Inloggen op online accounts zoals Facebook, Twitter of je e-mail doe je met je gebruikersnaam en wachtwoord. Om je accounts beter te beveiligen, is het slim om een extra beschermlaag toe te voegen. Dat kan op steeds meer websites met tweestapsverificatie (2FA). In dit blog leggen we aan je uit wat het is en hoe het werkt.
Hackers op de loer
Hackers kunnen op allerlei manieren achter je gebruikersnaam en wachtwoord komen. Als je wachtwoord makkelijk te onthouden is (zoals een geboortedatum of cijferreeks) kan een hacker deze met een beetje onderzoek of het gebruik van speciale software achterhalen. Een andere methode is phishing, waar je via een e-mail naar een vervalste website van bijvoorbeeld je bank wordt gelokt, en daar je persoonlijke gegevens invult.
Zelfs als je goed oplet op dit soort mailtjes en een moeilijk wachtwoord gebruikt, kan het misgaan. Als je bijvoorbeeld op veel verschillende websites hetzelfde wachtwoord gebruikt, en één van die websites slachtoffer is van een hack of datalek, kunnen kwaadwillenden jouw gegevens gebruiken om in te loggen op andere websites.
Tweestapsverificatie uitgelegd
Misschien heb je tijdens het inloggen op bepaalde websites gezien dat je 2FA kunt activeren. Dit houdt in dat je naast het invullen van je gebruikersnaam en wachtwoord een extra stap moet doorlopen om te bewijzen dat jij de eigenaar bent van het account. Er wordt dan iets wat je als gebruiker weet (zoals je wachtwoord) gecombineerd met iets wat je hebt of bent.
Een goed voorbeeld om dit uit te leggen is je pincode en bankpas. Je pincode is iets wat je weet, je bankpas is iets wat je hebt. Alleen door beide te gebruiken, kun je betalen. Een voorbeeld van de combinatie met iets wat je als gebruiker bent is identiteitscontrole via een vingerafdrukscanner of gezichtsherkenning op smartphones en laptops.
Methode 1: SMS
SMS is een manier van tweestapsverificatie die vaak gebruikt wordt. Na het invoeren van je gebruikersnaam en wachtwoord ontvang je op jouw vooraf geregistreerd mobiel telefoonnummer een code per sms, die je vervolgens op de website invult. Deze code wordt dynamisch gegenereerd en verandert bij elke nieuwe inlogpoging.
Methode 2: Authenticator apps
Een nog veiligere oplossing is inloggen met zogenaamde authenticator apps op smartphone, zoals die van Google, Microsoft of Authy. Nadat je 2FA in je account hebt geactiveerd, en een speciale eenmalige code in de app invoert, genereert deze vanaf dat moment bij iedere inlogpoging een unieke achtcijferige code. Deze wordt op basis van een algoritme om de halve minuut aangemaakt. De apps vind je in de app store van je favoriete mobiele apparaat.
Methode 3: U2F
Voor een authenticator app of sms heb je een telefoon nodig. Dat is niet altijd even handig: bij slechte dekking kun je geen sms-code ontvangen, en als je telefoon kwijt is of een lege batterij heeft, wordt inloggen al snel lastig. In dat geval is een zogenaamde U2F (universal 2nd factor) authenticatiesleutel zoals de YubiKey een goede oplossing. Dit apparaatje ziet eruit als een kleine usb-stick, en stop je tijdens het inloggen in je computer zodat de website je als de eigenaar van het account herkent.
