Je winkelwagen is leeg
Producten die je toevoegt, verschijnen hier.
Een passkey is een manier om in te loggen zonder wachtwoord. Je bevestigt de inlog met je vingerafdruk, je gezicht of de pincode van je telefoon of laptop, en je apparaat bewijst daarna met een cryptografische sleutel aan de website dat jij het bent. Passkeys zijn gebaseerd op de standaarden FIDO2 en WebAuthn.
Bij het aanmaken maakt je apparaat een sleutelpaar. De website bewaart alleen de publieke sleutel, terwijl de privésleutel op je apparaat of in je wachtwoordmanager blijft. Bij het inloggen stuurt de site een willekeurige uitdaging, die je apparaat met de privésleutel ondertekent. Je vingerafdruk verlaat het apparaat nooit, want die ontgrendelt alleen de sleutel.
Het grote voordeel is dat er niets te raden of te onderscheppen valt. Lekt de database van een website, dan liggen er alleen publieke sleutels op straat, en daarmee kan niemand inloggen. Een passkey werkt bovendien alleen op het domein waarvoor hij is gemaakt, dus een nagemaakte inlogpagina heeft er niets aan. Daardoor is een passkey beter bestand tegen phishing dan een wachtwoord met een sms-code.
Er zijn twee soorten. Een gesynchroniseerde passkey staat in een wachtwoordmanager zoals Google Wachtwoordmanager of Bitwarden, die hem via de cloud naar al je apparaten kopieert. Een passkey op een hardwaresleutel verlaat dat ene apparaat nooit. Raak je je telefoon kwijt, dan heb je een andere manier nodig om binnen te komen, dus maak voor belangrijke accounts een tweede passkey of bewaar de herstelcodes.
Geschiedenis
Passkeys bouwen voort op het werk van de FIDO Alliance en het W3C. De webstandaard WebAuthn werd in maart 2019 een officiële W3C-aanbeveling, maar inloggen zonder wachtwoord bleef lastig zolang de sleutel aan één apparaat vastzat (Wikipedia).
Dat veranderde toen Apple, Google en Microsoft op 5 mei 2022 beloofden dat inloggegevens voortaan tussen apparaten konden meegaan. Vanaf dat jaar heten ze passkeys.
Belangrijke mijlpalen:
- 4 maart 2019: WebAuthn Level 1 wordt een W3C-aanbeveling
- April 2021: WebAuthn Level 2 volgt
- 5 mei 2022: Apple, Google en Microsoft kondigen passkeys op al hun platforms aan
Bronnen
- FIDO Alliance - Passkeys
- W3C (2021) - Web Authentication: An API for accessing Public Key Credentials Level 2
- passkeys.dev - Passkeys developer resources
- Google for Developers - Passwordless login with passkeys
- Bitwarden - Storing passkeys