Sterke authenticatie

Sterke authenticatie (MFA/2FA) combineert twee onafhankelijke factoren, zoals wachtwoord en telefoon, om logins en handtekeningen te beveiligen.

Sterke (multi-factor) authenticatie vereist minimaal twee onafhankelijke factoren uit verschillende categorieen: kennis (pincode, wachtwoord), bezit (telefoon, token, sleutel) en eigenschap (biometrie). Compromittatie van de ene factor mag de andere niet raken. Twee factoren uit dezelfde categorie - bijvoorbeeld twee wachtwoorden, of een pincode plus een beveiligingsvraag - gelden niet als sterke of multifactorauthenticatie.

In de vertrouwensdienstenwereld beschermt sterke authenticatie de toegang tot accounts en - cruciaal - autoriseert ze ondertekenen op afstand. Wat eIDAS daar zelf eist is uitsluitende controle, niet letterlijk twee factoren: de tweefactoreis komt uit de normen voor server signing, waar SCAL2 vereist dat elke gekwalificeerde handtekening (of een geautoriseerde reeks binnen een authenticatiesessie) wordt geactiveerd met iets dat alleen de ondertekenaar heeft.

Twee naburige regimes leggen hun eigen lat. Voor eID eisen de betrouwbaarheidsniveaus, uitgewerkt in Uitvoeringsverordening (EU) 2015/1502, twee factoren uit verschillende categorieen op zowel substantieel als hoog, en de EUDI Wallet mikt op hoog. In het betaalverkeer eist PSD2 sterke clientauthenticatie; dat regime wordt vervangen door de voorstellen PSD3 en PSR, die zijn overeengekomen maar nog niet in werking - behandel wat daar als factor geldt dus als bewegend.