NIEUWS

IN HET KORT: Het traditionele wachtwoord bevindt zich in de eindfase van zijn bestaan. Passkeys worden in rap tempo dé nieuwe norm voor digitale identificatie en lossen niet alleen verouderde wachtwoordmethoden af, maar vervangen ook kwetsbare vormen van multifactorauthenticatie (MFA), zoals verificatie via sms of spraak. Met de actieve ondersteuning van techgiganten als Microsoft, Apple en Google, gecombineerd met sterke aanbevelingen van het Nationaal Cyber Security Centrum (NCSC-NL), verschuift het digitale landschap definitief naar een toekomst zonder wachtwoorden.

Waarom passkeys superieur zijn aan traditionele authenticatie

Een passkey maakt gebruik van asymmetrische cryptografie. In plaats van een ingewikkelde reeks tekens te onthouden — die helaas nog te vaak wordt hergebruikt of opgeschreven — genereert het systeem twee digitale sleutels: een publieke sleutel die op de server van de webdienst wordt opgeslagen, en een geheime privésleutel die veilig op het eigen apparaat van de gebruiker blijft.

Toegang wordt verleend door de privésleutel te ontgrendelen met een vingerafdruk, gezichtsherkenning of de pincode van het toestel. Dit principe biedt doorslaggevende voordelen op het gebied van beveiliging en gebruiksgemak:

Inherent phishingbestendig: Omdat een passkey cryptografisch is gekoppeld aan het specifieke domein van de dienst, kan een gebruiker niet worden misleid op een nepwebsite. De browser of het besturingssysteem weigert simpelweg de sleutel te overhandigen aan een vals webadres.

Geen data om te stelen: Op de servers van de aanbieder staat alleen de openbare sleutel. Mocht een webdienst te maken krijgen met een datalek, dan levert dat voor kwaadwillenden geen bruikbare inloggegevens op.

Gebruiksgemak: Gebruikers hoeven geen ingewikkelde wachtwoordregels meer te hanteren of authenticatiecodes over te typen.

Afscheid van kwetsbare sms- en spraakverificatie

Jarenlang werd het ontvangen van een eenmalige code via sms of een automatische telefoonoproep gezien als een toegankelijke tweede factor. Beveiligingsinstanties zoals het NCSC-NL en grote softwarebedrijven benadrukken echter al langer dat deze methoden verre van waterdicht zijn. Cybercriminelen slagen er steeds vaker in deze beveiliging te omzeilen via technieken als SIM-swapping, onderschepping van telecomverkeer en geavanceerde man-in-the-middle-phishingaanvallen.

Techreuzen voeren de druk op organisaties nu drastisch op om over te stappen. Zo maakt Microsoft passkeys de standaard authenticatiemethode binnen zakelijke omgevingen en beëindigt het gefaseerd de ondersteuning voor traditionele sms- en spraakverificatie. Organisaties worden gedwongen om over te stappen op phishingbestendige alternatieven, waarbij passkeys, hardwarematige beveiligingssleutels (zoals YubiKeys) en ingebouwde platformsleutels de voorkeur krijgen.

Brede acceptatie in de markt

Hoewel de technologie aanvankelijk voornamelijk werd ingezet door grote techbedrijven, ondersteunt inmiddels een snelgroeiend deel van de wereldwijde toptag-websites en -applicaties het inloggen via een passkey. Zowel consumentenbeheerplatforms (zoals wachtwoordmanagers) als besturingssystemen bieden tegenwoordig veilige synchronisatie van passkeys via de cloud. Hierdoor blijft de toegang tot accounts behouden wanneer een smartphone of laptop verloren gaat of wordt vervangen.

De overgang naar passkeys markeert een van de belangrijkste kantelpunten in de geschiedenis van cybersecurity. Door afscheid te nemen van zowel het fysieke wachtwoord als de verouderde sms-code, wordt het digitale ecosysteem niet alleen aanzienlijk veiliger, maar voor het eerst in decennia ook daadwerkelijk gebruiksvriendelijker.