Een hardware authenticatie sleutel, ofwel (usb) security key, is een soort usb-stick die je kunt gebruiken om in te loggen. De website of app waar je dit hebt ingeschakeld vraagt je wanneer je probeert in te loggen je security key te gebruiken. Dit doe je door de usb in te pluggen in jouw telefoon of computer. Het platform waar je in wilt loggen herkent dit dan en logt je vervolgens in. Dit kan op jouw computer, smartphone of tablet die dit ondersteunt.

Datalekken

Normaliter log je op een website of app in met een gebruikersnaam (of emailadres) en wachtwoord. Inmiddels weten de meeste mensen dat dit niet veilig is. Als je wachtwoord op een of andere manier uitlekt, krijgt een ander toegang tot jouw account. Je wachtwoord kan lekken als een website waar jij een account hebt een datalek heeft en wachtwoorden niet goed beveiligd heeft, als jij in een phishing-truc valt of als iemand jouw wachtwoord heeft gezien.

Multi-factor authenticatie

Om dit te voorkomen is er iets bedacht erop: Multi-factor authentication (MFA). Zoals de naam al impliceert, is MFA een methode om jou te authenticeren op meer dan één manier. Veel websites noemen dit tweefactorauthenticatie, tweestaps-authenticatie of 2FA (two-factor authentication). Er zijn verschillende manieren, factors, die je kunt gebruiken. Een factor is simpel gezegd een manier om te bewijzen dat jij bent wie je zegt dat je bent. We kennen de volgende factor types:

• Kennis: Iets wat alleen de gebruiker weet om zich te authenticeren. Dit kan bijvoorbeeld jouw wachtwoord zijn. Vandaar dat dit ook de meeste voorkomende authenticatiefactor is.
• Bezit: Iets wat alleen een gebruiker in bezit heeft. Dit kan een speciaal pasje, smartphone of een hardware authenticatie sleutel zijn. Deze methode valt het beste te vergelijken met een jouw huissleutel. Alleen de persoon met een huissleutel kan jouw huis binnenkomen.
• Verband met gebruiker: Iets wat verband heeft met alleen de gebruiker, zoals een persoonseigenschap. Doorgaans zijn dit dus biometrische gegevens, zoals een vingerafdruk of gezichts-, oog- of stemherkenning.
• Locatie: Dit heeft te maken met de locatie van de gebruiker. Dit wordt meestal bepaald aan de hand van jouw IP-adres. Zo kan bijvoorbeeld een systeem een gebruiker alleen toelaten als de gebruiker op kantoor is.

Deze factoren kunnen overigens gecombineerd worden. Zo bestaan er authenticatiesleutels met een vingerafdrukscanner (zoals de YubiKey Bio). In dat geval maak je gebruik van twee verschillende factoren, namelijk bezit (de authenticatie-usb zelf) en een persoonseigenschap (vingerafdruk).

Voordelen van hardwaresleutels

Het grootste voordeel is dat een ander niet kan inloggen in jouw account met een wachtwoord. Nu hoor ik je al denken: Maar dan kan ik toch Google Authenticator gebruiken om telkens een code te generen als 2FA-methode? Helaas is ook dat tegenwoordig niet meer veilig. Phishers gaan nu zo geraffineerd te werk, dat terwijl jij jouw gebruikersnaam, wachtwoord en 2FA code invoert op een neppe (phishing) site, zij dat tegelijkertijd invoeren op de echte website, waardoor zij dus in jouw account komen. Met een hardware authenticatiesleutel gebeurt dit niet. Nu kun je nog steeds denken: Maar dan gebruik ik toch SMS-authenticatie? Nu is dat nog onveiliger! Criminelen kunnen jouw SMS'jes onderscheppen en vervolgens de inlogcode ontvangen die eigenlijk naar jou moesten gaan. Vaak gebeurt dit door SIM-swapping, op deze manier zijn veel bekendheden gehackt. Een hardwaresleutel kost misschien wat meer, maar dat is het zeker waard.