Beveiligingsvragen: best practices, voorbeelden en ideeën

Beveiligingsvragen worden vaak gebruikt voor de authenticatie van identities. U bent ze vast ook weleens tegengekomen. Bij het maken van een account of het registreren voor een online service, delen gebruikers de vertrouwelijke antwoorden op geheime vragen met een provider. 

Deze vragen en antwoorden worden meestal gebruikt bij het resetten van wachtwoorden via een selfservice. De gebruiker verifieert zich door het juiste antwoord in te voeren waarna het wachtwoord kan worden gereset. Beveiligingsvragen kunnen ook worden gebruikt als aanvullende authenticatiefactor voor logins.

Maar bij beide use cases is het niet raadzaam alleen op beveiligingsvragen te vertrouwen. Want hoewel ze makkelijk in te stellen zijn, kunnen de antwoorden worden gehackt, geraden en gestolen, ongeveer op dezelfde wijze zoals dat met wachtwoorden gebeurt. Wilt u uw organisatie toch beschermen met beveiligingsvragen? In deze blogpost leest u wat goede beveiligingsvragen en -antwoorden zijn en hoe u best practices kunt toepassen om ze zo goed mogelijk te gebruiken.

Typen beveiligingsvragen

Dit zijn de twee belangrijkste typen beveiligingsvragen: 

• Door de gebruiker gedefinieerde vragen: gebruikers kunnen een vraag uit een lijst kiezen waarop ze een antwoord willen geven. Developers kunnen deze vragen eenvoudig implementeren in het proces waarmee een account wordt gemaakt. Maar deze optie is alleen effectief als de gebruiker een sterk antwoord kiest dat moeilijk te kraken is.
• Door het systeem gedefinieerde vragen: deze vragen zijn gebaseerd op informatie over de gebruiker die al bekend is bij de serviceprovider (zoals adres of geboortedatum). Bij deze vragen is het belangrijk dat het systeem voldoende informatie over de gebruiker heeft en dat het antwoord moeilijk door een kwaadwillende te achterhalen is.

Verderop in deze blogpost gaan we dieper in op de bruikbaarheid van beide typen vragen. Maar eerst onderzoeken we waarom sommige beveiligingsvragen beter zijn dan andere.

Wat is een goede beveiligingsvraag? 

Beveiligingsvragen moeten de volgende kenmerken hebben om iets toe te voegen aan de veiligheid van een authenticatie:

• Vertrouwelijkheid: niemand mag het antwoord kunnen raden, achterhalen of op een andere wijze verkrijgen. Dit is meteen het allerbelangrijkste kenmerk: als het antwoord eenvoudig te achterhalen is, brengt dit de beveiliging van het account in gevaar. Informatie die bij iedereen in de omgeving van de gebruiker bekend is of die eenvoudig online kan worden opgezocht, is niet vertrouwelijk.
• Onthoudbaarheid: de gebruiker moet zich het antwoord kunnen herinneren, in principe nog lange tijd nadat het account is gemaakt. In het ideale geval weet de gebruiker het antwoord direct. Het moet niet nodig zijn om het op te schrijven of op te zoeken.
• Consistentie: het antwoord op de vraag mag na verloop van tijd niet veranderen. Vermijd antwoorden die alleen op een bepaald moment gelden, zoals favorieten en opinies. Gebruik liever een vaststaand feit of andere informatie die niet verandert.
• Eenvoud: het antwoord moet nauwkeurig, eenduidig en eenvoudig te geven zijn. Vragen met niet-eenduidige antwoorden, hoofdlettergevoelige antwoorden of antwoorden met een bepaalde opmaak zijn vaak moeilijk te onthouden.
• Veelheid: er moeten meerdere antwoorden op de vraag mogelijk zijn. Hoe meer antwoorden er mogelijk zijn, des te beter de beveiliging. Op deze manier is de kans kleiner dat iemand het antwoord raadt of door middel van brute force kan achterhalen. Bij veel serviceproviders wordt de toegang tot een account bovendien na een aantal mislukte pogingen geblokkeerd.

Lijst met beveiligingsvragen

We hebben een lijst met veelgebruikte beveiligingsvragen samengesteld op basis van de bovenstaande principes. Hieronder leest u waarom sommige vragen veiliger zijn dan andere.

Voorbeelden van slechte beveiligingsvragen

De volgende beveiligingsvragen worden als slecht beschouwd omdat ze onpraktisch of makkelijk te misbruiken zijn:

Voorbeelden van goede beveiligingsvragen

De bovenstaande vragen zijn allemaal om een bepaalde reden onveilig of ongeschikt. De beveiligingsvragen in de onderstaande lijst zijn praktischer en veiliger:

Zijn beveiligingsvragen effectief om te gebruiken?

Organisaties kunnen beveiligingsvragen eenvoudig implementeren en voor gebruikers is het een vertrouwde en gemakkelijke methode. Maar daarmee houden de voordelen wel op. 

In het steeds veranderende dreigingslandschap hebben beveiligingsvragen hun langste tijd wel gehad. Ze bieden maar weinig zekerheid en zelfs de bovenstaande voorbeelden van goede vragen kunnen worden geraden of via social media of online onderzoek worden achterhaald. Daarnaast kunnen zowel door de gebruiker als door het systeem gedefinieerde beveiligingsantwoorden worden gestolen via een datalek of door middel van een phishingtruc in verkeerde handen vallen (net zoals wachtwoorden). Een belangrijke reden waarom beveiligingsexperts het gebruik ervan ontraden.

Het is dus geen goed idee om beveiligingsvragen als belangrijkste beveiligingsmethode voor accounts te gebruiken. Goede beveiligingsvragen kunnen als onderdeel van een bredere beveiligingsstrategie en onder bepaalde voorwaarden wel als aanvullende authenticatiemethode worden ingezet.

Best practices voor beveiligingsvragen

Beveiligingsvragen zijn niet de meest effectieve manier om accounts te beveiligen, maar organisaties, werkgevers en klanten kunnen ze toch op een aantal punten sterker maken.

Tips voor het gebruik van beveiligingsvragen

Als u toch beveiligingsvragen wilt gebruiken als ondersteunende beveiligingsmethode voor uw werknemers of klanten, raden we u aan de volgende best practices toe te passen om kwetsbaarheden zoveel mogelijk te beperken:

• Weiger bepaalde antwoorden: controleer antwoorden aan de hand van een weigeringslijst met veelvoorkomende antwoorden, zoals de gebruikersnaam, het e-mailadres, het huidige wachtwoord van de gebruiker en eenvoudig te raden tekenreeksen zoals "123" en "wachtwoord". Ook het afdwingen van een minimumlengte kan helpen dit soort antwoorden te vermijden.
• Vernieuw de vragen: vraag gebruikers regelmatig hun beveiligingsvragen te controleren en te bevestigen dat ze het antwoord nog steeds weten. Op deze manier kunnen gebruikers antwoorden bijwerken die zijn veranderd. Ook is de kans groter dat de gebruiker het meest recente antwoord nog weet als het account moet worden hersteld.
• Accepteer geen zelfbedachte vragen: gebruikers toestaan hun eigen vragen te bedenken brengt risico's met zich mee. Het kan resulteren in sterke, unieke vragen die moeilijk door hackers te beantwoorden zijn, maar het kan ook leiden tot zwakke en makkelijk te misbruiken vragen. Zelfbedachte vragen zijn afhankelijk van het beveiligingsgedrag van de gebruiker. Als u gebruikers met weinig veiligheidsbewustzijn hun eigen vragen laat instellen, kan dit het risico op account takeovers aanzienlijk verhogen.
• Stel meerdere beveiligingsvragen in: als u gebruikers meerdere vragen tegelijk stelt, kan dit het zekerheidsniveau van beveiligingsvragen verbeteren. Dit geldt vooral als de antwoorden gevarieerd zijn en een aanvaller nog meer moeilijk te achterhalen informatie moet zien te krijgen. Hiervoor zou bijvoorbeeld een combinatie van door de gebruiker en door het systeem gedefinieerde vragen kunnen worden gebruikt. Het is in elk geval belangrijk dat een gebruiker een vraag uit een selectie eerst correct moet beantwoorden voordat een andere vraag kan worden gekozen. Ook hiermee beperkt u de kans dat aanvallers toegang tot accounts kunnen krijgen door antwoorden te raden of op andere wijze te verkrijgen.
• Gebruik versleutelde opslag: antwoorden kunnen persoonlijke gegevens van gebruikers bevatten die mogelijk ook voor andere accounts worden gebruikt. Overweeg het gebruik van veilige hashingalgoritmes om te voorkomen dat hackers beveiligingsantwoorden uit uw systeem kunnen halen. 

Tips voor het instellen van beveiligingsantwoorden

Het implementeren van beveiligingsvragen is alleen effectief als gebruikers op de hoogte zijn van best practices. Hieronder staan enkele adviezen die u uw werknemers en klanten kunt geven om hun beveiligingsantwoorden sterker te maken:

• Gebruik onjuiste antwoorden: in plaats van te antwoorden met feitelijke informatie die anderen kunnen achterhalen, kan ook een onjuist antwoord worden gebruikt dat anderen niet kunnen verifiëren, bij voorkeur met een willekeurige reeks tekens. In dat opzicht geldt voor beveiligingsantwoorden hetzelfde als voor wachtwoorden: hoe moeilijker hoe beter.
• Gebruik een wachtwoordmanager: willekeurige tekenreeksen zijn veel moeilijker te onthouden dan feitelijke persoonlijke gegevens. Een wachtwoordmanager zorgt ervoor dat u de beveiligingsantwoorden niet kwijtraakt.

Wat zijn betere alternatieven voor beveiligingsvragen?

Als u liever helemaal geen beveiligingsvragen wilt gebruiken, zijn er veel andere maatregelen beschikbaar, die elk een ander zekerheidsniveau bieden: 

Voordat u een alternatief selecteert om uw werknemers en klanten te beveiligen, is het belangrijk dat u goed op de hoogte bent van de risico's en voordelen van elke methode. En dat u weet welke methoden het hoogste beveiligingsniveau bieden. Beveiligingsmethoden die gebaseerd zijn op iets wat de klant weet (bijvoorbeeld beveiligingsvragen en wachtwoorden) zijn het minst veilig. Methoden die gebaseerd zijn op iets wat de klant heeft of iets wat de klant is (een fysiek kenmerk van de klant) bieden de meeste beveiliging.

Zo is biometrische authenticatie beter bestand tegen bedreigingen dan andere methoden omdat het is gebaseerd op kenmerken die uniek zijn voor elke gebruiker, zoals stem, vingerafdruk, DNA en gezichtsherkenning. Gebruikers hoeven biometrische kenmerken niet te onthouden zoals bij beveiligingsantwoorden, waardoor er minder kans op misbruik is.

Multi-factor authenticatie (MFA) is een methode die is gebaseerd op de context van de gebruiker. U kunt een combinatie van authenticatiefactoren implementeren die is afgestemd op de behoeften van uw organisatie. Vervolgens kunt u risicosignalen van inlogpogingen van gebruikers analyseren om te bepalen welke authenticatiemethoden het meest geschikt zijn. Op deze manier heeft u de flexibiliteit om beveiligingsvragen en wachtwoorden te gebruiken als een van de vele manieren van authenticatie. U kunt ze bijvoorbeeld implementeren als aanvullende zekerheid in een context met een laag risico (of ze helemaal niet gebruiken).

Beveiligingsvragen zijn gevoelig voor misbruik omdat ze gebaseerd zijn op kennis. Als een aanvaller een beveiligingsantwoord raadt, achterhaalt of via phishing verkrijgt, is het account niet meer veilig. Zelfs de beste beveiligingsvragen zijn niet bestand tegen dit soort aanvallen. Wilt u afscheid nemen van beveiligingsvragen en meer weten over de adaptieve MFA-oplossing van Okta? U vindt allerlei nuttige informatie in onze datasheet.