65-plussers gebruiken tweestapsverificatie minder vaak dan gemiddeld
Nederlanders maken vooral gebruik van tweestapsverificatie (2FA) bij online overheidsdiensten (77%), medische diensten (64%) en financiële diensten (59%). Het gebruik verschilt echter per leeftijdsgroep: 65-plussers passen 2FA bij vrijwel alle online diensten minder vaak toe. Zo gebruikt 66% van hen 2FA bij overheidsdiensten (tegen 77% gemiddeld) en 49% bij financiële diensten (tegen 59% gemiddeld).
Dit blijkt uit onderzoek van Motivaction, uitgevoerd in opdracht van Dienst Publiek en Communicatie (DPC) en het ministerie van Justitie en Veiligheid. In het onderzoek is extra aandacht besteed aan het gebruik van 2FA onder 65-plussers.
Belang van online beveiliging
Nederlanders vinden de beveiliging van online diensten over het algemeen belangrijk, vooral bij overheidsdiensten (94%), financiële instellingen (94%), medische diensten (92%) en hun privémail (92%). 65-plussers hechten hier gemiddeld iets minder waarde aan. Zo vindt 79% van hen 2FA belangrijk voor werkmail (tegen 89% gemiddeld), 79% voor berichtendiensten (tegen 85% gemiddeld) en 75% voor online winkels (tegen 80% gemiddeld).
Wie géén 2FA instelt voor zijn privémailaccount, noemt vooral dat het te veel gedoe is (34%) of geeft aan er nooit over te hebben nagedacht (25%). Nederlanders die wél 2FA gebruiken, doen dat meestal omdat het verplicht is (53%) of omdat het hen een veiliger gevoel geeft (44%). Onder 65-plussers liggen deze percentages op respectievelijk 44% en 47%.
Risicoperceptie en zorgen
Ongewenste toegang tot overheids- (96%) en financiële diensten (95%) wordt als het meest ernstig ervaren. Toegang tot privémail wordt als minder ernstig gezien: gemiddeld vindt 61% dit zorgwekkend, tegenover 48% bij 65-plussers. Veel Nederlanders denken dat hun e-mail weinig gevoelige informatie bevat en daarom niet interessant is voor cybercriminelen.
Online criminaliteit bij financiële (50%) en overheidsdiensten (48%) baart ongeveer de helft van de Nederlanders zorgen. Onder 65-plussers liggen deze percentages hoger, met respectievelijk 56% en 55%. Een kwart van de Nederlanders maakt zich zorgen over criminaliteit via berichtendiensten (25%), sociale media (24%) en webwinkels (23%).
Privémail en risico’s
Privémailadressen van Nederlanders zijn het vaakst gekoppeld aan accounts van webwinkels (64%) en overheidsdiensten (54%). 73% van de Nederlanders beseft beseft dat iemand met toegang tot hun privémail zich als hen kan voordoen. Iets meer dan de helft (55%) weet dat hiermee ook persoonlijke documenten en foto’s kunnen worden ingezien. Een minderheid (39%) realiseert zich dat kwaadwillenden via privémail ook toegang tot andere accounts kunnen krijgen, of zelfs bankgegevens kunnen inzien (30%). 65-plussers geven bovengemiddeld vaak aan niet goed te weten wat de mogelijke gevolgen zijn van ongeautoriseerde toegang tot hun e-mail.
Voorlichtingscampagne
Eind november start de overheid een voorlichtingscampagne waarin 65-plussers worden opgeroepen tweestapsverificatie in te schakelen voor hun online accounts. De campagne heeft als doel het bewustzijn te vergroten over de risico’s van het níet gebruiken van 2FA en de voordelen van het wél instellen ervan.
Reacties (64)
12-11-2025, 09:14 door
Anoniem
"Een minderheid (39%) realiseert zich dat kwaadwillenden via privémail ook toegang tot andere accounts kunnen krijgen, of zelfs bankgegevens kunnen inzien (30%). "
Word hiermee bedoelt dat dit het geval is indien je daadwerkelijk "bankstukken" in je mail hebt staan? Met alleen mijn mailadres kan je je ING wachtwoord niet resetten, daar is het mobiele nummer voor nodig om een SMS code te ontvangen.
Word hiermee bedoelt dat dit het geval is indien je daadwerkelijk "bankstukken" in je mail hebt staan? Met alleen mijn mailadres kan je je ING wachtwoord niet resetten, daar is het mobiele nummer voor nodig om een SMS code te ontvangen.
2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
12-11-2025, 09:28 door
Anoniem
Tegen de tijd dat ooit de 65+ haal, zal ik ook wel baldadig zijn.
79% van de 65+ vind 2FA belangrijk voor werkmail?
Dat percentage gaat vanzelf wel omhoog als de AOW leeftijd weer 'ns naar boven gesteld word.
79% van de 65+ vind 2FA belangrijk voor werkmail?
Dat percentage gaat vanzelf wel omhoog als de AOW leeftijd weer 'ns naar boven gesteld word.
12-11-2025, 09:54 door
Anoniem
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Het advies van een technicus. Een groot deel van de Nederlanders begrijpt wel hoe je een SMS-code moet invoeren. Een groot deel van de Nederlanders begrijpt niets van installatie van software, domeinnamen, het bijhouden van patches voor deze nieuwe software, de afhankelijkheid van de overheid voor IT-adviezen (die niet gelezen worden, niet opgevolgd worden, niet gevonden kunnen worden wanneer de adviezen worden aangepast etc.) en ga zo maar verder.
We zijn helaas zover gekomen dat alles en iedereen via internet diensten moet afnemen, maar dat veruit het grootste deel geen kennis van IT noch affiniteit heeft met IT. Zie het als het autorijd voorbeeld dat i, standaard gebruik: als 30% van de mensen voldoende kennis heeft om auto te rijden, maar we jagen iedereen de snelweg op, dan is het een kwestie van wachten totdat de pl**%# uitbreekt. We zien dat nu ook in IT-land. Makkelijk voor de bedrijven, maar de gevolgen kunnen we iedere dag lezen op dit forum. Infrastructuren die met geen mogelijkheid meer veilig zijn te krijgen, maar waar ieder jaar maar extra miljarden tegenaan worden gegooid om te redden wat er te redden valt. Een extra wachtwoordmanager gaat daar echt niet tegen helpen.
12-11-2025, 10:03 door
Anoniem
2FA beveiliging kan er ook voor zorgen dat Office 2019 niet up-to-date is. https://learn.microsoft.com/en-us/officeupdates/update-history-office-2019.
Twee weken terug wilde ik Office 2019 bij mijn ouders deïnstalleren en vervangen door Office 2024, maar de refurbished telefoon van mijn vader bleek onverwacht in een bootloop te zitten. Ik kon dus geen SMS ontvangen voor de installatie van Office 2024.
Vanwege ESU had ik niet eerder tijd gehad en ik vrees ook dat mijn vader de overstap naar Office 2024 helemaal niet leuk gaat vinden. Ik gunde hem nog een extra productief maandje met de oude Office 2019. Bovendien was ESU wel spannend tot op het laatste moment dus ik wilde dat eerst voor elkaar hebben omdat je Office 2024 maar eens in de 90 dagen opnieuw mag installeren van Microsoft.
2FA is niet altijd veiliger. Soms kan je erdoor gehackt worden omdat je updates niet in orde zijn.
Twee weken terug wilde ik Office 2019 bij mijn ouders deïnstalleren en vervangen door Office 2024, maar de refurbished telefoon van mijn vader bleek onverwacht in een bootloop te zitten. Ik kon dus geen SMS ontvangen voor de installatie van Office 2024.
Vanwege ESU had ik niet eerder tijd gehad en ik vrees ook dat mijn vader de overstap naar Office 2024 helemaal niet leuk gaat vinden. Ik gunde hem nog een extra productief maandje met de oude Office 2019. Bovendien was ESU wel spannend tot op het laatste moment dus ik wilde dat eerst voor elkaar hebben omdat je Office 2024 maar eens in de 90 dagen opnieuw mag installeren van Microsoft.
2FA is niet altijd veiliger. Soms kan je erdoor gehackt worden omdat je updates niet in orde zijn.
12-11-2025, 10:13 door
Anoniem
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Het probleem met een "wachtwoordmanager" is dat je niet (zeker) kunt weten of anderen die ook kunnen gebruiken om jouw wachtwoorden eruit te halen. Dat is namelijk het grote probleem met alle software op een computer die op internet is aangesloten.Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Dan is mijn kaartenbak met gecodeerde wachtwoorden toch nog wel wat veiliger, zeker in combinatie met SMS 2FA.
En als dat niet veilig genoeg is, dan is Internet gewoon niet geschikt om belangrijke zaken als financien te regelen.
DAT zou de overheid dan ook moeten adviseren, net als bij beleggen:
met internetbankieren kunt u uw geld kwijtraken...
12-11-2025, 10:41 door
Anoniem
Door Anoniem: "Een minderheid (39%) realiseert zich dat kwaadwillenden via privémail ook toegang tot andere accounts kunnen krijgen, of zelfs bankgegevens kunnen inzien (30%). "
Word hiermee bedoelt dat dit het geval is indien je daadwerkelijk "bankstukken" in je mail hebt staan? Met alleen mijn mailadres kan je je ING wachtwoord niet resetten, daar is het mobiele nummer voor nodig om een SMS code te ontvangen.
Word hiermee bedoelt dat dit het geval is indien je daadwerkelijk "bankstukken" in je mail hebt staan? Met alleen mijn mailadres kan je je ING wachtwoord niet resetten, daar is het mobiele nummer voor nodig om een SMS code te ontvangen.
Er zullen vast wel banken zijn die het minder goed voor elkaar hebben en waarbij email wel hetzij direct de gegevens, hetzij een password reset medium is.
Je moet bedenken dat zo'n publieksstatement nooit op alle situaties van toepassing is.
12-11-2025, 10:43 door
Anoniem
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Bij U2F is de domeinnaam onderdeel van de gegevens waaruit de response wordt gegenereerd, waardoor het aan meerdere domeinen te koppelen is zonder daarvoor iets op het token te hoeven opslaan/instellen en waardoor het bij een fake domein een onbruikbare code afgeeft. Dat is een vorm van 2FA die daar rekening mee houdt, dus "2FA is ruk" in het algemeen is een beetje onzin in mijn ogen.Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Niet dat ik dat voor internetbankieren of hogere DigiD-niveaus vind volstaan. Wat ik zou zien zitten is de combinatie van het gebruik van de domeinnaam en wat de Rabo- en ING-scanners hebben: een display voor what you see is what you sign en een numerieke keypad voor de pincode van het apparaat. Maak daar à la FIDO een open standaard van, test wel implementaties van verschillende leveranciers grondig, en maak het mogelijk dat je dat op het gemeentehuis, bankkantoren en waar het nog meer handig is aan je gecontroleerde identiteit koppelt, of als dat voldoende dicht te timmeren is via een online procedure in combinatie met een schriftelijke bevestiging. De werking van zo'n ding moet zo recht voor zijn raap zijn dat het heel grondig door te lichten en te testen is en dus heel robuust, wat de kans minimaliseert dat er ooit een lek in hersteld moet worden, wat maakt dat updates van de firmware in beginsel niet hoeven, dus ook niet hoeven te kunnen, en als ze niet kunnen dus ook voor een aanvaller onmogelijk zijn.
<effe roepen in de woestijn>
Werk dat uit, EU en Europese overheden, standaardiseer dat voor de hele EU, en laat commerciële partijen er (goedgekeurde) implementaties van maken die mensen kunnen aanschaffen en voor veel dingen kunnen gebruiken. Geef eens wat tegengas tegen dat onzalige idee af dat alles op een smartphone moet in plaats van daarin mee te gaan. Het is geen goed idee om het apparaat waarmee je al je geld kan kwijtraken overal bij je te hebben, en naast je op een terrastafeltje te hebben liggen terwijl je licht aangeschoten al je aandacht bij dat geanimeerde gesprek hebt dat je met een ander voert. Het is geen goed idee om zo'n kritische functie te combineren met een razend complex besturingssysteem dat gegarandeerd nog onontdekte fouten bevat en apps uit allerlei bronnen die die fouten kunnen proberen te misbruiken. In plaats van de grote massa's te volgen in hun ondoordachte voorkeur voor de "handige" eenvoud van één apparaat, dat eenvoudig oogt maar supercomplex is, waar als je pech hebt niet alleen jij maar ook een aanvaller alles mee kan, zou wat mij betreft gehamerd moeten worden op de veiligheid van een zelfstandig apparaatje waarvan je het display beter kan vertrouwen dan dat van je pc of smartphone, de veiligheid van een apparaatje dat alleen maar die ene functie vervult en afgeschermd is van wat anderen wel zouden willen.
</effe roepen in de woestijn>
12-11-2025, 11:35 door
Anoniem
De drang om de mensen die niet digitaal onderlegd zijn te Digi(d)taliseren is enorm. Alles moet digitaal worden opdat je nog gemakkelijker je rechten en geld kunt verliezen. Dit geeft de overheid macht over jou en kan jouw beslissingen zo vormgeven of zelfs afdwingen.
Juist de ouderen weten nog hoe het was om in vrijheid te leven en zullen daar ook zolang mogelijk aan blijven hangen.
Juist de ouderen weten nog hoe het was om in vrijheid te leven en zullen daar ook zolang mogelijk aan blijven hangen.
12-11-2025, 11:37 door
Anoniem
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Goede onderbouwing!
De overheid doet dit volgens mij al met de DigID app...
12-11-2025, 11:37 door
EersteEnigeEchte M.J. - EEEMJ
Door Anoniem:
Dan is mijn kaartenbak met gecodeerde wachtwoorden toch nog wel wat veiliger, zeker in combinatie met SMS 2FA.
En als dat niet veilig genoeg is, dan is Internet gewoon niet geschikt om belangrijke zaken als financien te regelen.
DAT zou de overheid dan ook moeten adviseren, net als bij beleggen:
met internetbankieren kunt u uw geld kwijtraken...
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Het probleem met een "wachtwoordmanager" is dat je niet (zeker) kunt weten of anderen die ook kunnen gebruiken om jouw wachtwoorden eruit te halen. Dat is namelijk het grote probleem met alle software op een computer die op internet is aangesloten.Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Dan is mijn kaartenbak met gecodeerde wachtwoorden toch nog wel wat veiliger, zeker in combinatie met SMS 2FA.
En als dat niet veilig genoeg is, dan is Internet gewoon niet geschikt om belangrijke zaken als financien te regelen.
DAT zou de overheid dan ook moeten adviseren, net als bij beleggen:
met internetbankieren kunt u uw geld kwijtraken...
Precies. Als persoon besteed je met zo'n virtuele "wachtwoordmanager" dan ook de controle over je eigen beveiliging weer uit aan een extern systeem waar je geen zicht op hebt. Dat is inherent juist onveilig. Juist vanwege de mogelijkheid van AitM (attacks-in-the-middle).
Wat betreft de "risicoperceptie" van senioren (65+). Zij schatten voor een deel ook terecht in dat zij minder risico's lopen, zolang zij geen gekke dingen doen. Ze zitten als persoon vaak diep verankerd in het systeem, bijvoorbeeld doordat ze al dertig jaar bij dezelfde bank bankieren en op hetzelfde adres wonen. Traditionele beveiligingsmechanismen zoals 2FA voldoen dan vaak prima.
Het probleem onstaat juist wanneer banken en andere organisaties die klanten of burgers zouden moeten bedienen, die traditionele beveiligingsmechanismen en de processen waarin die mechanismen adequate bescherming bieden, afschaffen. Het is alsof organisaties 65-plussers voor de bus gooien en dan zeggen dat ze moeten gaan trainen om hun sprint te verbeteren zodat ze op tijd voor die bus kunnen wegrennen om niet overreden te worden.
Iedereen die het haalt, wordt op enig moment 65-plusser, en wil dan simpeler en rustiger gaan leven, niet gestoord door allerlei hoepels waar IT-nerds en techno-gehypnotiseerde overheidsmanagers willen dat ze doorheen gaan springen.
Er is bij de overheid en bijvoorbeeld banken een enorm gebrek aan empathie voor mensen, en een groot gebrek aan respect voor de wens van mensen om op een goede, prettige manier te kunnen leven.
M.J.
12-11-2025, 11:53 door
_R0N_
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Leuk voor mensen die hier rondhangen maar voor de gemiddelde gepensioneerde is dat te ingewikkeld.
Je moet buiten je eigen bubbel denken en denken in de beleving van je oma.
12-11-2025, 11:54 door
Anoniem
Dat heeft net zoveel nieuwswaarde als 65+ ers doen minder aan triathlons... duh...
De meeste hoeven niet mee te doen met de waan van de dag, sommige kunnen niet eens mee doen met de waan van de dag, de nieuwste innovatie verzonnen door en voor stuiterkonijnen met teveel rode kleurstof en nepcola met lange koolstofketens..
Bankzaken kun je ook prima doen bij een balie, dat hoeft niet op een telefoon, die je dan weer elke 2 jaar nieuw moet kopen om weer mee te kunnen doen. Wij van WC-Eend vinden dat er mee gepoept moet worden.. of was het meer zeiken? (pun intended)
De meeste hoeven niet mee te doen met de waan van de dag, sommige kunnen niet eens mee doen met de waan van de dag, de nieuwste innovatie verzonnen door en voor stuiterkonijnen met teveel rode kleurstof en nepcola met lange koolstofketens..
Bankzaken kun je ook prima doen bij een balie, dat hoeft niet op een telefoon, die je dan weer elke 2 jaar nieuw moet kopen om weer mee te kunnen doen. Wij van WC-Eend vinden dat er mee gepoept moet worden.. of was het meer zeiken? (pun intended)
12-11-2025, 12:20 door
Anoniem
Door Erik van Straten: Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Wachtwoordenkluis of -beheerder
Dat is een digitaal hulpje dat de wachtwoorden bedenkt, onthoudt en veilig voor je bewaart. En dat hoeft niet veel te kosten. Er zijn heel goede gratis wachtwoordmanagers.’ ‘Kijk op www.veiliginternetten.nl welke wachtwoordmanager bij jou past.’
https://www.maakhetzeniettemakkelijk.nl/online-veiligheid/wachtwoorden
De voorlichting geeft inderdaad nog geen vermelding of een wachtwoordmanager wel of niet domeinnamen controleert. :(
12-11-2025, 12:25 door
Anoniem
Ik ben een flink eind voorbij de 65 en heb al jaren geprobeerd 2FA in te stellen op mijn kpnmail.nl account; ook vandaag weer, maar tot dusver zonder succes. Omdat je hoofd email account wordt gebruikt voor het herstellen van andere accounts is het niet kunnen instellen van 2FA op kpnmail.nl een serieus probleem. Een boef die je wachtwoord heeft gestolen kan zomaar op zijn computer een email programma als Thunderbird installeren en zich volautomatisch toegang tot je mail verschaffen. Zaak dus om te voorkomen dat je gehackt wordt, maar dat lukt zelfs veel grote bedrijven en instellingen niet. Dus zit er als gewone consument helaas niets anders op dan je wachtwoord voor kpnmail.nl te veranderen wanneer je een hack vermoedt. Wat verder helpt is bij andere accounts waarbij men wel een authenticator programma kan gebruiken dat ook zoveel mogelijk ook te doen om daarmee die accounts zoveel mogelijk te beschermen. Verder bieden die accounts meestal de mogelijkheid om herstelcodes te gebruiken; die kun je het liefst versleutelen en op een los medium, dus niet in de cloud, opslaan.
12-11-2025, 12:38 door
Anoniem
Door Anoniem:
als 30% van de mensen voldoende kennis heeft om auto te rijden, maar we jagen iedereen de snelweg op, dan is het een kwestie van wachten totdat de pl**%# uitbreekt.
als 30% van de mensen voldoende kennis heeft om auto te rijden, maar we jagen iedereen de snelweg op, dan is het een kwestie van wachten totdat de pl**%# uitbreekt.
Als notoire voetganger en fietser, is dit mijn dagelijkse ervaring.
Automobilisten met een papiertje (hoop ik) die weinig oog hebben voor zwakkere deelnemers aan het verkeer.
Dat groene lampje enkele honderden meters verderop, is belangrijker dan voetgangers of fietsers.
Voorrang verlenen? Ho maar.
Hoe groter de heilige koe, hoe asocialer.
:-)
12-11-2025, 12:45 door
Anoniem
Door Anoniem: Dat heeft net zoveel nieuwswaarde als 65+ ers doen minder aan triathlons... duh...
De meeste hoeven niet mee te doen met de waan van de dag, sommige kunnen niet eens mee doen met de waan van de dag, de nieuwste innovatie verzonnen door en voor stuiterkonijnen met teveel rode kleurstof en nepcola met lange koolstofketens..
Bankzaken kun je ook prima doen bij een balie, dat hoeft niet op een telefoon, die je dan weer elke 2 jaar nieuw moet kopen om weer mee te kunnen doen. Wij van WC-Eend vinden dat er mee gepoept moet worden.. of was het meer zeiken? (pun intended)
De meeste hoeven niet mee te doen met de waan van de dag, sommige kunnen niet eens mee doen met de waan van de dag, de nieuwste innovatie verzonnen door en voor stuiterkonijnen met teveel rode kleurstof en nepcola met lange koolstofketens..
Bankzaken kun je ook prima doen bij een balie, dat hoeft niet op een telefoon, die je dan weer elke 2 jaar nieuw moet kopen om weer mee te kunnen doen. Wij van WC-Eend vinden dat er mee gepoept moet worden.. of was het meer zeiken? (pun intended)
Welke balie? Bank-personeel dat je persoonlijk ziet, spreekt en kan aanraken.
Zijn die er nog? Die waren toch uitgestorven.
Of alleen nog op de zuid-as in A'dam? Sorry, maar daar woont 99+% van NL niet.
Door _R0N_:
Leuk voor mensen die hier rondhangen maar voor de gemiddelde gepensioneerde is dat te ingewikkeld.
Je moet buiten je eigen bubbel denken en denken in de beleving van je oma.
Met 2FA (Multi Factor Authenticatie) worden in de praktijk SMS of Authenticator apps bedoeld - verreweg het meest gebruikt.Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Leuk voor mensen die hier rondhangen maar voor de gemiddelde gepensioneerde is dat te ingewikkeld.
Je moet buiten je eigen bubbel denken en denken in de beleving van je oma.
Beide:
1) Zijn "oplossingen" (lees: stompzinnige lapmiddelen) voor een ander probleem dat hierdoor JUIST NIET wordt aangepakt: WAARDELOZE WACHTWOORDEN. Pure symptoombestrijding van een ander probleem dus;2) Zijn NIET phishing-resistent;
3) Vergroten de kans op account-lockout, want die TWEEDE FACTOR kun je EENVOUDIG en ONVERWACHT kwijtraken.
Daar komt bij:
4a) 2FA middels SMS is -ruimschoots aangetoond- ruk. Waarom lees je bijvoorbeeld in (PDF) https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf;4b) 2FA middels een Authenticator-app is -eveneens ruimschoots aangetoond- ruk. Van Authenticator apps wordt opzettelijk VERZWEGEN dat het om privacy-invasieve en vaak onveilige WACHTWOORDMANAGERS gaat: zie https://security.nl/posting/796707 (en de pagina's waar ik daarin naar verwijs, met name https://www.security.nl/posting/778668/TOTP+Authenticators+drama verwijzend naar wetenschappelijk onderzoek van Conor Gilsenan et al).
Phishing-resistente 2FA/MFA
Als je phishing-resistente bedoelt, ZEG DAT ER DAN BIJ. Maar dan zal ik dáár de steevast verzwegen nadelen van beschrijven.Aaunvulling 13:58, uit het WAARDELOZE rapport
Uit https://open.overheid.nl/documenten/799e24f9-b932-413f-90b3-4acb58a56710/file:Definities
Het onderzoek gaat over tweestapsverificatie voor online diensten. Respondenten kregen in de vragenlijst de volgende toelichting over tweestapsverificatie te lezen:
Tweestapsverificatie betekent dat er twee stappen nodig zijn om in te loggen op een online dienst. Naast het invoeren van een gebruikersnaam/e-mailadres en wachtwoord is er nog iets anders nodig. Dat kan een code zijn die je ontvangt op je telefoon of een ander apparaat of via een e-mailadres. Maar dat kan ook zijn dat je moet bevestigen dat je wil inloggen via een melding.)[sic]
Wanneer staan serieuze security-professionals eindelijk op tegen de "pappen en nathouden"-mentaliteit van Microsoft nakakelende overheden? En met serieuze security-professionals bedoel ik niet de Anonieme reageerder op https://security.nl/posting/912452.Het onderzoek gaat over tweestapsverificatie voor online diensten. Respondenten kregen in de vragenlijst de volgende toelichting over tweestapsverificatie te lezen:
Tweestapsverificatie betekent dat er twee stappen nodig zijn om in te loggen op een online dienst. Naast het invoeren van een gebruikersnaam/e-mailadres en wachtwoord is er nog iets anders nodig. Dat kan een code zijn die je ontvangt op je telefoon of een ander apparaat of via een e-mailadres. Maar dat kan ook zijn dat je moet bevestigen dat je wil inloggen via een melding.)[sic]
12-11-2025, 13:41 door
Anoniem
Door M.J.: Als persoon besteed je met zo'n virtuele "wachtwoordmanager" dan ook de controle over je eigen beveiliging weer uit aan een extern systeem waar je geen zicht op hebt. Dat is inherent juist onveilig.
Er bestaan ook eenvoudig te gebruiken OFFline wachtwoordmanagers, die niet afhankelijk zijn van een cloud of derden.
LessPass [ https://lesspass.com ], bijvoorbeeld, kan op een offline tablet worden geinstalleerd. Voorheen kon ik prima uit de voeten met een papieren zakboekje, een streepjescode printertje en een pen. Momenteel gebruik ik hiervoor een airgapped tablet, een ding zonder netwerk interfaces, afgezien van een usb-poort (die op slot staat).
Inmiddels heb ik uitgedoktert hoe ik LessPass de gegenereerde wachtwoorden ook als streepjes- of QR-codes kan laten tonen, dat scheelt fouten bij het overtikken. Erg handig, zo'n losse webcam (of smartphone), die ook streepjescodes kan lezen. Nu moet ik alleen nog bedenken hoe ik de domeinnamen automatisch op juistheid kan controleren...
https://f-droid.org/en/packages/com.lesspass.android/
12-11-2025, 13:43 door
Anoniem
Door Erik van Straten:
[...]
https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf
[...]
https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf
> Houd uw software up-to-date, inclusief uw
> browser, antivirus en het besturingssysteem.
Hoe houd je software up-to-date?
Veel mensen hebben geen idee, heb ik gemerkt.
(Maar misschien leef ik in een andere bubbel.)
Maar kennis daarvan wordt ook ontmoedigd door het updaten automatisch achter je rug om te doen.
Sterker nog, bij bijvoorbeeld Google Play op je telefoon moet je daarvoor je
eerst door allerlei reclame heen worstelen om bij een menu te komen waar je dan
eindelijk zelf kunt updaten :-(
> Open nooit verdachte links of bijlagen die u
> via de email of sms ontvangt.
Veel mensen kennen niet eens het verschil tussen een melding van SMS, e-mail
of iets van de computer zelf:
dus dan is alles verdacht of niets...
> Update regelmatig uw wachtwoorden.
Dat zou "verander" moeten zijn,
want het begrip "update" is onduidelijk.
> Koppel, indien mogelijk, uw telefoonnummer
> niet aan gevoelige online accounts.
Leuk bedacht maar wat is "gevoelig"?
Dus koppel je telefoonnumer niet aan je internetbankieren, et cetera???
> Spreek, indien mogelijk, een wachtwoord af
> met uw telecomprovider om mutaties aan uw
> abonnement te voorkomen.
Telecomproviders hebben wel wat beters te doen dan tijd=geld te verliezen aan
dat soort acties
> Controleer regelmatig uw bankafschriften.
Wat is "regelmatig"?
Elk uur, elke dag, elke week, et cetera?
12-11-2025, 14:18 door
Anoniem
ADDIT:
> Koppel, indien mogelijk, uw telefoonnummer
> niet aan gevoelige online accounts.
Dus niiet aan Facebook, Whatsapp en dergelijke?
> Koppel, indien mogelijk, uw telefoonnummer
> niet aan gevoelige online accounts.
Dus niiet aan Facebook, Whatsapp en dergelijke?
12-11-2025, 14:19 door
Erik van Straten
Door Anoniem:
> Houd uw software up-to-date, inclusief uw
> browser, antivirus en het besturingssysteem.
Hoe houd je software up-to-date?
Veel mensen hebben geen idee, heb ik gemerkt.
Vanzelfsprekend is dat ook een bull-shit document, vooral hierom:Door Erik van Straten:
[...]
https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf
[...]
https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf
> Houd uw software up-to-date, inclusief uw
> browser, antivirus en het besturingssysteem.
Hoe houd je software up-to-date?
Veel mensen hebben geen idee, heb ik gemerkt.
> Gebruik speciale authenticatie-apps die als alternatief voor verificatiecodes per sms kunnen dienen.
De gebruikelijke kastje-muur methode, speciaal voor u bedacht door NITWITS
12-11-2025, 14:32 door
Anoniem
Door Erik van Straten: [...] speciaal voor u bedacht door NITWITS
Inderdaad, mensen die heel waarschijnlijk geen praktijkervaring hebben met situaties als:digibeet: "Ze kijken mee op mijn computer."
adigibeet: "Hoe weet je dat?"
digibeet: "Daar krijg ik vaak een melding van."
adigibeet: "Wat voor melding is dat dan?"
digibeet: "Dat heb ik maar weggeklikt want daar kan ik niets mee."
et cetera
12-11-2025, 14:39 door
Briolet
Ik vroeg me af of dit komt doordat 65 plussers gewoon minder 2FA gebruiken omdat zij gemiddeld andere sites gebruiken die minder 2FA aanbieden.
Als ik echter het onderzoek lees, dan vind ik daarin:
Met heeft blijkbaar vooral het gebruik van 2FA bij mail bekeken. Maar dan kan het minder gebruiken ook komen doordat 65 plussers slimmer zijn en doorhebben dat 2FA bij mail geen zin heeft. Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Als ik echter het onderzoek lees, dan vind ik daarin:
Het ministerie van Justitie en Veiligheid wil Nederlanders weerbaarder maken tegen cybercrime, waarbij het stimuleren van het gebruik van tweestapsverificatie (2FA) bij e-mail een van de pijlers is. In een nieuwe campagneflight, die in november 2025 van start gaat, wordt specifiek gericht op 65-plussers. Deze doelgroep blijkt 2FA minder in te stellen; de kennis over 2FA blijkt beperkt en veel mensen ervaren onzekerheid over hun digitale vaardigheden. Door met deze campagne 65-plussers te stimuleren 2FA op hun e-mail toe te passen, wordt het vertrouwen in hun eigen kunnen versterkt.
Met heeft blijkbaar vooral het gebruik van 2FA bij mail bekeken. Maar dan kan het minder gebruiken ook komen doordat 65 plussers slimmer zijn en doorhebben dat 2FA bij mail geen zin heeft. Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
12-11-2025, 14:53 door
Anoniem
Door Briolet: [...]
Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Dit soort uitspraken maakt het allemaal nog ingewikkelder dan het al is.Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Voor "Mijn Ziggo" account is SMS-2FA verplicht maar niet voor Ziggo (web)Mail...
Dus of het werkt bij jou anders of er klopt iets niet?
12-11-2025, 16:05 door
Anoniem
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Zoiets heet FIDO2.
Door Anoniem:
Zoiets heet FIDO2.
Maar dat is niet wat de overheid aanraadt (zelfs hier niet: [1]), dat is niet waar het Motivaction onderzoek over ging, dat is wel waarover altijd wordt gebrald dat asymmetrische cryptografie het "zo veilig" maakt en dat is ook waar altijd en uitsluitend de voordelen van worden genoemd (terwijl er ook bakken nadelen aan kleven).Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Zoiets heet FIDO2.
Onder veel meer dat lang niet elke site WebAuthn ondersteunt en de Android en iOS/iPadOS passkey implementaties ernstig tekortschieten (waar noch Google, noch Apple, iets aan wil doen).
[1] https://www.security.nl/posting/912394/Internetconsultatie+van+ministeri%C3%ABle+regelingen+Cyberbeveiligingswet+en+Wwke+van+start
12-11-2025, 18:27 door
Anoniem
Door Anoniem:Bankzaken kun je ook prima doen bij een balie, dat hoeft niet op een telefoon, die je dan weer elke 2 jaar nieuw moet kopen om weer mee te kunnen doen.
Vind jij nog een bankkantoor op fietafstand waar er een balie is die ook open is zonder afspraak en op een normale tijd?En ja, wel irritant dat je nieuwe telefoon na 2 jaar geen updates meer krijgt (Ok, wel de apps, waarvan je niet weet hoeveel spyware erbij gekomen is, maar niet meer het OS zelf, zelfs geen bugfixes)
Door Anoniem:
Voor "Mijn Ziggo" account is SMS-2FA verplicht maar niet voor Ziggo (web)Mail...
Dus of het werkt bij jou anders of er klopt iets niet?
Door Briolet: [...]
Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Dit soort uitspraken maakt het allemaal nog ingewikkelder dan het al is.Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Voor "Mijn Ziggo" account is SMS-2FA verplicht maar niet voor Ziggo (web)Mail...
Dus of het werkt bij jou anders of er klopt iets niet?
Hoezo ingewikkelder? Ik citeer alleen een stuk uit het onderzoek waar ze het over mail in combinatie met 2FA hebben. En in het Ziggo verhaal heb ik het alleen over de webmail en niet over het Ziggo account.
Ziggo heeft een tijd geleden aangeraden om ook 2FA voor webmail aan te zetten vanwege de veiligheid. En daar stoor ik me aan omdat je de gebruikers zand in de ogen strooit. (Het aanzetten doe je binnen de webmail omgeving bij de veiligheidsinstellingen) Ook het citaat uit het onderzoek heeft het over het aanzetten van 2FA voor mail, terwijl dat alleen voor webmail mogelijk is. Ook zij gaan er niet op in dat 2FA bij webmail gewoon zinloos is als je niet gelijktijdig de toegang via IMAP onmogelijk maakt.
Het idee van 2FA is dat als je wachtwoord lekt, de gebruiker een 2e autenticatie nodig heeft om werkelijk in te kunnen loggen. Bij de meeste mail applicaties zoals bij Ziggo of GMail bied een 2FA geen enkele extra beveiliging omdat iemand die in bezit is van een gelekt wachtwoord, gewoon via het IMAP protocol kan inloggen en dan is er geen 2FA voorzien.
Bij Apple webmail heeft 2FA wel zit omdat je daar niet simpel via IMAP kunt inloggen. Voor IMAP toegang tot je mail vanuit een onbekende cliënt moet je bij Apple eerst een apart wachtwaard aanmaken binnen je Apple account. Lekker omslachtig, maar daarvoor wel een stuk veiliger omdat dat wachtwoord alleen op dat device werkt.
12-11-2025, 21:30 door
Anoniem
Door Briolet:
Hoezo ingewikkelder? Ik citeer alleen een stuk uit het onderzoek waar ze het over mail in combinatie met 2FA hebben. En in het Ziggo verhaal heb ik het alleen over de webmail en niet over het Ziggo account.
Ziggo heeft een tijd geleden aangeraden om ook 2FA voor webmail aan te zetten vanwege de veiligheid. En daar stoor ik me aan omdat je de gebruikers zand in de ogen strooit. (Het aanzetten doe je binnen de webmail omgeving bij de veiligheidsinstellingen) Ook het citaat uit het onderzoek heeft het over het aanzetten van 2FA voor mail, terwijl dat alleen voor webmail mogelijk is. Ook zij gaan er niet op in dat 2FA bij webmail gewoon zinloos is als je niet gelijktijdig de toegang via IMAP onmogelijk maakt.
Het idee van 2FA is dat als je wachtwoord lekt, de gebruiker een 2e autenticatie nodig heeft om werkelijk in te kunnen loggen. Bij de meeste mail applicaties zoals bij Ziggo of GMail bied een 2FA geen enkele extra beveiliging omdat iemand die in bezit is van een gelekt wachtwoord, gewoon via het IMAP protocol kan inloggen en dan is er geen 2FA voorzien.
Bij Apple webmail heeft 2FA wel zit omdat je daar niet simpel via IMAP kunt inloggen. Voor IMAP toegang tot je mail vanuit een onbekende cliënt moet je bij Apple eerst een apart wachtwaard aanmaken binnen je Apple account. Lekker omslachtig, maar daarvoor wel een stuk veiliger omdat dat wachtwoord alleen op dat device werkt.
Sorry, ik begreep het niet goed omdat ik niet wist dat je 2FA bij Ziggo Webmail zelf kon aanzetten. Goed om te weten. Hoewel het me daar wat lastig lijkt omdat Ziggo Webmail je heel vaak uitlogt in mijn ervaring. Iets wat ik bij GMail nog nooit heb meegemaakt.Door Anoniem:
Voor "Mijn Ziggo" account is SMS-2FA verplicht maar niet voor Ziggo (web)Mail...
Dus of het werkt bij jou anders of er klopt iets niet?
Door Briolet: [...]
Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Dit soort uitspraken maakt het allemaal nog ingewikkelder dan het al is.Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Voor "Mijn Ziggo" account is SMS-2FA verplicht maar niet voor Ziggo (web)Mail...
Dus of het werkt bij jou anders of er klopt iets niet?
Hoezo ingewikkelder? Ik citeer alleen een stuk uit het onderzoek waar ze het over mail in combinatie met 2FA hebben. En in het Ziggo verhaal heb ik het alleen over de webmail en niet over het Ziggo account.
Ziggo heeft een tijd geleden aangeraden om ook 2FA voor webmail aan te zetten vanwege de veiligheid. En daar stoor ik me aan omdat je de gebruikers zand in de ogen strooit. (Het aanzetten doe je binnen de webmail omgeving bij de veiligheidsinstellingen) Ook het citaat uit het onderzoek heeft het over het aanzetten van 2FA voor mail, terwijl dat alleen voor webmail mogelijk is. Ook zij gaan er niet op in dat 2FA bij webmail gewoon zinloos is als je niet gelijktijdig de toegang via IMAP onmogelijk maakt.
Het idee van 2FA is dat als je wachtwoord lekt, de gebruiker een 2e autenticatie nodig heeft om werkelijk in te kunnen loggen. Bij de meeste mail applicaties zoals bij Ziggo of GMail bied een 2FA geen enkele extra beveiliging omdat iemand die in bezit is van een gelekt wachtwoord, gewoon via het IMAP protocol kan inloggen en dan is er geen 2FA voorzien.
Bij Apple webmail heeft 2FA wel zit omdat je daar niet simpel via IMAP kunt inloggen. Voor IMAP toegang tot je mail vanuit een onbekende cliënt moet je bij Apple eerst een apart wachtwaard aanmaken binnen je Apple account. Lekker omslachtig, maar daarvoor wel een stuk veiliger omdat dat wachtwoord alleen op dat device werkt.
Verder is het dan inderdaad raar dat bij POP of IMAP 2FA bij Ziggo of GMail niet nodig is.
12-11-2025, 21:32 door
Anoniem
Door Briolet:
[..]
Met heeft blijkbaar vooral het gebruik van 2FA bij mail bekeken. Maar dan kan het minder gebruiken ook komen doordat 65 plussers slimmer zijn en doorhebben dat 2FA bij mail geen zin heeft. Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
[..]
Met heeft blijkbaar vooral het gebruik van 2FA bij mail bekeken. Maar dan kan het minder gebruiken ook komen doordat 65 plussers slimmer zijn en doorhebben dat 2FA bij mail geen zin heeft. Bij Ziggo of GMail kan ik ook 2FA gebruiken voor webmail, maar zolang je daarnaast nog via het IMAP protocol bij de mail kunt komen, geeft 2FA alleen maar een vals gevoel van veiligheid.
Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
Natuurlijk zijn 65+ers echt niet groepsgewijs slimmer, en volgen ze niet jouw (foute) redenering voor hun "keuze" .
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" .
IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen .
Je kunt (nog) een "app password" (dus specifiek voor die client) aanmaken , waarmee je bij de imap mail kunt - maar NIET de rest het account .
https://support.google.com/accounts/answer/185833
De andere optie is login via OAUTH2.0 token.
https://developers.google.com/workspace/gmail/imap/xoauth2-protocol
"de" mail clients waarbij gmail "gewoon werkt" doen dat onder water .
Pech natuurlijk voor de nerdy fetchmail users, maar niemand had genoeg "itch" om echt goed "scratching a developers itch" , dus de workarounds zijn allemaal kludgy scriptjes of advies om het 'app password' genereren .
Kortom - als je imap bij gmail gebruikt is dat niet (meer) hetzelfde als inloggen met username/password.
12-11-2025, 23:23 door
Erik van Straten
Door Anoniem: Je kunt (nog) een "app password" (dus specifiek voor die client) aanmaken , waarmee je bij de imap mail kunt - maar NIET de rest het account .
Bij iemands e-mail kunnen is DESASTREUS GENOEG. Een "app password" is gewoon een wachtwoord, niks 2FA.En alsof OAUTH2.0 zo'n veilige zegen is.
13-11-2025, 00:27 door
Anoniem
Door Erik van Straten:
Door Anoniem: Je kunt (nog) een "app password" (dus specifiek voor die client) aanmaken , waarmee je bij de imap mail kunt - maar NIET de rest het account .
Bij iemands e-mail kunnen is DESASTREUS GENOEG. Een "app password" is gewoon een wachtwoord, niks 2FA.Bij gmail kun je het alleen aanmaken met een 2FA account.
En het is service en client specifiek, en dan ook gegenereerd door gmail , in plaats van "Welkom01" door de gebruiker.
- dat maakt het echt niet "gewoon een wachtwoord" in de normaal begrepen betekenis van de term .
Het is niet bestand tegen een aanvaller die de gebruikte client (/OS platform) weet te hacken, maar deelt niet alle problemen van "gewone" wachtwoorden .
Maar klaagde je nu eerst over 2FA en raad je vooral een "wachtwoordmanager" aan, en heb je daarna bezwaren tegen een applicatie-specifiek (niet eens 'domein specifiek' ) random "wachtwoord" ?
En alsof OAUTH2.0 zo'n veilige zegen is.
Dat is heel erg nietszeggend statement - aangezien OAUTH2 een protocol is met een enorm scala van mogelijke archtitecturen voor gebruik .
Voor (andere) lezers : OAUTH2.0 is het protocol achter "login met je google/apple/fb account" bij allerlei (andere) services - en ook als API gebruik zoals de eigen gmail-met-imap service dus .
Hoe je inlogt hangt af van de "identity provider" , en kan dus ook met MFA zijn - naar de service toe presenteer je een token dat je net van de identity provider gekregen hebt .
Omdat de "identity provider" de feitelijke login doet , bijvoorbeeld met 2FA - en je naar de gmail IMAP server het OAUTH2 token presenteert is het helemaal niet (meer) zo dat je door imap 'gewoon met username/wachtwoord' inlogt.
13-11-2025, 09:59 door
Anoniem
Door Anoniem:
[...]
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" . IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen .
Je kunt (nog) een "app password" (dus specifiek voor die client) aanmaken ,
waarmee je bij de imap mail kunt - maar NIET de rest het account .
https://support.google.com/accounts/answer/185833
[...]
Kortom - als je imap bij gmail gebruikt is dat niet (meer) hetzelfde als
inloggen met username/password.
[...]
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" . IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen .
Je kunt (nog) een "app password" (dus specifiek voor die client) aanmaken ,
waarmee je bij de imap mail kunt - maar NIET de rest het account .
https://support.google.com/accounts/answer/185833
[...]
Kortom - als je imap bij gmail gebruikt is dat niet (meer) hetzelfde als
inloggen met username/password.
Bij mij staat POP3 uit bij Gmail. Iets wat ik lang geleden meteen zelf gedaan
heb na slechte ervaringen met client mail via POP3.
IMAP had ik volgens mij ook uitgezet maar is nu in ieder geval niet (meer)
uit te zetten bij Gmail en staat tegenwoordig altijd aan
als ik de help-pagina's goed begrijp.
Hoe je POP3 danwel IMAP moet instellen bij Gmail is mij onduidelijk en lijkt
me nogal gecompliceerd, zeker als je 2FA hebt ingesteld voor je Google account
en dat nu daarvoor dus blijkbaar niet nodig is?
Dus dan denk je dat je veilig(er) bent doordat je met 2FA werkt maar is de
'achterdeur' gewoon onbeveiligd :-(
13-11-2025, 10:19 door
Briolet
Door Anoniem:Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
…
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" .
IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen ..
…
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" .
IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen ..
Dat is me inderdaad ontgaan dat IMAP bij gmail uit te zetten is. (Bij ziggo kan dat niet) Webmail gebruik ik zelden en dus krijg ik ook de settings zelden onder ogen. GMail gebruik ik wel op meerdere devices via IMAP. En omdat ik de mail uiteindelijk allemaal op mijn eigen mailserver wil hebben is IMAP het meest handige omdat ik het daarmee simpel tussen servers kan verplaatsen.
13-11-2025, 10:55 door
Anoniem
Door Anoniem:
[...]
Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
[...]
[...]
Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
[...]
Probleem is dus dat er achter je rug om allerlei dingen worden veranderd
wat zeker voor de gewone computergebruiker niet (meer) bij te houden is.
En dat is niet zozeer de gesuggereerde onwil van 65-plussers e.d.
maar vooral een kwestie van door de stortvloed van foutieve informatie
gecreerde chaos zodat je het wel moet opgeven en maar hopen dat het niet fout gaat.
13-11-2025, 11:20 door
Anoniem
Door Briolet:
Dat is me inderdaad ontgaan dat IMAP bij gmail uit te zetten is. (Bij ziggo kan dat niet) Webmail gebruik ik zelden en dus krijg ik ook de settings zelden onder ogen. GMail gebruik ik wel op meerdere devices via IMAP. En omdat ik de mail uiteindelijk allemaal op mijn eigen mailserver wil hebben is IMAP het meest handige omdat ik het daarmee simpel tussen servers kan verplaatsen.
Door Anoniem:Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
…
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" .
IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen ..
…
Wat je blijkbaar ontgaan is, is dat gmail (en andere serieuze mailplatformen - [Ziggo weet ik niet] dus hard aan het weggaan zijn van "imap met HET platform password" .
IMAP en POP3 staan default al uit bij gmail.
Je kunt _niet meer_ met "je" google username/password via IMAP mail ophalen ..
Dat is me inderdaad ontgaan dat IMAP bij gmail uit te zetten is. (Bij ziggo kan dat niet) Webmail gebruik ik zelden en dus krijg ik ook de settings zelden onder ogen. GMail gebruik ik wel op meerdere devices via IMAP. En omdat ik de mail uiteindelijk allemaal op mijn eigen mailserver wil hebben is IMAP het meest handige omdat ik het daarmee simpel tussen servers kan verplaatsen.
Niks mis met IMAP gebruik an sich , maar de voornaamste 'take-away' dat de login ervoor dus niet meer 'gewoon' "de" username/password zijn van de algehele service , bij google (O365 , en vast een hoop meer) .
En als je het met scripten/automation naar je eigen server wilt trekken zul je ontdekken dat dat niet meer zo simpel gaat als "vroeger" toen je gewoon je username/password in (inderdaad) fetchmail.rc config zette.
13-11-2025, 11:47 door
Erik van Straten
Eerst viel half security.nl over mijn eerste reactie (https://security.nl/posting/912477):
Echter, HELEMAAL NIEMAND pareerde mijn argumenten in https://security.nl/posting/912530 waarin ik, zo goed als ik kan, uitleg WAAROM 2FA (MFA) RUK IS.
Bizar.
Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Echter, HELEMAAL NIEMAND pareerde mijn argumenten in https://security.nl/posting/912530 waarin ik, zo goed als ik kan, uitleg WAAROM 2FA (MFA) RUK IS.
Bizar.
13-11-2025, 12:42 door
Anoniem
Door Anoniem:
[..]
Hoe je POP3 danwel IMAP moet instellen bij Gmail is mij onduidelijk en lijkt
me nogal gecompliceerd, zeker als je 2FA hebt ingesteld voor je Google account
en dat nu daarvoor dus blijkbaar niet nodig is?
[..]
Hoe je POP3 danwel IMAP moet instellen bij Gmail is mij onduidelijk en lijkt
me nogal gecompliceerd, zeker als je 2FA hebt ingesteld voor je Google account
en dat nu daarvoor dus blijkbaar niet nodig is?
Lees (en zoek het ook zelf uit) het dan nog een keer.
gmail IMAP authenticatie met "je" username/password waarmee je bij "google" inlogt _kan_ niet meer.
Dus dan denk je dat je veilig(er) bent doordat je met 2FA werkt maar is de
'achterdeur' gewoon onbeveiligd :-(
En dat is dus NIET zo , want die achterdeur gebruikt niet (meer) de standaard credentials waarmee je "bij google" inlogt.
In de IT/security techniek moet je gewoon je kennis op peil houden, en één punt ervan is niet meer klakkeloos aannemen dat alle services (web, imap, pop, etc) waarmee je kunt inloggen 'dus' username/password gebruiken.
Das war einmal . Niet meer bij google, office365 etc.
13-11-2025, 13:29 door
Anoniem
Door Erik van Straten:
2) Zijn NIET phishing-resistent;
3) Vergroten de kans op account-lockout, want die TWEEDE FACTOR kun je EENVOUDIG en ONVERWACHT kwijtraken.
4b) 2FA middels een Authenticator-app is -eveneens ruimschoots aangetoond- ruk. Van Authenticator apps wordt opzettelijk VERZWEGEN dat het om privacy-invasieve en vaak onveilige WACHTWOORDMANAGERS gaat: zie https://security.nl/posting/796707 (en de pagina's waar ik daarin naar verwijs, met name https://www.security.nl/posting/778668/TOTP+Authenticators+drama verwijzend naar wetenschappelijk onderzoek van Conor Gilsenan et al).
Dit krijg je als techneuten oplossing gaan bedenken. Veel te technisch en begrijpen niet hoe gewone gebruikers iets ervaren. Techneuten schieten dingen af, terwijl dit juist al een hele goede verbetering is.Door _R0N_:
Leuk voor mensen die hier rondhangen maar voor de gemiddelde gepensioneerde is dat te ingewikkeld.
Je moet buiten je eigen bubbel denken en denken in de beleving van je oma.
Met 2FA (Multi Factor Authenticatie) worden in de praktijk SMS of Authenticator apps bedoeld - verreweg het meest gebruikt.Door Erik van Straten: 2FA (MFA) is ruk.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Laat de overheid een wachtwoordmanager adviseren die wél op domeinnamen checkt.
Leuk voor mensen die hier rondhangen maar voor de gemiddelde gepensioneerde is dat te ingewikkeld.
Je moet buiten je eigen bubbel denken en denken in de beleving van je oma.
Beide:
1) Zijn "oplossingen" (lees: stompzinnige lapmiddelen) voor een ander probleem dat hierdoor JUIST NIET wordt aangepakt: WAARDELOZE WACHTWOORDEN. Pure symptoombestrijding van een ander probleem dus;2) Zijn NIET phishing-resistent;
3) Vergroten de kans op account-lockout, want die TWEEDE FACTOR kun je EENVOUDIG en ONVERWACHT kwijtraken.
Daar komt bij:
4a) 2FA middels SMS is -ruimschoots aangetoond- ruk. Waarom lees je bijvoorbeeld in (PDF) https://www.politie.nl/binaries/content/assets/politie/onderwerpen/sim-swapping/6760e70d-7e6e-44cd-a27d-6ff44a73e55b.pdf;4b) 2FA middels een Authenticator-app is -eveneens ruimschoots aangetoond- ruk. Van Authenticator apps wordt opzettelijk VERZWEGEN dat het om privacy-invasieve en vaak onveilige WACHTWOORDMANAGERS gaat: zie https://security.nl/posting/796707 (en de pagina's waar ik daarin naar verwijs, met name https://www.security.nl/posting/778668/TOTP+Authenticators+drama verwijzend naar wetenschappelijk onderzoek van Conor Gilsenan et al).
Phishing-resistente 2FA/MFA
Als je phishing-resistente bedoelt, ZEG DAT ER DAN BIJ. Maar dan zal ik dáár de steevast verzwegen nadelen van beschrijven.Aaunvulling 13:58, uit het WAARDELOZE rapport
Uit https://open.overheid.nl/documenten/799e24f9-b932-413f-90b3-4acb58a56710/file:Definities
Het onderzoek gaat over tweestapsverificatie voor online diensten. Respondenten kregen in de vragenlijst de volgende toelichting over tweestapsverificatie te lezen:
Tweestapsverificatie betekent dat er twee stappen nodig zijn om in te loggen op een online dienst. Naast het invoeren van een gebruikersnaam/e-mailadres en wachtwoord is er nog iets anders nodig. Dat kan een code zijn die je ontvangt op je telefoon of een ander apparaat of via een e-mailadres. Maar dat kan ook zijn dat je moet bevestigen dat je wil inloggen via een melding.)[sic]
Wanneer staan serieuze security-professionals eindelijk op tegen de "pappen en nathouden"-mentaliteit van Microsoft nakakelende overheden? En met serieuze security-professionals bedoel ik niet de Anonieme reageerder op https://security.nl/posting/912452.Het onderzoek gaat over tweestapsverificatie voor online diensten. Respondenten kregen in de vragenlijst de volgende toelichting over tweestapsverificatie te lezen:
Tweestapsverificatie betekent dat er twee stappen nodig zijn om in te loggen op een online dienst. Naast het invoeren van een gebruikersnaam/e-mailadres en wachtwoord is er nog iets anders nodig. Dat kan een code zijn die je ontvangt op je telefoon of een ander apparaat of via een e-mailadres. Maar dat kan ook zijn dat je moet bevestigen dat je wil inloggen via een melding.)[sic]
SMS is zeker niet het veiligste, maar voor heel veel doeleinden gewoon heel erg goed en eenvoudig, iedereen begrijp en kan dit ook, daarom werkt het zo goed voor heel veel doeleinden.
Als je naar password managers gaat, wat sommige techneuten adviseren, moet je ook denken aan backup van die database bijvoorbeeld. Daarnaast komen ze allemaal met privacy claims van apps, terwijl ze niet begrijpen, hoe sommige trackers gewoon gebruikt worden.
Of komen met password managers oplossingen die allemaal domeinnamen moeten controleren, maar vergeten bijvoorbeeld dat gebruikers heel anders denken.
Daarnaast komen ze met grote claims, over serieuze security-professionals, maar begrijpen ze eigenlijk niets van hoe de gemiddelde gebruiker denkt en hoe je dat het beste stapje voor stapje kunt verbeteren.
Techneuten, begrijpen vaak heel weinig hoe gebruikers denken. Deze post, is helaas hier weer een goed voorbeeld van.
SMS MFA is gewoon een goede, gemakkelijke en eenvoudige oplossingen. Persoonlijk gebruik ik liever keypass database, op mijn onedrive. Maar hoe vaak ik mijn vader al hem moeten helpen hiermee, dat de sync niet meer werkte icm de google drive...... Met mijn vader kan ik hier nog over praten.
Mijn moeder begrijpt eigenlijk alleen SMS goed.
Ook al mee gemaakt, dat de keepass database niet meer te openen was, iets met een persoon die plotseling was overleden.
Of waarbij het OS niet meer wou starten, maar de database lokaal was bewaard.
Zie daar een perfect voorbeeld, van hoe het in de praktijk werkt.
13-11-2025, 14:06 door
Anoniem
Door Anoniem:
Probleem is dus dat er achter je rug om allerlei dingen worden veranderd
wat zeker voor de gewone computergebruiker niet (meer) bij te houden is.
Door Anoniem:
[...]
Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
[...]
[...]
Je hebt het zeker al een tijdje niet meer echt uitgezocht ?
[...]
Probleem is dus dat er achter je rug om allerlei dingen worden veranderd
wat zeker voor de gewone computergebruiker niet (meer) bij te houden is.
De "gewone" computer gebruiker gebruikt "gewoon" een mailclient , en tikt daar credentials in .
"De gewone gebruiker" is niet bezig met "help IMAP gebruikt een password zonder 2FA dat is een open achterdeur" .
De "net-niet-experts" zijn hier het probleem, die van alles roepen of adviseert op basis van decennia oude informatie , of op een heel unieke afwegingen van grote vs kleine risico's .
En dat is niet zozeer de gesuggereerde onwil van 65-plussers e.d.
Vooral onwetendheid, of de perceptie "laat maar voor mij niet relevant" .
Vandaar zo'n overheidscampagne .
maar vooral een kwestie van door de stortvloed van foutieve informatie
gecreerde chaos zodat je het wel moet opgeven en maar hopen dat het niet fout gaat.
Nu overschat je de invloed van dit forum nogal. Het is een echo kamer met hoofdzakelijk technerds, en in mijn inschatting vooral scholieren/studenten .
13-11-2025, 14:40 door
Anoniem
Door Anoniem:
Nu overschat je de invloed van dit forum nogal. Het is een echo kamer met hoofdzakelijk technerds, en in mijn inschatting vooral scholieren/studenten .
Door Anoniem:
[...]
maar vooral een kwestie van door de stortvloed van foutieve informatie
gecreerde chaos zodat je het wel moet opgeven en maar hopen dat het niet fout gaat.
[...]
maar vooral een kwestie van door de stortvloed van foutieve informatie
gecreerde chaos zodat je het wel moet opgeven en maar hopen dat het niet fout gaat.
Nu overschat je de invloed van dit forum nogal. Het is een echo kamer met hoofdzakelijk technerds, en in mijn inschatting vooral scholieren/studenten .
Dat is mogelijk waar, maar toch is het hier een aardige weergave van hoe het er in de praktijk toegaat.
Van alle kanten krijg je informatie die niet klopt en het ook daardoor alleen maar ingewikkelder maakt.
Dan begrijp ik heel goed dat mensen het dan maar opgeven.
13-11-2025, 15:04 door
Anoniem
Wat ik mis: e-mail is onveilig en kan onderweg gelezen worden.
Het is dus NIET geschikt voor het mailen van kopieën ID en andere vertrouwelijke informatie. Wanneer maakt de rijksoverheid dat eindelijk eens bekend?
En wanneer worden essentiële aanbieders (overheid, financiële instellingen, energiebedrijven) nu eindelijk eens een keer verplicht om standaard een beveiligd kanaal aan te bieden en niet meer te mailen?
Het is dus NIET geschikt voor het mailen van kopieën ID en andere vertrouwelijke informatie. Wanneer maakt de rijksoverheid dat eindelijk eens bekend?
En wanneer worden essentiële aanbieders (overheid, financiële instellingen, energiebedrijven) nu eindelijk eens een keer verplicht om standaard een beveiligd kanaal aan te bieden en niet meer te mailen?
13-11-2025, 18:31 door
Anoniem
Door Anoniem: SMS MFA is gewoon een goede, gemakkelijke en eenvoudige oplossingen. Persoonlijk gebruik ik liever keypass database, op mijn onedrive. Maar hoe vaak ik mijn vader al hem moeten helpen hiermee, dat de sync niet meer werkte icm de google drive...... Met mijn vader kan ik hier nog over praten.
Mijn moeder begrijpt eigenlijk alleen SMS goed.
Ook al mee gemaakt, dat de keepass database niet meer te openen was, iets met een persoon die plotseling was overleden.
Of waarbij het OS niet meer wou starten, maar de database lokaal was bewaard.
Zie daar een perfect voorbeeld, van hoe het in de praktijk werkt.
Mijn moeder begrijpt eigenlijk alleen SMS goed.
Ook al mee gemaakt, dat de keepass database niet meer te openen was, iets met een persoon die plotseling was overleden.
Of waarbij het OS niet meer wou starten, maar de database lokaal was bewaard.
Zie daar een perfect voorbeeld, van hoe het in de praktijk werkt.
Is dit een falen van keepass wat geen lokale offline (offsite) backup heeft, of van SMS MFA wat niet gereset kan worden behalve door het opsturen van een kopie paspoort van de nog levende eigenaar?
Alles wat je in OneDrive stopt, kan je elk moment kwijtraken. Dat is de les denk ik. Mijn vriend zegt dat OneDrive een sync is. Niet een backup.
Anoniem 10:03
In reactie op https://security.nl/posting/912530:
Goede techneuten verzinnen vanalles om dat juist minder lastig te maken, maar zij kunnen geen wonderen verrichten.
Hoed je echter voor marketingmalloten! Voorbeeld, MFA = iets dat je:
• weet;
• bent;
• hebt.
Klopt, maar nooit vertellen zij erbij dat het om "secrets" moet gaan die niet eenvoudig in handen van kwaadwillenden moeten kunnen vallen (denk aan afkijken, kopiëren, stelen, imiteren, simuleren, brute-forcen enzovoorts).
Bovendien: via internet inloggen vindt altijd plaats middels een shared secret (of een wiskundig trucje met hetzelfde resultaat: een asymmetrisch sleutelpaar waarbij dat shared secret gesplitst is in het secret zelf en een soort afgeleide daarvan. Na inloggen vervangt een session cookie o.i.d. alle asymmetrische hocus pocus - een ouderwets shared secret dat niet in een "secure enclave" o.i.d. wordt opgeslagen).
"Wat je bent of hebt" wordt dus altijd vertaald naar iets "wat je (of een apparaat) weet". Oordeel zelf maar in welke gevallen dat werkelijk een verbetering oplevert - én waarvan de gebruiker alle risico's en andere nadelen overziet, en daar ook naar handelt.
Zolang niemand anders dan de server en degene die het account aanmaakte zo'n shared secret te weten komt of kan raden, moet het wel om dezelfde persoon gaan (die inlogt) als degene die het account aanmaakte.
Stomme dingen die je kunt doen (en minstens de halve wereld doet) zijn:
1) shared secrets zélf hergebruiken,
en/of:
2) raadbare shared secrets gebruiken,
en/of:
3) shared secrets zelf niet secret houden (bijv. pincode laten afkijken);
maar ook:
4) shared secrets invoeren op de verkeerde server;
5) jouw device of account laten hacken (= game over);
6) jouw shared secrets vergeten of er geen veilige én up-to-date én toegankelijke backups van hebben.
• beschermt niet tegen nep-websites (phishing);
• kan tot account-lockout leiden bij een gewijzigd telefoonnummer;
• is géén vervanger voor een sterk wachtwoord, want het is een zwakke tweede factor.
Mensen kunnen onmogelijk zélf voor elk account een uniek en sterk wachtwoord onthouden (naast dat de meeste mensen bar slecht zijn in het bedenken van sterke wachtwoorden).
Perfecte en vooral eenvoudige+veilige oplossingen bestaan niet en komen er niet.
Deal with it.
Door Anoniem: Dit krijg je als techneuten oplossing gaan bedenken.
Je pareert mijn stellingen niet. En het allergrootste probleem is niet dat techneuten moeilijke oplossingen bedenken, maar dat veilige authenticatie via internet hartstikke lastig is.Goede techneuten verzinnen vanalles om dat juist minder lastig te maken, maar zij kunnen geen wonderen verrichten.
Hoed je echter voor marketingmalloten! Voorbeeld, MFA = iets dat je:
• weet;
• bent;
• hebt.
Klopt, maar nooit vertellen zij erbij dat het om "secrets" moet gaan die niet eenvoudig in handen van kwaadwillenden moeten kunnen vallen (denk aan afkijken, kopiëren, stelen, imiteren, simuleren, brute-forcen enzovoorts).
Bovendien: via internet inloggen vindt altijd plaats middels een shared secret (of een wiskundig trucje met hetzelfde resultaat: een asymmetrisch sleutelpaar waarbij dat shared secret gesplitst is in het secret zelf en een soort afgeleide daarvan. Na inloggen vervangt een session cookie o.i.d. alle asymmetrische hocus pocus - een ouderwets shared secret dat niet in een "secure enclave" o.i.d. wordt opgeslagen).
"Wat je bent of hebt" wordt dus altijd vertaald naar iets "wat je (of een apparaat) weet". Oordeel zelf maar in welke gevallen dat werkelijk een verbetering oplevert - én waarvan de gebruiker alle risico's en andere nadelen overziet, en daar ook naar handelt.
Zolang niemand anders dan de server en degene die het account aanmaakte zo'n shared secret te weten komt of kan raden, moet het wel om dezelfde persoon gaan (die inlogt) als degene die het account aanmaakte.
Stomme dingen die je kunt doen (en minstens de halve wereld doet) zijn:
1) shared secrets zélf hergebruiken,
en/of:
2) raadbare shared secrets gebruiken,
en/of:
3) shared secrets zelf niet secret houden (bijv. pincode laten afkijken);
maar ook:
4) shared secrets invoeren op de verkeerde server;
5) jouw device of account laten hacken (= game over);
6) jouw shared secrets vergeten of er geen veilige én up-to-date én toegankelijke backups van hebben.
Door Anoniem: SMS is zeker niet het veiligste, maar voor heel veel doeleinden gewoon heel erg goed en eenvoudig, iedereen begrijp en kan dit ook, daarom werkt het zo goed voor heel veel doeleinden.
Ja. Maar SMS-2FA:• beschermt niet tegen nep-websites (phishing);
• kan tot account-lockout leiden bij een gewijzigd telefoonnummer;
• is géén vervanger voor een sterk wachtwoord, want het is een zwakke tweede factor.
Door Anoniem: Als je naar password managers gaat, wat sommige techneuten adviseren, moet je ook denken aan backup van die database bijvoorbeeld.
Ja. En dat geldt zeker voor Authenticator apps (maar ook voor passkeys en FIDO2 hardware keys).Mensen kunnen onmogelijk zélf voor elk account een uniek en sterk wachtwoord onthouden (naast dat de meeste mensen bar slecht zijn in het bedenken van sterke wachtwoorden).
Perfecte en vooral eenvoudige+veilige oplossingen bestaan niet en komen er niet.
Deal with it.
14-11-2025, 08:10 door
Anoniem
Door Anoniem: Wat ik mis: e-mail is onveilig en kan onderweg gelezen worden.
Het is dus NIET geschikt voor het mailen van kopieën ID en andere vertrouwelijke informatie. Wanneer maakt de rijksoverheid dat eindelijk eens bekend?
En wanneer worden essentiële aanbieders (overheid, financiële instellingen, energiebedrijven) nu eindelijk eens een keer verplicht om standaard een beveiligd kanaal aan te bieden en niet meer te mailen?
Je bedoelt de berichtenbox? Het is dus NIET geschikt voor het mailen van kopieën ID en andere vertrouwelijke informatie. Wanneer maakt de rijksoverheid dat eindelijk eens bekend?
En wanneer worden essentiële aanbieders (overheid, financiële instellingen, energiebedrijven) nu eindelijk eens een keer verplicht om standaard een beveiligd kanaal aan te bieden en niet meer te mailen?
Werkt trouwens heel fijn.
14-11-2025, 08:16 door
Anoniem
Door Anoniem:
Is dit een falen van keepass wat geen lokale offline (offsite) backup heeft,
Keepass is wel een heel veel gebruikte password manager. Want begin hier niet over cloud wachtwoordmanagers op deze site....Door Anoniem: SMS MFA is gewoon een goede, gemakkelijke en eenvoudige oplossingen. Persoonlijk gebruik ik liever keypass database, op mijn onedrive. Maar hoe vaak ik mijn vader al hem moeten helpen hiermee, dat de sync niet meer werkte icm de google drive...... Met mijn vader kan ik hier nog over praten.
Mijn moeder begrijpt eigenlijk alleen SMS goed.
Ook al mee gemaakt, dat de keepass database niet meer te openen was, iets met een persoon die plotseling was overleden.
Of waarbij het OS niet meer wou starten, maar de database lokaal was bewaard.
Zie daar een perfect voorbeeld, van hoe het in de praktijk werkt.
Mijn moeder begrijpt eigenlijk alleen SMS goed.
Ook al mee gemaakt, dat de keepass database niet meer te openen was, iets met een persoon die plotseling was overleden.
Of waarbij het OS niet meer wou starten, maar de database lokaal was bewaard.
Zie daar een perfect voorbeeld, van hoe het in de praktijk werkt.
Is dit een falen van keepass wat geen lokale offline (offsite) backup heeft,
of van SMS MFA wat niet gereset kan worden behalve door het opsturen van een kopie paspoort van de nog levende eigenaar?
Heb ik nog niet meegemaakt. Alles wat je in OneDrive stopt, kan je elk moment kwijtraken. Dat is de les denk ik. Mijn vriend zegt dat OneDrive een sync is. Niet een backup.
Eens, maar dat is dus wel ideaal om je password database mee te syncen. Ik gebruik trouwens de zakelijke varianten hiervoor van Microsoft en Google, waarbij dit probleem eigenlijk niet bestaat.
14-11-2025, 08:27 door
Anoniem
Door Erik van Straten: In reactie op https://security.nl/posting/912530:
Hangt er vanaf, er zijn gemakkelijke mogelijkheden, die enorm goed werken en snel, goedkoop en gemakkelijk te implementeren zijn. Namelijk SMS. Door Anoniem: Dit krijg je als techneuten oplossing gaan bedenken.
Je pareert mijn stellingen niet. En het allergrootste probleem is niet dat techneuten moeilijke oplossingen bedenken, maar dat veilige authenticatie via internet hartstikke lastig is.Goede techneuten verzinnen vanalles om dat juist minder lastig te maken, maar zij kunnen geen wonderen verrichten.
Omdat techneuten teveel denken vanuit techniek en willen meteen alles goed doen.Wat je hier nu eigenlijk weer doet.
Hoed je echter voor marketingmalloten! Voorbeeld, MFA = iets dat je:
• weet;
• bent;
• hebt.
Hele goede definitie voor tegen gebruikers te zeggen.• weet;
• bent;
• hebt.
Klopt, maar nooit vertellen zij erbij dat het om "secrets" moet gaan die niet eenvoudig in handen van kwaadwillenden moeten kunnen vallen (denk aan afkijken, kopiëren, stelen, imiteren, simuleren, brute-forcen enzovoorts).
Omdat dit veel te complex is om echt goed aan gebruikers uit te leggen. Hiermee zit je weer in de techneuten valkuil.Bovendien: via internet inloggen vindt altijd plaats middels een shared secret (of een wiskundig trucje met hetzelfde resultaat: een asymmetrisch sleutelpaar waarbij dat shared secret gesplitst is in het secret zelf en een soort afgeleide daarvan. Na inloggen vervangt een session cookie o.i.d. alle asymmetrische hocus pocus - een ouderwets shared secret dat niet in een "secure enclave" o.i.d. wordt opgeslagen).
"Wat je bent of hebt" wordt dus altijd vertaald naar iets "wat je (of een apparaat) weet". Oordeel zelf maar in welke gevallen dat werkelijk een verbetering oplevert - én waarvan de gebruiker alle risico's en andere nadelen overziet, en daar ook naar handelt.
Zolang niemand anders dan de server en degene die het account aanmaakte zo'n shared secret te weten komt of kan raden, moet het wel om dezelfde persoon gaan (die inlogt) als degene die het account aanmaakte.
Stomme dingen die je kunt doen (en minstens de halve wereld doet) zijn:
1) shared secrets zélf hergebruiken,
en/of:
2) raadbare shared secrets gebruiken,
en/of:
3) shared secrets zelf niet secret houden (bijv. pincode laten afkijken);
maar ook:
4) shared secrets invoeren op de verkeerde server;
5) jouw device of account laten hacken (= game over);
6) jouw shared secrets vergeten of er geen veilige én up-to-date én toegankelijke backups van hebben.
Ik hoeft hier bij mijn gebruikers echt niet aan te komen, ik ben ze binnen 2 zinnen al kwijt. Leuk techneuten gepraat. "Wat je bent of hebt" wordt dus altijd vertaald naar iets "wat je (of een apparaat) weet". Oordeel zelf maar in welke gevallen dat werkelijk een verbetering oplevert - én waarvan de gebruiker alle risico's en andere nadelen overziet, en daar ook naar handelt.
Zolang niemand anders dan de server en degene die het account aanmaakte zo'n shared secret te weten komt of kan raden, moet het wel om dezelfde persoon gaan (die inlogt) als degene die het account aanmaakte.
Stomme dingen die je kunt doen (en minstens de halve wereld doet) zijn:
1) shared secrets zélf hergebruiken,
en/of:
2) raadbare shared secrets gebruiken,
en/of:
3) shared secrets zelf niet secret houden (bijv. pincode laten afkijken);
maar ook:
4) shared secrets invoeren op de verkeerde server;
5) jouw device of account laten hacken (= game over);
6) jouw shared secrets vergeten of er geen veilige én up-to-date én toegankelijke backups van hebben.
Door Anoniem: SMS is zeker niet het veiligste, maar voor heel veel doeleinden gewoon heel erg goed en eenvoudig, iedereen begrijp en kan dit ook, daarom werkt het zo goed voor heel veel doeleinden.
Ja. Maar SMS-2FA:• beschermt niet tegen nep-websites (phishing);
• kan tot account-lockout leiden bij een gewijzigd telefoonnummer;
• is géén vervanger voor een sterk wachtwoord, want het is een zwakke tweede factor.
Het is zeker niet de perfecte oplossing, maar lost een heel hoop aanvals mogelijkheden direct op.
Mensen kunnen onmogelijk zélf voor elk account een uniek en sterk wachtwoord onthouden (naast dat de meeste mensen bar slecht zijn in het bedenken van sterke wachtwoorden).
Eens, daarom is SMS hierbij een hele goede gemakkelijke gebruikersvriendelijke toevoeging. Al ben ik persoonlijk ook van "login met google" voorstander. Maar dat is mijn mening en werkt heel goed. Google MFA werkt best lekker icm de SSO.
Perfecte en vooral eenvoudige+veilige oplossingen bestaan niet en komen er niet.
Deal with it.
Perfecte bestaat inderdaad niet, kies daarom de meest gemakkelijkste, eenvoudigste en goedkoopste oplossing die een flink verschil kan/zal maken, namelijk SMS.Deal with it.
Helaas barst het op internet van "2FA/MFA adviezen" door (vaak Anonieme) nitwits die de bijbehorende risico's verzwijgen of er zelfs glashard over liegen.
Na een mix van Engels en Nederlands zie ik verderop (ik voeg wat "returns" toe voor de leesbaardheid):
M.b.t. Betrouwbaar: op pagina 10 (van 11) in het soort document (https://filelist.tudelft.nl/ICT%20Handleidingen/2%20-%20Nieuwe%20handleidingen/NetID/TUD%20SSO%20MFA%20Handleiding%20%28NL%29.pdf) dat de meeste mensen niet (helemaal) lezen - laat staan studenten, promovendi en medewerkers van een TU (weet ik uit ervaring), staat:
Maar als je dat doet, en een aanvaller verkrijgt toegang tot jouw Microsoft account, dan kan die aanvaller alle secrets uit jouw Microsoft Authenticator app "restoren" op diens smartphone (mits met hetzelfde besturingssysteem: iOS of Android).
Want Microsoft Authenticator is een stomme wachtwoordmanager met een niet versleutelde database.
Daar moest ik een Microsoft account voor hebben: voor "create" gekozen en een test-Gmail account opgegeven. De bevestigingsmail met pincode arriveert in mijn spambox.
Mijn nieuwe MS account heb ik verder aangemaakt zonder dat er ergens om een wachtwoord werd gevraagd (alles, behalve m'n gmail checken, vond overigens plaats in de Microsoft Authenticator app). Na het aanmaken van het account krijg ik een melding dat de backup is mislukt. En de knop "Cloud backup" is weer uitgezet.
Microsoft Authenticator gesloten en weer geopend: er staat ineens een entry in!
TUSSENDOOR-OPMERKING: {
Helaas leidt het drukken op die entry er NIET toe dat ik (met mijn standaard browser) word ingelogd op mijn Microsoft-account. Daarmee zou phishing met nepsites iets lastiger zijn voor cybercriminelen, want dan wordt de juiste domeinnaam (opgeslagen in de database) gebruikt. Belangrijker, uit https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6:
}
Als ik in de beschreven MS Authenticator entry op > druk, zie ik details van die entry:
Okay dan. Ik ga naar Settings en zet Cloud Backup opnieuw aan: nu lukt het wel om een backup te maken! Onder die instelling staat overigens:
Genoemde [1] stuurt door naar https://support.microsoft.com/en-us/account-billing/back-up-your-accounts-in-microsoft-authenticator-bb939936-7a8d-4e88-bc43-49bc1a700a40 - waarin niets te vinden is over een "additional layer of encryption".
Bovendien: ik heb nog steeds nergens een nieuw wachtwoord ingevoerd. Die database is dus niet of op zinloze wijze versleuteld.
En als klap op de vuurpijl: voor het geval dat ik mijn smartphone verlies of in de plee laat vallen, heb ik nu een backup van mijn Microsoft Authenticator database in Microsoft's cloud.
Wel jammer dat ik juist die smartphone nodig heb om de backup van de Microsoft Authenticator Database vanuit mijn wachtwoorloze Microsoft account terug te kunnen zetten...
De grootste onzin over 2FA/MFA
Zo hebben de eindeloze bezuinigingen op ondersteunend personeel bij (o.a.) de TU Delft geleid tot het "pay peanuts" syndroom, blijkend uit bijv. de "Nederlandstalige" pagina https://ict-servicedesk.tudelft.nl/nl/authenticator-app/ (snapshot: https://archive.is/mC3Hr), die begint met (idioterie vet gemaakt door mij):Authenticator-app
This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Zucht.This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Na een mix van Engels en Nederlands zie ik verderop (ik voeg wat "returns" toe voor de leesbaardheid):
Waarom een authenticator-app?
Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
Dat laatste is een ordinaire leugen.Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
• Biedt je een robuustere en stabielere manier van inloggen (al je accounts centraal beheerd in één app). Betrouwbaar en snel: je hoeft niet langer te wachten op een sms-bericht.
Zie verderop.• Offline toegang: geen internetverbinding of telefoonnetwerk nodig.
Hallo: sinds wanneer heb je geen internetverbinding nodig om in te kunnen loggen op https://login.tudelft.nl/mfa?• Internationaal: problemen met inloggen via sms in het buitenland behoren tot het verleden.
Yes, toch a voordeel!M.b.t. Betrouwbaar: op pagina 10 (van 11) in het soort document (https://filelist.tudelft.nl/ICT%20Handleidingen/2%20-%20Nieuwe%20handleidingen/NetID/TUD%20SSO%20MFA%20Handleiding%20%28NL%29.pdf) dat de meeste mensen niet (helemaal) lezen - laat staan studenten, promovendi en medewerkers van een TU (weet ik uit ervaring), staat:
Belangrijk: Vergeet niet om de "Cloud Back-up" functie in de Microsoft Authencator App in te schakelen! Mocht je de smart-device of App kwijtraken, dan kan je de wachtwoordcodes alsnog herstellen door aan te melden met het gekoppelde Microsoft 'herstel-account' in de Microsoft Authenticator App.
Maar als je dat doet, en een aanvaller verkrijgt toegang tot jouw Microsoft account, dan kan die aanvaller alle secrets uit jouw Microsoft Authenticator app "restoren" op diens smartphone (mits met hetzelfde besturingssysteem: iOS of Android).
Want Microsoft Authenticator is een stomme wachtwoordmanager met een niet versleutelde database.
Microsoft Authenticator: stommer en lastiger kan niet
Ook account lockout is supersimpel: ik heb zojuist Microsoft Authenticator geïnstalleerd op m'n Android smartphone. Inderdaad stond "Cloud backup" standaard uit: aangezet.Daar moest ik een Microsoft account voor hebben: voor "create" gekozen en een test-Gmail account opgegeven. De bevestigingsmail met pincode arriveert in mijn spambox.
Mijn nieuwe MS account heb ik verder aangemaakt zonder dat er ergens om een wachtwoord werd gevraagd (alles, behalve m'n gmail checken, vond overigens plaats in de Microsoft Authenticator app). Na het aanmaken van het account krijg ik een melding dat de backup is mislukt. En de knop "Cloud backup" is weer uitgezet.
Microsoft Authenticator gesloten en weer geopend: er staat ineens een entry in!
Microsoft
Mijn testaccount @ gmail.com >
Mijn testaccount @ gmail.com >
TUSSENDOOR-OPMERKING: {
Helaas leidt het drukken op die entry er NIET toe dat ik (met mijn standaard browser) word ingelogd op mijn Microsoft-account. Daarmee zou phishing met nepsites iets lastiger zijn voor cybercriminelen, want dan wordt de juiste domeinnaam (opgeslagen in de database) gebruikt. Belangrijker, uit https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6:
Autofill on Microsoft Authenticator was discontinued in mid-August 2025 as part of Microsoft's efforts to streamline autofill.
Omgekeerd, als Authenticator vanuit een browser wordt geopend, zou Authenticator kunnen checken of de domeinnaam klopt - maar laat dat na. In plaats daarvan krijg je een een push-melding - óók als je op een AitM (Attacker in the Middle) nepsite probeert in te loggen, of als je tig onverwachte notifications zat bent en daarom maar akkoord gaat.}
Als ik in de beschreven MS Authenticator entry op > druk, zie ik details van die entry:
Microsoft
Mijn testaccount @ gmail.com
————————————————————
Passwordless account
This account does not have a password. You can use this device to sign in instead.
————————————————————
One-time password code
1234 5678
————————————————————
Update how you sign in or verify >
————————————————————
Review recent activity >
————————————————————
Reset device notifications >
Mijn testaccount @ gmail.com
————————————————————
Passwordless account
This account does not have a password. You can use this device to sign in instead.
————————————————————
One-time password code
1234 5678
————————————————————
Update how you sign in or verify >
————————————————————
Review recent activity >
————————————————————
Reset device notifications >
Okay dan. Ik ga naar Settings en zet Cloud Backup opnieuw aan: nu lukt het wel om een backup te maken! Onder die instelling staat overigens:
Your backup will be stored in your Microsoft account. Your personal Microsoft account will provide an additional layer of encryption. Learn More [1]
[1]: https://aka.ms/authappbackuprecovery (let op: .ms is *niet* van Microsoft maar van MontSerrat - laat je niet foppen met domeinnamen zoals nl-aka.ms en dergelijke, of http-only links zoals http://ajax.ms).Genoemde [1] stuurt door naar https://support.microsoft.com/en-us/account-billing/back-up-your-accounts-in-microsoft-authenticator-bb939936-7a8d-4e88-bc43-49bc1a700a40 - waarin niets te vinden is over een "additional layer of encryption".
Bovendien: ik heb nog steeds nergens een nieuw wachtwoord ingevoerd. Die database is dus niet of op zinloze wijze versleuteld.
En als klap op de vuurpijl: voor het geval dat ik mijn smartphone verlies of in de plee laat vallen, heb ik nu een backup van mijn Microsoft Authenticator database in Microsoft's cloud.
Wel jammer dat ik juist die smartphone nodig heb om de backup van de Microsoft Authenticator Database vanuit mijn wachtwoorloze Microsoft account terug te kunnen zetten...
CONCLUSIE
Anoniem @08:27 heeft op één punt gelijk: SMS is stukken eenvoudiger. Maar nog onverstandiger.
14-11-2025, 18:06 door
Anoniem
Door Erik van Straten: Helaas barst het op internet van "2FA/MFA adviezen" door (vaak Anonieme) nitwits die de bijbehorende risico's verzwijgen of er zelfs glashard over liegen.
Zelfde kunnen we zeggen over de technische oplossingen of adviezen die hier vaak voorbij komen.De grootste onzin over 2FA/MFA
Zo hebben de eindeloze bezuinigingen op ondersteunend personeel bij (o.a.) de TU Delft geleid tot het "pay peanuts" syndroom, blijkend uit bijv. de "Nederlandstalige" pagina https://ict-servicedesk.tudelft.nl/nl/authenticator-app/ (snapshot: https://archive.is/mC3Hr), die begint met (idioterie vet gemaakt door mij):Authenticator-app
This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Zucht.This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Na een mix van Engels en Nederlands
Een wereldprobleem inderdaad.zie ik verderop (ik voeg wat "returns" toe voor de leesbaardheid):
Nee hoor, deze verschermd het account aanzienlijk beter dan een SMS. De Microsoft Authenticator app werkt zeker heel goed en doet goede bescherming, ook tegen bepaalde en sommige phishing aanvallen.Waarom een authenticator-app?
Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
Dat laatste is een ordinaire leugen.Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
Hier is het verschil weer tussen een techneut en de werkelijkheid. In de werkelijkheid kun je niet alles perfect doen. Maar met de Microsoft Authenticator App, krijg je locaties, welke applicatie (min of meer) je gebruikt in je push bericht te zien. Daarnaast dan icm high risk detectie in Conditional Access ook het nodige afvangen.
Is het de perfecte oplossing en voorkomt dit alles, zeker niet. Maar het is wel weer een stuk hogere beveiliging op de MFA.
• Biedt je een robuustere en stabielere manier van inloggen (al je accounts centraal beheerd in één app). Betrouwbaar en snel: je hoeft niet langer te wachten op een sms-bericht.
Zie verderop.• Offline toegang: geen internetverbinding of telefoonnetwerk nodig.
Hallo: sinds wanneer heb je geen internetverbinding nodig om in te kunnen loggen op https://login.tudelft.nl/mfa?Maar een slecht geschreven stukje.
Voor de rest ga je in op een hoop andere technische dingen, waarbij ik alleen dezelfde conclusie kan trekken. Een zwaar technische techneut geeft zijn mening, maar begrijpt eigenlijk weinig van hoe gebruikers echt werken.
Er zit een groot verschil tussen de technische beste oplossingen en gebruikersvriendelijke oplossingen.
14-11-2025, 18:11 door
Anoniem
Door Erik van Straten: CONCLUSIE
Anoniem @08:27 heeft op één punt gelijk: SMS is stukken eenvoudiger. Maar nog onverstandiger.[/quote]Absoluut mee on eens.Eigenlijk pas je eigen opmerking hier ook goed op, met een paar kleine aanpassingen.
Helaas barst het op internet van "2FA/MFA adviezen" door nitwits of "super techneuten" die de bijbehorende risico's verkeerd inschatten of er zelfs glashard over liegen of niet begrijpen hoe gebruikers willen/moeten/kunnen werken.
Je vergeet totaal de gebruikerservaring of de gebruikers kennis/kunde. SMS werkt gewoon heel eenvoudige en is een enorme security verbetering t.o.v. geen 2de authenticatie. Het lost gewoon een groot gedeelte op, maar er zijn nog steeds (grote) gaten.
Het is zeker niet de perfecte beveiliging die alles oplost, maar wel een hele goede.
14-11-2025, 21:09 door
Anoniem
Door Erik van Straten: Helaas barst het op internet van "2FA/MFA adviezen" door (vaak Anonieme) nitwits die de bijbehorende risico's verzwijgen of er zelfs glashard over liegen.
Na een mix van Engels en Nederlands zie ik verderop (ik voeg wat "returns" toe voor de leesbaardheid):
M.b.t. Betrouwbaar: op pagina 10 (van 11) in het soort document (https://filelist.tudelft.nl/ICT%20Handleidingen/2%20-%20Nieuwe%20handleidingen/NetID/TUD%20SSO%20MFA%20Handleiding%20%28NL%29.pdf) dat de meeste mensen niet (helemaal) lezen - laat staan studenten, promovendi en medewerkers van een TU (weet ik uit ervaring), staat:
Maar als je dat doet, en een aanvaller verkrijgt toegang tot jouw Microsoft account, dan kan die aanvaller alle secrets uit jouw Microsoft Authenticator app "restoren" op diens smartphone (mits met hetzelfde besturingssysteem: iOS of Android).
Want Microsoft Authenticator is een stomme wachtwoordmanager met een niet versleutelde database.
Daar moest ik een Microsoft account voor hebben: voor "create" gekozen en een test-Gmail account opgegeven. De bevestigingsmail met pincode arriveert in mijn spambox.
Mijn nieuwe MS account heb ik verder aangemaakt zonder dat er ergens om een wachtwoord werd gevraagd (alles, behalve m'n gmail checken, vond overigens plaats in de Microsoft Authenticator app). Na het aanmaken van het account krijg ik een melding dat de backup is mislukt. En de knop "Cloud backup" is weer uitgezet.
Microsoft Authenticator gesloten en weer geopend: er staat ineens een entry in!
TUSSENDOOR-OPMERKING: {
Helaas leidt het drukken op die entry er NIET toe dat ik (met mijn standaard browser) word ingelogd op mijn Microsoft-account. Daarmee zou phishing met nepsites iets lastiger zijn voor cybercriminelen, want dan wordt de juiste domeinnaam (opgeslagen in de database) gebruikt. Belangrijker, uit https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6:
}
Als ik in de beschreven MS Authenticator entry op > druk, zie ik details van die entry:
Okay dan. Ik ga naar Settings en zet Cloud Backup opnieuw aan: nu lukt het wel om een backup te maken! Onder die instelling staat overigens:
Genoemde [1] stuurt door naar https://support.microsoft.com/en-us/account-billing/back-up-your-accounts-in-microsoft-authenticator-bb939936-7a8d-4e88-bc43-49bc1a700a40 - waarin niets te vinden is over een "additional layer of encryption".
Bovendien: ik heb nog steeds nergens een nieuw wachtwoord ingevoerd. Die database is dus niet of op zinloze wijze versleuteld.
En als klap op de vuurpijl: voor het geval dat ik mijn smartphone verlies of in de plee laat vallen, heb ik nu een backup van mijn Microsoft Authenticator database in Microsoft's cloud.
Wel jammer dat ik juist die smartphone nodig heb om de backup van de Microsoft Authenticator Database vanuit mijn wachtwoorloze Microsoft account terug te kunnen zetten...
Vraag van een lezen over dirtonderwerp aan peter van StratenDe grootste onzin over 2FA/MFA
Zo hebben de eindeloze bezuinigingen op ondersteunend personeel bij (o.a.) de TU Delft geleid tot het "pay peanuts" syndroom, blijkend uit bijv. de "Nederlandstalige" pagina https://ict-servicedesk.tudelft.nl/nl/authenticator-app/ (snapshot: https://archive.is/mC3Hr), die begint met (idioterie vet gemaakt door mij):Authenticator-app
This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Zucht.This page provides information on using an Authenticator app and why we recommend it.This page provides information on how to access the Canon printer manuals and how to request updates.
Na een mix van Engels en Nederlands zie ik verderop (ik voeg wat "returns" toe voor de leesbaardheid):
Waarom een authenticator-app?
Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
Dat laatste is een ordinaire leugen.Een authenticator-app is een vorm van Multi-Factor Authenticatie (MFA) en biedt verschillende voordelen die bijdragen aan de verhoogde beveiliging van accounts en gevoelige informatie.
We willen stoppen met het gebruik van tekstberichtcodes voor MFA, omdat deze methode niet veilig genoeg is. Tekstberichten zijn vatbaar voor phishing en kunnen onderschept worden. Daarnaast zijn er vaak problemen met het ontvangen van tekstberichten in het buitenland.
De voordelen (voor jou) van het gebruik van de authenticator-app in plaats van SMS:
• Veilig: verhoogt de beveiliging van je TU Delft-account aanzienlijk en beschermt je tegen phishing-aanvallen.
• Biedt je een robuustere en stabielere manier van inloggen (al je accounts centraal beheerd in één app). Betrouwbaar en snel: je hoeft niet langer te wachten op een sms-bericht.
Zie verderop.• Offline toegang: geen internetverbinding of telefoonnetwerk nodig.
Hallo: sinds wanneer heb je geen internetverbinding nodig om in te kunnen loggen op https://login.tudelft.nl/mfa?• Internationaal: problemen met inloggen via sms in het buitenland behoren tot het verleden.
Yes, toch a voordeel!M.b.t. Betrouwbaar: op pagina 10 (van 11) in het soort document (https://filelist.tudelft.nl/ICT%20Handleidingen/2%20-%20Nieuwe%20handleidingen/NetID/TUD%20SSO%20MFA%20Handleiding%20%28NL%29.pdf) dat de meeste mensen niet (helemaal) lezen - laat staan studenten, promovendi en medewerkers van een TU (weet ik uit ervaring), staat:
Belangrijk: Vergeet niet om de "Cloud Back-up" functie in de Microsoft Authencator App in te schakelen! Mocht je de smart-device of App kwijtraken, dan kan je de wachtwoordcodes alsnog herstellen door aan te melden met het gekoppelde Microsoft 'herstel-account' in de Microsoft Authenticator App.
Maar als je dat doet, en een aanvaller verkrijgt toegang tot jouw Microsoft account, dan kan die aanvaller alle secrets uit jouw Microsoft Authenticator app "restoren" op diens smartphone (mits met hetzelfde besturingssysteem: iOS of Android).
Want Microsoft Authenticator is een stomme wachtwoordmanager met een niet versleutelde database.
Microsoft Authenticator: stommer en lastiger kan niet
Ook account lockout is supersimpel: ik heb zojuist Microsoft Authenticator geïnstalleerd op m'n Android smartphone. Inderdaad stond "Cloud backup" standaard uit: aangezet.Daar moest ik een Microsoft account voor hebben: voor "create" gekozen en een test-Gmail account opgegeven. De bevestigingsmail met pincode arriveert in mijn spambox.
Mijn nieuwe MS account heb ik verder aangemaakt zonder dat er ergens om een wachtwoord werd gevraagd (alles, behalve m'n gmail checken, vond overigens plaats in de Microsoft Authenticator app). Na het aanmaken van het account krijg ik een melding dat de backup is mislukt. En de knop "Cloud backup" is weer uitgezet.
Microsoft Authenticator gesloten en weer geopend: er staat ineens een entry in!
Microsoft
Mijn testaccount @ gmail.com >
Mijn testaccount @ gmail.com >
TUSSENDOOR-OPMERKING: {
Helaas leidt het drukken op die entry er NIET toe dat ik (met mijn standaard browser) word ingelogd op mijn Microsoft-account. Daarmee zou phishing met nepsites iets lastiger zijn voor cybercriminelen, want dan wordt de juiste domeinnaam (opgeslagen in de database) gebruikt. Belangrijker, uit https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6:
Autofill on Microsoft Authenticator was discontinued in mid-August 2025 as part of Microsoft's efforts to streamline autofill.
Omgekeerd, als Authenticator vanuit een browser wordt geopend, zou Authenticator kunnen checken of de domeinnaam klopt - maar laat dat na. In plaats daarvan krijg je een een push-melding - óók als je op een AitM (Attacker in the Middle) nepsite probeert in te loggen, of als je tig onverwachte notifications zat bent en daarom maar akkoord gaat.}
Als ik in de beschreven MS Authenticator entry op > druk, zie ik details van die entry:
Microsoft
Mijn testaccount @ gmail.com
————————————————————
Passwordless account
This account does not have a password. You can use this device to sign in instead.
————————————————————
One-time password code
1234 5678
————————————————————
Update how you sign in or verify >
————————————————————
Review recent activity >
————————————————————
Reset device notifications >
Mijn testaccount @ gmail.com
————————————————————
Passwordless account
This account does not have a password. You can use this device to sign in instead.
————————————————————
One-time password code
1234 5678
————————————————————
Update how you sign in or verify >
————————————————————
Review recent activity >
————————————————————
Reset device notifications >
Okay dan. Ik ga naar Settings en zet Cloud Backup opnieuw aan: nu lukt het wel om een backup te maken! Onder die instelling staat overigens:
Your backup will be stored in your Microsoft account. Your personal Microsoft account will provide an additional layer of encryption. Learn More [1]
[1]: https://aka.ms/authappbackuprecovery (let op: .ms is *niet* van Microsoft maar van MontSerrat - laat je niet foppen met domeinnamen zoals nl-aka.ms en dergelijke, of http-only links zoals http://ajax.ms).Genoemde [1] stuurt door naar https://support.microsoft.com/en-us/account-billing/back-up-your-accounts-in-microsoft-authenticator-bb939936-7a8d-4e88-bc43-49bc1a700a40 - waarin niets te vinden is over een "additional layer of encryption".
Bovendien: ik heb nog steeds nergens een nieuw wachtwoord ingevoerd. Die database is dus niet of op zinloze wijze versleuteld.
En als klap op de vuurpijl: voor het geval dat ik mijn smartphone verlies of in de plee laat vallen, heb ik nu een backup van mijn Microsoft Authenticator database in Microsoft's cloud.
Wel jammer dat ik juist die smartphone nodig heb om de backup van de Microsoft Authenticator Database vanuit mijn wachtwoorloze Microsoft account terug te kunnen zetten...
CONCLUSIE
Anoniem @08:27 heeft op één punt gelijk: SMS is stukken eenvoudiger. Maar nog onverstandiger.Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Kun je dat bevestigen ?
Ik heb zelf namelijk jhet idee dat een voldoende sterk wworrd genoeg is (plus domijnnaam check idd)
Door Anoniem: Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Beste COMPROMIS
De combinatie van:• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
Randvoorwaarden
Daar horen wel een aantal randvoorwaarden bij, digiënemaatregelen zeg maar:1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Veiliger (?) inloggen
DAARNA (met die basis) kun je sterkere authenticatie overwegen, waaronder een "tweede factor" (bij voorkeur op een ander apparaat). Of (minstens 2) FIDO2 hardware keys voor de belangrijkste accounts.Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
15-11-2025, 08:08 door
Anoniem
Door Erik van Straten:
• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Een stuk eenvoudiger, hoe de gemiddelde gebruiker werkt.... Veelal hetzelfde wachtwoord, en SMS. Door Anoniem: Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Beste COMPROMIS
De combinatie van:• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
Randvoorwaarden
Daar horen wel een aantal randvoorwaarden bij, digiënemaatregelen zeg maar:1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Veiliger (?) inloggen
DAARNA (met die basis) kun je sterkere authenticatie overwegen, waaronder een "tweede factor" (bij voorkeur op een ander apparaat). Of (minstens 2) FIDO2 hardware keys voor de belangrijkste accounts.Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Een bedrijf heeft geen controle over het wachtwoord wat een gebruiker gebruikt. Afgezien eventueel lengte en speciale tekens.
Dit werkt vaak heel goed DitIsMijnStandaardWachtwoord@025
Daarom is SMS ook zo goed, als zou een gebruiker zijn wachtwoorden hergebruiken, je kunt er daarna nog steeds weinig mee. SMS is gemakkelijk te implementeren en verhoogte de veiligheid enorm.
De perfecte compromis tussen veiligheid en gebruiksgemak.
Je komt weer met veel te technische oplossingen, wat de normale gebruiker veel te complex gaat vinden.
FIDO keys: wat zijn?
de inlogger zelf de domeinnaam (websitenaam) moet checken: DAFUQ?
Password Managers,O je bedoelt google chrome save passwords?
Je moet veel meer vanuit gebruikersperspectief denken, en je technische oplossing daarop bedenken. Je bent veel te veel met techniek bezig voor een doelgroep, die helemaal niets met techniek heeft.
Dit is juist het voorbeeld, waar het verkeerd gaat......
SMS is daarin ideaal voor de meeste diensten en doelgroepen. Iedereen begrijpt het en men hoeft weinig te veranderen hoe ze nu men nu inlogt.
15-11-2025, 09:18 door
Anoniem
Door Erik van Straten:
• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Beste Peter, dank je. helder . Wat nog niet vermeld is(denk ik): een zo lang mogelijk wwoord, ja maar:Wat is minimale lengte? En is gebruik van verschillende woorden daarbij OK? (dat doet Bitwarden en ProtonPassnamelijk ook , makkelijk te onthouden wwoorden bestaande uit 5,6 7 of meer woorden met eventueel een cijfer en spaties en wel niet beginhoofdletters. Door Anoniem: Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Beste COMPROMIS
De combinatie van:• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
Randvoorwaarden
Daar horen wel een aantal randvoorwaarden bij, digiënemaatregelen zeg maar:1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Veiliger (?) inloggen
DAARNA (met die basis) kun je sterkere authenticatie overwegen, waaronder een "tweede factor" (bij voorkeur op een ander apparaat). Of (minstens 2) FIDO2 hardware keys voor de belangrijkste accounts.Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
groet!
15-11-2025, 09:57 door
Anoniem
Door Erik van Straten:
• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Realiteit check: Door Anoniem: Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Beste COMPROMIS
De combinatie van:• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
Randvoorwaarden
Daar horen wel een aantal randvoorwaarden bij, digiënemaatregelen zeg maar:1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Veiliger (?) inloggen
DAARNA (met die basis) kun je sterkere authenticatie overwegen, waaronder een "tweede factor" (bij voorkeur op een ander apparaat). Of (minstens 2) FIDO2 hardware keys voor de belangrijkste accounts.Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Je denkt weer eens veel te technisch, ipv hoe ouderen het Internet gebruiken..
Bouw iets wat gebruikers (willen) gaan gebruiken, ipv de technisch beste oplossing. => SMS
15-11-2025, 11:22 door
Anoniem
Door Anoniem:
Je denkt weer eens veel te technisch, ipv hoe ouderen het Internet gebruiken..
Bouw iets wat gebruikers (willen) gaan gebruiken, ipv de technisch beste oplossing. => SMS
Wat een denigrerende opmerking over ouderen... Alsof mensen die ouder zijn een ander soort mensen zijn dan de gemiddelde Nederlander (die uiteindelijk ook ouder wordt) Jij ook. Jij wordt ook een oudere. Snap jij dan ineens niets meer? Dus sms voor mensen boven de 65 en daaronder ingewikkelde oplossingen?Door Erik van Straten:
• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Realiteit check: Door Anoniem: Begrijp ik dat he beste is om alleen een wachtwoord middels een wwoord manager die ook domeinnamen checkt?
Beste COMPROMIS
De combinatie van:• Een zo lang mogelijk, random gegenereerd (met zoveel mogelijk verschillende tekens {1}), uniek wachtwoord per account, en
• Software die checkt of de domeinnaam klopt vóórdat het wachtwoord wordt vrijgegeven,
— levert één sterke authenticatiefactor op. Dat is het minste dat ik aanraad.
Dat vormt, op een internet vol phishing-sites (en {2}) m.i. het beste compromis tussen beveiliging en gebruiksgemak.
{1} Helaas heeft elke website een andere policy voor maximale lengte en toegestane tekens. Dit is puzzelen geblazen; zie ook https://infosec.exchange/@dumbpasswordrules.
{2} Server-beheerders die geen tijd=geld gaan verspillen aan gebruikers die claimen dat ze niet meer in kunnen loggen (doordat ze hun wachtwoord vergeten zijn of omdat hun account gehacked is en de crimineel het wachtwoord veranderd heeft: wie spreekt dan de waarheid?).
Randvoorwaarden
Daar horen wel een aantal randvoorwaarden bij, digiënemaatregelen zeg maar:1) Een beslist "schoon" apparaat (zonder malware of spyware);
2) Een browser die waarschuwt bij elke http:// verbinding (+ dat u stopt);
3) Sterke versleuteling van de wwdb (wachtwoorden-database);
4) Een "ijzersterk" master-ww voor die versleuteling i.v.m. backups. Nb. Openen van de wwdb (vrijgeven master-ww) met biometrie of desnoods pincode is acceptabel (denk dan om afkijken!);
5) Een veilige oplossing die voorkómt dat je jouw master password vergeet;
6) Minstens één backup (kopie!) van de wwdb na élke wijziging;
7) Bewaar ook minstens één vorige wwdb backup ("known good");
8) Wees alert bij onverwachte waarschuwingen en berichten i.r.t. inloggen;
9) Verzeker je maximaal van de juiste domeinnaam bij aanmaken account.
Nb. eerder schreef ik https://security.nl/posting/840236/Veilig+inloggen met toelichtingen.
Veiliger (?) inloggen
DAARNA (met die basis) kun je sterkere authenticatie overwegen, waaronder een "tweede factor" (bij voorkeur op een ander apparaat). Of (minstens 2) FIDO2 hardware keys voor de belangrijkste accounts.Maar dat levert wel altijd extra gedoe op dat vaak afleidt van zaken waar je, juist tijdens inloggen, op moet letten.
Mede daarom waarschuw ik tegen zwakke 2FA/MFA waarbij de inlogger zelf de domeinnaam (websitenaam) moet checken: vooral "minder handige" internetters worden knettergek van het aantal verschillende handelingen dat zij moeten uitvoeren tijdens inloggen. Dat maakt social engineering stukken eenvoudiger - waardoor zwakke MFA het inloggen juist onveiliger maakt.
Je denkt weer eens veel te technisch, ipv hoe ouderen het Internet gebruiken..
Bouw iets wat gebruikers (willen) gaan gebruiken, ipv de technisch beste oplossing. => SMS
15-11-2025, 23:00 door
Erik van Straten
Aan de Anonieme SMS-fan: gebruik sowieso een wachtwoordmanager die domeinnamen checkt en random wachtwoorden genereert. De lange tekst hieronder is slechts een onderbouwing, verdoe je tijd er niet mee.
{1} Op die pagina kun je experimenteren zonder andere gegevens in te vullen. Nb. ik heb niet getest of zo'n wachtwoord alsnog wordt afgewezen als ik echt een account aanmaak.
Het aantal mogelijkheden wordt nóg kleiner bij aanvullende eisen, zoals dat elke letter of cijfer hooguit éénmaal vóór mag komen en/of er, net zoals bij bol.com, een lijst met "onveilige" wachtwoorden wordt toegepast waardoor bijv. "000000" en "qwerty" niet mogen.
1) Het moet niet te brute-forcen of middels uitproberen te raden zijn door iemand die niets anders van je weet dan jouw inlognaam (meestal e-mailadres). Brute-forcen kan op meerdere manieren:
• Eén voor één de items uit een lijst met veelgebruikte wachtwoorden ("dictionary") proberen. Denk aan iets als "12345", "123456", "Secret", "Welkom1!", schuttingtaal, bekende namen als "Marcel" (evt. met geprobeerd met verschillende geboortejaren erachter, zoals "Marcel84"), "Fijenoord" en ga zo maar door. Het beste wapen hiertegen is NIET een bekend wachtwoord gebruiken.
Voorbeelden van lijsten met *nooit* te gebruiken wachtwoorden:
[1] Slechts 1000 stuks: https://www.secureworks.com/blog/lazy-passwords-become-rocket-fuel-for-emotet-smb-spreader (bron: https://security.nl/posting/587925/Emotet-malware+gebruikt+1000+wachtwoorden+voor+netwerkinfecties)
[2] Toetsenbordpatronen: https://specopssoft.com/blog/top-keyboard-walk-patterns-found-in-compromised-passwords/
[3] O.a. de RockYou series https://github.com/danielmiessler/SecLists/tree/master/Passwords
[4] Handig, hashcheck (zie verderop): https://weakpass.com/tools/lookup.
• Stomweg proberen van "0000"-"0009, "000a - 000z", "000A-000Z", "000[spatie]-000~", dan "0010"-"0019, enzovoorts, en dat voor steeds langere reeksen. Dit gebeurt soms; het beste wapen hiertegen is lengte.
Nb. om (meestal tijdelijke) account-blokkeringen te voorkómen, kan zo'n aanval heel langzaam plaatsvinden, of er wordt een wachtwoord gekozen waarna verschillende inlognamen bij soms meerdere websites worden geprobeerd.
2) Het moet niet (deels) te raden zijn op basis van wat anderen van jou weten of (online of anders) kunnen vinden. Zoals (delen van) je naam, geboortedatum, adres, postcode, etc. Dat geldt ook voor vergelijkbare gegevens van jouw ouders, kinderen en kleinkinderen.
3) Elk van jouw accounts moet een uniek wachwoord hebben - voor het geval dat een server met een account van jou wordt gehacked (of een foute beheerder de account-database verkoopt). Als gegevens in jouw account op die server "op straat liggen", is dat erg genoeg; wat je niet wilt is dat criminelen, met jouw gegevens, ook accounts van jou op andere servers overnemen.
(Bron: onderin de voorbeelden genoemd in https://weakpass.com/wordlists/weakpass_4.merged.txt - een pagina die nog niet meteen een gigantisch bestand downloadt).
Of een willekeurig wachtwoord (zelfs fatsoenlijk gegenereerd door een wachtwoordmanager) onveiliger is dan verwacht, kun je veilig checken in twee stappen:
a) Bereken er de SHA256 van. Doe dat niet met een webbased tool, maar bijv. met een commandline programma waarvan je zeker weet dat het niks naar internet stuurt (en, indien een bestand als input vereist is, zorg dan dat daar geen ongewenste "troep" zoals linefeeds en/of Unicode en/of EOF markers aan zijn toegevoegd).
Het voorbeeldwachtwoord met daaronder de door mij berekende SHA256 hashwaarde:
b) Kopieer en plak die hashwaarde in https://weakpass.com/tools/lookup. In een oogwenk is de hashwaarde "gereversed" in het oorspronkelijke wachtwoord.
Eerder genoemde wachtwoorden met hun SHA256-hashes:
Bovendien, bij wachtwoorden die je moet intikken is er geen automatische check op de domeinnaam. Soms is dat onvermijdelijk (denk bijv. aan WiFi-wachtwoorden), maar daarbij gaat het zelden om wachtwoorden van accounts op internet. En juist die zijn zo kwetsbaar, omdat in potentie iedere wereldburger (en bot) erbij kan.
P.S. m.b.t. wachtwoordboekjes: https://security.nl/posting/781546.
Door Anoniem: Wat nog niet vermeld is(denk ik): een zo lang mogelijk wwoord, ja maar:Wat is minimale lengte?
De verstandige minimale wachtwoordlengte hangt af van hoe onwaarschijnlijk jouw wachtwoord is, maar ook van hoe stom de server is.Voorbeeld: "Bol" (voorheen verstandig bekend als "bol.com")
https://login.bol.com/wsp/register vindt beide volgende wachtwoorden met lengte 6 "oke" {1}:000001
€—•ß…\
€—•ß…\
{1} Op die pagina kun je experimenteren zonder andere gegevens in te vullen. Nb. ik heb niet getest of zo'n wachtwoord alsnog wordt afgewezen als ik echt een account aanmaak.
Minimale lengte volgens http://nvsh.nl
Stel een server accepteert uitsluitend 0-9, a-z en A-Z, doch blijkt hoofdletterONGEVOELIG te zijn. Dan zijn er, bij een wachtwoord met lengte 6, in totaal 36^6 = 2.176.782.336 mogelijkheden. Met een "domme" brute force aanval heeft een aanvaller gemiddeld de helft aan pogingen nodig, 1.088.391.168 dus. Dat getal is, voor het steeds sneller wordende internet, nog net géén lachertje (wél voor een versleuteld bestand dat zich niet kan verdedigen met een lockout). Maar als je ervan uitgaat dat de meeste mensen met een letter zullen beginnen en de letter "e" de grootste kans heeft om in het wachtwoord vóór te komen, is een slimmere brute force aanval denkbaar - enzovoorts.Het aantal mogelijkheden wordt nóg kleiner bij aanvullende eisen, zoals dat elke letter of cijfer hooguit éénmaal vóór mag komen en/of er, net zoals bij bol.com, een lijst met "onveilige" wachtwoorden wordt toegepast waardoor bijv. "000000" en "qwerty" niet mogen.
De SIMPELE eis aan verstandige wachtwoorden
Gebruik een betrouwbare random generator (een mens is dat niet!) om een "willekeurig" wachtwoord van de maximaal door de server toegestane lengte en toegestane karakters (cijfers, letters en tekens) te maken. De kans dat zo'n wachtwoord niet aan de gedetailleerde eisen hieronder voldoet, neemt rap af met de (door de server toegestane) lengte.INGEWIKKELDE eisen aan verstandige wachtwoorden
De eisen aan elk wachtwoord zijn, van meer naar minder belangrijk:1) Het moet niet te brute-forcen of middels uitproberen te raden zijn door iemand die niets anders van je weet dan jouw inlognaam (meestal e-mailadres). Brute-forcen kan op meerdere manieren:
• Eén voor één de items uit een lijst met veelgebruikte wachtwoorden ("dictionary") proberen. Denk aan iets als "12345", "123456", "Secret", "Welkom1!", schuttingtaal, bekende namen als "Marcel" (evt. met geprobeerd met verschillende geboortejaren erachter, zoals "Marcel84"), "Fijenoord" en ga zo maar door. Het beste wapen hiertegen is NIET een bekend wachtwoord gebruiken.
Voorbeelden van lijsten met *nooit* te gebruiken wachtwoorden:
[1] Slechts 1000 stuks: https://www.secureworks.com/blog/lazy-passwords-become-rocket-fuel-for-emotet-smb-spreader (bron: https://security.nl/posting/587925/Emotet-malware+gebruikt+1000+wachtwoorden+voor+netwerkinfecties)
[2] Toetsenbordpatronen: https://specopssoft.com/blog/top-keyboard-walk-patterns-found-in-compromised-passwords/
[3] O.a. de RockYou series https://github.com/danielmiessler/SecLists/tree/master/Passwords
[4] Handig, hashcheck (zie verderop): https://weakpass.com/tools/lookup.
• Stomweg proberen van "0000"-"0009, "000a - 000z", "000A-000Z", "000[spatie]-000~", dan "0010"-"0019, enzovoorts, en dat voor steeds langere reeksen. Dit gebeurt soms; het beste wapen hiertegen is lengte.
Nb. om (meestal tijdelijke) account-blokkeringen te voorkómen, kan zo'n aanval heel langzaam plaatsvinden, of er wordt een wachtwoord gekozen waarna verschillende inlognamen bij soms meerdere websites worden geprobeerd.
2) Het moet niet (deels) te raden zijn op basis van wat anderen van jou weten of (online of anders) kunnen vinden. Zoals (delen van) je naam, geboortedatum, adres, postcode, etc. Dat geldt ook voor vergelijkbare gegevens van jouw ouders, kinderen en kleinkinderen.
3) Elk van jouw accounts moet een uniek wachwoord hebben - voor het geval dat een server met een account van jou wordt gehacked (of een foute beheerder de account-database verkoopt). Als gegevens in jouw account op die server "op straat liggen", is dat erg genoeg; wat je niet wilt is dat criminelen, met jouw gegevens, ook accounts van jou op andere servers overnemen.
Lang is niet gegarandeerd sterk
Voorbeelden van een lang, ogenschijnlijk sterk, wachtwoord:v#!<tnoTiWzlMo3jilTigw?,4@Mywg
Zelf checken of een wachtwoord ONVEILIG is
Vooraf: een betrouwbare check of een wachtwoord VEILIG is, bestaat niet - want jouw wachtwoord kan, as we speak, gelekt worden.Of een willekeurig wachtwoord (zelfs fatsoenlijk gegenereerd door een wachtwoordmanager) onveiliger is dan verwacht, kun je veilig checken in twee stappen:
a) Bereken er de SHA256 van. Doe dat niet met een webbased tool, maar bijv. met een commandline programma waarvan je zeker weet dat het niks naar internet stuurt (en, indien een bestand als input vereist is, zorg dan dat daar geen ongewenste "troep" zoals linefeeds en/of Unicode en/of EOF markers aan zijn toegevoegd).
Het voorbeeldwachtwoord met daaronder de door mij berekende SHA256 hashwaarde:
v#!<tnoTiWzlMo3jilTigw?,4@Mywg
9fe6044576899aea435faa75efdb8dd68c2f43d4229d799593382a6f9c23b32e
9fe6044576899aea435faa75efdb8dd68c2f43d4229d799593382a6f9c23b32e
b) Kopieer en plak die hashwaarde in https://weakpass.com/tools/lookup. In een oogwenk is de hashwaarde "gereversed" in het oorspronkelijke wachtwoord.
Eerder genoemde wachtwoorden met hun SHA256-hashes:
000001
a7fda0b61e2047f0f1057d1f5f064c272fd5d490961c531f4df64b0dd354683a
€—•ß…\
6279b14cd34ce8a54cd30cee446789a677953c4fbfd23291792e5389375ecb72
a7fda0b61e2047f0f1057d1f5f064c272fd5d490961c531f4df64b0dd354683a
€—•ß…\
6279b14cd34ce8a54cd30cee446789a677953c4fbfd23291792e5389375ecb72
Door Anoniem: En is gebruik van verschillende woorden daarbij OK?
In de praktijk is op veel servers de maximale wachtwoordlengte veel te beperkt voor "wachtzinnen". Sowieso, hoe meer een wachtwoord van "perfect random" afwijkt, hoe kwetsbaarder jouw account is.Bovendien, bij wachtwoorden die je moet intikken is er geen automatische check op de domeinnaam. Soms is dat onvermijdelijk (denk bijv. aan WiFi-wachtwoorden), maar daarbij gaat het zelden om wachtwoorden van accounts op internet. En juist die zijn zo kwetsbaar, omdat in potentie iedere wereldburger (en bot) erbij kan.
P.S. m.b.t. wachtwoordboekjes: https://security.nl/posting/781546.
16-11-2025, 09:19 door
Anoniem
Door Erik van Straten: Aan de Anonieme SMS-fan: gebruik sowieso een wachtwoordmanager die domeinnamen checkt en random wachtwoorden genereert. De lange tekst hieronder is slechts een onderbouwing, verdoe je tijd er niet mee.
{1} Op die pagina kun je experimenteren zonder andere gegevens in te vullen. Nb. ik heb niet getest of zo'n wachtwoord alsnog wordt afgewezen als ik echt een account aanmaak.
Het aantal mogelijkheden wordt nóg kleiner bij aanvullende eisen, zoals dat elke letter of cijfer hooguit éénmaal vóór mag komen en/of er, net zoals bij bol.com, een lijst met "onveilige" wachtwoorden wordt toegepast waardoor bijv. "000000" en "qwerty" niet mogen.
1) Het moet niet te brute-forcen of middels uitproberen te raden zijn door iemand die niets anders van je weet dan jouw inlognaam (meestal e-mailadres). Brute-forcen kan op meerdere manieren:
• Eén voor één de items uit een lijst met veelgebruikte wachtwoorden ("dictionary") proberen. Denk aan iets als "12345", "123456", "Secret", "Welkom1!", schuttingtaal, bekende namen als "Marcel" (evt. met geprobeerd met verschillende geboortejaren erachter, zoals "Marcel84"), "Fijenoord" en ga zo maar door. Het beste wapen hiertegen is NIET een bekend wachtwoord gebruiken.
Voorbeelden van lijsten met *nooit* te gebruiken wachtwoorden:
[1] Slechts 1000 stuks: https://www.secureworks.com/blog/lazy-passwords-become-rocket-fuel-for-emotet-smb-spreader (bron: https://security.nl/posting/587925/Emotet-malware+gebruikt+1000+wachtwoorden+voor+netwerkinfecties)
[2] Toetsenbordpatronen: https://specopssoft.com/blog/top-keyboard-walk-patterns-found-in-compromised-passwords/
[3] O.a. de RockYou series https://github.com/danielmiessler/SecLists/tree/master/Passwords
[4] Handig, hashcheck (zie verderop): https://weakpass.com/tools/lookup.
• Stomweg proberen van "0000"-"0009, "000a - 000z", "000A-000Z", "000[spatie]-000~", dan "0010"-"0019, enzovoorts, en dat voor steeds langere reeksen. Dit gebeurt soms; het beste wapen hiertegen is lengte.
Nb. om (meestal tijdelijke) account-blokkeringen te voorkómen, kan zo'n aanval heel langzaam plaatsvinden, of er wordt een wachtwoord gekozen waarna verschillende inlognamen bij soms meerdere websites worden geprobeerd.
2) Het moet niet (deels) te raden zijn op basis van wat anderen van jou weten of (online of anders) kunnen vinden. Zoals (delen van) je naam, geboortedatum, adres, postcode, etc. Dat geldt ook voor vergelijkbare gegevens van jouw ouders, kinderen en kleinkinderen.
3) Elk van jouw accounts moet een uniek wachwoord hebben - voor het geval dat een server met een account van jou wordt gehacked (of een foute beheerder de account-database verkoopt). Als gegevens in jouw account op die server "op straat liggen", is dat erg genoeg; wat je niet wilt is dat criminelen, met jouw gegevens, ook accounts van jou op andere servers overnemen.
(Bron: onderin de voorbeelden genoemd in https://weakpass.com/wordlists/weakpass_4.merged.txt - een pagina die nog niet meteen een gigantisch bestand downloadt).
Of een willekeurig wachtwoord (zelfs fatsoenlijk gegenereerd door een wachtwoordmanager) onveiliger is dan verwacht, kun je veilig checken in twee stappen:
a) Bereken er de SHA256 van. Doe dat niet met een webbased tool, maar bijv. met een commandline programma waarvan je zeker weet dat het niks naar internet stuurt (en, indien een bestand als input vereist is, zorg dan dat daar geen ongewenste "troep" zoals linefeeds en/of Unicode en/of EOF markers aan zijn toegevoegd).
Het voorbeeldwachtwoord met daaronder de door mij berekende SHA256 hashwaarde:
b) Kopieer en plak die hashwaarde in https://weakpass.com/tools/lookup. In een oogwenk is de hashwaarde "gereversed" in het oorspronkelijke wachtwoord.
Eerder genoemde wachtwoorden met hun SHA256-hashes:
Bovendien, bij wachtwoorden die je moet intikken is er geen automatische check op de domeinnaam. Soms is dat onvermijdelijk (denk bijv. aan WiFi-wachtwoorden), maar daarbij gaat het zelden om wachtwoorden van accounts op internet. En juist die zijn zo kwetsbaar, omdat in potentie iedere wereldburger (en bot) erbij kan.
P.S. m.b.t. wachtwoordboekjes: https://security.nl/posting/781546.
Dit is een goed stuk Dank daarvoor. Eindelijk een sgeen gelul maar inhoud.Door Anoniem: Wat nog niet vermeld is(denk ik): een zo lang mogelijk wwoord, ja maar:Wat is minimale lengte?
De verstandige minimale wachtwoordlengte hangt af van hoe onwaarschijnlijk jouw wachtwoord is, maar ook van hoe stom de server is.Voorbeeld: "Bol" (voorheen verstandig bekend als "bol.com")
https://login.bol.com/wsp/register vindt beide volgende wachtwoorden met lengte 6 "oke" {1}:000001
€—•ß…\
€—•ß…\
{1} Op die pagina kun je experimenteren zonder andere gegevens in te vullen. Nb. ik heb niet getest of zo'n wachtwoord alsnog wordt afgewezen als ik echt een account aanmaak.
Minimale lengte volgens http://nvsh.nl
Stel een server accepteert uitsluitend 0-9, a-z en A-Z, doch blijkt hoofdletterONGEVOELIG te zijn. Dan zijn er, bij een wachtwoord met lengte 6, in totaal 36^6 = 2.176.782.336 mogelijkheden. Met een "domme" brute force aanval heeft een aanvaller gemiddeld de helft aan pogingen nodig, 1.088.391.168 dus. Dat getal is, voor het steeds sneller wordende internet, nog net géén lachertje (wél voor een versleuteld bestand dat zich niet kan verdedigen met een lockout). Maar als je ervan uitgaat dat de meeste mensen met een letter zullen beginnen en de letter "e" de grootste kans heeft om in het wachtwoord vóór te komen, is een slimmere brute force aanval denkbaar - enzovoorts.Het aantal mogelijkheden wordt nóg kleiner bij aanvullende eisen, zoals dat elke letter of cijfer hooguit éénmaal vóór mag komen en/of er, net zoals bij bol.com, een lijst met "onveilige" wachtwoorden wordt toegepast waardoor bijv. "000000" en "qwerty" niet mogen.
De SIMPELE eis aan verstandige wachtwoorden
Gebruik een betrouwbare random generator (een mens is dat niet!) om een "willekeurig" wachtwoord van de maximaal door de server toegestane lengte en toegestane karakters (cijfers, letters en tekens) te maken. De kans dat zo'n wachtwoord niet aan de gedetailleerde eisen hieronder voldoet, neemt rap af met de (door de server toegestane) lengte.INGEWIKKELDE eisen aan verstandige wachtwoorden
De eisen aan elk wachtwoord zijn, van meer naar minder belangrijk:1) Het moet niet te brute-forcen of middels uitproberen te raden zijn door iemand die niets anders van je weet dan jouw inlognaam (meestal e-mailadres). Brute-forcen kan op meerdere manieren:
• Eén voor één de items uit een lijst met veelgebruikte wachtwoorden ("dictionary") proberen. Denk aan iets als "12345", "123456", "Secret", "Welkom1!", schuttingtaal, bekende namen als "Marcel" (evt. met geprobeerd met verschillende geboortejaren erachter, zoals "Marcel84"), "Fijenoord" en ga zo maar door. Het beste wapen hiertegen is NIET een bekend wachtwoord gebruiken.
Voorbeelden van lijsten met *nooit* te gebruiken wachtwoorden:
[1] Slechts 1000 stuks: https://www.secureworks.com/blog/lazy-passwords-become-rocket-fuel-for-emotet-smb-spreader (bron: https://security.nl/posting/587925/Emotet-malware+gebruikt+1000+wachtwoorden+voor+netwerkinfecties)
[2] Toetsenbordpatronen: https://specopssoft.com/blog/top-keyboard-walk-patterns-found-in-compromised-passwords/
[3] O.a. de RockYou series https://github.com/danielmiessler/SecLists/tree/master/Passwords
[4] Handig, hashcheck (zie verderop): https://weakpass.com/tools/lookup.
• Stomweg proberen van "0000"-"0009, "000a - 000z", "000A-000Z", "000[spatie]-000~", dan "0010"-"0019, enzovoorts, en dat voor steeds langere reeksen. Dit gebeurt soms; het beste wapen hiertegen is lengte.
Nb. om (meestal tijdelijke) account-blokkeringen te voorkómen, kan zo'n aanval heel langzaam plaatsvinden, of er wordt een wachtwoord gekozen waarna verschillende inlognamen bij soms meerdere websites worden geprobeerd.
2) Het moet niet (deels) te raden zijn op basis van wat anderen van jou weten of (online of anders) kunnen vinden. Zoals (delen van) je naam, geboortedatum, adres, postcode, etc. Dat geldt ook voor vergelijkbare gegevens van jouw ouders, kinderen en kleinkinderen.
3) Elk van jouw accounts moet een uniek wachwoord hebben - voor het geval dat een server met een account van jou wordt gehacked (of een foute beheerder de account-database verkoopt). Als gegevens in jouw account op die server "op straat liggen", is dat erg genoeg; wat je niet wilt is dat criminelen, met jouw gegevens, ook accounts van jou op andere servers overnemen.
Lang is niet gegarandeerd sterk
Voorbeelden van een lang, ogenschijnlijk sterk, wachtwoord:v#!<tnoTiWzlMo3jilTigw?,4@Mywg
Zelf checken of een wachtwoord ONVEILIG is
Vooraf: een betrouwbare check of een wachtwoord VEILIG is, bestaat niet - want jouw wachtwoord kan, as we speak, gelekt worden.Of een willekeurig wachtwoord (zelfs fatsoenlijk gegenereerd door een wachtwoordmanager) onveiliger is dan verwacht, kun je veilig checken in twee stappen:
a) Bereken er de SHA256 van. Doe dat niet met een webbased tool, maar bijv. met een commandline programma waarvan je zeker weet dat het niks naar internet stuurt (en, indien een bestand als input vereist is, zorg dan dat daar geen ongewenste "troep" zoals linefeeds en/of Unicode en/of EOF markers aan zijn toegevoegd).
Het voorbeeldwachtwoord met daaronder de door mij berekende SHA256 hashwaarde:
v#!<tnoTiWzlMo3jilTigw?,4@Mywg
9fe6044576899aea435faa75efdb8dd68c2f43d4229d799593382a6f9c23b32e
9fe6044576899aea435faa75efdb8dd68c2f43d4229d799593382a6f9c23b32e
b) Kopieer en plak die hashwaarde in https://weakpass.com/tools/lookup. In een oogwenk is de hashwaarde "gereversed" in het oorspronkelijke wachtwoord.
Eerder genoemde wachtwoorden met hun SHA256-hashes:
000001
a7fda0b61e2047f0f1057d1f5f064c272fd5d490961c531f4df64b0dd354683a
€—•ß…\
6279b14cd34ce8a54cd30cee446789a677953c4fbfd23291792e5389375ecb72
a7fda0b61e2047f0f1057d1f5f064c272fd5d490961c531f4df64b0dd354683a
€—•ß…\
6279b14cd34ce8a54cd30cee446789a677953c4fbfd23291792e5389375ecb72
Door Anoniem: En is gebruik van verschillende woorden daarbij OK?
In de praktijk is op veel servers de maximale wachtwoordlengte veel te beperkt voor "wachtzinnen". Sowieso, hoe meer een wachtwoord van "perfect random" afwijkt, hoe kwetsbaarder jouw account is.Bovendien, bij wachtwoorden die je moet intikken is er geen automatische check op de domeinnaam. Soms is dat onvermijdelijk (denk bijv. aan WiFi-wachtwoorden), maar daarbij gaat het zelden om wachtwoorden van accounts op internet. En juist die zijn zo kwetsbaar, omdat in potentie iedere wereldburger (en bot) erbij kan.
P.S. m.b.t. wachtwoordboekjes: https://security.nl/posting/781546.
Ik heb een vraag: Het MasterPassword voor je Paswmanager waar sla je dat op? Ik gebruik Keepass als hoofdkluis op USB met 2 kopie:en en Bitwarden voor minder belangrijke account als browser-extensie . Ook hier een MasterPassword nodig maar dat sla ik op in KeePass. Waar sla ik KeePass opMasterPasWord op? (nu in mijn hoofd)
16-11-2025, 10:21 door
Anoniem
AAnvullende vraag
Als je een lang Hoofdwachtwoord hebt (64 tekens willekeurig en vreemde tekens)voor je passwordmanager (bijv KeePass)
moet je dat dan elke keer in
tikken? En hoe onthoud je dat dan? Ook weer in een paswordmanager? (cirkelredenering)
Als je een lang Hoofdwachtwoord hebt (64 tekens willekeurig en vreemde tekens)voor je passwordmanager (bijv KeePass)
moet je dat dan elke keer in
tikken? En hoe onthoud je dat dan? Ook weer in een paswordmanager? (cirkelredenering)
16-11-2025, 10:25 door
Anoniem
Wat nog vergeten wordt:
als je je inlognaam, wachtwoord en 2FA code hebt ingevuld dan weet je browser en de website waarvoor je dat hebt gedaan dat ook.
als je je inlognaam, wachtwoord en 2FA code hebt ingevuld dan weet je browser en de website waarvoor je dat hebt gedaan dat ook.
16-11-2025, 12:38 door
Anoniem
Door Anoniem: AAnvullende vraag
Als je een lang Hoofdwachtwoord hebt (64 tekens willekeurig en vreemde tekens)voor je passwordmanager (bijv KeePass)
moet je dat dan elke keer in
tikken? En hoe onthoud je dat dan? Ook weer in een paswordmanager? (cirkelredenering)
Als je een lang Hoofdwachtwoord hebt (64 tekens willekeurig en vreemde tekens)voor je passwordmanager (bijv KeePass)
moet je dat dan elke keer in
tikken? En hoe onthoud je dat dan? Ook weer in een paswordmanager? (cirkelredenering)
Door een wachtwoord vaak te gebruiken, leer je die te onthouden. Dat is de reden dat passwordless van Microsoft Hello zo slecht is. Er zit immers nog steeds een wachtwoord achter, maar die gebruik je niet meer zo vaak als vroeger. Als je die dan nodig hebt, bij bijvoorbeeld een nieuw apparaat, dan weet je die niet meer en kan je niet meer bij je Microsoft Account. Microsoft verdient hier niet minder geld om. Je zal alles opnieuw moeten aanschaffen.
Let op muscle memory. Het kan zijn dat als je je wachtwoord op een iets ander toetsenbord invoert, dat je het opeens niet meer weet. Bijvoorbeeld omdat de letters of cijfers ergens anders zitten.
Je kan je wachtwoord opschrijven (let op doordruk op wat er onder ligt als je schrijft) tot je zeker weet dat je die niet meer zal vergeten. Papier kan je verscheuren, verbranden, knippen, door de wc spoelen, opeten. Maak er een aantekening van als je dit doet zodat je hier niet later over gaat twijfelen.
64 tekens willekeurig is overigens overkill. Ik doe zo'n 22 tekens uit [0..9][a..z][A..Z] voor Wifi wachtwoorden die ik maar een keer invoer. Dat komt ongeveer overeen met een symmetrische sleutel van 131 bits. Voor e-mail gebruik ik nog kortere wachtwoorden hoewel ik die wel langer maak als ik ze vervang vanwege Moore's law. Als AI implodeert staan er ook een heleboel chips in datacenters die niets te doen hebben. Dus die zouden dan wachtwoordhashes kunnen gaan kraken. Dat wordt dan heel goedkoop voor een aanvaller.
Anoniem 10:03
16-11-2025, 18:43 door
Erik van Straten
Prima antwoord van Anoniem 12:38 vandaag.
In aanvulling daarop: knip jouw master password in bijv. twee stukken. Neem 2 of 4 mensen in vertrouwen en laat hen elk een helft van jouw master wachtwoord opslaan in hun wachtwoordmanagers.
Bewaar een kopie van de (vanzelfsprekend versleutelde) database op een USB geheugenstick die je thuis bewaart op een vaste plaats. Vertel aan (evt. andere) familieleden waar die stick ligt en wie de mensen zijn die samen het volledige wachtwoord kunnen reproduceren. Dit kan familie veel kopzorgen besparen als je onverwachts komt te overlijden of hersenschade oploopt. Of jouzelf als je jouw master password vergeten bent.
Belangrijk:
• Check regelmatig (bijv. 2x per jaar) of de bekenden de helft van jouw master password nog kunnen reproduceren.
• Spreek af dat wachtwoordhelften *NOOIT* online worden uitgewisseld maar uitsluitend in levenden lijve - zonder uitzonderingen (om online oplichting te voorkómen).
En vanzelfsprekend bied je aan anderen aan om voor hen een "halvesleutelbewaarder" te worden.
Nb. een "luxere" maar meer ingewikkelde aanpak is "Shamir's Secret Sharing" (https://en.wikipedia.org/wiki/Shamir%27s_secret_sharing).
In aanvulling daarop: knip jouw master password in bijv. twee stukken. Neem 2 of 4 mensen in vertrouwen en laat hen elk een helft van jouw master wachtwoord opslaan in hun wachtwoordmanagers.
Bewaar een kopie van de (vanzelfsprekend versleutelde) database op een USB geheugenstick die je thuis bewaart op een vaste plaats. Vertel aan (evt. andere) familieleden waar die stick ligt en wie de mensen zijn die samen het volledige wachtwoord kunnen reproduceren. Dit kan familie veel kopzorgen besparen als je onverwachts komt te overlijden of hersenschade oploopt. Of jouzelf als je jouw master password vergeten bent.
Belangrijk:
• Check regelmatig (bijv. 2x per jaar) of de bekenden de helft van jouw master password nog kunnen reproduceren.
• Spreek af dat wachtwoordhelften *NOOIT* online worden uitgewisseld maar uitsluitend in levenden lijve - zonder uitzonderingen (om online oplichting te voorkómen).
En vanzelfsprekend bied je aan anderen aan om voor hen een "halvesleutelbewaarder" te worden.
Nb. een "luxere" maar meer ingewikkelde aanpak is "Shamir's Secret Sharing" (https://en.wikipedia.org/wiki/Shamir%27s_secret_sharing).
16-11-2025, 19:40 door
Anoniem
Goede ideeen van PvStraten en Anoniem 12:38 Dank daarvoor.
id password verdelen over derden
Is er een idee over de passw managers Bitwarden Proton of Keepass? onderhand denk ik dat dat de beste zijn
id password verdelen over derden
Is er een idee over de passw managers Bitwarden Proton of Keepass? onderhand denk ik dat dat de beste zijn
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?