Twitter zette 5500 werknemers in drie maanden over naar fysieke securitykeys

Twitter heeft in minder dan drie maanden tijd 5500 werknemers overgezet naar het gebruik van fysieke beveiligingssleutels. Het bedrijf zegt dat het intern is afgestapt van legacy-tweetrapsauthenticatie na een grote hack vorig jaar.

Twitter beschrijft in een blogpost hoe het de operatie heeft ondernomen. Dat proces begon in juni, en werd in oktober volledig afgerond. Binnen Twitter gebruikten werknemers verschillende soorten tweetrapsauthenticatie, waaronder via sms. Dat laatste is over het algemeen onveiliger dan 2fa via een one-time password of een fysieke sleutel.

Het bedrijf beschrijft hoe het ervoor koos om alle medewerkers te voorzien van een YubiKey 5 NFC. Daarbij moest worden samengewerkt met maker Yubico om de sleutels wereldwijd te distribueren. Vervolgens moesten op alle interne systemen WebAuthn worden ingeschakeld zonder dat dat direct verplicht werd. Later werden werknemers individueel begeleid in het instellen van de systemen. Daarna werd gecommuniceerd dat alle werknemers binnen een maand moesten overstappen, wat volgens Twitter voor 90 procent lukte.

Twitter zegt dat het voornamelijk heeft moeten leren veel ondersteuning vanuit systeembeheer te geven. Ook zegt het bedrijf dat apparaten met ingebouwde WebAuthn-protocollen zoals Apple met FaceID en Windows met Hello essentieel zijn voor dagelijks gebruik. De belangrijkste obstakels die er in de toekomst nog moeten worden genomen, zijn volgens het bedrijf het gebrek aan WebAuthn-ondersteuning in embedded browsers bij single sign-on-modellen, en het roteren van beveiligingssleutels.

De operatie werd uitgevoerd nadat Twitter in de zomer van vorig jaar gehackt werd. Aanvallers wisten via een werknemersaccount binnen te komen, en plaatsten vervolgens cryptoscams op accounts van prominente gebruikers. Twitter maakte tweetrapsverificatie met fysieke beveiligingssleutels al langer mogelijk, al blijft de adoptie met zo'n drie procent van gebruikers nog erg laag.