Wat is een passkey?

Een toegangssleutel is een moderne, wachtwoordloze authenticatiemethode die gebruikmaakt van publieke-sleutelcryptografie. In plaats van een wachtwoord, authenticeren gebruikers zich met een cryptografisch sleutelpaar: een publieke sleutel die door de dienst wordt opgeslagen en een privésleutel die veilig op het apparaat van de gebruiker of in een wachtwoordbeheerder wordt opgeslagen.

Bij authenticatie met toegangssleutels wordt doorgaans gebruikgemaakt van biometrie (zoals vingerafdrukken of gezichtsherkenning), een pincode of een veegpatroon, vergelijkbaar met het ontgrendelen van een smartphone. De meeste gebruikers kiezen voor biometrie vanwege het gemak.

Hoe werken passkeys?

Passkeys werken door gebruik te maken van public-key cryptografie, zodat u zich kunt aanmelden bij websites en apps zonder een traditioneel wachtwoord in te voeren. Hier is hoe ze werken, stap voor stap:

1. Een passkey instellen

De gebruiker meldt zich zoals gewoonlijk aan op diens account.
In de beveiligingsinstellingen schakelt de gebruiker de toegangssleuteloptie in.
De app of website vraagt de gebruiker om een toegangssleutel op te slaan gekoppeld aan diens apparaat.
Als een wachtwoordbeheerder wordt gebruikt, zal deze de gebruiker vragen om een toegangssleutel te genereren en op te slaan.
Biometrische authenticatie (zoals Face ID, vingerafdruken) wordt gevraagd om het instellen te bevestigen.
De toegangssleutel wordt veilig opgeslagen op het apparaat of in de wachtwoordbeheerder.

2. Aanmelden met een toegangssleutel

Bij volgende aanmeldingen wordt de gebruiker gevraagd zich te authenticeren met behulp van de opgeslagen toegangssleutel.
Er is geen wachtwoord vereist, alleen de toegangssleutel.

3. Apparaatoverschrijdende authenticatie

Als de gebruiker probeert zich aan te melden op een apparaat zonder de toegangssleutel, kan deze zich verifiëren via een ander apparaat.
De browser kan een QR-code weergeven die met een mobiel apparaat kan worden gescand om de aanmelding te voltooien.
Bluetooth wordt vaak gebruikt om nabijheid en veiligheid te garanderen tijdens de authenticatie op verschillende apparaten.
Als een wachtwoordbeheerder wordt gebruikt, kan de toegangssleutel op meerdere apparaten worden gebruikt.

Passkeys versus wachtwoorden: wat is het verschil?

Naarmate organisaties en platforms toegangssleutels gaan gebruiken, is het belangrijk te begrijpen hoe deze verschillen van traditionele wachtwoorden en waarom ze een aanzienlijke vooruitgang betekenen voor digitale beveiliging en gebruikerservaring.

Hier zijn de belangrijkste verschillen tussen toegangssleutels en wachtwoorden:

Creatieproces

Wachtwoorden vereisen dat gebruikers handmatig sterke, unieke aanmeldingsgegevens aanmaken en onthouden, wat een uitdaging kan zijn. Toegangssleutels worden echter automatisch gegenereerd, wat betekent dat gebruikers zich geen zorgen hoeven te maken over iets aanmaken of onthouden. Zodra het is ingesteld, kunnen zij zich eenvoudig aanmelden met hun apparaat of wachtwoordbeheerder.

Phishingbestendigheid

Wachtwoorden zijn kwetsbaar voor phishing omdat gebruikers ze handmatig invoeren, waardoor ze vatbaar zijn voor nepwebsites. Toegangssleutels zijn daarentegen bestand tegen phishing. Aangezien er niets is om in te voeren, kunnen cybercriminelen geen aanmeldingsgegevens stelen via phishingaanvallen.

Risico op compromittering

Wachtwoorden kunnen gemakkelijk worden gecompromitteerd, vooral als gebruikers ze hergebruiken of zwakke wachtwoorden kiezen. Als een wachtwoord uitlekt, kan het onmiddellijk door een cybercrimineel worden gebruikt. Toegangssleutels zijn echter veiliger. De privésleutel wordt nooit op de server opgeslagen; daarom is de publieke sleutel nutteloos zonder de privésleutel, zelfs als de server wordt gecompromitteerd.

Website support

Hoewel wachtwoorden universeel worden ondersteund, is de adoptie van toegangssleutels nog gaande. Grote websites zoals Apple, Google en PayPal ondersteunen ze nu, maar veel sites vertrouwen nog steeds op wachtwoorden. Zie Keepers toegangssleutellijst om te zien welke sites toegangssleutels ondersteunen.

Passkey	Wachtwoord
Automatisch gegenereerd	Door de gebruiker gegenereerd
Phishingbestendig	Kwetsbaar voor phishingbedreigingen
Kan niet gemakkelijk worden gecompromitteerd	Gemakkelijk te compromitteren als ze zwak zijn
Momenteel wordt het ondersteund op een beperkt aantal websites	Ondersteund op alle websites

Voordelen van het gebruik van passkeys

toegangssleutels bieden verschillende voordelen en zorgen voor een veiligere en vloeiendere manier van online authenticatie.

Sterkere beveiliging

De meeste mensen hebben moeite met wachtwoordhygiëne. Vaak kiezen ze korte, gemakkelijk te raden wachtwoorden, hergebruiken ze wachtwoorden op verschillende sites of slaan ze wachtwoorden onveilig op. Toegangssleutels lossen dit probleem op doordat ze automatisch worden gegenereerd en uniek zijn voor elk account.

Daarnaast maken toegangssleutels gebruik van publieke-sleutelcryptografie. Een privésleutel wordt veilig opgeslagen op het apparaat van de gebruiker of in een wachtwoordmanager, terwijl de publieke sleutel door de dienst wordt opgeslagen. Bij het aanmelden bewijst de privésleutel uw identiteit zonder dat deze wordt gedeeld. Dit betekent dat zelfs als de server wordt gehackt, cybercriminelen alleen de publieke sleutel te pakken krijgen, die zonder de privésleutel onbruikbaar is, waardoor toegangssleutels aanzienlijk veiliger zijn dan traditionele aanmeldingsgegevens.

Ingebouwde tweeledige authenticatie (2FA)

In tegenstelling tot wachtwoorden, die veel gebruikers niet met 2FA beveiligen, worden toegangssleutels inherent door 2FA beschermd. Om een toegangssleutel te gebruiken, heeft u zowel iets nodig dat u bezit (uw authenticatorapparaat) als iets dat u bent (biometrische authenticatie). Deze ingebouwde 2FA maakt toegangssleutels veiliger dan traditionele wachtwoorden, die vaak geen extra bescherming bieden.

Phishingbestendig

Een belangrijk voordeel van toegangssleutels is hun weerstand tegen phishing. Aangezien gebruikers met toegangssleutels hun aanmeldingsgegevens niet handmatig hoeven in te voeren, kunnen cybercriminelen hen niet misleiden om deze in te voeren op een frauduleuze website. Dit betekent dat toegangssleutels niet kunnen worden gestolen via phishingaanvallen, in tegenstelling tot wachtwoorden, die vaak het doelwit zijn.

Nadelen en beperkingen

Hoewel passkeys veel voordelen bieden, zijn er nog enkele beperkingen:

Website-ondersteuning is nog niet volledig

Ondanks de toenemende adoptie worden toegangssleutels nog steeds niet overal ondersteund. Veel kleinere of oudere websites en toepassingen maken nog steeds gebruik van wachtwoorden, wat betekent dat gebruikers vaak beide systemen naast elkaar moeten beheren. Volgens de FIDO Alliance ondersteunt ongeveer 48% van de 100 populairste websites nu toegangssleutels, wat een sterke groei aangeeft, maar nog geen volledige dekking.

Apparaatafhankelijkheid bestaat nog steeds

Toegangssleutels zijn doorgaans gekoppeld aan specifieke apparaten of ecosystemen. Als een gebruiker de toegang tot een apparaat verliest, kan deze problemen ondervinden met de toegang tot accounts, tenzij toegangssleutels zijn gesynchroniseerd of overgedragen. Een manier om dit te voorkomen is door toegangssleutels op te slaan in een wachtwoordbeheerder zoals Keeper.

De adoptie door diensten is groeiende

Hoewel het momentum sterk is, gebruiken de meeste mensen nog steeds wachtwoorden als hun standaard aanmeldmethode. Gebruikers moeten er rekening mee houden dat zij voor de nabije toekomst een wachtwoordbeheerder of back-upstrategie moeten blijven gebruiken, aangezien de overgang naar een wereld zonder wachtwoorden nog steeds gaande is.

De toekomst van passkeys

Hoewel toegangssleutels het potentieel hebben om wachtwoorden te vervangen, zullen ze de behoefte aan wachtwoordbeheerders niet wegnemen. In feite maken ze die mogelijk belangrijker.

Dit komt omdat toegangssleutels gekoppeld zijn aan een authenticator, wat een van de volgende kan zijn:

Een apparaat, zoals een smartphone, tablet of laptop
Een wachtwoordbeheerder die passkeys ondersteunt

Op het eerste gezicht lijkt het gebruik van een smartphone als primaire authenticator handig – de meeste mensen hebben hun telefoon immers altijd bij zich. Maar in werkelijkheid kan het onhandig worden om uitsluitend op één apparaat te vertrouwen, vooral voor gebruikers die tussen meerdere apparaten schakelen.

Als u zich bijvoorbeeld probeert aan te melden op een laptop of tablet zonder dat uw telefoon in de buurt is, moet u:

Genereer een QR-code op het apparaat dat u gebruikt
Scan het met uw smartphone (de authenticator)
Uw identiteit bevestigen met biometrische gegevens zoals Face ID of vingerafdruk

Deze extra hindernis benadrukt de voordelen van het gebruik van een wachtwoordbeheerder die synchronisatie van toegangssleutels tussen apparaten ondersteunt. Keeper, dat al enkele jaren toegangssleutels ondersteunt, vereenvoudigt het aanmelden door toegangssleutels aan de toepassing te koppelen in plaats van uitsluitend op een fysiek apparaat te vertrouwen. Deze aanpak maakt het voor u veel eenvoudiger en soepeler om toegang te krijgen tot accounts op meerdere apparaten.