Wat is een PassKey en hoe werkt deze?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Een passkey, ook wel toegangssleutel genoemd, is een manier om in te loggen op een account zonder een wachtwoord in te voeren. Je bevestigt het inloggen meestal met je vingerafdruk, gezichtsherkenning of de PIN van je apparaat. De toegangssleutel is gekoppeld aan een specifieke dienst en beschermt daardoor veel beter dan een traditioneel wachtwoord tegen het ontfutselen van inloggegevens op een nepwebsite.
Hoe werkt een passkey en wat is het verschil met een wachtwoord?
Bij het aanmaken van een toegangssleutel ontstaat een paar cryptografische sleutels: wiskundig met elkaar verbonden gegevens, bestaande uit een publieke en een privésleutel. De dienst slaat de publieke sleutel op. De privésleutel blijft onder controle van je apparaat of van de aanbieder die je toegangssleutels bewaart en synchroniseert. Tijdens het inloggen wordt de privésleutel niet aan de dienst doorgegeven.
Als je wilt inloggen, stuurt de dienst een eenmalige verificatieopdracht. Nadat je toestemming hebt gegeven, ondertekent je apparaat deze met de privésleutel. De dienst controleert de handtekening met de publieke sleutel. Je hoeft geen geheime gegevens te onthouden of over te typen.
Je vingerafdruk, gezichtsscan en PIN zijn niet de passkey zelf. Ze dienen om lokaal te bevestigen dat je de sleutel mag gebruiken. Bij een gebruikelijke passkey-aanmelding ontvangt de dienst geen vingerafdruk of afbeelding van je gezicht. Ook de PIN van je apparaat wordt geen wachtwoord voor de website.
Een passkey is evenmin een gewoon wachtwoord dat in je browser is opgeslagen. Een wachtwoordmanager kan een formulier met je gebruikersnaam en wachtwoord invullen, maar een toegangssleutel gebruikt een ander authenticatiemechanisme. Dezelfde wachtwoordmanager kan wel beide methoden ondersteunen.
Waartegen beschermt een toegangssleutel?
Het belangrijkste voordeel van een passkey is de bescherming tegen gangbare phishing: iemand doet zich voor als een dienst om je inloggegevens te ontfutselen. De sleutel is gekoppeld aan een identificatie van de dienst die op haar domein is gebaseerd. Een nagemaakte website op een ander adres kan de browser niet zomaar vragen om de sleutel van de echte dienst te gebruiken.
Een voorbeeld: je krijgt een bericht dat je account bij een webwinkel zogenaamd is geblokkeerd. De link leidt naar een website die sprekend op de echte lijkt, maar op een ander domein staat. Je kunt daar per ongeluk je gewone wachtwoord invoeren; de bijbehorende passkey werkt niet op die nepwebsite.
Als publieke sleutels bij een dienst uitlekken, kunnen daarmee niet rechtstreeks de bijbehorende privésleutels worden achterhaald. Ook kun je niet met alleen de publieke sleutel inloggen. Het probleem van één wachtwoord dat bij meerdere diensten wordt hergebruikt, vervalt eveneens.
Dat betekent niet dat je tegen elke aanval bent beschermd. Schadelijke software, een overgenomen actieve sessie of een zwakke procedure voor accountherstel kunnen nog steeds een bedreiging vormen. Als de dienst inloggen met een wachtwoord of herstel via e-mail blijft aanbieden, blijft de beveiliging van die toegangswegen belangrijk.
Waar wordt een passkey opgeslagen?
De manier waarop een passkey wordt opgeslagen, bepaalt mede of je ook op een ander apparaat kunt inloggen. Niet elke toegangssleutel is automatisch overal beschikbaar.
- Gesynchroniseerde sleutels worden door een aanbieder beschikbaar gemaakt op compatibele apparaten, bijvoorbeeld via een ingebouwde of externe beheerder voor inloggegevens. Je toegang tot deze sleutels hangt af van je account bij die aanbieder en diens herstelbeleid.
- Apparaatgebonden sleutels blijven op één specifiek apparaat, bijvoorbeeld een hardwarebeveiligingssleutel. Ze worden niet automatisch naar andere apparaten gekopieerd.
Je telefoon kan ook een aanmelding bevestigen op een computer waarop je passkey niet is opgeslagen. Als deze werkwijze wordt ondersteund, toont de computer een QR-code. Je scant die met je telefoon en bevestigt de aanmelding. Meestal zijn internet en Bluetooth nodig om te bevestigen dat de apparaten bij elkaar in de buurt zijn. De sleutel wordt hierbij niet permanent naar de computer gekopieerd.
De ondersteuning hangt af van de dienst, het besturingssysteem, de browser en de beheerder voor inloggegevens. Controleer voordat je van telefoon wisselt of naar een ander ecosysteem overstapt in de officiële documentatie van de aanbieder welke mogelijkheden er momenteel zijn om sleutels te synchroniseren en over te zetten.
Hoe stel je een passkey in voor je account?
Je kunt niet zelf voor elke willekeurige website een toegangssleutel inschakelen: de dienst moet deze methode ondersteunen. De optie staat meestal in de beveiligingsinstellingen van je account onder de naam ‘Toegangssleutels’ of ‘Passkeys’.
- Log op de gebruikelijke manier in bij de dienst en open de beveiligingsinstellingen.
- Kies de optie om een toegangssleutel toe te voegen. Controleer waar deze wordt opgeslagen: in een beheerder voor inloggegevens of op een hardwaresleutel.
- Bevestig het aanmaken van de sleutel met de methode die je apparaat aangeeft.
- Test de nieuwe inlogmethode terwijl je nog een actieve sessie of een andere toegangsmethode hebt.
- Voeg, als de dienst dit toestaat, een tweede sleutel toe op een onafhankelijk apparaat of leg herstelcodes klaar.
Gebruik hiervoor je eigen, beveiligde apparaat. Sla geen persoonlijke toegangssleutel op in een browserprofiel op een openbare of gedeelde computer.
Wat moet je doen als je je telefoon kwijtraakt?
Je telefoon verliezen hoeft niet te betekenen dat je de toegang tot je account verliest. Een gesynchroniseerde passkey kan op een ander compatibel apparaat beschikbaar zijn. Een extra hardwaresleutel kan een onafhankelijke manier bieden om in te loggen. Als je enige sleutel aan het verloren apparaat was gekoppeld, moet je mogelijk de herstelprocedure van de dienst gebruiken.
Gebruik na het verlies van je apparaat de functie om het op afstand te vergrendelen en controleer de actieve sessies van je accounts. Verwijder zodra je weer toegang hebt waar nodig de inloggegevens van het verloren apparaat, volgens de instructies van de aanbieder.
Voer voordat je inloggen met een wachtwoord uitschakelt één praktische test uit: controleer of je zonder je hoofdtelefoon kunt inloggen. Zo weet je of je echt een alternatieve toegangsmethode hebt, in plaats van alleen aan te nemen dat synchronisatie voldoende is.
Zie ook: Wat is 2FA?
Lees ook
