Menu
Online accounts beveiligen: gebruik altijd tweestapsverificatie

Online accounts beveiligen: gebruik altijd tweestapsverificatie

Hopelijk heb je je inmiddels geregistreerd voor een ProtonMail- of Tutanota-account en ben je klaar om een ​​aantal accounts over te zetten. Het is dus tijd om enkele tips te bespreken om uw accounts goed op slot te houden, zodat een tegenstander ze niet oppakt. Deze sectie is eigenlijk alleen van toepassing op niet-gouvernementele entiteiten die u aanvallen met kwade bedoelingen. Als een overheidsinstantie zoals de FBI binnen wil, is een bevel alles wat ze nodig hebben.

Het belangrijkste om te overwegen is hoe uw account wordt geverifieerd. De meeste internetsites gebruiken e-mail omdat het al zo lang bestaat. Dus het koppelen van uw ProtonMail-account maakt alles nog veiliger, omdat uw ProtonMail-e-mail ongelooflijk veilig is tegen jacking, tenzij iemand toekijkt dat u beide wachtwoorden typt (wat wordt gedwarsboomd door de LastPass-extensie in uw browser te gebruiken), of u krijgt een keylogger op uw computer (die waarschijnlijk nog steeds wordt gedwarsboomd door de LastPass-extensie). Zelfs als je ProtonMail-account vindbaar is voor een groot deel van het publiek, omdat je het ofwel hebt uitgegeven of openbaar ergens zoals je blog hebt gepost, moeten ze er nog steeds in zijn om een ​​wachtwoordreset uit te voeren op je account.

Vervolgens ga je ervoor zorgen dat je de beveiligingsinstellingen doorloopt die de website je biedt en wat onderzoek doet naar de extra beveiliging die deze opties bieden. Neem bijvoorbeeld Twitter, ze stellen je in staat om persoonlijke informatie te vragen om je account opnieuw in te stellen. Dit betekent dat een tegenstander uw e-mailadres of telefoonnummer moet invoeren om zelfs maar te beginnen met het resetproces voor uw wachtwoord. Een ander voorbeeld is PayPal waarbij u uw creditcardgegevens moet invoeren EN een e-mail of sms met een resetcode moet ontvangen voordat u een wachtwoordwijziging toestaat. Maar waar van toepassing, gebruik altijd twee-factorenauthenticatie.

Tweestapsverificatie en tweestapsverificatie

Er is veel discussie over de vraag of er verschillen zijn tussen tweestapsverificatie en tweestapsauthenticatie. Het lijkt erop dat Google, Apple en Microsoft de eerste van de twee lijken te gebruiken, terwijl de meeste andere sites Two-Factor Authentication (2FA) gebruiken. Het idee bij het scheiden van de twee is dat 2FA iets fysieks is dat je hebt, zoals een Yubikey, Smartcard, Fingerprint of CryptoKey. Tweestapsverificatie vereist een tweede vorm van authenticatie naast uw wachtwoord, zoals een TOTP-code (Time-based One-time Password Algorithm) van een authenticatie-app of een sms-bericht dat naar uw telefoon wordt verzonden.

Zie: Privacy Two-Factor Authentication (2FA) op Privacy-Tools.nl

Ik zou het niet moeten doen ... maar ik gebruik de bovenstaande twee behoorlijk door elkaar. Ik denk dat de term die ik het vaakst gebruik twee-factorenauthenticatie (2FA) is en de kans is groot dat ik die terminologie verkeerd gebruik om methoden zoals SMS-Auth en TOTP te definiëren, maar ik ga het voor de rest gebruiken van dit papier. Over het algemeen wordt het ontvangen van een verificatiecode die naar uw e-mail wordt gestuurd, beschouwd als een onveilige vorm van twee-factorenauthenticatie, omdat als uw e-mail wordt gecompromitteerd, ze zowel uw 2FA-methode als het e-mailadres hebben dat nodig is om uw wachtwoord opnieuw in te stellen. Evenzo is 2FA op basis van sms of spraak behoorlijk onveilig, omdat uw telefoonprovider kan worden "misleid" (http://www.securityweek.com/hackers-tricked-att-network-solutions-employees-tesla-attack) om het op te geven genoeg details over uw account om uw sms'jes door te sturen naar een ander nummer en met de vooruitgang in technologie bieden sommige providers u ook de mogelijkheid om uw berichten te lezen via hun online accountportaal. De beste methoden van 2FA zijn correct geïmplementeerde TOTP, Yubikey of biometrische authenticatie.

“Time-based One-time Password Algorithm (TOTP) is een algoritme dat een eenmalig wachtwoord berekent uit een gedeelde geheime sleutel en de huidige tijd” (Wikipedia). Kortom, we installeren een applicatie zoals Google Authenticator op onze telefoon en koppelen ons account eraan door het gedeelde geheim te genereren en in te voeren. Dit synchroniseert met de huidige tijd en genereert (meestal) elke 30 seconden een nieuwe 6-cijferige code. Na het invoeren van hun e-mailadres/gebruikersnaam en wachtwoord op de website, moet de gebruiker vervolgens de 6-cijferige code typen die op dat moment door de authenticatie-app is gegenereerd. Dit zou iets zijn dat u weet (wachtwoord) en iets dat u heeft (TOTP-code) om uw account te beveiligen. Dit is mijn voorkeursmethode voor het beveiligen van mijn online accounts. Alle TOTP-codes worden naar mijn smartwatch gestuurd en veilig om mijn pols bewaard. Ik heb mijn telefoon meestal niet eens nodig om in te loggen.

Ik denk dat Yubico een betere beschrijving geeft van hoe een YubiKey werkt voor 2FA dan ik zou kunnen, dus hier is het fragment van hun site:

Een YubiKey is een klein apparaatje dat je registreert bij een dienst of site die tweefactorauthenticatie ondersteunt. Twee-factor-authenticatie betekent dat elke keer dat je inlogt, de service om een ​​bewijs zal vragen dat je naast je gewone gebruikersnaam en wachtwoord ook je YubiKey hebt. Phishing, malware en andere aanvalsmethoden werken niet omdat ze zowel uw fysieke sleutel als uw wachtwoorden nodig hebben om uw accounts te doorbreken. Twee-factor-authenticatie met een YubiKey maakt uw login veilig en houdt uw informatie privé. De YubiKey vereist niets meer dan een simpele tik of aanraking. Er zijn geen drivers of speciale software nodig. Je kunt je YubiKey op meerdere computers en mobiele apparaten gebruiken, en één sleutel ondersteunt een willekeurig aantal van je accounts. YubiKeys zijn bijna onverwoestbaar - voeg het gewoon toe aan je sleutelhanger samen met je huis- en autosleutels.

Wat betreft beveiligingsvragen en -antwoorden, zou u er verstandig aan doen om ze in uw LastPass-account te bewaren, zodat u ze uit de buurt van het voor de hand liggende kunt houden. Wat ik hiermee bedoel, is dat in plaats van de naam van uw hond te gebruiken (die geraden of geïdentificeerd kan worden), u een symbool aan de voor- of achterkant van uw antwoord kunt toevoegen, bijvoorbeeld: %Baxter in plaats van Baxter. Een suggestie voor maximale beveiliging is het gebruik van willekeurige tekens en deze op te slaan zodat u ze niet vergeet.

Voor mensen die zeer actief en/of beroemd zijn op sociale media, of voor zakenmensen die belangrijke websites beveiligen die belangrijke klantgegevens kunnen verstrekken, is twee-factorenauthenticatie een ongelooflijk belangrijk iets om in te schakelen op alle websites/diensten die u de optie. Het is misschien een leercurve, maar het zal je uiteindelijk behoeden voor een aanval op je identiteit.

Zie: Privacy Two-Factor Authentication (2FA) op Privacy-Tools.nl