Jarenlang was het advies simpel: zet MFA aan en het grootste risico is weg. Dat advies klopt niet meer. Een code via sms of een pushmelding in een app houdt een aanvaller die weet wat hij doet niet buiten. De methoden die dat wel doen bestaan al een tijd, worden breed ondersteund door Microsoft en zijn voor gebruikers vaak prettiger dan wat ze nu hebben. Dit artikel legt uit wat er mis is met klassieke MFA, wat phishing-resistant betekent en hoe je zonder wachtwoord kunt werken.
Hoe klassieke MFA wordt omzeild
Bij klassieke MFA typ je een wachtwoord en bevestig je daarna met een code of een tik op je telefoon. Het probleem zit in dat woord: bevestigen. Alles wat een gebruiker kan intypen of goedkeuren, kan een aanvaller laten intypen of goedkeuren.
De meest gebruikte techniek is een nagemaakte inlogpagina die het verkeer live doorstuurt naar de echte dienst. De gebruiker vult zijn wachtwoord en zijn code in op de valse pagina, de aanvaller stuurt beide direct door naar Microsoft en ontvangt een geldige sessie terug. De code was correct, MFA heeft gewerkt, en de aanvaller is toch binnen. Kant-en-klare toolkits hiervoor zijn te huur.
Een tweede techniek is nog eenvoudiger: de aanvaller heeft het wachtwoord al en stuurt net zo lang pushmeldingen tot iemand op goedkeuren drukt. Dat gebeurt vaker dan je denkt, zeker om zeven uur in de ochtend.
Wat phishing-resistant betekent
Phishing-resistant authenticatie werkt anders. Er wordt niets ingetypt en niets goedgekeurd. Bij het aanmelden stuurt de dienst een cryptografische uitdaging naar het apparaat van de gebruiker. Het apparaat ondertekent die met een sleutel die het apparaat nooit verlaat, en die handtekening is gekoppeld aan het adres van de echte website. Een nagemaakte pagina op een ander adres krijgt geen bruikbare handtekening. De gebruiker kan zich dus niet vergissen, en de aanvaller heeft niets om door te sturen.
Deze werking is vastgelegd in de FIDO2- en WebAuthn-standaarden. In de praktijk kom je hem tegen als passkey, als Windows Hello for Business, als fysieke beveiligingssleutel en als certificaat op een smartcard. Microsoft ondersteunt al deze vormen in Entra ID en je kunt ze afdwingen met Conditional Access, per gebruikersgroep en per toepassing.
Passwordless: het wachtwoord helemaal weg
Als de sterke factor er eenmaal is, heeft het wachtwoord geen functie meer. Passwordless betekent dat de gebruiker inlogt met een passkey op zijn apparaat, ontgrendeld met een vingerafdruk, gezicht of pincode. Die pincode is lokaal en gaat nergens heen, dus ook die valt niet te phishen.
Voor persoonlijke laptops en telefoons zijn passkeys en Windows Hello for Business de logische keuze. Voor gedeelde werkplekken, zoals in de zorg of in een fabriek, werkt een fysieke sleutel beter: aanraken, ontgrendelen, klaar. Voor beheerdersaccounts is een fysieke sleutel de norm, ongeacht het apparaat.
Wat het je oplevert
Het eerste effect is dat wachtwoordphishing als aanvalsroute verdwijnt. Niet kleiner wordt, maar verdwijnt: er is geen wachtwoord meer om af te vangen en de sterke factor laat zich niet doorsturen. Het tweede effect merkt de helpdesk: wachtwoordresets en vergrendelde accounts nemen fors af. Het derde effect merken gebruikers: inloggen gaat sneller dan voorheen.
Hoe je ernaartoe gaat
Begin met inzicht. Welke authenticatiemethoden staan er aan, wie gebruikt wat, en waar staan nog sms en spraakoproepen aan? Entra ID laat dat zien.
Bepaal daarna per groep de gewenste sterkte en leg die vast in Conditional Access met authentication strengths. Beheerders eerst, dan de groepen met toegang tot gevoelige data, dan de rest. Voor de uitrol zelf gebruik je een Temporary Access Pass, zodat een nieuwe medewerker zonder wachtwoord kan starten.
Regel de uitzonderingen voordat je ze tegenkomt: wat doet iemand die zijn sleutel kwijt is, hoe verloopt herstel, en wie mag dat goedkeuren. Zet vervolgens de zwakke methoden uit. Zolang sms aanstaat, is dat de methode die een aanvaller kiest.
Tot slot: blijf kijken. Een wijziging van authenticatiemethode op een account is een signaal dat je wilt zien. Daar begint detectie op identiteit.
Kort samengevat
Een code bevestigt dat iemand een telefoon heeft, niet dat hij op de juiste website zit. Phishing-resistant authenticatie koppelt het inloggen aan de echte dienst en aan een sleutel die het apparaat niet verlaat. Zet die stap voor beheerders vandaag, en voor de rest van de organisatie in een gefaseerd traject. Het is een van de weinige maatregelen die een hele aanvalsroute sluit in plaats van hem moeilijker te maken.