Inmiddels heeft u op het werk ongetwijfeld al gebruik gemaakt van meervoudige verificatie (MFA) om u veilig aan te melden bij uw online accounts. Het proces verloopt meestal ongeveer zo: u voert uw wachtwoord in, en de site of app vraagt u om uw aanmelding te bevestigen via een tweede methode, vaak een code op uw telefoon (per sms of via een verificatie-app). U voert die code in of bevestigt uw aanmelding, en vervolgens krijgt u toegang tot uw account. Het principe van MFA bestaat al vrij lang.
We gaan in op de ontwikkeling van MFA en brengen in kaart hoe MFA nog geavanceerder wordt om bedrijven te beschermen tegen nieuwe cyberbedreigingen.
Tussen 1990 en 2010: van iets voor geeks tot een gebruiksvriendelijke oplossing
MFA en zijn net iets oudere voorganger 2FA (voor “2-factor authentication”, dus tweevoudige verificatie) bestaan inmiddels ruim 20 jaar, in verschillende vormen. De oorsprong is niet helemaal duidelijk (AT&T claimt dat het de aanpak heeft bedacht in de jaren 90), en echt populair werd de technologie pas na de eeuwwisseling. Veel consumenten vonden 2FA onhandig, en ze gingen ervan uit dat alleen wachtwoorden genoeg zouden zijn om hun accounts veilig te houden. Sommige grotere bedrijven en organisaties met een hoger veiligheidsbewustzijn maakten gebruik van RSA, een soort cryptografie met openbare sleutels. RSA gebruikt twee aparte verificatietokens om de aanmeldingen van gebruikers te verifiëren. Maar voor de meeste bedrijven was deze technologie toen nog te duur, en ook te ingewikkeld om in te voeren. Rond 2005 raakte de ontwikkeling van meervoudige verificatie in een stroomversnelling, vooral omdat veel consumenten overstapten op smartphones. Omdat smartphones ook een geweldige technologie zijn om de productiviteit te verhogen, werden ze ook al snel geliefd in het bedrijfsleven. Sommige bedrijven voerden een BYOD-beleid in (“bring your own device”), waarmee medewerkers hun privételefoons ook zakelijk mochten gebruiken. De beschikbaarheid van smartphones op het werk en privé zorgde ervoor dat veel mensen plotseling gebruiksvriendelijke 2FA-opties kregen om hun online accounts veilig te houden. Ze konden eenvoudig verificatiecodes ontvangen per sms of e-mail, en dat maakte 2FA veel laagdrempeliger.Tussen 2000 en 2020: door gegevenslekken wordt de roep om 2FA en MFA veel luider
Consumenten en bedrijven werden rond 2010 een stuk ontvankelijker voor het idee om 2FA of MFA te gebruiken met hun smartphone. Tegelijkertijd namen gegevenslekken toe en begonnen hackers een steeds serieuzere bedreiging te vormen voor online veiligheid en privacy. Een golf van grote lekken trof particulieren, bedrijven, defensieaannemers en overheidsorganisaties. Spraakmakende hacks bij Sony Pictures Entertainment en het Amerikaanse Office of Personnel Management (OPM) haalden de krantenkoppen, net als vele andere grote lekken. In het begin van 2016 schreef President Obama een opiniestuk voor Wall Street Journal, waarin hij stelde dat alleen wachtwoorden niet voldoende waren om consumenten en bedrijven veilig te houden. Obama merkte op dat 9 van de 10 Amerikanen het gevoel hadden geen controle meer te hebben over hun persoonlijke gegevens, en kondigde een nationale bewustwordingscampagne aan: #Turnon2FA. Het doel was om meer Amerikanen aan te moedigen zichzelf online te beschermen. Al snel ondersteunden smartphones ook biometrische verificatietechnologieën, zoals vingerafdrukscans en gezichtsherkenning. Dit bracht de ontwikkeling van MFA nog eens extra in een stroomversnelling, en meer consumenten en bedrijven gebruikten meer MFA-methoden om hun accounts te beveiligen.De ontwikkeling van MFA om nieuwe bedreigingen het hoofd te bieden
2FA werkt met maar twee “factoren” (manieren om identiteit te verifiëren). MFA werkt over het algemeen met drie factoren: iets dat u weet, zoals een wachtwoord of het antwoord op een beveiligingsvraag, iets dat u hebt, zoals de code van een verificatie-app op uw telefoon, en iets dat specifiek is voor u persoonlijk, zoals uw vingerafdruk, uw gezicht of uw stem. Als een account wordt beveiligd met drie factoren, is het veel lastiger voor cybercriminelen om binnen te glippen. MFA biedt daarom een veel betere beveiliging dan alleen een wachtwoord, maar zelfs MFA kan niet alle risico's wegnemen. Als de gegevens van een gebruiker bijvoorbeeld al gelekt zijn en een hacker ze op het dark web heeft gekocht, wordt het een stuk eenvoudiger om binnen te komen in een account. Het is bekend dat hackers ook persoonlijke gegevens verkrijgen via social media, en hiervan gebruik maken om binnen te komen in de accounts van hun doelwit. Sommige verificatiemethoden hebben bovendien kwetsbaarheden in hun beveiliging. Hackers kunnen bijvoorbeeld een “sim-ruil” gebruiken om in te breken in een telefoon, zodat ze deze kunnen gebruiken voor verificatie per sms voordat het slachtoffer de inbraak bemerkt. Een ander risico is fysieke diefstal van een telefoon: als deze niet is vergrendeld met een code, gezichtsscan of vingerafdruk, kan de dief eenvoudig inbreken in online accounts en al snel gevoelige gegevens bemachtigen. Zelfs biometrische verificatie kan worden nagemaakt als de hacker voldoende technische middelen heeft. Dat betekent dat MFA verder moet worden ontwikkeld om mensen en bedrijven veilig te kunnen houden. MFA als tussenstop op weg naar een toekomst zonder wachtwoorden De ontwikkeling van MFA legt ook de basis voor een toekomst zonder wachtwoorden. Voor de komst van MFA wisten veel medewerkers alleen hoe ze wachtwoorden moesten gebruiken. Als iemand slordig omging met wachtwoorden, konden die eenvoudig gekraakt worden – wat een ernstig risico op gegevenslekken veroorzaakt. Toen medewerkers leerden hoe ze met MFA hun accounts en gegevens konden beveiligen, merkten ze ook dat het niet zo moeilijk hoeft te zijn om een extra beveiligingslaag toe te passen voor traditionele aanmeldingen op basis van wachtwoorden. Gebruikers met een iPhone of Android konden een MFA-code die binnenkwam per sms bijvoorbeeld automatisch laten invullen in het betreffende veld. Gebruikers met een verificatie-app konden simpelweg die app openen, de actieve code kopiëren en die direct invullen. Biometrische verificatie was zelfs nog makkelijker: één tik was voldoende. Na enige tijd leken de extra stappen niet zoveel extra werk, en gebruikers waren veel beter in staat om cyberaanvallen af te weren. En nu bedrijven en hun medewerkers gewend zijn aan MFA, zijn ze perfect voorbereid op de toekomst van wachtwoordloze verificatie. Met veilige verificatieprotocollen als FIDO2 kunt u nu bijvoorbeeld MFA gebruiken om wachtwoorden te vervangen of helemaal verleden tijd te maken. FIDO2 maakt het ook makkelijk voor gebruikers om zich snel aan te melden bij online diensten met hun mobiel of desktop, bijvoorbeeld met bekende methoden zoals een vingerafdruk. Daarom zullen uw medewerkers de wachtwoordloze verificatie waarschijnlijk snel aannemen: het werkt net zo snel en probleemloos als MFA. Ze beginnen dus niet bij nul en kunnen voortbouwen op bestaande kennis en gewoonten. Werken volgens FIDO2 is geen extra moeite, maar uw bedrijfsgegevens worden wel een stuk beter beveiligd.Hoe LastPass MFA kan helpen om uw bedrijf veilig te houden
De technologie van LastPass voor adaptieve MFA wordt continu verder ontwikkeld om beter te beschermen tegen belangrijke cyberbedreigingen, zoals aanvallen met gijzelsoftware. Dit zijn de voordelen van adaptieve MFA voor de veiligheid van uw bedrijf in een veranderd beveiligingslandschap:- Adaptieve verificatie. Door biometrische en omgevingsinformatie te combineren, controleert LastPass MFA de identiteit van gebruikers op basis van verschillende factoren. Dit helpt om uw bedrijf optimaal te beschermen in veranderende omgevingen.
- Wachtwoordloze gebruikerservaring. Uw medewerkers kunnen LastPass gebruiken om zonder wachtwoord toegang te krijgen tot hun werkaccounts vanaf al hun apparaten – zowel computers als tablets en telefoons.
- Instelbare MFA-methoden. LastPass biedt bedrijven flexibele opties voor verificatie. U kunt unieke MFA-factoren aanmaken op gebruikersniveau of groepsniveau om uw beveiliging waterdicht te maken.
- Eenvoudig MFA-beheer. LastPass maakt het makkelijk voor uw IT-team om MFA toe te passen voor allerlei toegangspunten, zoals cloudtoepassingen, VPN-verbindingen, werkstations, identiteitsproviders en nog veel meer. Zo werken steeds meer onderdelen van uw organisatie-architectuur op basis van zero trust en versterkt u uw algehele digitale beveiliging.
