Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Je kunt ook een cookievrije versie van de website bezoeken met minder functionaliteit. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , reacties: 44, views: 28.889 •

Apple heeft een betere beveiliging voor Apple ID en iCloud gepresenteerd, die werkt met 2-factor authenticatie. Nederlandse en Belgische gebruikers kunnen die echter niet gebruiken en blijven zitten met het systeem van beveiligingsvragen.

Door de stap kunnen mensen van Apples Support-afdeling in de landen waar de nieuwe beveiliging werkt niet langer voor klanten het wachtwoord resetten, schrijft 9to5Mac. De toegang van supportmedewerkers tot het resetten van accountwachtwoorden is een zwakke plek in de beveiliging, omdat kwaadwillenden via social engineering zich kunnen voordoen als iemand anders en zo toegang krijgen tot het account. Dat gebeurde vorig jaar bij een redacteur van Wired.

De authenticatie bij Apple gebeurt via een viercijferige code, die naar een 'vertrouwd apparaat' wordt gestuurd, bijvoorbeeld een iPhone. Vervolgens kan via die pincode de toegang tot het account worden gekregen. Als backup is een 'recovery key', waarvan Apple adviseert dat gebruikers die uitprinten. Met die 14-cijferige code krijgen gebruikers eveneens toegang tot het account als andere methodes niet werken. Apple raadt aan om alleen een printje van die key te hebben en geen digitale versie, omdat die op afstand wellicht kan worden uitgelezen. Die code is genoeg om toegang te krijgen tot het account.

In Nederland en België kunnen gebruikers hun account vooralsnog alleen beveiligen via de beveiligingsvragen en hebben supportmedewerker bovendien de mogelijkheid om wachtwoorden te resetten. Wanneer en of de 'two factor authentication' ook in Nederland en België geactiveerd zal worden is onduidelijk.

Two factor authentication bij Apple ID

Reacties (44)

Beter systeem, hopen dat het snel in Nederland geÔntroduceerd wordt. Ik vergeet altijd de antwoorden die ik op de vragen heb gegeven. Vooral omdat het geen standaard vragen zijn
Beter systeem, hopen dat het snel in Nederland geÔntroduceerd wordt. Ik vergeet altijd de antwoorden die ik op de vragen heb gegeven. Vooral omdat het geen standaard vragen zijn
Wie was je eerste artiest waar je fan van was, en het eerste telefoonnummers wat je kendde ?

De vragen zijn JUIST niet standaard, om de bewustwording te vergroten.

de meisjesnaam van je moeder is nogal 'voor de hand liggend' in deze dingen, maar over "mijn" eerste idool zal je niet bijster veel vinden op mijn social media profiel.
Ook de naam van mijn eerste hond is nagenoeg onduidelijk .... ( de eerste met de juiste antwoorden krijgt een reep chocolade ... )
Zo is idd het MSN account van een vriendin gehacked..Nou ja gehacked...

Op welke basis school heb je gezeten..

Gaat opzoek naar gebruiker op Hyves/Schoolbank.nl/Facebook..
En ja hoor. Op alle drie sites is te vinden opwelke school ze heeft gezeten :)
Die vragen beantwoord ik al doelbewust fout met tig tekens ... dat zijn juist de zwakke punten van een beveiliging 'wat is je straatnaam' ... beetje social hacker is daar in no time doorheen.
Ik vul ook altijd onzinnige antwoorden in, aangezien normale antwoorden achterhaald kunnen worden. Als je die ergens invult en daar blijkt een lek te zijn, dan kan diegene die de antwoorden heeft ontvreemd deze ook ergens anders gebruiken om toegang te krijgen, omdat vrijwel dezelfde vragen overal worden gesteld.
Maar dat betekent wel dat ik mijn onzinnige antwoorden weer moet opslaan, want onthouden kan niet. Dus zijn de beveiligingsvragen onzinnig.

En volgens mij is de nieuwe methode juist gevaarlijk. Want wat als iemand zijn telefoon verliest die niet beveiligd is, of de 'vinder' via de huidige omzeiling toegang verkrijgt. Normaal was het wachtwoord tot het account nog veilig. Nu laat die persoon het wachtwoord resetten, krijgt vervolgens op de telefoon een verificatie code. En voilŗ, hij heeft toegang tot het account en kan lukraak bestellingen doen met een eventueel verbonden creditcard van het slachtoffer. Hij kan zelfs het slachtoffer de toegang tot het account ontnemen. En medewerkers van Apple kunnen het wachtwoord niet meer resetten. Het hele account moet dan misschien verwijderd worden, waarna het slachtoffer ook zijn eerdere aankopen kwijt is. Geef mij die beveiligingsvragen maar.

Men kan er dus niet vanuit gaan dat een vertrouwd apparaat ook bediend wordt door de eigenaar van dat account. Er moet ten alle tijden ook een identificatie plaatsvinden van degene die het vertrouwde apparaat gebruikt. Een pincode of wachtwoord kan weer niet, want dan is men weer bij af.

[Reactie gewijzigd door Eric167 op 22 maart 2013 21:53]

Vraag me af waarom het hier niet zou kunnen, technisch lijkt me er geen of weinig belemmering te zijn.
Het kan hier perfect, er zijn vandaag al voldoende diensten die wel degelijk SMSen naar gebruikers in de lage landen sturen, gaande van bijvoorbeeld een Facebook, Google tot zelfs een bwin. Het lijkt me dat Apple gewoon niet direct wereldwijd wil investeren in SMS gateways maar de technologie pas wenst uit te rollen nadat deze zich bewezen heeft.
Apple hoeft echt niet zijn eigen sms gateways te hebben.
Zij kunnen net als iedereen gewoon een account aanvragen bij 1 van de honderde SMS aanbieders en vervolgens via een API of een constructed URL smsjes versturen.
Ik denk dat ze dit gewoon zullen doen via een push notification, hier hoeven ze geen sms voor te gebruiken.
When you set up two-step verification, you register one or more trusted devices. A trusted device is a device you control that can receive 4-digit verification codes using either Find My iPhone notifications or SMS to verify your identity

beide dus
Google heeft gewoon een Authenticator App voor iOS en Android.
maar kan ook een sms versturen. of een telefoontje of je kun je uitgeprinte backup codes proberen. :)
Tweakers.net had natuurlijk gewoon de link naar Apples knowledge base artikel kunnen meegeven in het artikel.

Ik zal Apple citeren:

In which countries is two-step verification available?

Initially, two-step verification is being offered in the U.S., UK, Australia, Ireland, and New Zealand. Additional countries will be added over time. When your country is added, two-step verification will automatically appear in the Password and Security section of Manage My Apple ID when you sign in to My Apple ID.
Dank voor deze toevoeging! De tekst uit het KB-artikel is een stuk minder suggestief dan de Tweakers kop.
Waar een KB wel niet goed voor is :) zouden meer mensen moeten raadplegen.
Er is ook geen enkele belemmering om het in Nederland in te voeren. Ik heb al zeker een jaar 2-factor authorisatie op Google GMail. Nederland is gewoon klein en oninteressant voor Apple, dus we moeten achteraan de rij aansluiten. Het komt vanzelf :)
Ik snap sowieso niet wat Nederland er mee te maken heeft. Ik lees hierboven dat het via Find my iPhone werkt, dus zou het overal moeten werken, ongeacht waar je bent, zolang je maar een internet verbinding hebt. Of denk ik nu te simpel?
Denk dat de enige belemmering de vertaling/localization van de betreffende website/app is
Alles moet vertaald worden en helpdesk personeel moet bijgeschoold worden.
De landen waarvoor het nu geld zijn allemaal engels talig.
Trollol.
Google heeft zijn two-step al jaren op punt staan, ook bij ons.
Ik vind dat ze er erg laat mee zijn eigenlijk, veel andere fabrikanten hebben dit al tijden. Het is dan ook raar dat je doet alsof Apple het heeft bedacht.
een veel beter systeem, hopen dat het snel ingevoerd wordt.

@stef261991
Je hoeft natuurlijk geen antwoord te geven op de vraag maar kunt altijd dezelfde zin gebruiken, het is maar een controle waarbij vraag en antwoord geen verband houden. Is op die manier misschien nog beter ook.
Het antwoord dat je geeft op de veiligheidsvraag hoeft natuurlijk geen zinnig antwoord te zijn, je kunt het ook gebruiken als een tweede password.

Voorbeeld "Wat is de naam van je favoriete voetbalclub?" antwoord "onsyr6##7dnbvhtks"

Het is natuurlijk wel belangrijk om het antwoord ergens, beveiligd, vast te leggen ...
Fijn dat dit eindelijk ook naar iOS komt.
Ik gebruik het al een hele tijd om in te loggen op mijn Gmail account.
Inloggen met wachtwoord en daarna sturen ze een sms met een code.

Beetje jammer dat het nog niet in Nederland is, hopelijk komt het wel snel!
Als je een smartphone hebt kun je ook de app gebruiken, vind ik persoonlijk iets handiger als SMS:

Android:
https://play.google.com/s...zLmF1dGhlbnRpY2F0b3IyIl0.

iOS:
https://itunes.apple.com/...nticator/id388497605?mt=8
idd een erg handige app.

er is zelfs een j2me versie voor dumbphones

http://code.google.com/p/...thenticatorJ2ME_1.2.0.jar

Het houd echter niet op bij google diensten. Google gebruikt hiervoor een open standaard.

Hier een handige php libary:
http://www.idontplaydarts...r-authentication-for-php/

Wij gebruiken deze techniek om gebruikers extern in te laten inloggen op ons bedrijfsnetwerk.

Je kunt deze app ook gebruiken icm met een pam authenticatie voor bijvoorbeeld ssh.
Ik weet dat er ook een app is maar vind dit toch handiger.
De Google Authenticator werkt ook met SMS als je wilt. En het bestaat al jaren, geen rocket science. Dus waarom het zo lang moet duren is mij een raadsel. Ook waarom het pas geÔntroduceerd wordt na problemen. 2 factor authentication is niet nieuw, en heel erg veilig.

Ik wil hier geen Google-Apple ding van maken, want Google heeft dat systeem ook niet uitgevonden natuurlijk. Maar ze hebben het wel al veel langer in gebruik. Zij realiseren zich tenminste dat online diensten staan of vallen bij de beveiliging. Ik ben zelf nu ook al mijn online zaken steeds beter aan het beveiligen. Er zijn veel te veel hooligans die aan deuren morrelen om te kijken of ze er in kunnen.
Nu Microsoft nog. Ik erger mij er groen en geel aan dat mijn belangrijke Microsoft-account slechts achter een wachtwoord zit (van max 16 tekens, nota bene).
Ik ben toch er benieuwd hoe iemand jouw 16 cijferige wachtwoord wil kraken als je na x (drie?) pogingen een Captcha er nog eens bij krijgt.

Het probleem is niet dat er 16 maximale tekens zijn, maar bijvoorbeeld 8 minimale tekens waar alleen [a-Z] en [0-9] en [special teken] is vereist en mensen gewoon: [Naam van persoon][geboortejaar][!] gebruiken ofwel 'Pieter1983!'.
Tja microsoft denkt dat mensen te dom zijn voor 2-factor-authentication. Fijn dat ze zo over hun gebruikers denken:
http://www.neowin.net/new...two-factor-authentication

Ik vind het ook belachelijk dat ze het niet hebben, vooral als je steeds meer op je skydrive gaat zetten en je foon gewiped kan worden via internet.
Even wachten tot iemand zijn digitale leven gewist wordt, diegene erover blogt en dan gaan ze er wel aan.

[Reactie gewijzigd door teek2 op 22 maart 2013 11:11]

Microsoft biedt wel one time passwords. Voor publieke PC's en zaken die je niet vertrouwt misschien nog wel beter, want je wachtwoord gaat nooit over de lijn. http://windows.microsoft....e/sign-in-single-use-code
Apple raadt aan om alleen een printje van die key te hebben en geen digitale versie, omdat die op afstand wellicht kan worden uitgelezen.
Het goeie oude notitieblok blijkt dus veiliger... Het einde van de paperless office?
Ik heb mijn back-up codes voor mijn two-step van google ook in mijn portefeuille zitten, om verschillende redenen.
De belangrijkste twee eigenlijk:
1) Stel dat je ergens buiten bent en je telefoon is plat/geen bereik. Je zou dan, zonder die codes, niet meer kunnen aanmelden op je gmail (vakantie bvb).
2) Je verliest je telefoon, natuurlijk kan je dan op andere manieren aan je two-step, maar backup codes zijn dan handig
3) Als er je iets overkomt zijn je online accounts natuurlijk niet het belangrijkste, maar op mijn phone komen ze niet zo maar op dus dan wordt het vrijwel onmogelijk om op mijn gmail te kunnen.

Op dit item kan niet meer gereageerd worden.