Nieuwsbrief december 2023 – Artikel

Passkeys, de opvolger van uw wachtwoorden

Zeg eens eerlijk… gebruikt u hetzelfde wachtwoord wel eens vaker voor meerdere websites?
Waarschijnlijk wel, want om voor iedere site weer iets anders aan te maken en te onthouden, dat is een hoop gedoe.

Maar veilig is het natuurlijk niet. Als zo’n wachtwoord in combinatie met het emailadres bekend wordt door bijvoorbeeld een datalek van een website dan kan daar zomaar misbruik van gemaakt worden, met alle gevolgen van dien.

Er is een veilige manier om hier mee om te gaan: Maak voor iedere website en onlinedienst een uniek, ingewikkeld wachtwoord aan en stel bij voorkeur 2-Factor-Authenticatie in. (Hiermee moet er via een ander apparaat een verificatiecode gemaakt worden. Meestal wordt hier de smartphone voor gebruikt.) Die ingewikkelde wachtwoorden kunnen dan weer bijgehouden worden in een wachtwoordmanager.

Wanneer u op deze manier omgaat met online inloggen loopt u een minimaal risico. Maar het vereist wel wat toewijding en kennis van zaken. Het percentage van de mensen die dit consequent doet is dan ook niet hoog.

Gelukkig is er een verbetering op komst! En wel in de vorm van passkeys.

Passkeys zijn een soort digitale sleutels waarmee veilig ingelogd kan worden op websites en onlinediensten. Ze bestaan uit setjes van 2; een publieke en een persoonlijke sleutel. De publieke sleutel wordt opgeslagen bij de betreffende site, de persoonlijk is privé en wordt veilig opgeslagen op uw eigen apparaat. Deze sleutel wordt nergens gedeeld. Ook niet als er mee ingelogd wordt.

Wanneer u inlogt op een website met gebruik van een passkey zal de site vragen om u uzelf te identificeren. Dat kan bijvoorbeeld door een QR code te scannen met uw mobiele telefoon. De telefoon controleert dan uw identiteit d.m.v. een pincode, vingerafdruk of gezichtsherkenning.

Op de achtergrond wordt dan gekeken of de publieke sleutel van de website hoort bij de privé sleutel op uw apparaat. Als dit klopt wordt u automatisch ingelogd zonder een gebruikersnaam of wachtwoord te hoeven invullen. Heel eenvoudig dus, en veilig. Want ook al wordt de publieke sleutel gestolen, dan is hij waardeloos zonder de juiste prive sleutel.

Voor iedere website of onlinedienst wordt een unieke passkey aangemaakt die alleen met die specifieke website werkt. Zo wordt oplichting via nepwebsites (phishing) dus vrijwel onmogelijk. Wanneer u bijvoorbeeld op een nagemaakte website van uw bank probeert in te loggen zal uw passkey niet werken.

Klinkt best goed toch? Uiteraard ontstaan er dan ook weer nieuwe uitdagingen, zoals het veilig backuppen van uw privesleutels, maar daar zijn al goede oplossingen voor. Ook zijn er op dit moment nog niet heel veel websites waarbij ingelogd kan worden met passkeys, maar dit worden er steeds meer. De verwachting is dan ook dat dit de inlogmethode wordt van de toekomst. Zo wordt het onthouden van al die wachtwoorden eindelijk verleden tijd.