“Sesam, open u!” riep Ali Baba en een deur in het gesteente ging open.
Wie kent deze woorden niet? Zo makkelijk kon Ali Baba bij de schat van de rovers komen in het beroemde sprookje. Maar hoe beschermen we eigenlijk onze digitale ‘schatten’ in de realiteit van de 21e eeuw? Nog steeds veelal met woorden… , met wachtwoorden om precies te zijn. En naarmate onze digitale ‘schatten’ groeien wordt het minder en minder verstandig om deze ouderwetse bescherming te gebruiken.

Eind 2010 is daarom door UCI, CIM en GDI een project gestart om hierin verandering te brengen. Niet geheel toevallig heet dit project ‘Sesam’. Het doel van dit project is om de risico’s te beperken die aan kwetsbaarheid van wachtwoorden verbonden zijn. Dit wordt bereikt door invoering van ‘sterke authenticatie’.

Wat is dat ‘sterke authenticatie’?
Als Ali Baba’s schat ook nog met een sleutel was beschermd naast de beroemde spreuk, zou het veel moeilijker zijn geweest om de deur open te krijgen.
Sterke authenticatie, verificatie van iemands identiteit, bestaat uit meerdere controles: iets wat iemand weet en iets van iemand heeft of iets wat iemand is. Behalve een wachtwoord moet men een sleutel hebben, een digitale sleutel dan, bijvoorbeeld dan die op een medewerkerspas is opgeslagen, of men moet met een vingerafdruk zijn identiteit bewijzen.

In de RU wordt sterke authenticatie selectief toegepast. In eerste instantie worden de meest belangrijke plekken beschermd: denk aan IdM (identiteit management systeem), systemen die met vertrouwelijke en persoonlijke gegevens omgaan. Afhankelijk van het soort systeem en van de groep gebruikers zullen er verschillende authenticatiemechanismen gebruikt worden. Op dit moment loopt er bijvoorbeeld een pilot voor authenticatie via de medewerkerspas. Een beperkt aantal gebruikers kan inmiddels op hun werkstations en op sommige webapplicaties met hun medewerkerspas inloggen. Een andere vorm kan authenticatie via SMS worden.
De sterke authenticatie geldt met name voor medewerkers die werken met beveiligingskritische systemen of applicaties.

Wat verandert er in de werkwijze van betrokken gebruikers?
Eigenlijk niet veel. In plaats van een gebruikersnaam en wachtwoord in te tikken, zullen gebruikers in de toekomst hun medewerkerspas in een kaartlezer moeten stoppen en de PINcode moeten intoetsen die bij de pas hoort. Of in andere gevallen zullen ze een code moeten intoetsen die ze op hun mobieltje per SMS ontvangen. Of…  , wat het ook wordt, het zal altijd veilig en gebruiksvriendelijk zijn. En dan krijgt Ali Baba het wel erg moeilijk!