GOG laat gebruikers accounts via authenticatie-apps beveiligen

Gamewinkel GOG voegt bescherming via multifactorauthenticatieapps toe aan accounts. Het is vooralsnog alleen mogelijk authenticatie-apps te gebruiken en geen hardwaresleutels.

GOG kondigt dat aan op zijn forum. Voorheen was het alleen mogelijk GOG-accounts met 2fa via e-mail te beschermen.

Vooralsnog worden alleen totp- of Time-based One-Time Passwords ondersteund. Dat zijn authenticatie-apps zoals Google Authenticator of Authy. Hardwarematige 2fa zoals dat van Yubikeys wordt niet ondersteund, net als passkeys. GOG zegt dat gebruikers eerst e-mailauthenticatie uit moeten schakelen.

Reacties (21)

[jurroen]

Dit valt mij wel tegen hoor. GOG voegt nu dus TOTP toe - zo heel lastig is WebAuthn / FIDO2 niet. Toevallig vanmorgen nog een inplementatie opgeleverd.

Ben wel benieuwd hoe ze de TOTP implementatie gedaan hebben. Opvallend veel webservices doen dit stiekem nog via Google wat een enorm slechte manier is. Niet alleen heeft Google daarmee toegang tot de secret (wordt immers door hun gegenereerd) maar het geeft ook een afhankelijkheid van een derde partij.

En dat laatste, als bedrijf zijnde moet je dat niet willen.

[Daniel Jackson]

Dit heeft niet direct iets met Google te maken. Ja, je kunt uiteraard Google Authenticator gebruiken en de QR code daarmee scannen die je krijgt als je TOTP wilt inschakelen. Maar het is een openbare implementatie en je kunt de code ook scannen of het secret invoeren in elke andere TOTP software-oplossing naar eigen keuze. Zo heb ik zelf zojuist TOTP op GOG aangezet in mijn KeepassXC installatie op Windows. Dat werkt ook gelijk in Keepass2Android op mijn telefoon. Allemaal volkomen lokaal, er komt geen enkele externe partij bij kijken waarbij het in een cloud terecht komt.

[jurroen]

Ik denk dat je mj niet goed begreep. Mijn opmerking gaat over de andere kant, in dit geval GOG - de implementatie aan de serverkant.

Ik weet niet hoe GOG het gedaan heeft, maar een opvallend deel van de implementatie door websevices doen dit met Google. En dat is mijn punt. Het is prima zelf te doen en er zijn legio libraries die het goed en "lokaal" implementeren.

Als het secret (QR, manueel) door Google gegenereerd is maakt het niet uit hoe jij het opslaat en welke app je daargoor gebruikt.

[Daniel Jackson]

Dan ben ik benieuwd. Wat is de exacte Google dienst die voor andere externe partijen een secret kan genereren? Voor zover ik weet berust het secret puur op de output van een random number generator. Waarom zouden sites zo'n simpele taak uitbesteden aan Google?

[Ace_010]

Hou het zoals het is. Werkt prima.

[Die_ene_gast]

Stuur je cv / bedrijfkaartje naar ze toe?

[NoUser]

Of eventueel de App 2FAS van een NL’se Tweaker (TOTP)

NL was from the top of mind. Ben ik niet meer zeker van. Kan het ook zo snel niet meer vinden. Mark is the Founder

Speciaal voor die ene gast:
het is FOSS (free and open-source software)

[Reactie gewijzigd door NoUser op 20 mei 2025 20:32]

[Anck]

Je bedoelt hier denk ik Aegis (https://getaegis.app/, Android only). Voor zover ik weet is 2FAS niet door Nederlanders gemaakt, maar nog steeds OK. Beide zijn open source en geven je volledige controle over je secrets waardoor je geen last hebt van vendor lock-in.

[Die_ene_gast]

Daar had je wel even bij mogen vermelden dat die FLOSS is, dat is een grote plus.

[mexicanburribo]

A little late to the party, maar beter laat dan nooit i guess

[John Doos]

Zijn er andere launchers die een third party authenticatie ondersteunen dan?

Voor zover ik weet doet Epic een sms, battlement een sms, Ubisoft Connect een mail,(tegenwoordig ook 3rd party authenticators zie ik net!) warhunder (binnen steam!) een eigen gaijin app, en steam heeft z’n eigen steam authenticator.

Late to the party, the early bird catches the worm zou je bedoelen. Ik wou dat ik alles in 1 authenticator app kon stoppen, met passkeys of toto maakt met dan niet eens zoveel uit.

[NegativeFreak]

Account van Epic kun je met een Authenticator van Google, Microsoft, LastPass of Authy beveiligen.
Link: https://www.epicgames.com...w-to-enable-it-a000084651

[Oon]

Dat is gewoon standaard TOTP, dus daarvoor kun je iedere authenticator app gebruiken.

[SpoekGTi]

Battle.net
Epic
Steam

Dus ja

[nzall]

EA kun je ook via Google Authenticator doen, en Battle.net heeft zelfs een volledig aparte app waarbij je een melding op je smartphone moet goedkeuren.

[Die_ene_gast]

Ik heb een epic totp in mijn lijstje?

[Tweaker36]

Perfect, gelijk ingesteld.
Niks vervelender dan 2FA waarbij je zelf afhankelijk bent van een 3de partij en/of systeem voor het verkrijgen van je code.
Email is al onhandig, sms is helemaal irritant (niet dat GOG die laatste deed). Gewoon TOTP is mooi.

[SuperDre]

Maar, maar je bent hier toch net zo afhankelijk van een 3rd party, want je hebt nog steeds een app hiervoor nodig. En eigenlijk is email dan toch helemaal noet zo vervelend want je telefoon zal maar eens kapot gaan...

[Caelorum]

Je kan het ook zelf maken. Totp is een stabiele standaard.

Overigens zijn er ook apps, zoals veel wachtwoordmanagers, die de code kunnen synchroniseren over platformen heen. Dan maakt het dus niet uit of je telefoon stuk is.

[Die_ene_gast]

Heel veel FLOSS apps, en die kan je backuppen.
Vergeet niet dat je email veel gevaarlijker is om kwijt te raken.

[Savantis]

Ik zit al een tijd te azen op een Yubikey of een ander soort hardwaresleutel. Tegenwoordig hoor je steeds vaker dat bepaalde diensten met 2FA zelfs dan nog omzeild worden. Helaas kost dat wat centjes, maar dan heb ik liever dat ze mij fysiek moeten overvallen om tot mijn diensten te komen
Helaas kom ik nou nog niet zoveel diensten tegen die hardware-based U2F toelaten. Vind ik uiteindelijk wel het fijnst om doormiddel van NFC ook 2FA operaties op de mobiel te kunnen doen.