Het einde van het wachtwoord: hoe passkeys de inlog overnemen

Security · Passkeys · Identiteit Het einde van het wachtwoord: hoe passkeys de inlog overnemen Het wachtwoord bestaat al meer dan zestig jaar, maar de opvolger is er eindelijk. Passkeys beloven inloggen zonder tikwerk, zonder phishing en zonder dat gedoe met codes per sms. Afbeelding: JulianVilla26 via Wikimedia Commons, CC BY-SA 4.0 Wie de afgelopen jaren een nieuw account aanmaakte, kreeg steeds vaker een onbekende vraag: wilt u inloggen met een passkey? Voor veel mensen klinkt dat nog abstract, maar achter dat ene knopje zit een van de grootste verschuivingen in de manier waarop we ons online identificeren. Het wachtwoord, decennialang de standaard en tegelijk de zwakste schakel, wordt langzaam maar zeker overbodig. De grote platformen trekken hierin samen op. Apple, Google en Microsoft ondersteunen passkeys inmiddels standaard in hun besturingssystemen en browsers, en steeds meer diensten (van banken tot webshops en sociale netwerken) bouwen de optie in. Het resultaat: inloggen met je vingerafdruk, gezicht of pincode wordt op steeds meer plekken niet langer een luxe, maar de normale route. Waarom het wachtwoord op sterven ligt Het probleem met wachtwoorden is niet de techniek, maar de mens. We kiezen zwakke combinaties, hergebruiken ze op tientallen sites en trappen in nepmails die ons naar een valse inlogpagina lokken. Zodra een aanvaller je wachtwoord kent, kan hij het overal proberen. En omdat het wachtwoord op de server wordt bewaard, ligt bij elk datalek een nieuwe berg inloggegevens op straat. 80%+ van de datalekken via hacking begint bij zwakke of gestolen inloggegevens 15 mld+ online accounts kunnen inmiddels met een passkey overweg 0 wachtwoorden om te onthouden, te hergebruiken of te lekken bij een passkey Tweestapsverificatie met een sms-code was jarenlang de pleister op deze wond, maar ook die is te omzeilen. Codes kunnen worden onderschept, en een goed opgezette phishingpagina vraagt gewoon om zowel je wachtwoord als je code, om ze vervolgens live door te sturen naar de echte dienst. Passkeys pakken het probleem bij de wortel aan: er valt simpelweg niets meer af te troggelen dat een aanvaller ergens anders kan gebruiken. Wat een passkey precies is Een passkey is geen woord dat je onthoudt, maar een cryptografisch sleutelpaar. Bij het aanmaken genereert je apparaat twee sleutels die wiskundig bij elkaar horen. De private sleutel blijft veilig op je telefoon, laptop of hardwaresleutel en verlaat dat apparaat nooit. De publieke sleutel gaat naar de dienst waar je inlogt. Die publieke sleutel is op zichzelf waardeloos voor een dief: je kunt er niets mee terugrekenen naar de private helft. Zo verloopt een passkey-login Schematische weergave van de uitdaging en het ondertekende antwoord Jouw apparaat Private sleutel vinger, gezicht of pincode De dienst Publieke sleutel controleert de handtekening 1. uitdaging (challenge) 2. ondertekend antwoord De private sleutel verlaat je apparaat nooit Alleen de handtekening reist over het netwerk Bij het inloggen stuurt de dienst een willekeurige uitdaging. Je apparaat ondertekent die met de private sleutel, maar pas nadat jij jezelf hebt ontgrendeld met je vingerafdruk, gezicht of pincode. De dienst controleert de handtekening met de publieke sleutel en laat je binnen. Er reist geen geheim over de lijn dat later opnieuw te gebruiken is, en de passkey is bovendien gekoppeld aan het juiste webadres. Beland je op een nepsite, dan weigert je apparaat simpelweg te tekenen. De kern van de vernieuwing: je bewijst wie je bent zonder ooit een geheim prijs te geven dat iemand kan stelen, kopiëren of hergebruiken. Handig en veilig tegelijk Wat passkeys aantrekkelijk maakt, is dat veiligheid en gemak voor het eerst niet vloeken. Je hoeft niets meer te onthouden, geen wachtwoordkluis meer te openen en geen code uit een sms over te tikken. Een blik of een aanraking, en je bent binnen. Voor bedrijven betekent dat minder verzoeken om een wachtwoord te resetten, en dat scheelt fors op de helpdesk. Belangrijk detail: passkeys blijven niet gevangen op één toestel. Via de sleutelbos van je platform (bijvoorbeeld iCloud-sleutelhanger of Google Wachtwoordbeheer) synchroniseren ze versleuteld tussen je apparaten. Raakt je telefoon kwijt, dan staan je passkeys nog op je andere ingelogde toestellen. En moet je een keer inloggen op andermans computer, dan scan je een QR-code met je telefoon, die dan als sleutel dient zonder dat er iets op die vreemde machine achterblijft. Zelf overstappen? Begin bij je belangrijkste accounts: e-mail, bank en socialmediaprofielen. Zoek in de beveiligingsinstellingen naar "passkey" of "wachtwoordloos inloggen" en volg de stappen. Je kunt je oude wachtwoord meestal als reserve laten staan tot je vertrouwd bent met de nieuwe methode. De obstakels die nog resten Toch is de wachtwoordloze wereld nog niet af. Niet elke website ondersteunt passkeys, en de begrippen verschillen per platform, wat verwarrend werkt. Wie zijn digitale leven verspreidt over verschillende ecosystemen (een Android-telefoon naast een Windows-laptop, bijvoorbeeld) merkt dat het overzetten van sleutels tussen die werelden nog stroef verloopt. De branche werkt aan een importstandaard om dat soepeler te maken, maar dat kost tijd. Daarnaast blijft er een lastige vraag over het herstel van toegang. Wat gebeurt er als iemand al zijn apparaten tegelijk kwijtraakt? Diensten moeten een veilige terugvaloptie bieden, en juist zo'n herstelroute is vaak weer het zwakke punt dat aanvallers zoeken. De belofte van passkeys is dus alleen zo sterk als het vangnet eronder. Wie naar de grote lijn kijkt, ziet niettemin een duidelijke richting. Het wachtwoord verdwijnt niet van de ene op de andere dag, maar de rol ervan krimpt zichtbaar. Voor de eerste keer in decennia hebben we een inlogmethode die tegelijk makkelijker is voor gebruikers en moeilijker voor aanvallers. Dat is precies de combinatie die een technologie van niche naar standaard tilt. De komende jaren zal die knop "inloggen met een passkey" steeds minder een vraag zijn, en steeds meer de vanzelfsprekende manier waarop we het internet op gaan. Bronnen FIDO Alliance, uitleg en stand van zaken rond passkeys: fidoalliance.org/passkeys Google Security Blog, passkeys standaard voor Google-accounts: blog.google Apple Support, over het gebruik van passkeys: support.apple.com Microsoft, wachtwoordloos inloggen met Entra ID: microsoft.com Verizon Data Breach Investigations Report (over gestolen inloggegevens): verizon.com/dbir

Het einde van het wachtwoord: hoe passkeys de inlog overnemen

Reacties 0

Meer tech artikelen

Anthropic op stoom: de rustige uitdager van OpenAI wint terrein

Kernfusie verlaat het lab: de race naar de eerste fusiestroom

Rode lijnen voor AI: de deadline die eind 2026 nadert