Google-account: hoe veilig is de nieuwe inlogmethode via selfie-video werkelijk?

Google introduceert een nieuwe manier om weer toegang te krijgen tot uw account: een korte selfie-video. Deze functie is bedoeld voor situaties waarin u bent buitengesloten en uw gebruikelijke telefoon of computer niet bij de hand hebt. Bij het instellen filmt u uzelf en volgt u enkele begeleide hoofdbewegingen, zodat het systeem uw gezicht vanuit meerdere hoeken kan vastleggen. Mocht u zich later weer buitensluiten, dan neemt u een nieuwe video op, die wordt vergeleken met de video die in het systeem is opgeslagen. De uitrol vindt sinds 23 juli in fasen plaats; u kunt op g.co/signin-selfie controleren of uw account hieronder valt.

Dit is geen vervanging voor uw wachtwoord

Het is belangrijk om op te merken dat de selfie-video noch uw wachtwoord, noch uw passkey vervangt. Het is een aanvullende herstelmethode en vormt een aanvulling op herstelcontacten en andere opties. Google raadt zelf aan om meerdere van deze methoden in te stellen. Workspace-accounts, kinderaccounts en accounts in het Advanced Protection Program zijn hiervan uitgesloten. Ironisch genoeg zijn dit juist de gebruikers die de grootste behoefte aan bescherming hebben. De opgeslagen video is versleuteld, wordt standaard alleen gebruikt voor het inloggen en kan op elk moment worden verwijderd. Google mag de video alleen gebruiken om zijn detectiemogelijkheden te verbeteren als u daarvoor toestemming geeft.

Detecteert Google deepfakes werkelijk?

Google promoot meerdere beschermingslagen tegen valse foto’s en video’s. De kern hiervan is levendigheidsdetectie. U wordt gevraagd kleine bewegingen te maken om te bevestigen dat er een echte persoon voor de camera zit, en geen foto. Dit werkt bij eenvoudige aanvallen; een afgedrukte foto of een oude video zal deze test niet doorstaan.

De valkuil ligt elders. Een moderne deepfake knippert met de ogen, knikt en draait zijn hoofd op commando. En de gevaarlijkste vorm van aanval omzeilt de camera volledig. Bij een zogenaamde „injectie“ wordt de valse livevideo rechtstreeks in de app ingevoerd alsof deze afkomstig is van de camera. Juist dit soort aanvallen kan niet worden voorkomen door bewegingscontroles. Een veel geciteerd onderzoek dat al in 2022 op de USENIX Security Conference werd gepresenteerd, toonde aan dat commerciële levendigheidsdetectiesystemen automatisch kunnen worden omzeild. Bovendien testen de gebruikelijke certificeringsregelingen, zoals ISO 30107-3, iBeta of FIDO, aanvallen die rechtstreeks op de camera worden uitgevoerd, en geen injectieaanvallen. Beveiligingsbedrijven hebben de afgelopen twee jaar een sterke toename van dergelijke injectieaanvallen gemeld.

Wat u hieruit moet onthouden

De Amerikaanse veiligheidsnorm NIST stelt het duidelijk: biometrie mag nooit op zichzelf staan, maar moet altijd worden gecombineerd met een tweede factor en een niet-biometrisch alternatief. En u kunt uw gezicht niet zomaar veranderen, zoals u een wachtwoord kunt wijzigen. In de praktijk betekent dit dat de selfie-video, als een van de verschillende herstelopties, nuttig is en nog steeds beter dan herstel via sms, dat kwetsbaar is voor SIM-swapping. Voor het daadwerkelijke inlogproces blijven passkeys en hardwaresleutels de veiligere keuze. Degenen die bijzonder waardevolle doelwitten zijn, dienen het gebruik van de gezichtsvideo te vermijden; Google sluit deze groep sowieso uit van het Advanced Protection Program.