Dank voor alle reacties!
11-06-2023, 09:49 door waterlelie: Vingerafdrukbeveiliging, hoe gebruiksvriendelijk werkt dat eigenlijk, mislukt het wel eens, met als gevolg stress bijvoorbeeld. Gewoon een pincode van 5 cijfers is toch veel betrouwbaarder, of helemaal geen beveiliging.
Zo te zien heb je het nog nooit geprobeerd. Juist omdat biometrische authenticatie niet altijd betrouwbaar werkt, is het -vziw- altijd een alternatief voor een PINcode of wachtwoord.
Beide methodes zijn het beste vergelijkbaar qua "veiligheid" (totale risico op ongeautoriseerde toegang). Eén van de twee
mag veel sterker zijn, maar veel zin heeft dat dan meestal niet.
Ik gebruik de vingerafdrukscanner op mijn smartphones
omdat ik een relatief lang wachtwoord heb ingesteld voor schermontgrendeling, en ik het teveel gedoe vind als ik dat wachtwoord
élke keer moet invoeren om een scherm te ontgrendelen, laat staan een wachtwoord of een passkey (voor een extern account) vrij te geven. Af en toe
moet ik (van iOS en Android, sowieso
altijd na (re)boot) dat wachtwoord gebruiken, om te voorkómen dat ik het vergeet. Zo'n moment komt altijd ongelegen, maar het is m.i. wel het beste zo.
Een belangrijke reden voor mij om een relatief lang wachtwoord voor schermvergrendeling te gebruiken is dat ik niet precies weet waar die "code" allemaal
nog meer voor wordt gebruikt. Bijvoorbeeld Google schrijft in
https://support.google.com/accounts/answer/11350823?hl=en , onder
Losing access to your data (overigens met een zeer verwarrende Nederlandse vertaling, te zien door "en" op het einde van de URL te vervangen door "nl"), dat je jouw (in Android opgeslagen) wachtwoorden en passkeys zou kunnen recoveren door uitsluitend jouw "
Screen lock on Android, if you added one" te kunnen reproduceren. Niet vermeld wordt of je daarvoor
tevens nog het (voor jou toegankelijke) device in bezit moet hebben (waar die unlock screen code voor geldt) om die code te kunnen gebruiken.
Zo niet: zonder een onwerkbaar trage KDF is een PINcode nooit sterk genoeg om een
versleuteld bestand (dat zichzelf niet kan verdedigen met account-lock-outs) te beschermen. Overigens, als je een sync-passphrase gebruikt en jouw Android smartphone gestolen, irreparabel defect raakt of gereset is (dat laatste is, naar verluidt, nodig na 5 foute pogingen:
https://support.google.com/android/answer/7663172?hl=en), zul je die natuurlijk ook moeten kunnen reproduceren.
Het kan aan mij liggen, maar ik vind de door Google gepubliceerde hulppagina's extreem onduidelijk. Zo kom ik op een aantal plaatsen "sign in to Chrome" tegen. Ik heb nog nooit meegemaakt dat ik
op een browser zelf moest inloggen.
11-06-2023, 09:49 door waterlelie: Als je niet wilt dat persoonlijke gegevens in handen van derden valt als je smartphone wordt gestolen, of verloren, zet dan gewoon niet al je persoonlijke zaken op dezelfde smartphone.
En uit de eerste reactie in deze pagina:
09-06-2023, 09:02 door Anoniem: Het is domweg geen goed idee om volledige toegang tot je bankzaken, DigiD, vertrouwelijke documenten etc. overal met je mee te dragen op een apparaat dat je ook in het openbaar gebruikt, veelvuldig zelfs.
Feit is dat een overgrote meerderheid van de Nederlanders dit
wél doet, daartoe aangemoedigd (of zelfs gedwongen) door Big Tech, de Nederlandse Overheid, familie, vrienden en collega's.
We kunnen twee dingen doen:
1) Afraden om smartphones voor o.a. geldzaken te gebruiken;
2) Uitzoeken hoe dit zo veilig mogelijk kan en dat, zo objectief mogelijk, adviseren.
11-06-2023, 09:49 door waterlelie: Ik zou bijna zeggen houd gewoon eens op met die beveiligingsmanie, want het overgrote deel van de gebruikers snapt er helemaal niets van, inclusief mijzelf.
Die oproep begrijp ik niet; in januari schreef je zelf nog dat je een Yubikey gebruik(te) (
https://security.nl/posting/780197). Ook met het oog op de andere topics die je bent gestart (
https://security.nl/profile?alias=waterlelie) snap ik dit niet. Bovenal zie ik niet wat er zo onduidelijk is aan mijn topic. Heb je de WSJ filmpjes bekeken?
Er zijn steeds duurdere smartphones in gebruik en/of mensen zetten steeds meer lucratieve gegevens (voor criminelen) op hun toestellen. Om wat aan een gestolen smartphone
zélf te hebben,
zál een dief het bijbehorende cloudaccount moeten overnemen - om "Find my device" e.d. te kunnen uitschakelen en aan de fabrikant te kunnen "bewijzen" dat die dief de rechtmatige eigenaar is, en in andere gevallen om een "remote wipe/erase" te voorkómen. En
als een dief die toegang tot het cloud-account eenmaal heeft (wat vaak onmiddelijk het geval is zodra die dief het scherm heeft weten te ontgrendelen), is het helemaal een koud kunstje om aanvullende identiteitsfraude te plegen.
11-06-2023, 14:33 door Anoniem: Biometrische gegevens zijn totaal ongeschikt voor authenticatie.
Waarom niet? En welk alternatief is dan "beter", en onder welke omstandigheden alsnog geen goed idee?