Waarom gewone MFA niet altijd genoeg is
Bij een adversary-in-the-middle-aanval komt een gebruiker via een phishinglink op een nagemaakte aanmeldpagina. Die pagina stuurt alles door naar Microsoft, inclusief de MFA-goedkeuring. De aanvaller onderschept daarna het sessietoken en is ingelogd zonder het wachtwoord of de telefoon van de gebruiker. Sms-codes, telefoontjes en pushmeldingen bieden hier geen bescherming tegen, omdat de gebruiker de aanmelding zelf goedkeurt.
Welke methoden zijn phishingbestendig?
Phishingbestendige methoden koppelen de aanmelding cryptografisch aan het echte domein. Een nagemaakte pagina kan de aanmelding daardoor niet gebruiken.
- Passkeys (FIDO2), op een beveiligingssleutel of in Microsoft Authenticator.
- Windows Hello for Business.
- Aanmelden met een certificaat als meervoudige methode.
- Platformreferenties voor macOS.
Authenticatiesterkte in Conditional Access
Met authenticatiesterkte bepaalt u in een Conditional Access-policy welke MFA-methoden voldoende zijn. Microsoft levert drie ingebouwde sterktes: MFA, wachtwoordloze MFA en phishingbestendige MFA. U kunt ook een eigen sterkte samenstellen, bijvoorbeeld alleen passkeys. Begin met de groep met de meeste rechten: beheerders. Breid daarna uit naar gebruikers met toegang tot gevoelige gegevens of financiële processen.
Registratie en herstel
Een gebruiker moet een phishingbestendige methode eerst registreren. Plan dat zorgvuldig. Bepaal hoe nieuwe medewerkers hun eerste methode krijgen, bijvoorbeeld met een tijdelijke toegangspas, en wat er gebeurt als iemand zijn sleutel of telefoon verliest. Een herstelproces via een telefoontje naar de servicedesk zonder identiteitscontrole maakt de sterke methode waardeloos.
Gebruik nummerweergave als tussenstap
Kan uw organisatie nog niet volledig overstappen, gebruik dan Microsoft Authenticator met nummerweergave en extra context, zoals de locatie van de aanmelding. Dat vermindert MFA-moeheid en onbedoelde goedkeuringen. Het blijft wel een tussenstap: tegen een aanmeldpagina die de aanmelding live doorstuurt, biedt alleen een phishingbestendige methode echte bescherming.