Find my beveiligen met phishing resistant

[ibmpc]

Ik heb twee Yubikeys ingesteld op mijn persoonlijke iCloud account.

Het lijkt erop dat je daarmee een security gat openzet. Als ik in een inprivate venster naar https://www.icloud.com/find/ ga en daar mijn iCloud username invul, dan wordt er gevraagd naar mijn wachtwoord, terwijl ik toch echt twee FIDO2 sleutels heb ingesteld. Als ik dan het oude wachtwoord invul, dan wordt er niet eens naar de FIDO2 sleutels gevraagd en zie ik de locatie van al mijn devices met de optie voor een remote wipe. Single factor authentication dus.

Als ik op iets anders dan Find My inlog, dan wordt er nog wel om een wachtwoord gevraagd, maar daarna wel om een FIDO2 sleutel.

Hoe zet je FIDO2 aan voor Find My?

Hoe zet je wachtwoord uit voor iCloud?

[Archer_VC10]

Wat zegt de Apple Helpdesk als je ze belt en deze vraag stelt?
Zie hier: https://support.apple.com...try-or-region=netherlands

[JukeboxBill]

Apple heeft z'n eigen 2FA methode met een code op je telefoon of tablet.
Waarom zou je dat willen omzeilen met een jouw methode?

[ Voor 3% gewijzigd door JukeboxBill op 06-11-2026 19:36 ]

[ibmpc]

JukeboxBill schreef op vrijdag 6 november 2026 @ 19:36:
Apple heeft z'n eigen 2FA methode met een code op je telefoon of tablet.
Waarom zou je dat willen omzeilen met een jouw methode?

Het is een methode die volledig door Apple ondersteund is:

About Security Keys for Apple Account - Apple Support

De documentatie vermeldt echter niet dat er een terugval is naar wachtwoord only (zonder MFA) voor Find My als je twee FIDO2 sleutels instelt.

Archer_VC10 schreef op vrijdag 6 november 2026 @ 19:24:
Wat zegt de Apple Helpdesk als je ze belt en deze vraag stelt?
Zie hier: https://support.apple.com...try-or-region=netherlands

Factory reset. Ik vind dat geen werkbare oplossing.

[rr7r]

JukeboxBill schreef op vrijdag 6 november 2026 @ 19:36:
Apple heeft z'n eigen 2FA methode met een code op je telefoon of tablet.
Waarom zou je dat willen omzeilen met een jouw methode?

Omdat je dan ook SMS als 2FA mogelijkheid erbij cadeau krijgt. Dus code op apple devices kan je niet afdwingen. En als je één Apple device hebt, is dat ook heel begrijpelijk. Maar vanuit beveiligingsoogpunt is je 2FA dan eigenlijk SMS, want dat is de zwakste schakel.

[rr7r]

ibmpc schreef op vrijdag 6 november 2026 @ 20:22:
[...]

Het is een methode die volledig door Apple ondersteund is:

About Security Keys for Apple Account - Apple Support

De documentatie vermeldt echter niet dat er een terugval is naar wachtwoord only (zonder MFA) voor Find My als je twee FIDO2 sleutels instelt.

Ik wist dit ook niet. Ik heb zojuist met username + PW ingelogd, en inderdaad, kom er zo op.

>> ik heb ook yubikeys ingesteld.

[ Voor 4% gewijzigd door rr7r op 07-11-2026 10:43 ]

[rr7r]

ibmpc schreef op donderdag 5 november 2026 @ 23:16:


Hoe zet je wachtwoord uit voor iCloud?

Wachtwoord uitzetten kan sowieso niet. Houd er ook rekening mee, dat yubikeys uberhaupt te omzeilen zijn via de account herstelfunctie.

Ik weet niet meer of herstelsleutel aanmaken verplicht was bij fysieke passkeys, maar bij E2EE bescherming op icloud wel. En dan kan je altijd inloggen met 2 van de 3 'factoren': je wachtwoord, je fysieke beveiligingssleutels en je herstelcode of herstelcontact.

Dus als je wachtwoord met herstelcode of herstelcontact gebruikt, sluit je de yubikeys hoe dan ook buiten.

Yubikeys is een prima product, maar helaas zijn de partijen waar je deze kan gebruiken vrij in hoe ze het voor je implementeren.

[JukeboxBill]

rr7r schreef op zaterdag 7 november 2026 @ 10:40:
[...]

Omdat je dan ook SMS als 2FA mogelijkheid erbij cadeau krijgt. Dus code op apple devices kan je niet afdwingen. En als je één Apple device hebt, is dat ook heel begrijpelijk. Maar vanuit beveiligingsoogpunt is je 2FA dan eigenlijk SMS, want dat is de zwakste schakel.

Als ik het goed begrijp, is het dus veiliger om de code te ontvangen op een iPad, want daar zit geen telefoon SIM in, hoogstens een data SIM.

[F_J_K]

Archer_VC10 schreef op vrijdag 6 november 2026 @ 19:24:
Wat zegt de Apple Helpdesk als je ze belt en deze vraag stelt?
Zie hier: https://support.apple.com...try-or-region=netherlands

offtopic:
Wat zei de moderator toen je dat schreef? Nou, dat dat passief-aggressief is maar niet behulpzaam, en dus ongewenst

[rr7r]

JukeboxBill schreef op zaterdag 7 november 2026 @ 11:19:
[...]

Als ik het goed begrijp, is het dus veiliger om de code te ontvangen op een iPad, want daar zit geen telefoon SIM in, hoogstens een data SIM.

Ik vermoed dat code via apple device eea aan encryptie wordt toegepast. Maakt niet uit welk device. Tenzij je bang bent voor verlies en diefstal, maar dan moet je de telefoon eerst unlocken als je meldingen op je startscherm afschermt. Waarom SMS minder veilig is kan je op internet vinden (geen versleuteling, onderschepping, SIMkaart hijacking).