Wat zijn passkeys en hoe beschermen ze je gegevens?

Om toegang te krijgen tot onze online accounts hebben we natuurlijk wachtwoorden nodig. Alleen is het vaak lastig om overal unieke en veilige wachtwoorden te verzinnen én om al die wachtwoorden te onthouden. Daarom werden passkeys in het leven geroepen.

Wat is een passkey?

Een passkey is eigenlijk een identificatiesleutel met versleutelde gegevens die bewijzen dat jij wel degelijk de eigenaar bent van het account waartoe je toegang probeert te krijgen. Alles werkt via asymmetrische encryptie. Het is vrij eenvoudig: een passkey bevat twee encryptiesleutels:

• De publieke sleutel (Public Key): die wordt rechtstreeks opgeslagen op de servers van de gebruikte webdienst, bijvoorbeeld Google of Amazon. Als een hacker die sleutel bij een datalek te pakken krijgt, heeft hij er helemaal niets aan.
• De privésleutel (Private Key): die wordt rechtstreeks opgeslagen op je toestel, zoals je smartphone of tablet. Hij verlaat je smartphone nooit en komt nooit op internet terecht.

Met andere woorden: het is bijzonder moeilijk voor een hacker om beide sleutels te bemachtigen en vervolgens toegang te krijgen tot je verschillende accounts. Wanneer je probeert in te loggen op een account, werken beide sleutels samen om je toegang te geven. Dankzij deze asymmetrische cryptografie ben je beschermd tegen phishingpogingen, omdat je toestel automatisch controleert of de URL van de website exact overeenkomt met de originele URL. Is dat niet het geval, dan wordt de verbinding automatisch geannuleerd en blijf je veilig.

We leggen alle basisprincipes van passkeys uit in een van onze Techlab video’s:

Hoe werkt een passkey?

Tegenwoordig bieden veel grote bedrijven gebruikers de mogelijkheid om hun eigen passkeys te maken. Dat zijn onder andere Google, Microsoft en zelfs Apple. Wanneer je je wachtwoord aanmaakt, moet je je e-mailadres invoeren, de apparaten die aan je account zijn gekoppeld, zoals je smartphone of tablet, en de webbrowser die je gebruikt. Zodra je passkeys zijn aangemaakt, beslis je of je ze wil activeren met je vingerafdruk, gezichtsherkenning of gewoon een pincode. Zo kan je snel en eenvoudig verbinding maken met je verschillende accounts.

Zodra de passkey is geconfigureerd, kan je een account aanmaken op een website of applicatie. Nu krijg je de optie om de passkey te activeren wanneer je een account aanmaakt op een website of applicatie.

Wat gebeurt er als je je smartphone verliest?

De privésleutel van je passkey blijft steeds op je smartphone bewaard. Maar wat gebeurt er dan als je je telefoon verliest of als hij kapotgaat? Geen paniek! De sleutel wordt namelijk veilig opgeslagen en end-to-end gesynchroniseerd binnen het ecosysteem van de gebruiker in de cloud. Denk bijvoorbeeld aan Apple iCloud, Google Wachtwoordmanager of externe wachtwoordmanagers zoals 1Password en Bitwarden. Wanneer je van telefoon verandert, kan je je digitale sleutels dus gemakkelijk herstellen door je bij een van deze diensten aan te melden.

Zijn passkeys echt veiliger?

Er zijn verschillende hulpmiddelen voor het beveiligen van je accounts, zoals een wachtwoordmanager of tweestapsverificatie. Die opties zijn echter nog steeds niet feilloos, want als iemand erin slaagt om je wachtwoordmanager of je e-mailadres te hacken, loop je gevaar. Passkeys zijn ook niet onfeilbaar, maar ze bieden wel meer veiligheid omdat de privésleutel op je eigen apparaat wordt opgeslagen en nergens anders. Met andere woorden, geen enkele website of platform heeft er toegang toe, waardoor het heel moeilijk te hacken is. Bovendien voegt het inloggen met biometrische gegevens (vingerafdruk, gezichtsherkenning) een extra beveiligingslaag toe.

Het enige wat vervelend kan zijn, is wanneer je beslist om van toestel te veranderen waarop je privésleutel staat. Stap je over van een Android-toestel naar een ander Android-toestel, dan is het eenvoudig, want je kan je passkey via synchronisatie met je Google-account overzetten. Maar als je overstapt van Apple naar Android of omgekeerd, duurt het wat langer.

Stel dat je met een iPhone probeert in te loggen op een dienst op een Windows-pc:

• Ga naar een website zoals Google, Amazon of je bank en klik op “Inloggen met een passkey”.
• De browser op de Windows-pc merkt vervolgens dat er lokaal geen passkey is opgeslagen. Hij stelt dan voor om “Een telefoon of tablet gebruiken” te kiezen.
• Er wordt een QR-code gegenereerd die je met je iPhone kan scannen.
• Er verschijnt een banner op je scherm: “Inloggen met een toegangssleutel”. Klik erop.
• Zorg dat Bluetooth op je iPhone is ingeschakeld, want de pc en je smartphone zullen een verbinding tot stand brengen.
• Je iPhone vraagt je om de verbinding te bevestigen via Face ID of Touch ID. Zodra je dat hebt gedaan, wordt de verbinding op Windows bevestigd en is alles in orde.

Passkeys zijn erg praktisch en veilig, maar zullen wachtwoorden waarschijnlijk niet snel vervangen. Hoe dan ook, als je op zoek bent naar een manier om je accounts op elk moment te beveiligen, zijn passkeys een prima oplossing.