Passkeys veranderen het inloggen, maar niet elk risico

Bij een passkey houdt het apparaat een privésleutel en krijgt de dienst een bijbehorende publieke sleutel. De gebruiker hoeft geen gedeeld wachtwoord te onthouden of naar de website te sturen. Dat verandert het fundamentele risico van een klassiek wachtwoord.

Passkeys zijn gebonden aan de echte dienst waarvoor ze zijn gemaakt. Een namaaksite krijgt daardoor niet zomaar dezelfde authenticatie, ook als de interface overtuigend lijkt. NIST beschrijft phishingresistente authenticators als een belangrijk beschermingsniveau voor sterkere authenticatie.

Mensen verliezen apparaten, veranderen van platform en vergeten herstelgegevens. De praktische veiligheid hangt daarom ook af van synchronisatie en account recovery. Een sterke login met een zwakke herstelroute kan alsnog een zwakke accountbeveiliging opleveren.

Een aanvaller die al toegang heeft tot een ontgrendeld apparaat of actieve sessie hoeft de passkey zelf mogelijk niet te breken. Apparaatvergrendeling, updates, sessie-inventaris en meldingen blijven daarom relevant.

Activeer passkeys eerst op belangrijke diensten, controleer welke apparaten en herstelmethoden eraan gekoppeld zijn en bewaar noodzakelijke herstelcodes veilig. Voor organisaties hoort ook een procedure voor verloren of vervangen apparaten bij de invoering.