Met passkeys log je in met je vingerafdruk, gezicht of pincode in plaats van een wachtwoord. Je hoeft daarbij geen geheim wachtwoord naar een website te sturen. Dat maakt inloggen niet alleen gemakkelijker, maar biedt ook bescherming tegen veelvoorkomende vormen van phishing.
Wat is een passkey?
Een passkey is een digitale inlogsleutel voor een account. Je maakt die aan bij een website of app die passkeys ondersteunt. Daarna kun je meestal inloggen door je apparaat te ontgrendelen met een vingerafdruk, gezichtsherkenning of de pincode van je apparaat.
Anders dan bij een wachtwoord hoef je geen reeks tekens te bedenken, te onthouden of in te typen. Je apparaat bewaart de geheime inlogsleutel en gebruikt die om aan de dienst te bewijzen dat jij toegang hebt. De website krijgt je vingerafdruk, gezichtsscan of apparaatpincode daarbij normaal gesproken niet te zien: die gebruik je lokaal om het gebruik van de passkey goed te keuren.
Een passkey is gekoppeld aan een specifieke dienst en een account. Je kunt dus niet één passkey gebruiken als universele sleutel voor al je accounts. Voor een andere dienst maak je een afzonderlijke passkey aan.
Of een passkey een wachtwoord volledig vervangt, verschilt per dienst. Soms blijft een wachtwoord of een andere inlogmethode beschikbaar. Passkeys zijn onderdeel van een bredere verzameling manieren om accounts te beveiligen; meer achtergrond vind je bij wachtwoorden en tweestapsverificatie.
Hoe passkeys technisch werken
Een passkey werkt met een sleutelpaar: een privésleutel en een publieke sleutel. De twee horen wiskundig bij elkaar, maar de privésleutel is niet praktisch uit de publieke sleutel af te leiden. Dit principe heet asymmetrische cryptografie. Meer over de achtergrond lees je bij encryptie.
Wanneer je een passkey aanmaakt, genereert je apparaat of passkeybeheerder zo’n sleutelpaar. De dienst ontvangt de publieke sleutel en bewaart die bij je account. De privésleutel blijft beschermd op je apparaat of in de omgeving van je passkeybeheerder. Afhankelijk van de gekozen oplossing kan een beveiligde kopie met andere apparaten worden gesynchroniseerd.
Bij het inloggen stuurt de dienst een unieke uitdaging naar je apparaat. Nadat je het gebruik van de passkey hebt goedgekeurd, maakt je apparaat met de privésleutel een digitale handtekening. De dienst controleert die handtekening met de opgeslagen publieke sleutel. Zo kan de dienst vaststellen dat je over de juiste privésleutel beschikt, zonder die sleutel zelf te ontvangen.
Je vingerafdruk, gezicht of pincode is dus niet de passkey zelf. Het is een manier om lokaal toestemming te geven voor het gebruik ervan. De precieze bescherming en opslag van de sleutel hangen af van het apparaat en de beheerder die je gebruikt.
Waarom passkeys phishing tegengaan
Bij phishing probeert een aanvaller je bijvoorbeeld naar een nagemaakte inlogpagina te lokken. Als je daar een wachtwoord invult, kan de aanvaller dat onderscheppen en mogelijk bij de echte dienst gebruiken. Een passkey werkt anders: je typt hem niet in en geeft de privésleutel niet aan de website.
Bovendien controleert je apparaat of de inlogaanvraag hoort bij de website waarvoor de passkey is aangemaakt. Een nagemaakte pagina op een ander domein kan de passkey voor de echte dienst daardoor normaal gesproken niet gebruiken. Ook een onderschepte digitale handtekening is niet zomaar opnieuw bruikbaar om een nieuwe uitdaging te beantwoorden.
Passkeys beperken daarnaast de gevolgen van bepaalde datalekken. Als een aanvaller bij een dienst de opgeslagen publieke sleutels buitmaakt, kan die daarmee niet simpelweg de bijbehorende privésleutels reconstrueren of als gebruiker inloggen. Bij een gestolen wachtwoorddatabase bestaat juist het risico dat wachtwoorden worden achterhaald en hergebruikt.
Dit betekent niet dat alle risico’s verdwijnen. Een aanvaller kan nog steeds proberen je over te halen gevoelige gegevens te delen, een onbetrouwbare app te installeren of een zwakke herstelmethode te misbruiken. Ook blijft het belangrijk om je apparaat te vergrendelen en de beveiliging van je account voor passkeys serieus te nemen.
Passkeys op meerdere apparaten
Veel passkeybeheerders kunnen passkeys synchroniseren. Dat betekent dat een beveiligde kopie beschikbaar komt op andere apparaten waarop je met hetzelfde beheeraccount bent aangemeld. Maak je bijvoorbeeld een passkey op je telefoon, dan kun je die mogelijk ook op je laptop gebruiken zonder opnieuw een passkey bij de dienst aan te maken.
Hoe de synchronisatie en het herstel zijn beveiligd, verschilt per aanbieder. Vaak worden de sleutels versleuteld opgeslagen en uitgewisseld, met aanvullende bescherming voor toegang en herstel. Controleer in de instellingen van je beheerder welke apparaten toegang hebben en welke herstelmogelijkheden beschikbaar zijn. Niet iedere passkey wordt gesynchroniseerd: een sleutel kan ook aan één apparaat of een fysieke beveiligingssleutel gebonden zijn.
Je kunt bij sommige diensten ook inloggen op een ander apparaat met een passkey op je telefoon. Daarbij verschijnt bijvoorbeeld een QR-code op de computer, die je met je telefoon scant. Vervolgens keur je de inlogpoging op de telefoon goed. De apparaten gebruiken doorgaans ook een nabijheidscontrole, bijvoorbeeld via Bluetooth. Het scannen van de code betekent niet dat je de privésleutel aan de computer geeft.
Een passkey staat niet altijd automatisch klaar op elk apparaat. Dat hangt onder meer af van je beheerder, de gebruikte software en de ondersteuning van de dienst. Soms moet je een aanvullende passkey aanmaken of een andere beschikbare inlogmethode kiezen.
Beperkingen en aandachtspunten
Niet elke website of app ondersteunt passkeys. Ook kunnen de mogelijkheden per dienst verschillen: de ene dienst laat je meerdere passkeys toevoegen, terwijl een andere beperkt welke alternatieve inlogmethoden beschikbaar zijn. Kijk daarom vooraf hoe je weer toegang krijgt als je je apparaat of beheeraccount kwijtraakt.
Bij verlies van een apparaat kun je een gesynchroniseerde passkey vaak nog gebruiken vanaf een ander aangemeld apparaat. Is dat niet mogelijk, dan ben je afhankelijk van het herstelproces van je passkeybeheerder of van de afzonderlijke dienst. Een passkey die alleen op het verloren apparaat stond, is mogelijk niet terug te halen. Bewaar eventuele herstelcodes op een veilige plek en controleer vooraf of een extra passkey of andere herstelmethode mogelijk is.
Verlies je een telefoon of computer, vergrendel of wis die dan op afstand als je dat kunt. Verwijder waar mogelijk ook de toegang van het verloren apparaat uit je beheeraccount en controleer bij belangrijke diensten je aangemelde apparaten en inlogmethoden. Vermoed je misbruik, volg dan de checklist voor een gehackt account.
De beveiliging van je passkeys hangt ook af van de beveiliging van je apparaten en beheeraccount. Gebruik daarom een sterke apparaatvergrendeling, houd je software bij en geef inlogverzoeken niet zomaar toestemming. Wie je ontgrendelde apparaat kan gebruiken, kan mogelijk ook je accounts openen. Een passkey is dus een sterke inlogmethode, maar geen vervanging voor zorgvuldig apparaat- en accountherstel.
Veelgestelde vragen
Is een passkey hetzelfde als mijn vingerafdruk?
Nee. Je vingerafdruk kan lokaal bevestigen dat je de passkey wilt gebruiken. De passkey zelf is een digitale sleutel; de dienst ontvangt je vingerafdruk daarbij normaal gesproken niet.
Kan ik zonder internet inloggen met een passkey?
Om bij een online dienst in te loggen, heb je doorgaans een internetverbinding nodig. Het lokaal ontgrendelen van je apparaat met een pincode of vingerafdruk kan meestal wel zonder internet.
Wat gebeurt er met mijn passkeys als ik mijn telefoon verlies?
Gesynchroniseerde passkeys zijn mogelijk nog beschikbaar op een ander aangemeld apparaat of via het herstelproces van je beheerder. Een passkey die alleen op de verloren telefoon stond, kun je mogelijk niet terughalen.
Kan ik een passkey en een wachtwoord naast elkaar gebruiken?
Dat hangt af van de dienst. Sommige diensten laten beide inlogmethoden bestaan, terwijl andere je andere keuzes geven.