Herstelcodes voor tweestapsverificatie veilig bewaren

Noteer eerst de dienst, de zakelijke accounteigenaar en de persoon die het herstel mag uitvoeren. Bij een persoonlijk account van een medewerker horen herstelcodes niet automatisch in een bedrijfsmap voor iedereen. Maak waar mogelijk zakelijke beheerdersaccounts met individuele gebruikers, zodat je niet het persoonlijke account van een leverancier hoeft over te nemen.

Controleer vervolgens via de zelf geopende officiële accountinstellingen of herstelcodes beschikbaar zijn. Google beschrijft hoe zijn herstelcodes werken: een gebruikte code vervalt en een nieuwe set maakt de oude set ongeldig. Dat zijn eigenschappen van die dienst, geen regels voor alle software. Google meldt ook dat je geen back-upcodes kunt downloaden in het Advanced Protection Program, dus controleer per account welke herstelopties echt beschikbaar zijn. Schrijf daarom bij het account ook welke herstelroute de leverancier daadwerkelijk ondersteunt. Een toegangssleutel, tweede apparaat of reservebeheerder kan een andere functie hebben dan een eenmalige herstelcode. Meng die begrippen niet in één onduidelijk document.

Werk de concrete uitvalsituatie uit voordat je een opslagplaats kiest. Kun je de reserve nog bereiken als je telefoon kwijt is, je laptop gestolen wordt of je gewone mailbox tijdelijk onbruikbaar is? Een wachtwoordmanager die alleen met hetzelfde afgesloten account opent, biedt in dat scenario mogelijk geen onafhankelijk herstelpad. Een papieren kopie kan bruikbaar zijn, maar hoort dan in een afgeschermde plaats met duidelijke toegang, niet naast het toetsenbord.

Beoordeel bovendien wie dezelfde fysieke of digitale opslag kan openen. De bedoeling is niet dat iedere collega uit gemak bij alle herstelcodes kan. Leg vast wie de reserve beheert en hoe iemand bij afwezigheid toestemming krijgt voor noodherstel. Bewaar bij die afspraak geen extra wachtwoorden in leesbare notities. Als je een versleutelde opslag kiest, controleer dan afzonderlijk hoe de bevoegde persoon toegang tot die opslag houdt. Het herstelpad mag niet ongemerkt een kringetje worden.

Geef de reserve een duidelijke verwijzing naar dienst en account, plus de datum waarop je de set hebt aangemaakt. Vermeld in het beheerregister waar de reserve staat, maar kopieer de codes zelf niet naar dat register. Een registratie kan bijvoorbeeld aangeven dat de reserve in de bedrijfsdocumentenkluis ligt en wie de beheerder is. Zo kan een collega de procedure vinden zonder dat hij daardoor meteen de geheime codes leest.

Verstuur geen screenshot van de complete set in een teamchat om te bewijzen dat je ze hebt aangemaakt. Een gesynchroniseerde fotobibliotheek of automatisch opgeslagen chatbijlage kan extra kopieën opleveren die je later niet meer overziet. Controleer ook tijdelijke downloads en afdrukopdrachten. De broncode, het ticket van de webbouwer en een algemene handleiding zijn evenmin geschikte opslagplaatsen. MDN noemt in zijn algemene beveiligingspagina het veilig omgaan met geheimen en toegangsbeheer tot broncode onder goede operationele beveiligingspraktijken. MDN zegt niets specifieks over herstelcodes.

Een bruikbare proef begint met het terugvinden van de procedure en de juiste reserve. Je hoeft niet alle beheerders uit te loggen of een telefoon te wissen om vast te stellen of een bevoegde collega begrijpt wat hij moet doen. Controleer eerst of de officiële herstelpagina bereikbaar is en welke informatie die vraagt. Gebruik een eigen testaccount als je het volledige proces nog niet kent.

Wil je bij een belangrijk account werkelijk een herstelcode testen, plan die proef met de eigenaar terwijl een werkende toegang beschikbaar blijft. Controleer vooraf wat gebruik van de code verandert. Bij Google wordt de gebruikte code ongeldig. Markeer na de proef alleen de gebruikte code als gebruikt in je veilige opslag, en maak een nieuwe set aan als je niet zeker weet welke codes nog geldig zijn. Noteer alleen dat de herstelroute gecontroleerd is, door wie en op welke datum. De geteste geheime waarde hoort niet in het bewijsdocument. Stop als de dienst onverwacht een andere herstelvraag stelt.

Gebruik deze controlelijst voor je proef:

1. Bevestig wie het zakelijke account bezit en wie het herstel mag uitvoeren.
2. Controleer of de bevoegde persoon de reserve ook zonder de gewone telefoon of mailbox kan bereiken.
3. Plan een eventuele echte herstelproef met de eigenaar en behoud ondertussen een werkende toegang.
4. Werk de veilige opslag en het beheerregister na de proef bij, zonder geheime codes in dat register te kopiëren.

Is een set zoekgeraakt of mogelijk gedeeld, behandel dat niet alleen als een ontbrekend document. Controleer via een nog werkende, vertrouwde toegang welke vervangingsoptie de dienst aanbiedt. Voor Google geldt dat een nieuw aangemaakte set de vorige set ongeldig maakt. Werk daarna de opslagplaats bij en voorkom dat iemand later per ongeluk de oude papieren kopie gebruikt.

Een vertrek van een medewerker is eveneens een geschikt moment om de bevoegdheden en het herstelpad opnieuw te bekijken. Trek niet blind alle reserveopties in voordat vaststaat dat de onderneming nog een werkende eigenaar heeft. Controleer ook de gekoppelde telefoon en het hersteladres. Een herstelcode is geen vervanging voor het onderzoeken van een vermoedelijke accountinbraak. Bij onbekende activiteit moet je ook de accountbeveiliging en actieve toegang laten beoordelen. Bewaar daarover alleen noodzakelijke feiten in een beperkt toegankelijk incidentdossier.

Neem in je normale accountcontrole op of de eigenaar nog klopt, de reserve bereikbaar is en de opslag niet met een vertrokken leverancier verbonden blijft. Kies een controlefrequentie die bij het belang van het account en veranderingen in je team past; een universeel aantal dagen is niet nodig om de verantwoordelijkheid duidelijk te maken. Geef één persoon de taak om afwijkingen op te volgen.

De controle is geslaagd wanneer de bevoegde persoon de procedure kan vinden, het juiste herstelmiddel beschikbaar is en je geen ongecontroleerde kopieën hebt verspreid. Dat bewijst geen volledige beveiliging van je bedrijf. Wil je daarnaast de publiek zichtbare signalen van je website bekijken, dan kun je starten via Marketing Scan. Die openbare scan kan niet vaststellen of jouw herstelcodes intern goed worden bewaard.