Is Multi Factor Authenticatie nog wel veilig genoeg?
Twee Factor Authenticatie (2FA), Multi Factor Authenticatie (MFA) of ook wel Twee-staps-Authenticatie (2SA) is tot nu toe altijd de beste methode geweest om accounts te beveiligen. Toch hebben hackers nu ook weer een manier gevonden om deze methode te kraken. Maar is het dan nog wel veilig genoeg?
#brandedcontent - Dit artikel is tot stand gekomen in samenwerking met Bitdefender
De eerste stap
Multi Factor Authenticatie wordt gebruikt voor het identificeren van gebruikers bij het aanloggen, waarbij minimaal twee stappen doorlopen moet worden om de identiteit van de gebruiker vast te kunnen stellen.
De eerste stap, of ook wel factor genoemd, is het aanloggen met een gebruikersnaam en een wachtwoord. Dat zijn we inmiddels al jarenlang gewend zo te doen. Deze eerste factor bestaat dan ook altijd uit iets dat alleen jij weet, zoals je gebruikersnaam en wachtwoord in dit geval. Toch kiezen veel mensen nog altijd voor simpele of makkelijk te raden wachtwoorden, of wordt voor elk account, website of programma telkens hetzelfde wachtwoord gebruikt. Dan bestaat er toch altijd een kans dat je gebruikersnaam of emailadres geraden of gevonden wordt. Door middel van een brute force aanval kan vervolgens door kwaadwillende geprobeerd worden het bijbehorende wachtwoord te achterhalen. Ook kan een wachtwoord gevonden worden doordat deze simpelweg al voor een ander accounts wordt gebruikt en daarbij in het verleden al eens is uitgelekt of gekraakt.
©PXimport
De tweede stap
Door een tweede factor te gebruiken, kan iemand die je gebruikersnaam en je wachtwoord weet te achterhalen, niet direct inloggen op je account. De tweede factor bestaat namelijk uit iets dat je bezit of iets dat je bent, en deze tweede factor voegt daarmee eigenlijk een tweede beschermingslaag toe aan je account. Goede voorbeelden van deze tweede factoren zijn gezichtsherkenning of vingerafdruk scans op je telefoon, maar het kan ook een code zijn die je via een sms op je telefoon ontvangt, of een tijdgebonden code die je via de Google of Microsoft Authenticator app op je telefoon ontvangt. Alleen het invoeren van de juiste combinatie van de eerste en tweede factor zorgt er uiteindelijk voor dat je ook werkelijk toegang krijgt tot het account.
Pushberichten
Er zijn al veel applicaties waarbij Multi Factor Authenticatie gebruikt kan worden, en ook veel applicaties die het inmiddels standaard actief hebben gemaakt. Sommige van deze applicaties geven zogenaamde pushberichten waarmee je kunt aangeven dat jij werkelijk de juiste persoon bent en in het bezit bent van zowel de gebruikersnaam, het wachtwoord maar ook de telefoon die je eerder hebt ingesteld voor MFA.
Sterke wachtwoorden
MFA is momenteel de belangrijkste manier om uw account te beveiligen. Maar een andere zeer eenvoudige maar belangrijke manier om accounts te beveiligen, is natuurlijk simpelweg het gebruik van veilige en sterke wachtwoorden, naast het gebruik van MFA. Hergebruik wachtwoorden niet telkens voor alle verschillende accounts die je hebt, maar maak in plaats daarvan gebruik van een wachtwoordmanager. Kies bijvoorbeeld voor één van de recent gelanceerde wachtwoordmanagers van Bitdefender. Met een wachtwoordmanager hoeft je zelf je wachtwoorden niet meer te onthouden. De wachtwoordmanager maakt verschillende, complexe en unieke wachtwoorden en zorgt daarmee voor de veiligheid van je accounts. In combinatie met MFA wordt het voor een aanvaller erg lastig om deze beveiligde accounts te compromitteren.
©PXimport
Met een wachtwoordmanager hoeft je zelf je wachtwoorden niet meer te onthouden. De wachtwoordmanager maakt verschillende, complexe en unieke wachtwoorden en zorgt daarmee voor de veiligheid van je accounts. In combinatie met MFA wordt het voor een aanvaller erg lastig om deze beveiligde accounts te compromitteren.
Ook zouden aanvallers de Multi Factor Authenticatie kunnen proberen te omzeilen door het onderscheppen van de sms-berichten waarin de benodigde tweede factor code staat. Ook zouden hacker reeds gemaakte verbindingen van gehackte servers af kunnen stelen om vervolgens de MFA niet meer nodig te hebben. De meeste MFA tools hebben een standaardperiode van 30 dagen voordat de gebruiker opnieuw geverifieerd moet worden. Maar het kan natuurlijk ook voor komen dat er een kwetsbaarheid wordt aangetroffen in de website die Multi Factor Authenticatie gebruikt zelf, waardoor de MFA ineens volledig te omzeilen valt. Kortom aanvallers bedenken telkens nieuwe manieren om het authenticatie mechanisme van websites te slim af te zijn en te omzeilen.
Is MFA nog steeds meest veilige optie?
Toch is MFA nog altijd een mechanisme die veel aanvallen kan afvangen, stoppen of misschien kan vertragen. Terwijl tegelijkertijd telkens nieuwe manieren worden dacht om MFA te kunnen omzeilen. Maar een hacker moet wel heel veel moeite doen om accounts die beveiligd zijn met MFA aan te gaan vallen. Ook de software van Bitdefender biedt de mogelijkheid om van 2FA gebruik te maken, zo is de software alleen toegankelijk op apparaten die door jou vertrouwd worden.
#brandedcontent - Dit artikel is tot stand gekomen in samenwerking met Bitdefender
