Inloggen in twee stappen

Een code van zes cijfers heeft precies 1 000 000 waarden. Een dief met je wachtwoord en vijf pogingen heeft dus kans 1 op 200 000.

Een dief heeft je wachtwoord. Wat is de kans op de code?

Een raadsel: iemand stal je wachtwoord, maar de site vraagt ook zes cijfers en geeft vijf pogingen. Hoe waarschijnlijk is een goede gok? Reken het hieronder uit vóór je verder leest.

Zes cijfers lopen van 000000 tot 999999: 10⁶ = 1 000 000 codes. Vijf pogingen geven 5 op 1 000 000 of 1 op 200 000. Met alleen het wachtwoord was de dief binnen. Met de code vrijwel nooit. Dat is de winst van meervoudige authenticatie.

Drie soorten bewijs; twee wachtwoorden blijven één soort

Meervoudige authenticatie, vaak tweefactor- of tweestapsinloggen, vraagt bewijs uit meer dan één soort factor. CISA noemt iets wat je weet (wachtwoord of pincode), hebt (telefoon of beveiligingssleutel) en bent (vingerafdruk of gezicht). Twee wachtwoorden zijn nog één soort. CISA adviseert iedereen MFA aan te zetten waar mogelijk, eerst e-mail, sociale media en financiële accounts. E-mail eerst: daar komen herstelkoppelingen. Wie je inbox beheert kan bijna alles resetten.

Codes die doorgestuurd kunnen worden, sleutels die dat niet kunnen

Gebruikelijke opties verschillen in weerstand. Een sms- of belcode gaat over het telefoonnetwerk. NIST noemt dit een beperkte authenticator: toegestaan, maar diensten moeten alternatieven en risicowaarschuwingen bieden en letten op recente simwissels of nummeroverdracht. Criminelen kunnen immers je nummer naar hun sim laten verhuizen. Een appcode ontstaat op je telefoon en gaat niet over het netwerk. Pushmeldingen vragen op Approve te tikken. Criminelen sturen soms tientallen verzoeken tot je toegeeft om ze te stoppen. CISA adviseert daarom nummermatching: typ het nummer van het inlogscherm.

Dit alles is nog vatbaar voor phishing. Een neppagina vraagt de code; jij typt hem en de crimineel geeft hem direct door. NIST zegt dat handmatig ingevoerde codes niet phishingbestendig zijn: niets bindt ze aan de echte site. CISA noemt phishingbestendige MFA de gouden standaard en FIDO/WebAuthn de enige breed beschikbare vorm: beveiligingssleutels en passkeys die alleen de bedoelde site antwoorden. Toch is elke MFA veel beter dan geen.

Voordat de telefoon verdwijnt

Bij tweestapsinloggen tonen diensten meestal eenmalige herstelcodes. NIST noemt ze look-up secrets. Ze helpen terug inloggen bij telefoonverlies. Bewaar ze veilig en apart van de telefoon: op papier thuis of in een wachtwoordmanager. Mail ze nooit aan jezelf en lees ze niet voor aan een beller. Echte ondersteuning heeft ze niet nodig.

Bereid je voor op een verloren of vervangen telefoon voordat het gebeurt. Bij de meeste diensten kun je meer dan één tweede factor registreren, bijvoorbeeld een authenticatorapp en een beveiligingssleutel, of een passkey op twee apparaten. Zet bij een nieuwe telefoon je authenticatorapp of passkeys over voordat je de oude wist. Raak je een telefoon kwijt, meld je dan aan met een herstelcode of andere factor en verwijder het verloren apparaat uit elk account.