IDIN-spoofs, YubiKey-struggles en een dikke kat - Tweakers Podcast #447

Die iDin struggles zijn toch relatief simpel op te lossen? Je geeft een adreswijziging door, iDin stuurt jouw een TOTP code per post naar je nieuwe adres en laat je die in je account invoeren. Daarmee heb je bewezen dat jij ook inderdaad toegang hebt tot dat adres

Oh en @WoutF : nog even over het programmeren van je bankrekening: ik ben wel zeker handig met programmeren (doe het "al een tijdje") maar tegen mijn eigen bankrekening programmeren zou ik wel graag in een beschermde omgeving van de bank zelf willen doen, zodat ik niet het risico loop door een beveiligingslek tegen een lege bankrekening aan te kijken...

[Reactie gewijzigd door P_Tingen op 8 oktober 2026 08:15]

Ik gebruik al jaren een Yubikey. Sterker nog, heb een tijdje terug 3 nieuwe Yubikeys gekocht. Het is sowieso aan te raden om er 2 te gebruiken zodat als er 1 kwijtraakt, kapot gaat, of gestolen wordt, dan heb je nog een reserve. Ik heb er 3 gekocht zodat ik er 2 extern heb en 1 heb ik altijd aan mijn sleutelbos.
Daarnaast heb ik Veracrypt met encrypted volumes en heb die ook aan mijn Yubico gekoppeld en dat was wel een ingewikkeld proces, maar uiteindelijk nog wel te doen na wat research.
De rest vind ik eigenlijk niet een groot probleem. Ik gebruik ook Vaultwarden, die lokaal op mijn NAS draait en daar heb ik 2FA aan gekoppeld met mijn Yubikey.

Het enige wat ik wel een gedoe vind is deze met mijn telefoon te gebruiken. Ik heb de app hiervoor op mijn Samsung S25 Ultra en mijn Yubikeys zijn NFC USBC keys, dus ik houd deze tegen de achterkant en dan wordt die gedetecteerd door NFC. Alleen lijkt die iedere keer opnieuw te reageren. Dus ik moet hem er niet tegenaan blijven houden, maar 1x en dan zijn de accounts zichtbaar en blijven lang genoeg zichtbaar om te gebruiken.

Voor mij werkt het in ieder geval fijn in dagelijks gebruik.

Dit is al de tweede week dat ik de ondertitels bij de video mis. Voor mij als slechthorend persoon is dat een flink gemis.
Is er technisch wat veranderd, of is dit een bewuste keuze ?

Ik ben best voorstander van Passkeys. Juist ook omdat het (mits goed ingericht) ontzettend makkelijk is. Het kan vast beter, maar als je nu al ziet hoeveel mensen zonder 2FA en password managers werken (en dan gelekte wachtwoorden gebruiken), dan vind ik het een goed idee iets te hebben met een lage drempel wat toch best een vrij hoge beveiliging vormt.
Dat gemak is toch wel alles wat die YubiKey's niet zijn zo te horen.

Wat ik wel jammer vind is dat het een hel is om die passkeys te back-uppen op een manier dat je in een willekeurige andere dienst/app kunt importeren. Ja, er zijn wel manieren, maar ik had het net over een bepaalde enorme grote doelgroep, dus niet mensen die op Tweakers rondhangen.

Een ander probleem vind ik dat het nu gewoon een oerwoud is aan manieren van inloggen. Passkeys, -tig 2FA methodes, zonder 2FA, met of zonder e-mail adressen, dwingerige 'big tech' apps die de suggestie wekken dat je alleen via hun app(s) die 2FA kunt regelen, etc.

En dan nog een ander groot probleem is dat je dan vervolgens als gebruiker bij een website zelf mag kiezen hoe je het regelt. Wil je 2FA met een app, of toch met een SMS? Dikke prima. Ow, je wilt geen 2FA, mag ook. Of dan toch een passkey, ook dat kan allemaal!
En het slechtste zijn nog plekken waar je mag switchen tijdens inloggen. Ach, 2FA werkt toevallig deze keer bij het inloggen niet? Wat als we je een emailtje met een reset link sturen! Of wacht, we stellen je een paar persoonlijke hulpvragen! Bij ons kom je uiteindelijk toch binnen!

[Reactie gewijzigd door PrimusIP op 8 oktober 2026 09:45]

Zelf gebruik ik (nog) geen yubikey(/of alternatief) dus daar kan ik niet over meespreken, maar dat jullie allemaal zeggen dat de 2FA apps handig zijn daar ben ik niet accoord. Zelf heb ik namelijk 4 authenticator apps om mijn telefoon staan en ze zijn allemaal niet wat ik wil in een authenticator app.

• De microsoft authenticator app werkt super traag en laat de helft van de tijd niet alle codes zien, maar is nodig om je microsoft account te kunnen beveiligen (ook op een andere manier)
• De google authenticator app (waar nu de meeste codes in staan) is van google en daar wil ik toch van weg, maar werkt op dit moment het fijnst
• Authy (die ik vroeger veel gebruikte) kan mijn accountdata nog niet veilig bijhouden laat staan dat ik hun de beveiliging van mijn belangrijke accounts toevertrouw
• en als laatste nog de 2FA app om in te kunnen loggen bij de SSO van mijn universiteit, waar dan weer geen alternatief voor is "om veiligheid te garanderen"

Elke keer dat je ergens wil inloggen moet je weer die telefoon erbij nemen. Wat met een snelle telefoon minder een probleem is... maar mijn 4 jaar oude samsung A33 heeft soms echt moeite met deze apps te openen (en dan vooral met de prompt die je meestal krijgt om je te verifiëren met biometrie). Ik wordt dus echt vertraagt door die 2FA stap. Daarbuiten gelaten dat ik mijn telefoon eigenlijk gewoon in mijn tas wil laten zitten maar dat yubikey dus ook geen ideale oplossing is.