Onvergetelijke toegangsbeveiliging in plaats van gestolen wachtwoorden
Wie ziet er geen vervelend probleem in het effectief beveiligen van de toegang tot online accounts? Vrijwel alle professionals en particulieren staan inmiddels voor deze uitdaging. Welke traditionele wachtwoordstrategie ook wordt gevolgd, het blijft zenuwslopend en riskant. Want in principe bestaat de keuze uit: (te) simpele wachtwoorden gebruiken of complexe wachtwoorden die makkelijk vergeten worden of bij meerdere keren een risico vormen. Bovendien vormen gestolen inloggegevens een groot beveiligingsprobleem voor organisaties.
Volgens Yubico wordt gemiddeld minder dan 10% van de budgetten besteed aan het voorkomen van lekken van inloggegevens, ondanks meer dan 80% van alle beveiligingsinbreuken. Zoals uit de IDG-studie “Cyber Security 2020” blijkt, is de beveiliging van eindapparaten een van de grootste beveiligingstaken voor de ondervraagde C-level beslissers. Eindapparaten zijn van cruciaal belang, zowel in het veelgebruikte thuiskantoor als daarbuiten. toegang tot de clouddiensten.
Er zijn steeds meer professionele en particuliere gebruikers die erkennen dat een veilige authenticatie-oplossing vereist is. Velen gebruiken deze al: op hardware gebaseerde sleutels die een aanzienlijk hogere bescherming bieden dan wachtwoorden. Deze USB/NFC beveiligingssleutels – zoals de YubiKeys van Yubico – zorgen voor meer veiligheid. Ze bevinden zich altijd bij de gebruiker in of op het apparaat en vormen een hoge hindernis in het authenticatieproces die bijna onmogelijk te omzeilen is. Ze beschermen onder meer tegen phishing en MITM-aanvallen (Man In The Middle), waarbij bijvoorbeeld OTP’s (One Time Passwords) zouden kunnen worden onderschept.
Deze gids legt de verschillende authenticatie-opties uit, waar u op moet letten bij het gebruik van op hardware gebaseerde sleutels, waarom de YubiKey marktleider is, hoe de verschillende modellen verschillen en waarom de investering de moeite waard is.
Authenticatie op de traditionele manier
Doe je veel online, dan heb je al snel een aantal online accounts en evenveel accounts als een besteller in webshops. Dit grote aantal toegangen is tot nu toe voorzien van gebruikersnamen – e-mailadressen of betere alfanumerieke alternatieven als tijdelijke aanduidingen – beschermd met wachtwoorden die zo complex en verschillend mogelijk zijn.
Om te voorkomen dat bij eventuele diefstal van een wachtwoord met gebruikersnaam of e-mailadres alle gebruikersaccounts worden gekaapt, raden softwareleveranciers hun gebruikers aan om complexere, langere, maar ook andere – indien mogelijk unieke – wachtwoorden te gebruiken voor elke rekening. Google controleert bijvoorbeeld regelmatig en automatisch op (te veel) dezelfde wachtwoorden van andere gebruikerstoegangen, op voorwaarde dat het Google-account geautoriseerd is om ze op te slaan en op te halen. Het is niet verwonderlijk dat de aanbieder van de zoekmachine vaak dubbele wachtwoorden herkent en de gebruiker informeert over de onvoldoende beveiliging bij het opnieuw toewijzen van hetzelfde wachtwoord.
Extra beveiliging via OTP’s is tegenwoordig gebruikelijk en wordt door de betreffende accountprovider per e-mail of online/sms naar de smartphone gestuurd. De resulterende ontelbare gebruikersnamen en vooral wachtwoorden moeten natuurlijk allemaal worden onthouden of genoteerd en weer worden gevonden. Dit brengt een enorme organisatie- en tijdsinspanning met zich mee.
Authenticatie met beveiligingssleutels is toekomstbestendig
Hardware-encryptie biedt een alternatief. Er zijn drie soorten authenticatie:
- 1FA of eenfactorauthenticatie: alleen de hardwaresleutel beschermt de toegang.
- De 2FA of tweefactorauthenticatie: De hardwaresleutel wordt aangevuld met een wachtwoord, waardoor door de hardware de gehele beveiliging niet afhankelijk is van de wachtwoorden. Wachtwoorden die meer dan eens worden gebruikt, zijn daarom meer gerechtvaardigd. Dit versnelt en vereenvoudigt de bediening.
- De MFA of multi-factor authenticatie: De hardwaresleutel in combinatie met een pincode of – beter – met een biometrische identificatie (bijvoorbeeld vingerafdruk of gezichtsherkenning) zorgt voor de grootst mogelijke bescherming.
Om het geheel te laten werken, moet de gebruiker zich met de beveiligingssleutel (nieuw/gewijzigd) registreren op de respectieve platformen en de online accounts die deze toegangsbeveiliging moeten krijgen. Het werkt natuurlijk alleen als zowel de betrokken software (browser, enz.) als de accountproviders voldoen aan ten minste één van de standaarden en protocollen die door de sleutel worden gebruikt. De belangrijkste zijn FIDO-U2F en FIDO2. Helaas zijn niet alle platformen, winkelexploitanten en andere aanbieders hierop voorbereid. Gebruikers kunnen zich zeker meer enthousiasme wensen in de distributie van aanbieders zoals Duitse banken.
Voordelen van authenticatie met een hardware token
- Met de FIDO-sleutel is het geen probleem om regelmatig op apparaten van derden te werken.
- De registratieprocessen zijn aanzienlijk sneller en eenvoudiger, de gebruiker heeft een hoger niveau van gebruikscomfort.
- Vrijwel geen manipulatiemogelijkheden en bescherming tegen phishing.
- De gebruiker is beter beschermd en voelt zich ook veiliger dankzij een hoger beveiligingsniveau.
Hier is wat te overwegen
- De sleutel moet u altijd bij u hebben.
- De sleutel mag niet verloren gaan, anders kan de sleutel geblokkeerd worden.
- Minstens één vervangende sleutel (of een vervangende methode) is daarom absoluut noodzakelijk en moet ook bij alle accounts en platforms worden geregistreerd om niet meer te worden geblokkeerd als de eerste sleutel verloren gaat.
- Allereerst moeten alle getroffen accounts opnieuw worden geregistreerd met het token.
- Investeringen en uitgaven ontstaan zonder of vóór een schadegeval.
Het wordt duidelijk dat de focus moet liggen op de voordelen van de hardwaresleutels om de bijbehorende inspanning te accepteren. Dit is het geval in alle veiligheidsgerelateerde gebieden.
Het beveiligingstoken YubiKey van Yubico
Niet in de laatste plaats als gevolg van de ontwikkelingen van de FIDO2- en FIDO-U2F-standaarden die door Yubico zijn geïnitieerd en ontwikkeld, ziet de fabrikant zichzelf in de gunstige positie om marktleider te zijn op het gebied van authenticatiesleutels. Het bedrijf, dat nu in Silicon Valley is gevestigd, lanceerde zijn eerste beveiligingssleutel in 2008. De eerste, gebaseerd op het FIDO-protocol, volgde in 2014. Het assortiment omvat nu een aantal modellen met verschillende prestatieniveaus op basis van de FIDO2-standaard en andere protocollen. De huidige sleutels zijn die van rij 5 (sinds 2019).
De eerste gebruikers van YubiKey kwamen begrijpelijkerwijs uit bijzonder beveiligingsgevoelige gebieden zoals onderzoek, IT en media. En dat zowel binnen corporate structuren als vanuit het MKB. Wachtwoordbeveiliging en eenvoudige bruikbaarheid zijn natuurlijk erg belangrijk voor de gebruikers daar. Het management hecht bijzonder veel belang aan het daarmee samenhangende probleemloze gebruik van alle medewerkers en de gemakkelijke schaalbaarheid voor veel gebruikers. Inmiddels heeft de YubiKey zijn weg gevonden naar alle gebieden waar het gaat om gevoelige gegevens en toegang – van instellingen tot industrie tot de particuliere sector.
De kenmerken die de YubiKey onderscheiden en waarmee hij zich op de markt wist te vestigen, kunnen als volgt worden samengevat:
- De meeste protocollen en standaarden komen aan bod.
- Accountovernames worden effectief voorkomen.
- YubiKeys maken gebruiksvriendelijke toegang zonder wachtwoord mogelijk.
- In tegenstelling tot andere 2FA-oplossingen slaan YubiKeys geen gegevens op en hebben ze geen netwerkverbinding nodig.
- Ze moderniseren multifactor-authenticatie.
Wat doen de Series 5 YubiKeys?
Afhankelijk van de productversie hebben Series 5-sleutels verschillende interfaces voor communicatie. Deze omvatten USB-A, USB-C en Lightning. Sommige YubiKeys bieden ook NFC en zijn dus ook contactloos te gebruiken, bijvoorbeeld op een smartphone of met een geschikte NFC-lezer. Alle toetsen zijn:
- EENVOUDIG – effectieve manier om te beschermen tegen accountovername
- GEMAKKELIJK – intuïtieve gebruikerservaring en snel te installeren, implementeren en gebruiken
- SCHAALBAAR – afgestemd op alle soorten en maten bedrijven
- EFFICIËNT – Vermindert ondersteuningsverzoeken voor het resetten van wachtwoorden of het ontgrendelen van accounts
- DRAAGBAAR – altijd bij de hand aan de sleutelbos
Ze ondersteunen de belangrijkste webservices en verschillende protocollen en vormen zo een brug tussen traditionele en moderne authenticatiemethoden en -systemen.
Met sterke tweefactorauthenticatie, multifactorauthenticatie en wachtwoordloze authenticatie, evenals naadloze touch-to-sign, dekken de hardwaregebaseerde sleutels een breed scala aan formaten en stellen ze gebruikers in staat hun accounts op al hun apparaten te beveiligen. Deze veelgebruikte protocollen worden ondersteund:
- FIDO2
- FIDO U2F
- Smart card (PIV)
- OATH (TOTP/HOTP)
- YubiOTP
- OpenPGP
- Challenge Response
De drie beste Reichelt YubiKeys in één oogopslag
Dit is hoe de populaire YubiKeys verschillen naast de eigenschappen van alle Series 5-sleutels die hierboven zijn beschreven:
1. YubiKey 5 NFC
- Past in de standaard USB-A interface
- Biedt tap-and-go-authenticatie met NFC-lezers voor pc’s en smartphones. Voor contactloze activering houdt u de YubiKey eenvoudig voor de NFC-lezer.
- IP68 gecertificeerd: stofdicht en onderdompelbaar (helder water)
2. YubiKey 5C NFC
- Past in de standaard USB-C interface
- Biedt tap-and-go-authenticatie zoals de 5 NFC
- IP68-gecertificeerd zoals de 5 NFC
3. YubiKey 5C
- Sluit gewoon aan op de USB-C-interface en tik op het gouden contact (geen NFC).
.
Een investering die loont
Terugkeergerelateerde aspecten zijn vaak doorslaggevend op het niveau van de beslisser. Dit is waar de YubiKey scoort met zijn zelfbediening voor de gebruiker. Het is vrij eenvoudig te implementeren en te beheren voor implementatie, registratie en accountherstel. Bovendien is de sleutel bijzonder resistent en duurzaam omdat hij stabiel is en geen batterijen, schermen of bewegende delen heeft. Dit maakt het kostenbesparend door weinig ondersteuning, uitval en vervanging.
Als de combinatie met wachtwoorden niet wordt gebruikt, kan worden uitgegaan van een aanzienlijke vermindering van ondersteuningsverzoeken. Aangezien wachtwoordgerelateerde verzoeken, zoals het resetten van wachtwoorden, tussen de 30% en 60% van de ondersteuningsverzoeken in bedrijven vertegenwoordigen, betekent dit een enorm besparingspotentieel. Toen alle 85.000 werknemers bij Google een beveiligingssleutel kregen, daalde niet alleen het aantal ondersteuningsverzoeken met 92%. Sindsdien is geen enkel toegangspunt van een medewerker (meer) gehackt. Sinds 2012 heeft Google meer dan 190.000 YubiKeys ingezet.
En hier gaan we
Al met al bieden de producten van Yubico een uiterst veilige, gebruiksvriendelijke en schaalbare oplossing voor authenticatie die alle besturingssystemen en mobiele platforms ondersteunt en nu al kan worden gebruikt voor de meest gebruikte applicaties. Het is dan alleen aan de gebruiker om de juiste YubiKey uit de uitgebreide productfamilie te kiezen en indien nodig aanvullende software toe te voegen of in te stellen. YubiKey Manager wordt geleverd door Yubico. De tool is nodig om FIDO2-, OTP- en PIV-functionaliteit in te stellen op de YubiKey voor Windows-, MacOS- en Linux-besturingssystemen. YubiKey KeePass is een gratis, open-source wachtwoordbeheerder die YubiKey’s sterke, op hardware gebaseerde tweefactorauthenticatie ondersteunt.
En tot slot een blik in de toekomst: Yubico heeft al een nieuw product aangekondigd, de YubiKey Bio. Dit is een hardware-authenticator met vingerafdrukherkenning die zowel PIN-gebaseerde als biometrische login mogelijk maakt.
Afbeeldingen: Yubico Inc.
