5.17.02

[Frans-Hut]

Met de verplichting tot MFA wordt de impact van een uitgelekt wachtwoord steeds kleiner.

Mijn eigen praktijk is dat we duizenden mogelijk gecompromitteerde wachtwoorden langs hebben gekregen (allemaal partijen die voor ons op Dark Web willen kijken), en dat de False Positives meer dan 99% zijn.

Samen brengt de voorgestelde maatregel dan weinig op, behalve de overlast van de False Positives.
Mijn voorstel is om de voorgestelde maatregel niet in de nieuwe BIO op te nemen

[bwbroersma]

Het schrappen van deze maatregel en 'accepteren' van zwakke / gelekte wachtwoorden die voor meerdere diensten worden gebruikt zou er voor zorgen dat MFA wordt verzwakt met één. Oftewel twee factor authenticatie waar een zwak (mogelijk bekend) wachtwoord wordt gebruikt zorgt ervoor dat er feitelijk maar één factor authenticatie overblijft.

Gerelateerd is het onderzoek naar de beschikbaarheid van deze waarschuwingsfunctie in (veelgebruikte) free open source programmatuur:

• Werkgroep BIO actiepunt 300624-2 - mogelijke herformulering o-maatregel 5.17.02 #167