Het aanvalsvlak van een webmail beperkt zich niet tot het inlogformulier. Bij Akeonet wegen de persistentie van sessies, de keuze van de tweede authenticatiefactor en de configuratie van de client even zwaar als de robuustheid van het wachtwoord. We detailleren hier de technische punten die vaak niet worden behandeld in de klassieke gebruiksaanwijzingen.
Sessiediefstal en persistent token: de kwetsbaarheid na de Akeonet-login
Een sterke authenticatie beschermt niet tegen een al uitgegeven sessietoken. Een infostealer die op de client is geïnstalleerd, kan de sessiecookie van de browser exfiltreren, waardoor een aanvaller de mailbox kan overnemen zonder ooit het wachtwoord in te voeren. Dit scenario is gedocumenteerd door verschillende CERT’s en betreft alle webmaildiensten, Akeonet inbegrepen.
Concreet is de oplossing gebaseerd op drie levers aan de gebruikerszijde. Ten eerste, sluit altijd de sessie af op elk gedeeld apparaat in plaats van alleen het tabblad te sluiten. Vervolgens, houd de browser en het besturingssysteem up-to-date om de injectievectoren te beperken. Tot slot, vermijd het installeren van niet-geverifieerde browserextensies, de belangrijkste kanaal voor de introductie van informatie-diefsoftware.
We raden ook aan om regelmatig de actieve sessies in de Akeonet-interface te controleren. Als de service een inloggeschiedenis (IP-adres, tijdstempel) toont, geeft toegang vanaf een onbekende locatie aan dat er een gecompromitteerd token is. De juiste reactie is dan om alle sessies te intrekken en onmiddellijk het wachtwoord te wijzigen.
Een uitgebreide gids over de veilige webmailauthenticatie van Akeonet beschrijft de procedure voor het controleren van sessies en de instellingen voor automatische uitlog die geactiveerd moeten worden.
Kies de tweede factor: TOTP, FIDO2 of SMS op Akeonet
Niet alle tweede authenticatiefactoren zijn gelijkwaardig. De ANSSI raadt aan om niet alleen op SMS te vertrouwen voor gevoelige accounts, vanwege het risico van SIM-swapping (nummerdiefstal door sociale engineering bij de provider). SMS blijft een overgangsfactor, acceptabel bij gebrek aan alternatief, maar niet geschikt voor een professionele mailbox.
Als Akeonet een TOTP-app (tijdelijke code lokaal gegenereerd) aanbiedt, moet deze de voorkeur krijgen. De code wordt op het apparaat berekend zonder via het telefoonnetwerk te gaan, wat de onderschepping via SIM-swap neutraliseert. Een fysieke FIDO2-sleutel of een passkey biedt een hoger niveau, omdat het cryptografische geheim nooit het hardware-apparaat verlaat.
Criteria voor het evalueren van de MFA die door uw provider wordt aangeboden
- Ondersteunt de service TOTP-apps (FreeOTP, Aegis, Google Authenticator) of alleen SMS?
- Is er een optie voor een FIDO2/WebAuthn-sleutel voor gebruikers die gevoelige gegevens beheren?
- Worden er offline herstelcodes gegenereerd bij het activeren van de MFA, en kunnen deze onafhankelijk van de telefoon worden opgeslagen?
- Wordt de MFA opgelegd door de domeinbeheerder of blijft deze optioneel voor elke mailbox?
Een optionele MFA komt vaak neer op een afwezigheid van MFA. We zien dat domeinen waar de beheerder de activatie afdwingt, de incidenten van accountcompromittering aanzienlijk verminderen.
Veilige SMTP-configuratie en impact op de authenticatieketen
Het gebruik van een externe e-mailclient (Thunderbird, Outlook, mobiele applicatie) vereist een correcte configuratie van de SMTP-server van Akeonet. Geef de voorkeur aan een versleutelde verbinding via STARTTLS op de door de provider aanbevolen poort blijft de basisregel. Een niet-versleutelde poort brengt het risico van onderschepping van inloggegevens en inhoud van berichten in platte tekst met zich mee.
Het vaak verwaarloosde punt betreft de interactie tussen de externe client en de MFA. Bij de meeste webmails beschermt de tweede factor alleen de toegang via de browser. De SMTP-verzending is gebaseerd op de combinatie van gebruikersnaam/wachtwoord, zonder TOTP-code. Dit betekent dat een gecompromitteerd wachtwoord voldoende is om e-mails te verzenden vanuit een derde partij client, zelfs als de MFA de toegang tot de webmail blokkeert.
Dit risico op een Akeonet-account verminderen
- Gebruik een wachtwoord dat specifiek is voor de SMTP-client (applicatiewachtwoord) dat verschilt van het hoofdwachtwoord, indien Akeonet dit toestaat
- Beperk de SMTP-toegang tot bekende IP-adressen via de regels van de klantomgeving of de domeinbeheerder
- Controleer de verzendlogs om een abnormaal volume of ontvangers te detecteren, een teken van een account dat voor spam wordt gebruikt
Minimalisatie van gegevens en hygiëne van de client
De bescherming van persoonlijke gegevens die via de Akeonet-maildienst worden verzonden, hangt niet alleen van de server af. De client vormt de meest kwetsbare schakel. Een browser die automatisch wachtwoorden opslaat in een niet-vergrendelde ingebouwde wachtwoordbeheerder biedt directe toegang tot de mailbox in geval van diefstal of ongeautoriseerde fysieke toegang.
We raden aan om de Akeonet-inloggegevens op te slaan in een speciale wachtwoordbeheerder, beschermd door een apart hoofdwachtwoord. De browser mag het wachtwoord van de webmail niet onthouden. Deze scheiding voorkomt automatische extractie door een infostealer die zich richt op de wachtwoorddatabases die in browsers zijn ingebouwd.
Een andere technische reflex is om de gegevens die in de mailbox zelf worden bewaard te beperken. Bijlagen met persoonlijke gegevens (salarisstroken, identiteitsdocumenten) verdienen het om te worden gedownload, opgeslagen in een lokaal versleutelde ruimte en vervolgens van de server te worden verwijderd. Deze minimalisatie-aanpak vermindert de impact van een compromittering van het account.
De beveiliging van een Akeonet-webmail hangt af van de combinatie van deze lagen: geschikte tweede factor, gecontroleerde sessies, afgeschermde SMTP en verhardde client. Het negeren van een van deze lagen is voldoende om de andere nutteloos te maken.
