Doorvragen bij Xs4all stopt met otp?

[kodak]

Is aan xs4all meteen de vraag gesteld welke gevolgen dit stoppen met tweestapsverificatie voor beveiliging heeft?

Ik krijg de indruk bij het bericht Xs4all stopt met otp-tweestapsverificatie op webmail van @TijsZonderH dat tweakers erg makkelijk genoegen neemt met een willekeurige reactie en het onderwerp beveiliging negeert. Dit terwijl het niet voor iedere wijziging van een bepaalde dienst bij een provider er meteen een nieuwsbericht van lijkt te maken en tweestapsverificatie hopelijk om de beveiliging een onderwerp is en niet alleen omdat een provider er iets mee doet.

[TijsZonderH]

Ik snap eerlijk gezegd je vraag niet zo goed. Ik heb het hele stuk geschreven omdát het een beveiligingsprobleem oplevert (in mijn ogen dan). Dat heeft niks te maken met 'iedere wijziging van een bepaalde dienst bij een provider', maar omdat het opvallend is.

Ik heb gevraagd of het klopte wat ze zeiden, de klantenservice heeft het daarnaast ook bevestigd, en beiden zeiden dat er maar een handvol mensen gebruik maakten van OTP (het nummer '23 klanten' viel ergens). Met die info lijkt het me makkelijk genoeg dat lezers zelf kunnen bepalen of dit een beveiligingsrisico is of niet, toch?

[kodak]

Ik lees in het artikel niet dat je het als beveiligingsprobleem ziet. Niet aan de verandering, en ook niet aan het verdwijnen van deze oplossing. Dat er een verandering van beveiliging is wil nog niet zeggen dat er een probleem is. otp-tweestapsverificatie is een mogelijke oplossing voor een aantal beveiligingsproblemen maar dat je het toepast wil nog niet zeggen dat je daarmee het probleem echt oplost.

Het bekendste is voorkomen van credential stuffing. Maar als die oplossing voor mail alleen op de webinterface zit, hoeveel heeft het dan zin om het toe te passen als je op andere gebruikelijke manieren om te mailen zoals pop/imap/smtp nog gewoon zonder die otp kan inloggen?

En in de reactie van kpn / xs4all lees ik niet dat ze het zelf als beveiligingsprobleem zien. Maar waarom lees ik niet terug. Er schijnt niet eens genoemd te zijn wat de gevolgen zijn en dus nemen we maar aan dat het dus een beveiligingsprobleem is?

[TijsZonderH]

Ik denk dat iedereen voor zichzelf mag bepalen hoe erg ze het vinden. Ik vond het een opvallende beslissing, het is nieuws, dit zijn de feiten. Ik weet niet zo goed wat je nu voorstelt dat ik daar redactioneel aan kan toevoegen.

[kodak]

Je stelt net dat je het geschreven hebt omdat het een beveiligingsproboleem oplevert.
Ik hoef geen antwoord op de volgende vraag maar misschien dat de redactie het voor zichzelf kan beantwoorden: toen de redactie het als beveiligingsprobleem zag, kwam dat door eigen aannames of omdat er feiten vanuit het bedrijf of de klanten waren dat het werkelijk een beveiligingsprobleem is?