Radboud Universiteit verplicht multifactorauthenticatie voor vpn-dienst
De Radboud Universiteit heeft wegens de recente aanvallen op onderwijsinstellingen besloten om multifactorauthenticatie (MFA) voor de vpn-dienst eduVPN versneld te verplichten. Via eduVPN kan er toegang worden verkregen tot systemen die normaliter alleen toegankelijk zijn vanaf het netwerk van de Radboud Universiteit.
"Door de nieuwe werkwijze verandert de inlogmethode. Als je nog niet ingelogd bent, moet je vanaf nu je Radboud e-mailadres in combinatie met MFA gebruiken", zo laat de universiteit in een aankondiging weten. Als MFA-methode kan er worden gekozen uit een authenticator-app of sms. Zonder MFA-authenticatie is het niet meer mogelijk om van de vpn-dienst gebruik te maken.
Op een semi publiek toegankelijk instituut als een hoger onderwijs instelling is de VPN het slot op de deur. /sarcasm
Beveiliging is een stapeling van risico-acceptaties, maatregelen en (on)mogelijkheden. Als je je denkt in welke context ze de ict moeten inrichten, dan zou je ook kunnen zeggen dat ze helemaal zo slecht nog niet doen en dus allang wakker zijn. Maar allicht dat dat soort nuance niet aan een wakker iemand als jij besteedt is?
Als je namelijk een fictieve inlognaam gebruikt i.p.v. een e-mailadres dan ben je al een stuk veiliger en dat nog eens i.c.m. aanvullende MFA.
Ik zie het regelmatig terug in logfiles dat op VPN geprobeerd wordt om met e-mailadressen in te loggen door ongeautoriseerde terwijl e-mailadressen niet gebruikt worden voor het inlog proces maar fictieve inlognamen.
Ik raad het gebruik van e-mailadressen als inlognaam dan ook sterk af.
Dat is wel erg makkelijk gesteld. Of de aanwezigheid van MFA op een VPN tunnel een risico oplevert is geheel afhankelijk tot welke systemen het toegang ontsluit. Als de VPN tunnel voor studenten er bijvoorbeeld louter voor zorgt dat gebruikers een IP-adres krijgen waardoor ze wetenschappelijke publicaties kunnen inzien zonder tegen een paywall aan te lopen heeft het implementeren van MFA op de VPN wellicht weinig prioriteit. Het enige risico dat je dan loopt is dat je mogelijk uitgevers op je dak krijgt die vinden dat je te weinig doet aan het beschermen van hun auteursrechtelijk materiaal.
Op een semi publiek toegankelijk instituut als een hoger onderwijs instelling is de VPN het slot op de deur. /sarcasm
Beveiliging is een stapeling van risico-acceptaties, maatregelen en (on)mogelijkheden. Als je je denkt in welke context ze de ict moeten inrichten, dan zou je ook kunnen zeggen dat ze helemaal zo slecht nog niet doen en dus allang wakker zijn. Maar allicht dat dat soort nuance niet aan een wakker iemand als jij besteedt is?
k denk dat het anders is. ik denk dat vele bij rat boutje wel weten dat er nog meer moet gebeuren maar dat de TuE ervaringen van deze week deze maatregel ineens wel serieus vlug geaccepteerd heeft doen laten worden....
De authenticatie gebeurt via SURFconext ( https://www.surf.nl/diensten/surfconext ) wat een federatieve koppeling is naar je instellings AD account. Voordeel is geen aparte accounts, password policy van de instelling is van kracht en accounts worden geblokkeerd zodra je AD account stopt.
totp kan je helemaal niet afdwingen op een 2de device. Sterker nog je kunt het niet eens uniek maken. Want je kunt de zelfde seed codes gewoon op meerdere devices gebruiken. TOTP, ik gebruik het ook, maar is nu niet echt heel erg veilig te noemen.
Je noemt veiligere opties verplichten, maar komt nu niet echt met een hele veilig optie.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Security Adviseur
bij HHNK
Heb jij een passie voor informatiebeveiliging en wil je jouw expertise inzetten in een organisatie met impact? solliciteer nu! Bij HHNK hechten we veel waarde aan de veiligheid van onze informatie en systemen. Met een breed scala aan informatie-technologie (IT) en operationele technologie (OT) binnen onze taken, is het essentieel om deze veilig te houden.
Security Specialist
Directie Informatievoorziening & Inkoop
Als security specialist is je primaire taak het detecteren en het afhandelen van (mogelijke) security incidenten. Hiervoor vergaar je dreigingsinformatie en richt je op basis van risico's detectieregels in, opdat aanvallers in een zo vroeg mogelijk stadium geïdentifi-ceerd kunnen worden. Wanneer een dreiging wordt gedetecteerd, zorg jij ervoor dat de juiste acties worden uitgezet.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?