Inmiddels is tweestapsverificatie (2FA) de nieuwe gouden standaard voor beveiliging geworden. De eerste keer dat ik ermee in aanraking kwam, was op de website van mijn bank. Destijds, als blutte student, begreep ik niet waarom het belangrijk was. Ik ben nog steeds een blutte student, maar nu begrijp ik waarom een online bankdienst tweestapsverificatie nodig heeft. Wat ik nog steeds niet begrijp, is waarom mijn Grammarly-account het vereist.
Tweestapsverificatie (2FA) Het is wat er gebeurt als je je gebruikersnaam en wachtwoord invoert en vervolgens de gevreesde melding krijgt: "Voer de code in die naar [je e-mailadres] is verzonden." In theorie is het een extra beveiligingslaag. Zelfs als iemand je inloggegevens heeft, heeft hij of zij nog steeds toegang nodig tot je e-mail of telefoon. Maar in de praktijk is tweestapsverificatie een groter probleem voor de gebruiker dan voor de hacker.
Snelle links
De toegang is te ingewikkeld.
Het is niet nodig om voor elke reis uw remmen te controleren.
In wezen is het hele doel van tweestapsverificatie om de toegang te bemoeilijken, en ja, het werkt – niet alleen voor hackers, maar ook voor mij. De kans dat de persoon die inlogt niet ik ben, maar een hacker, is klein, maar toch ben ik degene die gestraft wordt door door hoepels te springen. Ik heb nu minstens twee vensters open nodig om overal in te loggen. Eerst de website. Dan mijn e-mailadres om de code te krijgen. Sterker nog, als tweestapsverificatie afhankelijk is van sms, moet ik mijn telefoon bij de hand hebben.
Het is hetzelfde dilemma dat inherent is aan elke beveiligingsmaatregel. Je kunt voorkomen dat de remmen van je auto kapotgaan door ze voor elke rit te controleren. Het is logisch: als je wilt voorkomen dat je remmen kapotgaan, als je ongelukken wilt voorkomen en langer wilt leven, moet je de remmen van je auto elke keer controleren. Maar niemand doet het, omdat het niet praktisch is. Dat is wat er gebeurt met tweefactorauthenticatie.
Het gebruik van een VPN maakt het erger. Ik heb bijna altijd een VPN actief. Dit betekent dat de naïeve tweestapsverificatie "...Is dit hetzelfde IP-adres?Het leert me bijna elke keer weer. Het gebruik van een VPN maakt consequent een einde aan de privacyfactor, maar zonder word ik gedwongen tot een eindeloze cyclus van codes verzilveren. Dus wat moet je dan doen, behalve elke keer dat je wilt inloggen je e-mailadres of telefoon pakken?
vals gevoel van veiligheid
Goede gewoontes zijn belangrijker dan voortdurende herhaling.
Er is duidelijk een verschil tussen het hebben van Goede e-mailbeveiligingsgewoonten Om nog maar te zwijgen van de moeite die je elke keer moet doen om in te loggen. Je hebt geen strenge kwaliteitscontrole nodig als je een goed kwaliteitsborgingssysteem hebt. Als je al verantwoord rijdt en je remmen regelmatig vervangt, hoef je ze niet voor elke rit te laten controleren; dezelfde logica geldt hier.
Ik kan niet tellen hoe vaak ik heb geprobeerd in te loggen op mijn Google-account op mijn telefoon, en vervolgens een verificatieverzoek naar het apparaat zelf kreeg. Als iemand mijn telefoon heeft, is het game over – ze hebben zelfs mijn wachtwoord niet nodig. Een e-mail of sms-code geeft ze de sleutels. Tweefactorauthenticatie via sms is echter nog steeds alomtegenwoordig. SIM-swapping is een bekende en actieve bedreiging.Tweefactorauthenticatie via sms is handig, maar belachelijk onveilig. Geen enkele website kan serieus beweren dat ze je account hebben aangemaakt. Veiliger Door tweefactorauthenticatie via sms toe te voegen.
Onbetrouwbaar
Twee-factorauthenticatie is gebaseerd op onstabiele leveringsmethoden.
Hoewel tweefactorauthenticatie wordt beschouwd als een hoeksteen van moderne beveiliging, is het verre van betrouwbaar. Mijn ervaringen met Google zijn goed, maar de tweefactorauthenticatie van Meta is inconsistent en die van Microsoft is ronduit verschrikkelijk (daar kom ik later op terug). Als grote techbedrijven tweefactorauthenticatie niet onder de knie krijgen, welke hoop is er dan voor kleine bedrijven? En als ze afhankelijk zijn van een dienst van derden, wat gebeurt er dan als die dienst uitvalt? Verliezen we dan plotseling de toegang tot tientallen accounts tegelijk?
Mijn provider had vorige week een storing. Ik kon niet inloggen op mijn controlepaneel omdat de sms-code nooit was aangekomen. Met sms-gebaseerde tweefactorauthenticatie kan zelfs de kleinste netwerkstoring de tekst volledig verslinden.
Providers beschouwen tweefactorauthenticatie als een optioneel vangnet, niet als een kernfunctie. Dit betekent dat ze geen moeite doen met robuuste back-upmechanismen. Als elk wachtwoordgebaseerd account nu tweefactorauthenticatie vereist, waarom werkt het systeem dan niet beide kanten op? Accounts die alleen via een telefoon of e-mailadres zijn aangemaakt, zouden ook een back-upwachtwoord moeten vereisen. Want als tweefactorauthenticatie misgaat – en dat gebeurt vaak – zit je in de problemen.
Inboxrommel en privacy
Tokens brengen verborgen kosten met zich mee.
Elke inlogpoging wordt een e-mail of sms die ik nooit heb aangevraagd. Tweefactorauthenticatie maakt dat onvermijdelijk. Ik geef constant mijn e-mailadres of telefoonnummer door aan bedrijven die ik liever niet wil. Weet je nog dat je je kon aanmelden met alleen een gebruikersnaam en wachtwoord? Toen moest je je wachtwoord bevestigen; nu doe je dat met je e-mailadres. Wachtwoorden zijn niet meer in zwang.
Er is een dieper privacyprobleem. Wanneer mijn e-mailprovider tweefactorauthenticatiecodes verwerkt, monitort deze in feite elke inlogpoging. Gmail weet wanneer ik probeer in te loggen bij PayPal. Ik wil niet dat Gmail dat weet.
Het inschakelen van 2-stapsverificatie via sms is erger dan je denktMijn telecomprovider, die mijn nummer en locatie al kent, weet nu welke apps ik gebruik en wanneer. Hoewel ze deze codes niet gebruiken om voor mij in te loggen, vind ik het erg verontrustend.
Zelfs als je je niet echt zorgen maakt over je privacy, wil je toch gemoedsrust. Ik wil mijn telefoonnummer niet aan elke site waar ik me aanmeld geven en vervolgens gebombardeerd worden met vervelende marketingberichten. Ik wil niet "stop" moeten antwoorden op een korte code en daar vervolgens voor moeten betalen.
Ik waardeer een schone inbox enorm, vooral mijn iPhone-berichten. Daarom was ik zo blij met iOS 26: het bracht eindelijk ongewenste e-mail naar iPhones. Maar in het ergste geval gebruikt de dienst hetzelfde nummer voor zowel tweestapsverificatie als ongewenste e-mail. Als je een nummer blokkeert, word je account buitengesloten. Wat een perfecte oplossing!
Permanente sluitingen
Ik ben er nog steeds niet overheen dat ik mijn Outlook-account kwijt ben.
Als je geen toegang hebt tot je back-up e-mail, telefoon of apparaat, kun je permanent worden buitengesloten van belangrijke accounts. Bovendien is het herstelproces extreem lastig. Ik heb deze nachtmerrie met Microsoft meegemaakt en betaal er meer dan een jaar later nog steeds de prijs voor.
Ik had een Outlook-e-mailadres gekoppeld aan mijn universiteit en werk. Elk belangrijk account – Asana, Slack, CMS, bedrijfswebsites, LinkedIn, het dashboard van mijn universiteit, mijn VPN – was aan dit adres gekoppeld.
Ik wilde gewoon een concept van mijn scriptie naar mijn professor sturen. Maar Outlook had andere plannen: ik moest me opnieuw authenticeren. Geen probleem. Ik voerde mijn e-mailadres en wachtwoord in, maar dat was niet voldoende. Er werd een tweestapsverificatiecode naar mijn back-up e-mailadres gestuurd. Helaas was dat back-up e-mailadres een ander Outlook-mailadres waarvoor ook tweestapsverificatie vereist was.
Mijn back-up e-mailadres was mijn Yahoo-account. Je kunt al raden wat er gebeurde. Het hele systeem stortte in als een dominosteen. Omdat mijn tijd en geduld opraakten, klikte ik op 'Wachtwoord resetten'. Ik beantwoordde twee beveiligingsvragen correct, maar kreeg de melding dat mijn account 'geblokkeerd was vanwege verdachte activiteit'.
Tegen de tijd dat ik weer toegang had tot mijn secundaire Yahoo- en Outlook-account, was het hoofdaccount verdwenen. Het herstelsysteem van Microsoft wilde mijn recente e-mailonderwerpen (geen probleem), recente contacten (geen probleem) en het land van waaruit ik me had aangemeld (onmogelijk – ik gebruikte altijd een VPN). Ik had het land verkeerd geraden. Microsoft reageerde hierop door me de mogelijkheid te ontnemen om het opnieuw te proberen. Het account was permanent geblokkeerd.
Ik moest overal mijn e-mailadres wijzigen, het uitleggen aan professoren en collega's en mijn excuses aanbieden voor de chaos. Sommige services laten me mijn inloggegevens nog steeds niet bijwerken zonder dit Outlook-adres. Als ik uitlog, zijn die accounts voorgoed verdwenen.
Ja, mijn beveiligingsgewoonten waren niet ideaal. Ik had Outlook niet als back-up voor Outlook moeten gebruiken. Ik had mijn back-ups vaker moeten controleren. Maar deze straf is te streng. Beveiliging zou gebruikers moeten beschermen zonder ze te gijzelen met hun eigen accounts. In plaats daarvan heeft 2FA me buitengesloten. En in 2025 is klantenservice niet echt meer een optie. Je krijgt in plaats daarvan een AI-gestuurde chatbot.
Het middel is erger dan de kwaal
Alles bij elkaar begrijp ik waarom tweefactorauthenticatie (2FA) wordt gepresenteerd als een verdedigingswerk tegen ongeautoriseerde toegang, maar de praktijk heeft bewezen meer problemen te veroorzaken dan het waard is. De buitensporige complexiteit van de toegang, de onbetrouwbaarheid van de codelevering, de rommel en privacyschendingen in onze inboxen, en de kans op angstaanjagende, permanente afsluitingen – wegen de kosten van deze extra beveiligingslaag echt op tegen de beoogde voordelen?
