KBA, een afkorting van Knowledge-Based Authentication, is een vorm van authenticatie waarbij iemand zijn identiteit bewijst door vragen te beantwoorden over informatie die alleen hij zou moeten weten. Denk aan de bekende beveiligingsvraag: wat is de meisjesnaam van je moeder? Veel bedrijven gebruiken KBA nog steeds, maar de methode staat steeds meer ter discussie. In dit artikel lees je wat knowledge-based authentication is, welke vormen er zijn en waarom KBA voor financiële instellingen niet langer volstaat als enige controle.
Wat is knowledge-based authentication?
Knowledge-based authentication is een methode om de identiteit van een gebruiker te controleren op basis van zijn kennis van persoonlijke informatie. De gebruiker beantwoordt een of meer vragen. Komen de antwoorden overeen met de gegevens die de organisatie heeft, dan krijgt hij toegang tot een account of dienst.
KBA is daarmee een kennisfactor: iets wat je weet. Andere authenticatiefactoren zijn iets wat je hebt, zoals een telefoon of pas, en iets wat je bent, zoals een vingerafdruk of gezichtsherkenning.
Statische en dynamische KBA
Er zijn twee vormen van KBA:
Statische KBA | Dynamische KBA | |
|---|---|---|
Hoe werkt het? | De gebruiker kiest vooraf vragen en antwoorden, zoals de naam van zijn eerste huisdier | Het systeem stelt vragen op basis van gegevens uit externe bronnen, zoals eerdere adressen of leningen |
Wanneer bepaald? | Bij het aanmaken van een account | Op het moment van authenticatie |
Kwetsbaarheid | Antwoorden zijn vaak te raden of te vinden via social media | Gegevens kunnen zijn uitgelekt bij datalekken |
Dynamische knowledge-based authentication wordt ook wel knowledge-based verification genoemd, omdat de gebruiker de vragen niet van tevoren kent.
Wat zijn de voor- en nadelen van KBA?
KBA is eenvoudig en goedkoop, maar biedt weinig zekerheid. Daarom raden beveiligingsexperts het steeds vaker af als enige vorm van authenticatie.
Voordelen:
- Iedereen kan het gebruiken, zonder extra apparaat of app.
- Het is snel en eenvoudig in te bouwen.
- Het werkt ook via de telefoon, bijvoorbeeld bij een klantenservice.
Nadelen:
- Datalekken: gegevens die voor dynamische KBA worden gebruikt, zoals adressen en geboortedata, zijn vaak al eens uitgelekt.
- Vergeten antwoorden: gebruikers onthouden hun eigen antwoorden niet altijd, wat leidt tot extra werk voor de helpdesk.
Het Amerikaanse NIST, een gezaghebbend instituut op het gebied van informatiebeveiliging, raadt in zijn richtlijnen voor digitale identiteit af om beveiligingsvragen te gebruiken voor authenticatie.
Is KBA geschikt voor KYC en de Wwft?
Nee, niet als methode om de identiteit van een nieuwe klant te verifiëren. De Wwft vereist dat je de identiteit verifieert aan de hand van betrouwbare documenten, zoals een paspoort of identiteitskaart, of met een elektronisch identificatiemiddel van het betrouwbaarheidsniveau "substantieel" of "hoog". Kennisvragen voldoen daar niet aan.
KBA kan wel een rol spelen bij het authenticeren van een bestaande klant, bijvoorbeeld als extra controle bij een telefoongesprek met de klantenservice. Ook dan geldt: gebruik het in combinatie met andere factoren. Onder de Europese betaalrichtlijn PSD2 moeten banken voor online betalingen sterke klantauthenticatie toepassen, met minstens twee van de drie factoren: kennis, bezit en inherentie.
Welke alternatieven zijn er voor KBA?
Veiligere alternatieven combineren meerdere factoren of maken gebruik van iets wat de gebruiker heeft of is:
- Multifactorauthenticatie (MFA): een wachtwoord of pincode in combinatie met een code op de telefoon of een authenticator-app.
- Biometrie: een vingerafdruk of gezichtsherkenning, al dan niet gecombineerd met een liveness-check.
- Digitale identiteitscontrole: het uitlezen van de chip in een identiteitsbewijs, gecombineerd met een selfie. Lees meer in ons artikel over digitale identiteitscontrole.
- Digitale identiteitswallets: vanaf eind 2026 moet iedere EU-lidstaat een gecertificeerde wallet aanbieden waarmee burgers zich veilig online kunnen identificeren.
In het kort
- KBA (Knowledge-Based Authentication) is authenticatie op basis van vragen over persoonlijke informatie.
- Bij statische KBA kiest de gebruiker vooraf vragen en antwoorden; bij dynamische KBA genereert het systeem vragen uit externe bronnen.
- Voor het verifiëren van een nieuwe klant onder de Wwft is KBA niet geschikt.
- Veiligere alternatieven zijn multifactorauthenticatie, biometrie, digitale identiteitscontrole en digitale identiteitswallets.
Veelgestelde vragen over KBA
Knowledge-based authentication (KBA) is een methode om iemands identiteit te controleren door vragen te stellen over informatie die alleen die persoon zou moeten weten. Voorbeelden zijn de naam van een eerste huisdier of een vorig woonadres.
Bij statische KBA stelt de gebruiker zelf vooraf vragen en antwoorden in. Bij dynamische KBA genereert het systeem op het moment van inloggen vragen op basis van gegevens uit externe bronnen, zoals kredietregistraties. Dynamische KBA is iets veiliger, omdat de gebruiker de vragen niet van tevoren kent.
Als enige vorm van authenticatie is KBA niet veilig genoeg. Antwoorden zijn vaak te vinden via social media of uitgelekt bij datalekken. KBA is alleen verantwoord als aanvulling op sterkere factoren, zoals een code op een telefoon of biometrie.
Niet om de identiteit van een nieuwe klant te verifiëren. De Wwft vereist verificatie met betrouwbare documenten of een elektronisch identificatiemiddel van het niveau substantieel of hoog. KBA kan hooguit een aanvullende controle zijn bij contact met een bestaande klant.
Disclaimer
De informatie in dit artikel is uitsluitend bedoeld ter algemene voorlichting. Het mag niet worden beschouwd als bindend fiscaal, juridisch of financieel advies. Hoewel we ernaar streven dat de inhoud actueel en correct is, kunnen er geen rechten aan worden ontleend. Voor advies op maat, afgestemd op de specifieke situatie van uw organisatie, raden wij aan contact op te nemen met een bevoegde adviseur of specialist.
