Tweestapsverificatie: codes, apps en sms

Module 2: Wachtwoorden en inloggen · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de vormen van tweestapsverificatie vergelijken (sms, mail, TOTP, push), de aanvallen erop herkennen en herstel regelen voor als je telefoon kwijt is.

Kernbegrippen: 2FA/MFA, factor (weten, hebben, zijn), TOTP, gedeeld geheim, push-melding, MFA-moeheid, sim-swap, herstelcodes

Twee verschillende bewijzen

Een wachtwoord is iets wat je weet. Lekt het, dan kan iedereen die het kent inloggen. Tweestapsverificatie (2FA) vraagt daarom een tweede bewijs van een andere soort. Bij meer dan twee spreek je van meerfactorauthenticatie (MFA); in de praktijk worden de termen door elkaar gebruikt.

Er zijn drie soorten factoren:

• Weten: een wachtwoord of pincode.
• Hebben: je telefoon met een app, een beveiligingssleutel, een pas.
• Zijn: je vingerafdruk of gezicht.

Twee keer dezelfde soort telt niet: een wachtwoord plus een beveiligingsvraag zijn twee dingen die je weet. Het NCSC geeft een dringend advies om MFA te gebruiken op elk systeem en account dat het ondersteunt, en zeker op accounts die via internet bereikbaar zijn en accounts met beheerrechten. Voor een klein bedrijf zijn dat in elk geval: mail, hosting en domeinregistratie, bank, boekhouding, webwinkel, de wachtwoordmanager en social media van de zaak.

De vormen naast elkaar

Elke vorm is veel beter dan geen tweede stap. Maar de tabel laat ook zien: alles waarbij jij een code overtypt of een melding goedkeurt, kan een oplichter je laten doen op zijn nepsite. NIST zegt het in SP 800-63B-4 zonder omwegen: methoden waarbij je de uitkomst met de hand invoert, zijn niet phishingbestendig.

Hoe een authenticator-app werkt

Een authenticator-app gebruikt TOTP: Time-based One-Time Password, beschreven in RFC 6238. Het werkt zo:

1. Bij het instellen maakt de dienst een willekeurig gedeeld geheim, bijvoorbeeld 32 tekens als JBSWY3DPEHPK3PXP.... Dat geheim zit in de QR-code die je scant, of je typt het over als "handmatige sleutel".
2. Je app en de dienst hebben nu allebei hetzelfde geheim. Daarna is er geen contact meer tussen die twee nodig.
3. Elke 30 seconden rekenen beide het geheim plus de huidige tijd om tot een code van 6 cijfers. Omdat ze hetzelfde geheim en dezelfde klok hebben, komt dezelfde code uit.
4. Bij het inloggen vergelijkt de dienst jouw code met zijn eigen uitkomst, meestal met een marge van één tijdvak ervoor of erna voor een klok die iets afwijkt.

Twee gevolgen:

• Het geheim is het eigenlijke slot. Wie de QR-code of de handmatige sleutel ziet, kan voor altijd dezelfde codes maken als jouw telefoon. Maak er dus geen screenshot van, deel hem met niemand en stuur hem niet naar een collega.
• De code werkt ook zonder internet en komt niet via het telefoonnet binnen. Daarom is TOTP sterker dan sms.

Authenticator-apps zijn er in soorten: los op je telefoon, ingebouwd in een wachtwoordmanager, open source of van een groot techbedrijf, met of zonder versleutelde back-up in de cloud. Voorbeelden zijn Aegis, Google Authenticator en Microsoft Authenticator, naast de functie in managers als Bitwarden of 1Password. Een back-up is handig bij een nieuwe telefoon, maar het NCSC waarschuwt: een slecht versleutelde back-up geeft een aanvaller ook toegang.

Sim-swap: waarom sms de zwakste vorm is

Bij sim-swap neemt een oplichter jouw telefoonnummer over. Hij laat je nummer overzetten op een simkaart of eSIM die hij zelf heeft. Dat lukt bijvoorbeeld door zich bij je provider voor te doen als jou, of door jou zelf te laten meewerken: de Fraudehelpdesk waarschuwt voor sms'jes en telefoontjes "namens je provider" dat je simkaart moet worden gevalideerd of dringend omgezet naar een eSIM.

Zodra het lukt:

• heeft je telefoon ineens geen bereik meer en kun je zelf niet bellen of sms'en;
• krijgt de oplichter alle sms-codes, ook de "wachtwoord vergeten"-codes van diensten die je nummer als herstelmiddel gebruiken;
• kan hij soms met alleen je nummer accounts overnemen.

Het lastige: je merkt het pas als je telefoon niets meer doet, vaak 's avonds of in het weekend. NIST noemt sms daarom een beperkte methode, en zegt dat diensten moeten letten op signalen als een nieuwe simkaart of een nummer dat is overgezet. Het NCSC raadt aan sms waar mogelijk te vermijden, omdat berichten niet versleuteld zijn en onderschept kunnen worden.

Wat doe je?

• Kies waar het kan een app of passkey in plaats van sms.
• Verwijder je telefoonnummer als herstelmiddel waar dat een zwakke plek is, of bescherm het extra.
• Vraag je provider of je een extra pincode of controle kunt instellen voor het overzetten van je nummer.
• Valt je bereik plotseling weg zonder reden? Bel je provider vanaf een ander toestel. Niet afwachten.

Sms blijft beter dan niets. Biedt een dienst alleen sms, zet het dan toch aan.

MFA-moeheid: de melding die je wegklikt

Bij een push-melding hoef je niets over te typen: je telefoon vraagt "Probeer je in te loggen?" en je tikt op Goedkeuren. Makkelijk, en precies daarom misbruikt.

Bij MFA-moeheid (ook wel push-bombardement) heeft een aanvaller je wachtwoord al. Hij logt steeds opnieuw in, zodat jouw telefoon de ene melding na de andere krijgt, soms midden in de nacht. Het Amerikaanse CISA beschrijft hoe mensen dan uit ergernis of per ongeluk op Goedkeuren tikken, of denken dat één van de meldingen wel echt zal zijn. Soms belt de aanvaller er ook nog bij, als "de helpdesk", met de vraag of je even wilt goedkeuren.

Een geval uit de praktijk dat het NCSC beschrijft: aanvallers kwamen via MFA-moeheid in de mailaccounts van een softwarebedrijf en gebruikten die daarna voor factuurfraude.

De regels:

• Keur nooit een melding goed die je niet zelf hebt veroorzaakt. Ook niet de twintigste.
• Een onverwachte melding betekent dat iemand je wachtwoord heeft. Wijzig het meteen en meld het.
• Kies waar het kan voor nummer overtypen: het inlogscherm toont een getal dat je in de app intypt. Wie niet voor het inlogscherm zit, kan dan niet goedkeuren. CISA noemt dat een goede tussenstap, maar zwakker dan phishingbestendige MFA.

Herstel: regel het voordat je telefoon kwijt is

Je telefoon valt in het water, wordt gestolen of gaat stuk. Zonder voorbereiding sta je dan buiten je eigen accounts. Daarom bestaan herstelcodes (ook back-upcodes): een rij reservecodes die je bij het instellen krijgt en die elk één keer werken.

• Bewaar ze niet op dezelfde telefoon als je authenticator-app. Druk ze af en leg ze bij je belangrijke papieren, of bewaar ze in je wachtwoordmanager bij het juiste item.
• Een herstelcode gebruikt? Streep hem door. Raken ze op, maak nieuwe.
• Zorg voor minstens twee manieren om binnen te komen: bijvoorbeeld de app plus herstelcodes, of twee beveiligingssleutels.
• Zet bij een nieuwe telefoon je accounts eerst over en wis pas daarna de oude.
• Weet hoe de herstelprocedure van je belangrijkste diensten werkt. Een goede dienst zet je tweede stap niet zomaar terug op een mailtje of telefoontje, maar controleert eerst dat jij het echt bent.

In de praktijk: zo ziet het eruit

In de WebOké-omgeving vraagt Mijn WebOké na je wachtwoord altijd om een tweede stap: standaard een code per e-mail, en je kunt overstappen op een authenticator-app. In DirectAdmin heet het Twee-Staps Authenticatie, met herstelcodes. In Nextcloud zet je TOTP aan en maak je tien back-upcodes. Bij andere aanbieders werkt het vergelijkbaar: zoek bij je profiel of beveiligingsinstellingen naar "tweestapsverificatie", "2FA", "authenticator" of "two-factor".

De stappen zijn bijna altijd dezelfde: QR-code scannen, één code ter controle invullen, herstelcodes opslaan.

Samenvatting

• 2FA combineert twee soorten factoren: weten, hebben, zijn.
• TOTP werkt met een gedeeld geheim en de klok. Het geheim (QR-code) is het eigenlijke slot: deel het nooit.
• Sms is de zwakste vorm door sim-swap en onderschepping, maar beter dan niets.
• MFA-moeheid: keur nooit een melding goed die je niet zelf veroorzaakte, en wijzig dan je wachtwoord.
• Codes en meldingen zijn niet phishingbestendig; passkeys en beveiligingssleutels wel (les 2.4).
• Regel herstelcodes en een tweede methode voordat je telefoon kwijt is.

Quiz

Opdracht

Opdracht A2.3: Een authenticator-app koppelen. Je krijgt een QR-code van een oefenaccount "WebOké oefening". Scan hem met een authenticator-app naar keuze en vul twee codes in die na elkaar verschijnen. Het programma controleert of je app goed rekent. Het oefengeheim heeft geen waarde en wordt na 24 uur gewist; verwijder het oefenaccount daarna uit je app.

Opdracht D2.3: Tweestapsverificatie aanzetten op je belangrijkste accounts. Zet tweestapsverificatie aan op je mail, hosting of domeinregistratie, bank, boekhouding en wachtwoordmanager. Bewaar de herstelcodes op een tweede plek en beantwoord de vraag wat je doet als je telefoon morgen kwijt is.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Tweestapsverificatie in Mijn WebOké en een authenticator-app instellen
• WebOké handleiding 3.2: De inlogcode per e-mail (tweestapsverificatie)
• WebOké handleiding 3.3: Een authenticator-app gebruiken
• DirectAdmin handleiding 3.2: Twee-Staps Authenticatie instellen
• DirectAdmin handleiding 3.3: Back-upcodes, en wat als je je authenticator kwijt bent
• Nextcloud handleiding 3.3: Een authenticator-app instellen en back-upcodes bewaren
• Nextcloud handleiding 3.10: Telefoon kwijt of 2FA kwijt: zo kom je weer binnen
• Tweestapsverificatie (2FA) in Nextcloud instellen
• NCSC, Hoe kies je een MFA methode?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
• Fraudehelpdesk, Valse berichten namens providers: simkaart wordt overgenomen: https://www.fraudehelpdesk.nl/alert/valse-berichten-kpn-en-odido-simkaart-wordt-overgenomen/
• CISA, Implementing Number Matching in MFA Applications (Engels): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Engels): https://www.rfc-editor.org/rfc/rfc6238