Natuurlijk! Hier is een veilige en gebruiksvriendelijke automatische account lockout- en herstelstrategie voor jouw webapplicatie met 1000 gebruikers, gericht op hoge bescherming tegen brute force-aanvallen en gebruiksvriendelijkheid bij herstel: 1. Lockout-drempel instellen: - Aantal mislukte inlogpogingen: 5-7 pogingen binnen een korte periode (bijvoorbeeld 15 minuten). - Rationale: Dit voorkomt brute force-aanvallen terwijl legitieme gebruikers niet snel worden buitengesloten. 2. Lockout-duur: - Tijd: 15 tot 30 minuten per lockout. - Alternatief: Een tijdelijke lockout met een countdown die de gebruiker informeert, of een automatische unlock na de ingestelde tijd. - Overweging: Kortere lockouts verbeteren de gebruikerservaring, maar minder effectief tegen brute force. Kies een balans. 3. Meldingen aan gebruikers: - Bij mislukte pogingen: informeer de gebruiker dat er meerdere mislukte pogingen zijn geweest en dat het account tijdelijk is vergrendeld. - Bij lockout: stuur een e-mail of notificatie dat het account is vergrendeld en geef instructies voor herstel. - Transparantie: vermijd onnodige technische details om veiligheidsredenen. 4. Herstelmethoden: - Beveiligde e-mail verificatie: stuur een herstel-link naar het geregistreerde e-mailadres. - Tweefactorauthenticatie (2FA): indien mogelijk, voeg 2FA toe voor herstelprocessen. - Geen privé-informatie gebruiken: vragen naar extra verificatiegegevens die de gebruiker al weet. - Alternatief: na meerdere mislukte herstelpogingen, kan een extra verificatieproces worden gestart. 5. Extra beveiligingsmaatregelen: - Monitor en log alle mislukte pogingen en lockouts voor detectie van verdachte activiteiten. - Implementeer CAPTCHA na een bepaald aantal mislukte pogingen om automatische brute force-aanvallen te voorkomen. - Beperk het aantal herstelverzoeken per dag per gebruiker. 6. Gebruiksvriendelijkheid: - Zorg dat de herstelprocedure duidelijk en eenvoudig is. - Verstrek duidelijke instructies en verwittig dat het enige tijd kan duren om het account te herstellen. - Bied ondersteuning via helpdesk of chat voor geauthenticeerde gebruikers indien nodig. Kort samengevat: - Lockout na 5-7 mislukte pogingen binnen 15 minuten. - Lockoutduur van 15-30 minuten. - Meldingen via e-mail en in-app. - Herstel via beveiligde e-mail links en indien mogelijk 2FA. - CAPTCHA na enkele mislukte pogingen. - Log alle pogingen en monitor verdachte activiteiten. Door deze strategie te implementeren, beperk je brute force-aanvallen effectief en behoud je een gebruiksvriendelijke ervaring voor je legitieme gebruikers.

Absoluut. Hier is een gedetailleerd, praktisch advies voor het ontwerpen van een veilige en gebruiksvriendelijke account lockout- en herstelstrategie voor uw webapplicatie, afgestemd op uw schaal en eisen. ### Overkoepelende Strategie: Gelaagde Beveiliging (Defence in Depth) In plaats van uitsluitend te vertrouwen op account lockouts, raad ik een gelaagde aanpak aan. Dit beschermt beter tegen brute force-aanvallen en minimaliseert overlast voor legitieme gebruikers. --- ### 1. Account Lockout Beleid (De Kern) Het doel is om automatische scripts te stoppen zonder elke gebruiker die zijn wachtwoord vergeet direct te blokkeren. * **Lockout-drempel (Aantal pogingen):** **5 tot 7 mislukte pogingen**. * *Reden:* Een lage drempel (bijv. 3) is te agressief en leidt tot veel valse positieven. Een drempel van 5-7 is voldoende om brute force onpraktisch te maken zonder legitieme gebruikers te snel te hinderen. * **Lockout-duur:** **Progressieve vertraging (Rate Limiting) gevolgd door een korte lockout.** * *Stap 1: Vertraging (na 3e mislukte poging):* Introduceer een CAPTCHA. Dit stopt bots direct maar laat mensen doorgaan. * *Stap 2: Tijdelijke lockout (na 5-7 mislukte pogingen):* Vergrendel het account **gedurende 15 tot 30 minuten**. Dit is lang genoeg om een aanval te frustreren, maar kort genoeg zodat een gebruiker niet de hele dag geblokkeerd is. Vermijd 24-uurs lockouts; dit is onvriendelijk en kan worden misbruikt voor Denial-of-Service (DoS) tegen specifieke gebruikers. * **Scope van de lockout:** **Vergrendel alleen de inlogpogingen voor het specifieke account.** Het wachtwoordherstelproces moet altijd beschikbaar en toegankelijk blijven. Dit voorkomt dat een aanvaller zowel inloggen als herstellen blokkeert. --- ### 2. Gebruikersmeldingen (Cruciaal voor Gebruiksvriendelijkheid) Transparante communicatie vermindert frustratie en versterkt security awareness. * **Tijdens mislukte pogingen:** Toon duidelijke foutmeldingen zoals *"Onjuist wachtwoord. U hebt nog X pogingen over voordat uw account tijdelijk wordt vergrendeld."* * **Bij lockout:** Toon een **veiligheidswaarschuwing** en een **duidelijke herstelinstructie**: > "Uw account is tijdelijk vergrendeld vanwege te veel mislukte inlogpogingen. Dit is een beveiligingsmaatregel tegen ongeautoriseerde toegang. U kunt over [aantal] minuten opnieuw proberen, of uw wachtwoord direct herstellen via de 'Wachtwoord vergeten'-link." * **Bij lockout via e-mail:** Stuur **automatisch een meldingsmail** naar het e-mailadres van het account. * **Onderwerp:** Beveiligingsmelding voor [Accountnaam] * **Inhoud:** "Er is een verdachte activiteit op uw account gedetecteerd (meerdere mislukte inlogpogingen). Uw account is uit voorzorg tijdelijk vergrendeld. Als u dit niet was, neem dan onmiddellijk contact op met [support]. Was u het wel, dan kunt u over [tijd] opnieuw proberen in te loggen of uw wachtwoord herstellen." * *Waarom:* De gebruiker wordt gewaarschuwd voor mogelijke inbreuk, zelfs als de aanval slaagt. Dit is een cruciaal onderdeel van 'hoog niveau van bescherming'. --- ### 3. Veilige en Gebruiksvriendelijke Herstelmethoden Het herstelproces moet zelfs tijdens een lockout werken en zelf beveiligd zijn tegen misbruik. * **Primaire methode: E-mail met tijdgebonden link** 1. Gebruiker klikt op "Wachtwoord vergeten". 2. Er wordt een unieke, cryptografisch sterke token gegenereerd en gekoppeld aan het account. 3. Deze token (in een link) wordt **alleen per e-mail** naar het geregistreerde adres gestuurd. 4. De link is **maximaal 1 uur geldig**. 5. Na succesvol herstel **worden alle bestaande sessies van het account ongeldig gemaakt** (force logout). Dit voorkomt dat een aanvaller, die al is ingelogd, toegang houdt. 6. **Stel een rate limit in** voor het aanvragen van wachtwoordherstel (bijv. max. 3 verzoeken per uur per e-mailadres/IP-adres) om te voorkomen dat kwaadwillenden de inbox van een gebruiker overspoelen. * **Alternatieve methode (optioneel, voor extra zekerheid): Beveiligingsvragen?** * **Waarschuwing:** Vermijd standaard beveiligingsvragen zoals "Naam van je huisdier". De antwoorden zijn vaak eenvoudig te raden of te vinden op social media. * **Indien gebruikt:** Laat de gebruiker een **zelfgekozen, cryptische vraag en antwoord** instellen, of gebruik vragen waarvan het antwoord niet online te vinden is (bijv. "Wat was de naam van je eerste docent?"). Beschouw dit als een secundaire factor, niet als de primaire. * **Geavanceerde optie (Aanbevolen voor 'Hoge bescherming'): Multi-Factor Authenticatie (MFA) bij herstel** * Voor een extra beveiligingslaag kunt u, na het klikken op de herstellink, een **eenmalige code (TOTP)** naar de e-mail of een authenticator-app ( zoals Google Authenticator) sturen die moet worden ingevoerd voordat het wachtwoord kan worden gewijzigd. Dit maakt accountovername vrijwel onmogelijk. --- ### 4. Aanvullende Technische Maatregelen tegen Brute Force Deze maatregelen werken op een ander niveau en zijn onzichtbaar/onmerkbaar voor de legitieme gebruiker. * **Rate Limiting op IP-niveau:** Implementeer een systeembrede rate limit voor inlogpogingen *vanaf hetzelfde IP-adres* voor alle accounts (bijv. max. 20 inlogpogingen per minuut). Dit blokkeert een aanvaller die één account probeert te kraken, maar ook iemand die een lijst met wachtwoorden op veel accounts probeert. * **Monitor op anomalieën:** Houd patronen bij, zoals inlogpogingen vanaf geografisch verre locaties of ongebruikelijke tijdstippen. Dit kan een signaal zijn voor een succesvolle aanval, zelfs na een wachtwoordwijziging. * **Gebruik een Web Application Firewall (WAF):** Een WAF kan bekende aanvalspatronen (zoals bepaalde brute force tools) herkennen en blokkeren voordat ze uw applicatielogica zelfs maar bereiken. ### Samenvatting en Implementatiechecklist 1. **Lockout:** 5-7 pogingen -> CAPTCHA -> 30 minuten lockout. 2. **Meldingen:** Waarschuw de gebruiker zowel op het scherm als via e-mail. Wees transparant over de reden en de duur. 3. **Herstel:** Houd het wachtwoordherstelproces altijd open. Gebruik e-mail met een tijdelijke token. Maak bij succes oude sessies ongeldig. 4. **Extra Lagen:** Implementeer rate limiting op IP-niveau en overweeg serieuze MFA voor de beste bescherming. 5. **Test het proces:** Test het volledige scenario zelf: een mislukte inlog, lockout, het ontvangen van de e-mail en het succesvol herstellen van je account. Zorg dat de gebruikerservaring soepel is. Deze strategie biedt een uitstekende balans tussen het stoppen van geautomatiseerde aanvallen en het bieden van een eenvoudig pad terug voor legitieme gebruikers.