2FA goed ingericht voor crypto

De beste tweefactorauthenticatie (2FA) voor cryptoaccounts is een hardwarebeveiligingssleutel (FIDO2/WebAuthn), gevolgd door een authenticator-app (TOTP), met sms als verre laatste redmiddel. De reden is eenvoudig: sms kan op afstand worden gestolen via een SIM-swap, TOTP-codes kunnen in realtime worden gephisht, maar een hardwaresleutel controleert het daadwerkelijke domein van de website voordat hij iets ondertekent. En welke tweede factor je ook kiest, hij doet er alleen toe als het e-mailaccount achter alles minstens even goed is beveiligd.

Waarom 2FA in crypto belangrijker is dan waar ook

Als iemand je bankrekening leegtrekt, bel je de bank, betwist je de overboeking en krijg je het geld meestal terug. Als iemand je exchange-account leegtrekt, wordt de opname binnen enkele minuten op een blockchain verwerkt en bestaat er geen mechanisme om hem terug te draaien. Exchanges doen na grote beveiligingsfouten aan hun eigen kant soms een coulancevergoeding, maar je moet ervan uitgaan dat een compromittering van jouw inloggegevens jouw verlies is.

Die asymmetrie verandert de rekensom. Een wachtwoord alleen – zelfs een sterk wachtwoord – is een single point of failure dat kan uitlekken via een datalek, een hergebruikt wachtwoord of een infostealer op je laptop. Met tweefactorauthenticatie moet een aanvaller twee onafhankelijke dingen compromitteren. De kwaliteit van je 2FA bepaalt hoe onafhankelijk die twee dingen echt zijn.

De drie opties, gerangschikt

Sms-codes: beter dan niets, maar nauwelijks

Sms-2FA stuurt een code van 6 cijfers naar je telefoonnummer. Het probleem is dat je telefoonnummer eigenlijk niet van jou is – het is een record in de database van je provider, en providers kunnen worden overgehaald het te verplaatsen. Bij een SIM-swap belt iemand je provider (of omkoopt een medewerker) en doet zich voor als jou met een verloren telefoon, laat je nummer overzetten naar zijn simkaart en ontvangt vervolgens je codes. SIM-swaps zijn gebruikt bij cryptodiefstallen met een buit van acht cijfers bij één slachtoffer, en de aanvaller komt er vaak achter dat jij het waard bent om te viseren doordat je nummer samen met het e-mailadres van een cryptoexchange in een datalek is beland.

Gebruik sms alleen wanneer een dienst niets anders biedt, en als een dienst sms gebruikt voor accountherstel, beschouw dat dan als het echte beveiligingsniveau van het account, ongeacht welke 2FA je voor het inloggen instelt.

Authenticator-apps (TOTP): het solide midden

TOTP-apps (Aegis, Google Authenticator en andere) genereren elke 30 seconden een nieuwe code van 6 cijfers op basis van een geheim dat op je apparaat is opgeslagen. Er reist niets over het telefoonnetwerk, dus SIM-swaps zijn irrelevant. Twee zwakke punten blijven:

• Phishing in realtime. Een nep-inlogpagina van een exchange kan om je wachtwoord en TOTP-code vragen en beide binnen het venster van 30 seconden doorsturen naar de echte site. TOTP verifieert jou, niet de site.
• Omgang met back-ups. Het TOTP-geheim (meestal getoond als QR-code bij het instellen) is zelf een inloggegeven. Als je er een back-up van maakt in een cloudaccount, heeft wie dat cloudaccount in handen heeft ook je 2FA in handen. Als je helemaal geen back-up maakt, sluit een verloren telefoon je buiten.

Een verstandige opzet: gebruik een app die versleutelde lokale exports ondersteunt, bewaar de export (of de originele QR-codes van de installatie) offline en noteer de eenmalige herstelcodes van elke dienst op papier – niet in dezelfde wachtwoordmanager waarin het wachtwoord staat.

Hardwarebeveiligingssleutels: het sterke uiteinde

Een FIDO2/WebAuthn-sleutel (YubiKey en vergelijkbare, ruwweg 25-60 dollar) ondertekent een challenge die cryptografisch aan het aanvragende domein is gekoppeld. Als je op binannce.com belandt in plaats van op binance.com, levert de sleutel simpelweg een handtekening op die de echte site nooit zal accepteren – bescherming tegen phishing zit ingebouwd in het protocol in plaats van af te hangen van je oplettendheid om 23.00 uur. Er is geen gedeeld geheim dat van een server kan worden gestolen en niets dat iemand over je schouder kan meelezen.

Koop twee sleutels, registreer ze allebei op elk account dat ze ondersteunt en bewaar de reservesleutel op een aparte plek. Eén geregistreerde sleutel die kapotgaat of verdwijnt, is de meest voorkomende zelfveroorzaakte buitensluiting bij deze methode. Let op dat een FIDO2-beveiligingssleutel en een hardwarewallet verschillende apparaten zijn die verschillende problemen oplossen: de sleutel authenticeert logins, de wallet ondertekent blockchaintransacties. Sommige hardwarewallets kunnen ook als FIDO2-sleutel fungeren, wat handig is maar het risico in één apparaat concentreert.

Je e-mail is het vertrouwensanker

Bijna elke exchange laat je je wachtwoord per e-mail resetten, en veel exchanges laten je via een door e-mail aangestuurde herstelprocedure 2FA uitschakelen, soms in combinatie met het opnieuw doorlopen van identiteitsverificatie. Dat betekent dat je mailbox stroomopwaarts van alles ligt: een aanvaller die je e-mail in handen heeft, kan zich vaak toegang verschaffen tot accounts waarvan je de 2FA zorgvuldig hebt ingesteld.

Praktische gevolgen:

• Beveilig je e-mail met de sterkste 2FA die ze ondersteunt – bij voorkeur hardwaresleutels. Het Advanced Protection Program van Google is een redelijke keuze voor een Gmail-account dat alleen voor crypto is bedoeld.
• Verwijder je telefoonnummer als herstelmethode van dat e-mailaccount als de aanbieder dat toestaat; anders keert het SIM-swapprobleem via de achterdeur terug.
• Overweeg een apart e-mailadres dat je alleen voor exchanges gebruikt, nooit openbaar plaatst en nooit hergebruikt voor nieuwsbrieven of winkels. Dat verkleint het aanvalsoppervlak en maakt phishingpogingen makkelijker te herkennen: elke "exchange"-mail die op je alledaagse adres binnenkomt, is per definitie nep.

Schadebeperking bij SIM-swaps voorbij 2FA

Ook nadat je geen sms-codes meer gebruikt, kan je telefoonnummer je nog steeds schaden als het in herstelprocedures is verwerkt. Vraag je provider naar een port-out-pincode of nummerblokkering, waarvoor een extra inloggegeven nodig is voordat het nummer kan worden overgedragen. Controleer daarna elke exchange en je e-mailaanbieder: kijk wat het "ik ben mijn 2FA-apparaat kwijt"-proces echt vereist. Een platform dat 2FA uitschakelt met alleen een sms-bevestiging en een selfie, heeft je zijn werkelijke beveiligingsplafond verteld.

Ga er bovendien van uit dat je nummer en e-mailadres al in datalekken staan. Aanvallers koppelen gelekte klantenlijsten van exchanges aan telefoonnummers; erin staan maakt van je een geselecteerd doelwit in plaats van een willekeurig doelwit. Dat is een reden om saldo's op exchanges bescheiden te houden en langetermijnbezit naar self-custody te verplaatsen – een onderwerp dat elders in dit leerpad aan bod komt.

Een concrete opzet die werkt

Voor iemand die bijvoorbeeld 20.000 dollar over twee exchanges heeft verspreid:

1. Koop twee FIDO2-hardwaresleutels. Registreer ze allebei op je e-mailaccount en op elke exchange die beveiligingssleutels ondersteunt.
2. Stel voor diensten die alleen TOTP ondersteunen een authenticator-app in, exporteer een versleutelde back-up en schrijf de herstelcodes van elke dienst op papier op, bewaard bij je andere offline documenten.
3. Verwijder sms overal waar het kan als 2FA-methode en als herstelmethode.
4. Stel een port-out-pincode in bij je mobiele provider.
5. Bewaar de reservesleutel op een tweede locatie – bij een vertrouwd familielid thuis of in een bankkluis.
6. Test één keer per jaar een login met de reservesleutel en controleer of je herstelcodes nog overeenkomen met de werkelijkheid.

De totale kosten zijn minder dan 120 dollar en een middag. Vergeleken met wat het beschermt, is dat de goedkoopste verzekering in crypto.