Hoe werkt multi-factor authenticatie en waarom is het niet onfeilbaar?

Multi-factor authenticatie (MFA) werkt door een gebruiker te verplichten zijn identiteit te bewijzen via twee of meer onafhankelijke verificatiemethoden voordat toegang wordt verleend. Het principe is eenvoudig: zelfs als een aanvaller je wachtwoord kent, heeft hij zonder de tweede factor nog steeds geen toegang. Toch is MFA geen absolute garantie, want geavanceerde aanvalstechnieken kunnen sommige vormen van MFA omzeilen. Dit artikel beantwoordt de meest gestelde vragen over hoe MFA werkt, waar het tekortschiet en hoe je jezelf beter kunt beschermen. Wil je meer weten over IT-beveiligingstrainingen? Lees dan verder.

Hoe controleert MFA wie je bent?

MFA verifieert je identiteit door je te vragen bewijs te leveren uit minimaal twee van drie categorieën: iets wat je weet (een wachtwoord of pincode), iets wat je hebt (een smartphone of hardwaretoken) en iets wat je bent (een vingerafdruk of gezichtsherkenning). Pas als je meerdere van deze factoren correct aanbiedt, wordt toegang verleend.

Het systeem werkt op basis van het principe dat het combineren van onafhankelijke factoren het risico drastisch verkleint. Een aanvaller die je wachtwoord steelt via phishing, heeft immers nog steeds geen toegang tot je telefoon. De factoren zijn bewust zo gekozen dat ze moeilijk tegelijk te compromitteren zijn. Authenticatiesystemen vergelijken de aangeboden gegevens met opgeslagen referentiegegevens en verlenen alleen toegang als alle vereiste factoren kloppen.

Welke vormen van multi-factor authenticatie bestaan er?

Er bestaan verschillende vormen van multi-factor authenticatie, elk met een eigen beveiligingsniveau. De meest gebruikte methoden zijn sms-codes, authenticator-apps, hardwaretokens, biometrie en pushmeldingen. Ze variëren sterk in hoe moeilijk ze te omzeilen zijn.

• Sms-codes (OTP via sms): Een eenmalige code wordt naar je telefoonnummer gestuurd. Eenvoudig in gebruik, maar kwetsbaar voor sim-swapping en onderschepping.
• Authenticator-apps: Apps zoals Google Authenticator of Microsoft Authenticator genereren tijdgebonden codes lokaal op je apparaat, zonder afhankelijkheid van een netwerk.
• Hardwaretokens (FIDO2/WebAuthn): Fysieke apparaatjes zoals een YubiKey genereren cryptografische sleutels. Dit is een van de sterkste vormen van MFA.
• Biometrie: Vingerafdruk, gezichtsherkenning of irisscans worden gebruikt als tweede factor, vaak in combinatie met een pincode op een apparaat.
• Pushmeldingen: Een melding op je smartphone vraagt je de inlogpoging goed te keuren. Handig, maar vatbaar voor “MFA fatigue”-aanvallen.

Waarom is multi-factor authenticatie niet onfeilbaar?

Multi-factor authenticatie is niet onfeilbaar omdat aanvallers technieken hebben ontwikkeld die specifiek gericht zijn op het omzeilen van MFA-mechanismen. Phishing-aanvallen, real-time man-in-the-middle-aanvallen en social engineering kunnen een gebruiker ertoe brengen zijn tweede factor onbewust prijs te geven aan een aanvaller.

Een veelgebruikte methode is de zogenoemde “adversary-in-the-middle”-aanval, waarbij een neppagina de inloggegevens én de MFA-code in real time doorstuurt naar de echte website. De aanvaller logt in voordat de code verloopt. Daarnaast zijn sms-gebaseerde codes kwetsbaar voor sim-swapping, waarbij een aanvaller je telefoonnummer naar zijn eigen simkaart overzet. Ook “MFA fatigue” is een reëel risico: door een gebruiker herhaaldelijk met pushmeldingen te bombarderen, hopen aanvallers dat hij uiteindelijk per ongeluk of uit frustratie op “goedkeuren” klikt.

Kennis van deze aanvalstechnieken is essentieel voor iedereen die werkt in cybersecurity. De Certified Ethical Hacker (CEH)-certificering behandelt precies deze aanvalsmethoden en leert professionals hoe ze systemen kunnen testen op dergelijke kwetsbaarheden.

Welke MFA-methode is het moeilijkst te omzeilen?

Hardwaretokens gebaseerd op de FIDO2- of WebAuthn-standaard zijn de moeilijkst te omzeilen MFA-methode. Ze gebruiken publieke-sleutelcryptografie en zijn gebonden aan een specifieke website, waardoor phishing en man-in-the-middle-aanvallen technisch vrijwel onmogelijk worden.

Het cruciale verschil met andere methoden is dat een FIDO2-sleutel nooit een code verstuurt die onderschept kan worden. In plaats daarvan bewijst het apparaat cryptografisch dat het de legitieme sleutel bezit voor die specifieke website. Een neppagina kan deze handshake niet nabootsen, omdat de sleutel domeingebonden is. Authenticator-apps zijn een goede tweede keuze: ze zijn aanzienlijk veiliger dan sms-codes, maar bieden niet dezelfde cryptografische bescherming als hardwaretokens. Sms-codes staan onderaan de veiligheidsladder en zijn alleen beter dan helemaal geen MFA.

Wanneer schiet MFA tekort als enige beveiligingsmaatregel?

MFA schiet tekort als enige beveiligingsmaatregel wanneer een aanvaller al toegang heeft tot een actieve sessie, wanneer het systeem zelf gecompromitteerd is of wanneer zwakke plekken in de applicatielaag worden uitgebuit. MFA beschermt de inlogfase, maar niet alles wat daarna komt.

Zodra een aanvaller via een gestolen sessiecookie al ingelogd is, heeft MFA geen waarde meer. Sessiecookies worden gestolen via malware, onbeveiligde netwerken of cross-site scripting. Bovendien biedt MFA geen bescherming tegen insider threats, waarbij een geautoriseerde gebruiker misbruik maakt van zijn eigen toegang. MFA is daarom het sterkst als onderdeel van een gelaagde beveiligingsstrategie die ook endpoint-beveiliging, netwerksegmentatie, monitoring en het principe van least privilege omvat.

Hoe bescherm je jezelf tegen aanvallen op MFA?

Je beschermt jezelf tegen aanvallen op MFA door bewust te kiezen voor sterke authenticatiemethoden, alert te zijn op phishing en aanvullende beveiligingslagen te implementeren. Geen enkele maatregel staat op zichzelf, maar de combinatie van de juiste keuzes maakt aanvallen aanzienlijk moeilijker.

• Gebruik een hardwaretoken of authenticator-app in plaats van sms-codes, waar dat mogelijk is.
• Controleer altijd de URL voordat je inlogt, ook als de pagina er legitiem uitziet.
• Keur nooit een pushmelding goed die je niet zelf hebt geïnitieerd, ook niet na herhaaldelijk aandringen.
• Schakel nummerbeheer-beveiliging in bij je mobiele provider om sim-swapping te bemoeilijken.
• Combineer MFA met sessiebeheer: log uit na gebruik en stel sessietijdlimieten in voor gevoelige systemen.
• Volg training in beveiligingsbewustzijn om phishing en social engineering te herkennen.

Hoe Startel helpt met MFA-beveiliging en cybersecurity

Wij bieden trainingen die professionals helpen MFA-aanvallen te begrijpen, te testen en te voorkomen. Onze opleidingen richten zich op de praktische kant van cybersecurity, van het herkennen van phishing tot het uitvoeren van penetratietests op authenticatiesystemen.

• Certified Ethical Hacker (CEH): Leer hoe aanvallers MFA omzeilen en hoe je systemen daartegen kunt hardenen.
• Beveiligingsbewustzijnstrainingen: Geschikt voor medewerkers die MFA-fatigue en social engineering moeten leren herkennen.
• Maatwerk organisatietrainingen: Afgestemd op de specifieke beveiligingsrisico’s en systemen binnen jouw organisatie.
• Flexibele leervormen: Klassikaal, live online of zelfstudie, zodat training past bij de planning van jouw team.

Wil je weten welke training het beste aansluit bij jouw situatie of die van je organisatie? Neem dan gerust contact met ons op. We helpen je graag verder.