Jason: In deze les gaan we het
hebben over multifactor authenticatie, ook bekend als MFA.
Als je een mobiel apparaat gebruikt, moet
je je bij dat apparaat authentiseren
om het te kunnen ontgrendelen en gebruiken.
Als je denkt aan je smartphone, dan gebruik je in
eerste instantie je gezicht, je vinger, een pincode
of een wachtwoord om het apparaat te ontgrendelen
en te gebruiken.
Als je dit doet, wordt dat ding dat je gebruikt
om het apparaat te ontgrendelen een authenticatiefactor genoemd.
In de wereld van cyberbeveiliging hebben
we vijf verschillende verificatiefactoren die
je kunt gebruiken.
Deze staan bekend als de kennisfactor,
bezitsfactor, inlevingsfactor, gedragsfactor
en locatiefactor.
Als we nu kijken naar een kennisfactor,
dan is dit de meest eenvoudige vorm van authenticatie
en noemen we dit iets wat je weet.
Als je denkt aan iets als je gebruikersnaam,
een pincode, een wachtwoord, dan zijn dit allemaal kennisfactoren omdat
je een antwoord geeft op een uitdaging als
"Wat is je wachtwoord? en in staat zijn om te verifiëren
dat jij de persoon bent wiens gebruikersnaam
is gekoppeld aan dat wachtwoord omdat
je het weet.
Het grootste probleem met kennisfactoren is dat
ze het makkelijkst te kraken zijn, omdat het gewoon
woorden of getallen zijn die worden ingevoerd door
een toetsenbord of door de eindgebruiker.
Dus als je je smartphone beveiligt met
een pincode van vier cijfers, kan ik
daar gaan zitten en proberen die te raden, en
er zijn maar 10.000 mogelijke combinaties met een getal
van vier cijfers.
Dus uiteindelijk kan ik het nummer raden
en kan ik in je apparaat komen.
Dat is de zwakte van een kennisfactor.
De tweede factor die we hebben is de
zogenaamde bezitsfactor.
Dit is iets wat je hebt.
Als je in een grote onderneming werkt, heb je misschien
een zogenaamde RSA sleutelhanger gekregen.
En dit is een klein apparaatje met een klein LCD-scherm
waarop zes getallen staan die elke 30 tot 60 seconden
veranderen.
Als je nu probeert in te loggen op een apparaat dat
hiermee is gesynchroniseerd, voer je die zes cijfers in.
En die zes cijfers veranderen elke 30 tot 60 seconden.
Dus als je de juiste cijfers weet,
bewijst dit dat je de sleutel in je bezit hebt en daarom
noemen we dit een bezitsfactor.
Andere methoden hiervoor zijn het gebruik
van een fysiek token.
Bij de Amerikaanse overheid bijvoorbeeld
gebruiken ze hun identificatiekaart
met een kleine microchip erin om in te
loggen op hun computers.
Als ze die kaart in hun computer stoppen, toont
dat aan dat ze in het bezit zijn van hun ID-kaart en
dat ze zijn wie ze zeggen dat ze zijn.
De derde factor die we hebben is de zogenaamde
inferentiefactor.
Een inferentiefactor is iets wat je bent.
Ik zie dit graag als stukjes van je lichaam.
Dus als je denkt aan een inferentiefactor
of iets wat je bent, hebben we het eigenlijk over biometrie.
Dus als je mobiele apparaat een vingerafdruk gebruikt om te
ontgrendelen, is dat een inferentiefactor.
Ook als je zoiets als Face ID gebruikt, waarbij wordt gekeken
naar de structuur van je gezicht en je je
telefoon daarmee kunt ontgrendelen, is dat
een biometrische factor.
We zouden dit dus een inferentiefactor
noemen, of iets wat jij bent.
De vierde factor is wat we een gedragsfactor noemen,
en ik noem dit graag iets wat je doet.
Als je nu kijkt naar een gedragsfactor, dan is deze
gebaseerd op de manier waarop je bepaalde dingen doet.
Nu zijn deze niet erg gebruikelijk in mobiele apparaten, maar
ze worden wel gebruikt in andere gebieden.
In een faciliteit waar ik werkte, hadden ze bijvoorbeeld
een camerasysteem dat je detecteerde
als je het gebouw binnenliep.
En de reden dat ze dit deden was
dat ze het loopgedrag van de werknemers maten
terwijl ze naar de deur liepen.
En ze gebruikten dit als een van de factoren
om te verifiëren dat de persoon was wie hij zei dat hij was,
omdat dit gedrag uniek was voor elke persoon.
Een ander gebied waar we gedrag gebruikt zien
worden is bij een spraakherkenningssysteem.
Nu zou je kunnen denken dat spraakherkenning
een inferentiefactor is, en dat zou kunnen, afhankelijk
van hoe het authenticatiesysteem is opgezet.
Maar eigenlijk kijken de meeste spraakherkenningssystemen
niet naar wat je zegt, maar naar
hoe je het zegt.
Dit komt omdat iedereen dingen anders zegt.
En onze stem heeft unieke toonhoogtes en de manier
waarop we bepaalde woorden uitspreken.
Dit kan dus ook een gedragsfactor zijn.
De vijfde authenticatiefactor
is wat bekend staat als een locatiefactor,
en ik noem dit graag ergens waar je bent.
Je apparaat heeft een GPS-ontvanger, dus je apparaat
weet altijd waar het zich op aarde
bevindt.
We kunnen die locatie dus gebruiken als onderdeel
van je verificatieproces en zeggen dat je alleen
op die telefoon kunt inloggen en hem kunt gebruiken
als je binnen bepaalde gebieden bent.
Dat kan een land zijn, een staat,
een stad of zelfs maar een blok
rond je gebouw.
Dit hangt af van je use case, maar
ik heb in organisaties gewerkt
waar mobiele apparaten alleen konden worden
gebruikt binnen een blok van het hoofdkantoor.
En als je verder ging dan dat, zouden
die apparaten je daadwerkelijk uitschakelen en buitensluiten
totdat je terugging naar de perimeter.
En dit staat bekend als een locatiefactor.
Als we nu één van deze vijf factoren gebruiken,
de kennisfactor, de bezitsfactor, de inlogfactor, de gedragsfactor
of de locatiefactor, dan noemen we dit authenticatie
met één factor.
Dus als ik mijn mobiele apparaat pak, omhoog veeg en
een viercijferige pincode invoer,
wordt er één enkele kennisfactor gepresenteerd.
Maar als ik twee of meer van deze factoren combineer, krijg
ik wat bekend staat als multifactorauthenticatie.
Als je twee factoren gebruikt,
noemen we dit soms twee-factor authenticatie, of 2FA.
Als je een combinatie van twee, drie, vier of vijf van
deze factoren hebt, wordt dit ook wel multifactorauthenticatie
genoemd omdat je er twee of meer hebt, waardoor het meerdere authenticatiefactoren
zijn.
Als je nu een apparaat hebt dat is uitgegeven
door je bedrijf, kunnen ze hun MDM of software voor het beheer
van mobiele apparaten gebruiken om precies te bepalen aan welke eisen
je moet voldoen om toegang te krijgen
tot dat apparaat.
Dit kan zo eenvoudig zijn als het instellen
van een pincode of een lang wachtwoord van
een bepaald aantal tekens, of ze kunnen vereisen
dat je een inferentiefactor of biometrische authenticatie gebruikt,
zoals een vingerafdruk of een gezichtsscan.
Dit wordt bepaald door het bedrijfsbeleid en
het systeem en de apparaten die je gebruikt
en wat ze ondersteunen.
De meeste smartphones ondersteunen tegenwoordig
ten minste één biometrische factor of inferentiefactor.
En dat is ofwel een vingerafdruk of een gezichtsscan, afhankelijk
van het model dat je gebruikt.
Onze smartphones worden tegenwoordig ook gebruikt
als onderdeel van ons twee-factor authenticatiesysteem.
Als je naar een website gaat,
zal de website je vaak laten inloggen met je
gebruikersnaam en wachtwoord, wat
een kennisfactor is, of iets wat je weet.
En dan sturen ze je een sms met een
unieke code naar je smartphone.
Wat ze hier doen is eigenlijk MFA of 2FA creëren omdat ze nu twee
factoren gebruiken, de kennisfactor
van je gebruikersnaam en wachtwoord en de
bezitsfactor van het feit dat
je je smartphone hebt en die sms ontvangt.
Tegenwoordig zien we dat veel websites
twee-factor of multifactor authenticatie gebruiken,
omdat dit een veel veiligere omgeving biedt voor
je gebruikers.
Om hierbij te helpen, is er ook een app die je kunt downloaden
genaamd Authenticator, en deze dient als een bezitsfactor binnenin
je mobiele apparaat.
Met Authenticator kun je het registreren bij
je website die 2FA of MFA ondersteunt.
En het wordt gebruikt om die willekeurige codes te maken
zonder dat je een fysiek sleutelhangerapparaat nodig hebt,
omdat je smartphone fungeert als sleutelhanger en
synchroon blijft lopen met de website
waar je je probeert te authenticeren.
Houd dit dus in gedachten als je nadenkt
over multifactor authenticatie.
Multifactor betekent dat je twee of meer van deze
factoren moet hebben.
Het laatste dat ik wil noemen
als het gaat om multifactor authenticatie, en
dit is iets waar studenten vaak tegenaan lopen,
is dat het feit dat je twee factoren hebt, nog niet
betekent dat je al multifactor bent.
Als ik je zou laten inloggen met een gebruikersnaam, een wachtwoord
en een pincode, dan zijn dat twee kennisfactoren.
Maar het is geen twee-factor authenticatie
of multifactor authenticatie omdat beide factoren
uit dezelfde categorie komen.
Ze zijn allebei iets dat je weet,
wat een kennisfactor is.
Om tweefactorauthenticatie of multifactorauthenticatie
te hebben, moet je twee of meer van de categorieën vertegenwoordigd
hebben uit de vijf factoren kennis, bezit, inferentie,
gedrag en locatie.