Nederlandse overheid start campagne voor promotie tweestapsverificatie

De Nederlandse Rijksoverheid start een campagne met de naam 'Dubbel beveiligd is dubbel zo veilig' om tweestapsverificatie te promoten. Op de campagnewebsite dubbelzoveilig.nl helpt de overheid bij het inschakelen van tweestapsverificatie bij diverse online diensten.

Het initiatief van het ministerie van Justitie en Veiligheid is bedoeld om Nederlanders te stimuleren om tweestapsverificatie, ook wel tweefactorauthenticatie genoemd, te activeren voor online services zoals sociale media en e-maildiensten. Volgens de overheid is deze vorm van cyberbeveiliging het effectiefst tegen hacking, wat weer een van de meest voorkomende vormen van cybercriminaliteit zou zijn. Vooral e-mailaccounts zouden een risico vormen, aangezien een e-mailadres vaak het herstelpunt is voor toegang tot andere diensten.

Via dubbelzoveilig.nl worden burgers geïnformeerd over de mogelijke gevolgen van een cyberaanval waarbij een account wordt gestolen. "Met toegang tot je e-mail kunnen ze persoonlijke informatie vinden, berichten sturen uit jouw naam of wachtwoorden van je andere accounts opvragen, zoals je socials of online winkels", aldus de overheid. Op de website zijn tevens links te vinden naar instructies van verschillende sociale media, e-maildiensten, providers en bedrijven over het activeren van tweestapsverificatie. De Nederlandse overheid biedt ook persoonlijke hulp aan wanneer het iemand niet lukt om de beveiligingsvorm in te schakelen. Dat kan via de DigiHulplijn 0800 1508.

Reacties (153)

[Verwijderd]

Het 2fa wordt tegenwoordig steeds meer 5fa net als verplichte wachtwoord wijzigingen elke 30 dagen of absurde eisen.

Een wachtwoord als

M24ch8978eeta9012

Is al geen makkelijke en wat krijg je met dit soort gedwongen dingen.

Wachtwoord12! _> wachtwoord13!

Betaling overmaken met paypal icm creditcard.
Gebruikersnaam + wachtwoord
Sms code paypal
Nogmaals sms code paypal voor de betaling
Inloggen bank met code
Sms code vanj

Dat is 5fa en alleen maar bloed irritant

Tijd voor een nieuw systeem wat wel werkbaar is voor mensen inplaats van gedrochten oplegge.

En die sms codes zijn alles behalve veilig want de code popt up in je notities met direct zonder je telefoon te ontgrendelen al direct in beeld weg veiligheid... even je pc onbeheerd achterlaten met je telefoon ernaast en een collega kan theoretisch overal bij met al die wachtwoord managers en niet veilige sms code.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 10:04]

[Oon]

Gelukkig wordt het laten verlopen van wachtwoorden inmiddels expliciet afgeraden:

https://specopssoft.com/b...for-information-security/
https://learn.microsoft.c...-and-windows-server-v1903

[bh808303]

Het lost nog wel een ander probleem op medewerker1 vraagt aan 2 zijn wachtwoord om iets te kunnen doen. 2 kan dan teneinde der tijden bij dat account. Tuurlijk is het onraadzaam om je ww aan een collega te geven, echter heb je dat als beheerder niet in de hand.

[Oon]

Als je een wachtwoord aan je collega geeft zou je op staande voet ontslagen moeten worden, dat gaat tegen alle moderne ICT procedures in

[Flappiewappie]

Als je een wachtwoord aan je collega geeft zou je op staande voet ontslagen moeten worden je een serieuze waarschuwing moeten krijgen gevolgd door mogelijk ontslag, dat gaat tegen alle moderne ICT procedures in.

[wiseger]

Er zijn genoeg sectoren waarbij het delen van je wachtwoord reden voor ontslag is.

Met het delen van je wachtwoord breng je immers alle 4-eyes procedures in gevaar.

[Flappiewappie]

Precies, in bepaalde gevallen. Dan zijn de eindgebruikers zich daar ook waarschijnlijk wel bewust van.

Per definitie ontslag omdat je een wachtwoord deelt van bepaalde accounts voor iets minder cruciale software, gezellige boel zeg.

[Littlemarc]

In Nederland zal je niemand mogen ontslaan voor het delen van een wachtwoord en al zeker niet op staande voet. De rechter veegt dat van tafel.

Repressie werken over het algemeen niet. Beter is constante educatie van het belang can goede IT security.

[Oon]

Bij ons is de wachtwoord policy toch echt deel van de arbeidsovereenkomst, als je je daar niet aan houdt heb je je overeenkomst geschonden.

Op staande voet mag misschien niet, maar je zou toch zeker je toegang tot de systemen die je nodig hebt voor je werk kwijtraken en er zou een heel traject volgen waarin alle acties die door jouw gebruiker zijn uitgevoerd worden gecontroleerd, alle tools die wij gebruiken hebben auditbare logging en dat werkt alleen als iedereen netjes z'n eigen account gebruikt.

[Littlemarc]

Nogmaals. Het maakt niet uit wat in je overeenkomst staat. De enige (zoals je vrij mag opzoeken in de jurisprudentie) redenen voor direct ontslag (zonder formele waarschuwing i.c.m. een verbeterplan) die door de rechters worden geaccepteerd zijn ernstige diefstal (dus een paar pennen of WC papier stelen is niet voldoende), fraude, corruptie, openlijke geweldspleging, niet voldoen aan een VOG verzoek, intimidatie of andere ernstige vormen van dwang.

Je wachtwoord delen met een collega kan hooguit leiden tot een formele waarschuwing en een verbeterplan. Je kan wel het delen van een wachtwoord onderdeel maken van een groter dossier. In dit dossier neem je op dat de werknemer onvoldoende aan de te verwachten arbeidsprestatie voldoet. Dit dossier kan lijden tot eenzijdige opzegging van arbeidsovereenkomst waar jij als werkgever enkel de transitievergoeding betaalt.

[GertMenkel]

Goede 2FA is één van de manieren om dat tegen te gaan. Koppel je bijvoorbeeld Windows Hello als tweede factor, dan moet die collega op jouw computer gaan inloggen eer ze bij jouw account mogen, wat het toch al moeilijker maakt om misbruik te maken van je credentials. Voor thuiswerkers is een normale Yubikey ook een aardige manier om dat probleem te voorkomen.

Natuurlijk is de meeste 2FA hier helemaal niet voor bedoeld of ontworpen, maar het is één manier waarom het kan helpen om slecht gedrag te ontmoedigen.

[Aldy]

Ik denk dat @Verwijderd bedoelt dat je alles wel helemaal kan dicht timmeren, maar dat dit onwerkbaar is. Wat belangrijk is, is natuurlijk dat je een maximale veiligheid hebt bij een werkbare situatie.

[dakka]

Wou net zeggen, dat soort policy's forceren luiheid en irritatie en dan doen mensen dingen zoals "oudwachtwoord2024" doen ze er een jaar bovenop.

[vickypollard]

Ik wijzigde gewoon mijn wachtwoord heen en weer. Eerst naar een random nieuwe en toen weer terug naar de oude die prima was Inmiddels neem ik het wat serieuzer en hebben we toch MFA erop

[CH4OS]

Iets als 5FA is geen ding; Het principe is gewoon bedoeld als bewustwording, niet met aantal keer dat je zo'n bevestiging nodig hebt.

[RobertMe]

Er zijn sowieso maar 3 factoren inderdaad. Kennis, bezit en biometrie. Kennis is en gebruikersnaam & wachtwoord, bezit bv een YubiKey, en biometrie een vingerafdruk of gezichtsherkenning. "5FA" zou dus alleen maar stappen toevoegen, en eigenlijk "5SA" zijn (5 step authentication), en niet "5 factor authentication".

Maar er zijn ook wat "blurry" opties. OTP, per SMS of code in een app wordt gezien als bezit (van de telefoon met dat nummer of de geïnstalleerde / gekoppelde app), maar effectief gaat het meer om kennis van de nu geldige code. Immers hoef je niet in bezit van de telefoon te zijn om toch kennis te nemen van de code (de bezitter van de telefoon kan die doorsturen bv). En biometrie is vaak gekoppeld aan hardware. Als je op telefoon A MFA instelt met een vingerafdruk dan betekent dat niet dat diezelfde vingerafdruk ook werkt op telefoon B (doordat onderwater met een public/private key wordt gewerkt en de private key op de telefoon wordt opgeslagen. De vingerafdruk geeft vervolgens toegang tot de private key. Een ander toestel heeft uiteraard geen toegang tot die private key).

[Red Boll]

Ik zag nog een vierde langskomen: wat je doet. Dan mag je een tekst schrijven of een zin oplezen.

Soms kan je locatie nog een factor zijn. Al hoort dat misschien meer bij iets als conditional access.

[OruBLMsFrl]

Locatie en tijdstip vind ik goede aanvullende factoren, die tellen gewoon mee in mijn boekje. Voor Tweakers waarschijnlijk minder relevant met vrije uren indeling in veel beroepen hier, maar als je wordt ingeroosterd voor werk in ploegendienst, dan kan prima de locatie en tijd worden vastgesteld waarop je enkel maar mag inloggen met jouw persoonlijk account, danwel enkel maar toegang mag hebben tot bepaalde (bedrijfs)applicaties. Daarvan wordt het echt nog wel een stuk veiliger, en dat is niet zozeer kennis die de persoon zelf heeft, als wel omstandigheden waarover beslist wordt door typisch de werkgever.
Of daar nu de grootste security risico's zitten bij de ploegendienst medewerker, en of dat het allemaal waard is, maakt dan wel een afweging noodzakelijk. Voor sommige beroepen kun je het je wel voorstellen, dat bepaalde accounts enkel actief zijn in bepaalde control rooms en zo meer. Dan houd je flexibiliteit voor een uitwijk procedure door het niet enkel maar hardwarematig in één ruimte te bundelen, maar zet je wel heel stevig de virtuele deur dicht met procedure scheiding en locatie afhankelijkheid van inlogs voor het normale werkproces.

[Reactie gewijzigd door OruBLMsFrl op 23 juli 2024 10:04]

[Andros]

Onleesbare reacties met spelfouten zonder fatsoenlijke interpunctie zijn doorgaans een stuk irritanter dan 5fa eerlijk gezegd. Maak er eens een leesbaar verhaal van, dat leest een stuk fijner .

[geert1]

Je overdrijft zwaar, en je gebruikt blijkbaar geen wachtwoordmanager? Want de complexiteit van wachtwoorden is geen enkel probleem zodra je ophoudt om ze te proberen te onthouden. Het steeds aanpassen van één letter of cijfer in je wachtwoord is onnodig en onverstandig, net als het delen van wachtwoorden over vele diensten heen.

Ik heb geen idee wat mijn wachtwoorden zijn voor de meeste diensten. Die worden automatisch gegenereerd en ingevuld door een wachtwoordmanager.

En 2FA is een zeer krachtig middel. Dat daar enige irritatie uit komt zullen we voor lief moeten nemen totdat er nog betere oplossingen zijn. Één keer een account kwijtraken omdat er geen 2FA was ingesteld heeft veel grotere gevolgen dan het "gedoe" van de eenmalige code. Voor je huis moet je ook je sleutel bij je hebben; noodzakelijk kwaad. De meeste diensten vragen ook niet eens elke keer zo'n code maar slechts eens per 2 weken. En veel diensten houden je nog flink langer ingelogd dan dat.

Zeuren is een vak, blijkbaar. Informeer jezelf liever en verbeter je aanpak.

[Reactie gewijzigd door geert1 op 23 juli 2024 10:04]

[Verwijderd]

jezelf eerst eens inlezen is kennelijk ook een vak, en begrijpend lezen heb jij zo te lezen overgeslagen.

maar een wachtwoord manager is bij definitie ook onveilig of veranderd jij elke 10 minuten je wachtwoord? Als je hoofd wachtwoord uitlekt zijn al je wachtwoorden ook in één klap waardeloos geworden.

Naast dat ik een wachtwoord manager gebruik heb ik meerdere wachtwoorden verschillend van compexiteit dus ik ben prima geinformeerd maar zie ook het grote probleem van doorslaan in al die beveiligingen want als het niet meer werkbaar is dan ga je domme wachtwoorden krijgen en dat is nog veel erger en ondermijndt de algehele beveiliging.

maar ik neem aan dat jij ook 1 kluis gebruiikt waar al je sleutels in liggen en die kluis bij je voordeur staat. de sleutels per stuk zijn veilig maar jouw kluis is wel ineens het goede doel waarbij meerdere kleine kluizen dit veel minder het geval zou zijn.

Veiligheid is niet gelijk aan alles dicht timmeren. Goede veiligheid is uitvoerbaar waardoor mensen het ook gebruiken. Als het gaat irriteren gaan mensen er omheen werken en is het geen veilige oplossing meer.

[Verwijderd]

Als je hoofd wachtwoord uitlekt zijn al je wachtwoorden ook in één klap waardeloos geworden.

Nee hoor, ik vul de wachtwoorden uit mijn wachtwoordmanager altijd nog handmatig aan, met iets dat per service ook nog eens verschilt. Soms ervoor, soms erna en soms ergens tussenin. Dus ook al komen mensen in mijn wachtwoordkluis, dan nog hebben ze aan die wachtwoorden niets. Ze hebben dan slechts een stukje van het wachtwoord.

[BeosBeing]

Nee hoor, ik vul de wachtwoorden uit mijn wachtwoordmanager altijd nog handmatig aan, met iets dat per service ook nog eens verschilt. Soms ervoor, soms erna en soms ergens tussenin.

Bij degenen die zoiets doen is dat negen op tien de naam of de afkorting van de service. Ook dat is te raden, en als men op de service binnen is geweest, dan heeft men dat stukje ook al.

Dus ook al komen mensen in mijn wachtwoordkluis, dan nog hebben ze aan die wachtwoorden niets. Ze hebben dan slechts een stukje van het wachtwoord.

Als het wachtwoord in de kluis ook per service random is gegenereerd, dan kom je wel echt heel dicht in de buurt, maar ook passwordmanagers hebben hun beperkingen. Perfecte veiligheid bestaat niet, maar hoe dichter je er bij komt, hoe onwerkbaarder het wordt.

[Verwijderd]

Bij degenen die zoiets doen is dat negen op tien de naam of de afkorting van de service. Ook dat is te raden, en als men op de service binnen is geweest, dan heeft men dat stukje ook al.

Ja, dan wel, maar dat is het dus niet.

[BeosBeing]

Je overdrijft zwaar, en je gebruikt blijkbaar geen wachtwoordmanager?

En dan zit je op een ander device en heb je je wachtwoordmanager niet bij de hand, of je device is opeens kapot (ongeval of gewoon een bug in het OS, laatste heb ik al diverse keren gehad) of verloren/gestolen.
Dan kun je zeggen dat je een online wachtwoordmanager moet gebruiken, nou die kan ook gehackt worden.
En ook een lokale passwordmanager kan gehackt worden, vooral diegene die in browsers ingebouwd zijn. Ik zeg niet dan passwordmanagers niet gebruikt mogen worden, maar wees je bewust van de beperkingen.

Want de complexiteit van wachtwoorden is geen enkel probleem zodra je ophoudt om ze te proberen te onthouden.

Het kenmerk van een goed wachtwoord is altijd dat het moeilijk is te raden (dictionary attack, social engineering, bruteforce) maar makkelijk te onthouden. Uiteraard is "battery horse staple" achterhaald maar het idee is nog steeds goed.

Het steeds aanpassen van één letter of cijfer in je wachtwoord is onnodig en onverstandig,

Achterhaalde passwordpolicies zorgen dat dat soort dingen ontstaan, maar zodra een hacker/cracker (al dan niet geautomatiseerd) het patroon herkent of vermoed kan die al beginnen.

net als het delen van wachtwoorden over vele diensten heen.

Juist het gebruik van restrictieve passwordpolicies zorgt ervoor dat mensen dit gaan doen.

Ik heb geen idee wat mijn wachtwoorden zijn voor de meeste diensten. Die worden automatisch gegenereerd en ingevuld door een wachtwoordmanager.

Totdat je wachtwoordmanager uitvalt door een hack of device failure, ik zou het je bijna toewensen.

En 2FA is een zeer krachtig middel. Dat daar enige irritatie uit komt zullen we voor lief moeten nemen totdat er nog betere oplossingen zijn. Één keer een account kwijtraken omdat er geen 2FA was ingesteld heeft veel grotere gevolgen dan het "gedoe" van de eenmalige code.

Nog leuker, je account kwijtraken door de 2FA, namelijk door device failure.

Voor je huis moet je ook je sleutel bij je hebben; noodzakelijk kwaad.

Enig idee hoe vaak dat mis gaat? In ieder geval vaker dan je denkt. Ik ken zelfs een gezin waar ze - zoals gebruikelijk bij gehuurde gezinswoningen, 5 sleutels hebben, en behalve de bewoners zijn er ook nog ouders die letterlijk één straat verder wonen en een zus die meer daar is dan elders, en toch hadden ze een slotenmaker nodig om het huis te openen.

De meeste diensten vragen ook niet eens elke keer zo'n code maar slechts eens per 2 weken.

ROFL
De meeste diensten vragen bij iedere inlog een code en banken bij iedere inlog en iedere transactie. Tien keer 2FA op 5 minuten komt voor. Kijk voor sommige zaken is 2FA nuttig, maar het zou nooit gekoppeld mogen zijn aan één faalbaar device. Het zou fijn zijn als er een betere oplossing is, maar mits goed uitgevoerd kan een 2FA zeker werkbaar zijn, het moet alleen niet gekoppeld zijn aan één device.

Zeuren is een vak, blijkbaar.

En oogkleppen dragen is een kunstvorm.

Informeer jezelf liever en verbeter je aanpak.

Inderdaad doe dat.

[Blokker_1999]

Wachtwoorden horen al lang in een wachtwoordmanager te zitten. Mijn wachtwoordmanager kent honderden unieke wachtwoorden, dat onthoud niemand ooit en altijd zo lang mogelijk. Zo is mijn wachtwoord op deze site 128 karakters, allemaal willekeurig. En hoewel ik daarmee de lengte van mijn wachtwoord verklap, wens ik mensen veel plezier met hun bruteforcepoging.

Als ik met Paypal betaal moet ik welgeteld 1x een TOTP code ingeven vanop mijn telefoon. Geen idee hoe jij je PP hebt opgezet, maar daar is duidelijk iets niet goed aan.

[andreetje]

Je hebt natuurlijk nog wel te maken met één wachtwoord wat er niet in kan, n.l. dat van je wachtwoordmanager.

[Verwijderd]

nog erger, 1 wachtwoord kwijt = alles kwijt. dus puur een wachtwoord manager is ook geen oplossing. Sommige dingen wil je gewoon niet in een alles omvattende wachtwoord manager hebben.

[FairPCsPlease]

Ikzelf wil zelfs helemaal niets in een wachtwoordmanager hebben. Ik vind het een heel akelig idee dat ik mij volledig afhankelijk maak van 1 applicatie om in alle omgevingen te kunnen waar ik een account heb.

[andreetje]

Hoe doe je dat dan met bij wijze van spreken honderd verschillende moeilijk te raden wachtwoorden van 15 tot 40 posities lang? Ik zie geen andere mogelijkheid.

[FairPCsPlease]

Ik maak gebruik van trucs van ze noteren in vage omschrijvingen die ik alleen zelf kan raden, met terugkerende elementen die ik helemaal nergens noteer maar wel zelf weet. Ook niet 100% safe misschien, maar dan kan ik tenminste zelf alles achterhalen. Ik maak mij alleen zorgen, hoe ik dat moet delen voor na mijn dood, hoe kan iemand die de nalatenschap afhandelt, mijn accounts afronden, als ik alleen de omschrijvingen snap, die ik dan nalaat? Dat is met een wachtwoordmanager wel weer makkelijker. Maar 'all your eggs in one basket' en het helemaal uit handen geven aan zo'n app, dat voelt voor mij pas echt onveilig, ik wil controle, autonomie.

De echte oplossing zou natuurlijk zijn als er geen bedrog was, geen oplichting en een simpele check zou bestaan van ik ben FairPCsPlease. Ik snap ook niet, dat oplichting en bedrog überhaupt bestaan. Hoe krijg je dat psychisch voor elkaar? Mijn morele gevoel steigert al en ik ga terug naar de winkel als ik te weinig heb betaald als ik er achter kom dat iets per ongeluk niet is gescand bij het afrekenen.

[PaulHelper]

Erg leuk maar de voordelen wegen wel degelijk op tegen de nadelen Indien je je aan de aanbevelingen houdt.
Ik snap de gedachte en als jij een wondermens bent die 500 wachtwoorden met hoge entropie kan onthouden dan ben ik simpelweg jaloers. Beter is 1 erg hoog entropie wachtwoord in combinatie met 2FA of nog beter een Yubikey of iets dergelijks en dan zijn je gemaakte wachtwoorden van soms zelfs 128 karakters als je wil inclusief speciale tekens etc heel erg veilig.
Ja kies wel een goede want een LastPass en de hacks die er gebeuren en wat er fout gaat is niet goed. Maar daarom moet je goed de wachtwoordmanager checken. Ik denk no steeds dat bitwarden daarmee aan de top staat met third party audits. En alles zo zero trust als mogelijk.

[FairPCsPlease]

Maar dat blijft voelen als mijn autonomie uit handen geven aan een applicatie. Daarom wil ik ook geen gebruik maken van AI, van smart devices en al die andere moderne onzin die je opgedrongen wordt. Of gebruik maken van social media, waar een algoritme bepaalt wat je te zien krijgt. Vreselijk overprikkelend ook nog eens. De wereld is veel te digitaal aan het worden. Vroeger was niet alles beter, maar door een hoop ontwikkelingen voel ik mij steeds minder thuis in de wereld. En ik heb mij er al nooit thuis gevoeld, van jongs af aan eigenlijk al niet.

[Reactie gewijzigd door FairPCsPlease op 23 juli 2024 10:04]

[PaulHelper]

Het begin klonk als een antwoord daarna ging het meer over de digitalisering.
Als jij al die dingen niet wil gebruiken, dan doe je dat lekker niet. Minder data over jou online. Maar over het wachtwoorden managen mis ik het. Als je maar 3 wachtwoorden hebt bijvoorbeeld 1 voor DigiD en 1 voor mail en nog 1 dan heb je misschien geen wachtwoordmanager nodig, maar verder blijft staan wat ik zei.

[Caedendi]

Bitwarden biedt ook self-hosting aan, waarmee je de (open-source) applicatie geheel thuis zelf kunt hosten en het dus niet meer opgeslagen staat op hun servers.

[poktor]

Dit. Daarom gebruik ik Bitwarden en wel self-hosted en voorzien van 2fa en optioneel biometrie (vingerafdruk). Ik heb hier in huis al zeker 20 jaar een windows-server draaien en een paar jaar geleden besloot ik om hier VM's aan toe te voegen met hierop Home Assistant en Bitwarden Self-hosted. Beste besluit ooit, want het aantal passwords wat ik zakelijk en prive gebruik is de laatste jaren gewoon ontploft. Onze zoon gebruikt deze Bitwarden-server ook en heeft inmiddels exact hetzelfde, ook vanwege zijn werk. We werken beide in de ICT
Inmiddels heeft hij ruim 500 passwords in Bitwarden zitten, ik zit zelf op 400. Gigantische aantallen. Daarom worden er ook wekelijks 3 verschillende backups van gemaakt die op 3 verschillende manieren, ook off-site, versleuteld worden bewaard. Dit moet gewoon GOED zijn want we gebruiken het beide dagelijks.

[Reactie gewijzigd door poktor op 23 juli 2024 10:04]

[Aherin]

Ik snap die "alles kwijt" gedachte niet zo goed.
Dan log je in op de bewuste site, en klik je "ik ben mijn wachtwoord vergeten"?

[BeosBeing]

Zo is mijn wachtwoord op deze site 128 karakters, allemaal willekeurig.

En dus iedere keer dat je deze site opent staat je wachtwoordmanager in het geheugen van je PC/smartphone/... en als die gehackt is kunnen ze ook daar in het geheugen rondneuzelen.
Kijk dat je ingewikkelde wachtwoorden gebruikt voor belangrijke diensten, en die daarom in een wachtwoordmanager bijhoudt kan ik snappen. Echter onbelangrijke dingen zou ik er dan uit houden.

[Hatsjoe]

Betaling overmaken met paypal icm creditcard.
Gebruikersnaam + wachtwoord
Sms code paypal
Nogmaals sms code paypal voor de betaling
Inloggen bank met code
Sms code vanj

Dat is 5fa en alleen maar bloed irritant

Tijd voor een nieuw systeem wat wel werkbaar is voor mensen inplaats van gedrochten oplegge

Dat is niet mijn ervaring. Ik log in bij paypal met 2FA icm een yubikey of authenticator code. Ik betaal met credit card, heel soms moet ik met de "3DS" controle/beveiliging de transactie extra bevestigen in de app van mijn bank, waar ik gewoon op inlog met mijn vingerafdruk. Super simpel proces zonder veel haken en ogen.

Misschien heb je geen 2FA aan staan bij PayPal en dat je daarom door de SMS code hoepels moet springen? En heeft jouw bank geen fatsoenlijke app waarin je kan inloggen met biometrische authenticatie?

[The Zep Man]

Misschien heb je geen 2FA aan staan bij PayPal en dat je daarom door de SMS code hoepels moet springen?

Wachtwoord+SMS = 2FA. Dus qua dat staat het al aan.

[Centauriprime]

Zowel IOS als android hebben de mogelijkheid om de notificaties niet leesbaar te maken als de telefoon nog in locked staat.

IOS = show previews > when unlocked
Android = privacy > notifications on lockscreen > show censitive content only when unlocked

[CPV]

zonder je telefoon te ontgrendelen al direct in beeld

Nou, niet bij mij, volgens mij is dat een instelling.

[segil]

En die sms codes zijn alles behalve veilig want de code popt up in je notities met direct zonder je telefoon te ontgrendelen al direct in beeld weg veiligheid...

Hangt er vanaf hoe je je phone instelt. Bij mij krijg je op het lockscreen alleen te zien dat je een sms ontvangen hebt, niet de inhoud.

[familyman]

Daarnast is mijn ervaring dat de code meestal niet in de popup komt, doordat hjj ergens achterin de sms staat.

[ninjazx9r98]

Leesbare popups op een vergrendeld scherm is een keuze van de gebruiker,dat kan ook uit.

[Verwijderd]

En bij werkgevers dan nog steeds leunen op slechts username & ww voor je laptop & toegang... dat mag ook wel eens aangepast worden.

[themadone]

De balans tussen werkbaar en veilig. Iedere 5 minuten klapt je scherm op standby en moet je opnieuw inloggen, hierbij iedere keer mfa moeten gebruiken gaat denk ik een gebruikersopstand veroorzaken. Gebruikers zijn al aan hun device gekoppeld, dus even de machine van de buurman gebruiken gaat hier sowieso al niet.

Als hier een gebruiker wordt gecompromised dan zijn hooguit zijn eigen files en misschien die van de afdeling stuk maar daar hebben we backups voor, verder zal niemand het echt merken. Oh en voor de mensen die nu gaan roepen, ja maar dan zijn ze binnen etc, dat wordt allemaal gemonitoord en clients worden 24/7 instant genuked als er iets geks gebeurt. 100% veilig bestaat niet, maar met de juiste tooling/alerting/staffing/config kom je een eind. En heb je gekkigheid als 2FA/MFA bij iedere inlog echt niet nodig.

Bij VPN connecties en server management is uiteraard wel 2FA volledig ingericht. Maar dit is heel iets anders als inloggen op je PC.

[2400baud]

Pincode van 4 cijfers is vaak al genoeg

[guidogast]

Moedigen ze ook aan om Passkeys te gebruiken? Wordt steeds meer uitgerold en ik vind het een top ontwikkeling!

[Reactie gewijzigd door guidogast op 23 juli 2024 10:04]

[swhnld]

Alleen ben je naar mijn idee wel altijd nog afhankelijk van een backup oplossing voor account recovery. In mijn omgeving zie ik mensen die alleen nog maar een telefoon hebben, geen eigen computer, dus dan als de telefoon kwijt/kapot is, hoe in te loggen op je nieuwe telefoon die je dan koopt als je geen passkey daarvoor hebt?

Maar ik denk wel als je een wachtwoordmanager gebruikt je voor een deel van je accounts passkeys kunt gebruiken, en/of user+pw+2FA. Alleen je moet wel een strategie hebben. Immers ben je op vakantie je telefoon kwijt, hoe activeer je dan een nieuwe zonder dat je erop in kunt loggen?

[guidogast]

Ik zeg ook zeker niet dat het geen andere vraagstukken met zich meebrengt. Ik zeg alleen dat als de overheid hiermee aan het promoten is (wat ik iets goeds vind), dan vind ik het ook gepast het te hebben over Passkeys. Dat is naar mijn idee wel de toekomst en ook super gebruiksvriendelijk.

[Verwijderd]

Er gaat nog veel mis met passkeys: zie bijvoorbeeld wat ik zojuist hier schreef (je kunt zo al je in Google Password Manager opgeslagen passkeys kwijtraken, of ze werken niet na sync met een ander device).

[Reactie gewijzigd door Verwijderd op 23 juli 2024 10:04]

[FrostyPeet]

Daar is het vingertje van de overheid weer. Zo van: als u dit niet doet en u wordt gehackt eigen schuld dikke bult. Daarvoor is wel een budget beschikbaar om dit ons duidelijk te maken. Helaas, die hackers zelf kunnen we niet aanpakken omdat ze in een ander land verblijven.

Ook zonder 2FA zijn er sterke wachtwoord managers die per website een random wachtwoord aanmaken. Dat lijkt mij zeker zo sterk. Als een hacker op je pc zit om dat wachtwoord te stelen, heb je wel een groter probleem dan niet meer in bijvoorbeeld X te kunnen.

2FA heeft zijn eigen problemen, als je authenticator bijvoorbeeld defect is, moet je weer via een aparte procedure toegang zien te krijgen. Of je slaat de private key QR code op, zodat je de 2FA key stream opnieuw kunt genereren. Maar ja, dan heb je weer een key die je veilig moet opbergen.

[qlum]

Een nuttige tussenstap is om TOTP (helaas ook wel google autheticator genoemd) in je wachtwoordmanager te gebruiken.
Dan hoef je alleen achter je wachtwoord 1 keer extra te klikken. Natuurlijk hackt iemand je master password liggen die ook op straat, maar het beschermt wel tegen het uitlekken van ieder individueel wachtwoord.

[mr.loepie]

Ik wens ze dan veel succes als ze dit nog bij de ouderen willen aanleren. Mensen van 70+ hebben nu al moeite met één wachtwoord onthouden. Laat staan dat ze extra handelingen moeten doen om bv op hun bank rekening te kunnen kijken. Want dat is de groep die doorgaans sneller op een linkje klikt dan iemand van 30 in deze tijd. Die zijn iets terughoudender om ergens zomaar op te klikken.

[DigitalExorcist]

Ik snap je punt maar érgens houdt dat wel op he. De 70-jarige van nu was 30 toen PC's in zwang raakten. Ergens houdt het op dat je rekening kan houden met 'moderne nieuwigheden' zoals het internet. Dat iemand de TCP/IP stack niet snapt is tot daar aan toe, maar ook ouderen zouden onderhand prima kunnen weten hoe je op z'n minst internet (verstandig) gebruikt.

[andreetje]

Hier ben ik het totaal niet mee eens. Internet is dermate onveilig dat iedereen er makkelijk fouten kan maken. Even een moment niet opletten, en je opent een mail met een dubieuze afkomst. Het overkomt iedereen.

Internet anno 2024 is vragen aan mensen zonder relevante kennis of ze systeembeheerder en beveiligingsexpert willen zijn. Dat kan dus echt niet.

Niet alleen hou je de ontwikkelingen niet bij als je ouder wordt; je verliest vaardigheden die je ooit had. Ook mensen die hun hele leven met IT gewerkt hebben. Niet voor niets worden ouderen ook elke vijf jaar voor hun rijbewijs gekeurd.

IT is rampzalig voor ongeschoolden, laagopgeleiden en oudere eindgebruikers en moet véél eenvoudiger én veiliger worden. Zij hebben geen idee waar ze op moeten letten en wat ze moeten doen.

Ik vind het een gotspe dat wij IT verplicht maken en tegelijk zo inrichten dat een deel van de bevolking niet mee kan doen.

[PaulHelper]

Wat je zegt klopt, en het is misschien niet even fijn of handig voor bepaalde groepen. Toch denk ik vanuit bedrijven en efficiëntie dat als je zegt het kost 10 euro om het digitaal te doen of 1000 euro om het inclusief alle groepen te kunnen doen (dus niet digitaal of in elk geval veel mogelijkheden) dat elk bedrijf kiest voor 10 euro. Is een overheid verplicht om wel voor de inclusiviteit te gaan, in vind van wel. Voor zover ik weet proberen ze dat zover dat kan. Zijn bedrijven het verplicht, niet helemaal. Als er wetten voor zijn dan wel natuurlijk, zo zijn er voor kritieke instanties en volgens mij ook voor grote sites in het algemeen toegankelijkheid eisen maar of dat veel helpt ik durf het niet te zeggen.

[andreetje]

Vanuit bedrijven snap ik het.
Voor de overheid heb ik geen begrip. Het is niet alleen de complexe automatisering. De wetten zijn veel te ingewikkeld geworden; zo ingewikkeld dat de overheid er zelf niet meer uitkomt. Verder is de communicatie vanuit de overheid ronduit beroerd. De brieven van bijvoorbeeld de Belastingdienst zijn schier onbegrijpelijk.

Er is een revolutie in het denken van beleidsmakers nodig.

[DeadPhoenix86]

Mijn vader is ook dik in de 70, en die wil het ook niet leren. Hij zegt als ik maar bereikbaar ben, vind hij het prima.

[DigitalExorcist]

Maar als je iets al 40 jaar lang niet wil leren moet je niet verbaast zijn dat de wereld wél verder is.

[DeadPhoenix86]

Hij weet niet eens hoe een PC aan moet. Hij heeft altijd een hekel aan technology gehad.
Het enige wat hij een beetje kan, is de TV aanzetten.

[DigitalExorcist]

Maar zoals ik zei.. op een gegeven moment komt er een punt waarop dat niet meer opgaat. Ja je kunt het mensen makkelijk maken. Ja je kunt tot op bepaalde hoogten blijven accomoderen. Maar érgens moet je verder.

[DeadPhoenix86]

Veel success zou ik zeggen. Mijn vader is koppig.

[mr.loepie]

Jij bent duidelijk geen 70+, Geloof mij maar dat dan elke stap vooruit in technologie veel te snel voor je gaat. En dan vergeet je nog even dat er ook mensen zijn die een aandoening aan de hersenen hebben, (bijna 4.5 miljoen! in Nederland) die wel gewoon nog mee doen maar waar andere technische dingen allemaal VEEL te snel gaat en niet bij houden of kunnen onthouden. Het zal mij benieuwen of jij en ik als we 70+ zijn nog alles meekrijgen als het om nieuwe technologie gaat, Durf bijna te wedden van niet.

[DigitalExorcist]

Tsja. Ik ben inderdaad geen 70+, maar mijn vader is 94 en koopt een nieuwe digitale camera omdat die nét weer wat meer functies heeft dan de vorige, bestelt een nieuwe A3-printer die wél randloos kan printen want dat is toch wel mooier, en kan prima uit de voeten met zowel z'n iPad als zijn HP AiO-PC van 3 jaar oud. Ok, hij mailt me in plaats van iMessage, maar vooruit - dat werkt in principe natuurlijk ook goed.

N=1 .... (cc naar @DeadPhoenix86 )

Aanvulling: maar goed, we zijn thuis destijds ook wel begonnen met een Tulip XT met monochroom scherm, al snel daarna een Philips XT met een whopping 20MB harddisk etc.

[Reactie gewijzigd door DigitalExorcist op 23 juli 2024 10:04]

[mr.loepie]

Dat is prachtig voor hem, en vind het gaaf om te lezen dat die man dat op die leeftijd nog kan en doet. Maar zeg eens eerlijk hoeveel van die leeftijd kunnen dat nog? Die zijn heel schaars.

[Bosjabouter]

Ik ben 81 en ken regular expressions, PowerShell, Python en JavaScript. Ik begrijp de theorie achter RSA (in tegenstelling tot Anna Gimbrere die ik het onlangs fout hoorde "uitleggen"). Vorige maand heb ik nog een nieuwe Yubikey gekocht om digitaal te bankieren op mijn Amerikaanse bank. Mijn eerste kennismaking met de computer was in voorjaar 1967 (cursus Algol-60 op de TR4 in Delft) en sindsdien volg ik de meeste IT ontwikkelingen. Ik ken vrij veel voormalige collega's van mijn leeftijd die dat soort dingen ook weten en doen, dus kijk buiten je eigen bubbel, zou ik zeggen.

[Reactie gewijzigd door Bosjabouter op 23 juli 2024 10:04]

[mr.loepie]

Dat is mooi voor jou, maar nogmaals! hoeveel mensen op die leeftijd hebben dat geluk? buiten de paar die jezelf kent. En jij bent er al vanaf je jeugdjaren mee bezig. Ook dat heeft lang niet iedereen. En daarbij benoem ik nogmaals maar even de 4,5 miljoen mensen in Nederland die aan een hersenaandoening lijden. Dus voor je buiten je bubbel gaat, kijk ook eens de andere kant op. Die mensen die het niet kunnen/snappen. En 4.5 miljoen zijn iets meer dan die paar die jij kent die het wel kunnen, ook al noem jij dat veel maar dat is maar relatief weinig tov de andere cijfers.
Maar nogmaals, ik vind het prachtig dat sommigen het nog wel kunnen op die leeftijd, daar heb ik respect voor.

[PaulHelper]

De rest ga ik niet diep op in, maar die 4,5 miljoen klopt feitelijk. Maar jij doet voorkomen alsof elk van die mensen erg grote nadelen ervaart met 2FA en de mogelijke extra moeite die je ervoor moet kunnen doen op je apparaten.
Er zijn 5 clusters, waarvan er 2 misschien 3 van toepassing zijn op het bemoeilijken en dan is nog de vraag of het die volledige groep is omdat de mate er van verschilt.

Ik zeg hiermee niet dat je geen gelijk hebt, en inderdaad bepaalde groepen zullen dit soort dingen moeilijker vinden maar zo gaat vooruitgang vooral in de technologische revolutie. Bankieren moeten tegenwoordig bijna allemaal digitaal en steeds meer andere noodzakelijke diensten zoals overheid ook. Toch moet je langzaam verandering kunnen aan brengen en dingen verbeteren als er zeer grote andere risicos zijn als je dat niet doet.
Zoals veel andere mensen zeggen, waarschijnlijk zullen familieleden/naasten of vrienden hierbij moeten helpen maar bedenk dat mensen die het nu niet kunnen helpt met het aantal mensen die het eerder aanleren en er dus misschien later minder moeite mee hebben omdat ze het altijd al gedaan hebben.

Bron: https://www.rivm.nl/nieuw...rs-heeft-hersenaandoening

[andreetje]

Het is zo'n verhaal van "mijn opa heeft zijn hele leven gerookt en werd 100 jaar". Jouw opa is de spreekwoordelijke uitzondering, want ik ken helemaal niemand van boven de 70 die zonder hulp de IT regelt.

[DigitalExorcist]

M’n vader. M’n opa’s zijn al langere tijd niet meer onder ons. Maar ik snap je punt. En hij regelt ook niet al z’n IT zelf, maar kan zich uitstekend redden met de middelen die er zijn.

[andreetje]

Excuses...
Ah ok, ik snap 'm. Ik hoop dat ik ook op zijn manier oud word.

[CPV]

Ik denk dat dat nog wel meevalt als de melding is:
we hebben je een sms gestuurd, vul dat getal hier in.

[mr.loepie]

Dat zeg je goed indd, je DENKT, maar ik WEET dat het anders is dan jij denkt. Maar mochten we het mee mogen maken dan zullen we het zien.

[Groentjuh]

Goed dat dit wordt gedaan! Pas wel op dat je jezelf niet in een lastig pakket brengt als bijvoorbeeld jouw mobiel kwijt raakt/gestolen wordt.

Mensen vinden het vrij lastig als ze voor het aanvragen van een vervangende eSim een banktransactie moeten doen en om die transactie de kunnen doen bijvoorbeeld een SMS dienen te kunnen ontvangen.

Dus let ook op de herstelopties als je zoveel mogelijk van MFA voorziet.

[wackmaniac]

Dit is een van de dingen die mensen vaak vergeten; het daadwerkelijk implementeren van een tweede factor is meestal de complexiteit niet, maar je moet ook een herstelproces voorzien. Hoe krijgen mensen die hun telefoon kwijt zijn weer toegang tot hun account? Datzelfde geldt overigens ook voor passkeys, hoewel die toch wel stukje meer complex zijn om te implementeren. Wij overwegen sterk om NS Go te volgen door wachtwoorden volledig in de ban te doen en altijd een eenmalige code te mailen.

[vuilputje]

Voor ouderen en andere kwetsbaren kan 2FA soms echt dramatisch uitpakken.

Inlognaam en gebruik van unieke wachtwoorden lukt nog wel, maar daarna moet vaak een telefoon gebruikt worden. Daar is niet iedereen (op leeftijd) even handig of vertrouwd mee. Inloggen met DigID is een mooi voorbeeld. Als je kiest voor een gesproken bericht met de 6-cijferige code wordt duidelijk voorgelezen dat de code volgt, om vervolgens met een fluisterstem de 6 cijfers op te lezen. Mijn eigen gehoor is degelijk, maar ook ik heb er moeite mee. Helaas maar al te vaak ouderen gefrustreerd hiermee zien worstelen, juist omdat ze zo graag 'bij' willen blijven.

[ibmpc]

MFA is allang niet voldoende veilig meer door tools als evilginx. Ons beleid vereist phishing resistant als minimaal beveiligingsniveau en MFA is alleen nog toegestaan als het echt niet anders kan. Verbazingwekkend dat de overheid alsnog MFA gaat promoten.

[R4gnax]

Het initiatief van het ministerie van Justitie en Veiligheid is bedoeld om Nederlanders te stimuleren om tweestapsverificatie, ook wel tweefactorauthenticatie genoemd, te activeren voor online services zoals sociale media en e-maildiensten.

Ik weet even niet wat meer pijnlijk is om te zien: het feit dat de overheid 2FA tweestapsverificatie noemt, of het feit dat Tweakers hier tweestapsverificatie bot gelijk stelt aan tweefactorauthenticatie.

Tweestaps betekent gewoon twee stappen.
Dat kunnen ook twee wachtwoorden zijn.
Tweefactor betekent twee stappen die verschillend zijn van aard. Keuze uit iets wat je kent (een wachtwoord); iets wat je hebt (zoals een fysiek beveiligingstoken); of iets wat je bent (biometrie zoals vingerafdruk).

[nightgold]

Allemaal goed en wel zolang de keuze bij de gebruiker blijft.
Sommige platformen spammen je de hele tijd om 2fa aan te zetten en sommigen (bv github) dwingen je er zelfs toe.
Wanneer je geen gevoelige gevens op het platform hebt is het bloedirritant om die extra moeite te moeten doen (doe ik dan ook niet). Het is alsof ik een 5-punt ** veiligheidsslot op mijn vuilbak moet gebruiken, anders mag ik mijn vuilniszak er niet meer instoppen.