Vier 5 mei… met World Password Day

Vandaag vieren we niet alleen onze vrijheid, maar ook World Password Day. Het is voor bedrijven dé mogelijkheid om de discussie rondom het gebruik van sterke wachtwoorden weer eens aan te halen. Zwakke wachtwoorden (of slecht wachtwoordgebruik) zijn nu eenmaal de voornaamste oorzaak van inbreuken. In dit artikel gaat SANS Institute in op de noodzaak van aandacht voor én het gebruik van sterke werkwoorden en ‘MFA’.

Cyberaanvallers richten zich op gecompromitteerde wachtwoorden en maken er zonder enige vorm van rancune misbruik van: niet alleen om toegang te krijgen tot gegevens en systemen, maar ook om onopgemerkt door de digitale organisatie te spitten. In dat licht: zelfs als je het langste/veiligste wachtwoord ter wereld hebt én dat wordt gecompromitteerd, hebben cyberaanvallers volledige toegang tot alles.

MFA

Een van de meest effectieve en bewezen benaderingen voor sterke authenticatie is Multi-Factor Authentication. ‘MFA’ is wanneer meerdere authenticatiefactoren worden gebruikt voordat toegang wordt verleend. Op deze manier zijn accounts nog steeds veilig als een wachtwoord is gecompromitteerd, aangezien de andere factor (of factoren) je nog steeds beschermen. MFA wordt wereldwijd beschouwd als een van de sterkste authenticatiemethoden: Microsoft schat zelfs dat MFA 99% van de op authenticatie gebaseerde aanvallen verslaat. Hoewel MFA niet onfeilbaar is, is het een van de meest effectieve stappen die organisaties kunnen nemen om het risico op inbreuken drastisch te verminderen.

Er zijn meerdere manieren om MFA binnen de organisatie te implementeren. Hieronder een overzicht van de meest gebruikte technieken.

Sms-code: een eenmalige, unieke code wordt via sms naar een smartphone verzonden. Deze code gebruik je dan samen met je wachtwoord om te authenticeren en in te loggen. De SMS-code is de meest gebruikte benadering.

Codegenerator: je mobiele apparaat heeft een mobiele authenticatie-app (zoals Google Authenticator) die unieke eenmalige codes genereert, die vervolgens moeten worden ingevoerd op de computer. Deze authenticatie-apps kunnen honderden accounts tegelijk ondersteunen.

Verificatiemeldingen: sommige mobiele authenticatie-apps (waaronder Authenticator van Microsoft) zorgen ervoor dat wanneer je je aanmeldt bij bepaalde websites, de website een authenticatieverzoek naar de mobiele app stuurt met de vraag of dat je inderdaad probeert in te loggen. Als dat het geval is, keur je het authenticatieverzoek via het apparaat goed.

FIDO: je krijgt een fysiek apparaat dat verbinding maakt met je laptop of computer en dat is geregistreerd bij de websites waarop je regelmatig inlogt. Wanneer het apparaat is aangesloten op de computer en je deze websites bezoekt, authenticeert het apparaat de gebruiker. Deze benadering is de veiligste authenticatiemethode, aangezien er geen unieke code of authenticatieverzoek is en er niets is voor cyberaanvallers om hun slachtoffers te misleiden of voor de gek te houden.

Trainen, trainen, trainen

Welke methodieken er binnen een organisatie worden gebruikt, hangt in grote mate af van het eigen securityteam. Wanneer organisaties gaan oefenen in het gebruik van MFA, is een van de beste voorbereidingen om het zelf te gebruiken. Stel MFA niet alleen in voor werkaccounts, maar schakel het ook in voor persoonlijke accounts zoals Gmail, Amazon of andere sites. Via deze manier raak je vertrouwd met de technologie, maar maak je ook kennis met verschillende methoden en benaderingen voor het implementeren van MFA.