OTP en QR-codes uitgelegd: zo werkt je authenticator

Een OTP (One-Time Password, oftewel eenmalige code) is een inlogcode die slechts één keer en kort geldig is. Je kent ze waarschijnlijk wel: die zes cijfers die je authenticator-app elke 30 seconden ververst, en die je naast je wachtwoord moet invoeren. Bij het instellen scan je daarvoor een QR-code. Maar wat doet die QR-code precies, wat staat erin, en waarom is dit eigenlijk veilig? In deze blog leggen we de techniek uit zonder jargon - en vooral: wat het in de praktijk voor je bedrijf betekent.

Deze blog is een verdieping op onze blog waarom multifactor authenticatie cruciaal is. Daar lees je het waarom; hier het hoe.

Wat is een OTP?

Een OTP is een wachtwoord dat maar één keer werkt. Vandaar de naam: One-Time Password. In plaats van een vast wachtwoord dat jaren hetzelfde blijft, krijg je telkens een verse code die binnen een halve minuut weer verloopt.

Er zijn twee smaken, en het verschil is belangrijk om te snappen waarom de app van jouw telefoon zonder internet werkt:

Vrijwel alle authenticator-apps - Microsoft Authenticator, Google Authenticator, Authy, Bitwarden - gebruiken TOTP: de tijdgebaseerde variant. Dat is de versie die we in deze blog uitleggen, want dat is wat je 99% van de tijd tegenkomt.

De OTP is bijna altijd je tweede factor. Je eerste factor is je wachtwoord (iets dat je weet), de OTP komt van iets dat je hebt (je telefoon). Die combinatie maakt multifactor authenticatie zo sterk: een hacker met alleen je wachtwoord komt er niet in.

Waarom een QR-code bij het instellen?

De QR-code is niets meer dan een handige verhuisdoos. Bij het instellen van OTP moeten jouw telefoon en de server het eens worden over één gedeelde geheime sleutel. Die sleutel is een lange, willekeurige reeks tekens - veel te foutgevoelig om met de hand over te typen. De QR-code lost dat op: je scant hem, en de hele sleutel staat in één keer correct in je app.

Je kunt diezelfde sleutel trouwens vrijwel altijd ook handmatig invoeren. Onder de QR-code staat dan een tekstcode (bijvoorbeeld JBSW Y3DP EHPK 3PXP). Dat is exact dezelfde sleutel, alleen uitgeschreven. De QR-code is dus puur gemak, geen magie.

Wat staat er precies in die QR-code?

Achter de QR-code zit gewoon een stukje tekst: een speciale link die begint met otpauth://. Als je de QR-code zou ontleden, zie je zoiets:

otpauth://totp/Barion:jij@barion.nl?secret=JBSWY3DPEHPK3PXP&issuer=Barion&algorithm=SHA1&digits=6&period=30

Dat ziet er technisch uit, maar elk stukje heeft een simpele betekenis:

Het enige echt geheime onderdeel is secret: de gedeelde sleutel. De rest zijn instellingen die bepalen hóe de code wordt berekend en hoe je app het account toont. Die secret is wat jouw telefoon en de server allebei opslaan en gebruiken om dezelfde codes uit te rekenen.

Hoe werkt de code van 30 seconden?

Hier komt de elegantie van TOTP. Na het scannen hebben je telefoon en de server allebei dezelfde geheime sleutel. Vanaf dat moment hebben ze elkaar niet meer nodig om codes te maken. Zo gaat het:

Omdat de berekening op de tijd is gebaseerd, hoeft er niets tussen je telefoon en de server heen en weer te reizen. Daarom werkt je authenticator-app ook in vliegtuigmodus of zonder bereik: hij rekent gewoon zelf.

Waarom is dit veilig (en waarom niet altijd)?

OTP via een authenticator-app is om drie redenen sterk. Maar eerlijk is eerlijk: het is geen wondermiddel tegen álles. Die nuance is belangrijk.

Toch is er één type aanval waar een gewone OTP wél gevoelig voor is: realtime phishing, ook wel ‘adversary-in-the-middle’ genoemd. Een nepsite vraagt je je code in te voeren en gebruikt die binnen die 30 seconden meteen zelf om in te loggen op de echte site.

Meer context over een gelaagde aanpak lees je op onze pagina over cybersecurity.

OTP versus andere inlogmethodes

Niet elke tweede factor is even sterk. Dit is hoe de gangbare methodes zich verhouden:

Zo stel je het veilig in

De koppeling zelf duurt nog geen minuut. Het verschil tussen ‘aangezet’ en ‘goed aangezet’ zit in een paar randvoorwaarden.

In zakelijke omgevingen regel je dit het liefst centraal. Dan kan een beheerder een verloren toestel ontkoppelen en een nieuw toestel koppelen, zonder dat een medewerker buitengesloten raakt. Dat is precies het soort zaken dat we meenemen in onze cybersecurity-aanpak en bij een cyberscan.

Conclusie

Een OTP is een eenvoudig idee met een grote impact: een code die maar 30 seconden leeft, berekend uit een geheime sleutel die je telefoon en de server delen. De QR-code die je bij het instellen scant, is alleen het vehikel om die sleutel veilig over te zetten - daarna doet je app het rekenwerk zelf, zonder internet.

Hulp nodig?

Bij Barion helpen we MKB-bedrijven met het veilig en werkbaar inrichten van two-factor login - van het kiezen van de juiste methode tot centraal beheer en herstelprocedures. Geen technisch verhaal, gewoon goed geregeld.

Veelgestelde vragen

Heb ik internet nodig om een OTP-code te krijgen?

Nee. Een authenticator-app berekent de code zelf op basis van de geheime sleutel en de huidige tijd. Daarom werkt het ook in vliegtuigmodus of zonder bereik. Internet heb je alleen nodig voor de website waar je vervolgens op inlogt.

Wat gebeurt er als ik mijn telefoon verlies?

Dan kun je buitengesloten raken als je niets hebt voorbereid. Daarom bewaar je bij het instellen herstelcodes (los van je telefoon) of gebruik je een app met cloud-back-up. In een zakelijke omgeving kan een beheerder je oude toestel ontkoppelen en een nieuw toestel koppelen.

Kan iemand mijn code raden?

Praktisch niet. Een code van zes cijfers heeft een miljoen mogelijke combinaties en is maar 30 seconden geldig. Een aanvaller zou binnen die halve minuut de juiste moeten raken, en dan is hij alweer vervangen. Het echte risico is niet raden, maar phishing.

Wat is het verschil tussen OTP en MFA?

MFA (multifactor authenticatie) is het bredere principe: inloggen met meerdere factoren. Een OTP is één manier om die tweede factor in te vullen. Een SMS-code, push-melding of hardware-sleutel zijn andere invullingen van diezelfde tweede factor.

Is het erg als ik een screenshot van de QR-code heb gemaakt?

Dat is onverstandig, want die afbeelding bevat je geheime sleutel. Staat hij in je fotorol of cloud-back-up, verwijder hem dan. Wil je extra zeker zijn, koppel het account dan opnieuw, zodat er een nieuwe sleutel wordt gegenereerd en de oude waardeloos wordt.

Welke authenticator-app kan ik het beste gebruiken?

Microsoft Authenticator, Google Authenticator, Authy en Bitwarden zijn allemaal prima en gratis. Gebruik je vooral Microsoft 365, dan ligt Microsoft Authenticator voor de hand. Kies bij voorkeur een app met back-upfunctie, zodat je bij een nieuw toestel niet alles opnieuw hoeft te koppelen.