Dropbox omarmt U2F-beveiliging

Veel IT-beveiligingsfunctionarissen staan om die reden kritisch tegenover Dropbox-gebruik voor zakelijke doeleinden, te meer daar ze zelf weinig kunnen doen om de beveiliging in lijn te brengen met het eigen bedrijfsbeleid.

USB-stick

Bij 2-factor-authenticatie wordt bij het inloggen naast de gebruikelijke gebruikersnaam en wachtwoord ook nog een geheime code gevraagd die de gebruiker bij het inloggen wordt toegezonden, meestal per sms of instant message. Bezwaar van die aanpak is dat het niet ondenkbaar is dat hacker vooraf de telefoon van zijn slachtoffer fysiek bemachtigde of door spoofing kaapte. Bij de door Dropbox als extra optie te introduceren Universal 2nd Factor procedure bestaat de tweede factor uit een stukje code op een usb-stick, die de gebruiker dan wel steeds bij zich zal moeten hebben. Eerder al voegde Google U2F als extra beveiligings-mogelijkheid toe.

'Chrome only'

Zowel Dropbox als Google conformeren zich aan de Universal 2nd Factor (U2F) standard van FIDO, wat het in principe mogelijk maakt om beide online diensten met een en dezelfde USB-stick te beveiligen. Doordat de gebruiker voor beide diensten nog steeds een uniek wachtwoord gebruikt is het niet zo dat de al dan niet toevallige vinder van de USB-stick daarmee ook toegang heeft tot alle daarmee beveiligde online diensten.

Zowel Dropbox als Google beperken de mogelijkheid van U2F vooralsnog tot gebruikers die zich bedienen van Googles webbrowser Chrome.