Google 2 factor authentication en telefoon verloren

[Palomar]

Ik ben het boek 'Ik weet je wachtwoord' aan het lezen (weinig nieuws, maar wel een goede spiegel voor je zelf en vermakelijk ). Naar aanleiding hiervan ben ik eens wat uitgebreider naar de beveiliging van mijn accounts aan het kijken.

Voor mijn Google-account heb ik al een redelijk sterk wachtwoord, maar ik overweeg ook 2FA in te stellen voor extra beveiliging, omdat dit mijn belangrijkste account is. Toch vraag ik mij af of ik mijzelf daarmee niet 'buiten kan sluiten' als ik mijn telefoon kwijtraak. In dat geval is er volgens mij nog SMS backup, maar voordat je een nieuwe simkaart hebt ben je een paar dagen verder. Is dat inderdaad de consequentie?

En wat als je je telefoon een factory reset geeft? Hoe stel ik dan opnieuw mijn google account in op mijn telefoon? Of werkt dat ook met sms?

Zijn er nog andere bezwaren of kan ik het prima gewoon direct instellen?

[maratropa]

backup codes uitprinten

[Arunia]

@Palomar Volgens mij kun je een setje codes laten genereren (zag dat bij een aantal programma's zoals die van Nintendo en Epic geloof ik welke gebruik maken van de Google Authenticator.
Daar had ik een set codes voor gegenereerd en in mijn password manager gezet.
Denk dat zoiets voor Google zelf ook wel kan.
Dan berg je die veilig op (in een kluis oid) en dan heb je dat probleem niet.

[TERW_DAN]

Je hebt meerdere authenticatiemogelijkheden.
Je hebt SMS, de 2FA app, maar ook nog backupcodes daarvan, maar je kunt het ook instellen op bijv een yubikey. Google geeft je de mogelijkheid om er 1 in te stellen als default, maar als je wilt kun je ook een andere mogelijkheid kiezen.

[GlowMouse]

Arunia schreef op dinsdag 3 november 2020 @ 21:38:
Daar had ik een set codes voor gegenereerd en in mijn password manager gezet.

nu heb je de 2FA tot 1FA gereduceerd.

[Arunia]

@GlowMouse Not really. Dat zijn zoals TERW_DAN ook zegt, backup codes. Die gebruik je alleen als er iets goed mis gaat. Dan heb je moet dat setje nog toegang.

[GlowMouse]

Arunia schreef op dinsdag 3 november 2020 @ 21:54:
@GlowMouse Not really. Dat zijn zoals TERW_DAN ook zegt, backup codes. Die gebruik je alleen als er iets goed mis gaat. Dan heb je moet dat setje nog toegang.

Dat neemt toch niet weg dat je password manager nu de enige factor is?

[hoi1234]

Authy ipv google authenticator werkt best goed. Die synchroniseert alle accounts. Toen ik mijn telefoon moest resetten, omdat ik van beta-software terug naar stable-software ging, was het na 3 dagen geregeld. Het probleem was dat mijn account niet was afgemeld bij mijn vorige installatie of zo en je moet de instellingen veranderen om één account op meerdere devices te zetten anders was het sneller gegaan.

Overigens vind ik het risico dat je even moet wachten tot een e-mailaccount wordt vrijgegeven vele malen aanvaardbaarder, dan dat iemand in mijn mailaccount kan en weet ik wat allemaal kan bestellen en overal wachtwoorden van kan resetten.

[ Voor 22% gewijzigd door hoi1234 op 03-11-2020 22:19 ]

[TERW_DAN]

GlowMouse schreef op dinsdag 3 november 2020 @ 22:07:
[...]

Dat neemt toch niet weg dat je password manager nu de enige factor is?

Maar om in m'n password manager te komen zul je ook m'n wachtwoord daarvan EN de 2FA komen te weten.
Dus als het wachtwoord van m'n Googleaccount OF m'n password manager uitlekt, dan ben je er nog niet, want je hebt alsnog een 2e factor nodig.

[BlackMonkey]

TERW_DAN schreef op dinsdag 3 november 2020 @ 22:53:
[...]

Maar om in m'n password manager te komen zul je ook m'n wachtwoord daarvan EN de 2FA komen te weten.
Dus als het wachtwoord van m'n Googleaccount OF m'n password manager uitlekt, dan ben je er nog niet, want je hebt alsnog een 2e factor nodig.

Dan heb je alsnog je 2FA google account tot 1FA gereduceerd. Toegang kan verkregen worden via 1FA, je PWM (daar staat immers een juiste combinatie van gegevens vermeld welke je in 1x toegang verschaffen tot je account. Deze is vervolgens wel met 2FA beveiligd maar dan kom je weer op het originele probleem van TS.

Persoonlijk heb ik voor mijzelf specifiek een tweede account welke ik voor deze doeleinde inzet (hersteladres). Van familie ben ik meestal zelf het hersteladres/backup adres. Let op trouwens, dergelijke oplossingen zijn in de praktijk niet altijd vanzelfsprekend. Heb eens meegemaakt met hotmail dat ik een wachtwoord moest wijzigen door een gestolen laptop van een familielid, hierbij mocht ik van hotmail prima het wachtwoord aanpassen maar deze zou pas na een week actief worden (ja serieus). Waarschijnlijk doordat het een nieuw apparaat was. Via het hersteladres kon je dit omzeilen.

[hoi1234]

Herstelcodes kun je ook printen of op je computer bewaren.

Dat lijkt mij voldoende veilig. Mij gaat het er vooral om dat onbekende niet van buitenaf in mijn accounts komen. Als je de codes print, moeten ze die eerst nog vinden en waarschijnlijk merk je het wel als iemand de codes heeft gestolen/ingezien. Voor op de computer bewaren geldt hetzelfde.

[TERW_DAN]

En als je bang bent dat ze op wat voor manier dan ook gelekt zijn, kun je die codes ook weer opnieuw genereren. En dat zou je natuurlijk ook met enige regelmaat willen doen voor nog wat extra zekerheid.

[Rmg]

SMS, Backup codes, een 2e device (tablet bijv), je 2fa code backuppen. Er zijn meer dan een handvol manieren

[Palomar]

Bedankt voor de reacties, interessant om te lezen. Die backup-codes zouden voor mij denk ik wel voldoende zijn. Ik snap de reacties dat als je die te 'makkelijk' opslaat dat je eigenlijk weer 1FA hebt, echter het gaat mij vnl. om de geautomatiseerde attacks. Ik denk niet dat ik interessant genoeg ben voor 'hackers' om extra moeite te doen om die backup-codes te achterhalen of op een andere manier specifiek in mijn gegevens te duiken.

Mijn spotify-account is bijv. ooit overgenomen omdat ik daar hetzelfde e-mail/wachtwoord gebruikte als voor een andere dienst die gehackt was. Alhoewel ik voor mijn Google-account een wachtwoord heb dat ik alleen voor Google gebruik is de kans op dit scenario al klein, maar mocht dat wachtwoord toch lekken dan is 2FA een goede extra beveiliging.

[hoi1234]

Palomar schreef op woensdag 4 november 2020 @ 09:36:
Bedankt voor de reacties, interessant om te lezen. Die backup-codes zouden voor mij denk ik wel voldoende zijn. Ik snap de reacties dat als je die te 'makkelijk' opslaat dat je eigenlijk weer 1FA hebt, echter het gaat mij vnl. om de geautomatiseerde attacks. Ik denk niet dat ik interessant genoeg ben voor 'hackers' om extra moeite te doen om die backup-codes te achterhalen of op een andere manier specifiek in mijn gegevens te duiken.

Mijn spotify-account is bijv. ooit overgenomen omdat ik daar hetzelfde e-mail/wachtwoord gebruikte als voor een andere dienst die gehackt was. Alhoewel ik voor mijn Google-account een wachtwoord heb dat ik alleen voor Google gebruik is de kans op dit scenario al klein, maar mocht dat wachtwoord toch lekken dan is 2FA een goede extra beveiliging.

Gewoon een wachtwoordmanager gebruiken. Werkt geweldig.

Keepass is prima als je een gratis wachtwoordmanager zoekt of een wachtwoordmanager zoekt die je zelf kunt hosten. Lastpass vind ik persoon geweldig. Voor 40 euro per jaar (geloof ik), heb je een cloudbased wachtwoordmanager met goedwerkende app. Ik ken iemand die bitwarden gebruikt. Die wil ik nog testen. Die kost namelijk slechts 10$ per jaar.

Als je al je wachtwoorden laat generen door je wachtwoordmanager, heb je nooit meer dubbele wachtwoorden en zijn je wachtwoorden zo sterk te maken als je zelf wilt. Voordeel is dat je plugins kunt downloaden die je credentials automatisch invullen. Hoef je alleen nog op inloggen te klikken.

[Palomar]

Keepass gebruik ik idd, alleen vind ik dat lastig bijhouden, omdat het een standalone programmaatje is en ik niet 1 vaste pc heb waar ik altijd op werk. Probeerde dat af te vangen door het in mijn onedrive-map te zetten, maar dan nog kun je het niet openen op bijv. je telefoon of chromebook.
Heb zojuist Lastpass ook even geprobeerd. Omdat het via een webpagina kan werken voldoet dat denk ik al een stuk beter. Ik zal het denk ik niet gaan gebruiken om wachtwoorden automatisch aan te laten vullen in Chrome (daarvoor gebruik ik de ingebouwde wachtwoordmanager van Chrome, die erg goed voldoet), maar met Lastpass is het denk ik wel makkelijker om belangrijke wachtwoorden en die backup-codes van google bij te houden, zonder gebonden te zijn aan 1 pc waarop dat staat.

Realiseer me nu dat ik met Lastpass wel weer een nieuw probleem introduceer, want als ik daarop geen 2FA ga gebruiken wordt dat de zwakste schakel (stel dat iemand daar in komt..). Ik zou dan Google Authenticator willen gebruiken, maar dat draait ook weer op mijn telefoon. Als ik die kwijtraak.... iets met kip.. ei.,....

[Rensjuh]

Palomar schreef op woensdag 4 november 2020 @ 10:33:
Keepass gebruik ik idd, alleen vind ik dat lastig bijhouden, omdat het een standalone programmaatje is en ik niet 1 vaste pc heb waar ik altijd op werk. Probeerde dat af te vangen door het in mijn onedrive-map te zetten, maar dan nog kun je het niet openen op bijv. je telefoon of chromebook.

Chromebook weet ik niet, maar op telefoon werkt prima.
Ik gebruik mijn Keepass op 2 laptops ("gewone" keepass) en 2 telefoons (android, "Keepass2Android"), zonder problemen.
Je moet alleen even een plugin installeren op je (windows) laptop om hem te laten syncen met onedrive.
Daar gebruik ik deze plugin voor.

Op laptop open ik de Keepass database met een wachtwoord, op mijn beide telefoons met vingerafdruk (of evt. wachtwoord, is ook mogelijk).

[ Voor 8% gewijzigd door Rensjuh op 04-11-2020 10:41 ]

[hoi1234]

Rensjuh schreef op woensdag 4 november 2020 @ 10:39:
[...]


Chromebook weet ik niet, maar op telefoon werkt prima.
Ik gebruik mijn Keepass op 2 laptops ("gewone" keepass) en 2 telefoons (android, "Keepass2Android"), zonder problemen.
Je moet alleen even een plugin installeren op je (windows) laptop om hem te laten syncen met onedrive.
Daar gebruik ik deze plugin voor.

Die app voor Android vond ik echt bagger. Dat was eigenlijk de belangrijkste reden naast het feit dat je zelf moet synchroniseren om over te stappen op Lastpass.

[Pazo]

Palomar schreef op woensdag 4 november 2020 @ 10:33:
Keepass gebruik ik idd, alleen vind ik dat lastig bijhouden, omdat het een standalone programmaatje is en ik niet 1 vaste pc heb waar ik altijd op werk. Probeerde dat af te vangen door het in mijn onedrive-map te zetten, maar dan nog kun je het niet openen op bijv. je telefoon of chromebook.

Keepass kan je prima synchroniseren met meerdere apparaten. Je moet de databasefile in de cloud zetten, bijvoorbeeld in Onedrive zoals je zegt. Voor zowel Andriod als iOS zijn er apps waarmee daar gewoon verbinding mee kunt maken (voor Andriod bijv. Keepass2Android). Ik heb zelf de Keepass database file in mijn Nextcloud staan, en vervolgens synchroniseren daar 2 telefoons, een tablet en een PC mee.
Bij mijn ouders staat het in Dropbox, en synchroniseren 2x telefoon en een laptop daarmee.

[hoi1234]

Pazo schreef op woensdag 4 november 2020 @ 10:43:
[...]


Keepass kan je prima synchroniseren met meerdere apparaten. Je moet de databasefile in de cloud zetten, bijvoorbeeld in Onedrive zoals je zegt. Voor zowel Andriod als iOS zijn er apps waarmee daar gewoon verbinding mee kunt maken (voor Andriod bijv. Keepass2Android). Ik heb zelf de Keepass database file in mijn Nextcloud staan, en vervolgens synchroniseren daar 2 telefoons, een tablet en een PC mee.
Bij mijn ouders staat het in Dropbox, en synchroniseren 2x telefoon en een laptop daarmee.

Wat houdt Nextcloud dan precies in? Host je dat zelf? Anders lijkt het mij ook niet helemaal veilig. Als men toegang heeft tot jouw account, hoeft men alleen nog het wachtwoord van de database te achterhalen en is men overal binnen.

Overigens als je het zelf host: hoe ga je dan om met een hack van jouw thuisnetwerk?

Overigens @Palomar kun je niet ook een verificatiemethode toestaan op de telefoon van je echtgenoot/ouders? Als je je telefoon kwijt raakt, vraag je hen even om de code en ben je weer binnen.

[ Voor 9% gewijzigd door hoi1234 op 04-11-2020 10:47 ]

[Pazo]

hoi1234 schreef op woensdag 4 november 2020 @ 10:46:
[...]

Wat houdt Nextcloud dan precies in? Host je dat zelf? Anders lijkt het mij ook niet helemaal veilig. Als men toegang heeft tot jouw account, hoeft men alleen nog het wachtwoord van de database te achterhalen en is men overal binnen.

Overigens als je het zelf host: hoe ga je dan om met een hack van jouw thuisnetwerk?

Ja ik host Nextcloud zelf (vergelijkbaar met Dropbox / Onedrive maar dan op je eigen server).
Keepass heeft bij mij 2 sleutels nodig om in te loggen / te openen: een wachtwoord een keyfile. De keyfile staat niet op Nextcloud.

En mbt een hack: Ja kan altijd in theorie, maar ik maak vrijwel iedere week een offline backup (externe HDD).