Het Amerikaanse National Institute of Standards and Technology (NIST) heeft verklaard waarom sms niet meer geschikt is voor twee-factor authenticatie en op den duur moet worden uitgefaseerd. NIST, een organisatie die onder andere verantwoordelijk is voor het opstellen van beveiligingsrichtlijnen voor de Amerikaanse overheid, kwam onlangs in het nieuws vanwege een nieuwe conceptrichtlijn voor digitale authenticatie.

Daarin werd gesteld dat sms voor twee-factor authenticatie uiteindelijk moet worden vervangen. Veel organisaties maken gebruik van sms voor twee-factor authenticatie, bijvoorbeeld voor het versturen van TAN-codes bij internetbankieren of het inloggen met DigiD. Volgens het NIST spelen er twee factoren een rol waarom sms in de toekomst niet langer geschikt is. De eerste reden is dat sms-berichten niet alleen meer alleen naar telefoons worden verstuurd.

Door de opkomst van voip en andere ip-gebaseerde diensten kunnen sms-berichten ook via internet binnenkomen. Een aanvaller hoeft in dit geval niet meer de fysieke controle over de telefoon van de gebruiker te hebben om de extra inlogcode te onderscheppen. Het NIST stelt dan ook dat overheidsinstanties eerst moeten controleren of het opgegeven nummer echt van een mobiele telefoon is. Voip is voor digitale authenticatie dan ook niet geschikt, aldus de organisatie.

Maar zelfs als het sms-bericht naar een echte telefoon gaat biedt dit nog niet voldoende zekerheid, wat de tweede reden is. Onderzoekers hebben namelijk aangetoond dat het steeds eenvoudiger en goedkoper wordt om grote hoeveelheden sms-berichten te onderscheppen of door te sturen. "Hoewel een wachtwoord gekoppeld met sms een hoger beschermingsniveau biedt ten opzichte van alleen een wachtwoord, heeft het niet de kracht van authenticatie via het apparaat zelf", aldus de uitleg van het NIST. Het kan dan bijvoorbeeld gaan om een app om een extra inlogcode mee te genereren.

Het NIST stelt verder dat het advies er vooral op is gericht om sms in de toekomst uit te faseren en overheidsinstanties hier nu al op voor te bereiden. "Hoewel sms een populaire en gemakkelijke keuze is, moeten overheidsinstanties rekening houden met de beveiligingsgevolgen van sms als een tweede factor. Het gebruik van sms naar mobiel als tweede factor is minder effectief dan sommige andere aanpakken, maar effectiever dan een enkele factor."