Waarom zou u SMS niet gebruiken voor tweefactorauthenticatie en wat zijn de alternatieven?

Met tweefactorauthenticatie (2FA) voegt u een belangrijke beveiligingslaag toe aan uw onlineaccounts, maar helaas zijn niet alle methoden hetzelfde. Veel mensen vertrouwen op SMS-gebaseerde 2FA omdat ze het als een veilige optie beschouwen. Helaas is SMS niet de perfecte methode. Daarom moet u stoppen met het gebruik van SMS voor 2FA en wat u in plaats daarvan kunt gebruiken...

Door SIM-swapping kunnen hackers uw telefoonnummer stelen

Een van de meest alarmerende risico's bij het gebruik van sms voor 2FA is simswapping, een techniek waarbij een aanvaller uw mobiele provider misleidt om uw telefoonnummer over te zetten naar een nieuwe simkaart. Zodra ze de controle over uw nummer hebben, kunnen ze alle sms-berichten die naar dat nummer worden verzonden, blokkeren.

Dit is hoe het werkt: de aanvaller neemt contact op met uw mobiele provider en doet zich voor als u. Met behulp van gestolen persoonlijke gegevens, zoals uw adres of de laatste vier cijfers van uw burgerservicenummer, overtuigen ze providers om uw telefoonnummer over te zetten naar hun simkaart. Zodra deze overgang is voltooid, onderschept de aanvaller de sms-berichten die naar uw nummer worden verzonden. Hierin zitten ook 2FA-codes die bedoeld zijn om uw account te beschermen.

Maar de schade stopt daar niet. Velen van ons koppelen ons telefoonnummer aan meerdere accounts, van e-mail tot sociale media tot bank-apps. Als de simkaart succesvol is verwisseld, kan een aanvaller toegang krijgen tot veel accounts die aan uw telefoonnummer zijn gekoppeld, van e-mail tot bankier-apps. De vorige gids van Quantrimang.com over wat het wisselen van SIM-kaarten inhoudt en hoe u zich kunt beschermen, kan u helpen deze steeds vaker voorkomende oplichting te voorkomen.

SMS-berichten kunnen worden onderschept

Zelfs als u SIM-wissels vermijdt, zijn sms-berichten zelf niet veilig. Ze reizen via netwerken die eenvoudig te onderscheppen zijn. Hackers kunnen misbruik maken van zwakke plekken in Signaling System No. 7 (SS7), een wereldwijd telecommunicatieprotocol waarmee providers gesprekken en berichten kunnen routeren. Door misbruik te maken van SS7 kunnen aanvallers sms-berichten onderscheppen zonder dat ze toegang hebben tot uw telefoon.

Dit is niet zomaar theorie; SIM-hacking is een probleem dat al een tijdje bestaat. Cybercriminelen en zelfs door de staat gesponsorde organisaties hebben misbruik gemaakt van de SS7-kwetsbaarheid om communicatie te bespioneren en gevoelige informatie te stelen. Omdat SMS niet versleuteld is, wordt de inhoud van het bericht, inclusief de eenmalige toegangscode, tijdens de verzending blootgelegd.

Berichten kunnen ook worden gecompromitteerd via schadelijke apps of spyware die op uw apparaat zijn geïnstalleerd. Deze programma's kunnen uw inkomende sms-berichten controleren en 2FA-codes doorsturen naar de aanvaller zonder dat u het weet.

SMS is gekoppeld aan uw telefoonnummer

Een ander belangrijk nadeel van SMS-gebaseerde 2FA is dat het afhankelijk is van uw telefoonnummer. De mogelijkheid om codes te ontvangen is direct gekoppeld aan uw mobiele service. Als u zich in een gebied met een slecht signaal bevindt, is sms-gebaseerde 2FA volkomen nutteloos, zelfs via wifi . In tegenstelling tot andere authenticatiemethoden die via een internetverbinding werken, vereist SMS een stabiel mobiel signaal.

Deze afhankelijkheid kan ertoe leiden dat u in situaties terechtkomt waarin u toegang tot uw account nodig hebt, maar de code niet kunt krijgen. Of u nu naar een afgelegen locatie reist of zich in een gebouw met slechte ontvangst bevindt, deze beperking zorgt ervoor dat sms-berichten minder betrouwbaar zijn dan alternatieve methoden.

Alternatief: Authenticator-app

In plaats van te vertrouwen op sms voor 2FA-authenticatie, kunt u beter overstappen op 2FA-authenticatie-apps. Apps zoals Google Authenticator, Microsoft Authenticator en Authy genereren eenmalige wachtwoorden (TOTP's) rechtstreeks op uw apparaat en vormen zo een veel veiliger en betrouwbaarder alternatief voor sms.

Het eerste grote voordeel van authenticatie-apps is beveiliging. In tegenstelling tot sms genereren deze apps codes lokaal op uw telefoon. Dit betekent dat ze niet via een netwerk worden verzonden dat kan worden onderschept of misbruikt. Ze zijn bovendien beschermd met extra beveiligingslagen: veel apps vereisen een toegangscode, vingerafdruk of gezichtsscan om toegang te krijgen tot de code.

Een andere reden waarom mensen authenticatie-apps leuk vinden, is hun offline functionaliteit. Omdat de codes rechtstreeks op het apparaat worden gegenereerd, hebt u geen mobiele verbinding nodig om ze te gebruiken. Of u zich nu in een afgelegen gebied zonder bereik bevindt of binnenshuis met slechte ontvangst, u kunt nog steeds toegang krijgen tot uw codes zolang u een apparaat hebt.

Mensen geven de voorkeur aan Authy boven andere authenticatie-apps omdat de app een cloudback-up biedt. Hierdoor kun je je account eenvoudig herstellen als je je telefoon kwijtraakt. Tegelijkertijd worden de back-ups beveiligd met encryptie, zodat alleen u er toegang toe hebt. Google Authenticator is een andere populaire keuze. Beide opties zijn gratis, worden breed ondersteund en zijn eenvoudig in te stellen.

Het is heel eenvoudig om de authenticator-app te gebruiken. Nadat u 2FA hebt ingesteld, scant u meestal een QR-code die u tijdens het instellen van de 2FA op de website krijgt. Vervolgens opent u de app en krijgt u toegang tot de code wanneer u inlogt. De code wordt elke 30 seconden vernieuwd, dus zelfs als iemand een code steelt, is deze direct nutteloos.

Twee-factorauthenticatie is essentieel om uw account veilig te houden, maar de methode die u gebruikt, is van belang. Hoewel 2FA op basis van sms handig lijkt, kent het ook kwetsbaarheden: van het wisselen van simkaarten tot afluistermethoden en zelfs praktische problemen zoals slechte mobiele dekking. Deze risico's maken sms-berichten tot een onbetrouwbare bescherming voor uw online veiligheid.