Het wachtwoord is de populairste en een van de meest gebruikte veiligheidsmaatregelen, maar vaak ook de meest kwetsbare. In 2017 werd bekend dat hackers en cybercriminelen die identiteiten willen stelen nog steeds de grootste oorzaak van gegevenslekken zijn. En wat is de reactie van de meeste bedrijven wanneer dit gebeurt of ze risico lopen? De gebruikerswachtwoorden wijzigen.

Wachtwoorden hebben echter heel wat beperkingen. Eerst en vooral bieden wachtwoorden geen strenge identiteitscontrole. Iedereen die een wachtwoord bemachtigt, kan gewoon inloggen op een account en de informatie bemachtigen die hij wil. Bovendien is de beveiliging van de account enkel gebaseerd op de sterkte van het wachtwoord, dat, zoals we allemaal weten, vaak niet sterk genoeg is. Niemand onthoudt graag een reeks tekens bestaande uit hoofdletters, kleine letters, cijfers en speciale tekens. Gebruikers willen een eenvoudig wachtwoord dat ze gemakkelijk kunnen onthouden en bijgevolg ook gemakkelijk te hacken is.

Dat is de reden waarom bedrijven wachtwoorden vaak combineren met Multi-factor Authenticatie of MFA MFA om toegangscontrole uit te voeren of dit in sommige gevallen gebruiken als alternatief voor wachtwoorden. Het is een hele mondvol wat is MFA nu eigenlijk?

Wat is multi-factor authentication?

In een blogartikel uit 2016 gaf Petteri Ihalainen een uitgebreide beschrijving van wat MFA is. Kort samengevat: multi-factor authenticatie is het proces om een online gebruiker te identificeren door twee of meer claims van de gebruiker te valideren, elk van een andere categorie van factoren. Dit soort authenticatie wordt ook wel geavanceerde verificatie of two-factor authenticatie genoemd.

De drie basiselementen die gebruikt kunnen worden voor MFA zijn:

• a) iets dat de gebruiker weet, zoals een wachtwoord of pincode;
• b) iets dat de gebruiker heeft, zoals een mobiel apparaat; en
• c) iets dat de gebruiker is, zoals een vingerafdruk, oogscan of stem.

Het principe van MFA is dat er geen perfecte authenticatiefactor bestaat. Elke factor heeft zijn sterktes en zwaktes. Het concept van multi-factor authenticatie is dat een tweede of derde factor de zwakte van de andere factor(en) compenseert en omgekeerd.

Nu we de basis van MFA hebben besproken, gaan we verder met de voordelen.

De voordelen van multi-factor authenticatie
 

Betere beveiliging

Zoals hierboven besproken, is het principe van MFA dat elke factor de zwakte van de andere factoren compenseert. Authenticatiefactoren over "iets dat de gebruiker weet", zoals wachtwoorden en pincodes, kunnen bijvoorbeeld kwetsbaar zijn voor brute-force-aanvallen (hackers forceren login) of social engineering-aanvallen. Je kan dit combineren met een authenticatiefactor die niet zo gemakkelijk te raden is, zoals "iets dat je hebt" door gebruikers te authenticeren met hun mobiele apparaat of "iets dat je bent" zoals een biometrisch kenmerk zoals een vingerafdruk of stem. Tenzij de hacker over alle factoren beschikt die het systeem vereist, krijgt hij geen toegang tot de account.

Een stap in richting van conformiteit

Naast de encryptie van gegevens specificeren heel wat conformiteitsnormen – federaal, regionaal en andere – doorgaans dat bedrijven MFA moeten implementeren in bepaalde situaties. Dat geldt vooral bij het beschermen van gevoelige gegevens zoals persoonlijk identificeerbare informatie (PII) of financiële gegevens. Dat betekent dat MFA een stap is die nodig is voor conformiteit.

En zelfs als multi-factor authenticatie niet specifiek gevraagd wordt, is het vaak toch de beste stap. De Health Insurance Portability and Accountability Act (HIPAA) bepaalt bijvoorbeeld niet dat MFA moet worden gebruikt, maar delen van de beveiligingsregel bevat bepalingen die de nood aan een sterk verificatieproces benadrukken. En welk sterk verificatieproces kennen we? MFA.

De juiste authenticatie-actoren kiezen moet echter ook een prioriteit zijn. Afgelopen jaar heeft het National Institute of Standards and Technology (NIST) zijn richtlijnen over het gebruik van multi-factor authenticatie bijgewerkt. Deze bepalen nu dat out-of-band verificatiemethoden met PSTN, sms of spraakoproepen niet langer gebruikt mogen worden omdat sms'en of spraakoproepen onderschept kunnen worden.

Dat betekent dat niet alleen conformiteit bepalend mag zijn voor de MFA-implementatie. Trap niet in de val van "checkbox-conformiteit" en denk niet dat je beter beveiligd bent, enkel omdat u aan de vereisten van de regelgeving voldoet. Gebruik enkel een MFA-methode die aanbevolen wordt en stel systeem- en gegevensbeveiliging voorop, niet enkel conformiteit.

Vereenvoudiging van aanmeldingsprocedure

Je zou denken dat multi-factor authenticatiefactoren het aanmelden bij accounts ingewikkelder zouden maken. Dankzij de extra beveiliging van multi-factor authenticatie kunnen bedrijven echter meer geavanceerde aanmeldingsopties gebruiken, zoals single sign-on, een eenmalige aanmelding.

Single sign-on valideert de gebruiker via MFA tijdens de aanmeldingsprocedure. Zodra de gebruiker geverifieerd is, wordt deze aangemeld bij zijn single sign-on software. Van daaruit heeft de gebruiker toegang tot de apps van de single sign-on software, zonder dat deze zich bij elke app afzonderlijk hoeft aan te melden.

Dit scenario maakt MFA praktisch toepasbaar, want een van de uitdagingen om dit implementeren is 'aanmeldingsmoeheid'. Dit verwijst ernaar dat gebruikers het beu worden om bij verschillende accounts in te loggen en dat MFA de gebruikers nog meer stress zou bezorgen. In combinatie met single sign-on kan multi-factor authenticatie echter worden gebruikt voor alle apps die de gebruiker nodig heeft.

MFA is een essentieel onderdeel van cybersecurity

Naarmate hun aantal en bereik toeneemt, worden bedrijven zich meer bewust van het risico op gegevenslekken. Het is een goede zaak dat cyberbeveiliging dit jaar een topprioriteit is geworden voor veel organisaties, vooral door de toename van cloudcommunicatie. Om dit probleem aan te pakken, implementeert het merendeel van de bedrijven multi-factor authenticatie. De markt voor MFA zal naar verwachting stijgen tot USD 12,51 miljard tegen 2022, met een samengestelde jaarlijkse groei van 15,52%. Hieruit blijkt dat veel organisaties momenteel van mening zijn dat multi-factor authenticatie een van de beste veiligheidsmaatregelen is om hun bedrijf, gebruikers en gevoelige gegevens te beschermen.

Opmerking: Dit blogartikel werd geschreven door een externe medewerker om onze lezers een verscheidener aanbod te geven. De standpunten uiteengezet in dit artikel van een externe medewerker zijn enkel die van de medewerker en komen niet noodzakelijk overeen met die van GlobalSign.