Two-factor authenticatie met Security Key

Door: Arnout van der Vorst

11 november 2014

Security en compliancy

Recentelijk introduceerde Google een nieuwe manier van inloggen. Met een USB-stick. Ja niet zomaar een stick. Deze USB-stick zou het traditionele wachtwoord kunnen vervangen. De zogenaamde Security Key moet op het juiste moment in een systeem worden gestoken om in te loggen en dat in combinatie met een wachtwoord.

Om dit te faciliteren ondersteunt Google de U2F-standaard. Deze multi-factor authenticatie manier van inloggen moet de veiligheid van gebruikers vergroten. Multi-factor of two-factor authenticatie is het inloggen met iets dat je weet (wachtwoord) en iets wat je bezit (bijvoorbeeld mobiele telefoon). Zo kan het zijn dat een gebruiker moet inloggen met een wachtwoord en een 4-cijferige code die op de mobiele telefoon wordt ontvangen.

De Security Key van Google werkt volgens hetzelfde principe maar net iets anders en zorgt ervoor dat phishing niet meer mogelijk is. Dat is bij de verificatiecodes die door een mobiele telefoon worden ontvangen nog wel het geval.

Een andere, misschien wel meer eenvoudige, vorm van two-factor authenticatie (2fa) is het inloggen met een toegangspas en pincode. Bij veel bedrijven krijgen medewerkers toegang tot het gebouw met een toegangspas en deze pas kan ook eenvoudig worden gebruikt om in loggen. Door de pas op een paslezer te leggen en een pincode in te voeren, krijgt de gebruiker toegang tot het netwerk. Omdat gebruikers deze pas toch al in hun bezit hebben (en ook bij zich dragen) lijkt het mij eenvoudiger om deze manier van inloggen te gebruiken in plaats van weer een extra device te moeten meegeven aan gebruikers (namelijk de USB-stick).

Terecht denkt u nu misschien: “de paslezers is toch ook extra hardware?” Dat klopt inderdaad. Een paslezer is in principe ook een USB-device, waarmee gebruikers de toegangspas als extra authenticatie factor kunnen gebruiken. Voordeel van een paslezer ten opzichte van de USB-stick is echter dat het geen vorm van encryptie moet ondersteunen en dus niet te hacken is.

Geschreven door:
Arnout van der Vorst

Maak kennis met Arnout van der Vorst, de inspirerende Identity Management Architect bij Tools4ever sinds het jaar 2000. Na zijn studie Hogere Informatica aan de Hogeschool van Utrecht is hij begonnen als Supportmedewerker bij Tools4ever. Daarna heeft Arnout zich opgewerkt tot een sleutelfiguur in het bedrijf. Zijn bijdragen strekken zich uit van klantondersteuning tot strategische pre-sales activiteiten, en hij deelt zijn kennis via webinars en artikelen.