Passkeys zijn FIDO multi-device inloggegevens en een vervanging van wachtwoorden. Passkeys lossen de meeste tekortkomingen van wachtwoorden op. Deze tekortkomingen maken wachtwoorden één van de grootste cybersecurity risico's en zorgen voor veel frustratie en ergernis bij gebruikers.

In tegenstelling tot wachtwoorden zijn Passkeys niet gebaseerd op geheimen die je bedenkt, onthoudt en deelt met online diensten. Hierdoor zijn ze bestand tegen phishing-aanvallen en data lekken bij online diensten.

Kunnen we dan vandaag nog stoppen met het gebruik van wachtwoorden en direct overstappen op Passkeys? Helaas niet. Ondersteuning van Passkeys door online diensten en het beheer ervan door eindgebruikers zijn de twee belangrijkste obstakels die een universele adoptie van Passkeys in de weg staan.

MindYourPass introduceert twee innovaties waarmee de adoptie van Passkeys wordt versneld en het beheer ervan vergemakkelijkt

Lees hieronder hoe MindYourPass met deze innovaties een soepele overgang van wachtwoorden naar Passkeys mogelijk maakt.

Wachtwoordbeheer wordt Passkey-beheer

Technisch gezien is een Passkey een cryptografisch sleutelpaar bestaande uit een publieke sleutel die tijdens het registratieproces met de online dienst wordt gedeeld, en een privésleutel die bij de gebruiker blijft. De privésleutel wordt tijdens authenticatie gebruikt om een zogenoemde ‘challenge’ te ondertekenen. Uiteraard moet de privésleutel geheim blijven. Elk account op een online dienst gebruikt een eigen sleutelpaar. Daarmee is het aantal geheime sleutels dat moet worden beheerd vergelijkbaar met het aantal wachtwoorden dat een gebruiker nu heeft.

Passkeys op meerdere apparaten

Passkeys zijn multi-device, wat betekent dat ze beschikbaar zijn op elk apparaat dat je gebruikt om in te loggen op een online dienst. Om dit te bereiken, worden Passkeys ofwel in de cloud of in een kluis opgeslagen en gesynchroniseerd tussen je apparaten, dan wel opgeslagen op een hardware sleutel (zoals een YubiKey) die je aan je apparaten koppelt.

Elke vorm van Passkey-beheer waarbij Passkeys worden opgeslagen, is een compromis tussen beschikbaarheid en veiligheid. Zo zijn Passkeys in een kluis kwetsbaar wanneer de kluis niet goed genoeg wordt beschermd en Passkeys via een hardware sleutel zijn kwetsbaar omdat je bij verlies van de sleutel de toegang tot al je online diensten verliest. Feitelijk is dit hetzelfde compromis dat wachtwoordbeheer zo moeilijk maakt.

Passkeys berekenen in plaats van opslaan

MindYourPass introduceert een rekenmethode als alternatief voor opslag-gebaseerd Passkeys beheer. Hiermee worden de beperkingen ten gevolge van het bewaren van Passkeys verholpen.

De rekenmethode voor het beheren van Passkeys maakt het genereren van cryptografische sleutelparen deterministisch. Dat wil zeggen dat telkens wanneer het sleutelpaar voor een online dienst nodig is, de ‘seed’ van waaruit de publieke en privé sleutels worden afgeleid het resultaat is van een berekening. Op deze manier kan precies hetzelfde sleutelpaar op elk moment verkregen worden door een formule toe te passen. Hierdoor is het niet langer nodig om het sleutelpaar ergens op te slaan.

De formule werkt op basis van 3 elementaire inputfactoren: de online dienst, de identiteit van de gebruiker en de associatie tussen de gebruiker en de dienst. Vanuit die inputfactoren wordt een 512 bits SHA2 hash-code berekend die de ‘seed’ vormt.

De formule is zero-knowledge, wat ervoor zorgt dat geen enkele partij alle informatie heeft om een ‘seed’ te berekenen. De formule is stateless, zodat een ‘seed’ op elk apparaat kan worden berekend zonder synchronisatie van gegevens tussen deze apparaten. Beide eigenschappen zorgen voor een optimale beschikbaarheid én beveiliging en vormen een aanzienlijke verbetering van Passkey-beheer ten opzichte van de traditionele manier waarbij Passkeys moeten worden bewaard.

De adoptiekloof overbruggen met … wachtwoorden

Er zijn miljoenen online diensten, waarvan slechts een paar procent op dit moment Passkeys ondersteunt. Dit betekent dat mensen, ondanks de duidelijke voordelen van Passkeys, wachtwoorden zullen moeten blijven gebruiken zolang het duurt voordat ALLE online diensten naar Passkeys zijn gemigreerd. Tijdens deze overgangsperiode blijven accounts kwetsbaar en blijft het lastig om meerdere technologieën -wachtwoorden én Passkeys- naast elkaar te gebruiken.

Kunnen we niet makkelijker, en bij voorkeur, sneller overstappen?

Voordat een online dienst Passkeys kan ondersteunen, zal het de overeenkomstige FIDO-protocollen moeten implementeren en een proces aanbieden voor bestaande accounts om over te stappen op Passkeys. Dit is een behoorlijke taak die naar verwachting vele, vele jaren zal duren. Natuurlijk, hoe meer mensen Passkeys gebruiken, hoe meer online sites bereid zijn om te investeren in deze migratie.

Voordat een gebruiker kan profiteren van Passkeys, heeft deze een authenticator nodig die Passkeys ondersteunt en zal hij over moeten schakelen naar Passkey-authenticatie op online diensten die dat ondersteunen. Hoe meer online diensten Passkeys ondersteunen, des te meer mensen bereid zijn deze stap te zetten. Deze 'kip-en-ei' situatie bemoeilijkt een snelle overgang. Het overwinnen ervan zal helpen om veel sneller naar een veiligere online samenleving te migreren.

Met dit in gedachten stellen we MindYourPass voor als intermediair tussen de gebruiker die wil afstappen van wachtwoorden en een Passkey-authenticator wil gaan gebruiken voor al zijn online accounts, en online diensten die nog steeds wachtwoorden gebruiken.

Daartoe heeft MindYourPass het FIDO-protocol geïmplementeerd en gebruikt het deze als een alternatieve input factor in haar formule. In plaats van de formule te gebruiken om een ‘seed’ te berekenen, zoals we in het vorige gedeelte hebben besproken, wordt de formule gebruikt om het wachtwoord van een gebruiker te berekenen. Op deze manier kan een Passkey-authenticator niet alleen worden gebruikt voor Passkey-gebaseerde authenticatie, maar kan het ook worden gebruikt om een sterk wachtwoord te berekenen voor online diensten die nog werken met wachtwoorden.

MindYourPass biedt hiermee een consistente gebruikerservaring voor online diensten die gebruikmaken van wachtwoorden én diensten die al Passkeys gebruiken. Op deze manier kan een gebruiker alvast overal inloggen zonder hiervoor nog wachtwoorden te gebruiken, terwijl online diensten meer tijd hebben om de FIDO-protocollen zelf te implementeren.

MindYourPass is gratis voor privégebruik zonder beperkingen in functionaliteit en is beschikbaar op alle gangbare platformen, browsers en mobiele apparaten. MindYourPass is privacy by design. We hechten zo veel waarde aan de privacy van onze gebruikers dat we zelfs hun e-mailadres niet opslaan wanneer ze zich aanmelden voor onze diensten!

Wil je zelf ervaren hoe MindYourPass zowel het beheer van je huidige wachtwoorden als van passkeys ondersteunt, download dan gratis de privé-versie via onze website.

‍