Microsoft wil dat u wachtwoordloos gaat, maar moet u dat ook doen?

Weg met uw wachtwoorden en gebruik biometrische authenticatie zoals vingerafdrukken en gezichtsscans, zegt Microsoft. Niet zo snel, antwoorden sommige beveiligingsexperts.

Volgend jaar zouden wachtwoordloze logins de standaard moeten zijn, zei Microsoft onlangs op zijn website beveiligingsblog. Het bedrijf is aan het adverteren Windows Hallo, een tool voor het scannen van biometrische gegevens waarmee u zich met uw vingerafdruk kunt aanmelden bij Windows 10. Maar sommige waarnemers zeggen dat je moet aarzelen voordat je Hallo met open armen begroet.

“Het gebruik van biometrie zoals beschreven in de plannen van Microsoft is veelbelovend, maar we moeten allemaal voorzichtig zijn met nieuwe versies en implementaties van biometrische gegevens. authenticatie, zoals we hebben geleerd toen onderzoekers aantoonden dat vroege versies van Apple's FaceID voor de gek konden worden gehouden", zegt Phil Leslie, medeoprichter van cybersecurity. stevig Havoc-schild, zei in een e-mailinterview.

"Zou ik de biometrische aanpak van Microsoft vertrouwen met wachtwoorden voor een gratis webapp zonder betalingsinformatie? Waarschijnlijk. Zou ik het op dit moment voor mijn bankrekening gebruiken? Nog niet."

Laat uw vingers het woord doen

In plaats van wachtwoorden denkt Microsoft dat gebruikers beter gediend zouden zijn met het gebruik van biometrische beveiligingsapparatuur, zoals apparaten die vingerafdrukken of de vorm van uw gezicht scannen. Microsoft’s eigen Windows Hello-software biedt deze mogelijkheid.

Het aantal consumenten dat Windows Hello gebruikt om in te loggen op Windows 10-apparaten in plaats van met een wachtwoord, groeide naar 84,7% in 2020, vergeleken met 69,4% in 2019, volgens de Microsoft-beveiligingsblogpost.

Om de boodschap duidelijk te maken dat wachtwoordloos werken beter is, heeft Alex Simons, corporate vice president van Microsoft Identity Program Management, wijst erop in de blogpost dat cybercriminaliteit de wereldeconomie 2,9 miljoen dollar per minuut kost, waarbij grofweg 80% van deze aanvallen gericht is op wachtwoorden.

"Wachtwoorden zijn lastig te gebruiken en brengen veiligheidsrisico's met zich mee voor gebruikers en organisaties van elke omvang, waarbij elke maand gemiddeld één op de 250 bedrijfsaccounts wordt gecompromitteerd", voegde hij eraan toe.

Handig maar niet veiliger

Maar gebruikers moeten er rekening mee houden dat wachtwoordloze oplossingen zoals Microsoft Hello misschien handiger zijn, maar dat ze de veiligheid niet vergroten. "Uiteindelijk is er nog steeds een wachtwoord nodig om de accounts te beschermen", zegt Craig Lurey, mede-oprichter en CTO van een wachtwoordbeheerprovider Keeper Beveiliging, zei in een e-mailinterview.

“Cybercriminelen weten dit en kunnen nog steeds toegang krijgen tot het apparaat of de app door de biometrische authenticator over te slaan en zwakke of hergebruikte wachtwoorden te testen. Ze richten zich ook op accountherstel, waarbij gebruik wordt gemaakt van wachtwoorden en beveiligingsvragen."

Mobiele apparaten, met name smartphones, zijn vaak het authenticatieapparaat dat wordt gebruikt als onderdeel van een wachtwoordloze infrastructuur. Gebruikers moeten ervoor zorgen dat het apparaat vrij is van malware voordat ze toegang verlenen, zegt Hank Schless, senior manager van beveiligingsoplossingen bij cyberbeveiligingsbedrijf Lookout, zei in een e-mailinterview.

"Een gecompromitteerd mobiel apparaat kan een aanvaller toegang geven tot uw infrastructuur als hij misbruik kan maken van het apparaat dat wordt gebruikt als een vorm van authenticatie", voegde hij eraan toe.

Er zijn alternatieven voor Microsoft's Hello als u wachtwoorden wilt afschaffen. Eén oplossing is de app Nuggets, waarbij gebruik wordt gemaakt van een eenmalig onboardingproces.

Door een door de overheid uitgegeven identiteitsbewijs (zoals een paspoort of rijbewijs) te scannen en nog een controle uit te voeren, hebben consumenten eenvoudig toegang tot elke site of app met hun biometrie. Er is geen gebruikersnaam of wachtwoord nodig, op welk niveau dan ook. En er worden geen persoonlijke gegevens doorgegeven bij het inloggen.

Zelfs als wachtwoordloos op grote schaal wordt geïmplementeerd, is dit niet het wondermiddel om alle beveiligingsproblemen bij het inloggen van gebruikers op te lossen, zei Schless. "Mobiele phishing zal nog steeds een probleem zijn", voegde hij eraan toe. "Zelfs als het minder gericht is op het verzamelen van inloggegevens, moet je je werknemers nog steeds beschermen tegen phishing-links die malware naar het apparaat sturen."

Wachtwoorden kunnen een gedoe zijn, maar het is een beproefde technologie. De door Microsoft voorgestelde biometrische oplossingen zijn misschien niet voor iedereen geschikt.