Daar zijn oplossingen voor; zoals password managers met ingebouwde 2FA (TOTP) functionaliteit.
Daar wil ik toch even tegen in gaan, ook al heb je pragmatisch gezien misschien gelijk.
Persoonlijke Accounts horen persoonlijk te zijn. Altijd.
Daarmee bedoel ik niet dat je niet samen mag werken maar dat moet dan door de software ondersteunt worden. Het concept van 'groepen' en 'rollen' is oud genoeg dat iedereen het nu wel zou mogen snappen.
Ik weet niet of Twitter dat kan maar gezien het enorme aantal zakelijke en professionele gebruikers lijkt het mij niet te veel gevraagd. In 1 minuut zoeken op internet kan ik vinden dat Twitter iets met 'multi-user login' en 'team accounts' doet. Op het eerste gezicht lijkt het dus allemaal te kunnen.
Ik verwachtte eigenlijk ook niet anders van Twitter want dat is een van de voorlopers als het gaat om 2fa en accountbeveiliging.
Dan moet ik ook nog een ander punt aanstippen, namelijk het combineren van 2fa met je passwordmanager. Is het nog wel een tweede factor als beide middelen toegankelijk zijn vanuit dezelfde passwordmanager? De meeste mensen die ik ken beveiligen hun passwordmanager alleen met een wachtwoord.
Daar komt nog bij dat het eigenlijk de bedoeling is dat je verschillende /soorten/ factoren gebruikt. Maar als je alle 2fa-(recovery)-informatie opslaat in een file wat is dan nog het verschil met een wachtwoord? In beide gevallen gaat het om een paar bytes die op je HD staan en die je geheim moet houden. Als al die bytes dan in dezelfde file terecht komen en met dezelfde applicatie en hetzelfde wachtwoord beveiligd worden, is het dan niet eigenlijk allemaal 1 groot wachtwoord? Is de hele stapel van password-manager en 2fa niet een hoop onnodige complexiteit en met veel theater er om heen?
Let op: ik ben geen bezwaren tegen MFA, sterker nog, ik ben groot voorstander. Maar we moeten het wel goed doen want anders hebben we er niks aan en kost het een hoop.
Daar komt bij dat wachtwoorden eigenlijk niet zo'n fijne manier van beveiligen zijn. Ik wil er nu niet te lang op in gaan want deze post is al lang genoeg maar bytes lekken makkelijk uit. Een deel van je bytes op een ander apparaat hebben staan is echt noodzakelijk voor een hoge mate van veiligheid.
Het is niet fundamenteel onmogelijk om één passwordmanager te gebruiken om verschillende factoren mee te beheren maar je moet er bijzonder goed over nadenken.
Misschien wel de eerste vragen die je misschien moet stellen zijn: "Wat probeer ik te bereiken?" en "Wie wordt er hier bescherm? De gebruiker, het bedrijf, de klant, de leverancier?" en "Wat wordt er beveiligd en waar tegen? Data? Privacy? Beschikbaarheid? Integriteit? Geheimhouding? Hackers? Brand? Ziekte? Vijandige overname? Chantage? Oorlog?".
De antwoorden op die vragen leiden tot totaal andere prioriteiten en dus andere oplossingen. Helaas wordt dat vaak niet gezien gooien we alles op één hoop onder de naam "MFA".
Een prachtig voorbeeld is dat Amerikaanse kernwapens beveiligd zijn met 2FA. Je hebt een sleutel nodig en een pincode. Maar de kernwapens moeten het wel altijd doen, dus de sleutel zit er altijd in en de pincode is altijd 0000. Strict genomen is aan alle eisen voldaan maar je kan je afvragen of ze nu echt iets hebben bereikt of alleen een hoop geld uitgegeven en de wapens minder betrouwbaar gemaakt, ieder extra onderdeel kan immers stuk gaan.