Telefoonkoppeling (Samsung > W11) potentieel erg onveilig?

[Randfiguur]

Sinds kort heb ik een nieuwe Samsung-telefoon (S21 FE). Microsoft en Samsung bieden de optie om je telefoon vanuit Windows te benaderen met de Telefoonkoppeling-app. Op zich heel handig dat sms-berichten en meldingen in Windows te zien zijn.

Wat ik me afvraag: Is multifactorauthenticatie nog wel een veilige methode? Vanuit de Telefoonkoppeling-app valt eenzijdig verbinding te maken met mijn mobiel. De berichten-deel toggle is gewoon een schuifje, geen wachtwoord of zo voor nodig. Met als gevolg dat ontvangen sms'jes gewoon in te zien zijn.

Het lijkt mij dat als iemand mijn laptop jat vervolgens heel makkelijk 2FA-codes via sms kan onderscheppen. Hiervoor word niet gewaarschuwd in de app, vind ik raar. Mirroren/spiegelen van het Android-scherm kan pas na toestemming op de mobiel, en de MS Authenticator-app gaat dan op zwart, dus dat valt me mee.

Toch lijkt Telefoonkoppeling lijkt mij 1 groot veiligheidsrisico. De potentiële nadelen lijken groter dan de voordelen, of zie ik iets over het hoofd?

[GforceNL]

De telefoon moet wel in de buurt zijn, dus aan alleen je laptop hebben ze niks.

[Sharky]

GforceNL schreef op dinsdag 24 mei 2022 @ 10:42:
De telefoon moet wel in de buurt zijn, dus aan alleen je laptop hebben ze niks.

Wat is 'in de buurt'? Bluetooth of bijvoorbeeld zelfde netwerk?

[Vloris]

2FA codes via sms is al heel lang een bewezen onveilige methode.
Het is eigenlijk verbazingwekkend hoeveel websites dat toch nog als enige optie aanbieden.

[Randfiguur]

GforceNL schreef op dinsdag 24 mei 2022 @ 10:42:
De telefoon moet wel in de buurt zijn, dus aan alleen je laptop hebben ze niks.

Goed punt. De verbinding wordt via Wi-Fi gelegd [edit: zie kleine lettertjes hier onderaan]. Ik ging ervan uit dat dat standaard ook via mobiele data gebeurde, maar die optie staat uit in mijn Android-instellingen - en die hou ik dus ook uit. Maar dan nog kan een dief (met lef) na de diefstal voor mijn huis gaan posten om sms'jes te onderscheppen. Zulke dingen gebeuren vast, heb zelf ervaring met fraude via mijn (fysieke) brievenbus die gesaboteerd bleek.

@Vloris , inderdaad, ook dit is een reden om zoveel mogelijk authenticator-apps te gebruiken.

Voor onoplettende gebruikers kan zulke cross-platformconnectiviteit nog best vervelend uitpakken. Ik vind dat MS en fabrikanten daar best voor mogen waarschuwen.

[ Voor 6% gewijzigd door Randfiguur op 24-05-2022 11:17 ]

[eric.1]

Uiteindelijk staat een functie ten behoeve van gebruikersgemak vaak redelijk haaks op beveiliging, dus dat is een afweging. Daar zul je als gebruiker wel aan moeten denken ja.

Ik vind persoonlijk niet dat alle apps altijd alle use-cases als waarschuwing moeten tonen. Wanneer je een plug-in installeert in je browser krijg je ook zo'n mooie waarschuwing te zien: "Let op, deze extensie kan alles op alle webpagina's meelezen" (of iets vergelijkbaars). Hoe meer meldingen van deze aard voorbij komen, des te sneller je ze direct weg klikt. Het is al een wir-war aan het worden van pop-ups die tevoorschijn komen, her en der toestemming geven en waarschuwingen wegklikken. Wanneer een functie letterlijk aangeeft dat berichten en notificaties van je telefoon op je PC getoond kunnen worden, dan lijkt me dat volstrekt duidelijk inclusief de eventuele implicaties.

Maar goed, je moet dus die laptop hebben, op hetzelfde wifi netwerk zitten en dus eigenlijk ook wat wachtwoorden weten. Laat je devices nooit onbeheerd en zeker niet niet-gelocked achter. Heel simpel

Eigenlijk heb je hetzelfde probleem wanneer je een code nodig hebt tijdens het inloggen op een dienst op je telefoon waarna de SMS-code automatisch wordt uitgelezen en ingevuld op diezelfde telefoon. Sjah...makkelijk, maar de toegevoegde waarde is dan wel een beetje zoek.