Authenticatie

Wat is authenticatie?

Authenticatie is het proces waarmee een systeem controleert of een gebruiker, apparaat of softwareproces werkelijk is wie of wat het beweert te zijn, voordat het toegang krijgt tot systemen, applicaties of data. Het is de eerste verdedigingslinie van elk toegangsbeheer: pas als de identiteit is bewezen, kan worden bepaald wat iemand mag doen. In OT-netwerken voorkomt sterke authenticatie dat onbevoegden een SCADA-systeem, een PLC of een engineering station bedienen of herprogrammeren.

🔄 Wat is het verschil tussen identificatie, authenticatie en autorisatie?

Toegang verloopt in drie opeenvolgende stappen, vaak aangevuld met een vierde voor verantwoording:

1. Identificatie - u claimt een identiteit, bijvoorbeeld met een gebruikersnaam, badgenummer of het serienummer van een apparaat.
2. Authenticatie - u bewijst die claim met een wachtwoord, token, certificaat of biometrisch kenmerk.
3. Autorisatie - het systeem bepaalt welke rechten bij die identiteit horen.
4. Accounting / logging - acties worden vastgelegd, zodat achteraf te herleiden is wie wat deed.

Zonder betrouwbare authenticatie is elke autorisatieregel waardeloos: wie zich als een ander kan voordoen, erft diens rechten.

🧠 Welke authenticatiefactoren bestaan er?

Authenticatiefactoren worden in drie categorieën ingedeeld:

Single-factor authenticatie gebruikt één factor, meestal gebruikersnaam en wachtwoord. Bij multi-factor authenticatie (MFA) combineert u minstens twee factoren uit verschillende categorieën; twee wachtwoorden tellen dus niet als MFA. Beveiligingsvragen (“naam van uw eerste huisdier”) gelden volgens de Amerikaanse richtlijn NIST SP 800-63B niet als geschikte authenticator, omdat de antwoorden vaak openbaar of te raden zijn.

🔧 Welke authenticatiemethoden en protocollen worden gebruikt?

• Wachtwoorden - nog steeds het meest gebruikt. NIST SP 800-63B revisie 4 (augustus 2025) vraagt minimaal 15 tekens als het wachtwoord de enige factor is en minimaal 8 tekens binnen MFA. Verplichte tekencombinaties en periodiek wijzigen worden afgeraden; controleer nieuwe wachtwoorden juist tegen lijsten met gelekte wachtwoorden.
• MFA - combineert bijvoorbeeld een wachtwoord met een code uit een app. Codes via sms en pushmeldingen zijn wel te omzeilen met phishing of “MFA-moeheid”: een stortvloed aan pushverzoeken totdat de gebruiker er één goedkeurt.
• FIDO2 en passkeys - de W3C-standaard WebAuthn en het CTAP-protocol van de FIDO Alliance gebruiken een sleutelpaar dat aan de juiste website of applicatie is gebonden. Die binding maakt FIDO2 phishing-resistent.
• Certificaten en PKI - X.509-certificaten bewijzen de identiteit van gebruikers (smartcards) en van apparaten. Een goed ingericht certificaatbeheer regelt uitgifte, verlenging en intrekking.
• Kerberos, LDAP en Active Directory - centrale directory’s waarin accounts op één plek worden beheerd. Active Directory gebruikt standaard Kerberos v5 (poort 88); het oudere NTLM is zwakker en wordt uitgefaseerd.
• RADIUS en 802.1X - RADIUS (RFC 2865, UDP-poort 1812) centraliseert authenticatie voor netwerkapparatuur en VPN. 802.1X laat een switch of access point (de authenticator) een apparaat (de supplicant) pas toelaten nadat een RADIUS-server het heeft goedgekeurd, bij voorkeur met certificaten via EAP-TLS. Dit is de basis van NAC.

🤖 Hoe authenticeren apparaten en machines elkaar?

In een fabriek communiceren vooral machines met machines. Ook die verbindingen hebben authenticatie nodig:

• OPC UA - elke client en server heeft een eigen application instance certificate (X.509). Daarnaast kan een gebruiker zich aanmelden als anoniem, met gebruikersnaam en wachtwoord, met een X.509-certificaat of met een uitgegeven token zoals een JSON Web Token. Zet de beveiligingsmodus op Sign & Encrypt en schakel anonieme toegang uit waar dat kan.
• TLS met wederzijdse certificaten - client en server bewijzen hun identiteit aan elkaar, zoals bij MQTT over TLS of Modbus/TCP Security.
• Modbus/TCP Security - de beveiligde variant uit 2018 van de Modbus Organization verpakt Modbus in TLS op TCP-poort 802, met X.509-certificaten voor beide partijen en rollen in het certificaat.
• DNP3 Secure Authentication - versie 5 (IEEE 1815-2012) laat een outstation kritieke commando’s verifiëren met een challenge-response op basis van HMAC, wat vervalste en herhaalde berichten tegenhoudt.

🏭 Waarom is authenticatie in OT lastiger dan in IT?

• Protocollen zonder authenticatie - klassiek Modbus, DNP3 zonder Secure Authentication en veel oudere ProfiNET- en veldbusimplementaties accepteren elk commando van iedereen die het netwerk kan bereiken.
• Gedeelde accounts - een HMI in de controlekamer staat vaak permanent ingelogd met een generiek “operator”-account, zodat ploegen naadloos kunnen wisselen. Daarmee is niet meer te herleiden wie een actie uitvoerde.
• Standaard- en hardcoded wachtwoorden - in november 2023 drongen aanvallers bij het waterbedrijf van Aliquippa (Pennsylvania) binnen via een Unitronics-PLC die met het standaardwachtwoord “1111” aan internet hing.
• Beschikbaarheid gaat voor - een operator moet in een noodsituatie direct kunnen ingrijpen. Een vergrendeld account of een time-out midden in een storing kan gevaarlijker zijn dan het risico dat u ermee afdekt.
• Legacy systemen - oudere controllers en Windows-versies ondersteunen geen moderne methoden zoals Kerberos-only, FIDO2 of certificaten.

Daarom compenseert u in OT vaak met netwerkmaatregelen: defense in depth, segmentatie en een jump server met MFA vóór de zone waarin onbeveiligde protocollen draaien.

🔐 Wat eisen NIS2 en IEC 62443 van authenticatie?

In IEC 62443-3-3 vraagt SR 1.1 vanaf security level 3 om MFA voor toegang via onvertrouwde netwerken en op security level 4 voor alle netwerken. Voor organisaties onder NIS2 is MFA op remote access en beheeraccounts in de praktijk het minimum.

🧭 Hoe richt u authenticatie in een OT-omgeving stap voor stap in?

1. Inventariseer alle toegangspunten - HMI’s, engineering stations, webinterfaces van PLC’s, remote-accessverbindingen en serviceaccounts van leveranciers.
2. Vervang standaardwachtwoorden - direct bij ingebruikname, ook op switches, firewalls en veldapparaten.
3. Maak accounts persoonlijk - gebruik waar mogelijk individuele accounts uit een centrale directory, bijvoorbeeld een apart OT-domein zonder vertrouwensrelatie met het kantoordomein.
4. Dwing MFA af op de randen - op VPN, jump server en beheerinterfaces; kies bij voorkeur FIDO2 of smartcards.
5. Beheer bevoorrechte accounts apart - met PAM, tijdelijke rechten en sessie-opname voor leveranciers.
6. Authenticeer apparaten - met 802.1X, OPC UA-certificaten en wederzijdse TLS waar de apparatuur dat ondersteunt.
7. Log en bewaak - leg mislukte en geslaagde aanmeldingen vast in centrale logging en alarmeer bij afwijkingen.

Een pragmatisch compromis voor de controlekamer is een gedeelde “view”-sessie die altijd zichtbaar blijft, terwijl schrijfacties een persoonlijke aanmelding, bijvoorbeeld met badge en pincode, vereisen.

❓ Veelgestelde vragen

Wat is het verschil tussen authenticatie en autorisatie?

Authenticatie stelt vast wie of wat toegang vraagt, autorisatie bepaalt wat die geverifieerde identiteit mag doen. Authenticatie gebeurt altijd eerst. In IEC 62443-3-3 valt authenticatie onder FR 1 en autorisatie onder FR 2.

Is MFA verplicht onder NIS2?

NIS2 noemt in artikel 21 lid 2 sub j multi-factor authenticatie of continue authenticatie uitdrukkelijk als maatregel “waar passend”. In Nederland is die verplichting via de Cyberbeveiligingswet sinds 15 augustus 2026 van kracht. Voor remote access en beheeraccounts is MFA daarmee in de praktijk vereist.

Waarom is MFA via sms minder veilig?

MFA via sms of een eenmalige code kan worden onderschept met nepwebsites die de code direct doorsturen, of via simkaartfraude. Phishing-resistente authenticatie zoals FIDO2 of smartcards met certificaten bindt het bewijs cryptografisch aan de echte dienst. Een aanmelding op een valse website levert een aanvaller daardoor niets bruikbaars op.

Hoe lang moet een wachtwoord zijn?

NIST SP 800-63B revisie 4 schrijft minimaal 15 tekens voor als een wachtwoord de enige authenticatiefactor is, en minimaal 8 tekens als het onderdeel is van MFA. Lange wachtzinnen zijn sterker en makkelijker te onthouden dan korte complexe wachtwoorden. Periodiek verplicht wijzigen is alleen nodig na een vermoedelijk lek.

Hebben Modbus en DNP3 authenticatie?

Klassiek Modbus heeft geen enkele vorm van authenticatie: elk apparaat dat het netwerk bereikt kan registers lezen en schrijven. Modbus/TCP Security uit 2018 voegt TLS met certificaten toe, en DNP3 kent Secure Authentication versie 5. Beide worden nog beperkt toegepast, dus netwerksegmentatie blijft nodig.

Mogen operators een gedeeld account gebruiken?

Gedeelde accounts maken het onmogelijk om acties aan een persoon toe te wijzen en botsen met IEC 62443-3-3 SR 1.1, die unieke identificatie van gebruikers vraagt. In controlekamers wordt dit vaak opgelost met een gedeelde alleen-lezen sessie en persoonlijke aanmelding voor bedieningsacties. Waar een gedeeld account onvermijdelijk is, compenseert u met fysieke toegangscontrole en logging.

📌 Samengevat

Authenticatie bewijst dat een gebruiker, apparaat of proces is wie het beweert te zijn, en vormt daarmee het fundament onder elke toegangsbeslissing. In OT-omgevingen combineert u persoonlijke accounts, phishing-resistente MFA op de randen, certificaten voor apparaten en segmentatie rond protocollen zonder authenticatie, ingebed in toegangsbeheer, least privilege, access control en Zero Trust. Zo voldoet u aan IEC 62443, NIS2 en de Cyberbeveiligingswet zonder de procesbeschikbaarheid in gevaar te brengen.