Het gebruik van SMS voor twee-factor authenticatie is altijd nog beter dan geen tweede factor, maar er zijn andere, modernere en veiligere twee-factor authenticatiemiddelen beschikbaar voor SURFsecureID, zoals tiqr, Yubikey en binnenkort FIDO2. We laten het nog over aan de keuzevrijheid van de instelling of zij SMS wel/niet willen gebruiken als twee-factor authenticatiemiddel maar we merken wel dat veel instellingen SMS als 2e factor al niet meer toe staan.
SURF ontmoedigd ontmoedigt het gebruik van SMS als tweede factor. Hieronder wat uitleg over waarom we dit doen.
...
Het veiligheidsrisico bij het gebruik van SMS bestaat uit de mogelijkheid het SMS bericht te kunnen onderscheppen. Dit risico ligt deels in het netwerk van de telecomaanbieder en daarmee buiten de directe invloedssfeer van de instelling, maar voor een belangrijk gedeelte ligt dit risico daar waar de instelling en/of de gebruiker er wel invloed op hebben namelijk: het automatisch doorsturen van SMS berichten via VOIP, email of apps geïnstalleerd op de mobiele telefoon zelf. Dit doorsturen leidt tot extra risico omdat deze protocollen vaak niet versleuteld zijn of toegankelijk zijn met de eerste factor (gebruikersnaam/wachtwoord) van de gebruiker. Daarnaast is het mogelijk om op een mobiele telefoon apps te installeren die de SMS berichten leest. Een aanvaller kan via die weg de SMS berichten doorsturen en Niet alleen doorsturen vormt een risico, dezelfde apps kunnen de SMS berichten ook lezen, zo de authenticatie codes uitlezen en mogelijk doorsturen naar derden zonder dat de gebruiker dit weet of merkt.
Kosten
Het versturen van SMS-jes is niet gratis en afhankelijk van het gebruik kan dit aardig oplopen. Als een instelling besluit SMS toe te staan binnen SURFsecureID krijgt de instelling 500 SMS-jes per maand gratis. Daarna kosten de SMS-jes € 0,055 per SMS. Voor een overzicht van deze en andere tarieven en voorwaarden van SURFsecureID, zie Voorwaarden en tarieven.
...