Module 7 · 7.3
Gebruikers, rollen en tweestapsverificatie
Module 7: Samenwerken, apps en beveiliging · Leestijd: 11 minuten
Leerdoel: Na deze les kun je gebruikers en beheerders in je nieuwe dienst veilig inrichten, de juiste vorm van tweestapsverificatie kiezen en een vaste routine opzetten voor nieuwe en vertrekkende collega's.
Kernbegrippen: account per persoon, beheerder, eigenaar, rol, minste rechten, tweestapsverificatie (2FA), TOTP, passkey, beveiligingssleutel, WebAuthn, back-upcodes, app-wachtwoord, sessie intrekken, eenmalige aanmelding (SSO), indienst en uitdienst (onboarding en offboarding), eigendom overdragen
Een overstap is een kans om op te ruimen
Bij de inventaris (les 3.1) bleek dat Bakkerij De Korrel 15 Google-accounts heeft voor 12 mensen. Twee zijn van mensen die al lang weg zijn, en één account winkel@example.com wordt door vier mensen gebruikt met hetzelfde wachtwoord, dat op een briefje bij de kassa hangt. Dat komt veel voor. Bij de overstap neem je zulke gewoonten niet mee, maar maak je het meteen goed.
Eén account per persoon
De basisregel: iedere persoon een eigen account, met een eigen wachtwoord en een eigen tweede stap. Waarom?
- Je ziet wie wat heeft gedaan (activiteit, versies, wie heeft gedeeld).
- Vertrekt iemand, dan zet je één account uit en hoeft niemand een nieuw wachtwoord te leren.
- Tweestapsverificatie werkt alleen goed als de tweede stap bij één persoon hoort.
Gedeelde adressen zoals winkel@example.com of info@example.com blijven bestaan, maar als gedeelde mailbox, alias of groep: meerdere mensen lezen mee met hun eigen account. Hoe dat heet en werkt, verschilt per aanbieder (les 4.4).
Rollen: wie mag wat?
In elke clouddienst zijn er minstens drie niveaus:
| Rol | Wat | Bij De Korrel |
|---|---|---|
| Aanbieder | De server, beveiliging, updates, back-ups van het systeem | De clouddienst |
| Beheerder of eigenaar | Gebruikers aanmaken en uitzetten, wachtwoorden resetten, licenties, opslag | Eigenaar Fatima en officemanager Ruud |
| Gebruiker | Eigen bestanden, delen, agenda, wachtwoord en tweede stap | Iedereen |
Twee vuistregels:
- Minste rechten. Geef iemand alleen de rechten die hij nodig heeft. Een bakker hoeft geen gebruikers te kunnen aanmaken.
- Minimaal twee beheerders. Is er maar één, en die is ziek, op vakantie of vertrokken, dan kan niemand een wachtwoord resetten of de dienst opzeggen. Twee beheerders, allebei met een eigen account en eigen tweede stap, en de gegevens van het beheeraccount bij de aanbieder (het contract) staan op naam van de organisatie, niet van één persoon.
Let op het verschil tussen beheer van het pakket en toegang tot bestanden. Een goede dienst laat een beheerder accounts beheren zonder dat hij in de bestanden van anderen kan kijken. Maar wie een wachtwoord kan resetten, kan daarna wel als die persoon inloggen, als de tweede stap naar een adres gaat dat hij kan lezen. Kies voor elke gebruiker daarom het eigen e-mailadres als herstel- en codeadres.
Tweestapsverificatie: waarom en welke
Een wachtwoord alleen is niet genoeg. Wachtwoorden lekken bij datalekken van andere sites, worden geraden of worden ontfutseld met phishing. Het Nationaal Cyber Security Centrum (NCSC) adviseert tweestapsverificatie overal waar het kan. Met tweestapsverificatie (2FA) heb je naast je wachtwoord iets nodig dat je hebt: je telefoon, een sleutel of je mailbox.
| Tweede stap | Hoe het werkt | Sterk en zwak |
|---|---|---|
| Code per e-mail | De dienst mailt een code | Makkelijk; zo veilig als je mailbox. Beveilig die dus goed |
| Code per sms | De dienst sms't een code | Beter dan niets; kwetsbaar als iemand je nummer overneemt (simkaartfraude) |
| Authenticator-app (TOTP) | Een app op je telefoon maakt elke 30 seconden een nieuwe code van zes cijfers | Werkt offline, veel gebruikt. Een nepsite kan een code nog wel afvangen als je hem daar invult |
| Melding op een ander apparaat | Je keurt de inlog goed op een apparaat waarop je al bent ingelogd | Makkelijk; let op dat je niet zomaar op "goedkeuren" tikt |
| Passkey of beveiligingssleutel (WebAuthn) | Je telefoon, computer of een sleutel (zoals een YubiKey) bevestigt met vingerafdruk, gezicht of pincode | Het sterkst tegen phishing: werkt alleen op de echte site |
TOTP staat voor time-based one-time password, beschreven in RFC 6238. De dienst en je app delen één geheime sleutel (die je overneemt met een QR-code) en rekenen allebei uit de sleutel en de tijd dezelfde code uit. Daarom moet de klok van je telefoon kloppen.
Passkeys zijn gebaseerd op de standaard WebAuthn van W3C en FIDO. Je apparaat maakt per site een sleutelpaar. Omdat de sleutel aan het echte adres van de site vastzit, kan een nepsite er niets mee. Steeds meer diensten ondersteunen passkeys als tweede stap of zelfs in plaats van het wachtwoord.
Back-upcodes en de dag dat je telefoon kwijt is
Elke tweede stap kan wegvallen: telefoon kwijt, kapot, nieuwe telefoon zonder de app over te zetten. Daarom:
- Maak back-upcodes aan (meestal tien codes die elk één keer werken) en bewaar ze niet op dezelfde telefoon. Afgedrukt bij de belangrijke papieren, of in een wachtwoordmanager (les 7.4).
- Zet minstens twee methoden aan, bijvoorbeeld authenticator-app plus e-mailcode, of passkey plus back-upcodes.
- Nieuwe telefoon? Zet de authenticator-accounts eerst over, voordat je de oude wist of inlevert.
Zit iemand toch buitengesloten, dan helpt de beheerder (bijvoorbeeld door het e-mailadres te wijzigen naar een adres dat de gebruiker wel kan lezen), of de aanbieder, na een controle wie het verzoek doet. Dat duurt bewust even: een aanbieder die zonder controle de tweede stap uitzet, helpt ook een oplichter.
App-wachtwoorden en sessies
Apps die de tweede stap niet kunnen invullen, krijgen een eigen app-wachtwoord (les 7.2). Per app per apparaat één, met een herkenbare naam. In het overzicht van apparaten en sessies zie je waar iemand is ingelogd. Daar trek je een gestolen telefoon of een oude laptop in. Kijk daar af en toe, en zeker bij elk vertrek.
Eenmalige aanmelding (SSO)
Grotere organisaties laten mensen met één account inloggen bij meerdere diensten: eenmalige aanmelding of SSO, vaak via standaarden als SAML of OpenID Connect. Let op: als je nu "Inloggen met Google" of "Inloggen met Microsoft" gebruikt bij andere diensten (boekhouding, planning, webshop), dan verlies je die toegang als je je Google- of Microsoft-account opheft. Dat stond als verborgen koppeling in je inventaris (les 3.1). Zet die diensten vóór het opzeggen om naar inloggen met e-mail en wachtwoord, of naar je nieuwe SSO.
In- en uitdienst: een vaste routine
De meeste problemen ontstaan niet bij de overstap, maar een jaar later, als iemand vertrekt en niemand weet wat er moet gebeuren. Leg daarom nu een vaste routine vast (opdracht E7.3):
Nieuwe collega: account aanmaken met eigen e-mailadres, groepen en licenties toekennen, de gegevens veilig doorgeven (wachtwoord via een ander kanaal), eerste keer inloggen samen doen, tweede stap en back-upcodes instellen, apps installeren.
Vertrekkende collega: eerst eigendom overdragen van bestanden en mappen (in veel diensten is een verwijderd account met alle bestanden definitief weg), gedeelde agenda's en mappen overzetten, licentie vrijmaken, account uitschakelen (niet meteen verwijderen), app-wachtwoorden en sessies intrekken, mail doorsturen of als gedeelde mailbox houden, en pas na een afgesproken termijn verwijderen.
In de praktijk: zo ziet het eruit bij een aanbieder
Bij een WebOké Nextcloud is niemand beheerder in Nextcloud zelf. De eigenaar van het pakket beheert gebruikers in Mijn WebOké, bij Gebruikersbeheer op de pakketpagina: gebruiker toevoegen, wachtwoord wijzigen, uitschakelen of verwijderen, en de Office-licentie aan of uit. Iedere gebruiker regelt zijn eigen beveiliging in Nextcloud bij Instellingen, Beveiliging: de code per e-mail staat altijd aan, en daar zet je een authenticator-app (TOTP), back-upcodes, een passkey en app-wachtwoorden aan, en zie je Apparaten & sessies.
Bij andere aanbieders werkt het vergelijkbaar: er is een beheeromgeving voor accounts en per gebruiker een beveiligingspagina. De namen van de knoppen verschillen.
Samenvatting
- Eén account per persoon; gedeelde adressen worden gedeelde mailboxen of groepen.
- Minste rechten en minimaal twee beheerders; het contract op naam van de organisatie.
- Zet tweestapsverificatie voor iedereen aan. Passkeys en beveiligingssleutels zijn het sterkst tegen phishing; TOTP is een goede, veelgebruikte keuze.
- Back-upcodes niet op dezelfde telefoon, en minstens twee methoden.
- Leg een vaste routine vast voor in- en uitdienst: eerst overdragen, dan uitschakelen, pas later verwijderen.
Quiz
Opdracht
Opdracht E7.3: Rollen en in- en uitdienstroutine. Maak een rollenoverzicht voor je organisatie (wie is beheerder, wie niet, wie is de tweede beheerder) en vul de in- en uitdienstchecklist in voor je eigen dienst. Zet tweestapsverificatie aan bij je eigen account en bevestig dat je back-upcodes buiten je telefoon bewaard zijn.
Opdracht E7.3: Rollen en in- en uitdienstroutine
Vul het rollenoverzicht en beide routines in voor je eigen dienst, en zet 2FA aan op je eigen account.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
- Nextcloud handleiding 3.3: Een authenticator-app instellen en back-upcodes bewaren
- Nextcloud handleiding 3.5: App-wachtwoorden: wanneer en hoe
- Nextcloud handleiding 3.6: Apparaten en sessies bekijken, intrekken of op afstand wissen
- Nextcloud handleiding 3.10: Telefoon kwijt of 2FA kwijt: zo kom je weer binnen
- Nextcloud handleiding 14.2: Gebruikers aanmaken, bewerken, uitschakelen en verwijderen
- Nextcloud handleiding 14.7: Rechten: wie beheert wat in je Nextcloud?
- Nextcloud handleiding 16.7: Collega vertrekt: bestanden, agenda en gedeelde mappen veilig overnemen
- WebOké handleiding 3.3: Een authenticator-app gebruiken
- Tweestapsverificatie (2FA) in Nextcloud instellen
- App-wachtwoord aanmaken (nodig om te verbinden met apps en apparaten)
- NCSC, Ransomware uitgelegd (met het advies tweestapsverificatie overal te gebruiken): https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- RFC 6238 (TOTP): https://www.rfc-editor.org/rfc/rfc6238
- W3C Web Authentication (WebAuthn): https://www.w3.org/TR/webauthn-3/ en FIDO Alliance over passkeys: https://fidoalliance.org/passkeys/