Tweestapsverificatie is een van de beste manieren om een account te beveiligen tegen ongewenste indringers. Je kent vrijwel zeker de methode via sms, maar er zijn meer soorten. We nemen ze in dit artikel eens onder de loep. Want accounts beveiligen is nu eenmaal nodig.

Tweestapsverificatie of tweefactorauthenticatie (afgekort 2FA), is een ingewikkelde term voor het gebruik van een extra wachtwoord of ‘token’ boven op je gebruikersnaam en wachtwoord. Die extra code ontvang je via een sms, app of een speciaal stuk hardware. Het is een bijzonder goede beveiligingsmethode voor de meeste accounts waar je moet inloggen.

In tegenstelling tot een gebruikersnaam en wachtwoord is een 2FA-token (meestal) tijdelijk. Er zijn daarom geen databases vol met inlogcodes. Aanvallers moeten ze direct weten te onderscheppen, anders verlopen ze. Bovendien is het lastig zowel een wachtwoord als 2FA-token te achterhalen. Niet onmogelijk, maar doorgaans te moeilijk voor een grootschalige aanval. Dat maakt tweestapsverificatie juist zo veilig.

Het idee om een extra authenticatiestap toe te voegen aan het inlogproces is verre van nieuw, en een explosief groeiend aantal online diensten biedt wel een of andere vorm van 2FA aan. En hoewel ook tweestapsverificatie niet onfeilbaar is, is het voor de doorsnee gebruiker een erg goede methode om accounts te beveiligen. Toch blijft het gebruik ervan flink achter.

Grote spelers zoals Google proberen het proces al jaren makkelijker en toegankelijker te maken, maar zelfs dan willen gebruikers nog niet aan de 2FA. In januari vertelde Google dat minder dan tien procent van de 1,4 miljard gebruikers tweestapsverificatie had ingesteld op zijn of haar account.

One-time-passwords

Bij tweestapsverificatie wordt gebruikgemaakt van ‘One Time Passwords’, OTP’s. Daar zijn twee varianten van: HOTP (HMAC-based One Time Passwords, waarbij HMAC weer staat voor Hash-based Message Authentication Code) en TOTP (Time-based One-Time Passwords). HOTP’s zijn wachtwoorden die eenmalig worden aangemaakt en langer blijven bestaan. Deze methode wordt gebruikt voor wachtwoorden die per sms of e-mail worden verstuurd, of die met een fysieke hardwaretoken zoals een Yubikey worden aangemaakt.

De methode heeft als voordeel dat je het langer kunt gebruiken, wat weer handig is als je lang moet wachten voor een sms binnen is. TOTP’s (Time-based One Time Passwords) zijn wachtwoorden die een beperkte tijd beschikbaar zijn. Dat is de standaard die gebruikt wordt in apps zoals Google Authenticator. Die wachtwoorden zijn slechts beperkt te gebruiken, wat ze een stuk veiliger maakt tegen ‘brute force’-aanvallen.