Securitywatch: hoe u niet wordt buitengesloten met tweefactorauthenticatie | max eddy

Beveiligingstools zorgen vaak voor een zekere mate van angst. Wat gebeurt er als ik mijn wachtwoord verlies? Of als mijn antivirus mijn spullen verwijdert? De komst van tweefactorauthenticatie heeft een nieuwe wending gegeven aan een bekende angst: wat gebeurt er als ik mijn tweede factor niet kan gebruiken en geen toegang meer heb tot mijn account?

Jeremy uit Kaapstad schreef met een paar zorgen over 2FA. Ik heb zijn brief voor beknoptheid bewerkt.

Geachte heer, Ik ben niet al te technisch en wil een tweefactorauthenticatieapparaat dat geen lastige complicaties tegenkomt bij het instellen of gebruiken zoals je de Yubikey tegenkwam. Mijn grootste angst is mezelf uit mijn Gmail te sluiten.

Is het beter om twee sleutels te kopen, met één als back-upsleutel?

Vriendelijke groet, Jeremy

Als u nog nooit van tweefactorauthenticatie of 2FA heeft gehoord, is hier de kern: 2FA is een tweede actie die u uitvoert nadat u uw wachtwoord hebt ingevoerd om uw identiteit te verifiëren. Het idee is dat een aanvaller misschien uw wachtwoord heeft, maar dat deze niet uw beveiligingssleutel, authenticator-app of sms-code heeft. Er is een hele theorie en praktijk voor 2FA waar ik hier niet op in ga, maar ik moedig je aan om 2FA in te schakelen en in te schakelen waar je kunt.

Jeremy is in goed gezelschap in zijn bezorgdheid over 2FA. Veel technisch onderlegde en beveiligingsbewuste mensen die ik ken, blijven tweefactorenbescherming mijden omdat ze bang zijn buitengesloten te worden en misschien voor altijd de toegang tot hun spullen te verliezen. Het is een echte en geldige zorg.

Lezer, het is mij overkomen

Ik ben zelfs al eerder buitengesloten van 2FA-beveiligde accounts. Meerdere keren. Vroeger was Blizzard een van de eerste bedrijven die tweefactorauthenticatie aanboden. World of Warcraft-spelers kregen eerst toegang, omdat ze hun zuurverdiende buit moesten beschermen. Je herinnert je misschien mensen die rondliepen met WoW-sleutelhangers die veranderende cijfers op een LCD-scherm toonden. Blizzard verfijnde later de ervaring in een mobiele app en implementeerde 2FA voor alle Battle.net-gebruikers.

Als de paranoïde persoon die ik ben, heb ik 2FA ingeschakeld op mijn Blizzard-account met behulp van de speciale Blizzard Authenticator-app. Ik was meteen vergeten dat ik dit had gedaan en in de tussenliggende maanden heb ik de app van mijn telefoon verwijderd en mijn wachtwoord vergeten. Gelukkig heeft Blizzard uitstekende klantenservice. Een paar e-mails met hun vriendelijke personeel brachten me binnen een paar dagen weer online. Het was echter nog steeds zenuwslopend. Ik was er zo aan gewend om met mijn eigen wachtwoordresets om te gaan, en het idee om als onderdeel van dat proces met een echte levende mens te moeten omgaan, voelde, nou, heel vreemd.

Sindsdien ben ik meer gewend geraakt aan de ervaring en heb ik geleerd slimmer te zijn in het beveiligen van mijn authenticator. Ik ben er nog steeds in geslaagd om herhaaldelijk buitengesloten te worden van Battle.net, evenals Steam en andere services.

Afhankelijk van hoe een bedrijf zijn 2FA-aanbod configureert, moet u wellicht achterover buigen om de controle over uw account terug te krijgen. Hoe vervelend dat ook klinkt, het betekent eigenlijk dat de service werkt. Je zou door veel hoepels moeten springen als je de authenticator niet hebt. Als het gemakkelijk voor je was, dan zou het gemakkelijk zijn voor een slechterik.

Vermenigvuldig uw factoren

Gelukkig is er een eenvoudige manier om te voorkomen dat u wordt geblokkeerd door 2FA: gebruik meerdere 2FA-opties. Deze kunnen als back-up fungeren als u geen toegang hebt tot een andere 2FA-optie. Ik gebruik bijvoorbeeld een YubiKey 5 NFC met mijn Google-accounts, maar ik heb ook ingeschakeld om op een verificatie-pushmelding op mijn telefoon te tikken. Als ik mijn Yubikey niet heb, gebruik ik die in plaats daarvan.

Als u meer multifactor-apparaten toevoegt, neemt het risico toe dat uw account wordt aangetast. Nu zijn er twee manieren om in uw account te komen, in plaats van slechts één. Ik ben van mening dat de voordelen van het niet worden geblokkeerd van je account enorm opwegen tegen het zeer onwaarschijnlijke scenario waarin je wordt overvallen en de dader je portemonnee, sleutels en beveiligingssleutel neemt en je ook je wachtwoord laat uitschrijven.

De Google Titan Security Key-bundel.

De beste goedkeuring van het gebruik van meer dan één 2FA-apparaat komt van Google, dat twee sleutels in de Titan Key-bundel biedt. Deze zijn speciaal gemaakt om te werken met het geavanceerde beveiligingssysteem van Google, waarbij u twee afzonderlijke beveiligingssleutels moet registreren. Je gebruikt er elke dag een en je zet de andere weg voor noodgevallen. Dus, om direct de vraag van Jeremy te beantwoorden: Het is geen slecht idee om twee sleutels voor je account te hebben.

Helaas laten niet alle sites toe om meer dan één multifactor-optie in te schrijven. Als dat het geval is, raad ik aan de 2FA-optie te gebruiken waarvan u denkt dat deze het meest betrouwbaar voor u is.

Uw Authenticator-arsenaal bouwen

Als u ervoor kiest om meerdere hardware 2FA-sleutels te kopen, raad ik aan onze Editors 'Choice Security Key van Yubico of de Titan Key-bundel van Google te gebruiken. De beveiligingssleutel van Yubico kost slechts $ 20 per stuk, of $ 36 voor twee. De bundel van Google kost $ 50 en omvat twee apparaten: een USB-stick en een Bluetooth-dongle op batterijen.

De beveiligingssleutel van Yubico

Jarenlang was de meest gebruikelijke manier om 2FA te gebruiken om eenmalige codes via sms naar uw telefoon te sturen. Waarschijnlijk moet u dit nog steeds gebruiken bij uw bank, omdat financiële instellingen de neiging hebben om langzamer nieuwe technologieën te gebruiken. Google moet interessant genoeg nog steeds sms-codes inschakelen als u andere 2FA-systemen wilt gebruiken. Op de vraag van Jeremy betekent dit dat wanneer u uw nieuwe beveiligingssleutel bij Google gaat registreren, u al een tweede 2FA-optie in de vorm van sms-codes moet inschakelen.

Een andere optie is om Google Authenticator, of een vergelijkbare app zoals de LastPass Authenticator te gebruiken. Deze mobiele apps genereren om de 30 seconden zescijferige toegangscodes. Open de app, kopieer de code en je bent binnen. Deze zijn vooral handig als een back-up 2FA-optie, omdat de app zelfs zonder mobiele service of wifi werkt.

Als dat allemaal zorgelijk lijkt, kunt u mijn voorkeursmethode gebruiken: fysieke back-upcodes. Mogelijk hebt u deze gezien bij het maken van accounts of bij het inschrijven voor 2FA. Het is een raster van verschillende nummers dat u kunt gebruiken in plaats van een wachtwoord en 2FA-tokens. Ze worden slechts eenmaal gegenereerd en als u ze opnieuw genereert, worden de oude weggegooid. In het ideale geval beveiligt u deze in een gecodeerde bestandskluis, of beter nog op een stuk papier dat op een veilige plaats is opgeborgen.

Toen het zijn Advanced Protection-programma maakte, koos Google voor meerdere hardwaresleutels omdat alle andere opties die ik hierboven vermeldde - inclusief back-upcodes - mogelijk konden worden vastgelegd met een goed gemaakte phishing-pagina. Een beveiligingssleutel vervalsen is veel moeilijker.

• Twee-factor authenticatie: wie heeft het en hoe het in te stellen Twee-factor authenticatie: wie heeft het en hoe het in te stellen
• Waarom gebruikt u geen tweefactorauthenticatie? Waarom gebruikt u geen tweefactorauthenticatie?
• Google: Phishing-aanvallen die Two-Factor kunnen verslaan nemen toe Google: Phishing-aanvallen die Two-Factor kunnen verslaan nemen toe

Houd er rekening mee dat niet alle sites elke soort authenticator ondersteunen. Met LastPass kunt u bijvoorbeeld beveiligingssleutels gebruiken, maar alleen sleutels die eenmalige toegangscodes ondersteunen. Uitzoeken welke authenticators moeten worden gebruikt, is vaak een functie van welke opties worden ondersteund.

Uw eerste stappen voor tweefactorauthenticatie

Dat gezegd hebbende, adviseer ik iedereen die nieuw is bij 2FA het eerst uit te proberen met een ander systeem dan beveiligingssleutels. Als je niet gewend bent om dat tweede ding rond te hebben om in te loggen, heb je meer kans om iets zo ongewoons als een beveiligingssleutel te verknoeien. Probeer in plaats daarvan pushmeldingen, codes die via sms, Duo of Google Authenticator (of vergelijkbare codegenerator) zijn verzonden. Deze maken gebruik van de apparaten die u al hebt, dus er zijn geen toegangskosten. Als u eenmaal bekend bent met hoe 2FA werkt en het als een tweede natuur begint te voelen, kunt u overwegen het geld te gebruiken voor een beveiligingssleutel (s).

Een beveiligingsfunctie is alleen waardevol als u deze daadwerkelijk gebruikt. Dus schakel 2FA in, maar geef jezelf toestemming om ermee te spelen en een methode te vinden die voor jou werkt.