Multifactorauthenticatie ofwel mfa is in opkomst als een manier om accounts extra te beveiligen, zodat slechts een wachtwoord niet meer volstaat om binnen te komen. Deze methode is zonder meer veiliger, maar waterdichte garanties zijn er evenmin. We bekijken enkele uiteenlopende hackscenario’s.

Steeds meer diensten en websites dwingen gebruikers tot veiliger oplossingen op basis van multifactorauthenticatie (mfa), ook wel multi factor verification (mfv) genoemd – hoewel de termen authenticatie en verificatie niet helemaal identiek zijn.

Ook al wordt in bedrijfsomgevingen vaak adaptieve mfa toegepast, waarbij contextuele gegevens en bedrijfsregels bepalen welke factoren in een gegeven situatie gebruikt moeten worden, gaat het bij de meeste mfa-implementaties om twee factoren (2fa). Hierbij heb je naast iets wat je kent of weet, zoals een pincode of een wachtwoord, ook een factor nodig die je bezit, zoals een usb-token of een smartcard, of een die je ‘bent’. Bij dit laatste gaat het dan om biometrische authenticatie, zoals een vingerafdruk of een retinascan. 

Heel wat diensten en websites spreken wel over 2fa, maar laten een gebruiker inloggen met twee factoren van hetzelfde type. Over het algemeen tweemaal iets wat je kent. In die gevallen hebben we het (slechts) over tweestapsauthenticatie.

Het mag duidelijk zijn dat mfa (en 2fa) absoluut veiliger is dan sfa (singlefactorauthenticatie, dus alleen een wachtwoord bijvoorbeel), en producenten pakken daarom graag uit met de claim dat hun mfa-oplossing nog nooit is gehackt. Maar zelfs áls dat zo is, dan kunnen er de volgende dag wellicht wél kwetsbaarheden worden gevonden, of dat nu door pentesting, fuzz testing, een kwetsbaarhedenscan of threat modeling gebeurt. Bij threat modeling worden alle denkbare bedreigingen geïdentificeerd, vervolgens geprioriteerd en (hopelijk) ook opgelost.

Mfa-componenten

Het grootste veiligheidsprobleem met mfa blijft wel dat zo’n oplossing allerlei ondersteunende componenten en infrastructuren bevat waar de producent van de mfa-oplossing geen controle over heeft. Veiligheidsexpert Roger Grimes hamert er in zijn uitstekende boek ‘Hacking Multifactor Authentication’ voortdurend op dat zowat elk onderdeel op een of andere manier vatbaar is voor hacking. We beperken ons hier tot twee componenten.

Zo is een van de eerste fasen in een mfa-proces de initiële registratie, ook wel provisioning of enrollment genoemd. Dat gebeurt via een identity provider die op basis van enkele unieke attributen de identiteit van de aanvrager hoort te bevestigen. Helaas bewijst de praktijk vaak anders. Zo vertrouwen veel services op ‘geverifieerde’ accounts van Google of Facebook, terwijl er massale hoeveelheden frauduleuze accounts actief zijn. 

Of neem een op zich degelijk systeem als PGP (Pretty Good Privacy). Ook hier zetten frauduleuze gebruikers publieke sleutels van anderen in, omdat ontvangers toch zelden de geldigheid van de bijhorende digitale handtekening checken.

©PXimport

Hardware is uiteraard ook een onmisbare component in mfa-implementaties, en of het nu gaat om computers, telefoons of netwerkinterfaces, hardware blijkt altijd wel te compromitteren, waarna het authenticatieproces niet langer betrouwbaar is.

Initiatieven als Trusted Computing proberen dat tegen te gaan en ervoor te zorgen dat elke niet-geautoriseerde aanpassing wordt gedetecteerd. Een typisch voorbeeld is het Trusted Boot-proces van Windows 10, waarbij de bootchip-code van de UEFI-firmware digitaal is ondertekend en elke daaropvolgende hardwarecomponent op de vorige vertrouwt om zijn eigen handtekening te verifiëren, tot Windows is opgestart.

Social engineering

De meeste mfa-aanvallen blijken een mix te zijn van social engineering-technieken en zuiver technische malversaties, waarbij de eerste vaak het pad effenen voor de tweede.

Social engineering zou in al zijn varianten, zoals spear phishing, vishing (phishing over voice) en smishing (phishing via sms), voor zo’n 80 procent van alle digitale inbreuken verantwoordelijk zijn. Ook mfa-oplossingen zijn zeker niet immuun voor dit type aanvallen.

Het meest populair is de truc waarbij een gebruiker via phishing naar een valse site wordt gelokt die niet zelden voorzien is van een geldig digitaal certificaat, dankzij gratis diensten als Let’s Encrypt. Zo’n site imiteert een legitieme site waarop de gebruiker zich aanmeldt met mfa, bijvoorbeeld op basis van de Google Authenticator-app. Zodra het wachtwoord en de gegenereerde code zijn ingevoerd, vraagt de valse site om extra beveiligingsinformatie, zoals wachtwoordherstel- of creditcardgegevens, en pas daarna wordt de gebruiker alsnog naar de echte site doorverwezen.

Een andere, vaak toegepaste social engineering-truc is als een scammer iemand opbelt of een bericht stuurt, zogezegd uit naam van zijn financiële instelling. De scammer waarschuwt de gebruiker dat er frauduleuze transacties zijn vastgesteld, maar dat de instelling die kan blokkeren zodra de gebruiker zijn inloggegevens ter verificatie heeft doorgegeven.

©PXimport

Met deze gegevens kan de scammer het gebruikersaccount nu in herstelmodus plaatsen; alsof je je wachtwoord vergeten bent. Veel mfa-aanbieders bieden alternatieve authenticatiemethodes aan als het een legitieme gebruiker niet meer lukt zich aan te melden. Helaas zijn deze back-up-authenticatieprocedures meestal weinig dwingend.

Door de herstelmodus zal de nietsvermoedende gebruiker bijvoorbeeld een nieuwe code op een alternatief e-mailadres doorgestuurd krijgen. In het slechtste geval kan zo’n code zelfs naar een niet eerder geregistreerd e-mailadres worden verstuurd, wat het de scammer wel heel makkelijk maakt, aangezien hij dan een eigen adres kan invullen. In het andere geval meldt de scammer aan de gebruiker dat ook deze code ter verificatie moet worden doorgestuurd, waarna hij met die code het account kan overnemen.

Heel wat diensten laten de gebruiker in de herstelmodus een aantal vooraf beantwoorde persoonlijke vragen oplossen. Vragen als je geboortedatum, je postcode en de locatie van de eerste ontmoeting met je partner. Stemmen de antwoorden overeen, dan gaat zo’n dienst ervan uit dat het om de legitieme gebruiker gaat. Deze drie herstelvragen volstonden bijvoorbeeld om het e-mailaccount van oud-vicepresidentskandidate Sarah Palin over te nemen.

De moraal van dit verhaal: als het ook maar enigszins mogelijk is, vermijd dan de persoonlijke vragen voor de herstelmodus. Maak je er toch gebruik van, verzin dan bij voorkeur specifieke antwoorden voor iedere website en bewaar ze in een wachtwoordbeheerder.

Brute force

Ook zijn er nog altijd accounts die zich via ‘brute force’-technieken laten hacken. Hierbij worden talloze pogingen met telkens andere wachtwoorden of pincodes uitgevoerd tot de login slaagt. Dat kan zowel handmatig als met geautomatiseerde tools, zoals L0phtcrack, John the Ripper of Burp Suite. Zo werd met Burp Suite bijvoorbeeld een mfa-oplossing op basis van een otp (one-time password) gehackt. 

De hacker ontving een otp-verzoek, en na een analyse van het bewuste pakket wist hij dat er een code van zes cijfers werd verwacht. Hij sluisde het pakket door naar het tabblad Intruder van de Burp Suite, waar hij het bewuste otp-veld via brute force door diverse mogelijke combinaties liet vervangen tot de otp door de server werd geaccepteerd.

©PXimport

Een min of meer vergelijkbare poging op de otp-oplossing van Instagram werd succesvol uitgevoerd door een whitehat-hacker (die daarvoor een bug bounty van 30.000 dollar van Facebook ontving). Ook deze service verwachtte een code van zes cijfers voor de 2fa – binnen de otp-verlooptijd van 10 minuten. Bovendien liet Instagram niet meer dan 250 pogingen toe per ip-adres.

Wel bleek het mogelijk tot 500 pogingen te ondernemen wanneer er afwisselend een ander ip-adres werd gebruikt. Voor 150 dollar kon de hacker via een cloudservice-provider ten slotte de brute force-aanval uitvoeren, vanaf zo’n 4000 ip-adressen tegelijk.

Mite en mitb

Een andere manier om gegevens buit te maken, zijn mitm-aanvallen (man-in-the-middle), maar uiteraard zijn er ook mite-aanvallen mogelijk. Dat staat voor man-in-the-endpoint, waarbij een hacker erin slaagt een toestel van de gebruiker zelf te compromitteren. Het zal je weinig verbazen dat in zo’n scenario eigenlijk geen enkele communicatiewijze nog betrouwbaar is, en dus ook mta niet.

Zo’n mite-aanval vinden we bijvoorbeeld vaak terug bij banking trojans. Hierbij wordt in de lokale pc met behulp van social engineering of drive-by-downloads eerst een trojan geïnstalleerd. Die monitort heimelijk wat er in de browser gebeurt (man-in-the-browser, mitb). Wanneer er een trefwoord herkend wordt dat aangeeft dat de gebruiker zich aanmeldt bij een bancaire instelling, start de trojan een tweede, verborgen browsersessie. Zodra de gebruiker – al dan niet via mfa – is aangemeld en zijn rekeningen bekijkt, wijzigt de trojan stiekem de accountinformatie en doet een bankoverschrijving naar een frauduleus bankaccount. Vraagt de bank om nadere uitleg, dan komt die automatisch terecht bij de hackers.

Om deze praktijken tegen te gaan, stuurden banken bij wijze van mfa authenticatiecodes door, gelinkt aan een specifieke transactie. Aanvankelijk hielp dat, maar de banking trojans pasten zich aan. Voortaan wachtten ze tot de gebruiker zelf een banktransactie deed, om dan in het geniep alleen de eigen transactie naar de bank te verzenden. Die stuurde daarop de mfa-code voor de frauduleuze transactie door en de gebruiker tikte die nietsvermoedend in.

©PXimport

Namespace hijacking

Een ‘namespace’ verwijst naar een gedeeld systeem waarbinnen objecten op een specifieke wijze opgeslagen en gelokaliseerd worden. Bekende namespaces zijn bijvoorbeeld AD (Active Directory in domeinnetwerken), LDAP (Lightweight Directory Access Protocol) en DNS (Domain Name System). Deze laatste zet webadressen om in de bijhorende ip-hostadressen en is daarmee een gewild doelwit voor allerlei aanvallen, waaronder DNS-hijacking.

We beperken ons hier tot een paar veelgebruikte methodes, waarvan de eenvoudigste de zogenoemde ‘doppelganger domains’ zijn. Dat zijn domeinnamen die bijna identiek zijn aan bekende exemplaren, zoals www.arnazon.com (in plaats van amazon), www.llnkedin.com (linkedin) en www.micosoft.com (microsoft). Iets technischer is malware die de instellingen van de DNS-client aanpast, meestal door de DNS-server bij de gebruiker te wijzigen of door het hosts-bestand van malafide ingangen te voorzien.

 Dit laatste kun je in Windows snel zelf uitzoeken. Druk op Windows-toets+R en voer %windir%\system32\drivers\etc in. Versleep het bestand hosts naar je bureaublad en open dit in Kladblok. Voeg de regel <ip-adres> <hostnaam> toe, met het ip-adres van een andere webserver dan die van de hostnaam). Sla het bestand op, versleep het weer naar de originele submap en sta de operatie toe. 

Herstart je pc en tik de hostnaam in je browser in. Je wordt nu omgeleid naar de webserver van het ip-adres. Een andere populaire techniek zijn de domain hijacks. Een hacker slaagt erdan in een ‘authoritative’ DNS-server over te nemen (wellicht via het account van een DNS-beheerder), waarna hij het ip-adres van een DNS-record naar een onbetrouwbare locatie laat verwijzen.

©PXimport

Access token

Wanneer een gebruiker zich succesvol authenticeert, genereren de meeste authenticatiesystemen een access (control) token en sturen dat door naar (het betreffende proces van) die gebruiker. Zo’n token kan de vorm aannemen van bijvoorbeeld een Kerberos-ticket (in een Windows-netwerk), maar kan net zo goed een html-cookie zijn, bijvoorbeeld als de gebruiker zich bij een website wil aanmelden. Dit token zorgt ervoor dat de gebruiker zich voor de daaropvolgende handelingen binnen dezelfde sessie niet telkens opnieuw hoeft aan te melden.

Natuurlijk, wie zo’n access token in handen krijgt, kan zich dus binnen zo’n sessie voordoen als de legitieme gebruiker (session hijacking). Dat kan in principe op twee manieren. Zo zijn er nog altijd heel wat websites die eenvoudig te raden sessie-ID’s gebruiken, zodat ze makkelijk kunnen worden gereproduceerd. Maar tokens stelen is vaak nog eenvoudiger, bijvoorbeeld door het kapen van een netwerksessie met tools als het reeds eerder vermelde Burp Suite of WebScarab (een onderdeel van Kali Linux). 

In feite komt dit neer op een mitm-aanval. Zo’n opzet is bijvoorbeeld mogelijk wanneer de hacker ongemerkt een proxy node opzet die alle commando’s van de client en de server naar de andere partij doorstuurt. In een lan kan dat bijvoorbeeld via arp poisoning. Loopt de communicatie over internet, dan kan de gebruiker bijvoorbeeld via phishing of met een doppelganger domain naar de malafide proxy worden gelokt waar alle input van de gebruiker, waaronder zijn mfa-authenticatie, in het geheim wordt doorgestuurd naar de echte doelsite (en omgekeerd).

©PXimport

Onbetrouwbare software

Soms maken de ontwikkelaars van mfa-oplossingen of van een van de ondersteunende componenten hackers het ongewild makkelijk. Er duiken namelijk nog vrij vaak kwetsbaarheden op in zulke software. Hier vind je een lijst met veelvoorkomende software-onvolkomenheden, specifiek voor authenticatie-doeleinden.

Wil je zelf uitzoeken of er hiaten zijn gevonden bij een (authenticatie-)product of softwareproducent, raadpleeg dan de CVE Details-database (Common Vulnerability and Exposures). Hier zie je ook de meest gebruikelijke programmeerfouten. We beperken ons hier tot twee bekende types: xss en buffer overflow.

Xss staat voor cross-site scripting en is een aanval op basis van code-injectie aan de clientzijde. Deze injectie kan bijvoorbeeld plaatsvinden wanneer je een webpagina met een malafide code bezoekt (persistent xss) of er via een ‘foute’ link terechtkomt (reflected xss). Bij deze laatste zijn dan aan het einde van de url extra parameters toegevoegd die door de server als commando’s worden geïnterpreteerd. Die kunnen er bijvoorbeeld voor zorgen dat de gebruiker stiekem naar een andere site wordt omgeleid.

Het andere type, buffer overflow, is bijna net zo oud als het programmeren zelf. Hierbij wordt bijvoorbeeld aan een listening service andere dan de verwachte en ook meer data doorgespeeld, waardoor deze input niet alleen de voorziene dataruimte opvult, maar ook de coderuimte, zodat de programma-instructies van de hacker worden uitgevoerd.

©PXimport

Fysieke aanval

Xss en buffer overflow zijn dus ongewilde bugs door ontwikkelaars van mfa-oplossingen, maar aan de andere kant van het spectrum bevinden zich de doelbewuste hardware-manipulaties door hackers. Dat kan zo simpel zijn als ‘schoudersurfen’ (meekijken over de schouder van een weinig alerte gebruiker – daarom ook hangen er doorgaans spiegels bij bankautomaten) of diefstal van het mfa-apparaat, zoals een totp-apparaat (time-based one-time password). Maar het kan ook veel geavanceerder, tot zogenoemde side-channel attacks (laterale kanaalaanvallen) aan toe.

Bij zo’n aanval wordt informatie verkregen door de fysieke implementatie van een systeem, zoals een specifiek energieverbruik, ultrasone emanaties (van beeldschermen) of elektromagnetische lekken. Op deze site kun je meer technische details lezen over een side-channel-aanval van begin 2021 op de security keys van Google Titan en YubiKey op basis van elektromagnetische straling.

Of wat tenslotte te denken van cold boot-aanvallen, waarbij geheugenchips zoals de TPM-chip (Trusted Platform Module) worden bespoten met vrieslucht, zodat de inhoud van de chips even behouden blijft – waaronder bijvoorbeeld de (decryptie)sleutel van een encryptietool als BitLocker. Vervolgens kan een hacker de inhoud van die chips met speciale software naar een ander apparaat kopiëren en daar uitlezen om zo de sleutel te bemachtigen. 

Dergelijke aanvallen zijn al met succes gedemonstreerd en ook op YouTube vind je hier aardig wat video’s over. Net zoals over vele andere aanvallen waarmee ook mfa-oplossingen te omzeilen zijn.

Microsoft Gaming-ceo Phil Spencer en Xbox-directeur Sarah Bond vertrekken bij het Amerikaanse bedrijf.

Dat hebben verschillende media vernomen, en Spencer zelf heeft het inmiddels ook bevestigd via social media. Daarbij publiceerde IGN ook interne e-mails van Microsoft's ceo Satya Nadella, de te vertrekken Spencer en de nieuwe Microsoft Gaming-ceo Asha Sharma en Matt Booty.

Naar verwachting vertrekt Spencer, die bijna veertig jaar bij Microsoft werkzaam was, aanstaande maandag. Xbox-president Sarah Bond - waarvan voorheen werd gedacht dat ze Spencer uiteindelijk zou vervangen - gaat ook weg. Asha Sharma is op dit moment nog de president van Microsofts CoreAI en gaat dus Microsoft Gaming bestieren. Matt Booty, het hoofd van Xbox Game Studios, wordt gepromoot naar chief content officer en zal nauw samenwerken met Sharma.

"Afgelopen najaar deelde ik met Satya dat ik nadacht over mijn vertrek en het beginnen aan het volgende hoofdstuk van mijn leven", zo stelt Spencer in zijn e-mail. "Vanaf dat moment gingen we aan de slag met onze aanpak, met het oog op het behoud van stabiliteit en het versterken van de fundering die we hebben gebouwd. Xbox is altijd meer dan een bedrijf geweest. Het is een levendige gemeenschap bestaande uit spelers, makers en teams die erg veel geven om wat we bouwen en hoe we dat doen. Het verdient een goed doordacht plan voor de toekomst."

"Ik wil Phil bedanken voor zijn uitzonderlijke leiderschap en samenwerking", aldus Nadella in zijn e-mail naar werknemers. "In meer dan 38 jaar bij Microsoft, waaronder 12 jaar aan het hoofd van de gamedivisie, heeft Phil geholpen met het transformeren van wat we doen en hoe we dat doen."

De nieuwe Microsoft Gaming-ceo aan het woord

Sharma, de nieuwe ceo van Microsoft Gaming, meldt in haar e-mail: "Mijn eerste taak is simpel: begrijpen hoe dit werkt en het vervolgens beschermen. Dat begint bij drie verplichtingen. Ten eerste geweldige games - daar begint alles mee. We moeten geweldige games hebben die door onze spelers geliefd worden." Vervolgens vertelt Sharma over het belang van onvergetelijke personages, de macht geven aan ontwikkelstudio's en iconische franchises.

"Ten tweede: de terugkeer van Xbox. We verbinden ons opnieuw aan onze trouwe Xbox-fans en -spelers, die de afgelopen 25 jaar in ons hebben geïnvesteerd, en de ontwikkelaars waar we de uitgebreide universa en ervaringen die onze spelers wereldwijd omarmen mee hebben gebouwd. We zullen onze afkomst eren met een vernieuwde inzet voor Xbox, te beginnen bij de console, die heeft gevormd wie we zijn." Sharma benadrukt daarbij dat games tegenwoordig op meerdere apparaten te vinden zijn, en spreekt uit dat Microsoft zich niet wil limiteren aan één apparaat. "Terwijl we uitbreiden op pc, mobiel en cloud, moet Xbox naadloos, onmiddellijk en waardig voor de gemeenschappen die we serveren voelen."

Het derde punt van Sharma is "de toekomst van spelen. We nemen de heruitvinding van spelen waar. Daarom zullen we investeren in nieuwe zakenmodellen en nieuwe manieren om te spelen door gebruik te maken van wat we al hebben: iconische teams, personages en werelden waar mensen van houden. Maar we zullen die werelden niet behandelen als statische IP om uit te melken en geld uit te onttrekken. We bouwen een gedeeld platform en gereedschappen die ontwikkelaars en spelers de macht geven om hun eigen verhalen te creëren en delen."

Over Spencer en de staat van Xbox

Phil Spencer werd in 2014 hoofd van Xbox, toen hij de opdracht had Xbox One van een gebrekkige release het jaar ervoor te redden. Tijdens die consolegeneratie werd onder andere het populaire Xbox Game Pass gelanceerd. Dankzij onder andere die service en zijn veelvuldige interviews werd hij al snel populair onder gamers.

Na de Xbox Series X en S-release in 2020 begon de mening over Spencer om te slaan, vooral gevoed door de veranderingen rondom Xbox als merk. Sinds enkele jaren komen de spellen van Xbox-ontwikkelaar zelfs vaak ook op andere platforms uit - bijvoorbeeld op PlayStation 5 en Nintendo Switch. Tegelijkertijd loopt de verkoop van de huidige Xbox Series X en S-consoles flink terug. Spencer zelf verscheen de afgelopen jaren steeds minder vaak in interviews, en ook de vele ontslagrondes en studiosluitingen binnen de Xbox-divisie zorgden voor reputatieschade.

Tegelijkertijd werden onder Spencers leiding grote aankopen als Bethesda en Activision Blizzard gedaan, bekend van gamefranchises als The Elder Scrolls, Fallout en Call of Duty.

Microsoft heeft eerder laten weten aan een nieuwe console te werken, die de grenzen tussen consoles en pc moet vervagen. Voor zover bekend wordt dit een apparaat die in feite pc-games af gaat spelen, alsmede Xbox-games, en waarop verschillende digitale pc-winkels bereikbaar zullen zijn - en dus niet alleen die van Microsoft zelf.

Het vertrek van twee belangrijke kopstukken binnen Microsofts gamedivisie is opvallend, zeker in combinatie met het feit dat de gametak van het bedrijf schijnbaar in een transitieperiode zit. Ook het feit dat de nieuwe ceo van Microsoft Gaming van CoreAI afkomt, houdt de gemoederen onder gamers bezig. Microsoft zet groots in op kunstmatige intelligentie, maar onder gamers heerst vooral onvrede over de invloed die AI tegenwoordig heeft op hun hobby. Sharma benadrukte in haar interne e-mail echter dat Xbox zich niet gaat richten op "zielloze AI-slop".

Toen je je laptop kocht, keek je waarschijnlijk vooral naar de processor, de grafische chip en hoeveel GB werkgeheugen erin zit. Of dat werkgeheugen DDR4 of DDR5 is, is voor de meeste mensen geen doorslaggevende factor. Toch is het wel handig om te weten wat de verschillen zijn tussen DDR4, dat je vooral in oudere laptops tegenkomt, en DDR5, dat bij nieuwe modellen meestal de standaard is. DDR5 kan per seconde meer data verwerken dan DDR4. Wat dat verschil betekent en wanneer extra gigabytes meer opleveren dan de stap naar DDR5, lees je in dit artikel.

De techniek achter DDR4 en DDR5

Het grootste verschil tussen DDR4 en DDR5 zit in de datasnelheid en bandbreedte. Zie het als een digitale weg: DDR4 is een prima route waar het verkeer netjes doorrijdt, DDR5 is een bredere snelweg waar per seconde meer data overheen kan. Daardoor hoeft de processor bij zware taken waarbij veel data heen en weer gaat (denk bijvoorbeeld aan videobewerking) minder vaak te wachten op nieuwe informatie. Let wel: die extra 'rijstroken' leveren pas winst op als je processor, grafische chip en software er ook echt gebruik van maken. Bij lichte taken, zoals browsen en tekstverwerken, is werkgeheugenbandbreedte zelden de bottleneck. Gaat dat langzaam, dan heeft dat eerder te maken met de processor, opslag, of de browser.

DDR5 kan ook helpen met het energieverbruik, omdat het op een lagere spanning werkt: 1,1 volt in plaats van 1,2 volt bij DDR4. In een laptop kan dat iets schelen, al hangt het effect af van wat je doet en hoe de rest van het systeem is opgebouwd. Daarnaast zit bij DDR5 een deel van de stroomregeling op de geheugenmodule zelf. Dat kan de stroomvoorziening stabieler maken, maar het maakt de module ook wat complexer om te produceren.

Wat biedt DDR5 in de praktijk?

DDR5 komt vooral tot zijn recht bij taken die veel werkgeheugenbandbreedte vragen, zoals 8K videobewerking of complexe simulaties. Daarbij blijft de processor (en soms de GPU) meestal de doorslaggevende factor: die bepaalt of je systeem zo'n klus überhaupt vlot aankan. DDR5 kan helpen om wachttijd te verminderen, maar het maakt een trage CPU niet ineens snel. Een ander voordeel is dat je per module hoge capaciteiten kunt halen. Voor zware desktop-werkstations zijn systemen met 256 GB aan werkgeheugen inmiddels realiteit. Bij laptops ligt die grens doorgaans lager, vaak rond de 128 GB, omdat ze meestal minder geheugenslots hebben. Bovendien is het werkgeheugen bij veel modellen vastgesoldeerd, waardoor je later niet kunt uitbreiden.

©Batorskaya Larisa

DDR5 voor gamers: nodig of niet?

Voor gamers blijft het voordeel van DDR5 vaak beperkt. In veel games gaat het om een klein verschil, en op 1440p of 4K zie je dat meestal nog minder terug omdat je dan eerder tegen de grens van de videokaart aanloopt dan tegen die van het werkgeheugen. Ook hier geldt: de keuze voor CPU en vooral GPU bepaalt je gameprestaties veel sterker dan de stap van DDR4 naar DDR5. Dat verschil tussen DDR4 en DDR5 is onderzocht in een vergelijkingstest van de gezaghebbende site Tom's Hardware. Daarbij ging het bijvoorbeeld om 3% verschil in gameprestaties in Assassin's Creed Valhalla, 2% in Far Cry 6, Tom Clancy's Ghost Recon Breakpoint, Watch Dogs: Legion en Borderlands 3, en 1% in Shadow of the Tomb Raider en Wolfenstein: Youngblood.

©Crystal Dynamics

Is een laptop met DDR4 nog goed genoeg?

Ja, voor de meeste Nederlanders is een laptop met DDR4 nog steeds goed genoeg. Gebruik je hem vooral voor internetten, Netflix kijken, Microsoft Office en af en toe een simpele fotobewerking, dan merk je in de praktijk nauwelijks verschil tussen DDR4 en DDR5. Bij laptops is DDR4 of DDR5 bovendien vaak geen losse keuze: het hangt samen met de generatie processor die in het model zit.

DDR5 kan wel voordeel geven bij zwaardere taken waarbij de computer grote hoeveelheden data tegelijk moet verwerken, maar dat wordt pas echt interessant als je met zware programma's werkt, of als je games zo soepel mogelijk wilt laten lopen - ervan uitgaande dat je CPU en GPU die werklast ook aankunnen. Denk aan situaties waarin je merkt dat je laptop moeite heeft om alles bij te houden, ook al staat de beeldkwaliteit niet eens extreem hoog. In veel situaties blijft het verschil klein. Belangrijker is vaak de hoeveelheid werkgeheugen: 16 GB voelt meestal merkbaar fijner dan 8 GB, ongeacht of het DDR4 of DDR5 is.

DDR4 is niet meer vanzelfsprekend goedkoop

Lange tijd was DDR4 de slimme, goedkope keuze als je vooral op de prijs lette: het verschil met DDR5 was groot. Door de huidige tekorten klopt dat beeld minder. DDR4-geheugen is flink duurder geworden; in sommige gevallen is de prijs zelfs meer dan verdubbeld. DDR5 is ook duurder geworden, maar omdat de productie van DDR4 wordt afgebouwd, kan DDR4 relatief harder in prijs oplopen. Daardoor ligt DDR4 in veel gevallen dichter tegen DDR5 aan dan je zou verwachten. Wie nu een nieuw systeem koopt, is met DDR4 vaak nog steeds het minst kwijt, alleen is 'goedkoop' bij werkgeheugen momenteel een rekbaar begrip.

©ronstik

Upgraden: wat wel en niet kan

DDR4 en DDR5 zijn nooit onderling uitwisselbaar, ook niet in een desktop. De inkeping zit op een andere plek en het platform moet het juiste type werkgeheugen ondersteunen. Je kunt dus geen DDR5 plaatsen in een systeem dat voor DDR4 is gemaakt, en andersom ook niet.

Bij laptops betekent dit meestal dat als je wilt overstappen op DDR5 je een nieuwe laptop zult moeten kopen. Veel laptops hebben namelijk geen uitbreidbaar werkgeheugen meer: de geheugenchips zitten voor ruimte- en kostenbesparing op het moederbord gesoldeerd, en bij sommige ontwerpen zelfs in hetzelfde pakket als de processor. Dan kun je later niets meer bijprikken. Dat is ook precies waarom DDR4 vs DDR5 bij laptops zelden de hoofdvraag is: je kiest een model, en daar hoort dit type geheugen bij.

Bij een desktop heb je vaak meer speelruimte, maar ook daar is het geen kwestie van alleen de geheugenmodules wisselen. Wil je van DDR4 naar DDR5, dan heb je een moederbord nodig dat DDR5 ondersteunt, en vaak ook een processor die bij dat moederbord past. Heb je vooral te weinig werkgeheugen (bijvoorbeeld 8 of 16 GB) en merk je dat je pc daardoor traag wordt, dan is extra DDR4 bijplaatsen meestal de goedkoopste verbetering. Pas als je toch al toe bent aan een grotere upgrade van je pc, wordt de stap naar DDR5 logisch.

Wanneer moet je echt upgraden?

Echt upgraden is pas zinvol als je merkt dat je huidige machine niet meer probleemloos werkt bij zware klussen zoals grote fotobestanden bewerken, video's monteren of veel dingen tegelijk doen. Heb je nu een laptop met 16 GB of 32 GB DDR4 die nog vlot werkt? Blijf die dan vooral gebruiken zolang de prijzen zo hoog liggen. Twijfel je, kijk dan eerst wat de oorzaak van de mindere prestaties is: zit je werkgeheugen tegen zijn limiet, of zijn het vooral je processor of GPU die de klus niet bijbenen?

Zo controleer je of je extra RAM nodig hebt

Voordat je besluit om een flinke investering te doen in een nieuw systeem of extra geheugen, is het slim om te kijken hoe je huidige computer presteert onder druk. Je kunt dit eenvoudig zelf testen op zowel Windows als Mac.

Windows

Open eerst de programma's die je normaal gesproken tegelijk gebruikt, zoals je browser met veel tabbladen, Word en een videocall. Druk daarna op Ctrl + Shift + Esc om Taakbeheer te openen. Ga naar het tabblad Prestaties en klik op Geheugen. Kijk vervolgens naar de grafiek en het percentage dat in gebruik is: blijft dat langere tijd rond de 80 tot 90 procent hangen terwijl je gewoon je dagelijkse werk doet, dan zit je tegen de grens van je werkgeheugen aan. Dat merk je vaak aan kleine haperingen, zoals tabbladen die trager laden of apps die later reageren. Zie je tegelijk dat je pc veel met de schijf bezig is, bijvoorbeeld omdat programma's ineens langzamer worden terwijl je opslaglampje blijft knipperen, dan is de kans groot dat Windows tijdelijk data op de SSD parkeert omdat het werkgeheugen volloopt.

Apple

Open je gebruikelijke programma's en druk daarna op Command + Spatiebalk. Typ Activiteitenweergave en druk op enter. Klik bovenin op het tabblad Geheugen en kijk onderaan naar de grafiek bij Geheugendruk. Is die groen, dan is er niets aan de hand. Wordt de grafiek geel of rood, dan heeft je Mac meer geheugen nodig om alles vlot te blijven draaien. Let ook op Gebruikte swap: als dat oploopt tot meerdere gigabytes, dan is je werkgeheugen in de praktijk te krap.