Passkeys: is het wachtwoord eindelijk voorbij?

Misschien heb je hem al gezien: bij het inloggen bij Google, Microsoft, je bank of een webwinkel verschijnt de vraag “Wil je een passkey aanmaken?”. De meeste mensen klikken hem weg, omdat ze niet weten wat het is. Jammer, want passkeys zijn het beste nieuws in beveiliging van de afgelopen jaren.

In dit artikel leggen we uit wat een passkey is, waarom hij zoveel beter is dan een wachtwoord en hoe je als bedrijf verstandig overstapt.

Wat is een passkey?

Een passkey vervangt je wachtwoord. In plaats van iets wat je onthoudt en intypt, bewaart je telefoon, computer of wachtwoordmanager een geheime sleutel. Inloggen gaat met dezelfde handeling waarmee je je telefoon ontgrendelt: je vingerafdruk, je gezicht of je pincode.

Achter de schermen gebeurt er iets slims. De website heeft alleen een openbaar deel van de sleutel. Bij het inloggen bewijst je apparaat dat het het geheime deel heeft, zonder dat geheime deel ooit te versturen. Er gaat dus niets over het internet wat een aanvaller later kan gebruiken.

Waarom phishing er niet tegen werkt

Dit is het echte voordeel. De meeste inbraken bij bedrijven beginnen met een nagemaakte inlogpagina: een mail over een gedeeld document, een pagina die eruitziet als die van Microsoft, en een medewerker die daar zijn wachtwoord invult. Zie phishing herkennen en, voor de variant met een QR-code, quishing.

Een passkey is gekoppeld aan het echte domein. Op microsoft-login-veilig.com werkt je Microsoft-passkey simpelweg niet. Je kunt hem dus niet per ongeluk weggeven, hoe overtuigend de nep-pagina ook is. Zelfs een code uit een authenticator-app kan een geavanceerde aanvaller onderscheppen; een passkey niet.

Makkelijker én veiliger

Beveiliging maakt het meestal lastiger. Passkeys zijn een zeldzame uitzondering:

• geen wachtwoord onthouden of intypen;
• inloggen met één aanraking of een blik;
• geen wachtwoord dat kan uitlekken bij een datalek van een webwinkel;
• geen wachtwoord dat je op tien sites hergebruikt.

En als je telefoon kwijt is?

Dat hangt af van waar de passkey staat:

• Gesynchroniseerde passkeys, in je iCloud-sleutelhanger, Google-wachtwoordmanager of een zakelijke wachtwoordmanager, komen terug op je nieuwe apparaat.
• Passkeys op één apparaat, zoals op een beveiligingssleutel of vastgezet in de Microsoft Authenticator-app voor je werkaccount, ben je kwijt met het apparaat.

Zorg daarom altijd voor een tweede inlogmethode. Voor je werkaccount lees je hoe dat gaat in Microsoft Authenticator naar nieuwe telefoon.

Zo stap je als bedrijf over

1. Begin bij jezelf. Maak passkeys aan voor je belangrijkste privé- en zakelijke accounts, zodat je weet hoe het werkt.
2. Beheerders eerst. Accounts met beheerrechten zijn het meest waard voor een aanvaller. Geef die als eerste een passkey of beveiligingssleutel.
3. Zet het aan in Microsoft 365. Een beheerder schakelt passkeys in via Microsoft Entra, eerst voor een testgroep.
4. Houd tweestapsverificatie aan als vangnet, voor wie nog geen passkey heeft of zijn apparaat kwijt is. Zie MFA en Conditional Access voor het mkb.
5. Een wachtwoordmanager helpt. Die kan passkeys bewaren en delen met je andere apparaten; zie zakelijke wachtwoordmanager.

Is het wachtwoord dan voorbij?

Nog niet helemaal. Lang niet elke dienst ondersteunt passkeys, en de meeste accounts hebben voorlopig ook nog een wachtwoord als achterdeur. Maar de richting is duidelijk: bij elke dienst die het aanbiedt, is een passkey de betere keuze. Klik de vraag dus niet meer weg.

Hoe SEBA Connect hierbij helpt

Bij Microsoft 365-beheer richten we inlogmethoden in die bestand zijn tegen phishing, te beginnen bij beheerders, met een tweede methode als vangnet. Stel je vraag.