Meervoudige authenticatie

TOTP genereert elke 30 seconden een code van 6 cijfers met behulp van een gedeeld geheim en de huidige tijd (RFC 6238). Apps: Google Authenticator, Authy, Microsoft Authenticator.

TOTP is beveiligd tegen replayaanvallen, maar kwetsbaar voor phishing in real time.

OTP via sms is handig, maar heeft aanzienlijke zwakke plekken:

• SIM-swapping — de aanvaller manipuleert de telecomprovider via social engineering om het nummer van het slachtoffer over te zetten
• SS7-aanvallen — onderschepping van sms door statelijke actoren op telecomniveau
• Phishing in real time — de aanvaller stuurt de OTP onmiddellijk door van het slachtoffer naar de doelsite

OTP via sms is beter dan geen MFA, maar is de zwakste vorm.

Hardwarebeveiligingssleutels (YubiKey, Google Titan) gebruiken cryptografie met openbare sleutels. Het apparaat ondertekent een challenge die aan de specifieke website is gekoppeld, waardoor deze sleutels bestand zijn tegen phishing — ze werken niet op nepsites.

Dit is de gouden standaard voor MFA.

De authenticator-app stuurt een pushmelding: "Aanmelding vanaf New York goedkeuren?" De gebruiker tikt op goedkeuren of weigeren. Dit is handig, maar kwetsbaar voor MFA-moeheidsaanvallen — aanvallers sturen goedkeuringsverzoeken achter elkaar totdat een vermoeide gebruiker per ongeluk goedkeurt.

Dit wordt ook pushbombing genoemd: de aanvaller beschikt over het wachtwoord en stuurt tientallen MFA-pushmeldingen in de hoop dat de gebruiker er uit frustratie of verwarring één goedkeurt. Tegenmaatregel: vereis nummercontrole in de pushmelding (de gebruiker moet een code invoeren die op het aanmeldscherm wordt weergegeven).

Passkeys (FIDO2/WebAuthn) combineren "iets wat je hebt" (apparaatsleutel) met "iets wat je bent" (biometrische ontgrendeling) tot één inloggegeven dat bestand is tegen phishing. Er is geen wachtwoord nodig. Ondersteund door grote platformen.

Moderne identiteitsplatformen ondersteunen voorwaardelijke toegang: vereis alleen MFA wanneer risicosignalen daarop wijzen (onbekende locatie, nieuw apparaat, gevoelige bron). Aanvullende authenticatie verbetert de gebruikservaring en houdt de beveiliging op peil.

Aanvallers omzeilen MFA met:

• Phishing in real time (AiTM) — een proxy onderschept de sessiecookie nadat MFA is voltooid
• SIM-swapping — sms-codes onderscheppen
• MFA-moeheid — pushmeldingen spammen
• Social engineering bij de helpdesk — MFA uitschakelen via een ondersteuningsticket

Bij het implementeren van MFA:

• Stel standaard in dat MFA vereist is voor alle gebruikers
• Bied meerdere MFA-opties aan, maar zorg dat hardwarebeveiligingssleutels en TOTP beschikbaar zijn
• Leer gebruikers over MFA-moeheid — als ze niet zelf een aanmelding hebben gestart, moeten ze de pushmelding weigeren
• Houd authenticatielogboeken in de gaten voor patronen die wijzen op het omzeilen van MFA

MFA vereist twee factoren uit verschillende categorieën (weten/hebben/zijn). TOTP-apps zijn goed; hardwarebeveiligingssleutels (FIDO2) zijn het best en zijn bestand tegen phishing. OTP via sms is het zwakst en kwetsbaar voor SIM-swapping. Bij MFA-moeheidsaanvallen worden pushmeldingen gespamd; nummercontrole beperkt dit. Passkeys combineren hardware en biometrie tot één naadloos inloggegeven.