'Microsoft-accounts krijgen tweestaps-authenticatie'

Microsoft-accounts krijgen de mogelijkheid voor tweestaps-authenticatie, zo blijkt uit verschillende screenshots. Microsoft heeft ook een 'authenticator'-app voor Windows Phone uitgebracht, waarmee beveiligingstokens gegenereerd kunnen worden.

De screenshots die het tweestaps-verificatiemechanisme tonen, zijn te zien op LiveSide. De site heeft ook informatie over de authenticator-app. Deze mobiele applicatie voor Windows Phone kan aan een Microsoft-account gekoppeld worden, waardoor er 'tokens' gegenereerd kunnen worden om via de extra controlestap toegang te krijgen tot Microsoft-diensten. Voor diensten die met een Microsoft-account werken, maar geen tweestaps-authenticatie ondersteunen, is het mogelijk om een apart 'app password' te genereren.

Microsoft-accounts worden voor steeds meer verschillende diensten en producten van de softwaregigant gebruikt, zoals Windows 8, Office, Outlook.com en Skype. Daarnaast kunnen diensten van derden zoals Facebook, Twitter en LinkedIn aan het account gekoppeld worden. Tot nog toe is een e-mailadres en een wachtwoord genoeg om in te loggen op een Microsoft-account.

Beveiliging met behulp van meerdere stappen wordt steeds vaker toegepast. Accounts van concurrent Google kunnen al enige tijd op deze manier beveiligd worden en ook Twitter werkt aan een implementatie van de inlogwijze.

Reacties (33)

[Avalaxy]

Uhm, misschien snap ik het niet goed, maar Microsoft-accounts hebben al een hele tijd twee-staps authenticatie hoor? Ik krijg al máánden als ik in wil loggen op mijn live of outlook account een mailtje danwel een SMS met een beveiligingscode.

[S. van der Meer]

Ja, ik ook. Dit is dan meer 3-staps verificatie. Maarja, je mobiel gebruik je al

[Loller1]

Mmm, gemengde gevoelens. Hoewel ik het een mooie stap vooruit vind, wordt ik het een beetje beu dat dit overal weer opnieuw moet...

Trouwens, nog iemand die met IE 10.0.4 dit te zien kreeg: http://choice.microsoft.com/en-us?

[eltweako]

Heel mooi al die tweestaps authenticatie bij diverse diensten.
Alleen jammer dat bijna elke site weer zijn eigen authenticator app heeft. Ik heb er inmiddels al 4 op mijn telefoon staan. Waarom niet gewoon die van verisign of een andere aanbieder gebruiken in de plaats van een eigen app?

[cafaro]

De meeste (two-factor) authenticator apps genereren OTP's volgens dezelfde standaard . Het lijkt er op dat de authenticator van Microsoft hier ook gebruik van maakt.

[Soldaatje]

Aan de ene kant omdat ze net een bedrijf hebben overgenomen die MFA ontwikkelde.
Aan de andere kant omdat als je zomaar ergens een MFA koopt je niet 100% de veiligheid kan garanderen en afhankelijk bent van een derde partij, dat wil je niet.
En als er een veiligheidsprobleem is met 1 universele app, is iedereen zeg maar wel de sjaak.

[Reactie gewijzigd door Soldaatje op 25 juli 2024 06:38]

[Xaero]

Dan nog is het niet enkel één code die je tegenhoud om in te loggen. Je moet nog steeds het wachtwoord weten.

[Verwijderd]

Ik gebruik voor 2stap time generated codes gewoon Authomator. Werkt als een zonnetje en ben niet afhankelijk van apps van anderen.

[Patrickkkk]

mischien mis ik iets, maar als je telefoon dan stuk is kan je niet meer in je email komen? lijkt me vervelend. Ik gebruik wel gewoon sterke wachtwoorden en een password manager zoals keepass

[Xaero]

Bij Google heb je backup-codes die je kan bewaren in je portomonee. Ook kan je een gewoon telefoonnummer er aan koppelen. Bijv. een huisnummer waardoor je de code hoort ipv via een app de boel laat lopen. Bij dropbox kan je ipv de code generen ook een SMS krijgen.

Denk dat MS ook in die richting gaat werken.

[Redlion]

Microsoft heeft al jaren dat je een mobiel nummer in je account kunt opgeven waar je vervolgens een sms op kunt krijgen om bij een geblokkeerde of gehijackte account er weer in te kunnen komen.

Dit moet je zien als een extra security layer voor bepaalde functies, zoals het doen van betalingen.

[Armin]

mischien mis ik iets, maar als je telefoon dan stuk is kan je niet meer in je email komen

Goede vraag, maar twee antwoorden:

- volgens mij is dit enkel/vooral bedoeld om inloggen op onbekende apparatuur moeilijker te maken. Ofwel als jij op je eigen thuis PC inlogt heb je (tenzij je wellicht perse 2 staps wilt) maar 1 staps authenticatie. Echter als je dan opeens op een vriends PC even wilt inloggen krijg je de 2 staps. Een hacker krijgt dus ook 2 staps.

- Microsoft stelt gebruikers standaard in staat een aantal extra 'systemen' toe te voegen. Dat kan je telefoonnummer zijn, maar ook een speciale PC die jij vertrouwt. Als je je wachtwoord kwijt bent, of je account is gelocked kun je het daarmee unlocken. Zou dus je telefoon stuk zijn op heel toevallig exact hetzelfde moment als je wachtwoord verlies, stop je die SIM kaart (of de vervangende) in een andere telefoon, en je kunt je account toch unlocken. Of je gebruikt die speciale als veilig aangemerkte PC.

Heb je dit alles niet gedaan, heb je inderdaad pech en moet je een formulier invullen en naar Microsoft sturen. Dat is lasting, maar andersom hackers kunnen zo ook je account niet zomaar krijgen mete en smoesje van verloren wachtwoord.

[Verwijderd]

Dat niet alleen, ik heb geen mobieltje (nooit gehad ook) dus dat verhaal gaat voor mijn dan ook niet op, gelukkig gebruik ik mijn ISP account en andere e-mail adressen voor reclame dump

[SuperDre]

Of misschien wel een mobieltje, maar geen smartphone waarop de app kan draaien. Ik loop ook nog steeds met een gewoon mobieltje waarvan maar weinig mensen het nummer hebben, want waarom moet je toch overal en altijd bereikbaar zijn, dat is nergens voor nodig en vaak zelfs zeer storend, net zoals smartphones, mensen die tijdens vergaderingen zitten te whatsappen of hun mail te kijken ipv mee te doen.

[Pep7777]

<cynisch>
Dus in combinatie met een windows phone zie ik dit nog wel werken
(microsoft heeft controle over die app store)
Maar Ik zie de eerste scam authenticator apps voor andere os-en al voor me.
</cynisch>

Meer on topic, two factor authentication is dan misschien wat lastiger te gebruiken maar voor diensten waar je veel info hebt staan toch wel een fijn idee,

[Demo]

Hoe zie je dat dan voor je? Er wordt een fake code gegenereerd en dan.. kan je niet inloggen. De authenticator ap doet niets anders dan OTP's uitpoepen.

[Pep7777]

Zo bijvoorbeeld

http://thenextweb.com/goo...versions-of-popular-apps/

[EchoWhiskey]

Op zich goede ontwikkeling (meer veiligheid) maar ik hoop dat we straks niet tig van dit soort diensten krijgen.
Ik gebruik mijn Ubikey waar ik kan, maar als ik straks van Google, Microsoft, ... steeds weer andere apps moet gebruiken, is het weer niet zo handig.

[SMGGM]

Ik gebruik het voor Google al ruimte tijd en zeer tevreden over.
Je kan applicatie specifieke wachtwoorden laten genereren voor bv je smartphone, mailclient,... Als je smartphone dan zoek je trek je gewoon het wachtwoord in zonder dat je al je wachtwoorden moet gaan wijzigen. Ook kan die persoon met een applicatie specifiek wachtwoord niet aanmelden op Google zelf, enkel via een applicatie toegang krijgen.
Op dit moment een stuk of 6 van zo'n wachtwoorden (tablet, XBMC, smartphone, mailclient,...) en aanmelden op Gmail zelf doe je dan gewoonweg met je eigen wachtwoord en dan je smartphone bij de hand voor de random code. Backup codes zitten in een geëncrypteerde ZIP op mijn filehost (nog maar 1 maal nodig gehad toen mijn batterij plat was en dringend mail moet nakijken).

[mutley69]

who cares? Dat werkt toch niet - Google liet me dat maar op één platform tegelijkertijd gebruiken. Nee - dit moet beter.
Authenticatie moet gewoon ergens anders zitten - niet bij de app-fabrikant!

[SmokingCrop]

Ze konden ook al eens de max password length vergroten.. 16 is gewoon weinig.

[Regenbui]

Als ik je reactie lees, zou ik zeggen dat je een trol bent (zie comments neowin). Het verlengen van het wachtwoord betekent per definitie niet dat het veiliger wordt. Het probleem ligt bij de gebruiker en de manier waarop deze met zijn systeem omgaat.

[SmokingCrop]

Het is gewoon omdat ik onlangs eens mijn wachtwoorden verlengd heb en dan zie je opeens dat de helft van de websites/systemen niet meer dan 16 karakters toestaat..

Ik vraag me dan echt af, waarom?

[SuperDre]

Ja echt, ik ga voor elke website een 16 character lang wachtwoord onthouden....

[SmokingCrop]

Leer lezen. (tip: maximum toegelaten wachtwoordlengte != minimum benodigde wachtwoordlengte)

[Yggdrasil]

Ik wil überhaupt niet voor elke site een wachtwoord onthouden. Dat leidt er alleen maar toe dat ik ze ga hergebruiken. Dus gebruik ik een password manager (LastPass) om complexe unieke wachtwoorden te genereren voor elke site/dienst.

Die password manager is optioneel met twee-factor authenticatie beveiligd. Ik onthoud dus één wachtwoord (van LastPass) en heb een Yubikey als tweede factor. Je kunt ook Google Authenticator gebruiken, of een printje met eenmalige codes. Plugins voor alle browsers, apps voor smartphones, javascript bookmarklets, etc., zorgen ervoor dat ik er in dagelijks gebruik zeer weinig last van heb en eigenlijk vooral veel gemak. Nu ik dat eenmaal gebruik wil ik niet meer terug.

[pim]

Beveiliging met behulp van meerdere stappen wordt steeds vaker toegepast. Accounts van concurrent Google kunnen al enige tijd op deze manier beveiligd worden en ook Twitter werkt aan een implementatie van de inlogwijze.

Dat klinkt alsof het al vast stond dat elke website het vroeger of later ging introduceren.
Google heeft het niet uitgevonden, maar wel grootschalig geintroduceerd in februari 2011.
Daarna pas volgde pas de rest.

Vreemd want het bestond al lang.