beantwoorde persoonlijke vragen oplossen. Vragen als je geboortedatum, je postcode en de locatie van de eerste ontmoeting met je partner. Stemmen de antwoorden overeen, dan gaat zo’n dienst ervan uit dat het om de legitieme gebruiker gaat. Deze drie herstelvragen volstonden bijvoorbeeld om het e-mailaccount van oud-vicepresidentskandidate Sarah Palin over te nemen.

De moraal van dit verhaal: als het ook maar enigszins mogelijk is, vermijd dan de persoonlijke vragen voor de herstelmodus. Maak je er toch gebruik van, verzin dan bij voorkeur specifieke antwoorden voor iedere website en bewaar ze in een wachtwoordbeheerder.

Brute force

Ook zijn er nog altijd accounts die zich via ‘brute force’-technieken laten hacken. Hierbij worden talloze pogingen met telkens andere wachtwoorden of pincodes uitgevoerd tot de login slaagt. Dat kan zowel handmatig als met geautomatiseerde tools, zoals L0phtcrack, John the Ripper of Burp Suite. Zo werd met Burp Suite bijvoorbeeld een mfa-oplossing op basis van een otp (one-time password) gehackt. 

De hacker ontving een otp-verzoek, en na een analyse van het bewuste pakket wist hij dat er een code van zes cijfers werd verwacht. Hij sluisde het pakket door naar het tabblad Intruder van de Burp Suite, waar hij het bewuste otp-veld via brute force door diverse mogelijke combinaties liet vervangen tot de otp door de server werd geaccepteerd.

©PXimport

Een min of meer vergelijkbare poging op de otp-oplossing van Instagram werd succesvol uitgevoerd door een whitehat-hacker (die daarvoor een bug bounty van 30.000 dollar van Facebook ontving). Ook deze service verwachtte een code van zes cijfers voor de 2fa – binnen de otp-verlooptijd van 10 minuten. Bovendien liet Instagram niet meer dan 250 pogingen toe per ip-adres.

Wel bleek het mogelijk tot 500 pogingen te ondernemen wanneer er afwisselend een ander ip-adres werd gebruikt. Voor 150 dollar kon de hacker via een cloudservice-provider ten slotte de brute force-aanval uitvoeren, vanaf zo’n 4000 ip-adressen tegelijk.

Mite en mitb

Een andere manier om gegevens buit te maken, zijn mitm-aanvallen (man-in-the-middle), maar uiteraard zijn er ook mite-aanvallen mogelijk. Dat staat voor man-in-the-endpoint, waarbij een hacker erin slaagt een toestel van de gebruiker zelf te compromitteren. Het zal je weinig verbazen dat in zo’n scenario eigenlijk geen enkele communicatiewijze nog betrouwbaar is, en dus ook mta niet.

Zo’n mite-aanval vinden we bijvoorbeeld vaak terug bij banking trojans. Hierbij wordt in de lokale pc met behulp van social engineering of drive-by-downloads eerst een trojan geïnstalleerd. Die monitort heimelijk wat er in de browser gebeurt (man-in-the-browser, mitb). Wanneer er een trefwoord herkend wordt dat aangeeft dat de gebruiker zich aanmeldt bij een bancaire instelling, start de trojan een tweede, verborgen browsersessie. Zodra de gebruiker – al dan niet via mfa – is aangemeld en zijn rekeningen bekijkt, wijzigt de trojan stiekem de accountinformatie en doet een bankoverschrijving naar een frauduleus bankaccount. Vraagt de bank om nadere uitleg, dan komt die automatisch terecht bij de hackers.

Om deze praktijken tegen te gaan, stuurden banken bij wijze van mfa authenticatiecodes door, gelinkt aan een specifieke transactie. Aanvankelijk hielp dat, maar de banking trojans pasten zich aan. Voortaan wachtten ze tot de gebruiker zelf een banktransactie deed, om dan in het geniep alleen de eigen transactie naar de bank te verzenden. Die stuurde daarop de mfa-code voor de frauduleuze transactie door en de gebruiker tikte die nietsvermoedend in.

©PXimport

Namespace hijacking

Een ‘namespace’ verwijst naar een gedeeld systeem waarbinnen objecten op een specifieke wijze opgeslagen en gelokaliseerd worden. Bekende namespaces zijn bijvoorbeeld AD (Active Directory in domeinnetwerken), LDAP (Lightweight Directory Access Protocol) en DNS (Domain Name System). Deze laatste zet webadressen om in de bijhorende ip-hostadressen en is daarmee een gewild doelwit voor allerlei aanvallen, waaronder DNS-hijacking.

We beperken ons hier tot een paar veelgebruikte methodes, waarvan de eenvoudigste de zogenoemde ‘doppelganger domains’ zijn. Dat zijn domeinnamen die bijna identiek zijn aan bekende exemplaren, zoals www.arnazon.com (in plaats van amazon), www.llnkedin.com (linkedin) en www.micosoft.com (microsoft). Iets technischer is malware die de instellingen van de DNS-client aanpast, meestal door de DNS-server bij de gebruiker te wijzigen of door het hosts-bestand van malafide ingangen te voorzien.

 Dit laatste kun je in Windows snel zelf uitzoeken. Druk op Windows-toets+R en voer %windir%\system32\drivers\etc in. Versleep het bestand hosts naar je bureaublad en open dit in Kladblok. Voeg de regel <ip-adres> <hostnaam> toe, met het ip-adres van een andere webserver dan die van de hostnaam). Sla het bestand op, versleep het weer naar de originele submap en sta de operatie toe. 

Herstart je pc en tik de hostnaam in je browser in. Je wordt nu omgeleid naar de webserver van het ip-adres. Een andere populaire techniek zijn de domain hijacks. Een hacker slaagt erdan in een ‘authoritative’ DNS-server over te nemen (wellicht via het account van een DNS-beheerder), waarna hij het ip-adres van een DNS-record naar een onbetrouwbare locatie laat verwijzen.

©PXimport

Access token

Wanneer een gebruiker zich succesvol authenticeert, genereren de meeste authenticatiesystemen een access (control) token en sturen dat door naar (het betreffende proces van) die gebruiker. Zo’n token kan de vorm aannemen van bijvoorbeeld een Kerberos-ticket (in een Windows-netwerk), maar kan net zo goed een html-cookie zijn, bijvoorbeeld als de gebruiker zich bij een website wil aanmelden. Dit token zorgt ervoor dat de gebruiker zich voor de daaropvolgende handelingen binnen dezelfde sessie niet telkens opnieuw hoeft aan te melden.

Natuurlijk, wie zo’n access token in handen krijgt, kan zich dus binnen zo’n sessie voordoen als de legitieme gebruiker (session hijacking). Dat kan in principe op twee manieren. Zo zijn er nog altijd heel wat websites die eenvoudig te raden sessie-ID’s gebruiken, zodat ze makkelijk kunnen worden gereproduceerd. Maar tokens stelen is vaak nog eenvoudiger, bijvoorbeeld door het kapen van een netwerksessie met tools als het reeds eerder vermelde Burp Suite of WebScarab (een onderdeel van Kali Linux). 

In feite komt dit neer op een mitm-aanval. Zo’n opzet is bijvoorbeeld mogelijk wanneer de hacker ongemerkt een proxy node opzet die alle commando’s van de client en de server naar de andere partij doorstuurt. In een lan kan dat bijvoorbeeld via arp poisoning. Loopt de communicatie over internet, dan kan de gebruiker bijvoorbeeld via phishing of met een doppelganger domain naar de malafide proxy worden gelokt waar alle input van de gebruiker, waaronder zijn mfa-authenticatie, in het geheim wordt doorgestuurd naar de echte doelsite (en omgekeerd).

©PXimport

Onbetrouwbare software

Soms maken de ontwikkelaars van mfa-oplossingen of van een van de ondersteunende componenten hackers het ongewild makkelijk. Er duiken namelijk nog vrij vaak kwetsbaarheden op in zulke software. Hier vind je een lijst met veelvoorkomende software-onvolkomenheden, specifiek voor authenticatie-doeleinden.

Wil je zelf uitzoeken of er hiaten zijn gevonden bij een (authenticatie-)product of softwareproducent, raadpleeg dan de CVE Details-database (Common Vulnerability and Exposures). Hier zie je ook de meest gebruikelijke programmeerfouten. We beperken ons hier tot twee bekende types: xss en buffer overflow.

Xss staat voor cross-site scripting en is een aanval op basis van code-injectie aan de clientzijde. Deze injectie kan bijvoorbeeld plaatsvinden wanneer je een webpagina met een malafide code bezoekt (persistent xss) of er via een ‘foute’ link terechtkomt (reflected xss). Bij deze laatste zijn dan aan het einde van de url extra parameters toegevoegd die door de server als commando’s worden geïnterpreteerd. Die kunnen er bijvoorbeeld voor zorgen dat de gebruiker stiekem naar een andere site wordt omgeleid.

Het andere type, buffer overflow, is bijna net zo oud als het programmeren zelf. Hierbij wordt bijvoorbeeld aan een listening service andere dan de verwachte en ook meer data doorgespeeld, waardoor deze input niet alleen de voorziene dataruimte opvult, maar ook de coderuimte, zodat de programma-instructies van de hacker worden uitgevoerd.

©PXimport

Fysieke aanval

Xss en buffer overflow zijn dus ongewilde bugs door ontwikkelaars van mfa-oplossingen, maar aan de andere kant van het spectrum bevinden zich de doelbewuste hardware-manipulaties door hackers. Dat kan zo simpel zijn als ‘schoudersurfen’ (meekijken over de schouder van een weinig alerte gebruiker – daarom ook hangen er doorgaans spiegels bij bankautomaten) of diefstal van het mfa-apparaat, zoals een totp-apparaat (time-based one-time password). Maar het kan ook veel geavanceerder, tot zogenoemde side-channel attacks (laterale kanaalaanvallen) aan toe.

Bij zo’n aanval wordt informatie verkregen door de fysieke implementatie van een systeem, zoals een specifiek energieverbruik, ultrasone emanaties (van beeldschermen) of elektromagnetische lekken. Op deze site kun je meer technische details lezen over een side-channel-aanval van begin 2021 op de security keys van Google Titan en YubiKey op basis van elektromagnetische straling.

Of wat tenslotte te denken van cold boot-aanvallen, waarbij geheugenchips zoals de TPM-chip (Trusted Platform Module) worden bespoten met vrieslucht, zodat de inhoud van de chips even behouden blijft – waaronder bijvoorbeeld de (decryptie)sleutel van een encryptietool als BitLocker. Vervolgens kan een hacker de inhoud van die chips met speciale software naar een ander apparaat kopiëren en daar uitlezen om zo de sleutel te bemachtigen. 

Dergelijke aanvallen zijn al met succes gedemonstreerd en ook op YouTube vind je hier aardig wat video’s over. Net zoals over vele andere aanvallen waarmee ook mfa-oplossingen te omzeilen zijn.

Het is bijna kerst en tussen het regelen van de laatste boodschappen door kijk je om je heen. De post ligt nog op tafel, er slingert speelgoed rond en een grote schoonmaak gaat niet meer lukken. Toch wil je dat je gasten in een net huis binnenkomen. Met een strak plan kun je in precies zestig minuten de perfecte illusie van een schoon huis creëren. Zet de timer, doe je favoriete muziek aan en ga aan de slag.

Je begint waar je gasten binnenkomen. De hal is vaak een rommelige plek, zeker in de winter. Pak een grote mand of krat en gooi daar alles in wat er niet hoort: sjaals die niemand draagt, post, sleutels en rondslingerende tassen. Zet die mand tijdelijk weg in de berging, schuur of desnoods in je eigen kledingkast. Zorg dat er ruimte is aan de kapstok voor de jassen van je bezoek. Klop de deurmat even krachtig buiten uit en haal de stofzuiger snel door de gang. Als je hierna nog dertig seconden over hebt, veeg je met een doekje over de spiegel. Een schone spiegel en een lege vloer geven direct bij binnenkomst al het gevoel van een opgeruimd huis.

De woonkamer: sfeer boven perfectie

Door naar de plek waar jullie de meeste tijd zullen doorbrengen. In de woonkamer geldt nu de regel: opruimen is belangrijker dan boenen. Loop een rondje met een vuilniszak voor alles wat weg kan en een wasmand voor spullen die naar een andere kamer moeten. Maak de salontafel en bijzettafels helemaal leeg. Een leeg oppervlak oogt namelijk direct schoon, zelfs als je niet nat afneemt. Schud daarna de kussens op de bank flink op en vouw plaids netjes op. Haal de stofzuiger alleen door het midden van de kamer en langs de bank; vergeet de hoekjes en plinten, want daar kijkt vanavond niemand naar.

©Евгения Рубцова

Het toilet: kort maar krachtig

Dit is de enige plek waar je gasten echt even alleen zijn en stilzitten, dus hier moet het wel fris zijn. Gelukkig is de ruimte klein. Spuit wc-reiniger in de pot en laat dit even inwerken terwijl je de rest doet. Gebruik een wegwerpdoekje of een sopje voor de bril, de spoelknop, de deurklink en de kraan. Hang een schone handdoek op en controleer of er voldoende toiletpapier ligt. Heb je nog een geurkaarsje of geurstokjes? Zet die dan hier neer. Als het lekker ruikt, voelt je toilet al snel schoner aan.

Puntjes op de i in de keuken

Je hebt nu nog een kwartier over. Snel door naar de keuken. Zorg allereerst dat het aanrecht helemaal leeg is. Als het niet meer lukt om alles af te wassen, zet je de vuile vaat snel in de vaatwasser, ook als deze eigenlijk al vol is. Een andere slimme noodoplossing is om de vaat tijdelijk in een keukenkastje te verstoppen. Het gaat erom dat alles uit het zicht is. Haal tot slot nog even een doekje over het aanrecht en de kookplaat zodat alles weer fris oogt.

©APALKOV | MestoSveta - stock.adobe.com

Sfeer maken

Nu is het tijd voor de belangrijkste truc: het aanpassen van de verlichting. Dim de grote lampen en steek overal kaarsen en sfeerverlichting aan. Dat ziet er niet alleen heel gezellig uit, maar dat zachte licht zorgt er ook voor dat achtergebleven stof of verdwaalde kruimels niet meer opvallen. Tot slot doe je nog één ding voor de sfeer. Zet een raam op een kier voor frisse lucht of zet een pannetje op het vuur met wat water, kaneel en sinaasappelschil voor een heerlijke kerstgeur.

Klaar voor de bel

Kijk nu eens om je heen. Je huis is opgeruimd, het ruikt lekker en het is gezellig verlicht. Niemand die ziet dat je de bovenkant van de kasten hebt overgeslagen. Schenk wat te drinken voor jezelf in en adem uit. Laat die bel maar gaan!

Na een uitgebreid diner is de koffie vaak de afsluiter van de avond. In plaats van een standaard zwarte bak zet je met een paar simpele ingrediënten iets bijzonders op tafel. Je hoeft geen volleerd barista te zijn om indruk te maken; met wat kruiden of een restje chocolade geef je de koffie direct een feestelijke twist. Speciaal voor jou: vijf heerlijke koffierecepten.

Espresso met witte chocolade en kardemom

Witte chocolade is een goede match voor de sterke smaak van een espresso. Leg een paar blokjes witte chocolade onderin het glas en laat deze langzaam smelten door de hete koffie eroverheen te gieten. Als je een snufje kardemom door de melk mengt voordat je deze opschuimt, krijg je een heerlijke warme en kruidige geur. De kardemom zorgt ervoor dat de zoete chocolade niet de overhand krijgt, waardoor de koffiesmaak goed overeind blijft.

Tiramisu uit een glas

Je kunt de smaken van het bekende Italiaanse dessert ook gewoon drinken. Meng een sterke kop koffie met een drupje amandelsiroop voor de herkenbare smaak van amaretto, maar dan zonder de alcohol. In plaats van gewone melk kun je een mengsel van halfstijve slagroom en een beetje mascarpone bovenop de koffie leggen. Een flinke laag cacaopoeder over de room maakt het plaatje compleet. Dit koffierecept kan eigenlijk ook direct als vervanger van een dessert kan dienen, vooral het serveert met bijpassend koekje, zoals cantuccini of amaretti.

Mokka met sinaasappel en pure chocolade

De combinatie van pure chocolade en sinaasappel doet het altijd goed tijdens de feestdagen. Rasp de schil van een sinaasappel en roer dit samen met een blokje pure chocolade door je warme koffie totdat alles is opgelost. De olie uit de sinaasappelschil geeft een fris aroma dat heel goed samengaat met donker gebrande koffiebonen. Als je dit serveert met een klein stukje sinaasappelschil op de rand van het glas, ziet het er meteen feestelijk uit. De pure chocolade maakt de koffie wat dikker en voller, wat goed past bij een koude winteravond.

Karamel met een snufje zeezout

Gezouten karamel is al jaren populair en dat is niet zonder reden. Het zout versterkt namelijk de zoete tonen van de karamel en haalt tegelijkertijd de bittere randjes van de koffie af. Doe een scheutje karamelsiroop in je glas en voeg daar echt maar een heel klein beetje zeezout aan toe. Gebruik havermelk voor het schuim, omdat dit van zichzelf al een beetje romig en nootachtig smaakt. Het resultaat is een zachte koffie die het door de combinatie van zout en zoet bij bijna iedereen goed doet.

Koffie met honing en kaneel

Voor wie geen chocolade of room lust, is een combinatie van honing en kaneel een goed alternatief. Roer een goede lepel honing door de zwarte koffie en bestrooi de melkschuimlaag met wat kaneelpoeder. De honing geeft een andere soort zoetheid dan suiker en maakt de koffie zachter voor de keel. Het is een eenvoudige manier om een normale latte een feestelijke upgrade te geven met spullen die je waarschijnlijk al in je keukenkastje hebt staan. De geur van kaneel die van de warme melk afkomt, maakt meteen duidelijk dat het kerst is! 

©ID.nl

Zo maak je je koffie helemaal af

Je kunt de feestkoffie nog net wat mooier presenteren door aandacht te besteden aan de garnering. Een klein beetje kaneel, nootmuskaat of cacaopoeder op de melkschuimlaag doet bijvoorbeeld al wonderen. Gebruik een klein zeefje zodat de poeder gelijkmatig verdeeld wordt en er geen klontjes ontstaan. Voor een luxe effect kun je met een fijne rasp wat krullen van een blok pure of witte chocolade schaven. Dit smelt langzaam weg in het schuim en geeft bij elke slok een beetje extra textuur.

Ook met koekjes of fruit kun je creatief uit de hoek komen. Serveer de koffie met een typisch winters koekje op de schotel, zoals een speculaasje of een Italiaanse cantuccini. Een dunne reep sinaasappelschil die je even rond je vinger draait tot een krul staat erg chique aan de rand van het glas. Wil je echt uitpakken, dip de rand van het glas dan in wat water en daarna in suiker voor een bevroren effect. In plaats van een gewone lepel kun je tot slot een kaneelstokje in de koffie zetten, wat tijdens het drinken subtiel steeds meer smaak afgeeft.

Drie espressomachines voor je feestkoffie

De'Longhi PrimaDonna Soul

Dit apparaat van De'Longhi is een zeer uitgebreide volautomaat. Dankzij de 18 voorgeprogrammeerde recepten zet je met één druk op de knop een krachtige espresso of een zachte latte. Voor wie van variatie houdt, biedt dit toestel ook de mogelijkheid om de sterkte van de koffie nauwkeurig aan te passen, zodat je altijd die gewenste sterke kop koffie krijgt. De machine is bovendien via een smartphone-app te bedienen.

Siemens EQ.500

De Siemens EQ.500-serie staat bekend om het gebruiksvriendelijke display waarbij je de koffiespecialiteiten direct via sensorvelden selecteert. Naast de standaard espresso en latte beschikt dit apparaat over de zogenaamde 'aromaDouble Shot'-functie. Hiermee zet je een extra sterke koffie door middel van een dubbel maal- en zetproces, zonder dat de koffie een bittere nasmaak krijgt.

Melitta Barista Smart T

De Melitta Barista Smart TS blinkt uit in veelzijdigheid met maar liefst 21 voorgeprogrammeerde recepten. Een groot voordeel is de fluisterstille molen, waardoor je zonder veel lawaai geniet van versgemalen bonen. Dankzij het dubbele bonenreservoir kun je bovendien eenvoudig wisselen tussen een milde boon voor je latte en een krachtige variant voor de espresso. De machine is via een handige app op je smartphone te bedienen. Met de 'My Coffee Memory'-functie sla je de persoonlijke voorkeuren van acht verschillende personen op.