Passkeys zijn het nieuwste modewoord in de technologiesector en worden steeds vaker gezien als een veiliger alternatief voor wachtwoorden en bepaalde vormen van multifactorauthenticatie (MFA).
Passkeys worden aanbevolen door het Nationaal Cyber Security Centrum (NCSC-NL) en actief gestimuleerd door techgiganten zoals Microsoft. Ze worden daardoor steeds vaker de voorkeursmethode voor authenticatie en vervangen alternatieven zoals verificatie via sms of spraak.
Die ontwikkeling is logisch, want passkeys ondervangen een aantal wezenlijke zwakke punten van wachtwoorden en traditionele MFA. Toch zijn ze niet noodzakelijkerwijs voor iedere organisatie de juiste oplossing, vooral niet voor beheerders en andere accounts met een hoog risicoprofiel.
De voordelen van passkeys
Traditionele wachtwoorden kunnen worden geraden, gestolen of buitgemaakt via phishingaanvallen. Hoewel multifactorauthenticatie (MFA) extra bescherming biedt, blijven sommige methoden kwetsbaar voor geavanceerde phishing, onderschepte verificatiecodes en frauduleuze pushmeldingen.
Passkeys bieden een veiliger alternatief doordat ze cryptografische sleutels gebruiken in plaats van wachtwoorden. Een privésleutel wordt veilig opgeslagen op het apparaat van de gebruiker, terwijl de website de bijbehorende publieke sleutel bewaart. Zo kunnen gebruikers zich aanmelden zonder gevoelige inloggegevens te verzenden. Belangrijk is dat passkeys aan legitieme websites zijn gekoppeld, waardoor ze zeer goed bestand zijn tegen traditionele phishingaanvallen.
Maar biedt een passkey echt twee factoren?
Hoewel passkeys daadwerkelijk multifactorauthenticatie (MFA) bieden, is er een belangrijk verschil tussen twee authenticatiefactoren en twee onafhankelijk van elkaar beheerde beveiligingsmaatregelen. Wanneer iemand zich bij Microsoft 365 aanmeldt met een passkey die op een laptop is opgeslagen, vormt het apparaat iets wat die persoon bezit. Een vingerafdruk, gezichtsherkenning of pincode vormt iets wat die persoon is of weet. Naar mijn mening is het onderscheid tussen twee factoren en twee onafhankelijk beheerde beveiligingsmaatregelen echter een belangrijk aandachtspunt voor organisaties.
Eén apparaat, één vertrouwenspunt
Passkeys bieden sterke bescherming tegen phishing, maar wanneer zowel de passkey als de biometrische verificatie of pincode afhankelijk zijn van één apparaat, kan dat leiden tot een concentratie van risico’s. Dat geldt vooral voor accounts met vergaande toegangsrechten. Dit wordt nog relevanter bij gesynchroniseerde passkeys, die via diensten zoals Google Wachtwoordmanager of Apples iCloud-sleutelhanger op meerdere apparaten beschikbaar kunnen worden gemaakt.
Dat is handig, maar betekent ook dat de beveiliging van zakelijke inloggegevens afhangt van de beveiliging en de herstelprocedures van het account waarmee de passkeys worden gesynchroniseerd. Gesynchroniseerde passkeys blijven voor de meeste gebruikers een veilige en praktische oplossing. Voor beheerders die toegang hebben tot gevoelige bedrijfssystemen kan echter extra bescherming nodig zijn. Microsoft raadt zelf aan om voor accounts met vergaande toegangsrechten apparaatgebonden passkeys te overwegen, waaronder fysieke FIDO2-beveiligingssleutels.
Wat moeten organisaties nu doen?
Als uw organisatie nog sterk afhankelijk is van wachtwoorden, sms-codes of MFA via pushmeldingen, zou ik nu beginnen met de overstap naar phishingbestendige authenticatie. Maar schakel niet simpelweg passkeys in om vervolgens te denken dat het werk daarmee klaar is.
Bepaal welk type passkey geschikt is voor welke gebruikers, breng accounts met verhoogde rechten in kaart, overweeg fysieke FIDO2-sleutels voor die accounts en onderzoek hoe het herstel van toegang is geregeld wanneer iemand niet meer kan inloggen.
Ik werk regelmatig met organisaties aan het beoordelen van beveiliging, identiteits- en toegangsbeheer, waaronder MFA, passkeys, Conditional Access en de bescherming van accounts met verhoogde rechten. Bij de meeste organisaties zijn gebruikers grofweg in drie groepen in te delen.
- Algemene gebruikers – gesynchroniseerde passkeys op goed beheerde bedrijfsapparaten betekenen een aanzienlijke verbetering van de beveiliging en zouden steeds meer de standaard moeten worden.
- Leidinggevenden en gebruikers met toegang tot bijzonder gevoelige informatie – overweeg apparaatgebonden passkeys en strengere beleidsregels voor voorwaardelijke toegang (Conditional Access).
- Beheerders en andere accounts met vergaande toegangsrechten – mijn voorkeur gaat nog steeds uit naar een fysieke FIDO2-beveiligingssleutel, idealiter met een aparte reservesleutel die veilig wordt bewaard.
Dit is een ingezonden bijdrage van Lifeline IT. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.