Wat is 2FA en hoe beveilig je je account?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: 2FA staat voor tweefactorauthenticatie: bij het inloggen bevestig je je identiteit met twee verschillende soorten beveiliging, bijvoorbeeld een wachtwoord en een code uit een app op je telefoon. Daardoor is alleen een gestolen wachtwoord meestal niet genoeg om toegang tot je account te krijgen. Als de dienst je laat kiezen, geef dan de voorkeur aan een beveiligingssleutel of een authenticator-app boven SMS en zorg meteen voor een manier om je toegang te herstellen.
Hoe werkt 2FA en wat zijn de twee factoren?
Authenticatie is het controleren of iemand die probeert in te loggen daadwerkelijk is wie die beweert te zijn. Een wachtwoord bewijst dat je een geheim kent, maar dat geheim kan worden ontfutseld, geraden of buitgemaakt bij een datalek. 2FA voegt een tweede, onafhankelijke vorm van bevestiging toe.
Authenticatiefactoren vallen in drie hoofdgroepen:
- Iets wat je weet — bijvoorbeeld een wachtwoord of PIN.
- Iets wat je hebt — bijvoorbeeld een beveiligingssleutel of een telefoon met een app die codes genereert.
- Iets wat je bent — bijvoorbeeld een biometrisch kenmerk dat een vingerafdrukscanner controleert.
Een wachtwoord en het antwoord op een vraag naar de meisjesnaam van je moeder vormen geen echte 2FA: beide beveiligingen berusten op kennis. Ook het doorlopen van twee stappen bij het inloggen betekent op zichzelf niet dat je twee verschillende factoren gebruikt. MFA staat voor multifactorauthenticatie; 2FA is een variant daarvan die precies twee factoren gebruikt.
Een voorbeeld: je logt met je wachtwoord in op je e-mail en voert daarna een code uit je authenticator-app in. Iemand die je wachtwoord heeft verkregen uit een datalek bij een andere dienst, kan daarmee alleen niet inloggen. Die persoon heeft ook de tweede factor nodig, of een manier om de beveiliging te omzeilen.
SMS, een app of een beveiligingssleutel?
2FA-methoden verschillen in gebruiksgemak en weerbaarheid tegen aanvallen. Welke opties beschikbaar zijn, hangt af van de dienst. Raadpleeg daarom de actuele beveiligingsdocumentatie voordat je 2FA instelt.
| Methode | Hoe werkt het? | Belangrijkste beperking |
|---|---|---|
| SMS | De dienst stuurt een code naar je telefoonnummer. | Wie je nummer overneemt, bijvoorbeeld door onbevoegd een nieuwe SIM-kaart te laten uitgeven, kan mogelijk de codes ontvangen. |
| App met codes | De app genereert kort geldige codes, meestal volgens de TOTP-standaard. | Een code kan via een valse inlogpagina worden ontfutseld. |
| Melding in een app | Je keurt een inlogverzoek goed op je telefoon. | Als je per ongeluk de inlogpoging van iemand anders goedkeurt, kan een aanvaller toegang krijgen. |
| FIDO2/WebAuthn-beveiligingssleutel | Je bevestigt het inloggen met een fysiek apparaat, bijvoorbeeld via USB of NFC. | Je moet een alternatieve inlogmethode regelen voor het geval je de sleutel kwijtraakt. |
TOTP is een eenmalige code die wordt berekend op basis van de tijd en een geheim dat tijdens het instellen is opgeslagen. Nadat je een account hebt toegevoegd, kan de app zulke codes genereren zonder internet of mobiel bereik. De tijd op het apparaat moet wel correct zijn ingesteld.
Sleutels die volgens de FIDO2/WebAuthn-standaard werken, koppelen de authenticatie aan het juiste domein van de dienst. Dat is een belangrijk voordeel ten opzichte van codes: een doorsnee valse website kan zo’n bevestiging niet gebruiken om op het echte account in te loggen. Voor zakelijke e-mail, het beheerpaneel van een domeinregistrar of beheerdersaccounts is dit een bijzonder goede keuze.
Als een dienst alleen SMS aanbiedt, is het meestal beter om dat in te schakelen dan uitsluitend een wachtwoord te gebruiken. Beschouw echter niet alle methoden als even veilig.
Waartegen beschermt 2FA en wat houdt het niet tegen?
2FA verkleint het risico dat iemand je account overneemt nadat je wachtwoord bekend is geworden. Het helpt ook wanneer een crimineel automatisch wachtwoorden uit datalekken bij verschillende diensten uitprobeert. Het vervangt echter niet de noodzaak van een uniek wachtwoord voor elk account.
Phishing, waarbij iemand zich voordoet als een vertrouwde dienst om gegevens te ontfutselen, kan ook op 2FA-codes gericht zijn. Een valse website kan om je wachtwoord en de huidige code vragen en die vervolgens doorgeven aan de echte dienst. Geef codes daarom niet aan een helpdeskmedewerker, verstuur ze niet in een bericht en voer ze niet in op een pagina die je via een verdachte link hebt geopend.
2FA beschermt ook niet tegen alle gevolgen van een besmet apparaat. Door een actieve sessie te stelen — de gegevens waarmee een dienst onthoudt dat een gebruiker is ingelogd — kan een aanvaller mogelijk toegang krijgen zonder opnieuw in te loggen. Systeemupdates, voorzichtigheid bij het installeren van extensies en controle van de actieve sessies van je account blijven nodig.
Keur geen inlogmelding goed als je niet zelf probeert in te loggen. Een onverwacht verzoek kan betekenen dat iemand je wachtwoord kent. Ga zelf naar de accountinstellingen en controleer de activiteit op je account.
Hoe schakel je 2FA in zonder je toegang te verliezen?
Begin met je primaire e-mailaccount, omdat je daarmee vaak wachtwoorden bij andere diensten kunt resetten. Beveilig daarna je wachtwoordmanager, financiële accounts en beheerpanelen voor je bedrijf, domein of hosting.
- Open de beveiligingsinstellingen van je account. Zoek naar opties zoals ‘tweefactorauthenticatie’, ‘verificatie in twee stappen’ of ‘MFA’.
- Voeg de gekozen methode toe. Bij een app scan je meestal een QR-code en voer je de gegenereerde bevestigingscode in. Deel de QR-code niet: die bevat het geheim waarmee nieuwe codes kunnen worden gegenereerd.
- Bewaar de herstelcodes. Dit zijn noodcodes die de tweede factor vervangen en meestal maar één keer te gebruiken zijn. Bewaar ze op een veilige plek die ook toegankelijk is als je je telefoon kwijtraakt, bijvoorbeeld als afdruk in een afgesloten opbergplek.
- Voeg een reservemethode toe als de dienst dat toestaat. Dat kan een tweede beveiligingssleutel zijn. Houd er rekening mee dat een zwakkere noodmethode de beveiliging van het hele account kan verzwakken.
- Test het inloggen voordat je de instellingen afrondt. Laat je bestaande sessie open en probeer in te loggen in een apart privévenster.
Raadpleeg voordat je van telefoon wisselt de officiële instructies voor het overzetten van accounts in je app. Ga er niet van uit dat de codes met de SIM-kaart worden overgezet. Verwijder de instellingen pas van het oude apparaat nadat je hebt gecontroleerd dat je op het nieuwe apparaat bij alle belangrijke diensten kunt inloggen.
Lees ook
