Hoe weet een systeem eigenlijk zeker dat jij bent wie je zegt dat je bent? Dat is precies de vraag die authenticatie beantwoordt. Multi-factor authenticatie, afgekort MFA, maakt dat verificatieproces een stuk veiliger door meerdere bewijzen van je identiteit te combineren. Het is een van de eenvoudigste en meest effectieve manieren om je accounts te beschermen.
Wat is MFA?
Multi-factor authenticatie is een beveiligingsmethode waarbij je op meer dan één manier moet bewijzen wie je bent voordat je toegang krijgt tot een account of systeem. In plaats van alleen een wachtwoord te vragen, combineert MFA twee of meer onafhankelijke verificatiemethoden tegelijk.
De logica hierachter is eenvoudig: zelfs als een aanvaller één factor bemachtigt, zoals je wachtwoord, heeft hij nog steeds de andere factoren nodig om binnen te komen. Hoe meer factoren een systeem combineert, hoe kleiner de kans op ongeautoriseerde toegang.
MFA is niet nieuw. Banken gebruiken het al decennia in de vorm van een pinpas gecombineerd met een pincode. Wat je hebt (de pas) plus wat je weet (de code). Datzelfde principe wordt nu breed toegepast in de digitale wereld.
De drie factoren van authenticatie
Alle vormen van authenticatie zijn gebaseerd op drie fundamentele categorieën. Elke categorie vertegenwoordigt een andere manier om je identiteit te bewijzen.
Iets wat je weet
De meest gebruikte factor is een wachtwoord of pincode. Het grote voordeel is dat je het zelf kiest, aanpast en beheert. Het nadeel is even duidelijk: informatie kan worden gedeeld, geraden of gestolen. Een wachtwoord kan voorkomen in meerdere databases tegelijk na een datalek, en als iemand anders het kent, kan hij zich volledig voor jou uitgeven.
Dat maakt deze factor op zichzelf de zwakste van de drie. Aanvulling met een tweede factor is daarom essentieel.
Iets wat je hebt
De tweede factor is een fysiek apparaat dat aan jou is gekoppeld, zoals je smartphone. Wanneer je inlogt, stuurt het systeem een verificatiecode naar dat vooraf geregistreerde apparaat. Alleen wie de telefoon fysiek in handen heeft, kan die code lezen en invoeren.
De meeste mensen hebben hun telefoon altijd bij zich en merken vrijwel direct als die kwijt is. Dat maakt dit een betrouwbare factor, al heeft het ook beperkingen. Een gestolen telefoon zonder schermvergrendeling geeft een aanvaller toegang tot beide factoren tegelijk.
Naast sms-codes bestaan er ook speciale authenticator-apps die tijdgebonden codes genereren, en fysieke beveiligingssleutels zoals een YubiKey die je in een USB-poort steekt.
Iets wat je bent
De derde factor maakt gebruik van biometrische gegevens, unieke lichamelijke kenmerken zoals je vingerafdruk, gezicht, irispatroon of stemgeluid. Je gezicht vergeet je nooit, je laat het altijd thuis liggen en het is bij goede technologie moeilijk te vervalsen.
Biometrie wordt steeds vaker gebruikt als primaire inlogmethode op smartphones en laptops. Het combineert gebruiksgemak met een hoog beveiligingsniveau, zonder dat je een wachtwoord hoeft te onthouden.
Hoe werkt MFA in de praktijk?
Bij MFA combineer je minimaal twee van deze factoren in één inlogproces. Een veelgebruikt voorbeeld in de praktijk:
- Je vult je gebruikersnaam en wachtwoord in (iets wat je weet)
- Je ontvangt een melding op je telefoon die je bevestigt met je vingerafdruk (iets wat je hebt en iets wat je bent)
In één handeling heb je twee factoren gecombineerd, zonder een extra wachtwoord te onthouden. Het resultaat is sterkere beveiliging met weinig extra moeite.
Een andere veelgebruikte variant is de authenticator-app. Apps zoals Google Authenticator of Microsoft Authenticator genereren elke 30 seconden een nieuwe zescijferige code. Die code is tijdelijk en apparaatgebonden, waardoor hij vrijwel onbruikbaar is voor een aanvaller die hem onderschept.
Enkelvoudige versus meervoudige authenticatie
Het verschil tussen single-factor en multi-factor authenticatie is simpel maar cruciaal.
Bij single-factor authenticatie is één factor voldoende om in te loggen, bijna altijd een wachtwoord. Dat is snel en eenvoudig, maar kwetsbaar. Een gelekt wachtwoord betekent directe toegang voor de aanvaller.
Bij multi-factor authenticatie moet een aanvaller meerdere onafhankelijke barrières overwinnen. Hij heeft niet alleen je wachtwoord nodig, maar ook je telefoon, je vingerafdruk of een fysieke sleutel. De kans dat hij al die elementen tegelijk bemachtigt is aanzienlijk kleiner.
Volgens onderzoek van Microsoft blokkeert MFA meer dan 99% van alle geautomatiseerde aanvallen op accounts. Dat cijfer alleen al maakt duidelijk hoe groot het verschil is.
MFA en de weg naar een wachtwoordloze omgeving
Een groeiende trend in cybersecurity is het volledig elimineren van wachtwoorden. In een wachtwoordloze omgeving log je in via biometrie en apparaatverificatie, zonder ooit een wachtwoord te hoeven onthouden of invoeren.
Dit klinkt tegenstrijdig. Hoe kan iets veiliger zijn zonder wachtwoord? Het antwoord ligt in de combinatie van factoren. Door iets wat je hebt en iets wat je bent samen te gebruiken, creëer je een verificatiemethode die sterker is dan een wachtwoord, maar ook eenvoudiger in gebruik.
Grote technologiebedrijven zoals Microsoft, Google en Apple investeren zwaar in deze richting met systemen als Windows Hello, Face ID en passkeys. Het NCSC beschouwt MFA als een essentieel onderdeel van moderne digitale beveiliging en adviseert organisaties dit breed in te zetten.
Soorten MFA op een rij
Niet alle MFA-methoden bieden dezelfde mate van bescherming. Van minst naar meest veilig:
Sms-codes
Een verificatiecode wordt via sms naar je telefoon gestuurd. Eenvoudig in gebruik, maar kwetsbaar voor sim-swapping, waarbij een aanvaller je telefoonnummer overneemt en de codes zelf ontvangt.
Authenticator-apps
Apps zoals Google Authenticator, Microsoft Authenticator of Authy genereren tijdgebonden codes los van je simkaart. Veiliger dan sms omdat de codes apparaatgebonden zijn en niet onderschept kunnen worden via het telefoonnetwerk.
Push-notificaties
Je ontvangt een melding op je telefoon die je met één tik goedkeurt of weigert. Gebruiksvriendelijk en snel, maar vatbaar voor zogenoemde MFA-vermoeidheidaanvallen waarbij aanvallers herhaaldelijk verzoeken sturen in de hoop dat je per ongeluk op goedkeuren tikt.
Fysieke beveiligingssleutels
Hardware zoals een YubiKey is een kleine USB- of NFC-sleutel die je fysiek aanraakt om in te loggen. Dit is de veiligste vorm van MFA en wordt vooral gebruikt in zakelijke omgevingen of door mensen met een hoog risicoprofiel.
Biometrie
Vingerafdruk, gezichtsherkenning of irisscanning. Bijna niet te repliceren bij goede implementatie en zeer gebruiksvriendelijk. Nadeel is dat biometrische gegevens, in tegenstelling tot wachtwoorden, niet kunnen worden gewijzigd als ze ooit worden gecompromitteerd.
Waar schakel je MFA als eerste in?
Begin met de accounts die de meeste schade kunnen aanrichten als ze worden overgenomen. Zet MFA aan in deze volgorde:
- E-mailaccount want toegang tot je e-mail betekent toegang tot alle wachtwoordherstelmails van andere accounts
- Bankieren en betaaldiensten voor directe financiele bescherming
- Wachtwoordmanager want die bevat de sleutels tot al je andere accounts
- Zakelijke accounts zoals Microsoft 365 of Google Workspace
- Sociale media om identiteitsdiefstal en misbruik te voorkomen
De meeste grote diensten ondersteunen MFA via instellingen onder beveiliging of privacy. Kies waar mogelijk voor een authenticator-app boven sms.
MFA voor bedrijven
Voor organisaties is MFA niet langer optioneel. Veel cyberverzekeraars stellen het verplicht als voorwaarde voor dekking. De Europese NIS2-richtlijn, die van toepassing is op een breed scala aan sectoren, schrijft voor dat organisaties passende technische maatregelen treffen om toegang te beveiligen. MFA geldt daarbij als minimumvereiste.
Binnen organisaties wordt MFA vaak gecombineerd met een breder systeem van identiteits- en toegangsbeheer, ook wel Identity and Access Management (IAM) genoemd. Daarbinnen bepaalt niet alleen authenticatie wie je bent, maar ook autorisatie wat je mag doen zodra je binnen bent.
Wat zijn de beperkingen van MFA?
MFA is krachtig, maar niet onfeilbaar. Een bewuste aanvaller met voldoende middelen kan MFA omzeilen via:
- Phishing in realtime waarbij een nepwebsite je inloggegevens en MFA-code tegelijk doorstuurt naar de echte site
- Sim-swapping waarbij je telefoonnummer wordt overgenomen
- MFA-vermoeidheidsaanvallen waarbij je wordt overspoeld met goedkeuringsverzoeken
- Malware op je apparaat die codes onderschept voordat je ze invoert
Deze aanvallen zijn complex en zeldzaam in vergelijking met eenvoudige wachtwoordaanvallen. Voor de overgrote meerderheid van gebruikers biedt MFA een enorme sprong voorwaarts in beveiliging. Combineer het met sterke wachtwoorden, een wachtwoordmanager en regelmatige software-updates voor een robuuste basisbeveiliging.
