De gebruikelijke manier om iemand een postvak te geven, is het postvak aanmaken, een wachtwoord kiezen en beide gegevens versturen. Iedereen weet dat dit verkeerd is en bijna iedereen doet het toch, omdat het alternatief van oudsher meer werk kostte. Uitnodigingen voor de configuratie nemen dat excuus weg: de beheerder kiest nooit een wachtwoord en niemand hoeft een wachtwoord via e-mail of chat te delen.
In dit artikel lees je hoe uitnodigingen werken, waarom de keuze om nooit wachtwoorden te delen belangrijker is dan ze lijkt en wat dit betekent voor tweefactorauthenticatie en uitdiensttreding.
Waarom je nooit wachtwoorden moet delen, ook als er niets misgaat
De eerste reden om nooit wachtwoorden te delen is het duidelijke risico van onderschepping. Een wachtwoord in een e-mail of chatbericht blijft voor onbepaalde tijd in ten minste twee postvakken staan, is via zoeken te vinden en blijft in elke back-up aanwezig. Iedereen die later toegang krijgt tot een van beide accounts zal het aantreffen. De richtlijnen van NIST raden al jaren af om geheimen op deze manier te versturen.
Het minder zichtbare probleem is dat het wachtwoord nooit wordt gewijzigd. In theorie kiest de gebruiker bij de eerste aanmelding een eigen wachtwoord. In de praktijk blijft die het toegestuurde wachtwoord gebruiken, omdat het werkt en niets een wijziging afdwingt. Maanden later kent de beheerder nog steeds geldige inloggegevens voor het postvak van iemand anders. Daarmee wordt elke bewering dat handelingen in dat postvak van de gebruiker afkomstig zijn stilzwijgend ondermijnd.
Dat laatste punt is doorslaggevend zodra een handeling wordt betwist. Als twee mensen een wachtwoord kennen, kan niets wat via dat account gebeurt met zekerheid aan een van beiden worden toegeschreven. Een inrichting waarin niemand wachtwoorden hoeft te delen, is niet alleen veiliger. Het is een voorwaarde voor een betekenisvol controlespoor.
Hoe uitnodigingen het delen van wachtwoorden voorkomen
De beheerder maakt het postvak aan zonder een wachtwoord in te stellen. Het systeem mailt een link naar de beoogde gebruiker, die de link opent en een eigen wachtwoord kiest. De inloggegevens gaan op geen enkel moment door de handen van iemand anders.
Daardoor bestaan de inloggegevens nooit in een vorm die een ander heeft gezien. Er staat niets in een map met verzonden items, niets in een chatgeschiedenis en de beheerder hoeft niets te vergeten wat die eigenlijk nog weet.
Uitnodigingen kunnen afzonderlijk of in bulk worden verstuurd. Dat is het verschil tussen een goed idee en een bruikbare werkwijze. Veertig postvakken voor een nieuwe klant inrichten betekent veertig uitnodigingen in één handeling, in plaats van veertig wachtwoorden genereren, registreren en versturen. De bulkmethode bespreken we in postvakken in bulk aanmaken.
Tweefactorauthenticatie maakt de beveiliging compleet
Nooit wachtwoorden delen sluit één zwakke plek, maar laat een andere bestaan: een wachtwoord dat alleen de gebruiker kent, kan nog steeds zwak of hergebruikt zijn.
Tweefactorauthenticatie sluit die tweede zwakke plek. De gebruiker activeert deze functie in de webmailinstellingen en niet tijdens de uitnodiging. Het is dus een afzonderlijk verzoek en een nieuwe gewoonte. Of mensen de functie gebruiken, hangt daarom af van jouw aansporing en wordt niet door de procedure afgedwongen.
Vraag om activering wanneer je de uitnodiging verstuurt en vraag het een week later opnieuw. Op de beveiligingspagina voor postvakken in het dashboard zie je welke postvakken tweefactorauthenticatie gebruiken en wanneer dat is bevestigd. Ontbrekende activeringen opsporen wordt zo een kwestie van een lijst afwerken in plaats van gissen.
Dring er tegelijk op aan dat herstelcodes worden bewaard. Een accounteigenaar kan de tweede factor van een postvak niet via het dashboard wissen. Een gebruiker die zowel het apparaat als de codes kwijtraakt, moet daarom een supportticket openen. De hele procedure staat in een 2FA-blokkering oplossen.
Hoe het werk van de beheerder verandert
De keuze om nooit wachtwoorden te delen, maakt het werk van de beheerder vooral kleiner, met één aanpassing.
Je beheert geen inloggegevens meer en daarmee verdwijnt een hele categorie verzoeken. "Kun je me aan mijn wachtwoord herinneren?" wordt een herstelprocedure die de gebruiker zelf uitvoert. Bovendien hoef je niet langer de persoon te zijn die iedereen moet vertrouwen. Dat is een echte opluchting wanneer je postvakken voor klanten beheert in plaats van voor collega's.
De aanpassing is dat je niet meer in het postvak van iemand anders kunt inloggen om iets te controleren. De eerste keer voelt dat ongemakkelijk, maar het is altijd correct. Als het bedrijf toegang tot correspondentie nodig heeft, is een gedeeld postvak met leden de oplossing, niet een beheerder die het wachtwoord van een gebruiker kent. Dit zijn verschillende regelingen met verschillende verantwoordelijkheden. Ze door elkaar halen is precies wat de regel tegen gedeelde wachtwoorden moet voorkomen.
Situaties die nog steeds aandacht vragen
Twee situaties vragen om enig nadenken en mogen niet simpelweg worden ingesteld en vergeten. Controleer ze op vaste momenten in plaats van op je geheugen te vertrouwen.
Gebruikers die de uitnodiging nooit voltooien. Een niet geclaimd postvak wordt door niemand gelezen, terwijl er mogelijk wel e-mail binnenkomt. Het is terecht dat uitnodigingen verlopen, maar iemand moet controleren of de beoogde persoon de configuratie echt heeft afgerond en daar niet zomaar van uitgaan.
Adressen die bij een zaak horen en niet bij een persoon. Een postvak voor een pand of opdrachtnummer heeft geen gebruiker die je kunt uitnodigen. Maak er vanaf het begin een gedeeld postvak met leden van, zodat toegang uit een lijst bestaat en niet uit gedeelde inloggegevens. Anders kom je via een omweg toch weer bij een gedeeld wachtwoord uit.
Uitnodigingen verlopen om onbedoeld delen van wachtwoorden te voorkomen
Een configuratielink die onbeperkt geldig blijft, is gewoon een wachtwoord met extra stappen. Uitnodigingen hebben daarom een geldigheidsduur en werken daarna niet meer.
Als je postvakken lang voordat iemand echt begint inricht, levert dat verlopen links en een reeks verwarde e-mails op de eerste ochtend op. Stuur uitnodigingen wanneer mensen klaar zijn om ze te gebruiken. Verstuur een nieuwe uitnodiging zodra de oude is verlopen, in plaats van die nog te proberen te herstellen. Opnieuw versturen kost maar een paar seconden.
Deel ook nergens anders wachtwoorden
Zodra inloggegevens van postvakken niet meer worden rondgestuurd, komt dezelfde vraag bij andere systemen naar voren. Het is verstandig die lijn door te trekken.
Gedeelde aanmeldingen voor opslag, één app-wachtwoord voor meerdere apparaten en één API-token dat drie scripts gebruiken, hebben dezelfde zwakte: als je de toegang van één partij intrekt, verstoor je alle andere. Afzonderlijke opslaggegevens per apparaat lossen het vergelijkbare probleem op, zoals beschreven in bestanden tussen apparaten synchroniseren.
De regel geldt overal: inloggegevens die bij meer dan één partij bekend zijn, kunnen niet voor slechts één partij worden ingetrokken en maken het onmogelijk een handeling aan een van hen toe te schrijven. Een inrichting waarin je nooit wachtwoorden deelt, draait niet in de eerste plaats om geheimhouding. Ze zorgt ervoor dat je de toegang van één persoon kunt herzien zonder alle anderen te hinderen.
