In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.

Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.

Deze week de tip van Michael van der Vaart

Stel 2-factor authenticatie in
2-factor authenticatie bij het inlogproces wordt in steeds meer situaties toegepast. Google, Apple, Dropbox en Facebook bieden deze mogelijkheid voor hun gebruikers en zo zullen er meer volgen. Ook in de bedrijfsomgeving wordt 2-factor authenticatie steeds vaker gebruikt. Zo zijn wij zelf overgestapt naar een 2-factor softtoken systeem (dmv smartphone app) voor onze virtuele werkplekken en is de toegang tot het bedrijfsnetwerk via VPN op dezelfde manier beveiligd.

Wachtwoorden geven toegang tot steeds meer gegevens en controle. Accounts op webshops en app stores waar standaard een creditcard aan gekoppeld is, sociale netwerken, bestanden en e-mail. Hierbij is het wachtwoord is de enige bescherming om toegang te controleren. Het probleem is dat alleen een wachtwoord een relatief zwak beveiligingsmechanisme kan zijn.

Gebruikers hebben vaak zwakke wachtwoorden die voor meerdere accounts worden gebruikt en geven deze vaak gemakkelijk weg. Als social engineering geen vruchten afwerpt, is het plaatsen van een eenvoudige keylogger voldoende om de magische tekens op te vangen. En als je zelf denkt een sterk wachtwoord te hebben gekozen, komt het ook nog weleens voor een website wordt gehackt en jouw wachtwoord mogelijk alsnog op straat komt te liggen.

Banken en de overheid (DigiD) maken daarom al lange tijd gebruik van 2-factor authenticatie. Dit systeem vereist dat de gebruiker niet alleen iets weet (het wachtwoord) maar ook iets heeft (de 2e factor). Deze tokens (codes) zijn uniek, eenmalig te gebruiken en slechts een beperkte tijd houdbaar. Sommige banken sturen een 2e token per SMS evenals bij DigiD. Andere banken vereisen dat er een los apparaat wordt gebruikt om de 2e token te genereren voordat er een betaling gedaan kan worden.

Met alle informatie die wij opslaan in de digitale wereld, is het verstandig om, waar mogelijk deze informatie op de meest veilige manier te beveiligen. 2-factor authenticatie biedt een verbeterde en meer persoonlijke authenticatievorm. Het wordt door steeds meer online services aangeboden en is de meest verstandige keuze. Zo heeft Apple onlangs ook 2-factor authenticatie voor Nederland ingeschakeld, waardoor iTunes en App Store aankopen worden gekoppeld aan unieke devices. (zie Apple voor meer informatie en het inschakelen van deze dienst).

Voor gebruikers met een Google Account is het heel eenvoudig om 2-factor authenticatie in te schakelen. Na het inschakelen van 2FA moet de gebruiker behalve zijn of haar wachtwoord ook een token invoeren. Deze komt binnen via een app op de smartphone, een SMS of telefoonoproep. Dit gaat verder dan Gmail- het is op veel sites en diensten mogelijk om in te loggen met een Google account. (zie Google voor meer informatie en het inschakelen van deze dienst).

Dropbox, de meest populaire online storage biedt gelukkig ook ondersteuning voor 2FA, hiervoor kan gebruik worden gemaakt van het systeem van Google of gekozen worden uit alternatieven. (zie Dropbox voor meer informatie).

Tot slot is het ook mogelijk om Facebook via 2FA te beveiligen. Omdat Facebook door veel mensen continue in gebruik is zou per-sessie 2FA erg gebruiksonvriendelijk zijn. In plaats daarvan autoriseren gebruikers een systeem als ze zich er voor de eerste keer op aanmelden via een code die per SMS wordt ontvangen, iets dat Facebook “Aanmeldgoedkeuringen” heeft gedoopt wat is terug te vinden onder Instellingen > Beveiligingsinstellingen > Aanmeldgoedkeuringen. (zie Facebook voor meer informatie).


Het kan natuurlijk voorkomen dat het niet langer mogelijk is voor een gebruiker om de 2e factor in te zetten, bijvoorbeeld als je mobiele telefoon of token is gestolen. Voor dit soort gevallen worden er bij sommige 2FA systemen een eenmalig te gebruiken, langere noodcode aangemaakt die de gebruiker op een veilige plaats dient te bewaren. Elk 2FA systeem kan een eigen nood of herstelsysteem hebben, dus let hier goed op.

Informatie wordt steeds toegankelijker en op verschillende plekken opgeslagen, laten we deze allemaal op de beste manier beveiligen. 2-factor authenticatie is weer een stap in de goede richting.

Michael van der Vaart is technical information manager bij security expert SpicyLemon.

Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.