Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
2-Factor authenticatie & webmail Nederlandse providers
01-08-2017, 10:42 door Anoniem, 9 reacties
Vandaag de dag zien we dat allerlij diensten, van LinkedIn en Facebook, tot aan bitcoin trading platformen, hard bezig zijn om met 2-factor authenticatie oplossingen zoals Google Authenticator de veiligheid voor gebruikers te verhogen.
Met Google Authenticator moet je mbv een app op je telefoon een one-time password creeeren, zodat hackers ook met onderschepte credentials niet op je account kunnen inloggen.
Wat ik mij afvraag is of Nederlandse providers ook van plan zijn om met dergelijke verbeteringen op het gebied van veiligheid te komen. Bij de meeste providers lijkt de verdere ontwikkeling op dit gebied, bijvoorbeeld bij Webmail, en bij Self-care omgevingen volledig stil te staan.
Weet iemand of providers uberhaupt nadenken over dit soort vraagstukken ? En is er een rol voor het NCSC, om hen een zetje in de goede richting te geven, bijvoorbeeld in het kader van de Nationale Cyber Veiligheids Strategie ?
Indien de accounts van Nederlandse internet gebruikers, bij de eigen providers, (eindelijk) eens wat beter worden beschermd, dan zal dit, naast alle awareness campagnes en dergelijke, een wezenlijke bijdrage kunnen leveren aan de cyber veiligheid van ons land.
Ga maar eens na hoeveel accounts en passwords van klanten van Nederlandse providers rondzwerven op internet, en opgenomen zijn in databases met informatie van breaches zoals HaveIBeenPowned.
Anno 2017 kan het echt niet meer zo zijn, dat onze providers aan de zijlijn blijven staan, wanneer het gaat om dit soort wezenlijke verbeteringen op veiligheidsgebied van hun dienstverlening.
Zou het er ooit komen, of ''kost het teveel'' om produkten op dit gebied voldoende verder te ontwikkelen ?
Met Google Authenticator moet je mbv een app op je telefoon een one-time password creeeren, zodat hackers ook met onderschepte credentials niet op je account kunnen inloggen.
Wat ik mij afvraag is of Nederlandse providers ook van plan zijn om met dergelijke verbeteringen op het gebied van veiligheid te komen. Bij de meeste providers lijkt de verdere ontwikkeling op dit gebied, bijvoorbeeld bij Webmail, en bij Self-care omgevingen volledig stil te staan.
Weet iemand of providers uberhaupt nadenken over dit soort vraagstukken ? En is er een rol voor het NCSC, om hen een zetje in de goede richting te geven, bijvoorbeeld in het kader van de Nationale Cyber Veiligheids Strategie ?
Indien de accounts van Nederlandse internet gebruikers, bij de eigen providers, (eindelijk) eens wat beter worden beschermd, dan zal dit, naast alle awareness campagnes en dergelijke, een wezenlijke bijdrage kunnen leveren aan de cyber veiligheid van ons land.
Ga maar eens na hoeveel accounts en passwords van klanten van Nederlandse providers rondzwerven op internet, en opgenomen zijn in databases met informatie van breaches zoals HaveIBeenPowned.
Anno 2017 kan het echt niet meer zo zijn, dat onze providers aan de zijlijn blijven staan, wanneer het gaat om dit soort wezenlijke verbeteringen op veiligheidsgebied van hun dienstverlening.
Zou het er ooit komen, of ''kost het teveel'' om produkten op dit gebied voldoende verder te ontwikkelen ?
Reacties (9)
Jij betaald toch je provider? Spreek hem er eens op aan! Publiek, op hun eigen forum bijvoorbeeld, dat alle andere klanten ook gaan reageren.
Jij betaald toch je provider? Spreek hem er eens op aan! Publiek, op hun eigen forum bijvoorbeeld, dat alle andere klanten ook gaan reageren.
Toevallig gedaan, net voor het plaatsen van deze post, richting hun Twitter Webcare team ;)
Door Anoniem: @TS
Gewoon lekker je eigen mail hosten, klaar is mohammed.
Dus zelf installeren, configureren, beheren, backupen en patchen. En maar hopen dat die niet kapot gaat, of een belangrijke security patch tijdens je vakantie krijgt.Gewoon lekker je eigen mail hosten, klaar is mohammed.
De vraag is hoe veilig het dan allemaal is. Nog even afgezien dat je nog steeds een ISP nodig hebt, die geen 2FA heeft voor je Internet toegang.
Of dit dus nu een echt goed idee is, daar zou je nog eens een minuut over moeten nadenken....
Je kunt tegenwoordig heel gemakkelijk sterke authenticatie diensten integreren zoals Azure MFA (Microsoft), DUO (o.a. Google) en het Nederlandse ID Control. Misschien eens aan je provider voorleggen?
2-Factor authenticatie lijkt me valse veiligheid bij webmail. Bij de meeste gevallen van webmail aanbieders, is er ook een optie om via IMAP te verbinden. Het IMAP protocol ondersteunt echter geen 2-Factor authenticatie zodat je altijd via die methode bij iemands mail kunt, als je het wachtwoord bezit.
02-08-2017, 17:47 door
Briolet
Een correctie op mijn bovenstaande bewering over IMAP. Het protocol ondersteunt dan wel geen 2FA, maar het is wel te beveiligen tegen benadering vanaf andere apparaten. Apple heeft sinds kort een beveiliging toegevoegd aan hun IMAP die eist dat je de mail vanaf een bekend apparaat benaderd. Elke keer als je de mail vanaf een nieuw apparaat wilt benaderen, moet je eerst inloggen en dat apparaat als veilig aanmerken.
Dat is niet helemaal 2FA maar maakt het derden wel lastig, ook al hebben ze het ww.
Dat is niet helemaal 2FA maar maakt het derden wel lastig, ook al hebben ze het ww.
Nee, fijn... mensen dwingen om een spionage telefoon te hebben. Er is een reden dat ik zo'n kreng niet heb.
Extra beveiliging is een prima idee, maar dit is het paard achter de wagen spannen!
Extra beveiliging is een prima idee, maar dit is het paard achter de wagen spannen!
08-08-2017, 13:41 door
linuxpro
Ik draai op een eigen webserver in Nederlands datacenter Roundcube en de google authenticator plugin. Werkt als een speer en geeft aardig wat zekerheid.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
