MFA (multifactorauthenticatie)

Multifactorauthenticatie (MFA) is een inlogmethode waarbij u uw identiteit met minstens twee onafhankelijke bewijzen aantoont, zodat een gestolen wachtwoord op zichzelf niet meer volstaat. In het dagelijks spraakgebruik wordt de term gelijkgesteld aan tweefactorauthenticatie (2FA), simpelweg het geval met precies twee factoren.

Wat betekent het

Factoren vallen in drie categorieën. Kennis is iets wat u weet, zoals een wachtwoord of een pincode. Bezit is iets wat u heeft, zoals een telefoon, een smartcard of een hardwaresleutel. Inherentie is iets wat u bent, zoals een vingerafdruk of een gezichtsscan. Echte MFA combineert factoren uit verschillende categorieën: een wachtwoord plus een geheime vraag is twee keer kennis en levert dus geen tweede laag op. Locatie, tijdstip en de staat van het apparaat zijn signalen die meewegen in een risicoafweging, maar het zijn geen factoren.

Waarom het ertoe doet

Aanvallen die alleen op het wachtwoord mikken, zoals credential stuffing na een datalek elders of brute force op een inlogpagina, stranden op een correct ingerichte tweede factor. Wat MFA niet doet, is alle implementaties gelijkwaardig maken.

Eenmalige codes per sms zijn de zwakste gangbare optie: het telefoonnummer is niet de telefoon. Het kan via een SIM swap bij de provider naar de aanvaller worden verplaatst, in het mobiele netwerk worden onderschept of na hergebruik van een oud nummer bij een vreemde terechtkomen. Pushbevestigingen falen anders. Een aanvaller die het wachtwoord al heeft, stuurt prompt na prompt tot de gebruiker op goedkeuren tikt om ervan af te zijn, bekend als MFA-moeheid. Bovendien is elke code- of pushfactor, ook uit een authenticator-app, in realtime door te geven: een phishingkit die als reverse proxy werkt, stuurt uw invoer door naar de echte site en neemt de sessiecookie mee.

FIDO2 en WebAuthn, de standaarden achter passkeys en hardwaresleutels, sluiten dat gat per ontwerp. De privésleutel verlaat het apparaat niet en de handtekening die hij zet, dekt het domein dat erom vroeg. De browser biedt alleen een sleutel aan die voor precies dat domein is geregistreerd, dus een nagemaakt domein krijgt niets bruikbaars. Aan de serverkant staat bovendien geen gedeeld geheim dat gestolen kan worden.

Voorbeeld

Een beheeraccount is beveiligd met een wachtwoord en pushbevestigingen. Het wachtwoord duikt op in een datalek en de aanvaller stuurt ’s avonds laat de ene goedkeuringsvraag na de andere, tot er een wordt geaccepteerd. Er is geen malware gebruikt en geen kwetsbaarheid misbruikt. Met een passkey was dezelfde poging bij de eerste stap gestrand.