Als Tweakers over ieder individueel datalek een artikel zou schrijven, zou de redactie geen tijd hebben om artikelen als dit te maken. Een vuistregel is dat het uitlekken van e-mailadressen en wachtwoorden pas interessant is als het aantal slachtoffers in de miljoenen loopt. LinkedIn: 164 miljoen. Adobe: 38 miljoen. MySpace: 359 miljoen.
Met al die datalekken wordt pijnlijk duidelijk dat je niet langer op grote techbedrijven als LinkedIn, Adobe en Facebook kunt vertrouwen om je informatie veilig te houden. Belangrijker is echter dat wachtwoorden alleen niet meer genoeg zijn om een account veilig te houden. De meeste experts zijn het erover eens dat het wachtwoord in zijn huidige vorm zijn beste tijd heeft gehad. Het aantal datalekken lijkt dat te ondersteunen. Er zijn inmiddels tientallen websites als Have I Been Pwned, die als kerntaak hebben om gebruikers voor te lichten over welke van hun accounts zijn gestolen in een datalek.
Moeilijk voor gebruikers, gemakkelijk voor computers
Het is voor gebruikers steeds moeilijker om hun online identiteit of accounts te beschermen op de manier die jarenlang volstond. Niet heel gek, want het aantal accounts dat de gemiddelde gebruiker heeft, stijgt jaar op jaar. Hadden we er in 2015 volgens Dashlane nog 90, in 2018 waren dat er al 191. Dat zijn wachtwoorden die we allemaal moeten onthouden, en die liefst ook nog voldoen aan eisen zoals lengte en verschillende tekens. Gebruikers zijn daarom snel geneigd om voor de gemakkelijkste oplossing te gaan en één wachtwoord te kiezen voor veel verschillende diensten. Dat maakt wachtwoorden op hun beurt extra aantrekkelijk voor criminelen. Eén slecht beveiligde dienst hacken en je hebt wachtwoorden te pakken die je vervolgens bij tientallen andere diensten kunt proberen.
Het moge duidelijk zijn welke problemen wachtwoorden met zich meebrengen: ze zijn lastig te onthouden en worden vervolgens gemakkelijk gehackt. Of, zoals Mark Risher van Google het tegen Tweakers zegt: "Wachtwoorden zijn moeilijk voor gebruikers en gemakkelijk voor aanvallers." Risher houdt zich bij Google bezig met het verbeteren van de beveiliging van accounts en denkt dat het niet langer genoeg is om alleen op wachtwoorden te vertrouwen. Het is volgens hem niet meer dan logisch dat er in de toekomst een alternatief komt.
Tweakers Magazine
Een variant van dit artikel verscheen eerder in het Tweakers Magazine, dat elke twee maanden naar alle Hero- en Elite-abonnees wordt verstuurd. Wil jij dit soort artikelen ook als eerste lezen en daarnaast profiteren van alle voordelen die een abonnement biedt? Check dan de Aboshop voor meer info. Je bent al Hero-abonnee vanaf 3,75 euro per maand. Jullie steun wordt enorm gewaardeerd.
Wachtwoordmanagers en single sign-on
Wachtwoordmanagers
Een andere techgigant, Microsoft, denkt zelfs dat wachtwoorden in hun geheel overbodig zijn. "Your password doesn't matter", schrijft Alex Weinert van het bedrijf in een blogpost. Niet dat wachtwoorden op zichzelf zinloos zijn, maar wel de lengte en sterkte ervan. Jarenlang was het advies om een lang, ingewikkeld wachtwoord in te stellen, zoals een wachtwoordzin of door veel leestekens te gebruiken. Dat advies is, ook volgens Microsoft en veel andere experts, inmiddels achterhaald. Het grootste gevaar rondom wachtwoorden is niet het feit dat ze vaak te simpel of te kort zijn, maar het hergebruik. Dat simpele gegeven is te voorkomen met een wachtwoordmanager, waarvan de populariteit de laatste jaren flink toeneemt. Wachtwoordmanagers genereren een uniek, willekeurig en authentiek wachtwoord. De grootste risico's, zoals hergebruik van gestolen wachtwoorden of bruteforcing, zijn daarmee voor een belangrijk deel weggenomen.
Sommige critici wijzen er weleens op dat een wachtwoordmanager een single point of failure is. Een aanvaller die het voor elkaar krijgt om een wachtwoordmanager binnen te dringen, heeft dan met één aanval toegang tot álle wachtwoorden van een slachtoffer. Ondanks enkele incidenten lijkt dat risico klein. Een grootschalige, succesvolle hack op wachtwoordmanagers moet nog plaatsvinden. Er zijn wel hier en daar voorbeelden bekend van lekken in bekende apps, maar serieus was dat nooit. In 2015 werd LastPass bijvoorbeeld door een hack getroffen, maar daarbij werden geen wachtwoorden buitgemaakt. Een wachtwoordmanager is dan ook nog steeds de beste vorm van wachtwoordbeheer, denkt Rishner van Google. "Je legt weliswaar al je eieren in één mandje, maar dat is wel een goed beveiligd mandje. Dat is beter dan dat je ze in honderden slecht beveiligde mandjes doet."
Wachtwoordmanagers zoals LastPass worden steeds populairder
Symptoombestrijding
In het grotere plaatje zijn wachtwoordmanagers echter slechts een bestrijding van het symptoom en niet van de ziekte. Ze lossen de problemen op die wachtwoorden hébben, zoals hergebruik en zwakte, maar niet de problemen die wachtwoorden zijn: een minimale, onhoudbare vorm van beveiliging die moeilijk is voor mensen, maar gemakkelijk voor computers. De toekomst van authenticatie ligt volgens experts niet in het verbeteren van het wachtwoord, maar in het vervangen of uitbreiden daarvan. Risher ziet een toekomst voor zich waarbij het wachtwoord op de lange duur misschien niet verdwijnt, maar wel op een andere manier wordt gebruikt, bijvoorbeeld als onderdeel van een groter beveiligingsprofiel. Het wachtwoord is dan niet de enige manier om ergens in te loggen, maar een van twee of meer factoren.
Single sign-on
Rishner ziet, misschien niet heel verrassend, veel toekomst in single sign-ons. Daarbij kunnen gebruikers op een dienst inloggen via hun Google-account, of het account van een andere service zoals Facebook of Apple. Het voordeel daarvan is, net als bij een wachtwoordmanager, dat je als gebruiker maar één wachtwoord hoeft te onthouden. Het is zelfs nog een stap veiliger, omdat je met single sign-on nog maar één wachtwoord hébt. Bovendien vertrouw je de beveiliging daarmee toe aan miljardenbedrijven. Die hebben veel meer geld en mogelijkheden om voor adequate beveiliging te zorgen, meer in ieder geval dan een willekeurige webshop waarbij je een account aanmaakt.
Vendor lock-in
Met single sign-on loop je het risico op vendor lock-inNiet iedereen zal single sign-ons even praktisch vinden, maar de negatieve eigenschappen van sso’s voor gebruikers zijn juist positieve voor Google en de andere techbedrijven die het aanbieden. Sso's leiden tot een vorm van vendor lock-in. Je zit vast aan de service van de sso-provider. Bij hoe meer diensten je daarmee inlogt, hoe moeilijker het wordt ervan weg te stappen. Neem de ophef die een jaar of anderhalf geleden ontstond rondom Facebook toen veel gebruikers weg wilden bij het sociale netwerk. Facebook Login maakte het voor veel gebruikers erg onaantrekkelijk om weg te gaan. Als ze hun Facebook-account zouden opzeggen, raakten ze ook hun Spotify-account kwijt, inclusief favoriete muziek en afspeellijsten.
Single sign-on heeft meer nadelen. Zo moet je je e-mailadres delen met een dienst en kun je al snel gemakkelijker worden gevolgd. Apple probeert dat sinds juni te verbeteren met ‘Sign in with Apple’. Dat is een single sign-on met een Apple-account, maar met een paar privacyvriendelijke verschillen. Zo laten gebruikers bij elke dienst een willekeurig e-mailadres achter. Ook is Sign in with Apple te gebruiken in combinatie met FaceID en TouchID, bekende en veilige authenticatievormen. Ook bij Apple blijft echter het risico op vendor lock-in bestaan, precies waar het bedrijf baat bij heeft.
Tweestapsverificatie
Bovendien blijft de beveiliging met single sign-ons steken op één inlogmethode. Een account met een wachtwoord is dan al genoeg om ergens in te breken. Dat proces wordt in één klap veel veiliger als je tweestapsverificatie inzet. De basis van 2fa zal voor de meeste lezers wel bekend zijn. Dat is een tweede factor, meestal een code, die samen met het wachtwoord moet worden ingevuld om in te loggen. In tegenstelling tot het wachtwoord wordt die code ergens op gegenereerd of naar de gebruiker gestuurd.
Er zijn verschillende vormen van tweestapsverificatie, ruwweg te verdelen in twee protocollen: hotp en totp. Hotp staat voor hmac-based one-time password, waarbij hmac op zijn beurt staat voor hash-based message authentication code. Daartegenover staat een time-based one-time password, in essentie dezelfde soort tijdelijk gegenereerde code, maar met een timestamp, zodat de code maar tijdelijk bruikbaar is. Een voorbeeld van hotp-codes zijn sms'jes die je ter verificatie krijgt, waarbij het meestal niet uitmaakt hoe lang je wacht om ze in te voeren. Totp-codes zijn codes die je genereert met apps als Google Authenticator, Authy of een van de tientallen alternatieven. Die verversen zichzelf iedere dertig seconden, waardoor de gebruiker dus beperkte tijd heeft om ze in te voeren.
Sms: veilig of niet?
Er is in het verleden veel geschreven over sms als methode voor tweestapsverificatie. Het zou een stuk onveiliger zijn dan andere vormen van 2fa. In beginsel klopt dat. Omdat sms'jes een vorm van hotp-verificatie zijn, zit er geen tijdslimiet op het gebruik van de code. Dat maakt een aanval in theorie gemakkelijker, omdat je niet zoals bij totp-verificatie in een halve minuut de aanval moet inzetten. Belangrijker is volgens critici het feit dat sms aan een telefoonnummer is gekoppeld. Er zijn veel voorbeelden bekend waarbij accounts werden overgenomen door via social engineering een telefoonnummer over te nemen. Via de klantenservice van providers blijkt dat in veel gevallen niet erg moeilijk. De opkomst van e-sim maakt het misschien nog eenvoudiger om een telefoonnummer over te nemen. Of dat risico betekent dat gebruikers dan maar helemaal geen tweestapsverificatie moeten instellen, is echter de vraag; iets is nog altijd beter dan niets.
Beveiligingssleutels
In de wereld van authenticatie bestaat één belangrijk principe: je kunt je authenticeren met iets dat je weet, iets dat je hebt en iets dat je bent. Een wachtwoord is iets dat je weet, maar ook totp- en hotp-authenticatie gaan over een kennisfactor; je moet immers de code kennen. Op het moment dat je gebruikmaakt van iets dat je hebt, ben je in één klap veel beter beveiligd tegen digitale inbraken. Een goed voorbeeld zijn fysieke veiligheidssleutels. Het bekendste voorbeeld is de YubiKey, maar er is ook een handvol minder bekende sleutels beschikbaar, zoals de Solo Key. Die verzorgen de tweede stap in het inlogproces. In plaats van handmatig een code over te tikken laat je die met een sleutel in je usb-poort automatisch aanvullen.
Het is een extreem veilige inlogmethode. Iemand die wil inbreken in je account, moet namelijk niet alleen beschikken over gebruikersnaam en wachtwoord, maar ook fysieke toegang hebben tot de sleutel. Risher: "Dat is oneindig veel veiliger dan een op kennis gebaseerde code zoals totp. Als je een code uit Authenticator overtypt, is dat eigenlijk geen direct bewijs dat jij het bent die achter de computer zit of iemand anders. Het is het verschil tussen een aanval fysiek uitvoeren of digitaal van waar dan ook ter wereld. De schaal waarop een aanval kan plaatsvinden, wordt dan oneindig veel kleiner."
Een fysieke beveiligingssleutel is zonder meer de veiligste vorm van inloggen
Biometrie
Het concept van een fysieke veiligheidssleutel is vergelijkbaar met de derde authenticatiemogelijkheid: iets dat je bent. Daaronder valt biometrisch inloggen, zoals met een vingerafdruk of gezichtsscan. Net als de sleutel is ook dat niet zomaar na te maken, doordat voor het inloggen fysieke toegang tot een apparaat nodig is. Risher: "Beide vormen zijn een vorm van tweestapsverificatie, maar oneindig veel sterker dan enkel iets dat je weet." Biometrie wint via vingerafdrukken en gezichtsherkenning de laatste jaren aan populariteit, maar heeft voor- en nadelen.
Zo ben je tijdens een politieverhoor niet verplicht een wachtwoord te geven, maar dat ligt bij vingerafdrukken anders. Het hangt bovendien erg af van het apparaat dat je gebruikt, hoe gemakkelijk gezichtsherkenning te spoofen is. De iPhone is inmiddels lastig te omzeilen, maar dat was ooit een ander verhaal. En ook biometrisch inloggen is slechts een stukje van de beveiligingspuzzel. Technologie gaat het wachtwoord volgens Risher van Google waarschijnlijk nooit helemaal vervangen. Eén factor om in te loggen is gevaarlijk, denkt hij. Er zitten risico's aan, bijvoorbeeld als je een securitykey kwijtraakt.
FaceID is een vorm van biometrische authenticatie die goed werkt om in te loggen
Aan de man brengen
Tweestapsverificatie verkleint de kans dat iemand ongeoorloofd een account binnenkomt gigantisch. Dat is geen overdrijving; Microsoft zegt dat 99,9 procent van alle aanvallen op Hotmail- en Outlook-accounts wordt tegengehouden als iemand 2fa gebruikt. Ondanks dat hoge aantal moeten grote techbedrijven gebruikers bijna dwingen om hun telefoonnummer op te geven bij het aanmaken van een account, laat staan dat die gebruikers andere 2fa-vormen gebruiken. Google vraagt inmiddels standaard om een telefoonnummer bij het maken van een account. Gebruikers die dat niet geven, krijgen regelmatig een herinnering het alsnog te doen. Je moet als gebruiker bijna moeite doen om géén telefoonnummer in te geven als je een nieuw account aanmaakt. Het is een noodzakelijke stap, want zelfs met al die duwtjes in de juiste richting gebruikt slechts een deel van de gebruikers tweestapsverificatie.
Er zijn verschillende redenen waarom gebruikers niet uit zichzelf tweestapsverificatie inschakelen. Daar is onderzoek naar gedaan, specifiek in 2016 door wetenschappers van de University of Maryland en de Johns Hopkins University. Uit ondervraging van 526 Amerikaanse gebruikers bleek dat 41 procent van de gebruikers het te ingewikkeld vond om 2fa in te stellen. Opvallend is ook dat 15 procent van de potentiële gebruikers bang is voor privacyimplicaties. Dat die zorgen niet helemaal onterecht zijn, bleek vorig jaar, toen bekend werd dat Facebook telefoonnummers die waren opgegeven voor tweestapsverificatie, misbruikte om advertenties te tonen. Die functie was overigens in mei 2019 nog steeds actief.
Er zijn ook praktische bezwaren. Tweestapsverificatie is niet bepaald gebruiksvriendelijk, zeker niet zodra je verder kijkt dan sms. Voor totp moet je een app installeren, codes scannen óf handmatig invoeren en ook nog een back-upcode bewaren voor als je je telefoon kwijtraakt… Het is allemaal nogal omslachtig. Of prijzig, want voor een YubiKey betaal je al snel vijftig euro.
Langzame stappen
'Het proces om 2fa in te schakelen moet veel toegankelijker worden'"Mensen zetten 2fa niet zomaar uit zichzelf aan", concludeert ook Risher van Google. "Het is gedoe, niemand wil extra werk doen." Het is volgens Risher niet goed als de moeite bij de gebruiker wordt weggelegd. Bovendien, zegt hij, snappen en vertrouwen mensen 2fa vaak niet. "Je moet dat niet bekijken vanuit technologie, maar vanuit mensen. Dan kom je erachter dat niet iedereen een eigen sleutel wil of moeite wil doen." Risher zegt dat het proces simpeler moet worden. Hij erkent dat het lastig is gebruikers zover te krijgen dat ze hun wachtwoord zomaar veranderen of overstappen op meertrapsverificatie. Dat gaat niet zomaar gebeuren, maar hij denkt wel te weten welk pad de industrie daarvoor moet bewandelen.
In de eerste plaats moet het wachtwoord weer speciaal worden voor gebruikers. Iets dat je bewust intypt op momenten dat het echt nodig is. "Het zou een eerste stap moeten zijn dat gebruikers een wachtwoord niet meer als muscle memory invoeren, maar echt weer moeten nadenken over wat zij invoeren en wanneer." De frequentie van wachtwoorden invullen moet volgens Risher omlaag. "Bijvoorbeeld door autofill te gebruiken of door ingelogde sessies langer actief te maken met risk based analysis." Een specialer wachtwoord zou dan alleen voor een wachtwoordmanager hoeven gelden en dat is volgens Risher een volgende stap: het aantal dezelfde wachtwoorden moet omlaag. Wachtwoordmanagers zijn met hun uniekheid en willekeur een goede stap daarin.
Uiteindelijk denkt Risher dat het aantal wachtwoorden dan in het algemeen kan verminderen. Single sign-ons ziet hij als een goed alternatief. "Pas dáárna kun je gaan denken aan het helemaal weghalen van het wachtwoord. Dan vervang je dat door een hardwaretoken en vertel je gebruikers: vanaf nu hoef je alleen nog dit ding te gebruiken." Google zette onlangs bovendien een belangrijke stap door iedere Android-telefoon om te toveren tot securitytoken. In plaats van een aparte sleutel is het nu mogelijk de smartphone via bluetooth of bekabeld als bevestiging in te zetten.
Standaarden
Een probleem dat daarbij om de hoek komt kijken, is dat nog slechts een handvol diensten tweestapsverificatie aanbiedt. Inloggen met sms als extra stap komt nog weleens voor, maar een totp-code instellen is zeldzamer en het aantal diensten dat een securitykey ondersteunt, is op twee handen wel te tellen. Eén obstakel daarin is dat het lange tijd ontbrak aan standaarden. Daar lijkt verandering in te komen. Een belangrijke standaard is bijvoorbeeld fido2, een samenwerking tussen de FIDO Alliance en het W3C. Fido2, wat staat voor fast identity online, is een uitbreiding van de eerdere universal 2nd factor-standaard, of u2f. De standaard is een combinatie van webauthn en het client to authenticator-protocol. Samen vormen zij een protocol dat het gemakkelijker maakt voor diensten om universele authenticatiemethoden toe te voegen aan hun sites of apps. In plaats van dat iedere dienst zelf moet beslissen welke methodes hij wel en niet wil, is het met fido2 simpeler om één protocol te implementeren, waarbij de gebruiker vervolgens kan kiezen welke methode hij verkiest als tweede factor: een securitykey, biometrie of een app.
Standaarden moeten het gemakkelijker maken om 2fa populair te maken
Langetermijndenken
Risher denkt bij de toekomst aan de lange termijn. Wachtwoorden bestaan over vijf jaar nog steeds, misschien over tien jaar ook nog wel, maar langzaamaan verandert de manier waarop we inloggen. Het wordt gemakkelijker om extra stappen in te zetten naast die paar letters en cijfers die moeten bevestigen dat wij het echt zijn die ergens proberen in te loggen, door nieuwe webstandaarden en door techbedrijven die een handje helpen. In de tussentijd blijft het goed om je bewust te zijn van de gevaren en wat je daartegen kunt doen: hergebruik vermijden en een goede wachtwoordmanager gebruiken.
Het ding is dat je tegenwoordig voor alles geregistreerd moet zijn. Vroeger had je een mail account, een aantal forums, misschien nog iets, dat was het dan wel. Als je ergens iets online ging bestellen gaf je gewoon je gegevens in bij het afrekenen.
Tegenwoordig wil elke webshop dat je jezelf registreert. Het is een uitzondering als je ergens zonder account iets kunt bestellen. Social media is daar nog bij gekomen en elke game wil tegenwoordig ook een accountje. Ik irriteer me daar mateloos aan hoeveel je geregistreerd moet zijn tegenwoordig.
Heel erg lang gebruikte ik een soort cirkel systeem van wachtwoorden. Simpel/snel wachtwoord voor forums en websites. Degelijker wachtwoord voor social media en een sterker wachtwoord voor mijn mail accounts. Dat simpele wachtwoord werd enkele jaren geleden gelekt. Ik ben toen overgestapt op LastPass en me ook meer gaan verdiepen in de opties van MFA. Google, Microsoft, Apple, Facebook, Battle.net, Uplay, Steam en nog genoeg anderen die MFA ondersteunen.
Enfin, mijn punt is dat als je MFA voor je mail gebruikt, begrijpelijk, maar als ik voor elke registratie die MFA ondersteunt MFA ook daadwerkelijk ga gebruiken, dat is helemaal niet praktisch. Dat zijn er namelijk best wat tegenwoordig.
Op mijn werk passen we MFA toe en daarna gaat de rest over SSO. Dat is zeker goed te doen, maar voor het "internet" en allerlei onsamenhangende bedrijven niet heel handig altijd. Je krijgt dan inderdaad mogelijk vendor lockin zoals beschreven in het artikel. Wellicht dat MFA i.c.m. een SSO ontwikkeld/aangeboden kan worden als een service door meerdere bedrijven net zoals dat je nu een Usenet of VPN aanbieder hebt.
Dat kan toch ook. Met oauth ken je een sure passwordless windows hello account gebruiken bij alle oauth supported authenticatie providers.
Het probleem is dat dat vaak een brug te ver is voor veel kleine bedrijven. In apps/os stores zie je dit al veel beter hoevaak krijg je daar geen oauth app wil deze rechten te zien.
Men gebruikt dan netjes sso met azure/live/facebook/xboxlive/applegamecenter/google account
Het is jammer dat in 222 reacties, dit de enige is die een deel van de mogelijke oplossing noemt, namelijk OAuth 2.0 en OpenID Connect. Ook een gemiste kans dat het Tweakers-artikel niet op OpenID ingaat - en vooral de commerciëlen aan het woord laat.
Helaas ben ik geen specialist, maar voor zover ik het begrijp:
OAuth 2.0 kan regelen dat "partijen (zoals webwinkels) die je als klant niet met jouw paswoord / gegevens vertrouwt" toch bepaalde gegevens van je kunnen krijgen, van "partijen die je wel vertrouwt".
In het geval van de 100'en webwinkeltjes, is de flow bij OAuth 2.0 ongeveer als volgt:
-Ik koop iets bij webwinkeltje, webwinkeltje vraagt helemaal niets aan gegevens van mij,
-Ik kies mijn "authorisatie-provider", bijv Google,
-Ik log in op mijn authorisatie-provider,
-Authorisatie provider stuurt "persoon ingelogd, met sessie id: 3acx12b6" naar webwinkeltje,
-Webwinkeltje vraagt aan authorisatie provider: Mag ik adres klant .....?
-Authorisatie provider zegt: Nee! Ben je gek!
-Webwinkeltje zegt: Ja, maar ik heb de geheime code waarmee de klant toestemming gaf, namelijk 3acx12b6!
-Authorisatie provider zegt: Oh, ja, dat is echt de klant, hier heb je zijn adres!
Op deze manier zou de klant niet per se een hele rits gegevens hoeven afstaan aan het winkeltje. En belangrijker nog: Hij hoeft het winkeltje niet zijn "goeie zondagse" wachtwoord te geven, welke misschien ook wordt (her)gebruikt voor "kritischere" toepassingen.
Dus als 'klein webwinkeltje' wordt gehackt, worden er geen wachtwoorden buitgemaakt.
Als nou het webwinkeltje per transactie een unieke code verstrekt en registreert, zoals elders slim opgemerkt door (@litebyte ) bij de reacties, hoeven ze in principe je adres niet te bewaren. Voordeel voor 'webwinkeltje' zou zijn, dat ze snel "ADR-proof" kunnen zijn. Nadeel is dat ze je niet zo kunnen spammen
OpenID Connect zorgt ervoor, dat 'webwinkeltje' niet alleen aan de authorisatie-provider kan vragen, wat mijn adres is (authorisatie), maar ook: "Is dit de persoon die die zegt te zijn?" (authenticatie). Dus op die manier, zou ik bij een webwinkel geen specifiek wachtwoord meer bij die webwinkel nodig hebben.
Wat is het probleem: De authorisatie-providers moeten uitwisselbaar zijn.
Het zou eigenlijk zo moeten zijn, dat ik kan bewijzen wie ik ben via Google, Facebook, Microsoft of mijn internet-provider. Persoonlijk zou ik altijd de laatste kiezen (mijn internet-provider), die zijn van de vier vaak het minst ervaren / hebben het minst capaciteit in het misbruiken van mijn data en inbreuk maken op mijn privacy (behalve wat wettelijk verplicht is).
Dus in het meest gunstige geval:
Weet mijn ISP waar ik woon,
Doe ik dikke middelvinger naar SSO van Google, Microsoft en Facebook, want 20 jaar IE5/6 en ActiveX heeft ons echt wel geleerd dat we geen vendor-lockin willen - en Cambridge Analityca heeft ons geleerd dat bedrijven zich laten betalen om ons stemgedrag te beinvloeden,
Krijgt 'webwinkeltje' mijn adres voor het versturen van pakketje, en verwijdert 't adres als 't pakketje op weg is. Daarmee zijn ze op een goedkope manier ADR-proof, hoewel ze wel stiekem mijn mail-adres kunnen bewaren om te spammen (als ze mijn expliciete toestemming hebben losgeweekt),
Slaat webwinkeltje een zelfbedacht klant-id op met het unieke transactie-nummer. Als ik ooit nog een keer inlog met OpenID, kunnen ze hopelijk aan de hand van mijn naam / adres achterhalen dat ik al een keer iets bij ze besteld heb.
[Reactie gewijzigd door kidde op 23 juli 2024 12:04]
Het filmpje toont een mooi verhaal over externe authenticatie, niet alleen duidelijk maar het geeft ook meteen een bedenking;
Heel veel gebruikers lijken 'lui' te zijn. Resultaat: gebruikers klikken gewoon op 'prima, u mag alles van mij' en bedenken zich pas later dat de gegeven toestemming veel meer inhoudt dan gedacht.
Je ziet dit vooral terug bij cookie-schermen. Om er snel vanaf te zijn, klikken hele volksstammen gewoon 'akkoord'. Ik doe dit vaak niet, waarna ik in een heel uitgebreid scherm allerlei opties moet uitzetten, voordat ik een artikel kan lezen. (Het gaat dan vooral om media- en nieuwssites)
Ik verwacht, dat commerciële partijen die mij via Oauth 2 toestemming gaan vragen, meer zullen vragen dan ik wil geven. Die keuzes worden vervolgens niet opgeslagen voor een volgende sessie, maar ik moet bij een volgende sessie weer door hoepeltjes springen, tenzij ik alle toestemming geef. (Ik kan dit niet onderbouwen, maar die partijen moeten ook geld verdienen)
Het enige voordeel van Oauth 2 is dat er geen account of authenticatie informatie opgeslagen hoeft te worden bij 'winkeltje', waardoor datalekkage minder ernstig lijkt.
Verzendinformatie en bestelinformatie blijft namelijk wel gewoon in de databases van 'winkeltje' staan.
ik zou mijn provider toch mist vertrouwen...
Daar werken mensen die uit mijn omgeving kunnen komen. En daar is beveiliging niet direct hun selling point.
Doe mij dan maar google, die nog nooit data van mij heeft gelekt... En die mij gratis diensten weet aan te bieden dankzij de data die ze bewust van mij krijgen.
Misschien moet de EU maar eens over gaan op drastische maatregelen: een verbod op accounts bij winkels. Dat is enerzijds de meest risicovolle hoek, maar juist ook een waar accounts totaal onzinnig zijn.
En als je de invulvelden drastisch terugbrengt, is het niet eens heel veel omslachtiger.
Wat heb je nodig om een bestelling te kunnen afronden? Naam, postcode, huisnummer, daarna naar iDeal en dat is het. Maak mail-adres optioneel en verwijder het na 45 dagen uit het systeem (dan zijn meeste retourrechten wel verlopen). Factuur direct na afrekenen als PDF download aanbieden.
Er zitten wel enkele grote voordelen aan die accounts. After sales gaan veel makkelijker, doordat adres gegevens niet elke keer weer opgevraagd hoeven te worden en verkeerd ingetikt worden (wat mij ook wel eens is overkomen). Als een aftersales medewerker een half uur extra aan mijn ticket moet besteden door het gebrek aan een account, kost dat al snel weer €30 ofzo (loon, huur, verzekering, etc). Toch lullig als het om een SD-kaartje van €10 gaat, waar ze er waarschijnlijk 200 van moeten verkopen om dat half uur weer terug te verdienen.
Prijsvechters zoals Megekko en Azerty, waar wij Tweakers waarschijnlijk veel gebruik maken, zullen een stuk duurder worden.
Let op; een account hoeft niet meer te zijn dan je mailadres.
Een wachtwoord is niet nodig; alleen elke keer dat je wil inloggen even op een linkje in je mail klikken.
Inderdaad, of een per transactie gegenereerde code die je kan gebruiken en losstaat van je email address of andere persoonlijke gegevens, maar wel aan je bestelling voor eventuele after services.
Goede discussie hier. Tuurlijk account heeft voordelen, maar wat meer dwang richting privacy by design is niet erg in deze. De standaard zou géén account moeten zijn, en de optie van een account pas aanbieden bij een tweede transactie. Voor aftersales zijn allerlei mogelijkheden zonder account: combi van fysieke code op pakbon met link in e-mail. Dan heb je ook een soort van tweetrap ingebouwd. Mocht één om wat voor reden ontbreken kun je altijd nog betaalbewijs of ID overleggen.
Dus hoe moet de winkel dan weten dat jij een tweede transactie doet? Met een account? Met cookies? Denk dat het AVG-technisch wel weer rompslomp en een moerasland wordt als je geen account wilt bij bestelling 1, maar de winkel wel van alles van je moet onthouden om je bij bestelling 2 alsnog dat aan te bieden.
Waarom zou je dan ook geen account willen bij Bol of Amazon?
Ze weten dondersgoed of je tweede keer klant bent. Naam en adres?
Ik wil inderdaad geen account bij Bol (en ook niet bij Amazon, maar daar is het om heel andere redenen).
Bij bol maak ik dus bij volgende bestelling deze met email adres :tijdelijkbolaccount7@mijndomein_dot_tld.
En dat mailadres gaat na ontvangst in goede orde weer in vuilnisbak en klik ik "verwijder account".
Je weet dat dit véééél meer gedoe is dan wel een account hebben; dat je daarbij de voordelen van een account mist (zoals bestellingen inzien, snellere dienstverlening van de klantenservice, etc) én dat ze zoals je zelf stelt, toch wel weten wie je bent, d.m.v. je naam en adres. Dus waarom zo moeilijk doen dan?
En, dat was dus mijn stelling, als ze wel alles moeten onthouden, van mensen die "geen klant" zijn, want geen c.q. dummy account, dan krijg je nog steeds dat ze een profiel van je gaan bijhouden met gedoe voor hen met de AVG en voor jou om elke keer deze nutteloze cyclus te herhalen.
Plus bij Bol bewaren ze je bestellingen en dus ook je garantie, iets kapot even opzoeken in de bestellingen en aanmelden maar je hoeft zelf geen bon meer te bewaren, een service die je als je elke keer je account verwijderd moet missen
Bol geeft geen garantie. Dat doet de leverancier. Maar daar heb ik ook slechte ervaringen mee.
Sorry, dit was niet het onderwerp maar er wordt vaker afgedwaald.
snap dat je geen account wil bij die bedrijven, maar waarom telkens een nieuw email adres aanmaken?
is het omdat die bedrijven dat mail adres niet meer accepteren?
of om privacy redenen?
Maar je domein is toch al bekent? of gebruik je outlook of zo soort mail service. maar dat is wel heel veel werk om telkens voor 1 bestelling een mail adres aaanmaken.
bol@mijndomein.nl als adres is dan al voldoende. Of wil je weten na welke bestelling precies zij het mail-adres hebben gelekt? En bol heeft nog nooit gelekt, al 15 jaar (of langer?) een account en op mijn bol adres komt nooit spam binnen. Wel op het halve voornamenboek@mijn domein trouwens, maar dat is een ander verhaal.
Ik snap goed je punt maar juist bij een shop waar je sowieso een fysiek adres moet achterlaten omdat je goederen wilt ontvangen (en die zij ook moeten bewaren i.v.m. belastingdienst) vind ik dat dan wel het slechtste moment om geen account aan te willen maken.
Ze weten dondersgoed of je tweede keer klant bent. Naam en adres?
Dan is je 'account' elke keer weg als je verhuist. En naam is zo ongeveer de minst betrouwbare wijze om in een database te zoeken. Dus dan zit je met grote problemen als een klant updates moet downloaden etc. Ook heb je grote veiligheidsproblemen omdat je geen email kan versturen om iets te verifiëren.
Mijn buren wonen met een groot gezin in een multi generatie huis. Drie vrouwen daar hebben dezelfde voor en achternaam en address. Hoe ga je dat oplossen?
Dit dus. 9/10 keer dat ik ergens moet inloggen ben ik toch het wachtwoord vergeten. Dan heb je nog maar 1 account (voor je email), en die kan je dan goed beveiligen met 2FA en een sterk wachtwoord dat alleen in je hoofd zit.
Bij Paiq kan je nu al inloggen zonder wachtwoord. Dan sturen ze gewoon een linkje naar je email.
[Reactie gewijzigd door Wolfos op 23 juli 2024 12:04]
Het probleem is dan wel dat je email een single point of failure wordt. De waarde om het account te kraken wordt dus vele malen hoger en ik heb tot nu toe nog nooit een online systeem gezien waar ik genoeg vertrouwen in heb dat het onkraakbaar is om alles onder te laten vallen.
Ik heb redelijk wat sites en programma's gezien die beveiligingsvragen hebben. Zei het met echte vragen. Of met overige informatie zoals je geboortedatum oid.
Daarbij komt dat er genoeg diensten zijn waar ik nu een junkmail voor aan zou maken die ik net zo snel weer vergeet. Als ik het wachtwoord voor iedere mail die ik voor een spel of gratis programma op zou zetten moet gaan onthouden puur om er mee in te kunnen loggen ben ik ook weer terug bij af.
Al met al zie ik het voordeel van alles op je e-mail gooien ook niet tegenover een goeie password manager. Generate. Copy. Paste. Klaar
Maar dat is e-mail altijd. Ik ken geen enkele website zonder de optie om je wachtwoord te resetten via je e-mail. Als je daar toegang toe hebt heb je tot alles toegang
Totdat je mail account wordt gehacked. Dan ziet de hacker ook dat mailtje en kan vervolgens bestellingen doen onder jouw naam. Doordat de hacker dan inlogt met een unieke hash is het dan erg lastig voor jouw om te bewijzen dat jij de bestelling niet hebt gedaan..
En daarom beveilig je je mail wél met 2FA, dan heb je dat bij een webshop niet nodig. Maar hiermee ben je eigenlijk SSO in de basis aan het uitvinden
Op één plek veilig inloggen, die je door kan sturen naar andere plekken.
Een account bij een webshop zonder naw-gegevens heeft niet zo veel nut wat betreft die aftersales. Dan heeft het alleen nut voor marketingdoeleinden. Zoals segmentering, kijken welke producten vaak samen worden gekocht, om zo marktsegmenten te onderscheiden. Waar de AH-bonuskaart of de OV-chipkaart super handig voor zijn.
Een link in je email, wat voor zin heeft dat bij het online shoppen?
ik ben het eens met je dat je email het enige is wat je nodig hebt.
en natuurlijk maak je gebruik van een betaal methode.
en auto aanvulling is daarbij echt geweldig.
je kan dan je email als verificatie kunnen gebruiken dat jij het bent.
ik vind persoonlijk heen en weer mailen beter.
beter als een ticket aanmaken om een probleem op lossen.
email was juist bedoeld voor dat soort dingen.
ze kunnen zelf ook net zo goed de gegevens in hun eigen systeem over zetten.
en dat systeem niet aan internet gekoppeld is.
zo kan men data aan de hand van email bijhouden.
het voordeel van een account is dat je reviews kan geven en kunt zien wat je in verleden besteld hebt enzo.
maar dat kan je natuurlijk ook terug vinden in je mails als je ze archiveerde in plaats van verwijderd.
Het probleem start als je een eigen domeinnaam hebt met daaraan een e-mailadres gekoppeld. Als het domeinnaam door een fout niet verlengd is of door gelijk welke fout in iemand anders zijn handen kan terecht komen dan ontvangt deze persoon vanaf nu de mails en is dus eigenaar van het account. Dit is al meerdere keren voorgevallen in het verleden. DNS aanvallen zijn ook gemeengoed tegenwoordig.
Als een aftersales medewerker een half uur extra aan mijn ticket moet besteden door het gebrek aan een account
Dan zit er iets mis bij de aftersales, want al die informatie kan ook direct in een order worden geplaatst. De meeste gegevens, zoals adresgegevens en facturatiegegevens, moeten daar sowieso al in staan. Enkel het telefoonnummer en misschien het geslacht zal overblijven.
Gelukkig hebben we hier in Nederland iDeal. Creditcard gegevens zijn een goudmijn voor criminelen. Als iemand mijn Sony account hackt kunnen ze niks kopen.
En hoewel de meeste providers die service wel aanbieden kan ik er met mijn corporate cc geen gebruik van maken omdat de inkoop afdeling in al haar "wijsheid" heeft besloten deze service niet te gebruiken.
Verbod op accounts gaat wel erg ver, er zitten namelijk ook voordelen aan (zoals al je rekeningen of contact met de webshop op 1 plek, quick check out, etc.). Maar verplicht winkels in ieder geval de mogelijkheid te bieden zonder account te kunnen bestellen.
Nee dank je. Een verbod op het verplicht stellen van accounts om te bestellen, daar zou ik in kunnen komen. Anderzijds.... Ik kies zelf om ergens te bestellen of niet. Moet daarvoor een account aangemaakt en heb ik daar geen zin in, dan bestel ik toch ergens anders? (of ik maak met mijn spam-mailadres een account aan waarvan ik nadat de bestelling voltooid is vergeet dat het ooit bestaan heeft!).
Ik erger me ook rot aan al die verplichte accounts overal. Zelfs voor het downloaden van mp3’s met een code die bij een LP komt willen ze meestal nog dat je registreert. Waarschijnlijk om email adressen te kunnen verzamelen. Het enige dat ze hoeven te weten is of de code al eens gebruikt is of niet, niet welk email adres die bij gebruikt is.
Mijn eigen oplossing tegen verplichte accounts is om overal een ander email adres en wachtwoord te gebruiken. bedrijfsnaam@mijndomein.nl en klaar. Weet ik gelijk waar de spam vandaan komt, mochten ze dat in hun hoofd halen, en kan ik de alias meteen weghalen om van ze af te zijn. Wachtwoorden onthou ik sowieso niet. Wil ik er nog eens inloggen? “Forgot your password? Click here” Ja, ik ben best een grootverbruiker van password reset functies.
Maar wat ik vooral ook doe om zoveel mogelijk accounts te voorkomen: zo weinig mogelijk online kopen. Ik heb sowieso een groeiende hekel aan alles wat digitaal is (omdat digitaal tegenwoordig synoniem met tracking geworden is), en je kunt online niet cash betalen. Er zit een winkelcentrum dichtbij. Dus lekker ophoepelen met je account en digitale betaling...
Contant geld, dat vind ik toch echt iets uit de vorige eeuw. Je moet continue bedenken of je voldoende contant geld hebt, als het op is, moet je naar een flappenautomaat, het duurt erg lang bij de kassa. Daarbij komt, je bent een makkelijke prooi voor overvallers en je weet nooit of het echt is (ja flappenautomaten wel, maar ik kan me genoeg winkels bedenken die niet controleren op echtheid) tenslotte, webwinkels accepteren het niet.
Webwinkels zijn in alle opzichten beter. Geen irritant personeel dat jou spullen aansmeert, een assortiment dat bestaat uit meer dan 3 artikelen van één categorie tegen normale tarieven , je hebt retourrecht (erg handig bij iets persoonlijks als een toetsenbord of een koptelefoon of zo) en ik gebruik google om uit te zoeken, waar ik iets koop. Bij een fysieke winkel moet je net het geluk hebben dat ze 't verkopen. (Ik heb meegemaakt dat ze geen fietsverlichting hadden bij de HEMA in Arnhem, bij de HEMA in mijn dorp hadden ze het gewoon)
Haha, wat een hoop kortzichtige opmerkingen in 1 reactie.
Ik hoef niet te bedenken of ik nog genoeg geld bij me heb. Als ik dat niet heb, kan ik altijd nog pinnen als last resort. Het een sluit het ander niet uit. Prooi voor overvallers? Met online aankopen ben je een prooi voor oplichters. Je moet altijd maar hopen dat die webshop waarbij je gekocht hebt het product daadwerkelijk gaat leveren. Of niet ineens failliet is. Want je geld is al weg, een ideal betaling krijg je nooit meer teruggestort zonder medewerking van het bedrijf. Of dan die oplichters op marktplaats... ik ben daar al meer geld kwijt geraakt dan aan boeven in de echte wereld.
Webshops hebben een paar voordelen, maar vooral ook nadelen. Ze zijn helemaal niet transparant. De opdringerige verkoper die je gewoon weg kunt sturen hebben ze vervangen door een onzichtbaar en onuitschakelbaar promotie algoritme om je duurdere producten te laten kopen. De helft van een webshop’s pagina vulling is reclame of verkapte reclame. Ze lijken een hoop keuze te hebben maar minstens de helft is meestal niet op voorraad en moeten ze nabestellen. Dan zit je soms weken te wachten, of krijg je na een week alsnog een nee. Producten in een echte winkel krijg je meteen mee. De lagere prijzen worden teniet gedaan door verzendkosten. En retourneren is veel makkelijker in een echte winkel. Daar heb je namelijk datzelfde recht maar kost het je niet nogmaals verzendkosten en daarna wachten tot ze het ontvangen en hopen dat ze je geld terug geven zonder gezeur. In een echte winkel geven ze direct het geld terug. Nee hoor, webshops zijn helemaal niet zo geweldig als je doet voor komen.
Om oplichting moeilijker te maken heb je PayPal. Als je bij de grote winkels bestelt (die zijn toch vaak het goedkoopst), heb je weinig te vrezen. Een bol.com, een Amazon, een Zalando, een Coolblue e.d. zijn morgen niet opeens failliet.
Het is altijd opletten geblazen. If it sounds to good to be true, it probably is... Grote shops zijn prima, die opscure webshop is inderdaad een risico, daar let je dus gewoon extra goed op. Marktplaats is een nest van paupers, daar zal ik inderdaad niet zo snel iets kopen. Verzenden is bij de grote shops altijd gratis, evenals retourneren. Daarnaast heb ik nog nooit langer moeten wachten dan een paar dagen, voordat ik iets thuis had. Ik heb niet het idee dat ik gestuurd word in mijn aankoopgedrag online. Offline heb je verkopers zonder enig verstand van zaken.
Sorry, maar gelukkig spreek jij niet voor heel Europa. Ik vind het namelijk zelf heel gemakkelijk om bvb. een Amazon-account te hebben. Je kunt ermee contact houden met vendors, je historie inkijken, je adresgegevens opslaan en wenslijsten bijhouden.
I mean, technisch gezien zou je dan ook moeten gaan zeiken over Tweakers, want behalve voor DM historie heb je strict gezien ook geen account nodig voor de overige functies.
Ik zie wel wat in het semi-automatisch invullen van formulieren.
Een van de redenen waarom winkeliers graag hebben dat mensen een account maken, is dat het de volgende aankoop makkelijker maakt als mensen hun gegevens niet meer hoeven in te vullen. Belangrijk genoeg dat Amazon een patent heeft (gehad) op "1-click-shopping".
Ik zie de voor- en nadelen en snap dat winkeliers daar graag aan vast houden.
Een oplossing die het voor beide partijen nog makkelijker is, is wanneer je browser je helpt bij het invullen van dit soort formulieren. Die bestelformulieren bevatten immers altijd ongeveer dezelfde velden (zoals naam, postcode, adres en betaalmethode). Als je browser al die gegevens automatisch invult zodra je een betaling doet dan is het niet meer nodig om overal accounts te maken en hebben we toch het gemak.
Bijkomend voordeel is dat je informatie nooit verouderd. Als je verhuist dan hoef je het alleen aan je browser te vertellen en bij de volgende bestelling wordt automatisch je nieuwe adres gebruikt.
Ik heb dit overigens (gelukkig?) niet zelf bedacht en er zijn al API's en plugins voor geschreven die meer of minder intelligente pogingen doen om dit te regelen, maar voor zover ik weet is er nog geen genoeg doorgebroken om er praktisch veel aan te hebben.
Alsjeblieft niet zeg, geef mij gewoon de keuze en heel veel webshops hebben dat ook. Een webshop waar ik eenmalig of zelden iets bestel maak ik geen acount, webshops waar ik regelmatig bestel maak ik wel een account. Dankzij dat account kan ik eerdere bestellingen zien, facturen inzien/downloaden, bestellen zonder naw gegevens voor de zoveelste keer in te vullen enz enz.
Er zijn gelukkig al veel winkels waar je geen account hoeft aan te maken.
Winkels mogen wettelijk gezien alleen strikt noodzakelijke gegevens vragen (lees verplicht stellen). Voor het verzenden heeft men naam en adres nodig, maar of je een mannetje, vrouwtje (of mijn part een cavia) bent en welke leeftijd, dat is niet relevant.
Het vragen om een wachtwoord voor een account is discutabel. Strikt noodzakelijk is het alleen om alle gegevens weer snel te voorschijn te kunnen halen, maar of dat noodzakelijk is, is maar de vraag.
Een account kan handig zijn. Dan moet je je garantie bewijzen niet bij houden of zoeken. Als er iets stuk is stuur je het gewoon terug en zij zoeken jou garantie bewijs op en verwerken het. Al een paar keer vlot gebruik van gemaakt.
Misschien moet de EU maar eens over gaan op drastische maatregelen: een verbod op accounts bij winkels. Dat is enerzijds de meest risicovolle hoek, maar juist ook een waar accounts totaal onzinnig zijn.
En als je de invulvelden drastisch terugbrengt, is het niet eens heel veel omslachtiger.
Mogen we misschien zelf kiezen wanneer we gebruik willen maken van ordergeschiedenis en verlanglijstje?
Wat heb je nodig om een bestelling te kunnen afronden? Naam, postcode, huisnummer, daarna naar iDeal en dat is het. Maak mail-adres optioneel en verwijder het na 45 dagen uit het systeem (dan zijn meeste retourrechten wel verlopen). Factuur direct na afrekenen als PDF download aanbieden.
Zelfs als je hardware koopt te denken aan Razer producten bijvoorbeeld dan ben je verplicht om een account aan te maken anders werkt je product niet naar volle behoren. Ze zeggen mooi tegen jou: "Jouw profielen worden in de cloud opgeslagen", maar dit is maar een deel van de echte waarheid. Ze zijn naar mijn mening gewoon uit op jouw persoonlijke gegevens.
Te denken aan: Ben je een man of een vrouw, welke leeftijd, waar woon je en wat zijn jouw interesses zodat we doelgerichter onze producten/reclame aan de man kunnen brengen. Uiteindelijk draait alles om geld.
Bij de ABN Amro hebben ze vorige maand de identificatiecode laten verdwijnen voor pc gebruik, mogelijk omdat dit te fraude gevoelig systeem is. Nu kan je inloggen met een QR code of met de ouderwetse identifier.
Vorig jaar heb ik meegemaakt dat Google tegen me zei: "Goedendag, van harte gefeliciteerd met je nieuwe OnePlus telefoon" op mijn G-Mail account. Ik schrok daar erg van, want ik had geen nieuwe telefoon gekocht. In de mail kon je ook aangeven dat je het zelf niet was. Daarna begon de ellende...
Google heeft een wachtwoord manager en daar deed ik braaf mijn wachtwoorden opslaan. Google adviseerde mij om gelijk alle plusminus 200 wachtwoorden te veranderen.
[Reactie gewijzigd door aliberto op 23 juli 2024 12:04]
Zelfs als je hardware koopt te denken aan Razer producten bijvoorbeeld dan ben je verplicht om een account aan te maken anders werkt je product niet naar volle behoren. Ze zeggen mooi tegen jou: "Jouw profielen worden in de cloud opgeslagen", maar dit is maar een deel van de echte waarheid. Ze zijn naar mijn mening gewoon uit op jouw persoonlijke gegevens.
Tijd voor een "cookiewet" voor fysieke producten?
Volgens de wet hebben we nu al het recht om voor aankoop inzicht te krijgen in de licentievoorwaarden en andere beperkingen die bij een product horen. Maar ik heb nog nooit iemand in een winkel gezien die 60 pagina's juridische tekst doorwerkt om te beslissen of een apparaat of applicatie goed omgaat met je privacy en geen gekke eisen heeft.
Misschien moeten we maar waarschuwingen of keurmerken op de verpakking laten printen, vergelijkbaar met "gezond" eten of tabak, zodat mensen in één oogopslag kunnen zien dat een product gebruikersdata nodig heeft (of dat nu deel is van de werking of voor marketingdoeleinden). Want lange lappen tekst lezen doen we toch niet. De meeste mensen hebben ook niet de juridische en technisch achtergrond om zo'n tekst echt te begrijpen.
Het risico is wel dat mensen snel afgestompt raken. Als alle pakjes sigaretten zo'n lelijke foto staat dan maakt het ook niet uit welk merk je koopt.
De standaard hoort te zijn Privacy by default. De beste manier om dat te bereiken is door de economische drijfveer achter de data-honger weg te nemen. En de beste manier om dat te bereiken is simpelweg verbieden van doorgeven/doorverkopen van gegevens. Dit is vrij drastisch, maar alle andere maatregelen die je kunt nemen zijn alleen maar symptoombestrijding en bij lange na niet zo effectief.
Daarna begon de ellende...
Google heeft een wachtwoord manager en daar deed ik braaf mijn wachtwoorden opslaan. Google adviseerde mij om gelijk alle plusminus 200 wachtwoorden te veranderen.
Daar ligt wel de 'volgende kans' voor een password manager
automagisch alles importeren kunnen ze wel, maar op verzoek aanpassen zonder tussenkomst van de gebruiker nog niet
Google heeft tegenwoordig wel een koppeling met HIBP, en als je zwakke/gelekte wachtwoorden hebt, wordt je gewaarschuwd hierin
automagisch alles importeren kunnen ze wel, maar op verzoek aanpassen zonder tussenkomst van de gebruiker nog niet
LastPass kan dat voor enkele sites vanzelf. Dan opent de website in een nieuwe tab, en hebben ze alle stappen om een wachtwoord te veranderen gescript. Niet ideaal, maar het is een 1e stap.
Ja, een beetje een scraper-vibe krijg ik daarbij. Daar zou eigenlijk een opensource API voor moeten komen. Of een standaard generiek formulier in de websites. Wellicht beide.
Heb ik ook gehad, ''Gefeliciteerd met je nieuwe X telefoon". Je schrikt je rot.
Ik kon de telefoon tracken, waar de locatie was en dat was verdomd dichtbij mijn werk.
Na een paar dagen viel het kwartje, ik had BlueStacks geinstalleerd en die emuleerd blijkbaar een telefoon
Heb ik ook gehad, ''Gefeliciteerd met je nieuwe X telefoon". Je schrikt je rot.
Ik kon de telefoon tracken, waar de locatie was en dat was verdomd dichtbij mijn werk.
Na een paar dagen viel het kwartje, ik had BlueStacks geinstalleerd en die emuleerd blijkbaar een telefoon
Inderdaad, of zoals ik gedaan heb in het verleden .. telefoons van familie mee inloggen op mijn 'aankoopaccount'
dan konden ze de apps gewoon gebruiken, zonder alles 10x te moeten aanschaffen.
Nu met familie-delen is het een stuk handiger ingeregeld ( alleen kon je op mijn oude manier ook in-app gebruiken, terwijl dat nu de nek is omgedraaid bij familie delen
( dus kopen we minimaal 'in-app' zaken - wat dus vanzelf minder aankopen zijn, en meer adblocking )
Ik begrijp het 2FA gebeuren maar op het werk is het een beetje uit balans... iedere keer ik m'n PC opstart moet ik 37 keer het ganse 2FA proces doorlopen, iedere applicatie vraagt namelijk opnieuw om user/paswoord in te geven en dan ook nog eens een 2FA code. Het zou handiger zijn moest ik dit eenmaal kunnen doen bij de Windows login en daarna SSO gebruiken.
Als security een hoopje frustratie wordt mist het wat mij betreft z'n doel (en het 2FA gebeuren is nog maar het tipje van de ijsberg, deftig gebruik maken van zelfs een mail of kalender van het werk op je mobile is er al lang niet meer bij).
En dan te weten dat het overgrote deel van de werknemers gewoon op de eerste de beste link klikt wat een veel groter risico is !
Ook de sso moet vaak bij (bijna) elke applicatie opnieuw ingegeven worden. Bij mij op het werk tenminste wel.
Windows en Outlook snappen elkaar (duh...), maar intranet, het inkoop systeem, de (3rd party) cloudopslag... single sign-on is niet hetzelfde als één keer inloggen, helaas.
Dat komt omdat dat geen single sign on is maar Same sign on.
Ja wie heeft dat verzonnen om sso 2 betekenissen te geven.
Singel sign on via oath verijst geen user interactie mist oauth correct is geimplementeerd en je eigen adfs domain server de laatste trusted party van de chain is.
In mijn visie hoort het zo te zijn dat je kijkt naar welke gegevens iemand nodig heeft om een taak te kunnen uitvoeren. Op basis daarvan bepaal je welk beveiligings/authorisatie-niveau daar bij hoort.
Je kunt dan wanneer je werkdag begint gewoon met SSO in alle applicaties inloggen. Zodra je echter een taak gaat uitvoeren worden de nodige checks uitgevoerd en indien nodig moet je dan jouw 2FA gebruiken en word het authorisatie level tijdelijk naar het benodigde niveau verhoogd.
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken. Wat nog erger is is dat meeste sites ook geen ophef mogelijkheden heeft (ook Tweakers niet). Op een hoop sites zou ik me definitief willen afmelden maar dat gaat dus niet zo maar.
Single sign on zou ik prima mee kunnen leven. Kan Google me nog beter volgen .
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken. Wat nog erger is is dat meeste sites ook geen ophef mogelijkheden heeft (ook Tweakers niet). Op een hoop sites zou ik me definitief willen afmelden maar dat gaat dus niet zo maar.
AV - sectie 12.2
12.2 Door het Lid geplaatste Content kan bij de opheffing van het Account niet worden verwijderd. Tweakers.net zal de aan het Account gekoppelde persoonsgegevens anonimiseren zodat de Content niet langer naar het Lid herleidbaar zijn.
Tweakers heeft wel een mogelijkheid om op te zeggen.
Jouw data wordt verwijderd, en je username geanonimiseerd
posts daarentegen blijven staan, want daar ben je vooraf me akkoord gegaan, bij plaatsen.
Het zou een raar antwoord worden, als jou schrijfsel hierboven ineens verdwenen zou zijn
Het zou een raar antwoord worden, als jou schrijfsel hierboven ineens verdwenen zou zijn
Nee!
Dat is precies wat je vraagt. Wat een dictatuur dat een bedrijf bepaalt dat je niet kan wissen.
Het feit dat je ooit akkoord ging is geen rechtmatigheid voor eeuwigdurende gijzeling van je data.
Het is ook een deel haalbaarheid.
Als iemand een verzoek doet om zijn data te verwijderen en dat zou tot in de oneindigheid nagestreeft moeten worden, zouden ook alle backups e.d. nagegaan moeten worden en alle data uit databases krijgen zonder relationele fouten te krijgen kan nog ingewikkeld zijn afhankelijk van de data. (zoals freshmakers voorbeeld, dan mis je opeens posts in een discussie)
Dus ja, helaas zal er altijd een beperking zijn bij het verwijderen van je account
men moet zich eerder eens beseffen dat je niet zomaar alles het internet op moet gooien en dan verwachten dat een ander het oplost als je er spijt van krijgt...
zouden ook alle backups e.d. nagegaan moeten worden
Euh, ja, dat moet dan ook. Weghalen betekent ook écht weghalen. Daarom wordt het ook niet al te gemakkelijk gemaakt om een dergelijke procedure te initiëren. Dat tweakers posts niet weghaalt is ivm het publieke belang van het in stand houden van de discussies, niet omdat het technisch lastig is.
Werk je zelf met backups?
Iets met tapes en veilig opslaan en weet ik het allemaal.
Denk je dat bedrijven hun tapes uit de kluis gaan halen bijvoorbeeld omdat jij je bedenkt over iets wat je hebt geroepen waar je spijt van hebt?
Projecteer dit eens op fysieke media? Stel je stuurt een artikel in en dat wordt geprint en achteraf was dat niet zo handig, wat verwacht je dat daarmee gedaan wordt?
Ik ging wat kort door de bocht. Het hoeft niet actief uit backups gehaald te worden, maar je restore-procedure moet er wel op ingericht zijn dat die data niet wordt teruggezet: https://blog.iusmentis.co...an-oude-persoonsgegevens/
Het is ook een deel haalbaarheid.
Als iemand een verzoek doet om zijn data te verwijderen en dat zou tot in de oneindigheid nagestreeft moeten worden, zouden ook alle backups e.d. nagegaan moeten worden en alle data uit databases krijgen zonder relationele fouten te krijgen kan nog ingewikkeld zijn afhankelijk van de data. (zoals freshmakers voorbeeld, dan mis je opeens posts in een discussie)
Dus ja, helaas zal er altijd een beperking zijn bij het verwijderen van je account
men moet zich eerder eens beseffen dat je niet zomaar alles het internet op moet gooien en dan verwachten dat een ander het oplost als je er spijt van krijgt...
Backups zijn een behoorlijk lastig onderwerp voor de GDPR/AVG. Gelukkig eist de wet inderdaad niet dat je backups aanpast, dat zou te hard conflicteren met de IT basis-regel dat je nooit iets aan je backups mag veranderen. Maar als je zo'n backup terug zet moet je er voor zorgen dat verwijderde data niet terug komt, en dat is makkelijker gezegd dan gedaan want je kan geen lijstje bijhouden van te wissen data. Je hebt immers net de vraag gekregen om alle informatie over die persoon te wissen. Je mag dus niet zeggen "alle posts van Jantje weggooien" maar zal op een of andere geanonimiseerde manier moeten vastleggen welke records uit je database aangepast moeten worden (bv "regel 3 en regel 7 wissen").
Dat is dus alleen maar zo omdat het te moeilijk zou zijn om met terugwerkende kracht 30 jaar aan backups te gaan analyseren. Als je de mogelijkheid hebt om de bakups wel (gedeeltelijk) te wissen dan heeft dat de voorkeur. Bij het ontwerpen van een een nieuwe applicatie of database zouden we daar voortaan rekening mee moeten houden. Stel je datamodel bv zo op dat alle GPDR-gevoelige informatie geisoleerd wordt van de rest en via een anonieme key gekoppeld wordt. Bij een verwijderverzoek hoef je
alleen de persoonsgegevens te verwijderen en dan is de rest van de data niet meer terug te leiden naar die gebruiker.
Een ander idee is om iedere gebruiker z'n eigen database of tabel te geven en die in een apart bestand weg te laten schrijven. Bij een verwijderingsverzoek kun je dan heel gericht die bestanden verwijderen zonder aan de data van andere gebruikers te komen.
Maar als je zo'n backup terug zet moet je er voor zorgen dat verwijderde data niet terug komt, en dat is makkelijker gezegd dan gedaan want je kan geen lijstje bijhouden van te wissen data. Je hebt immers net de vraag gekregen om alle informatie over die persoon te wissen. Je mag dus niet zeggen "alle posts van Jantje weggooien" maar zal op een of andere geanonimiseerde manier moeten vastleggen welke records uit je database aangepast moeten worden (bv "regel 3 en regel 7 wissen").
Je kunt tijdens een restore inderdaad niet filteren op "alle posts van Jantje weggooien". Maar je zou toch kunnen filteren op "alle posts van account 5796485 weggooien"? Op je actieve systeem bestaat er tenslotte geen link meer tussen dat account nummer en Jantje zodat het niet herleidbaar is naar de persoon.
Zo had ik een keer mijn facebook account terug, die ik een jaar of 5 daarvoor had laten verwijderen. Ook waarschijnlijk ergens van een backup teruggehaald door facebook.
Ik kwam erachter doordat familieleden ineens vriendschap verzoeken kregen van mij (mijn account dus).
Klinkt als moeilijk, dus doen we het niet. Ik betwijfel het.
Als ik rechtsboven bij berichten en notificaties kijk, zie ik dat er wel degelijk geïndexeerd wordt op mijn accountnaam. Dus een wis actie is niet veel extra.
Een post missen in een discussie is juist wat de vraag is, dus geen reden om het niet te doen.
Backup wissen is inderdaad moeilijk, maar er zijn vast nu ook al scripts die na een restore gedraaid worden om de inhoud na de restore bij de tijd te brengen.
Ik blijf het absurd vinden dat het copyright/eigendomsrecht niet gehonoreerd wordt met technische kul redenen. Ook Tweakers zal zich aan de wet moeten houden als bedrijf.
(en ja onleesbaar is het resultaat, en nee ik wil mijn gegevens nu niet wissen maar wel het recht helder hebben voor de posters)
Het feit dat je ooit akkoord ging is geen rechtmatigheid voor eeuwigdurende gijzeling van je data.
Nou ga ik toch wel redelijk ver als het gaat over zaken als privacy en dergelijke, maar hier ben ik het helemaal niet mee eens. Discussies in de forums en nieuwsberichten is het bestaansrecht van sites als Tweakers. Het is *essentieel* dat de informatie niet zomaar verdwijnt, anders kun je de site beter opdoeken. Dit is de reden van de artikel 12.2 en waarom je gevraagd wordt er mee akkoord te gaan.
Dit is dus een van die gevallen waar de houding "Wil je dat niet? Moet je niet meedoen." een terechte is. Anonimiseren + de mogelijkheid je berichten aan te passen als je eens een blunder begaat is gewoon voldoende en netjes. Niet alle privacy issues kun je op het bordje van bedrijven leggen, je hebt zelf ook nog een verantwoordelijkheid.
Dat is te kort door de bocht. Je weet namelijk simpelweg niet welke koers bijvoorbeeld Tweakers gaat volgen over X aantal jaar. Wie weet wat ze dan met de forumbijdragen gaan doen. Ik noem eens wat hypothetisch. Ze gaan dagelijks de stomste dingen die reageerders hebben gezegd in de afgelopen 10 jaar op de frontpage plaatsen met nickname erbij. (jaja hypothetisch geval), dan moet je wel de mogelijkheid hebben om te kunnen zeggen, jahh je houd je wel aan alle AVG regels en bepalingen enzo, maar dit was niet de intentie bij het akkoord gaan. Ik trek dus mijn toestemming in en wil dat al mijn data verwijderd wordt.
[Reactie gewijzigd door rvl1980 op 23 juli 2024 12:04]
Er is ook nog zoiets als redelijkheid. Jij beroept je nu op een hypothetisch geval waarin Tweakers onredelijke dingen gaat doen. Daar is het hypothetische antwoord op "dan heb je altijd de rechter nog".
Daarnaast is redelijkheid subjectief. Het maakt niet uit wat Tweakers doet, er zijn altijd wel een paar mensen die het onredelijk vinden, en dat een valide reden vinden om te eisen dat al hun berichten verwijdert worden. Dan wordt dus de vraag "wie bepaald wat redelijk is". Antwoord: als je er samen niet uitkomt, uiteindelijk de rechter, zoals altijd.
In dat licht is de uitgangspositie dat berichten geanonimiseerd blijven staan, een alleszins redelijke balans tussen de belangen van het individu en die van de website en de community.
LOL. Er is geen hond die artikel 12.2 gelezen heeft bij zijn aanmelding voor een account. Geen excuus maar wel realiteit.
De wet vereist een "vergeet me" mogelijkheid, niet alleen voor FB en Google maar ook voor Tweakers.
En dan krijg je een oude discussie waar om de 3 berichten alleen maar *verwijderd* staat, en je op basis van halve quotes (mogen die dan wel blijven staan, onder quote-recht?) en nu-zinloze reacties moet concluderen dat je hier niks meer van leert.
Ik heb wel fora gezien waarbij mensen actief al hun oude berichten weggooiden, dat is totaal onleesbaar.
Ik ben blij dat Tweakers gewoon dingen laat staan.
Ja dat is pech hebben. Maar privacy is belangrijker dan het feit dat mensen een forum discussie van 5 jaar geleden kunnen volgen tot op de laatste letter. Er os toch ook geen verplichting om websites met informatie altijd online te houden? Ik heb vaak genoeg gehad dat ik een bepaalde site een keer bezocht om wat informatie eraf te halen, maar dat het artikel al verwijderd was. Dat is identiek. Er is geen enkele reden om verplicht te zijn om bijdragen van gebruikers altijd online te houden.
Ja dat is pech hebben. Maar privacy is belangrijker dan het feit dat mensen een forum discussie van 5 jaar geleden kunnen volgen tot op de laatste letter. Er os toch ook geen verplichting om websites met informatie altijd online te houden? Ik heb vaak genoeg gehad dat ik een bepaalde site een keer bezocht om wat informatie eraf te halen, maar dat het artikel al verwijderd was. Dat is identiek. Er is geen enkele reden om verplicht te zijn om bijdragen van gebruikers altijd online te houden.
En dat maakt dan het bestaansrecht ineens minder, want zo'n forum bezoek ik nooit meer.
Net zoals fora waar je moet registreren om 'plaatjes' te mogen bekijken.
Loop je door een postlijst vol met 'klik hier' linkjes, die naar de login/registratie pagina gaan.
Je mist mn punt. Ik heb vaak genoeg sites gezien waar ik normale informatie vanaf wilde halen. Noem eens wat volkskrant.nl. Maar die artikelen van 5 jaar geleden waren al verwijderd. Dat vind ik vrij normaal. Waarom zouden fora-berichten tot in het eind der dagen bewaard moeten blijven, zeker als de orginele poster van die berichten zichzelf heeft bedacht over hetgeen hij gezegd heeft. Het moet voor ieder mogelijk zijn om informatie van zichzelf te verwijderen. Dat pietje of jantje dan een forum thread moet lezen die een stukje minder leesbaar is geworden is niet mijn probleem. Maar wat ik zeg, dat is de normaalste zaak van de wereld. Normale websites (lees: geen fora) verwijderen ook artikelen, die informatie is ook weg na verloop van tijd, die kan pietje of jantje ook niet meer lezen. Sterker nog, ik kan hier ook berichten plaatsen en ze daarna wijzigen. Ik kan al mijn berichten hier 1 voor 1 weghalen.
Ik heb het met de originele sat4all fora vaak gehad, en op een paar duitse omgevingen
Zoek je op een bepaalde techniek, destijds filmnetkaartjes voor de schotel ontvangst )
Kreeg je een beschrijving over apparatuur en de werking, maar uiteindelijk miste er comments over ( cruciale ) foutmeldingen / oplossingen
Ben je vaak een uur bezig met filteren, voor je een simpel / doeltreffend antwoord hebt.
Om terug te komen op je privacy-opmerking, de AVG is simpel, als het bedrijf kan aantonen dat bepaalde data noodzakelijkerwijs bewaart moet worden, krijgt men gewoon de toestemming ( al dan niet met beperkende voorwaarden, zoals een niet herleidbare usernaam, zoals Tweakers doet )
Wat eigenlijk een wassen neus is, want zodra je ergens maar een linkje/post plaatst waar je naam/site in staat, is er niks meer anoniem. Helemaal als iemand jou quote kun je fijn onder de "anonieme" post teruglezen wie het was.
Bedankt. Zover had ik nog niet gezocht maar ik hoopte eigenlijk dat een account opheffen mogelijk was via een makkelijke menu optie. Bij 'Metacritic' en 'Green Man Gaming' is het me met enige moeite gelukt om mijn account verwijderd te krijgen maar dat ging pas na een paar keer een email heen en weer sturen. Een Microsoft account verwijderen was makkelijker.
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken.
Dit klopt niet. Je ziet juist meer en meer sites waar je als "gast" kan bestellen zonder een account aan te maken en waar een account slechts een optie is om bijvoorbeeld rekeningen en bestelhistorie in te kunnen zien.
Voor vage websites heb ik tegenwoordig een ander email adress aangemaakt. Daar mag al dit soort spam (want dat is het) heen. Dus als ik ergens een account nodig voor hebt en ik zelf niet wil dat mijn primaire gegevens nodig zijn dan gebruik ik mijn dummie mail. En die vul ik gewoon met wat random gegevens in.
Ik heb een eigen domein met catch-all. Ik gebruik voor ieder account een uniek emailadres, meestal in de vorm van bedrijf@mijndomein.nl. Dat was bij Samsung een probleem, blijkbaar is "samsung" een verboden woord in je emailadres .
Een andere mogelijkheid is het gebruik van het + teken. Het protocol schrijft voor dat alles vanaf de + genegeerd moet worden, en oa gmail ondersteunt dat ook goed. Jammer genoeg wordt een dergelijk emailadres niet altijd geaccepteerd.
Paar jaar geleden ook overgestapt op een soortgelijk systeem. Heb nog niet meegemaakt dat een bedrijf of dienst het niet toestond, wel vreemde blikken van monteurs aan huis die de factuur mogen sturen aan hunbedrijf@mijndomein.tld.
het gaat al zover dat als je bouw-speelgoed koopt dat je 2 bouwtekeningen krijgt en een 3e als je 'even' registreert met echt al je prive data. Dan maar 2 bouwtekeningen voor de kids hoor.
Maar inderdaad ik werk net als jij een beetje, simpele fora een simpel wachtwoord tot unieke wachtwoorden voor bank, digid en mail. Sommige zaken ook via 2FA via SMS of app (Steam bijv.).
Op de zaak is de VPN inmiddels ook een 2FA die bevestigd moet worden via een app op de telefoon dat jij probeert in te loggen.
Steeds meer diensten ondersteunen 2fa maar helaas zijn er ook steeds meer die dat doen via een eigen app. Het liefst zou ik al mijn 2fa tokens onderbrengen in één app, bv authy of bitwarden, maar dat kan dus niet bij o.a. steam en battle.net waar ik moet kiezen tussen een extra app of onveilige sms protect opties. Altijd nog beter dan niets maar het gebruiksgemak is er niet per se mee gediend.
Bij webshops is het mijn ervaring dat er juist steeds meer zijn die me zonder een account laten bestellen. De browser kan eventueel adres- of cc-velden invullen, al ben ik daar dan weer niet direct fan van.
Had in 2015 (pfieuw 2015 alweer) een systeem bedacht dat accounts bij o.a. webshop e.d. niet nodig heeft om een aankoop te kunnen doen en tevens om te voorkomen dat bij een inbraak bij een webshop gegevens op straat kunnen komen te liggen. Tevens kun je met het systeem overal betalen (op internet én in winkels, overal dus, lekker shoppen alles door elkaar als je wilt) en gaat koopfraude tegen (iets waar een bank geen waarborg voor heeft). Zie ook het cool.com.co voorbeeld bij de link bovenaan. Het is een systeem dat authenticatie via twee ingangen doet elders ipv vanuit één punt etc. Gek, blijkbaar was het niet interessant genoeg en nu zijn de problemen er nog steeds. Nog steeds overal aan moet melden, nog steeds fraude, nog steeds lekken, bizar.
[Reactie gewijzigd door codebeat op 23 juli 2024 12:04]
Is ook zo met acties voor treinkaartjes (dagkaarten vaak). Ik koop nu en dan een dagkaart bij een actie in de lokale Kruidvat/Albert Heijn, maar dit soort acties is ook vaak online bij een bepaalde website waarbij je een account aan moet maken voordat je een kaartje kunt kopen. Slechte ontwikkeling imo.
Ik mis nog een volgende stap eigenlijk. In plaats van een paswoord manager helemaal geen paswoorden meer gebruiken.
Sidns paswoord managers is een paswoord toch een random string. Maar het gebruikt nog steeds een door mensen in te typen wachtwoord. Waarom dan niet gewoon een crypto handshake met een token die nog veel langer is. De software is er nu nog niet klaar voor, maar dat is al in ontwikkeling, zie Fido2 met CTAP in passwordless mode. Of smartcard logins die bedrijven vaak gebruiken. Voor onze beheeraccounts op het werk kunnen we niet eens meer een paswoord gebruiken.
Een paswoord manager is eigenlijk een soort workaround om een moderne authenticatie in een systeem te proppen dat bedoeld is om op een oude manier te werken (paswoorden). Ik zou liever gelijk doorgaan naar de beste oplossing.
Je hebt nog wel een PIN code op je token (vergelijkbaar met een pinpas) en moet hem aanraken ter bevestiging. Je kan meerdere tokens (of ingebouwde authenticatiecodes in apparaten) bijv. aanmelden.
[Reactie gewijzigd door GekkePrutser op 23 juli 2024 12:04]
Helaas zijn er nog heel veel mensen en systemen die dat soort handshakes niet kunnen toepassen. Een wachtwoord manager is compatibel met ouderwetse mensen en systemen en een wachtwoord van 12 tot 16 tekens geldt nog als vrijwel onkraakbaar.
1024 bit challenge response authenticatie moet nog even op zich laten wachten.
Ik hoop echt dat dit doorbreekt. Kan me voorstellen van wel als je ziet hoe makkelijk ze het gemaakt hebben.
Ik hoop het niet.
Various SQRL clients and server components currently exist for Windows, Linux & macOS (with WINE), Android, iOS, Chrome, Firefox & Edge.
je zit weer vast aan client software (vendor lock-in), en ze kunnen niet eens de moeite nemen een Linux en Mac client te schrijven ("ga maar wine gebruiken"). Weg hiermee...
Het protocol is af, de clients nog niet. De spec is open source en de client dus ook. Geen lock-in etc.
Dat de eerste test clients niet geschreven zijn voor linux kun je de ontwikkelaars niet afrekenen, het grootste deel van de testers gebruikt nu eenmaal windows, ios en android.
Belgar snapt het. Wanneer SQRL groter wordt komen er ook clients voor Linux.
Er zijn echt veel voordelen van SQRL.
Bijvoorbeeld dat een website jouw credentials kan lekken zonder dat iemand daar iets mee kan. "Jouw credentials" zijn namelijk een (per site gegenereerde) public key.
Er wordt ook gesproken hierboven over de irritatie van sommige dat ze voor (bijna) elke webshop verplicht zijn een account aan te maken. Ik vind dat soms ook vervelend. Moet ik deze weer toevoegen aan m'n password manager. Ben je vaak toch weer eventjes mee bezig. SQRL maakt het makkelijker en sneller om een account aan te maken.
SQRL is interessant maar heeft een belangrijk issue; het verplaatst het beschermen van de authenticatie informatie naar de hardware van de gebruiker. In veel gevallen is dat juist een van de meer zwakke plekken.
Het stelen van de hardware an sich geeft je nog steeds geen toegang tot iemands account. Wat dat betreft ben je dus niet slechter af dan met SMS/authenticator 2-factor en iemand steelt je telefoon.
Je gaat er dus niet echt op achteruit, maar je hoeft niet 100-en accounts te onthouden. Wat dat betreft is een dergelijk systeem wat mij betreft een vooruitgang.
Bovendien houdt niets je tegen om ook hier een 2nd factor toe te voegen.
Inloggen via een derde vind ik ook wel handig, zoals nu met Facebook, Google en Apple kan. Welke is natuurlijk persoonlijk, maar scheelt je veel wachtwoorden onthouden.
Dan toch veel liever een wachtwoordmanager. Als je met random gegenereerde wachtwoorden werkt van voldoende karakters is de functionaliteit van een wachtwoordmanager praktisch exact hetzelfde als SSO via die bedrijven, maar je zit ten minste niet met die rot tracking en datamining overal waar je inlogt.
[Reactie gewijzigd door Joecatshoe op 23 juli 2024 12:04]
Totdat je bijvoorbeeld weggaat bij Facebook, dan kun je al je accounts gaan overzetten. Dit had ik toen met Spotify, gelukkig waren ze zeer behulpzaam met het migreren van mijn account.
Ik snap wel dat Google mensen forceert tot het ingeven van het telefoonnummer want ondanks de vele berichten blijven mensen met weinig affiniteit met IT gewoon hetzelfde paswoord gebruiken. In sommige gevallen hebben ze er toch enkele, maar dat geeft dan weer nieuwe problemen.
Hoe dikwijls dat ik al bij vrienden of familie ben geweest om hun pc in orde te brengen en dan vraag voor een paswoord om bijv. hun email terug te installeren. Dan begint het: probeer dit eens, of zou het dat zijn. Was het nu eerst het jaartal en dan de naam of omgekeerd. Was het met een hoofdletter, of een underscore in plaats van een koppelteken. En dan zoeken in de schuif achter een hoop losse bladjes met een eventueel ww.
Het interesseert de gemiddelde mens gewoon niet veel. Dus moet Google wel een beetje forceren. Eigenlijk zouden alle sites waarbij je belangrijke info zoals creditcard gegevens achterlaat standaard 2fa moeten aanzetten en gebruikers dus moeten dwingen om het te gebruiken.
Met 2fa heb ik trouwens wel ook al eens een fameuze farçe gehad. Verschillende van m'n accounts hadden 2fa via Google Authenticator. Maar op een dag werkte m'n smartphone niet meer. Uiteindelijk wel terug aan de praat gekregen, maar enkel met een reset naar fabrieksinstellingen. Gevolg: de app was verwijderd. Google Authenticator is echter niet verbonden met je telefoonnummer en laat ook niet toe om een backup te maken, zodat je in zo'n geval - of bij het kopen van een nieuwe smartphone - gewoon weer verder kan. Dus in één klap was ik buitengesloten van alle sites die met 2fa waren beveiligd. Gelukkig heb ik de meeste accounts kunnen resetten d.m.v. paswoord reset (wat eigenlijk niet zou mogen iemand die je mail heeft gekaapt diezelfde reset kan uitvoeren, niet?), maar er waren toch enkele die dit niet toelieten.
Dus als je een nieuwe phone zou kopen, moet je eerst op alle sites 2FA terug gaan uitschakelen om het daarna weer toe te voegen.
Nu heb ik 2fa via codes die via mail of sms worden gestuurd, maar zoals het artikel aangeeft, blijft ook dat te onderscheppen. Maar het is toch nog een laag bovenop de gewone beveiliging. En dat zou het vereiste minimum moeten zijn.
Voor een yubikey ben ik dan weer te slordig. Die verlies ik binnen de week .
Ik denk dat i.v.m. wachtwoorden er nooit echt een oplossing komt. Vergelijk het met fysieke beveiliging: vroeger had men gewone sloten, nu hebben we speciale sloten, we hebben camera's en alarmen en toch wordt er nog steeds ingebroken. En dan blijft het ook een afweging van hoeveel lagen je kan gaan implementeren waarbij het nog in evenwicht blijft met gebruiksgemak.
Voor een yubikey ben ik dan weer te slordig. Die verlies ik binnen de week
Heb je datzelfde probleem met je huissleutel en autosleutel ook? Ik heb mijn Yubikey al meer dan een jaar gewoon aan mijn sleutelbos hangen en geen enkel probleem. En nee, ik ga niet heel zorgvuldig met mijn sleutelbos om.
Is ook niet nodig. Alleen bij login moet de sleutel even in de usb poort. Ik heb een usb velengkabeltje uit mijn monitor op mijn werk hangen voor als het nodig is. En thuis en onderweg is het bij inloggen even inprikken, knopje aanraken er weer eruit.
Ik gebruik op het moment ook google authenticator en snap werkelijk niet waarom je geen backup kan maken. Lijkt mij een cruciale feature voor het geval dat je je authenticator kwijt raakt wat jou al eens is overkomen.
De laatste keer dat ik keek deed Authy geen HMAC-Based One-Time Password (HOTP). De codes die ik net als test heb gegenereerd wil Authy in ieder geval niet lezen.
[Reactie gewijzigd door Bor op 23 juli 2024 12:04]
Ik gebruik 2FA via 1Password.
Dit is direct mijn wachtwoordmanager en de 2FA code wordt bij het invullen van het wachtwoord direct gekopieerd.
Plus dit werkt op meerdere apparaten (online, PC, telefoon) dus je bent niet gebonden aan een device om je code op te zoeken.
Dat wist ik niet. Bedankt voor de link. Maar ik lees ook dit: Moving Google Authenticator from your old phone to a new one is a fairly cut and dry process for your Google Account. However if you use Authenticator to log in to specific websites, you'll need to go to those accounts and repeat the process. This may differ depending on the particular website.
In some cases you may need to turn off 2-Factor authentication on these accounts, and then set it back up from scratch
Dus het is niet echt het overzetten van je gegevens blijkbaar.
En zoals in mijn geval - een hard reset- ben je er ook niets mee.
Ik dacht dat je authenticator app aan je Google account gelinkt was. Bij het overschakelen van mijn Nexus naar Pixel telefoon is de app mooi meegekomen dacht ik.
Misschien is dat ondertussen veranderd, maar het was toen niet gelinkt (geloof me, ik heb gezocht achter de oplossing). Het was ook een klacht die regelmatig bij de reviews van de app voor kwam.
Ik denk dat i.v.m. wachtwoorden er nooit echt een oplossing komt. Vergelijk het met fysieke beveiliging: vroeger had men gewone sloten, nu hebben we speciale sloten, we hebben camera's en alarmen en toch wordt er nog steeds ingebroken. En dan blijft het ook een afweging van hoeveel lagen je kan gaan implementeren waarbij het nog in evenwicht blijft met gebruiksgemak.
Die vat ik even niet, alle smart locks die ik ken zijn juist gemaakt om gebruiksgemak te verhogen. En de reden dat er nog steeds wordt ingebroken is dat er bijzonder weinig mensen gebruik maakt van de ontwikkelingen in fysieke beveiliging. De hoeveelheid cilindersloten die ik op voordeuren zie is schrikbarend, om het nog maar niet over waardeloos (of gebrek aan) deurbeslag te hebben. Wat dat betreft valt digitale beveiliging totaal niet te vergelijken met fysieke beveiliging, het zijn écht twee compleet aparte domeinen.
2FA werkt voor beide fysiek en digitaal prima, alleen is de vraag waar je de grens trekt om een risico te accepteren. Xiaomi geeft bijvoorbeeld de optie om een paar one-time pads te maken waarmee je kan inloggen, de klant mag die dan zelf in een kluis of op een verstopplek opbergen. Als je die zelf kwijtraakt, dan is dat eigen risico (je kan de optie ook niet zomaar gebruiken). Een scenario zoals je beschrijft zou dan geen problem zijn.
Juist om de reden van een backup gebruik ik authenticator plus. Is ook nog eens cross platform, ik heb het op mijn Android telefoon en op mijn iPad staan.
2 maanden geleden een nieuwe gelefoon; app geïnstalleerd, backup koppelen en weer online.
Een password manager maakt het makkelijk om op elke login een moeilijk te kraken wachtwoord te zetten, in combinatie met 2fa ben je heel veilig tegen gelekte of gehackte wachtwoord databases.
Blijft over een gerichte aanval op specifiek 'jouw' account via social engineering. De kans dat dat gebeurt en lukt is eindeloos veel kleiner dan een hack via je emailadres en pa55w0rd!
Met 2fa heb ik trouwens wel ook al eens een fameuze farçe gehad. Verschillende van m'n accounts hadden 2fa via Google Authenticator. Maar op een dag werkte m'n smartphone niet meer. Uiteindelijk wel terug aan de praat gekregen, maar enkel met een reset naar fabrieksinstellingen. Gevolg: de app was verwijderd. Google Authenticator is echter niet verbonden met je telefoonnummer en laat ook niet toe om een backup te maken, zodat je in zo'n geval - of bij het kopen van een nieuwe smartphone - gewoon weer verder kan. Dus in één klap was ik buitengesloten van alle sites die met 2fa waren beveiligd. Gelukkig heb ik de meeste accounts kunnen resetten d.m.v. paswoord reset (wat eigenlijk niet zou mogen iemand die je mail heeft gekaapt diezelfde reset kan uitvoeren, niet?), maar er waren toch enkele die dit niet toelieten.
Het is juist de bedoeling dat de ingestelde time based code generator niet zomaar over te zetten is naar een ander apparaat. Een app als Authy zou ik nooit vertrouwen, juist omdat ze mijn authenticatie gegevens op hun servers zetten. dat zou betekenen dat bij een eventuele gegevensdiefstal bij dat bedrijf mijn 2FA gegevens op straat liggen. Het hele punt van dat soort auth is dat het werkt als een fysieke key (maar dan heel handig in een app omdat je je telefoon toch al bij je hebt).
Dat password reset werkt wanneer 2FA is ingeschakeld is een ZEER slechte zaak, en in dit geval zou ik het betreffende bedrijf met geen enkel persoonlijk gegeven vertrouwen. Op deze manier is er namelijk alleen nog maar toegang tot mijn e-mailaccount nodig om bij de betreffende website in te loggen. Dat is dus dezelfde beveiliging als alleen wachtwoord, maar dan met meer ongemak!
De enige manier om je account terug te krijgen zou moeten zijn door persoonlijk contact op te nemen met de ondersteuning, die je dan vraagt om je identiteit te verifieren, bijvoorbeeld door een foto van je gezicht in te sturen waarbij je een identiteitsdocument naast je hoofd houdt en een papiertje waarop je de huidige datum hebt geschreven en de naam van het bedrijf waar je contact mee opneemt. Account aangemaakt met nepgegevens? Vergeet het dan maar!
Het is overigens wel (altijd!) mogelijk om een back-up te maken van de instelcode voor je 2FA. Een goede manier om dat te doen (en de enige manier die ik zou aanraden qua gemak zonder de veiligheid te verminderen) is op papier. Onder de QR code die je moet scannen staat namelijk altijd de code in tekst. Deze code kan je opschrijven en op een veilige plek bewaren. Mocht je dan je authenticatie app opnieuw in moeten stellen kan je gewoon deze code invoeren en je kan meteen weer als vanouds inloggen.
Something you know: wachtwoord
Something you have: authenticator app / key
TLDR; Als de persoonlijke authenticator gegevens geüpload worden is het 2x "Something you know" dus geen ware 2e Factor.
[Reactie gewijzigd door ThaJay op 23 juli 2024 12:04]
Ik moet heel eerlijk zijn dat ik nog maar een paar wachtwoorden uit mijn hoofd weet.
Alle andere wachtwoorden staan in KeePass. De KeePass database staat op Onedrive in de vault, en is met een +20 karakter wachtwoord en een key file beveiligd.
De Keyfile staat op 3 locaties, te weten mijn NAS, de backup van mijn NAS (deze backup is ook weer met een wachtwoord beveiligd) en op mijn telefoon.
OneDrive is dan weer met 2FA beveiligd. Mijn NAS is niet direct verbonden met het internet (geen poorten open dus), en de share waar de key file op staat is ook beperkt toegankelijk.
Voor sites die 2FA ondersteunen, gebruik ik het. Lang leve de Microsoft Authenticator. Ook die maakt een Backup naar OneDrive, zodat ik mijn MFA tokens niet zomaar kwijt raak.
Op mijn telefoon gebruik ik Keepass2Android, op die manier heb ik altijd mijn wachtwoorden bij de hand, mocht ik ze nodig hebben.
Handig dat we nu al zoveel details weten over de beveiliging van je KeePass database. Heb je er ook nog wat adressen bij? Dat maakt het net iets gemakkelijker om aan je wachtwoorden te komen .
Maar zo'n passwordmanager is wel handig, ik heb zelf ook zoiets gebruikt, maar dan werkt het alleen lokaal, dus op meerdere apparaten heb ik wel een apart master password. Ik vraag me namelijk af hoe veilig het is als het in de cloud hangt, dan kun je in principe overal inloggen en dan wordt het wel een single point of failure. Als het alleen lokaal werkt moet je al fysiek toegang hebben tot het apparaat (of remote toegang, maar dat heb ik altijd uit staan).
Bij alle bekende password managers is de kluis in de cloud volledig encrypted. Je (master) password eventueel in combinatie met een bestand vormt namelijk de decryption key waarbij de kluis leesbaar wordt..
Dat klopt, maar het blijft een risico denk ik, vooral in combinatie met phishing. Misschien was ik dan een beetje paranoïde, maar ik hield er toen niet van om alles maar in de cloud te hangen. Nu gebruik ik echter die kluis van apple omdat dat fijn werkt bij de combinatie van iOS en Mac os.
Sterkte met toegang krijgen tot mijn OneDrive (waar de DB staat) en mijn NAS (waar de key staat).
Ik heb mijn DB juist bewust in de cloud gehangen, zodat ik er altijd overal bij kan. Ik werk in de detachering en krijg dus regelmatig een laptop van mijn opdrachtgever om op te werken.
Via mijn telefoon kan ik dan dus keurig bij mijn wachtwoord database, waardoor ik de DB en keyfile dus niet op mijn werklaptop hoef te plaatsen.
OneDrive is dus MFA beschermd, net al de database (wachtwoord+key file), en dan staat de database ook nog eens in de OneDrive vault..
En wat betreft phishing mails of juist phishing websites, daarom klik ik nooit zomaar op links van websites als ik moet inloggen op OneDrive of een andere Microsoft dienst. Dat doe ik altijd en bewust via de daarvoor bedoelde websites.
[Reactie gewijzigd door walteij op 23 juli 2024 12:04]
Het klinkt serieus als een goede, veilige oplossing. Het enige wat ik met dit soort dingen heb: hoe leg ik dat uit aan mijn moeder?
Dit onderwerp is zo complex dat je ook niet meer kunt spreken van "eigen verantwoordelijkheid". Dus hoe kunnen we zo'n degelijke oplossing ook nog gebruiksvriendelijk en veilig maken?
[Reactie gewijzigd door r_acker op 23 juli 2024 12:04]
In Keepass kan je ook gebruik maken TOTP. Hoewel ik niet denk dat het slim is om je ww en TOTP token in één app te hebben, is het wel handig om niet altijd je telefoon te moeten zoeken/pakken om daarna de TOTP token over te moeten typen op je pc.
Mijn wachtwoord zijn zo ingewikkeld dat ik die onmogelijk kan onthouden. Al weet ik gelukkig wel mijn wachtwoord om in te loggen op Peppermint, maar die gebruik ik iedere dag. Is makkelijker om te onthouden.
Groot nadeel van veel 2FA oplossingen is dat het via een app moet, die je data niet backupped. Dus nieuwe telefoon moet je alles overzetten of resetten, en dan moet je er wel bij kunnen. Extra lastig als je op vakantie bent!
Bij Authy wel 'Allow multi device' uitzetten als je het op al je apparaten hebt staan! Anders kan iemand anders in theorie Authy op z'n tel krijgen als ze je telnummer weten over te nemen.
"We highly recommend opening the Authy app, going into Settings, and switching off the multi-device option."
En waarom: "All the Authy apps on your existing devices will continue to work as designed and with no interruption, but no new apps will be able to be downloaded to new devices moving forward.
So, even if anyone has been able to get your username and password, or SIM-swapped your phone number, there is still no way they will be able to access your 2FA data synced with the Authy service.
If you ever need to install Authy on a new device, simply re-enable multi-device, install Authy, and then disable the setting again."
Met overnemen van je nummer bedoel ik SIM swapping of andere manieren hoe iemand toegang kan krijgen tot het ontvangen van een SMS notificatie op je telefoonnummer.
Maar dan heb je nog steeds een probleem als je maar 1 apparaat gebruikt en deze gaat defect.... Dat is op het moment mijn grootste zorg met 2FA. Het blijft een afweging tussen gemak en veiligheid.
Want als je de 2FA over kan zetten (al dan niet met telefoonnummer) kunnen andere mensen ook bij je account komen.
Kan je het niet over zetten. ben je genaaid op het moment dat jij de login kwijt bent om wat voor reden dan ook.
Nee het (overstappen) werkt zo:
1. Installeer Authy op je telefoon.
2. Ga naar Google Authenticator of waar je dan ook je 2FA codes in hebt.
3. Ga naar elk account wat je daarin beheert, zoals Gmail, Dropbox etc en zet met je Google Authenticator code de 2FA uit in het account.
4. Zet het weer aan maar nu met Authy.
5. Nu heb je een berg accounts in Authy. Zet backup sync aan en allow multiple devices aan en installeer Authy op desktop / andere telefoons.
6. Alles is nu gesynct over de apparaten die je wilt gebruiken. Zet nu 'allow multiple devices' weer uit en laat backup sync aan staan. Zo kan niemand een extra apparaat toevoegen en zo toegang krijgen tot je ge-backupte codes van al je accounts, maar blijft alles wel gewoon gesynct tussen je devices.
7. Wil je een nieuw apparaat toevoegen, zet je die 'allow multiple devices' weer even aan, voeg m toe, zet het weer uit.
[Reactie gewijzigd door Mifuki op 23 juli 2024 12:04]
Een tweefactor authenticatie is niet hetzelfde als een recovery methode. Het gaat om twee uitgangspunten eigenlijk:
Hoe zorg ik dat anderen niet als mij in kunnen loggen (false positives)
Je wil niet dat anderen jouw geld kunnen overmaken, op jouw naam kunnen bestellen, of zien wat voor mails jij stuurt. Dit kun je goed oplossen met een 2FA methode.
Hoe voorkom ik dat ik zelf niet meer in kan loggen (false negatives)
Dit staat los van hoe je inlogt. Je kunt namelijk ook gewoon je wachtwoord vergeten, daar heb je geen 2FA voor nodig.
Je kunt wel backups instellen:
Bij veel sites kun je bijvoorbeeld 2 manieren van 2FA gebruiken (Google Authenticator en een Yubikey heb ik bij een aantal sites). Als de ene uitvalt kun je op de andere terugvallen.
Je kunt ook, bijvoorbeeld met je man/vrouw, afspreken dat je je mailaccount ook bij elkaar in de Google authenticator zet. Die QR-code kun je (vaak) meerdere keren scannen namelijk.
Uiteindelijk is de bottom line altijd: hoe veilig wil je het zelf hebben? Je kunt zelf kiezen hoe makkelijk het kan, maar je bent ook zelf verantwoordelijk voor de gevolgen.
Hier ook een Authy gebruiken. Vooral het backup gemak de beschikbaarheid op bijna alle platforms vind ik erg prettig. De app mag qua lay-out nog wel iets aangepast worden maar het werkt goed.
Daarnaast gebruik ik al jaren Dashlane als wachtwoord manager. Hier zit ook een optie in om wachtwoorden van meerdere sites in 1 keer aan te passen. Helaas is de lijst met compatible sites nog niet heel groot. Voor nu is het een prima oplossing.
Het grootste probleem met biometrie is dat je het niet kan veranderen (wanneer jij wilt), maar dat het wel kan veranderend waardoor het niet meer werkt.
Je kan niet zomaar je vingerafdruk veranderen als deze "uitlekken".
Je authenticeert niet daadwerkelijk met biometrie. Je gebruikt biometrie om de "password store" op je locale device te unlocken. Ergo je biometrie werkt alleen op dat specifieke device en kan je pas instellen nadat je je daar op een andere manier geauthenticeerd hebt.
Je kan je vinger afdruk op een andere telefoon houden maar dan kan je daar jezelf niet mee inloggen.
Biometrie als herkenning / volgen van personen via (publieke) camera's is weer een ander "ding"...
Plus dat biometrie heel makkelijk te verkrijgen is.
Een vingerafdruk van iemand bemachtigen is wel heel erg simpel (houd even dit vast...). Afhankelijk van de sensor die gebruikt wordt kun je deze (met poeder en plakband verkregen) afdruk weer herkenbaar maken variërend van simpelweg uitprinten op papier tot het maken van een gel "hoesje" om je eigen vinger om zo eventuele IR om de tuin te leiden.
De benodigde vingerafdruk bevindt zich doorgaans al op de sensor van de gestolen telefoon...
Heb er mijn twijfels bij, naar mijn weten is blockchain enorm inefficient, zowel qua benodigde CPU power als stroomverbruik en hoeveel 'transacties' er kunnen worden afgehandeld. Kom je dan straks in een 'wachtrij voor inloggen' te staan?
Daarnaast als ik de website lees is het dus de bedoeling om bij elke keer inloggen via je telefoon een QR te scannen, ik denk dat ik daar heel snel heel moe van zou worden. Maar dat is misschien persoonlijk.
Inloggen via de blockchain kost helemaal niets aangezien je alleen maar iets hoeft te signen met je key. Niet voor niets zijn er een hoop partijen bezig met identity on the blockchain. Dit lost het nadeel op dat 1 partij vereantwoordelijk is voor je account, dat is dan nml de blockchain. Kunnen ze je ook niet meer weigeren of volgen. Bizar eigenlijk dat 1 van de potentieel grootste veranderingen op dit gebied niet eens in het artikel vermeld staan.
DNA-authenticatie. Uniek voor elk individu op aarde, alhoewel familieleden of tweelingen dicht bij elkaar liggen als DNA-match. Een biochip op een kleine module die je aan je pc of device kunt koppelen die niet je vingerafdruk ziet, maar het genetisch materiaal van je huid, of een 'blaastest' in de vorm van een kleine module die niet je alcoholpromillage meet, maar DNA uit de microdruppels die je uitademt. Nu al goed te implementeren met huidige techniek. Of een chip geïmplanteerd in je arm, die zit in je lichaam, en die heb je dus altijd bij je, even tikken tegen een sensor van je computer of device, contact, en de ontgrendeling vindt plaats. Voor wie dit veel te vergezocht vindt: ik raad je zelfs aan aandelen te kopen in bedrijven die cyborgtechnologie gaan ontwikkelen. Zonder meer de toekomst, mens-machine integratie en symbiose.
NEE, alsjeblief niet zeg. Zeer slecht idee, want:
1. Je kunt het niet veranderen, dus wanneer die info lekt ben je de klos.
2. Je hebt er maar één van, waardoor privacy, anonimiteit en veiligheid in het geding komen. Je moet absoluut de mogelijkheid hebben om accounts, identiteiten, gebruikersinfo e.d. gescheiden te houden. Website A en platform B waar je een account hebt, hoeven niet te weten dat het om dezelfde persoon gaat.
Bloed of speeksel zijn ook DNA. Maakt social enginering alleen maar eenvoudiger want ik hoef alleen te wachten tot jij een plastic flesje weggooit om jouw DNA te verkrijgen..
Ook zijn er inmiddels fingerprint scanners welke niet alleen je finger scannen, maar ook de 'reflectie' daarvan. Houd maar eens het lampje van je telefoon onder je vinger op de WC met het licht uit. Je ziet dan het vinger 'oplichten'. Als een vinger is afgesneden of als de persoon is overleden werkt dit niet meer omdat de mate van reflectie daarmee wijzigt.
Voor toegang tot het datacenter voor een Amerikaanse beleggingsmaatschappij moet ik een irisscan laten uitvoeren, alleen mag ik bijvoorbeeld bepaalde oogdruppels niet gebruiken omdat deze de adertjes in mijn oogbal laten opzwellen en daardoor de scan het niet meer doet..
/i/2003142850.jpeg?f=imagenormal)
/i/2003142852.jpeg?f=imagenormal)
:strip_icc():strip_exif()/i/2004432442.jpeg?f=fpa_thumb)
/i/2004761386.png?f=fpa)
:strip_exif()/i/2004648160.jpeg?f=fpa)
/i/2004857332.png?f=fpa)
/i/2001753841.png?f=fpa)
/i/2002127815.png?f=fpa)
/i/2001557481.png?f=fpa)
:strip_exif()/i/2002606676.jpeg?f=fpa)
:strip_exif()/i/1279875276.jpeg?f=fpa)
/i/2000900259.png?f=fpa)
:strip_exif()/i/1295863875.gif?f=fpa)
:strip_exif()/i/1068828305.jpg?f=fpa)
/i/1383772037.png?f=fpa)
/i/2003032004.png?f=fpa)
:strip_icc():strip_exif()/u/18872/crop643c23a7a7810_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/140379/Hond_icon.jpg?f=community){kind=icon}
:strip_icc():strip_exif()/u/88719/crop624ccd84437db_cropped.jpg?f=community){kind=small}
:strip_exif()/u/219668/crop6818d9983dc68_cropped.webp?f=community){kind=small}
:strip_icc():strip_exif()/u/10274/crop67712295188a6_cropped.jpg?f=community){kind=small}
/u/381607/have%2520a%2520nice%2520day%2520-%2520small.png?f=community){kind=small}
:strip_icc():strip_exif()/u/431537/crop5e760e84a80c3_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/1220250/crop5fb952eec68d8_cropped.jpeg?f=community){kind=small}
/u/81251/smurflogo.JPG?f=community){kind=small}
:strip_icc():strip_exif()/u/28090/doek-iggythumb.jpg?f=community){kind=small}
/u/152942/crop687206d7bca78.png?f=community){kind=small}
Ja, ik ben best een grootverbruiker van password reset functies.:strip_icc():strip_exif()/u/79614/Family-Guy-Victory-is-Ours.jpg?f=community){kind=small}
:strip_exif()/u/467778/crop5d7a5dd1f296a.gif?f=community){kind=small}
/u/430342/crop5f4f39c1ab7e5_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/119894/rsz_keyboard_help.jpg?f=community){kind=small}
/u/98736/crop57f5f8979fbe3_cropped.png?f=community){kind=small}
/u/136816/Home.png?f=community){kind=small}
:strip_icc():strip_exif()/u/96648/shakira.jpg?f=community){kind=small}
/u/112469/crop5dc0192471ec2.png?f=community){kind=small}
:strip_icc():strip_exif()/u/413995/crop5daf4ad59bbb8.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/177406/crop5ca60c3b4a6c7_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/486382/crop648274e8dcb44_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/12461/crop65b195553d948.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/174878/SCKnightMicro.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/21673/crop65674aee06c6d_cropped.jpg?f=community){kind=small}
/u/322701/crop6152f078d4887_cropped.png?f=community){kind=small}
.:strip_exif()/u/119419/candc-60px.gif?f=community){kind=small}
/u/49769/icon.PNG?f=community){kind=icon}
:strip_icc():strip_exif()/u/1105577/crop5b7732cc74b20_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/390004/crop5db03f1dc0e34_cropped.jpeg?f=community){kind=small}
/u/367878/crop68203cf741501_cropped.png?f=community){kind=small}
/u/340881/illuavatar_little.png?f=community){kind=avatar}
:strip_icc():strip_exif()/u/464574/crop5ef5b118724ae_cropped.jpeg?f=community){kind=small}
:strip_exif()/u/464568/crop5ed8091c5eb91.gif?f=community){kind=small}
:strip_exif()/u/56159/archer.gif?f=community){kind=small}
/u/47120/crop5b474591c4ffc.png?f=community){kind=small}
/u/185949/crop5fed94243cc25_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/480920/crop560beea971308_cropped.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/290668/crop665855b513bc7_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/466635/crop679b3a6ab9480_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/140697/crop6180fb9103afa_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/535478/crop611530991af94_cropped.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/448966/crop62a741840cd69_cropped.jpg?f=community){kind=small}
/u/470452/crop5cf2eaddd42c4.png?f=community){kind=small}
/u/357965/avatar2.png?f=community){kind=avatar}
:strip_icc():strip_exif()/u/417493/crop58174774d1256.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/476712/rackersmall.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/333229/Logo%2520RFixIT%2520Tweakers.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/375978/asdasd.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/21203/tweak.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/296171/crop5cb4a10ebf8b1_cropped.jpeg?f=community){kind=small}
:strip_exif()/u/1658/elmuerte-avatar60.gif?f=community){kind=avatar}
:strip_icc():strip_exif()/u/235816/crop596740581e453_cropped.jpeg?f=community){kind=small}
/u/96903/cdwaveicon.png?f=community){kind=small}
/u/189748/1984-14997.png?f=community){kind=small}
/u/947547/crop5baa4dbf26cca.png?f=community){kind=small}