Multifactorauthenticatie

Multifactorauthenticatie (MFA) is een beveiligingsmechanisme waarbij de identiteit van een gebruiker geverifieerd wordt aan de hand van twee of meer onafhankelijke factoren. Door meerdere factoren te gebruiken wordt het risico verkleind dat onbevoegden toegang krijgen, zelfs als één factor gecompromitteerd raakt. MFA wordt op grote schaal toegepast bij online accounts en bedrijfsomgevingen.

Factoren worden doorgaans onderverdeeld in drie categorieën: iets wat de gebruiker weet (bijvoorbeeld een wachtwoord of pincode), iets wat de gebruiker heeft (een apparaat, token of smartcard), en iets wat de gebruiker is of doet (biometrische kenmerken zoals vingerafdruk, gezichtsherkenning of stem). Een authenticatiepoging vereist meestal twee of meer van deze factoren.

Veelgebruikte methoden zijn onder meer: codes die via een authenticator-app (TOTP) worden gegenereerd; pushmeldingen die bevestiging vereisen; hardwarebeveiligingssleutels die gebruikmaken van standaarden zoals FIDO2/WebAuthn; biometrische verificatie; en af en toe SMS- of e-mailcodes. SMS-codes zijn minder veilig dan andere methoden.

Voordelen van MFA zijn onder meer een aanzienlijk lagere kans op misbruik bij gestolen wachtwoorden, betere bescherming voor accounts met gevoelige data en naleving van beveiligingsnormen in veel sectoren.

Beperkingen omvatten implementatieroutes die niet altijd frictionless zijn voor gebruikers, afhankelijkheid van de beveiliging van de tweede factor, en phishing-gerelateerde risico's bij minder phishing-resistente methoden zoals SMS. Bovendien kunnen verlies of uitval van de tweede factor legitieme toegang tijdelijk onmogelijk maken, tenzij er back-upmethoden zijn.

Praktische overwegingen en best practices: schakel MFA in voor kritieke accounts, geef voorkeur aan authenticator-apps of hardware sleutels boven SMS, gebruik phishing-resistente methoden waar mogelijk, bewaar back-upcodes en stel een verzoeks- of herstelplan in, en implementeer beleid en trainingen om gebruikers bewust te maken van MFA en phishing.