Cookies op Tweakers

Tweakers is onderdeel van DPG Media en maakt gebruik van cookies, JavaScript en vergelijkbare technologie om je onder andere een optimale gebruikerservaring te bieden. Ook kan Tweakers hierdoor het gedrag van bezoekers vastleggen en analyseren. Door gebruik te maken van deze website, of door op 'Cookies accepteren' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt? Bekijk dan ons cookiebeleid.

Meer informatie

Door Tijs Hofmans

Redacteur privacy & security

De toekomst van het wachtwoord

Er moet iets veranderen aan authenticatie

Aan de man brengen

Tweestapsverificatie verkleint de kans dat iemand ongeoorloofd een account binnenkomt gigantisch. Dat is geen overdrijving; Microsoft zegt dat 99,9 procent van alle aanvallen op Hotmail- en Outlook-accounts wordt tegengehouden als iemand 2fa gebruikt. Ondanks dat hoge aantal moeten grote techbedrijven gebruikers bijna dwingen om hun telefoonnummer op te geven bij het aanmaken van een account, laat staan dat die gebruikers andere 2fa-vormen gebruiken. Google vraagt inmiddels standaard om een telefoonnummer bij het maken van een account. Gebruikers die dat niet geven, krijgen regelmatig een herinnering het alsnog te doen. Je moet als gebruiker bijna moeite doen om géén telefoonnummer in te geven als je een nieuw account aanmaakt. Het is een noodzakelijke stap, want zelfs met al die duwtjes in de juiste richting gebruikt slechts een deel van de gebruikers tweestapsverificatie.

Er zijn verschillende redenen waarom gebruikers niet uit zichzelf tweestapsverificatie inschakelen. Daar is onderzoek naar gedaan, specifiek in 2016 door wetenschappers van de University of Maryland en de Johns Hopkins University. Uit ondervraging van 526 Amerikaanse gebruikers bleek dat 41 procent van de gebruikers het te ingewikkeld vond om 2fa in te stellen. Opvallend is ook dat 15 procent van de potentiële gebruikers bang is voor privacyimplicaties. Dat die zorgen niet helemaal onterecht zijn, bleek vorig jaar, toen bekend werd dat Facebook telefoonnummers die waren opgegeven voor tweestapsverificatie, misbruikte om advertenties te tonen. Die functie was overigens in mei 2019 nog steeds actief.

Er zijn ook praktische bezwaren. Tweestapsverificatie is niet bepaald gebruiksvriendelijk, zeker niet zodra je verder kijkt dan sms. Voor totp moet je een app installeren, codes scannen óf handmatig invoeren en ook nog een back-upcode bewaren voor als je je telefoon kwijtraakt… Het is allemaal nogal omslachtig. Of prijzig, want voor een YubiKey betaal je al snel vijftig euro.

Langzame stappen

'Het proces om 2fa in te schakelen moet veel toegankelijker worden'"Mensen zetten 2fa niet zomaar uit zichzelf aan", concludeert ook Risher van Google. "Het is gedoe, niemand wil extra werk doen." Het is volgens Risher niet goed als de moeite bij de gebruiker wordt weggelegd. Bovendien, zegt hij, snappen en vertrouwen mensen 2fa vaak niet. "Je moet dat niet bekijken vanuit technologie, maar vanuit mensen. Dan kom je erachter dat niet iedereen een eigen sleutel wil of moeite wil doen." Risher zegt dat het proces simpeler moet worden. Hij erkent dat het lastig is gebruikers zover te krijgen dat ze hun wachtwoord zomaar veranderen of overstappen op meertrapsverificatie. Dat gaat niet zomaar gebeuren, maar hij denkt wel te weten welk pad de industrie daarvoor moet bewandelen.

In de eerste plaats moet het wachtwoord weer speciaal worden voor gebruikers. Iets dat je bewust intypt op momenten dat het echt nodig is. "Het zou een eerste stap moeten zijn dat gebruikers een wachtwoord niet meer als muscle memory invoeren, maar echt weer moeten nadenken over wat zij invoeren en wanneer." De frequentie van wachtwoorden invullen moet volgens Risher omlaag. "Bijvoorbeeld door autofill te gebruiken of door ingelogde sessies langer actief te maken met risk based analysis." Een specialer wachtwoord zou dan alleen voor een wachtwoordmanager hoeven gelden en dat is volgens Risher een volgende stap: het aantal dezelfde wachtwoorden moet omlaag. Wachtwoordmanagers zijn met hun uniekheid en willekeur een goede stap daarin.

Uiteindelijk denkt Risher dat het aantal wachtwoorden dan in het algemeen kan verminderen. Single sign-ons ziet hij als een goed alternatief. "Pas dáárna kun je gaan denken aan het helemaal weghalen van het wachtwoord. Dan vervang je dat door een hardwaretoken en vertel je gebruikers: vanaf nu hoef je alleen nog dit ding te gebruiken." Google zette onlangs bovendien een belangrijke stap door iedere Android-telefoon om te toveren tot securitytoken. In plaats van een aparte sleutel is het nu mogelijk de smartphone via bluetooth of bekabeld als bevestiging in te zetten.

Standaarden

Een probleem dat daarbij om de hoek komt kijken, is dat nog slechts een handvol diensten tweestapsverificatie aanbiedt. Inloggen met sms als extra stap komt nog weleens voor, maar een totp-code instellen is zeldzamer en het aantal diensten dat een securitykey ondersteunt, is op twee handen wel te tellen. Eén obstakel daarin is dat het lange tijd ontbrak aan standaarden. Daar lijkt verandering in te komen. Een belangrijke standaard is bijvoorbeeld fido2, een samenwerking tussen de FIDO Alliance en het W3C. Fido2, wat staat voor fast identity online, is een uitbreiding van de eerdere universal 2nd factor-standaard, of u2f. De standaard is een combinatie van webauthn en het client to authenticator-protocol. Samen vormen zij een protocol dat het gemakkelijker maakt voor diensten om universele authenticatiemethoden toe te voegen aan hun sites of apps. In plaats van dat iedere dienst zelf moet beslissen welke methodes hij wel en niet wil, is het met fido2 simpeler om één protocol te implementeren, waarbij de gebruiker vervolgens kan kiezen welke methode hij verkiest als tweede factor: een securitykey, biometrie of een app.

Standaarden moeten het gemakkelijker maken om 2fa populair te maken

Langetermijndenken

Risher denkt bij de toekomst aan de lange termijn. Wachtwoorden bestaan over vijf jaar nog steeds, misschien over tien jaar ook nog wel, maar langzaamaan verandert de manier waarop we inloggen. Het wordt gemakkelijker om extra stappen in te zetten naast die paar letters en cijfers die moeten bevestigen dat wij het echt zijn die ergens proberen in te loggen, door nieuwe webstandaarden en door techbedrijven die een handje helpen. In de tussentijd blijft het goed om je bewust te zijn van de gevaren en wat je daartegen kunt doen: hergebruik vermijden en een goede wachtwoordmanager gebruiken.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (259)

Wijzig sortering
Het ding is dat je tegenwoordig voor alles geregistreerd moet zijn. Vroeger had je een mail account, een aantal forums, misschien nog iets, dat was het dan wel. Als je ergens iets online ging bestellen gaf je gewoon je gegevens in bij het afrekenen.

Tegenwoordig wil elke webshop dat je jezelf registreert. Het is een uitzondering als je ergens zonder account iets kunt bestellen. Social media is daar nog bij gekomen en elke game wil tegenwoordig ook een accountje. Ik irriteer me daar mateloos aan hoeveel je geregistreerd moet zijn tegenwoordig.

Heel erg lang gebruikte ik een soort cirkel systeem van wachtwoorden. Simpel/snel wachtwoord voor forums en websites. Degelijker wachtwoord voor social media en een sterker wachtwoord voor mijn mail accounts. Dat simpele wachtwoord werd enkele jaren geleden gelekt. Ik ben toen overgestapt op LastPass en me ook meer gaan verdiepen in de opties van MFA. Google, Microsoft, Apple, Facebook, Battle.net, Uplay, Steam en nog genoeg anderen die MFA ondersteunen.

Enfin, mijn punt is dat als je MFA voor je mail gebruikt, begrijpelijk, maar als ik voor elke registratie die MFA ondersteunt MFA ook daadwerkelijk ga gebruiken, dat is helemaal niet praktisch. Dat zijn er namelijk best wat tegenwoordig.

Op mijn werk passen we MFA toe en daarna gaat de rest over SSO. Dat is zeker goed te doen, maar voor het "internet" en allerlei onsamenhangende bedrijven niet heel handig altijd. Je krijgt dan inderdaad mogelijk vendor lockin zoals beschreven in het artikel. Wellicht dat MFA i.c.m. een SSO ontwikkeld/aangeboden kan worden als een service door meerdere bedrijven net zoals dat je nu een Usenet of VPN aanbieder hebt.
Dat kan toch ook. Met oauth ken je een sure passwordless windows hello account gebruiken bij alle oauth supported authenticatie providers.

Het probleem is dat dat vaak een brug te ver is voor veel kleine bedrijven. In apps/os stores zie je dit al veel beter hoevaak krijg je daar geen oauth app wil deze rechten te zien.

Men gebruikt dan netjes sso met azure/live/facebook/xboxlive/applegamecenter/google account
Het is jammer dat in 222 reacties, dit de enige is die een deel van de mogelijke oplossing noemt, namelijk OAuth 2.0 en OpenID Connect. Ook een gemiste kans dat het Tweakers-artikel niet op OpenID ingaat - en vooral de commerciëlen aan het woord laat.

Helaas ben ik geen specialist, maar voor zover ik het begrijp:
OAuth 2.0 kan regelen dat "partijen (zoals webwinkels) die je als klant niet met jouw paswoord / gegevens vertrouwt" toch bepaalde gegevens van je kunnen krijgen, van "partijen die je wel vertrouwt".

In het geval van de 100'en webwinkeltjes, is de flow bij OAuth 2.0 ongeveer als volgt:

-Ik koop iets bij webwinkeltje, webwinkeltje vraagt helemaal niets aan gegevens van mij,
-Ik kies mijn "authorisatie-provider", bijv Google,
-Ik log in op mijn authorisatie-provider,
-Authorisatie provider stuurt "persoon ingelogd, met sessie id: 3acx12b6" naar webwinkeltje,
-Webwinkeltje vraagt aan authorisatie provider: Mag ik adres klant .....?
-Authorisatie provider zegt: Nee! Ben je gek!
-Webwinkeltje zegt: Ja, maar ik heb de geheime code waarmee de klant toestemming gaf, namelijk 3acx12b6!
-Authorisatie provider zegt: Oh, ja, dat is echt de klant, hier heb je zijn adres!

Op deze manier zou de klant niet per se een hele rits gegevens hoeven afstaan aan het winkeltje. En belangrijker nog: Hij hoeft het winkeltje niet zijn "goeie zondagse" wachtwoord te geven, welke misschien ook wordt (her)gebruikt voor "kritischere" toepassingen.

Dus als 'klein webwinkeltje' wordt gehackt, worden er geen wachtwoorden buitgemaakt.

Als nou het webwinkeltje per transactie een unieke code verstrekt en registreert, zoals elders slim opgemerkt door (@litebyte ) bij de reacties, hoeven ze in principe je adres niet te bewaren. Voordeel voor 'webwinkeltje' zou zijn, dat ze snel "ADR-proof" kunnen zijn. Nadeel is dat ze je niet zo kunnen spammen ;)

OpenID Connect zorgt ervoor, dat 'webwinkeltje' niet alleen aan de authorisatie-provider kan vragen, wat mijn adres is (authorisatie), maar ook: "Is dit de persoon die die zegt te zijn?" (authenticatie). Dus op die manier, zou ik bij een webwinkel geen specifiek wachtwoord meer bij die webwinkel nodig hebben.

Wat is het probleem: De authorisatie-providers moeten uitwisselbaar zijn.
Het zou eigenlijk zo moeten zijn, dat ik kan bewijzen wie ik ben via Google, Facebook, Microsoft of mijn internet-provider. Persoonlijk zou ik altijd de laatste kiezen (mijn internet-provider), die zijn van de vier vaak het minst ervaren / hebben het minst capaciteit in het misbruiken van mijn data en inbreuk maken op mijn privacy (behalve wat wettelijk verplicht is).

Dus in het meest gunstige geval:
  • Weet mijn ISP waar ik woon,
  • Doe ik dikke middelvinger naar SSO van Google, Microsoft en Facebook, want 20 jaar IE5/6 en ActiveX heeft ons echt wel geleerd dat we geen vendor-lockin willen - en Cambridge Analityca heeft ons geleerd dat bedrijven zich laten betalen om ons stemgedrag te beinvloeden,
  • Krijgt 'webwinkeltje' mijn adres voor het versturen van pakketje, en verwijdert 't adres als 't pakketje op weg is. Daarmee zijn ze op een goedkope manier ADR-proof, hoewel ze wel stiekem mijn mail-adres kunnen bewaren om te spammen (als ze mijn expliciete toestemming hebben losgeweekt),
  • Slaat webwinkeltje een zelfbedacht klant-id op met het unieke transactie-nummer. Als ik ooit nog een keer inlog met OpenID, kunnen ze hopelijk aan de hand van mijn naam / adres achterhalen dat ik al een keer iets bij ze besteld heb.

[Reactie gewijzigd door kidde op 21 oktober 2019 23:36]

Het filmpje toont een mooi verhaal over externe authenticatie, niet alleen duidelijk maar het geeft ook meteen een bedenking;
Heel veel gebruikers lijken 'lui' te zijn. Resultaat: gebruikers klikken gewoon op 'prima, u mag alles van mij' en bedenken zich pas later dat de gegeven toestemming veel meer inhoudt dan gedacht.
Je ziet dit vooral terug bij cookie-schermen. Om er snel vanaf te zijn, klikken hele volksstammen gewoon 'akkoord'. Ik doe dit vaak niet, waarna ik in een heel uitgebreid scherm allerlei opties moet uitzetten, voordat ik een artikel kan lezen. (Het gaat dan vooral om media- en nieuwssites)

Ik verwacht, dat commerciële partijen die mij via Oauth 2 toestemming gaan vragen, meer zullen vragen dan ik wil geven. Die keuzes worden vervolgens niet opgeslagen voor een volgende sessie, maar ik moet bij een volgende sessie weer door hoepeltjes springen, tenzij ik alle toestemming geef. (Ik kan dit niet onderbouwen, maar die partijen moeten ook geld verdienen)

Het enige voordeel van Oauth 2 is dat er geen account of authenticatie informatie opgeslagen hoeft te worden bij 'winkeltje', waardoor datalekkage minder ernstig lijkt.
Verzendinformatie en bestelinformatie blijft namelijk wel gewoon in de databases van 'winkeltje' staan.
ik zou mijn provider toch mist vertrouwen...
Daar werken mensen die uit mijn omgeving kunnen komen. En daar is beveiliging niet direct hun selling point.
Doe mij dan maar google, die nog nooit data van mij heeft gelekt... En die mij gratis diensten weet aan te bieden dankzij de data die ze bewust van mij krijgen.
Zelfs als je hardware koopt te denken aan Razer producten bijvoorbeeld dan ben je verplicht om een account aan te maken anders werkt je product niet naar volle behoren. Ze zeggen mooi tegen jou: "Jouw profielen worden in de cloud opgeslagen", maar dit is maar een deel van de echte waarheid. Ze zijn naar mijn mening gewoon uit op jouw persoonlijke gegevens.

Te denken aan: Ben je een man of een vrouw, welke leeftijd, waar woon je en wat zijn jouw interesses zodat we doelgerichter onze producten/reclame aan de man kunnen brengen. Uiteindelijk draait alles om geld.

Bij de ABN Amro hebben ze vorige maand de identificatiecode laten verdwijnen voor pc gebruik, mogelijk omdat dit te fraude gevoelig systeem is. Nu kan je inloggen met een QR code of met de ouderwetse identifier.


Vorig jaar heb ik meegemaakt dat Google tegen me zei: "Goedendag, van harte gefeliciteerd met je nieuwe OnePlus telefoon" op mijn G-Mail account. Ik schrok daar erg van, want ik had geen nieuwe telefoon gekocht. In de mail kon je ook aangeven dat je het zelf niet was. Daarna begon de ellende...
Google heeft een wachtwoord manager en daar deed ik braaf mijn wachtwoorden opslaan. Google adviseerde mij om gelijk alle plusminus 200 wachtwoorden te veranderen.

[Reactie gewijzigd door aliberto op 21 oktober 2019 07:41]

Zelfs als je hardware koopt te denken aan Razer producten bijvoorbeeld dan ben je verplicht om een account aan te maken anders werkt je product niet naar volle behoren. Ze zeggen mooi tegen jou: "Jouw profielen worden in de cloud opgeslagen", maar dit is maar een deel van de echte waarheid. Ze zijn naar mijn mening gewoon uit op jouw persoonlijke gegevens.
Tijd voor een "cookiewet" voor fysieke producten?

Volgens de wet hebben we nu al het recht om voor aankoop inzicht te krijgen in de licentievoorwaarden en andere beperkingen die bij een product horen. Maar ik heb nog nooit iemand in een winkel gezien die 60 pagina's juridische tekst doorwerkt om te beslissen of een apparaat of applicatie goed omgaat met je privacy en geen gekke eisen heeft.

Misschien moeten we maar waarschuwingen of keurmerken op de verpakking laten printen, vergelijkbaar met "gezond" eten of tabak, zodat mensen in één oogopslag kunnen zien dat een product gebruikersdata nodig heeft (of dat nu deel is van de werking of voor marketingdoeleinden). Want lange lappen tekst lezen doen we toch niet. De meeste mensen hebben ook niet de juridische en technisch achtergrond om zo'n tekst echt te begrijpen.

Het risico is wel dat mensen snel afgestompt raken. Als alle pakjes sigaretten zo'n lelijke foto staat dan maakt het ook niet uit welk merk je koopt.
Tijd voor een "cookiewet" voor fysieke producten?
Fysiek of digitaal maakt in essentie niet uit.

De standaard hoort te zijn Privacy by default. De beste manier om dat te bereiken is door de economische drijfveer achter de data-honger weg te nemen. En de beste manier om dat te bereiken is simpelweg verbieden van doorgeven/doorverkopen van gegevens. Dit is vrij drastisch, maar alle andere maatregelen die je kunt nemen zijn alleen maar symptoombestrijding en bij lange na niet zo effectief.
Daarna begon de ellende...
Google heeft een wachtwoord manager en daar deed ik braaf mijn wachtwoorden opslaan. Google adviseerde mij om gelijk alle plusminus 200 wachtwoorden te veranderen.
Daar ligt wel de 'volgende kans' voor een password manager
automagisch alles importeren kunnen ze wel, maar op verzoek aanpassen zonder tussenkomst van de gebruiker nog niet

Google heeft tegenwoordig wel een koppeling met HIBP, en als je zwakke/gelekte wachtwoorden hebt, wordt je gewaarschuwd hierin
automagisch alles importeren kunnen ze wel, maar op verzoek aanpassen zonder tussenkomst van de gebruiker nog niet
LastPass kan dat voor enkele sites vanzelf. Dan opent de website in een nieuwe tab, en hebben ze alle stappen om een wachtwoord te veranderen gescript. Niet ideaal, maar het is een 1e stap.
Ja, een beetje een scraper-vibe krijg ik daarbij. Daar zou eigenlijk een opensource API voor moeten komen. Of een standaard generiek formulier in de websites. Wellicht beide.
Ja goed idee, een open source API waarmee derden jouw wachtwoord kunnen veranderen. Klinkt nu al superveilig!
Heb ik ook gehad, ''Gefeliciteerd met je nieuwe X telefoon". Je schrikt je rot.

Ik kon de telefoon tracken, waar de locatie was en dat was verdomd dichtbij mijn werk.
Na een paar dagen viel het kwartje, ik had BlueStacks geinstalleerd en die emuleerd blijkbaar een telefoon :+
Heb ik ook gehad, ''Gefeliciteerd met je nieuwe X telefoon". Je schrikt je rot.

Ik kon de telefoon tracken, waar de locatie was en dat was verdomd dichtbij mijn werk.
Na een paar dagen viel het kwartje, ik had BlueStacks geinstalleerd en die emuleerd blijkbaar een telefoon :+
Inderdaad, of zoals ik gedaan heb in het verleden .. telefoons van familie mee inloggen op mijn 'aankoopaccount'
dan konden ze de apps gewoon gebruiken, zonder alles 10x te moeten aanschaffen.

Nu met familie-delen is het een stuk handiger ingeregeld ( alleen kon je op mijn oude manier ook in-app gebruiken, terwijl dat nu de nek is omgedraaid bij familie delen
( dus kopen we minimaal 'in-app' zaken - wat dus vanzelf minder aankopen zijn, en meer adblocking )
Misschien moet de EU maar eens over gaan op drastische maatregelen: een verbod op accounts bij winkels. Dat is enerzijds de meest risicovolle hoek, maar juist ook een waar accounts totaal onzinnig zijn.
En als je de invulvelden drastisch terugbrengt, is het niet eens heel veel omslachtiger.
Wat heb je nodig om een bestelling te kunnen afronden? Naam, postcode, huisnummer, daarna naar iDeal en dat is het. Maak mail-adres optioneel en verwijder het na 45 dagen uit het systeem (dan zijn meeste retourrechten wel verlopen). Factuur direct na afrekenen als PDF download aanbieden.
Er zitten wel enkele grote voordelen aan die accounts. After sales gaan veel makkelijker, doordat adres gegevens niet elke keer weer opgevraagd hoeven te worden en verkeerd ingetikt worden (wat mij ook wel eens is overkomen). Als een aftersales medewerker een half uur extra aan mijn ticket moet besteden door het gebrek aan een account, kost dat al snel weer €30 ofzo (loon, huur, verzekering, etc). Toch lullig als het om een SD-kaartje van €10 gaat, waar ze er waarschijnlijk 200 van moeten verkopen om dat half uur weer terug te verdienen.
Prijsvechters zoals Megekko en Azerty, waar wij Tweakers waarschijnlijk veel gebruik maken, zullen een stuk duurder worden.
Let op; een account hoeft niet meer te zijn dan je mailadres.
Een wachtwoord is niet nodig; alleen elke keer dat je wil inloggen even op een linkje in je mail klikken.
Inderdaad, of een per transactie gegenereerde code die je kan gebruiken en losstaat van je email address of andere persoonlijke gegevens, maar wel aan je bestelling voor eventuele after services.
Goede discussie hier. Tuurlijk account heeft voordelen, maar wat meer dwang richting privacy by design is niet erg in deze. De standaard zou géén account moeten zijn, en de optie van een account pas aanbieden bij een tweede transactie. Voor aftersales zijn allerlei mogelijkheden zonder account: combi van fysieke code op pakbon met link in e-mail. Dan heb je ook een soort van tweetrap ingebouwd. Mocht één om wat voor reden ontbreken kun je altijd nog betaalbewijs of ID overleggen.
Dus hoe moet de winkel dan weten dat jij een tweede transactie doet? Met een account? Met cookies? Denk dat het AVG-technisch wel weer rompslomp en een moerasland wordt als je geen account wilt bij bestelling 1, maar de winkel wel van alles van je moet onthouden om je bij bestelling 2 alsnog dat aan te bieden.

Waarom zou je dan ook geen account willen bij Bol of Amazon?
+1Anoniem: 498327
@Jorgen21 oktober 2019 13:22
Ze weten dondersgoed of je tweede keer klant bent. Naam en adres?
Ik wil inderdaad geen account bij Bol (en ook niet bij Amazon, maar daar is het om heel andere redenen).
Bij bol maak ik dus bij volgende bestelling deze met email adres :tijdelijkbolaccount7@mijndomein_dot_tld.
En dat mailadres gaat na ontvangst in goede orde weer in vuilnisbak en klik ik "verwijder account".
Je weet dat dit véééél meer gedoe is dan wel een account hebben; dat je daarbij de voordelen van een account mist (zoals bestellingen inzien, snellere dienstverlening van de klantenservice, etc) én dat ze zoals je zelf stelt, toch wel weten wie je bent, d.m.v. je naam en adres. Dus waarom zo moeilijk doen dan?


En, dat was dus mijn stelling, als ze wel alles moeten onthouden, van mensen die "geen klant" zijn, want geen c.q. dummy account, dan krijg je nog steeds dat ze een profiel van je gaan bijhouden met gedoe voor hen met de AVG en voor jou om elke keer deze nutteloze cyclus te herhalen.

Ik zie dus werkelijk geen enkel voordeel hieraan.
Het enige dat van belang is voor de dienstverlening is het adres. Dus waarom zo moeilijk doen inderdaad
Plus bij Bol bewaren ze je bestellingen en dus ook je garantie, iets kapot even opzoeken in de bestellingen en aanmelden maar je hoeft zelf geen bon meer te bewaren, een service die je als je elke keer je account verwijderd moet missen
Bol geeft geen garantie. Dat doet de leverancier. Maar daar heb ik ook slechte ervaringen mee.
Sorry, dit was niet het onderwerp maar er wordt vaker afgedwaald.
Ik weet niet precies hoe Bol werkt, maar de verkoper moet jou garantie geven en kan doorverwijzen naar de leverancier.
snap dat je geen account wil bij die bedrijven, maar waarom telkens een nieuw email adres aanmaken?

is het omdat die bedrijven dat mail adres niet meer accepteren?
of om privacy redenen?

Maar je domein is toch al bekent? of gebruik je outlook of zo soort mail service. maar dat is wel heel veel werk om telkens voor 1 bestelling een mail adres aaanmaken.
Het is leuk om te zien waar spam op binnenkomt, weet je wie "lekt".
bol@mijndomein.nl als adres is dan al voldoende. Of wil je weten na welke bestelling precies zij het mail-adres hebben gelekt? En bol heeft nog nooit gelekt, al 15 jaar (of langer?) een account en op mijn bol adres komt nooit spam binnen. Wel op het halve voornamenboek@mijn domein trouwens, maar dat is een ander verhaal.

Ik snap goed je punt maar juist bij een shop waar je sowieso een fysiek adres moet achterlaten omdat je goederen wilt ontvangen (en die zij ook moeten bewaren i.v.m. belastingdienst) vind ik dat dan wel het slechtste moment om geen account aan te willen maken.
Ze weten dondersgoed of je tweede keer klant bent. Naam en adres?
Dan is je 'account' elke keer weg als je verhuist. En naam is zo ongeveer de minst betrouwbare wijze om in een database te zoeken. Dus dan zit je met grote problemen als een klant updates moet downloaden etc. Ook heb je grote veiligheidsproblemen omdat je geen email kan versturen om iets te verifiëren.

Mijn buren wonen met een groot gezin in een multi generatie huis. Drie vrouwen daar hebben dezelfde voor en achternaam en address. Hoe ga je dat oplossen?
Dat is al opgelost: Zelfde huis toch?
Dit dus. 9/10 keer dat ik ergens moet inloggen ben ik toch het wachtwoord vergeten. Dan heb je nog maar 1 account (voor je email), en die kan je dan goed beveiligen met 2FA en een sterk wachtwoord dat alleen in je hoofd zit.

Bij Paiq kan je nu al inloggen zonder wachtwoord. Dan sturen ze gewoon een linkje naar je email.

[Reactie gewijzigd door Wolfos op 21 oktober 2019 13:19]

Waarbij je e-mailadres dus je authenticatie is en daarmee eigenlijk dus gelijkstaat aan jouw wachtwoord.
Nee, want je moet toegang hebben tot het email account. Alleen maar het adres invoeren is niet genoeg.
Het probleem is dan wel dat je email een single point of failure wordt. De waarde om het account te kraken wordt dus vele malen hoger en ik heb tot nu toe nog nooit een online systeem gezien waar ik genoeg vertrouwen in heb dat het onkraakbaar is om alles onder te laten vallen.
Dat is het al omdat je nu altijd al een nieuw ww toe kan laten sturen.
Ik heb redelijk wat sites en programma's gezien die beveiligingsvragen hebben. Zei het met echte vragen. Of met overige informatie zoals je geboortedatum oid.

Daarbij komt dat er genoeg diensten zijn waar ik nu een junkmail voor aan zou maken die ik net zo snel weer vergeet. Als ik het wachtwoord voor iedere mail die ik voor een spel of gratis programma op zou zetten moet gaan onthouden puur om er mee in te kunnen loggen ben ik ook weer terug bij af.

Al met al zie ik het voordeel van alles op je e-mail gooien ook niet tegenover een goeie password manager. Generate. Copy. Paste. Klaar
Maar dat is e-mail altijd. Ik ken geen enkele website zonder de optie om je wachtwoord te resetten via je e-mail. Als je daar toegang toe hebt heb je tot alles toegang
Dat snap ik ;)

Ik bedoel dus dat een reactie vanaf jouw mailadres dus defacto het wachtwoord is /vervangt.
Totdat je mail account wordt gehacked. Dan ziet de hacker ook dat mailtje en kan vervolgens bestellingen doen onder jouw naam. Doordat de hacker dan inlogt met een unieke hash is het dan erg lastig voor jouw om te bewijzen dat jij de bestelling niet hebt gedaan..
En daarom beveilig je je mail wél met 2FA, dan heb je dat bij een webshop niet nodig. Maar hiermee ben je eigenlijk SSO in de basis aan het uitvinden :)
Op één plek veilig inloggen, die je door kan sturen naar andere plekken.
Helaas bieden lang nog niet alle mail providers ook 2FA aan..
Een account bij een webshop zonder naw-gegevens heeft niet zo veel nut wat betreft die aftersales. Dan heeft het alleen nut voor marketingdoeleinden. Zoals segmentering, kijken welke producten vaak samen worden gekocht, om zo marktsegmenten te onderscheiden. Waar de AH-bonuskaart of de OV-chipkaart super handig voor zijn.
Een link in je email, wat voor zin heeft dat bij het online shoppen?
ik ben het eens met je dat je email het enige is wat je nodig hebt.
en natuurlijk maak je gebruik van een betaal methode.
en auto aanvulling is daarbij echt geweldig.

je kan dan je email als verificatie kunnen gebruiken dat jij het bent.
ik vind persoonlijk heen en weer mailen beter.
beter als een ticket aanmaken om een probleem op lossen.
email was juist bedoeld voor dat soort dingen.
ze kunnen zelf ook net zo goed de gegevens in hun eigen systeem over zetten.
en dat systeem niet aan internet gekoppeld is.
zo kan men data aan de hand van email bijhouden.

het voordeel van een account is dat je reviews kan geven en kunt zien wat je in verleden besteld hebt enzo.
maar dat kan je natuurlijk ook terug vinden in je mails als je ze archiveerde in plaats van verwijderd.
Het probleem start als je een eigen domeinnaam hebt met daaraan een e-mailadres gekoppeld. Als het domeinnaam door een fout niet verlengd is of door gelijk welke fout in iemand anders zijn handen kan terecht komen dan ontvangt deze persoon vanaf nu de mails en is dus eigenaar van het account. Dit is al meerdere keren voorgevallen in het verleden. DNS aanvallen zijn ook gemeengoed tegenwoordig.
Als een aftersales medewerker een half uur extra aan mijn ticket moet besteden door het gebrek aan een account
Dan zit er iets mis bij de aftersales, want al die informatie kan ook direct in een order worden geplaatst. De meeste gegevens, zoals adresgegevens en facturatiegegevens, moeten daar sowieso al in staan. Enkel het telefoonnummer en misschien het geslacht zal overblijven.
Gelukkig hebben we hier in Nederland iDeal. Creditcard gegevens zijn een goudmijn voor criminelen. Als iemand mijn Sony account hackt kunnen ze niks kopen.
2fa op je cc instellen, opgelost. Tenminste ik kan dat. Krijg een code op een apart mobieltje en dat werkt prima.
Met bunq kan dit inderdaad. Ik weet niet welke banken nog meer.
Bij Rabobank ook standaard.
Moet de cc provider dat wel aanbieden he....

En hoewel de meeste providers die service wel aanbieden kan ik er met mijn corporate cc geen gebruik van maken omdat de inkoop afdeling in al haar "wijsheid" heeft besloten deze service niet te gebruiken.
Verbod op accounts gaat wel erg ver, er zitten namelijk ook voordelen aan (zoals al je rekeningen of contact met de webshop op 1 plek, quick check out, etc.). Maar verplicht winkels in ieder geval de mogelijkheid te bieden zonder account te kunnen bestellen.
Ik denk dat hij/zij eigenlijk bedoeld een verbod op een verplicht account bij online bestellen.
Nee dank je. Een verbod op het verplicht stellen van accounts om te bestellen, daar zou ik in kunnen komen. Anderzijds.... Ik kies zelf om ergens te bestellen of niet. Moet daarvoor een account aangemaakt en heb ik daar geen zin in, dan bestel ik toch ergens anders? (of ik maak met mijn spam-mailadres een account aan waarvan ik nadat de bestelling voltooid is vergeet dat het ooit bestaan heeft!).
Ik erger me ook rot aan al die verplichte accounts overal. Zelfs voor het downloaden van mp3’s met een code die bij een LP komt willen ze meestal nog dat je registreert. Waarschijnlijk om email adressen te kunnen verzamelen. Het enige dat ze hoeven te weten is of de code al eens gebruikt is of niet, niet welk email adres die bij gebruikt is.

Mijn eigen oplossing tegen verplichte accounts is om overal een ander email adres en wachtwoord te gebruiken. bedrijfsnaam@mijndomein.nl en klaar. Weet ik gelijk waar de spam vandaan komt, mochten ze dat in hun hoofd halen, en kan ik de alias meteen weghalen om van ze af te zijn. Wachtwoorden onthou ik sowieso niet. Wil ik er nog eens inloggen? “Forgot your password? Click here” :+ Ja, ik ben best een grootverbruiker van password reset functies.

Maar wat ik vooral ook doe om zoveel mogelijk accounts te voorkomen: zo weinig mogelijk online kopen. Ik heb sowieso een groeiende hekel aan alles wat digitaal is (omdat digitaal tegenwoordig synoniem met tracking geworden is), en je kunt online niet cash betalen. Er zit een winkelcentrum dichtbij. Dus lekker ophoepelen met je account en digitale betaling...
Contant geld, dat vind ik toch echt iets uit de vorige eeuw. Je moet continue bedenken of je voldoende contant geld hebt, als het op is, moet je naar een flappenautomaat, het duurt erg lang bij de kassa. Daarbij komt, je bent een makkelijke prooi voor overvallers en je weet nooit of het echt is (ja flappenautomaten wel, maar ik kan me genoeg winkels bedenken die niet controleren op echtheid) tenslotte, webwinkels accepteren het niet.

Webwinkels zijn in alle opzichten beter. Geen irritant personeel dat jou spullen aansmeert, een assortiment dat bestaat uit meer dan 3 artikelen van één categorie tegen normale tarieven , je hebt retourrecht (erg handig bij iets persoonlijks als een toetsenbord of een koptelefoon of zo) en ik gebruik google om uit te zoeken, waar ik iets koop. Bij een fysieke winkel moet je net het geluk hebben dat ze 't verkopen. (Ik heb meegemaakt dat ze geen fietsverlichting hadden bij de HEMA in Arnhem, bij de HEMA in mijn dorp hadden ze het gewoon)
Haha, wat een hoop kortzichtige opmerkingen in 1 reactie.

Ik hoef niet te bedenken of ik nog genoeg geld bij me heb. Als ik dat niet heb, kan ik altijd nog pinnen als last resort. Het een sluit het ander niet uit. Prooi voor overvallers? Met online aankopen ben je een prooi voor oplichters. Je moet altijd maar hopen dat die webshop waarbij je gekocht hebt het product daadwerkelijk gaat leveren. Of niet ineens failliet is. Want je geld is al weg, een ideal betaling krijg je nooit meer teruggestort zonder medewerking van het bedrijf. Of dan die oplichters op marktplaats... ik ben daar al meer geld kwijt geraakt dan aan boeven in de echte wereld.

Webshops hebben een paar voordelen, maar vooral ook nadelen. Ze zijn helemaal niet transparant. De opdringerige verkoper die je gewoon weg kunt sturen hebben ze vervangen door een onzichtbaar en onuitschakelbaar promotie algoritme om je duurdere producten te laten kopen. De helft van een webshop’s pagina vulling is reclame of verkapte reclame. Ze lijken een hoop keuze te hebben maar minstens de helft is meestal niet op voorraad en moeten ze nabestellen. Dan zit je soms weken te wachten, of krijg je na een week alsnog een nee. Producten in een echte winkel krijg je meteen mee. De lagere prijzen worden teniet gedaan door verzendkosten. En retourneren is veel makkelijker in een echte winkel. Daar heb je namelijk datzelfde recht maar kost het je niet nogmaals verzendkosten en daarna wachten tot ze het ontvangen en hopen dat ze je geld terug geven zonder gezeur. In een echte winkel geven ze direct het geld terug. Nee hoor, webshops zijn helemaal niet zo geweldig als je doet voor komen.
Om oplichting moeilijker te maken heb je PayPal. Als je bij de grote winkels bestelt (die zijn toch vaak het goedkoopst), heb je weinig te vrezen. Een bol.com, een Amazon, een Zalando, een Coolblue e.d. zijn morgen niet opeens failliet.

Het is altijd opletten geblazen. If it sounds to good to be true, it probably is... Grote shops zijn prima, die opscure webshop is inderdaad een risico, daar let je dus gewoon extra goed op. Marktplaats is een nest van paupers, daar zal ik inderdaad niet zo snel iets kopen. Verzenden is bij de grote shops altijd gratis, evenals retourneren. Daarnaast heb ik nog nooit langer moeten wachten dan een paar dagen, voordat ik iets thuis had. Ik heb niet het idee dat ik gestuurd word in mijn aankoopgedrag online. Offline heb je verkopers zonder enig verstand van zaken.
Retourneren is geen recht in een echte winkel maar een service.
Sorry, maar gelukkig spreek jij niet voor heel Europa. Ik vind het namelijk zelf heel gemakkelijk om bvb. een Amazon-account te hebben. Je kunt ermee contact houden met vendors, je historie inkijken, je adresgegevens opslaan en wenslijsten bijhouden.

I mean, technisch gezien zou je dan ook moeten gaan zeiken over Tweakers, want behalve voor DM historie heb je strict gezien ook geen account nodig voor de overige functies.
Ik zie wel wat in het semi-automatisch invullen van formulieren.

Een van de redenen waarom winkeliers graag hebben dat mensen een account maken, is dat het de volgende aankoop makkelijker maakt als mensen hun gegevens niet meer hoeven in te vullen. Belangrijk genoeg dat Amazon een patent heeft (gehad) op "1-click-shopping".
Ik zie de voor- en nadelen en snap dat winkeliers daar graag aan vast houden.

Een oplossing die het voor beide partijen nog makkelijker is, is wanneer je browser je helpt bij het invullen van dit soort formulieren. Die bestelformulieren bevatten immers altijd ongeveer dezelfde velden (zoals naam, postcode, adres en betaalmethode). Als je browser al die gegevens automatisch invult zodra je een betaling doet dan is het niet meer nodig om overal accounts te maken en hebben we toch het gemak.

Bijkomend voordeel is dat je informatie nooit verouderd. Als je verhuist dan hoef je het alleen aan je browser te vertellen en bij de volgende bestelling wordt automatisch je nieuwe adres gebruikt.

Ik heb dit overigens (gelukkig?) niet zelf bedacht en er zijn al API's en plugins voor geschreven die meer of minder intelligente pogingen doen om dit te regelen, maar voor zover ik weet is er nog geen genoeg doorgebroken om er praktisch veel aan te hebben.
Alsjeblieft niet zeg, geef mij gewoon de keuze en heel veel webshops hebben dat ook. Een webshop waar ik eenmalig of zelden iets bestel maak ik geen acount, webshops waar ik regelmatig bestel maak ik wel een account. Dankzij dat account kan ik eerdere bestellingen zien, facturen inzien/downloaden, bestellen zonder naw gegevens voor de zoveelste keer in te vullen enz enz.
Er zijn gelukkig al veel winkels waar je geen account hoeft aan te maken.
Winkels mogen wettelijk gezien alleen strikt noodzakelijke gegevens vragen (lees verplicht stellen). Voor het verzenden heeft men naam en adres nodig, maar of je een mannetje, vrouwtje (of mijn part een cavia) bent en welke leeftijd, dat is niet relevant.
Het vragen om een wachtwoord voor een account is discutabel. Strikt noodzakelijk is het alleen om alle gegevens weer snel te voorschijn te kunnen halen, maar of dat noodzakelijk is, is maar de vraag.
Een account kan handig zijn. Dan moet je je garantie bewijzen niet bij houden of zoeken. Als er iets stuk is stuur je het gewoon terug en zij zoeken jou garantie bewijs op en verwerken het. Al een paar keer vlot gebruik van gemaakt.
Wie gaat die omstel- en gemiste RoI vergoeden? Juist, de consument!
Misschien moet de EU maar eens over gaan op drastische maatregelen: een verbod op accounts bij winkels. Dat is enerzijds de meest risicovolle hoek, maar juist ook een waar accounts totaal onzinnig zijn.
En als je de invulvelden drastisch terugbrengt, is het niet eens heel veel omslachtiger.
Mogen we misschien zelf kiezen wanneer we gebruik willen maken van ordergeschiedenis en verlanglijstje?
Wat heb je nodig om een bestelling te kunnen afronden? Naam, postcode, huisnummer, daarna naar iDeal en dat is het. Maak mail-adres optioneel en verwijder het na 45 dagen uit het systeem (dan zijn meeste retourrechten wel verlopen). Factuur direct na afrekenen als PDF download aanbieden.
Het is volgens Wet op de Omzetbelasting en de Uitvoeringswet Omzetbelasting verplicht om alle aan een betaling gerelateerde gegevens zeven jaar te bewaren.
https://vantill.nl/hoe-lang-mogen-of-moeten-persoonsgegevens-worden-bewaard/
https://www.avgdashboard.nl/wettelijke-bewaartermijnen/

[Reactie gewijzigd door ThaJay op 22 oktober 2019 14:51]

Ik begrijp het 2FA gebeuren maar op het werk is het een beetje uit balans... iedere keer ik m'n PC opstart moet ik 37 keer het ganse 2FA proces doorlopen, iedere applicatie vraagt namelijk opnieuw om user/paswoord in te geven en dan ook nog eens een 2FA code. Het zou handiger zijn moest ik dit eenmaal kunnen doen bij de Windows login en daarna SSO gebruiken.

Als security een hoopje frustratie wordt mist het wat mij betreft z'n doel (en het 2FA gebeuren is nog maar het tipje van de ijsberg, deftig gebruik maken van zelfs een mail of kalender van het werk op je mobile is er al lang niet meer bij).

En dan te weten dat het overgrote deel van de werknemers gewoon op de eerste de beste link klikt wat een veel groter risico is !
Ook de sso moet vaak bij (bijna) elke applicatie opnieuw ingegeven worden. Bij mij op het werk tenminste wel.
Windows en Outlook snappen elkaar (duh...), maar intranet, het inkoop systeem, de (3rd party) cloudopslag... single sign-on is niet hetzelfde als één keer inloggen, helaas.
Dat komt omdat dat geen single sign on is maar Same sign on.

Ja wie heeft dat verzonnen om sso 2 betekenissen te geven.

Singel sign on via oath verijst geen user interactie mist oauth correct is geimplementeerd en je eigen adfs domain server de laatste trusted party van de chain is.
Waarschijnlijk ondersteunen niet alle applicaties dus oath.
Klinkt inderdaad beetje doorgeslagen.

In mijn visie hoort het zo te zijn dat je kijkt naar welke gegevens iemand nodig heeft om een taak te kunnen uitvoeren. Op basis daarvan bepaal je welk beveiligings/authorisatie-niveau daar bij hoort.

Je kunt dan wanneer je werkdag begint gewoon met SSO in alle applicaties inloggen. Zodra je echter een taak gaat uitvoeren worden de nodige checks uitgevoerd en indien nodig moet je dan jouw 2FA gebruiken en word het authorisatie level tijdelijk naar het benodigde niveau verhoogd.
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken. Wat nog erger is is dat meeste sites ook geen ophef mogelijkheden heeft (ook Tweakers niet). Op een hoop sites zou ik me definitief willen afmelden maar dat gaat dus niet zo maar.

Single sign on zou ik prima mee kunnen leven. Kan Google me nog beter volgen :).
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken. Wat nog erger is is dat meeste sites ook geen ophef mogelijkheden heeft (ook Tweakers niet). Op een hoop sites zou ik me definitief willen afmelden maar dat gaat dus niet zo maar.
AV - sectie 12.2
12.2 Door het Lid geplaatste Content kan bij de opheffing van het Account niet worden verwijderd. Tweakers.net zal de aan het Account gekoppelde persoonsgegevens anonimiseren zodat de Content niet langer naar het Lid herleidbaar zijn.


Tweakers heeft wel een mogelijkheid om op te zeggen.
Jouw data wordt verwijderd, en je username geanonimiseerd

posts daarentegen blijven staan, want daar ben je vooraf me akkoord gegaan, bij plaatsen.

Het zou een raar antwoord worden, als jou schrijfsel hierboven ineens verdwenen zou zijn
[...]

Het zou een raar antwoord worden, als jou schrijfsel hierboven ineens verdwenen zou zijn
Nee!
Dat is precies wat je vraagt. Wat een dictatuur dat een bedrijf bepaalt dat je niet kan wissen.
Het feit dat je ooit akkoord ging is geen rechtmatigheid voor eeuwigdurende gijzeling van je data.
Het is ook een deel haalbaarheid.
Als iemand een verzoek doet om zijn data te verwijderen en dat zou tot in de oneindigheid nagestreeft moeten worden, zouden ook alle backups e.d. nagegaan moeten worden en alle data uit databases krijgen zonder relationele fouten te krijgen kan nog ingewikkeld zijn afhankelijk van de data. (zoals freshmakers voorbeeld, dan mis je opeens posts in een discussie)
Dus ja, helaas zal er altijd een beperking zijn bij het verwijderen van je account
men moet zich eerder eens beseffen dat je niet zomaar alles het internet op moet gooien en dan verwachten dat een ander het oplost als je er spijt van krijgt...
zouden ook alle backups e.d. nagegaan moeten worden
Euh, ja, dat moet dan ook. Weghalen betekent ook écht weghalen. Daarom wordt het ook niet al te gemakkelijk gemaakt om een dergelijke procedure te initiëren. Dat tweakers posts niet weghaalt is ivm het publieke belang van het in stand houden van de discussies, niet omdat het technisch lastig is.
Werk je zelf met backups?
Iets met tapes en veilig opslaan en weet ik het allemaal.
Denk je dat bedrijven hun tapes uit de kluis gaan halen bijvoorbeeld omdat jij je bedenkt over iets wat je hebt geroepen waar je spijt van hebt?
Projecteer dit eens op fysieke media? Stel je stuurt een artikel in en dat wordt geprint en achteraf was dat niet zo handig, wat verwacht je dat daarmee gedaan wordt?
Ik ging wat kort door de bocht. Het hoeft niet actief uit backups gehaald te worden, maar je restore-procedure moet er wel op ingericht zijn dat die data niet wordt teruggezet: https://blog.iusmentis.co...an-oude-persoonsgegevens/
Het is ook een deel haalbaarheid.
Als iemand een verzoek doet om zijn data te verwijderen en dat zou tot in de oneindigheid nagestreeft moeten worden, zouden ook alle backups e.d. nagegaan moeten worden en alle data uit databases krijgen zonder relationele fouten te krijgen kan nog ingewikkeld zijn afhankelijk van de data. (zoals freshmakers voorbeeld, dan mis je opeens posts in een discussie)
Dus ja, helaas zal er altijd een beperking zijn bij het verwijderen van je account
men moet zich eerder eens beseffen dat je niet zomaar alles het internet op moet gooien en dan verwachten dat een ander het oplost als je er spijt van krijgt...
Backups zijn een behoorlijk lastig onderwerp voor de GDPR/AVG. Gelukkig eist de wet inderdaad niet dat je backups aanpast, dat zou te hard conflicteren met de IT basis-regel dat je nooit iets aan je backups mag veranderen. Maar als je zo'n backup terug zet moet je er voor zorgen dat verwijderde data niet terug komt, en dat is makkelijker gezegd dan gedaan want je kan geen lijstje bijhouden van te wissen data. Je hebt immers net de vraag gekregen om alle informatie over die persoon te wissen. Je mag dus niet zeggen "alle posts van Jantje weggooien" maar zal op een of andere geanonimiseerde manier moeten vastleggen welke records uit je database aangepast moeten worden (bv "regel 3 en regel 7 wissen").

Dat is dus alleen maar zo omdat het te moeilijk zou zijn om met terugwerkende kracht 30 jaar aan backups te gaan analyseren. Als je de mogelijkheid hebt om de bakups wel (gedeeltelijk) te wissen dan heeft dat de voorkeur. Bij het ontwerpen van een een nieuwe applicatie of database zouden we daar voortaan rekening mee moeten houden. Stel je datamodel bv zo op dat alle GPDR-gevoelige informatie geisoleerd wordt van de rest en via een anonieme key gekoppeld wordt. Bij een verwijderverzoek hoef je
alleen de persoonsgegevens te verwijderen en dan is de rest van de data niet meer terug te leiden naar die gebruiker.

Een ander idee is om iedere gebruiker z'n eigen database of tabel te geven en die in een apart bestand weg te laten schrijven. Bij een verwijderingsverzoek kun je dan heel gericht die bestanden verwijderen zonder aan de data van andere gebruikers te komen.
Maar als je zo'n backup terug zet moet je er voor zorgen dat verwijderde data niet terug komt, en dat is makkelijker gezegd dan gedaan want je kan geen lijstje bijhouden van te wissen data. Je hebt immers net de vraag gekregen om alle informatie over die persoon te wissen. Je mag dus niet zeggen "alle posts van Jantje weggooien" maar zal op een of andere geanonimiseerde manier moeten vastleggen welke records uit je database aangepast moeten worden (bv "regel 3 en regel 7 wissen").
Je kunt tijdens een restore inderdaad niet filteren op "alle posts van Jantje weggooien". Maar je zou toch kunnen filteren op "alle posts van account 5796485 weggooien"? Op je actieve systeem bestaat er tenslotte geen link meer tussen dat account nummer en Jantje zodat het niet herleidbaar is naar de persoon.
Zo had ik een keer mijn facebook account terug, die ik een jaar of 5 daarvoor had laten verwijderen. Ook waarschijnlijk ergens van een backup teruggehaald door facebook.
Ik kwam erachter doordat familieleden ineens vriendschap verzoeken kregen van mij (mijn account dus).
Klinkt als moeilijk, dus doen we het niet. Ik betwijfel het.
Als ik rechtsboven bij berichten en notificaties kijk, zie ik dat er wel degelijk geïndexeerd wordt op mijn accountnaam. Dus een wis actie is niet veel extra.
Een post missen in een discussie is juist wat de vraag is, dus geen reden om het niet te doen.
Backup wissen is inderdaad moeilijk, maar er zijn vast nu ook al scripts die na een restore gedraaid worden om de inhoud na de restore bij de tijd te brengen.

Ik blijf het absurd vinden dat het copyright/eigendomsrecht niet gehonoreerd wordt met technische kul redenen. Ook Tweakers zal zich aan de wet moeten houden als bedrijf.
(en ja onleesbaar is het resultaat, en nee ik wil mijn gegevens nu niet wissen maar wel het recht helder hebben voor de posters)
Het feit dat je ooit akkoord ging is geen rechtmatigheid voor eeuwigdurende gijzeling van je data.
Nou ga ik toch wel redelijk ver als het gaat over zaken als privacy en dergelijke, maar hier ben ik het helemaal niet mee eens. Discussies in de forums en nieuwsberichten is het bestaansrecht van sites als Tweakers. Het is *essentieel* dat de informatie niet zomaar verdwijnt, anders kun je de site beter opdoeken. Dit is de reden van de artikel 12.2 en waarom je gevraagd wordt er mee akkoord te gaan.

Dit is dus een van die gevallen waar de houding "Wil je dat niet? Moet je niet meedoen." een terechte is. Anonimiseren + de mogelijkheid je berichten aan te passen als je eens een blunder begaat is gewoon voldoende en netjes. Niet alle privacy issues kun je op het bordje van bedrijven leggen, je hebt zelf ook nog een verantwoordelijkheid.
Dat is te kort door de bocht. Je weet namelijk simpelweg niet welke koers bijvoorbeeld Tweakers gaat volgen over X aantal jaar. Wie weet wat ze dan met de forumbijdragen gaan doen. Ik noem eens wat hypothetisch. Ze gaan dagelijks de stomste dingen die reageerders hebben gezegd in de afgelopen 10 jaar op de frontpage plaatsen met nickname erbij. (jaja hypothetisch geval), dan moet je wel de mogelijkheid hebben om te kunnen zeggen, jahh je houd je wel aan alle AVG regels en bepalingen enzo, maar dit was niet de intentie bij het akkoord gaan. Ik trek dus mijn toestemming in en wil dat al mijn data verwijderd wordt.

[Reactie gewijzigd door rvl1980 op 21 oktober 2019 12:19]

Er is ook nog zoiets als redelijkheid. Jij beroept je nu op een hypothetisch geval waarin Tweakers onredelijke dingen gaat doen. Daar is het hypothetische antwoord op "dan heb je altijd de rechter nog".

Daarnaast is redelijkheid subjectief. Het maakt niet uit wat Tweakers doet, er zijn altijd wel een paar mensen die het onredelijk vinden, en dat een valide reden vinden om te eisen dat al hun berichten verwijdert worden. Dan wordt dus de vraag "wie bepaald wat redelijk is". Antwoord: als je er samen niet uitkomt, uiteindelijk de rechter, zoals altijd.
In dat licht is de uitgangspositie dat berichten geanonimiseerd blijven staan, een alleszins redelijke balans tussen de belangen van het individu en die van de website en de community.
LOL. Er is geen hond die artikel 12.2 gelezen heeft bij zijn aanmelding voor een account. Geen excuus maar wel realiteit.
De wet vereist een "vergeet me" mogelijkheid, niet alleen voor FB en Google maar ook voor Tweakers.
En dan krijg je een oude discussie waar om de 3 berichten alleen maar *verwijderd* staat, en je op basis van halve quotes (mogen die dan wel blijven staan, onder quote-recht?) en nu-zinloze reacties moet concluderen dat je hier niks meer van leert.
Ik heb wel fora gezien waarbij mensen actief al hun oude berichten weggooiden, dat is totaal onleesbaar.
Ik ben blij dat Tweakers gewoon dingen laat staan.
Ja dat is pech hebben. Maar privacy is belangrijker dan het feit dat mensen een forum discussie van 5 jaar geleden kunnen volgen tot op de laatste letter. Er os toch ook geen verplichting om websites met informatie altijd online te houden? Ik heb vaak genoeg gehad dat ik een bepaalde site een keer bezocht om wat informatie eraf te halen, maar dat het artikel al verwijderd was. Dat is identiek. Er is geen enkele reden om verplicht te zijn om bijdragen van gebruikers altijd online te houden.
Ja dat is pech hebben. Maar privacy is belangrijker dan het feit dat mensen een forum discussie van 5 jaar geleden kunnen volgen tot op de laatste letter. Er os toch ook geen verplichting om websites met informatie altijd online te houden? Ik heb vaak genoeg gehad dat ik een bepaalde site een keer bezocht om wat informatie eraf te halen, maar dat het artikel al verwijderd was. Dat is identiek. Er is geen enkele reden om verplicht te zijn om bijdragen van gebruikers altijd online te houden.
En dat maakt dan het bestaansrecht ineens minder, want zo'n forum bezoek ik nooit meer.
Net zoals fora waar je moet registreren om 'plaatjes' te mogen bekijken.
Loop je door een postlijst vol met 'klik hier' linkjes, die naar de login/registratie pagina gaan.

Die hebben aan mij geen reclame inkomsten
Je mist mn punt. Ik heb vaak genoeg sites gezien waar ik normale informatie vanaf wilde halen. Noem eens wat volkskrant.nl. Maar die artikelen van 5 jaar geleden waren al verwijderd. Dat vind ik vrij normaal. Waarom zouden fora-berichten tot in het eind der dagen bewaard moeten blijven, zeker als de orginele poster van die berichten zichzelf heeft bedacht over hetgeen hij gezegd heeft. Het moet voor ieder mogelijk zijn om informatie van zichzelf te verwijderen. Dat pietje of jantje dan een forum thread moet lezen die een stukje minder leesbaar is geworden is niet mijn probleem. Maar wat ik zeg, dat is de normaalste zaak van de wereld. Normale websites (lees: geen fora) verwijderen ook artikelen, die informatie is ook weg na verloop van tijd, die kan pietje of jantje ook niet meer lezen. Sterker nog, ik kan hier ook berichten plaatsen en ze daarna wijzigen. Ik kan al mijn berichten hier 1 voor 1 weghalen.
Ik heb het met de originele sat4all fora vaak gehad, en op een paar duitse omgevingen
Zoek je op een bepaalde techniek, destijds filmnetkaartjes voor de schotel ontvangst )

Kreeg je een beschrijving over apparatuur en de werking, maar uiteindelijk miste er comments over ( cruciale ) foutmeldingen / oplossingen
Ben je vaak een uur bezig met filteren, voor je een simpel / doeltreffend antwoord hebt.

Om terug te komen op je privacy-opmerking, de AVG is simpel, als het bedrijf kan aantonen dat bepaalde data noodzakelijkerwijs bewaart moet worden, krijgt men gewoon de toestemming ( al dan niet met beperkende voorwaarden, zoals een niet herleidbare usernaam, zoals Tweakers doet )
Dat heet geen dictatuur dat is juist vrijheid
Wat eigenlijk een wassen neus is, want zodra je ergens maar een linkje/post plaatst waar je naam/site in staat, is er niks meer anoniem. Helemaal als iemand jou quote kun je fijn onder de "anonieme" post teruglezen wie het was.
Bedankt. Zover had ik nog niet gezocht maar ik hoopte eigenlijk dat een account opheffen mogelijk was via een makkelijke menu optie. Bij 'Metacritic' en 'Green Man Gaming' is het me met enige moeite gelukt om mijn account verwijderd te krijgen maar dat ging pas na een paar keer een email heen en weer sturen. Een Microsoft account verwijderen was makkelijker.
Problematisch inderdaad dat voor elke aankoop op een nieuwe site je tegenwoordig eerst een account moet aanmaken.
Dit klopt niet. Je ziet juist meer en meer sites waar je als "gast" kan bestellen zonder een account aan te maken en waar een account slechts een optie is om bijvoorbeeld rekeningen en bestelhistorie in te kunnen zien.
Voor vage websites heb ik tegenwoordig een ander email adress aangemaakt. Daar mag al dit soort spam (want dat is het) heen. Dus als ik ergens een account nodig voor hebt en ik zelf niet wil dat mijn primaire gegevens nodig zijn dan gebruik ik mijn dummie mail. En die vul ik gewoon met wat random gegevens in.
Ik heb een eigen domein met catch-all. Ik gebruik voor ieder account een uniek emailadres, meestal in de vorm van bedrijf@mijndomein.nl. Dat was bij Samsung een probleem, blijkbaar is "samsung" een verboden woord in je emailadres |:(.

Een andere mogelijkheid is het gebruik van het + teken. Het protocol schrijft voor dat alles vanaf de + genegeerd moet worden, en oa gmail ondersteunt dat ook goed. Jammer genoeg wordt een dergelijk emailadres niet altijd geaccepteerd.
Dit is inderdaad handig, en als er iemand je gegevens loopt te lekken dan weet je ook gelijk bij wie je moet wezen met klachten :D
dit werkt super, ik heb een paar aliassen moeten opofferen (die verwijzen nu naar null), maar mijn inbox blijft schoon.
Paar jaar geleden ook overgestapt op een soortgelijk systeem. Heb nog niet meegemaakt dat een bedrijf of dienst het niet toestond, wel vreemde blikken van monteurs aan huis die de factuur mogen sturen aan hunbedrijf@mijndomein.tld. :P
het gaat al zover dat als je bouw-speelgoed koopt dat je 2 bouwtekeningen krijgt en een 3e als je 'even' registreert met echt al je prive data. Dan maar 2 bouwtekeningen voor de kids hoor.

Maar inderdaad ik werk net als jij een beetje, simpele fora een simpel wachtwoord tot unieke wachtwoorden voor bank, digid en mail. Sommige zaken ook via 2FA via SMS of app (Steam bijv.).

Op de zaak is de VPN inmiddels ook een 2FA die bevestigd moet worden via een app op de telefoon dat jij probeert in te loggen.
Steeds meer diensten ondersteunen 2fa maar helaas zijn er ook steeds meer die dat doen via een eigen app. Het liefst zou ik al mijn 2fa tokens onderbrengen in één app, bv authy of bitwarden, maar dat kan dus niet bij o.a. steam en battle.net waar ik moet kiezen tussen een extra app of onveilige sms protect opties. Altijd nog beter dan niets maar het gebruiksgemak is er niet per se mee gediend.

Bij webshops is het mijn ervaring dat er juist steeds meer zijn die me zonder een account laten bestellen. De browser kan eventueel adres- of cc-velden invullen, al ben ik daar dan weer niet direct fan van.
Ik heb op onder andere footlocker, voordeeldrogist en notino zonder account besteld. Besteld als gast. Ze zijn er dus wel.

[Reactie gewijzigd door desalniettemin op 21 oktober 2019 14:04]

Had in 2015 (pfieuw 2015 alweer) een systeem bedacht dat accounts bij o.a. webshop e.d. niet nodig heeft om een aankoop te kunnen doen en tevens om te voorkomen dat bij een inbraak bij een webshop gegevens op straat kunnen komen te liggen. Tevens kun je met het systeem overal betalen (op internet én in winkels, overal dus, lekker shoppen alles door elkaar als je wilt) en gaat koopfraude tegen (iets waar een bank geen waarborg voor heeft). Zie ook het cool.com.co voorbeeld bij de link bovenaan. Het is een systeem dat authenticatie via twee ingangen doet elders ipv vanuit één punt etc. Gek, blijkbaar was het niet interessant genoeg en nu zijn de problemen er nog steeds. Nog steeds overal aan moet melden, nog steeds fraude, nog steeds lekken, bizar.

[Reactie gewijzigd door codebeat op 21 oktober 2019 15:37]

Is ook zo met acties voor treinkaartjes (dagkaarten vaak). Ik koop nu en dan een dagkaart bij een actie in de lokale Kruidvat/Albert Heijn, maar dit soort acties is ook vaak online bij een bepaalde website waarbij je een account aan moet maken voordat je een kaartje kunt kopen. Slechte ontwikkeling imo.
SSO = Single point of failure :)
Ik mis nog een volgende stap eigenlijk. In plaats van een paswoord manager helemaal geen paswoorden meer gebruiken.

Sidns paswoord managers is een paswoord toch een random string. Maar het gebruikt nog steeds een door mensen in te typen wachtwoord. Waarom dan niet gewoon een crypto handshake met een token die nog veel langer is. De software is er nu nog niet klaar voor, maar dat is al in ontwikkeling, zie Fido2 met CTAP in passwordless mode. Of smartcard logins die bedrijven vaak gebruiken. Voor onze beheeraccounts op het werk kunnen we niet eens meer een paswoord gebruiken.

Een paswoord manager is eigenlijk een soort workaround om een moderne authenticatie in een systeem te proppen dat bedoeld is om op een oude manier te werken (paswoorden). Ik zou liever gelijk doorgaan naar de beste oplossing.

Je hebt nog wel een PIN code op je token (vergelijkbaar met een pinpas) en moet hem aanraken ter bevestiging. Je kan meerdere tokens (of ingebouwde authenticatiecodes in apparaten) bijv. aanmelden.

[Reactie gewijzigd door GekkePrutser op 21 oktober 2019 09:49]

Helaas zijn er nog heel veel mensen en systemen die dat soort handshakes niet kunnen toepassen. Een wachtwoord manager is compatibel met ouderwetse mensen en systemen en een wachtwoord van 12 tot 16 tekens geldt nog als vrijwel onkraakbaar.
1024 bit challenge response authenticatie moet nog even op zich laten wachten.
Inloggen via een derde vind ik ook wel handig, zoals nu met Facebook, Google en Apple kan. Welke is natuurlijk persoonlijk, maar scheelt je veel wachtwoorden onthouden.
Dan toch veel liever een wachtwoordmanager. Als je met random gegenereerde wachtwoorden werkt van voldoende karakters is de functionaliteit van een wachtwoordmanager praktisch exact hetzelfde als SSO via die bedrijven, maar je zit ten minste niet met die rot tracking en datamining overal waar je inlogt.

[Reactie gewijzigd door Joecatshoe op 21 oktober 2019 06:55]

Ik gebruik bitwarden. Heeft ook 2 staps.
Jup, 1 tientje in het jaar erbij en je heb FIDO U2F integratie (waar de Yubikeys ook gebruik van maken.) Prachtproduct dat Bitwarden.
Totdat je bijvoorbeeld weggaat bij Facebook, dan kun je al je accounts gaan overzetten. Dit had ik toen met Spotify, gelukkig waren ze zeer behulpzaam met het migreren van mijn account.
Dat vond ik met Hyves ook zo handig

Alleen stopte Hyves .... dus ook mijn toegang tot derden.

Nee, liever een standalone PW manager, en database in eigen beheer.
SQRL
Dit zou zeker iets zijn (zeker voor Tweakers.net)
Steve Gibson Explains SQRL
https://www.youtube.com/watch?v=UKR7G2xZoGI
SQRL is sinds 2013 nooit van de grond gekomen. WebAuthn/FIDO2 wordt ondertussen aardige stappen mee gemaakt:
- Windows 10 devices met TPM 2.0 (verplicht sinds 28 juli 2016) zijn FIDO certified.
- Android devices geleverd met versie 7+ (de CDD stelt een TEE verplicht): nieuws: Android krijgt FIDO2-certificering voor inloggen zonder wachtwoord en is straks ook bruikbaar voor je laptop/desktop: nieuws: Google laat Android-gebruikers hun telefoons inzetten als beveiliging...

Fingers crossed dat Apple snel volgt - er zijn al wel wat aanwijzingen op de Webkit bugtracker voor iig macOS.

[Reactie gewijzigd door Rafe op 22 oktober 2019 13:17]

Preach! Ik verwachtte (half) een verwijzing naar SQRL in dit artikel. Lost veel van de genoemde problemen op.

Ik hoop echt dat dit doorbreekt. Kan me voorstellen van wel als je ziet hoe makkelijk ze het gemaakt hebben.
Ik hoop echt dat dit doorbreekt. Kan me voorstellen van wel als je ziet hoe makkelijk ze het gemaakt hebben.
Ik hoop het niet.
Various SQRL clients and server components currently exist for Windows, Linux & macOS (with WINE), Android, iOS, Chrome, Firefox & Edge.
je zit weer vast aan client software (vendor lock-in), en ze kunnen niet eens de moeite nemen een Linux en Mac client te schrijven ("ga maar wine gebruiken"). Weg hiermee...
Of je leest de hele documentatie.

Het protocol is af, de clients nog niet. De spec is open source en de client dus ook. Geen lock-in etc.

Dat de eerste test clients niet geschreven zijn voor linux kun je de ontwikkelaars niet afrekenen, het grootste deel van de testers gebruikt nu eenmaal windows, ios en android.
Belgar snapt het. Wanneer SQRL groter wordt komen er ook clients voor Linux.

Er zijn echt veel voordelen van SQRL.

Bijvoorbeeld dat een website jouw credentials kan lekken zonder dat iemand daar iets mee kan. "Jouw credentials" zijn namelijk een (per site gegenereerde) public key.

Er wordt ook gesproken hierboven over de irritatie van sommige dat ze voor (bijna) elke webshop verplicht zijn een account aan te maken. Ik vind dat soms ook vervelend. Moet ik deze weer toevoegen aan m'n password manager. Ben je vaak toch weer eventjes mee bezig. SQRL maakt het makkelijker en sneller om een account aan te maken.
SQRL is interessant maar heeft een belangrijk issue; het verplaatst het beschermen van de authenticatie informatie naar de hardware van de gebruiker. In veel gevallen is dat juist een van de meer zwakke plekken.
Het stelen van de hardware an sich geeft je nog steeds geen toegang tot iemands account. Wat dat betreft ben je dus niet slechter af dan met SMS/authenticator 2-factor en iemand steelt je telefoon.

Je gaat er dus niet echt op achteruit, maar je hoeft niet 100-en accounts te onthouden. Wat dat betreft is een dergelijk systeem wat mij betreft een vooruitgang.

Bovendien houdt niets je tegen om ook hier een 2nd factor toe te voegen.
Ook wel relevant in deze discussie is de komst van kwantumcomputers. Alles dat nu met een 'gewone' computer goed geëncrypt opgeslagen is kan straks door een kwantum computer zo gelezen worden... Hedendaagse encryptie is voor een kwantum computer echt kinderspel. Dus vele bedrijven slaan nu gewoon allerlei data op welke encrypted is. Kunnen ze nu niks mee. Maar als straks de kwantum computers komen kunnen ze alles zo uitlezen. Zitten we nu een beetje moeilijk te doen met wachtwoorden... :/
Ook wel relevant in deze discussie is de komst van kwantumcomputers. Alles dat nu met een 'gewone' computer goed geëncrypt opgeslagen is kan straks door een kwantum computer zo gelezen worden... Hedendaagse encryptie is voor een kwantum computer echt kinderspel.
Bullshit. Wat jij bedoelt asymmetrische encryptie, wat misschien, ooit in de toekomst kwetsbaar kan worden voor kwantumcomputers. Maar dat is hier niet aan de orde. Symmetrische encryptie (AES, TwoFish, Kuznyechik, Salsa20, Serpent, enz) is niet kwetsbaar voor kwantumcomputers.

Bovendien wordt er voor het opslaan van passwords sowieso geen encryptie gebruikt, maar hashing. Of een verzwaarde variant daarvan (omdat hashes zo snel mogelijk zijn en het voor password hashing beter is als het meer tijd/rekenwerk kost) zoals PBKDF2, scrypt, bcrypt, Argon2, enzovoort. Ook die zijn allemaal niet kwetsbaar voor kwantumcomputers.
Dus vele bedrijven slaan nu gewoon allerlei data op welke encrypted is. Kunnen ze nu niks mee. Maar als straks de kwantum computers komen kunnen ze alles zo uitlezen. Zitten we nu een beetje moeilijk te doen met wachtwoorden... :/
Nee dus, bangmakerij. Mits encrypted met fatsoenlijke passwords kunnen ze er ook met een kwantumcomputer straks nog steeds niks mee.
Is dat zeker?
Weten we nu al zeker wat een quantum computer wel of niet gaat kunnen? Is een serieuze vraag, ik weet er niet veel van.
Ja, sterker nog, het is niet zeker of een quantum computer het ook echt zal kunnen. Maar er is wel een theoretische bovengrens aan wat zij, in een theoretisch toekomstig best case scenario (best case qua kwantumperformance) kunnen in bepaalde situaties.

Dingen zoals Merkle-Damgård hash constructies (zoals de Sha256/Sha512 verianten) brute forcen kan met een kwantumcomputer hooguit in een wortel van de search space van conventionele computers. Dat is weliswaar een *gigantische* verbetering.. maar alsnog verreweg niet genoeg. Een hash brute forcen in een biljoen jaar in plaats van een quadriljoen jaar, is nog steeds onbruikbaar :-)
Luister het Nerdland maandoverzicht van oktober. Serieuze wetenschappers icm veel ongein. Leggen het haarfijn uit dat veel hedendaagse encryptie straks met kwantumcomputers gewoon gekraakt kan worden.... Wachtwoord kan dan wellicht niet gekraakt, maar de onderliggende geëncrypte data wel. Dus wachtwoord kraken is dan helemaal niet nodig. Zie ook https://www.ncsc.nl/docum...t-postkwantumcryptografie
@Jace / TBL , helaas dus geen bangmakerij, maar een serieus zorgpunt...
Luister het Nerdland maandoverzicht van oktober. Serieuze wetenschappers icm veel ongein. Leggen het haarfijn uit dat veel hedendaagse encryptie straks met kwantumcomputers gewoon gekraakt kan worden.... Wachtwoord kan dan wellicht niet gekraakt, maar de onderliggende geëncrypte data wel. Dus wachtwoord kraken is dan helemaal niet nodig. Zie ook https://www.ncsc.nl/docum...t-postkwantumcryptografie
@Jace / TBL , helaas dus geen bangmakerij, maar een serieus zorgpunt...
Ik zei hierboven al: kwantumcomputers vormen een risico voor asymmetrische cryptografie. Dus algoritmes zoals RSA, El Gamal, ECDSA, enzovoort. Die gaan vooral over uitwisseling van sleutels (public/private key cryptografie) en niet over encryptie van data of opslag van passwords.
Die factsheet noemt ook Grover's algoritme voor die laatste categorie, verwant aan Grover's Law die een ondergrens aantoont voor dat type probleem. Daar staat al vermeld dat dat algoritme relatief traag is en niet effectief.

Als je nu data versleutelt met AES-256 en een sterk wachtwoord (zeg, 30 random alfanumerieke tekens) ben ik er absoluut van overtuigd dat een kwantumcomputer dat nooit zal kraken. Althans niet brute forcen, ik kan natuurlijk niet uitsluiten dat er ooit een algoritmische zwakte in AES wordt gevonden, maar dat zou dan ook een risico zijn met conventionele computers en heeft niet met kwantum computing te maken.
Wat vaak wordt vergeten als we praten over 2FA is dat oplossingen als SMS per SMS geld kosten en een Google Authenticator geïntegreerd moet worden in het platform dat draait. Dan is het voor de eigenaar van de site veel goedkoper om een sterker wachtwoord te forceren en mensen maar te laten resetten.
2FA via SMS is niet alleen erg onhandig (want dan zit je gebonden aan een mobiele telefoon met alle restricties van dien) maar bovendien ook onveilig. SMS is plaintext en kan vrij makkelijk onderschept worden, en verder nog risico op SIM hijacking, enzovoort.

Gewoon 2FA door middel van HOTP zoals o.a. geïmplementeerd in Google Authenticator, Authy, enzovoort.
Dat wordt uitgebreid in het artikel besproken, en ik ben het ook eens met de conclusie die getrokken wordt - beter iets dan niets.
Sinds een paar jaar ben ik een tevreden gebruiker van LastPass i.c.m. MFA voor mijn belangrijkste diensten (dus LastPass en e-mail, immers geven beiden toegang tot alles d.m.v. "wachtwoord vergeten" opties). Toch vraag ik me af hoe veilig die MFA nu echt is; stel ik raak mijn MFA device kwijt (in mijn geval telefoon, maar kan ook Yubikey zijn), dan is er een HOTP backup mogelijkheid. Die heb ik afgedrukt en op 2 strategische plaatsen neergelegd (1 thuis, 1 op kantoor i.v.m. eventuele brand op een der locaties). Heel leuk, maar aangezien deze codes niet aan tijd gebonden zijn, is dat in theorie nog steeds te bruteforcen toch? Dan moeten ze eerst mijn wachtwoord hebben, maar die kan uitlekken zoals al zo vaak gebeurd. Daarom trek ik onderstaande ook in twijfel:
Op het moment dat je gebruikmaakt van iets dat je hebt, ben je in één klap veel beter beveiligd tegen digitale inbraken. Een goed voorbeeld zijn fysieke veiligheidssleutels. [...] Het is een extreem veilige inlogmethode. Iemand die wil inbreken in je account, moet namelijk niet alleen beschikken over gebruikersnaam en wachtwoord, maar ook fysieke toegang hebben tot de sleutel.
Immers blijft de zwakste schakel het makkelijkst te kraken deel, in mijn geval de HOTP backup. En zonder zo'n failsafe zou ik geen MFA willen gebruiken, want iets als een Yubikey, een telefoon etc. kan immers kapot gaan, kwijt raken etc. en dan kun je ineens nergens meer bij.

Kortom, MFA in zijn huidige vorm is m.i. zeker een stap in de goede richting, maar absoluut nog niet de beste.
Je backup heeft de handige eigenschap dat deze fysiek is in plaats van digitaal. Een aanvaller zal dus fysieke toegang moeten krijgen tot jouw opslagplaats, naast het achterhalen van je wachtwoord.

Bruteforcen is natuurlijk een mogelijkheid, maar hopelijk heeft de dienstverlener daar iets tegen geïmplementeerd. Net even op mijn Google-account geprobeerd in te loggen met wachtwoord en een niet-bestaande backupcode. Na ongeveer 15 mislukte pogingen krijg ik de melding dat die functie voor een aantal uren uitgeschakeld is wegens te veel pogingen. Die melding krijg ik nu ook wanneer ik vanaf andere devices probeer in te loggen met een backupcode. Ook heb ik ondertussen op m'n telefoon een melding gekregen waarbij ik heb aangeklikt dat het iemand anders was. Vervolgens waarschuwde Google me dat iemand mijn wachtwoord kent en dat ik het direct zou moeten veranderen. Ik ga er vanuit dat dat dus wel goed zit.

Mocht iemand jou specifiek op het oog hebben, dan zijn er andere vrij effectieve manieren om je wachtwoorden en tokens in handen te krijgen. Een mes of pistool bijvoorbeeld, daar gaat geen wachtwoordservice of MFA tegen helpen...
Ik snap wel dat Google mensen forceert tot het ingeven van het telefoonnummer want ondanks de vele berichten blijven mensen met weinig affiniteit met IT gewoon hetzelfde paswoord gebruiken. In sommige gevallen hebben ze er toch enkele, maar dat geeft dan weer nieuwe problemen.
Hoe dikwijls dat ik al bij vrienden of familie ben geweest om hun pc in orde te brengen en dan vraag voor een paswoord om bijv. hun email terug te installeren. Dan begint het: probeer dit eens, of zou het dat zijn. Was het nu eerst het jaartal en dan de naam of omgekeerd. Was het met een hoofdletter, of een underscore in plaats van een koppelteken. En dan zoeken in de schuif achter een hoop losse bladjes met een eventueel ww.
Het interesseert de gemiddelde mens gewoon niet veel. Dus moet Google wel een beetje forceren. Eigenlijk zouden alle sites waarbij je belangrijke info zoals creditcard gegevens achterlaat standaard 2fa moeten aanzetten en gebruikers dus moeten dwingen om het te gebruiken.

Met 2fa heb ik trouwens wel ook al eens een fameuze farçe gehad. Verschillende van m'n accounts hadden 2fa via Google Authenticator. Maar op een dag werkte m'n smartphone niet meer. Uiteindelijk wel terug aan de praat gekregen, maar enkel met een reset naar fabrieksinstellingen. Gevolg: de app was verwijderd. Google Authenticator is echter niet verbonden met je telefoonnummer en laat ook niet toe om een backup te maken, zodat je in zo'n geval - of bij het kopen van een nieuwe smartphone - gewoon weer verder kan. Dus in één klap was ik buitengesloten van alle sites die met 2fa waren beveiligd. Gelukkig heb ik de meeste accounts kunnen resetten d.m.v. paswoord reset (wat eigenlijk niet zou mogen iemand die je mail heeft gekaapt diezelfde reset kan uitvoeren, niet?), maar er waren toch enkele die dit niet toelieten.
Dus als je een nieuwe phone zou kopen, moet je eerst op alle sites 2FA terug gaan uitschakelen om het daarna weer toe te voegen.

Nu heb ik 2fa via codes die via mail of sms worden gestuurd, maar zoals het artikel aangeeft, blijft ook dat te onderscheppen. Maar het is toch nog een laag bovenop de gewone beveiliging. En dat zou het vereiste minimum moeten zijn.

Voor een yubikey ben ik dan weer te slordig. Die verlies ik binnen de week :p.

Ik denk dat i.v.m. wachtwoorden er nooit echt een oplossing komt. Vergelijk het met fysieke beveiliging: vroeger had men gewone sloten, nu hebben we speciale sloten, we hebben camera's en alarmen en toch wordt er nog steeds ingebroken. En dan blijft het ook een afweging van hoeveel lagen je kan gaan implementeren waarbij het nog in evenwicht blijft met gebruiksgemak.
Voor een yubikey ben ik dan weer te slordig. Die verlies ik binnen de week :p
Heb je datzelfde probleem met je huissleutel en autosleutel ook? Ik heb mijn Yubikey al meer dan een jaar gewoon aan mijn sleutelbos hangen en geen enkel probleem. En nee, ik ga niet heel zorgvuldig met mijn sleutelbos om.
Nee dat niet, maar om heel de tijd m'n sleutelbos aan m'n pc te moeten hangen lijkt me ook niet praktisch.
Is ook niet nodig. Alleen bij login moet de sleutel even in de usb poort. Ik heb een usb velengkabeltje uit mijn monitor op mijn werk hangen voor als het nodig is. En thuis en onderweg is het bij inloggen even inprikken, knopje aanraken er weer eruit.
Ik gebruik op het moment ook google authenticator en snap werkelijk niet waarom je geen backup kan maken. Lijkt mij een cruciale feature voor het geval dat je je authenticator kwijt raakt wat jou al eens is overkomen.
Precies daarom ben ik overgestapt op Authy, die kan namelijk wél een backup maken en terugzetten.
Authy is handig maar die ondersteund weer niet alle soorten tokens helaas.
Welke token type ondersteund de Google/Microsoft/Apple authenticator welke Authy niet ondersteund?
De laatste keer dat ik keek deed Authy geen HMAC-Based One-Time Password (HOTP). De codes die ik net als test heb gegenereerd wil Authy in ieder geval niet lezen.

[Reactie gewijzigd door Bor op 21 oktober 2019 10:51]

Ik gebruik andotp. Die kan ook back-uppen en heeft nog meer voordelen.
Ik gebruik 2FA via 1Password.
Dit is direct mijn wachtwoordmanager en de 2FA code wordt bij het invullen van het wachtwoord direct gekopieerd.
Plus dit werkt op meerdere apparaten (online, PC, telefoon) dus je bent niet gebonden aan een device om je code op te zoeken.
Je kunt Google Authenticator wel heel makkelijk overzetten naar een nieuwe telefoon. Moet je wel je eerste telefoon nog voor hebben, maar toch.
Dat wist ik niet. Bedankt voor de link. Maar ik lees ook dit: Moving Google Authenticator from your old phone to a new one is a fairly cut and dry process for your Google Account. However if you use Authenticator to log in to specific websites, you'll need to go to those accounts and repeat the process. This may differ depending on the particular website.

In some cases you may need to turn off 2-Factor authentication on these accounts, and then set it back up from scratch

Dus het is niet echt het overzetten van je gegevens blijkbaar.
En zoals in mijn geval - een hard reset- ben je er ook niets mee.
Ik dacht dat je authenticator app aan je Google account gelinkt was. Bij het overschakelen van mijn Nexus naar Pixel telefoon is de app mooi meegekomen dacht ik.

Hmm?
Misschien is dat ondertussen veranderd, maar het was toen niet gelinkt (geloof me, ik heb gezocht achter de oplossing). Het was ook een klacht die regelmatig bij de reviews van de app voor kwam.
Ik denk dat i.v.m. wachtwoorden er nooit echt een oplossing komt. Vergelijk het met fysieke beveiliging: vroeger had men gewone sloten, nu hebben we speciale sloten, we hebben camera's en alarmen en toch wordt er nog steeds ingebroken. En dan blijft het ook een afweging van hoeveel lagen je kan gaan implementeren waarbij het nog in evenwicht blijft met gebruiksgemak.
Die vat ik even niet, alle smart locks die ik ken zijn juist gemaakt om gebruiksgemak te verhogen. En de reden dat er nog steeds wordt ingebroken is dat er bijzonder weinig mensen gebruik maakt van de ontwikkelingen in fysieke beveiliging. De hoeveelheid cilindersloten die ik op voordeuren zie is schrikbarend, om het nog maar niet over waardeloos (of gebrek aan) deurbeslag te hebben. Wat dat betreft valt digitale beveiliging totaal niet te vergelijken met fysieke beveiliging, het zijn écht twee compleet aparte domeinen.

2FA werkt voor beide fysiek en digitaal prima, alleen is de vraag waar je de grens trekt om een risico te accepteren. Xiaomi geeft bijvoorbeeld de optie om een paar one-time pads te maken waarmee je kan inloggen, de klant mag die dan zelf in een kluis of op een verstopplek opbergen. Als je die zelf kwijtraakt, dan is dat eigen risico (je kan de optie ook niet zomaar gebruiken). Een scenario zoals je beschrijft zou dan geen problem zijn.
Juist om de reden van een backup gebruik ik authenticator plus. Is ook nog eens cross platform, ik heb het op mijn Android telefoon en op mijn iPad staan.
2 maanden geleden een nieuwe gelefoon; app geïnstalleerd, backup koppelen en weer online.
Een password manager maakt het makkelijk om op elke login een moeilijk te kraken wachtwoord te zetten, in combinatie met 2fa ben je heel veilig tegen gelekte of gehackte wachtwoord databases.
Blijft over een gerichte aanval op specifiek 'jouw' account via social engineering. De kans dat dat gebeurt en lukt is eindeloos veel kleiner dan een hack via je emailadres en pa55w0rd!
Met 2fa heb ik trouwens wel ook al eens een fameuze farçe gehad. Verschillende van m'n accounts hadden 2fa via Google Authenticator. Maar op een dag werkte m'n smartphone niet meer. Uiteindelijk wel terug aan de praat gekregen, maar enkel met een reset naar fabrieksinstellingen. Gevolg: de app was verwijderd. Google Authenticator is echter niet verbonden met je telefoonnummer en laat ook niet toe om een backup te maken, zodat je in zo'n geval - of bij het kopen van een nieuwe smartphone - gewoon weer verder kan. Dus in één klap was ik buitengesloten van alle sites die met 2fa waren beveiligd. Gelukkig heb ik de meeste accounts kunnen resetten d.m.v. paswoord reset (wat eigenlijk niet zou mogen iemand die je mail heeft gekaapt diezelfde reset kan uitvoeren, niet?), maar er waren toch enkele die dit niet toelieten.
Het is juist de bedoeling dat de ingestelde time based code generator niet zomaar over te zetten is naar een ander apparaat. Een app als Authy zou ik nooit vertrouwen, juist omdat ze mijn authenticatie gegevens op hun servers zetten. dat zou betekenen dat bij een eventuele gegevensdiefstal bij dat bedrijf mijn 2FA gegevens op straat liggen. Het hele punt van dat soort auth is dat het werkt als een fysieke key (maar dan heel handig in een app omdat je je telefoon toch al bij je hebt).

Dat password reset werkt wanneer 2FA is ingeschakeld is een ZEER slechte zaak, en in dit geval zou ik het betreffende bedrijf met geen enkel persoonlijk gegeven vertrouwen. Op deze manier is er namelijk alleen nog maar toegang tot mijn e-mailaccount nodig om bij de betreffende website in te loggen. Dat is dus dezelfde beveiliging als alleen wachtwoord, maar dan met meer ongemak!
De enige manier om je account terug te krijgen zou moeten zijn door persoonlijk contact op te nemen met de ondersteuning, die je dan vraagt om je identiteit te verifieren, bijvoorbeeld door een foto van je gezicht in te sturen waarbij je een identiteitsdocument naast je hoofd houdt en een papiertje waarop je de huidige datum hebt geschreven en de naam van het bedrijf waar je contact mee opneemt. Account aangemaakt met nepgegevens? Vergeet het dan maar!

Het is overigens wel (altijd!) mogelijk om een back-up te maken van de instelcode voor je 2FA. Een goede manier om dat te doen (en de enige manier die ik zou aanraden qua gemak zonder de veiligheid te verminderen) is op papier. Onder de QR code die je moet scannen staat namelijk altijd de code in tekst. Deze code kan je opschrijven en op een veilige plek bewaren. Mocht je dan je authenticatie app opnieuw in moeten stellen kan je gewoon deze code invoeren en je kan meteen weer als vanouds inloggen.

Something you know: wachtwoord
Something you have: authenticator app / key

TLDR; Als de persoonlijke authenticator gegevens geüpload worden is het 2x "Something you know" dus geen ware 2e Factor.

[Reactie gewijzigd door ThaJay op 22 oktober 2019 15:43]

Bedankt voor je uitleg en de tip i.v.m. de codes.
Ik moet heel eerlijk zijn dat ik nog maar een paar wachtwoorden uit mijn hoofd weet.
Alle andere wachtwoorden staan in KeePass. De KeePass database staat op Onedrive in de vault, en is met een +20 karakter wachtwoord en een key file beveiligd.
De Keyfile staat op 3 locaties, te weten mijn NAS, de backup van mijn NAS (deze backup is ook weer met een wachtwoord beveiligd) en op mijn telefoon.

OneDrive is dan weer met 2FA beveiligd. Mijn NAS is niet direct verbonden met het internet (geen poorten open dus), en de share waar de key file op staat is ook beperkt toegankelijk.

Voor sites die 2FA ondersteunen, gebruik ik het. Lang leve de Microsoft Authenticator. Ook die maakt een Backup naar OneDrive, zodat ik mijn MFA tokens niet zomaar kwijt raak.

Op mijn telefoon gebruik ik Keepass2Android, op die manier heb ik altijd mijn wachtwoorden bij de hand, mocht ik ze nodig hebben.
Handig dat we nu al zoveel details weten over de beveiliging van je KeePass database. Heb je er ook nog wat adressen bij? Dat maakt het net iets gemakkelijker om aan je wachtwoorden te komen :P.

Maar zo'n passwordmanager is wel handig, ik heb zelf ook zoiets gebruikt, maar dan werkt het alleen lokaal, dus op meerdere apparaten heb ik wel een apart master password. Ik vraag me namelijk af hoe veilig het is als het in de cloud hangt, dan kun je in principe overal inloggen en dan wordt het wel een single point of failure. Als het alleen lokaal werkt moet je al fysiek toegang hebben tot het apparaat (of remote toegang, maar dat heb ik altijd uit staan).
Bij alle bekende password managers is de kluis in de cloud volledig encrypted. Je (master) password eventueel in combinatie met een bestand vormt namelijk de decryption key waarbij de kluis leesbaar wordt..
Dat klopt, maar het blijft een risico denk ik, vooral in combinatie met phishing. Misschien was ik dan een beetje paranoïde, maar ik hield er toen niet van om alles maar in de cloud te hangen. Nu gebruik ik echter die kluis van apple omdat dat fijn werkt bij de combinatie van iOS en Mac os.
Sterkte met toegang krijgen tot mijn OneDrive (waar de DB staat) en mijn NAS (waar de key staat).

Ik heb mijn DB juist bewust in de cloud gehangen, zodat ik er altijd overal bij kan. Ik werk in de detachering en krijg dus regelmatig een laptop van mijn opdrachtgever om op te werken.
Via mijn telefoon kan ik dan dus keurig bij mijn wachtwoord database, waardoor ik de DB en keyfile dus niet op mijn werklaptop hoef te plaatsen.

OneDrive is dus MFA beschermd, net al de database (wachtwoord+key file), en dan staat de database ook nog eens in de OneDrive vault..

En wat betreft phishing mails of juist phishing websites, daarom klik ik nooit zomaar op links van websites als ik moet inloggen op OneDrive of een andere Microsoft dienst. Dat doe ik altijd en bewust via de daarvoor bedoelde websites.

[Reactie gewijzigd door walteij op 21 oktober 2019 13:14]

Was ook niet heel serieus bedoeld op die manier, maar het is niet heel handig om dat soort details zo te delen.
Het klinkt serieus als een goede, veilige oplossing. Het enige wat ik met dit soort dingen heb: hoe leg ik dat uit aan mijn moeder?

Dit onderwerp is zo complex dat je ook niet meer kunt spreken van "eigen verantwoordelijkheid". Dus hoe kunnen we zo'n degelijke oplossing ook nog gebruiksvriendelijk en veilig maken?

[Reactie gewijzigd door r_acker op 21 oktober 2019 09:26]

Zoiets heb ik dus ook, maar ipv OneDrive gebruik ik Stack. Al mijn wachtwoorden synchronizeren met WebDAV.
In Keepass kan je ook gebruik maken TOTP. Hoewel ik niet denk dat het slim is om je ww en TOTP token in één app te hebben, is het wel handig om niet altijd je telefoon te moeten zoeken/pakken om daarna de TOTP token over te moeten typen op je pc.
Mijn wachtwoord zijn zo ingewikkeld dat ik die onmogelijk kan onthouden. Al weet ik gelukkig wel mijn wachtwoord om in te loggen op Peppermint, maar die gebruik ik iedere dag. Is makkelijker om te onthouden.
Groot nadeel van veel 2FA oplossingen is dat het via een app moet, die je data niet backupped. Dus nieuwe telefoon moet je alles overzetten of resetten, en dan moet je er wel bij kunnen. Extra lastig als je op vakantie bent!
Kwestie van de juiste app gebruiken. Voor 2fa gebruik ik Authy. Heeft cloud backup en ook een app voor Windows.
Bij Authy wel 'Allow multi device' uitzetten als je het op al je apparaten hebt staan! Anders kan iemand anders in theorie Authy op z'n tel krijgen als ze je telnummer weten over te nemen.
Anders kan iemand anders in theorie Authy op z'n tel krijgen als ze je telnummer weten over te nemen.
"Iedereen" heeft m'n telefoon nummer. Wat kun je bij Authy doen met enkel een telefoonnummer?
Dit legt het goed uit: https://authy.com/blog/un...fa-the-authy-app-and-sms/

"We highly recommend opening the Authy app, going into Settings, and switching off the multi-device option."

En waarom:
"All the Authy apps on your existing devices will continue to work as designed and with no interruption, but no new apps will be able to be downloaded to new devices moving forward.
So, even if anyone has been able to get your username and password, or SIM-swapped your phone number, there is still no way they will be able to access your 2FA data synced with the Authy service.
If you ever need to install Authy on a new device, simply re-enable multi-device, install Authy, and then disable the setting again."


Met overnemen van je nummer bedoel ik SIM swapping of andere manieren hoe iemand toegang kan krijgen tot het ontvangen van een SMS notificatie op je telefoonnummer.
Maar dan heb je nog steeds een probleem als je maar 1 apparaat gebruikt en deze gaat defect.... Dat is op het moment mijn grootste zorg met 2FA. Het blijft een afweging tussen gemak en veiligheid.
Want als je de 2FA over kan zetten (al dan niet met telefoonnummer) kunnen andere mensen ook bij je account komen.
Kan je het niet over zetten. ben je genaaid op het moment dat jij de login kwijt bent om wat voor reden dan ook. 8)7
Nee het (overstappen) werkt zo:
1. Installeer Authy op je telefoon.
2. Ga naar Google Authenticator of waar je dan ook je 2FA codes in hebt.
3. Ga naar elk account wat je daarin beheert, zoals Gmail, Dropbox etc en zet met je Google Authenticator code de 2FA uit in het account.
4. Zet het weer aan maar nu met Authy.
5. Nu heb je een berg accounts in Authy. Zet backup sync aan en allow multiple devices aan en installeer Authy op desktop / andere telefoons.
6. Alles is nu gesynct over de apparaten die je wilt gebruiken. Zet nu 'allow multiple devices' weer uit en laat backup sync aan staan. Zo kan niemand een extra apparaat toevoegen en zo toegang krijgen tot je ge-backupte codes van al je accounts, maar blijft alles wel gewoon gesynct tussen je devices.
7. Wil je een nieuw apparaat toevoegen, zet je die 'allow multiple devices' weer even aan, voeg m toe, zet het weer uit.

[Reactie gewijzigd door Mifuki op 21 oktober 2019 11:23]

Een tweefactor authenticatie is niet hetzelfde als een recovery methode. Het gaat om twee uitgangspunten eigenlijk:

Hoe zorg ik dat anderen niet als mij in kunnen loggen (false positives)
Je wil niet dat anderen jouw geld kunnen overmaken, op jouw naam kunnen bestellen, of zien wat voor mails jij stuurt. Dit kun je goed oplossen met een 2FA methode.

Hoe voorkom ik dat ik zelf niet meer in kan loggen (false negatives)
Dit staat los van hoe je inlogt. Je kunt namelijk ook gewoon je wachtwoord vergeten, daar heb je geen 2FA voor nodig.
Je kunt wel backups instellen:
  • Bij veel sites kun je bijvoorbeeld 2 manieren van 2FA gebruiken (Google Authenticator en een Yubikey heb ik bij een aantal sites). Als de ene uitvalt kun je op de andere terugvallen.
  • Je kunt ook, bijvoorbeeld met je man/vrouw, afspreken dat je je mailaccount ook bij elkaar in de Google authenticator zet. Die QR-code kun je (vaak) meerdere keren scannen namelijk.
Uiteindelijk is de bottom line altijd: hoe veilig wil je het zelf hebben? Je kunt zelf kiezen hoe makkelijk het kan, maar je bent ook zelf verantwoordelijk voor de gevolgen.
Hier ook een Authy gebruiken. Vooral het backup gemak de beschikbaarheid op bijna alle platforms vind ik erg prettig. De app mag qua lay-out nog wel iets aangepast worden maar het werkt goed.

Daarnaast gebruik ik al jaren Dashlane als wachtwoord manager. Hier zit ook een optie in om wachtwoorden van meerdere sites in 1 keer aan te passen. Helaas is de lijst met compatible sites nog niet heel groot. Voor nu is het een prima oplossing.
Microsoft Authenticator heeft sinds kort ook een optie "Cloud Backup". Verder nog niet kunnen/hoeven testen.
Ik gebruik hier zelf Authy voor. Deze bied d.m.v. een account back-up en synchronisatie opties. Het kan zelfs op meerdere devices gebruikt worden.
Microsoft Authenticator backed het wel up als je deze optie aanvinkt
1 2 3 ... 6

Op dit item kan niet meer gereageerd worden.


Apple iPad Pro (2021) 11" Wi-Fi, 8GB ram Microsoft Xbox Series X LG CX Google Pixel 5a 5G Sony XH90 / XH92 Samsung Galaxy S21 5G Sony PlayStation 5 Nintendo Switch Lite

Tweakers vormt samen met Hardware Info, AutoTrack, Gaspedaal.nl, Nationale Vacaturebank, Intermediair en Independer DPG Online Services B.V.
Alle rechten voorbehouden © 1998 - 2021 Hosting door True