Een sterk wachtwoord is alleen niet meer genoeg om de beheertoegang van een website te beschermen. Twee-factor-authenticatie voegt een tweede laag toe, waardoor een gestolen wachtwoord alleen niet genoeg is om binnen te komen. Dat verandert de rekensom voor iedereen die het op beheerdersgegevens heeft gemunt. Eén factor kan worden gekraakt. Twee is veel moeilijker. Dit artikel legt uit hoe twee-factor-authenticatie werkt, welke soorten tweede factoren er zijn en hoe je het op je website inschakelt.
Aanvallen op inloggegevens zijn geautomatiseerd. Tools die wachtwoorden proberen te kraken of gestolen inloggegevens uitproberen op inlogpagina's, draaien continu op miljoenen sites. Het wachtwoord zelf is niet meer de laatste verdedigingslinie die het was: te veel wachtwoorden zijn zwak, worden hergebruikt of liggen op straat door datalekken bij andere diensten. Twee-factor-authenticatie repareert het wachtwoord niet. Het maakt het wachtwoord alleen onvoldoende. Voor het grotere plaatje over het beschermen van beheertoegang als onderdeel van een complete beveiligingsaanpak, lees je het artikel over hoe je je website beschermt tegen hackers.
Wat is twee-factor-authenticatie?
Twee-factor-authenticatie, vaak afgekort tot 2FA, is een inlogproces dat twee afzonderlijke vormen van verificatie vraagt voordat je toegang krijgt. De eerste factor is meestal een wachtwoord. De tweede factor is iets afzonderlijks, iets waar alleen de accounthouder op het moment van inloggen bij kan.
Het principe is eenvoudig: ook als een aanvaller je wachtwoord via een datalek, phishing of brute force te pakken krijgt, kan hij niet inloggen zonder ook de tweede factor in handen te hebben. Meestal staat de tweede factor op een apparaat dat de accounthouder fysiek bezit, dus voor toegang is meer nodig dan een gestolen wachtwoord.
Hoe werkt twee-factor-authenticatie?
De inlogvolgorde
- De gebruiker voert zoals gewoonlijk zijn gebruikersnaam en wachtwoord in op de inlogpagina
- In plaats van direct toegang te krijgen, wordt om een tweede verificatiestap gevraagd
- De gebruiker geeft de tweede factor, die het systeem controleert voordat het toegang geeft
- Als een van beide factoren onjuist is, wordt de toegang geweigerd
Wat dit tegenhoudt
- Een aanvaller die het juiste wachtwoord heeft, wordt bij de tweede stap gestopt, omdat hij geen toegang heeft tot de tweede factor
- Brute-forceaanvallen die een wachtwoord weten te raden, kunnen nog steeds niet inloggen zonder de tweede factor
- Inloggegevens die zijn gestolen via phishing of datalekken bij andere diensten, zijn alleen niet meer genoeg
Welke soorten tweede factoren zijn er?
Authenticator-apps
- Een authenticator-app maakt een tijdgebonden code die elke 30 seconden verandert. De gebruiker opent de app, leest de huidige code af en voert die in bij het inloggen
- De code wordt op het apparaat zelf gemaakt en niet via het netwerk verstuurd, waardoor hij moeilijk te onderscheppen is
- Dit wordt algemeen gezien als de meest praktische en veilige keuze voor de meeste site-eigenaren
Sms-codes
- Bij het inloggen wordt een eenmalige code als sms naar het geregistreerde telefoonnummer gestuurd
- Sms-codes zijn gemakkelijker in te stellen dan een authenticator-app, maar worden als minder veilig gezien, omdat telefoonnummers via SIM-swapping kunnen worden gekaapt en sms-berichten kunnen worden onderschept
- Ze zijn aanzienlijk beter dan helemaal geen tweede factor
Hardware-beveiligingssleutels
- Een hardware-beveiligingssleutel is een fysiek apparaatje, meestal een kleine USB- of NFC-sleutel, dat de gebruiker bij het inloggen aansluit of tegenhoudt om zijn identiteit te bevestigen
- Hardwaresleutels bieden de sterkste vorm van twee-factor-authenticatie en zijn immuun voor phishing, omdat de verificatie gekoppeld is aan de specifieke site waarop je inlogt
- Ze worden vaker gebruikt in omgevingen met hoge beveiligingseisen en minder vaak voor gewone beheertoegang tot een website
E-mailcodes
- Een eenmalige code wordt naar het geregistreerde e-mailadres gestuurd en moet bij het inloggen worden ingevoerd
- E-mailcodes zijn de zwakste tweede factor, omdat ze afhangen van de beveiliging van het e-mailaccount. Als dat account is gekraakt, biedt de tweede factor geen bescherming
- Ze zijn beter dan geen tweede factor, maar een authenticator-app is een betrouwbaardere keuze
Waarom heeft je website twee-factor-authenticatie nodig?
Wachtwoorden worden regelmatig gekraakt
- Datalekken bij andere diensten leggen inloggegevens bloot die daarna worden uitgeprobeerd op beheerpanelen van websites. Een wachtwoord dat je van een ander account hergebruikt, kan toegang geven tot je site, ook als je site nooit direct doelwit was
- Phishingaanvallen die wachtwoorden onderscheppen, zijn moeilijk helemaal te voorkomen. Twee-factor-authenticatie beperkt de schade als een wachtwoord is buitgemaakt
Geautomatiseerde aanvallen op inloggegevens zijn constant
- Brute-forcetools draaien continu op websites en proberen veelgebruikte wachtwoorden, woorden uit woordenboeken en lijsten met gelekte inloggegevens
- Met twee-factor-authenticatie is zelfs een wachtwoord dat via brute force wordt gevonden niet genoeg om in te loggen
Beheertoegang is het waardevolste doelwit
- Een aanvaller die toegang krijgt tot het beheerpaneel van een site, kan malware installeren, gegevens stelen, achterdeurtjes maken of de eigenaar volledig buitensluiten
- Beheertoegang beschermen met twee-factor-authenticatie verkleint direct de gevolgen van een gekraakt wachtwoord, het meest voorkomende doelwit bij aanvallen op inloggegevens
Wat aanvallers kunnen doen zodra ze toegang hebben tot het beheer, lees je in het artikel over wat website-malware is en hoe het je site raakt. Waarom websitebeveiliging verder reikt dan alleen beheertoegang, lees je in het artikel over waarom websitebeveiliging belangrijk is.
Hoe schakel je twee-factor-authenticatie in op je website?
Voor beheertoegang tot de site
- Veel websiteplatforms hebben twee-factor-authenticatie als ingebouwde optie in de accountinstellingen. Kijk eerst in het gedeelte over beveiliging of account van je platform
- Voor platforms die het niet standaard hebben, bestaan beveiligingsextensies of plug-ins die 2FA aan het inlogproces toevoegen
- Zet het aan voor elk beheeraccount, niet alleen voor het hoofdaccount. Elk beheeraccount zonder twee-factor-authenticatie is een mogelijke ingang
Voor hosting- en domeinaccounts
- Het controlepaneel van je hosting en het account bij je domeinregistrar zijn net zo belangrijk om te beveiligen als de site zelf. Een aanvaller met toegang tot het hostingaccount kan DNS-records wijzigen, bij back-ups komen of de site offline halen
- Schakel twee-factor-authenticatie in op het hostingpaneel en het account bij de domeinregistrar, niet alleen op het inlogscherm van de website zelf
Voor e-mailaccounts die je voor accountherstel gebruikt
- Bij het opnieuw instellen van een wachtwoord wordt meestal een link naar het geregistreerde e-mailadres gestuurd. Als dat e-mailaccount is gekraakt, kan het worden gebruikt om het siteaccount over te nemen
- Door de e-mailaccounts die aan de beheertoegang van je site gekoppeld zijn te beveiligen met twee-factor-authenticatie, sluit je deze herstelroute als aanvalsweg af
Hoe back-ups samenwerken met twee-factor-authenticatie als onderdeel van een complete beveiligingsaanpak, lees je in het artikel over hoe je een back-up van je website maakt.
Zo regelt WEMASY inlogbeveiliging
Twee-factor-authenticatie is beschikbaar voor toegang tot je WEMASY-account. Site-eigenaren kunnen het inschakelen in de beveiligingsinstellingen van hun account, om de toegang tot het dashboard, de siteconfiguratie en factureringsgegevens te beschermen. Als het aanstaat, kan een gestolen wachtwoord alleen niet worden gebruikt om in het account te komen.
Inlogactiviteit wordt op platformniveau bewaakt en beveiligingsgebeurtenissen worden vastgelegd. Het platform past ook limieten toe op het aantal inlogpogingen, om het risico op brute-forceaanvallen te verkleinen.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijspagina.
Veelgestelde vragen
Wat is twee-factor-authenticatie?
Twee-factor-authenticatie is een inlogproces dat twee afzonderlijke vormen van verificatie vraagt voordat je toegang krijgt. De eerste factor is meestal een wachtwoord. De tweede is iets waar alleen de accounthouder op het moment van inloggen bij kan, zoals een code uit een authenticator-app of een sms naar een geregistreerde telefoon. Beide moeten kloppen om in te loggen, dus een gestolen wachtwoord alleen is voor een aanvaller niet genoeg. Met de Websitebouwer van WEMASY stel je dit direct in op je website.
Waarom zou ik twee-factor-authenticatie gebruiken op mijn website?
Wachtwoorden worden regelmatig gekraakt via datalekken, phishing en brute-forcetools. Met twee-factor-authenticatie kan een buitgemaakt wachtwoord niet worden gebruikt om in te loggen zonder de tweede factor. Bij beheeraccounts van websites, waar een geslaagde inlogpoging kan leiden tot geïnstalleerde malware, gestolen gegevens of een geblokkeerde site, is twee-factor-authenticatie een van de beveiligingsmaatregelen met de meeste impact.
Wat is de beste soort tweede factor?
Een authenticator-app is de aanbevolen tweede factor voor de meeste site-eigenaren. Hij maakt een tijdgebonden code op het apparaat zelf, die niet via het netwerk wordt verstuurd en daardoor niet op dezelfde manier te onderscheppen is als sms-codes. Hardware-beveiligingssleutels zijn veiliger, maar minder praktisch voor dagelijks gebruik. Sms-codes en e-mailcodes zijn beter dan helemaal geen tweede factor, maar een authenticator-app geeft de beste balans tussen beveiliging en gebruiksgemak.
Wat als ik geen toegang meer heb tot mijn tweede factor?
De meeste platforms die twee-factor-authenticatie ondersteunen, geven bij het instellen ook back-upcodes. Die eenmalige codes kun je gebruiken om in je account te komen als de tweede factor niet beschikbaar is. Bewaar ze op een veilige plek, los van het apparaat dat je voor authenticatie gebruikt. Als je back-upcodes kwijt zijn en de tweede factor niet beschikbaar is, moet je meestal je identiteit bevestigen via het accountherstelproces van het platform. Dat kan tijd kosten en je moet dan bewijs van eigendom leveren.
Beschermt twee-factor-authenticatie tegen alle inlogaanvallen?
Het beschermt tegen de meeste aanvallen op inloggegevens, waaronder brute force, credential stuffing en aanvallen met gestolen wachtwoorden van andere diensten. Het beschermt niet tegen aanvallen die het inloggen helemaal omzeilen, zoals het misbruiken van een kwetsbaarheid in de software van de site of toegang via een gekaapte sessie. Twee-factor-authenticatie is een cruciale laag om beheertoegang te beschermen, maar werkt het best als onderdeel van een bredere beveiligingsaanpak met software-updates, sterke wachtwoorden en regelmatige back-ups.
Moet ik twee-factor-authenticatie ook inschakelen op andere accounts dan de website-login?
Ja. Het controlepaneel van je hosting en het account bij je domeinregistrar moeten allebei twee-factor-authenticatie hebben. Met toegang tot een van beide kan iemand de configuratie, DNS-records of back-ups van de site wijzigen op manieren die het eigen inlogscherm van de website helemaal omzeilen. Ook het e-mailaccount dat je voor accountherstel gebruikt, moet met twee-factor-authenticatie zijn beveiligd, want bij het opnieuw instellen van een wachtwoord wordt een link naar dat adres gestuurd en een gekraakt e-mailaccount kan worden gebruikt om het siteaccount over te nemen.