Epic Games gaat tweestapsverificatie via sms aanbieden

Epic Games, maker van games als Fortnite en Unreal Tournament, gaat tweestapsverificatie via sms aanbieden. De gamingdienst biedt zulke 2FA voor accounts al aan via externe applicaties en e-mail. Ook gaat Epic e-mailverificatie gebruiken bij aanmelding.

Het bedrijf zegt dat het gebruikersaccounts beter wil beveiligen en geeft gebruikers tips hoe zij een extra stap kunnen toevoegen om dat zelf te doen. Gebruikers kunnen dat nu al doen via e-mail en applicaties zoals Authy of Google Authenticator. In de toekomst komt daar sms bij.

Experts zien sms als een minder veilige vorm van tweestapsverificatie, omdat het gevoelig is voor sim-hijacking. Van de andere kant is het een toegankelijke manier om accounts beter te beveiligen. Fortnite-spelers die tweetrapsauthenticatie instellen in hun account krijgen bovendien het Boogie Down-dansje cadeau.

Epic gaat nieuwe accounts ook beter beveiligen door e-mailverificatie in te stellen bij het aanmeldproces. Nieuwe wachtwoorden worden daarnaast automatisch gecontroleerd tegen openbare lijsten met veelgebruikte wachtwoorden, specifiek die van Have I Been Pwned.

Epic kreeg in het verleden al vaker kritiek op de beveiliging van accounts. Gebruikers klagen op fora en sociale media vaak dat iemand probeert in te breken op hun accounts, en eerder dit jaar bleek dat gedeactiveerde e-mailadressen op grote schaal aan botnets werden toegevoegd.

Reacties (41)

[The Chosen One]

Liever zonder SMS. Stuk veiliger.
Ideeal gezien Yubikey support, als je echt om veiligheid geeft.

[Reactie gewijzigd door The Chosen One op 23 juli 2024 04:45]

[TheDeeGee]

Kan al zeker een half jaar.

Ik gebruik zelf Authy voor mijn Epic Account.

[Zyphlan]

https://fidoalliance.org/fido-certified-showcase/

Daar staan alle levernaciers.

Paar bekende Keyleveranciers

Yubico
Thesis
Feitian
Kensington
Google Titan ( worden door Feitian Gemaakt maar ze leveren zelf het secure element)

Yubico is daarintegen wel het sterkst met de marketing die ze erachter gegooid hebben.

En de reacties dat een chinees bedrijf je telefoonnummer heeft slaat natuurlijk nergens op.... ze gaan je niet in 1 klap bellen of Smsje sturen

On Topic:
SMS verificatie is al niet meer veilig alhoewel het uiteraard toch wel beter is dan niks

For a long time, security experts have warned that text messages are vulnerable to hijacking — and this morning, they showed what it looks like in practice. A demonstration video posted by Positive Technologies (and first reported by Forbes) shows how easy it is to hack into a bitcoin wallet by intercepting text messages in transit.

https://www.theverge.com/...ion-hack-password-bitcoin

[t link]

De reacties dat een chinees bedrijf je telefoon nummer heeft slaan weldegelijk ergens op. moet ik je soms herinneren dat een amerikaans bedrijf (facebook, duh) telefoonnummers enkel voor 2fa bedoelt misbruikten voor marketingdoeleinden?

[Zyphlan]

En omdat 1 bedrijf het doet zal een chinees bedrijf het ook doen? Met deze redenatie moet je nooit je telefoon nummer geven ongeacht welk land het is aangezien als facebook het doet ( westers bedrijf) kunnen ze het allemaal doen.

Ik ben het met je eens dat het niet zou moeten gebeuren maar ik gok dat de meeste ervanuit gaan oh het is China dus die gaan sowieso wat met me nummer doen en ik zeg : Geef maar bewijs dat het in het verleden is gebeurd met internationale accounts ik kan me tenmiste niet herrineren er ooit iets over gelezen te hebben en ook iets structureels is en ik slik mijn woorden in .

Je ziet het wel meer op tweakers : China dus moet uiteraard wel slecht zijn ipv feiten aanleveren pakken we de onderbuik erbij.

Had toevallig contact met een medewerker van ASML en die zei ook al : Ja in plaats van afwachten wat we zelf zeggen en de feiten gaan mensen gelijk op het orgel : het is china dus moet wel staats spionage zijn.

[t link]

Omdat een bedrijf het doet is de kans vrij groot dat andere bedrijven het ook doen. je moet ook vrijwel nooit je telefoonnummer geven, daar is namelijk vrijwel geen reden toe die niet opgelost kan worden met een ander middel dat net zo makkelijk is. Naam e.d. kan je nog vaak onzin invoeren zonder consequenties, dat kan niet bij telefoonnummer vaak omdat ze dan verificatie sms'jes gebruiken. je geeft ook niet zomaar je bankaccount aan jan en alleman, dus waarom je telefoonnummer wel?

[Zyphlan]

Ik ben het met je eens dat je het niet hoeft te doen en er zijn genoeg alternatieven ( zoals ook in dit geval er al is) maar voor de meeste consumenten is het gebruiksgemak belangrijker dan veiligheid.

De insinuatie dat er iets mee gedaan word is waar ik een opmerking over heb of het wenselijk is dat is een geheel andere vraag

[t link]

Maar daar kunnen we ook vrijwel vanuit gaan omdat het buiten AVG rechtsgebied valt. dus ja, je kan ervanuit gaan dat persoonsgegevens die je aan niet europese landen/bedrijven geeft per defenitie meer gevaar lopen dan niet in die geopolitieke gebieden gegeven worden.

[Z100]

Ik neem aan dat jij bedoelt dat jij "Yubikey support" (i.e. U2F of FIDO2 ondersteuning) wilt zien, en niet dat er U2F/FIDO2 ondersteuning al aanwezig is, want tot zover ik kan zien ondersteunen Epic accounts alleen TOTP.
https://www.yubico.com/wo...bikey/catalog/epic-games/

[Reactie gewijzigd door Z100 op 23 juli 2024 04:45]

[scubakay]

China je telefoonnummer geven, goed idee!

[Blorgg]

China je telefoonnummer geven, goed idee!

Je wordt gedownmod naar -1 maar je hebt ergens wel een punt. Op dit moment heeft Tencent 40% van Epic in handen. Epic heeft meermaals benadrukt dat dit Tencent geen invloed geeft over wat Epic doet en laat en dat Tim Sweeney als sinds begin jaren 90 de controlling shareholder is. Dus als ik het goed begrijp heeft hij meer dan 50% van de aandelen en is dus de baas van Epic. Prima.

Tim Sweeney(1970) gaat ook niet eeuwig mee en zal ooit eens met pension gaan of komt te overlijden. Hoe lang wil hij dit werk nog doen? Wat gebeurd er dan met zijn aandelen? Wie wordt dan de baas van Epic? Het is niet onredelijk om te vermoeden dat Tencent dan zonder veel moeite de baas van Epic gaat worden. Ze hebben al 40% van de aandelen. Als ze nog eens 11% in handen krijgen maken zij de dienst uit en op dat moment zijn het inderdaad de Chinezen die de klantinformatie in hadden hebben.

Maar goed, zover is het nog niet. En misschien heeft Tim Sweeney een plan bedacht om te voorkomen dat Tencent de controlling shareholder wordt. Voor zover ik weet is hier weinig over bekend. Ik voel me in ieder geval prettiger bij de gedachte dat ik veel van mijn game aankopen doe bij een privaat bedrijf welke (op dit moment) niet geleid wordt door de waan van de aandelenmarkt, Steam.

[Reactie gewijzigd door Blorgg op 23 juli 2024 04:45]

[scubakay]

Daar zou ik nog aan toe willen voegen dat bedrijven in China verplicht zijn om een afdeling in te richten voor de Communistische Partij, wat de enige toegestane partij van het land is. Een land dat niet terugdeinst voor mass surveillance en censuur.

[Verwijderd]

Wat willen ze doen, nog slechtere miclosoft scams aanbieden dan india?

[Vayra]

Onderbouw dat eens. Ik heb de popcorn al in de magnetron zitten.

[scubakay]

Zoals @Blorgg zegt: Epic Games is voor 40% in handen van Tencent, een Chinees bedrijf. Chinese bedrijven zijn verplicht om een afdeling te hebben voor de Communistische Partij (de enige toegestane partij van hét land van censuur en surveillance). Daarmee heeft de Chinese overheid dus een indirecte connectie met Epic Games, wat mij best zorgelijk lijkt.

[Vayra]

Dat is geen onderbouwing voor 'de Chinese overheid je telefoonnummer geven, goed idee!

Stel, ze hebben je telefoonnummer. En de koppeling met je adres. Wat dan nog? Denk je nou werkelijk dat de Chinese overheid je belt om je computer te fixen zoals de welbekende Indiër van de Microsoft helpdesk?

Er is hier geen risico, en daarbij is er geen enkel bewijs dat hier sprake is van een datalek. Dat stadium zijn we al gepasseerd met EGS met een lekje eerder.

Wat doe je met al die andere Made in China producten? Wat deden we met Huawei toestellen? Dit is gewoon weer allerlei drogredenen toevoegen aan een discussie die in beginsel al kansloos is.

[Reactie gewijzigd door Vayra op 23 juli 2024 04:45]

[boe2]

Maar Epic Games heeft toch al 2FA
Mijn beide zonen hebben het een jaar geleden al ingesteld op hun account omdat ze dan een extra skin in Fortnite krijgen.
*edit* het gaat dus over SMS als extra authenticatiemethode

[Reactie gewijzigd door boe2 op 23 juli 2024 04:45]

[Rather21]

Yep, maar als je leest:
"Gebruikers kunnen dat nu al doen via e-mail en applicaties zoals Authy of Google Authenticator. In de toekomst komt daar sms bij."

Nu komt er dus sms bij, wat slechter is, maar ik gok nog altijd beter dan geen 2FA.

[AceAceAce]

Dat is geen gok. 2FA is beter dan alleen 1FA.

[joeri1]

"Gebruikers kunnen dat nu al doen via e-mail en applicaties zoals Authy of Google Authenticator. In de toekomst komt daar sms bij."

[Keuning Pils]

Gebruikers kunnen dat nu al doen via e-mail en applicaties zoals Authy of Google Authenticator. In de toekomst komt daar sms bij.

Zoals in het artikel dus ook al staat.

[Parrotmaster]

Ik gok dat ze het hier hebben over de Epic Games store, i.p.v. alleen Fortnite.

[boe2]

Epic games store account = Fortnite account.

[Parrotmaster]

En? Ik had een WoW account met een authenticator maar mijn Battle.net had geen 2FA.

[boe2]

ok leuk, maar met de Epic games store werkt het dus anders.

[computerjunky]

En bijna niemand die het blijkbaar erg vind om zijn telefoon nummer af te geven.

Het verbaasd mij echt hoe mensen altijd wat te melden hebben over privacy en bedrijven die gegevens van hun willen hebben maar aan de andere kant alles gratis afgeven.

Ik doe er in ieder geval niet aan mee.
Maar mijn account is dat ook niks waard omdat ik het verdom om games vis tig stores te kopen. Ik zie er helemaal niks in om ze eerst via een andere store te kopen om ze vervolgens aan steam toe te moeten voegen om ze inhome te kunnen streamen.

[SuperDre]

Wat zeur je nou? het is een optie, 2fa via andere methodes is al mogelijk, nu KAN je ook nog kiezen voor 2fa via SMS als je dat liever hebt. Heeft overigens wel weer een extra voordeel dat bij problemen met je account ze een extra middel hebben voor controle. 2fa met app wordt lastiger als je de app ineens kwijt bent (door crash van je phone oid) en je niet meer de magickey of onetime codes hebt. het telefoonnummer heb je nog wel steeds.

[GieltjE]

Kan al een jaar niet meer inloggen dankzij hun email verificatie, deze komt namelijk nooit aan

[iAR]

Met sms? Dus hebben ze je nummer. Waarom niet via zo'n authenticator app?

[sircyrus0]

Die mogelijkheid is er al, zoals in het artikel vermeld staat.

[Akemi]

Lekker, dus zij hebben dan ook je telefoonnummer. Nee dank je. Niet perse nodig.

[SuperDre]

Het is een extra optie... Je kunt zelf kiezen..

[DoggyDogger]

Met al die data breaches, kan je nu ook je telefoonnummer op straat presenteren.

[Bozebeer38]

Volgens mij had ik een behoorlijke tijd geleden het al middels email 2step ingesteld.

Ik vind dat persoonlijk veiliger dan sms, hoewel dat onveilige volgens mij nog wel meevalt.
Mijn mail is weer beschermd via een authenticator, maakt het alweer stukken lastiger alles bij elkaar.

[joey82]

waarom is dat veiliger dan sms?

een telefoon hebben de meeste mensen toch altijd bij zich?

ik heb er verder geen verstand van of zo maar ik dacht altijd dat sms verificatie veiliger was dan via de mail....

[SuperDre]

Epic heeft ook 2fa via authenticator (al langer)..

[Tokkes]

Ik snap niet dat ze het nog willen aanbieden en werk steken in het werkend te krijgen. Experts zijn het zowat unaniem eens over het gebrek aan veiligheid bij SMS 2FA, we jakkeren dat soort dingen dus gewoon best ASAP de wereld uit. Maar als je dan bedrijven hebt die het alsnog gaan aanbieden (met in contrast de partijen die het al aanboden en dit gewoon blijven doen, omdat het er al is) gaat het nog heel lang duren eer we van dit soort bollocks af zijn.

[SuperDre]

Ik vraag me altijd af waarom 'experts' precies vinden dat 2FA via SMS onveilig zou zijn (in tegenstelling tot bv een app), immers moet je altijd nog de beschikking hebben over de toegang tot het telefoonnummer. Als er malware op staat dan is een authenticator net zo onveilig als SMS (misschien zelfs nog wel onveiliger).
En het is gewoon een extra optie.

[Reactie gewijzigd door SuperDre op 23 juli 2024 04:45]

[Tokkes]

Da's een vraag die je perfect zelf kan googlen, dat ga ik niet voor je doen

[Zyphlan]

https://www.theverge.com/...ion-hack-password-bitcoin

Hardware token is in principe het veiligst.