1Password krijgt begin 2023 passkeys voor wachtwoordloze authenticatie

1Password gaat vanaf 'begin volgend jaar' passkeys ondersteunen voor wachtwoordloze authenticatie. De functie komt eerst beschikbaar voor de 1Password-browserextensies en -desktopapps. Smartphoneondersteuning volgt later.

1Password noemt de komende feature Universal Sign On. Met de functie kunnen gebruikers hun passkeys beheren in de 1Password-manager, waarmee ze zonder wachtwoord kunnen inloggen op websites en diensten. De functie wordt ondersteund op meerdere platforms, waartussen passkeys gesynchroniseerd kunnen worden. 1Password spreekt over ondersteuning op Windows, macOS, Linux, webbrowsers en smartphones.

1Password komt daarnaast met een mobiele authenticator voor de feature. Gebruikers die via passkeys willen inloggen op een apparaat zonder 1Password, kunnen deze inlogpoging goedkeuren via hun smartphone. Passkeys komen begin volgend jaar beschikbaar voor de wachtwoordmanager. 1Password heeft al een demo online staan, die uitgeprobeerd kan worden door 1Password-gebruikers met Google Chrome.

Passkeys werden in mei geïntroduceerd door de FIDO Alliance. De feature moet wachtwoorden vervangen door de authenticatie van een apparaat zelf, zoals Face ID op iPhones. Dit zou veiliger zijn, omdat er dan geen wachtwoorden vereist zijn en deze dan ook niet gestolen kunnen worden. Verschillende bedrijven hebben aangegeven passkeys te gaan ondersteunen. Apple voegde eerder al ondersteuning toe in iOS 16 en macOS Ventura, terwijl Google de functie momenteel test in Chrome en Android. Ook wachtwoordmanager Dashlane gaat de feature integreren.

Reacties (35)

Via zo'n service kan men dus bijhouden waar, wanneer en hoe vaak ik ergens inlog.
En hoe zit het dan met de privacy?
Hoe veilig is dit überhaupt?

Nee, dat is niet hoe het werkt.
Passkeys zijn (kort door de bocht) de digitale equivalent van bijvoorbeeld een Yubikey.

Alle wachtwoorden/passkeys zijn lokaal op een vertrouwd apparaat opgeslagen. Dat is zodanig opgezet dat ze niet werken op een ander apparaat zonder speciale handelingen gedaan te hebben. Ofwel. Je kan niet domweg een backup maken van telefoon één en terugzetten op telefoon twee, of zelfs een kloon maken op de telefoon zelf, omdat ook de installatie een uniek ID krijgt op een toestel.
Er wordt o.a. gebruik gemaakt van een speciale chip in het telefoontoestel die dit kan beschermen. (En Ja: Dit kan in theorie worden gesimuleerd, maar dat is dusdanig veel gedoe, dat dat alleen zinvol is als je echt één persoon aan het targetten bent. Je moet fysiek toegang hebben tot die gedeblokkeerde telefoon. Er zijn dan andere/makkelijkere manieren om bij die persoon z'n data te komen)

Door hier gebruik van te maken heb je altijd MFA in gebruik. Factor 1: Je telefoon zelf. Factor 2: De beschermde software installatie op je telefoon. Factor 3: Een vingerafdruk/gelaatsscan van zowel de telefoon als de app.
(Je ziet ook een dergelijk mechanisme met 'bank-apps'. Je kan op je mijn-bank-omgeving precies zien welke installaties beschermd zijn om in te mogen loggen. Als je een nieuw telefoontoestel hebt, moet je die opnieuw registeren bij je bank voordat je iets kan doen.

Passkeys zijn feitelijk niet anders dan wat FIDO U2F al deed. Je hebt een authenticator. Dat kan een hardware-sleutel zijn, maar ook een software-implementatie binnen een OS - evt. geassisteerd door hardwarematige bescherming zoals een Trusted Platform Module.
Die authenticator ontvangt een challenge voor een bepaald origin, en retourneert een afgeleidde sleutel van de meestersleutel die tijdens registratie met de service waar op ingeschreven werd, op de authenticator aangelegd werd. Die afgeleidde sleutel is de passkey waarmee je toegang krijgt.

Het cruciale verschil tussen U2F en passkey / passwordless login, is dat de hele authenticatieflow niet langer secundair als 2FA naast user/password gebruikt wordt; maar direct als de complete inlogmethode; zonder dat er een user/password combinatie nodig is. Alle gegevens om dit mogelijk te maken zijn onderdeel van de in de technische details lichtelijk anders in elkaar stekende authenticatiegegevens die over de lijn gaan.

Passkeys voegen daarnaast een extra component toe om automatisch te syncen tussen apparaten die hetzelfde OS draaien, maar dat is iets wat de verschillende OS vendors zelf moeten verzorgen. Microsoft doet dat door te koppelen aan een Microsoft Account en te syncen via Azure.

Authenticatie is daarmee niet gebonden aan het apparaat; maar aan de authenticator die je kiest om te gebruiken. Als dat die binnen het OS key storage zelf is; ja, dan is het apparaaat-gebonden (en ben je afhankelijk van de syncing implementatie van de OS vendor). Maar als je een via USB ingestoken hardware-sleutel gebruikt, dan is je registratie en authenticatie gekoppeld aan die hardware-sleutel. En die kan dan gewoon tussen apparaten mee migreren zonder van een OS vendor afhankelijk te zijn.

@eheijnen Zie hier ook het antwoord op jouw vraag.

[Reactie gewijzigd door R4gnax op 18 november 2022 13:10]

Gebruik nu al twee jaar een hardware key van YubiKey samen met LastPass, en moet zeggen bevalt mij echt prima, en tegenwoordig ondersteund hij ook FIDO, het is even wat werk met opzetten, daarna hoef je nooit meer een paswoord invoeren, en veiliger dan SMS en zelfs als de meeste 2FA oplossingen.

FIDO heeft veel verschillende manieren van beveiligen, Windows Hello o.a., persoonlijk vind ik YubiKey wat veiliger, daar het een hardware oplossing is, die je doelbewust moet activeren.

Bij mij zit er een YubiKey 5 Nano, permanent in mijn PC, inloggen in Windows of een account ergens van, of een programma installeren, even de key aanraken, en je kan weer veder, en het nagenoeg overal bruikbaar voor als een veilige inlog manier.
^{En ja, key in je PC laten zitten helpt niet tegen inbrekers, maar wel prima tegen hackers, waar ik ze voor heb.}
99% van de Windows gebruikers gebruiken een Admin account ipv het veel veiligere user account met minder/beperkte rechten, want elke keer een paswoord moeten intypen is irritant, Yubikey lost dat probleem makkelijk op.

Als backup (en die heb je echt nodig als je een sleutel kwijt bent, anders kan je nergens meer bij), heb ik er een aan mijn sleutelbos met NFC, die kan ook bv je bank-app beveiligen, ING ondersteund het bv.

Ze hebben tegenwoordig er zelfs een met een vingerafdruklezer

Als ik jou goed begrijp gebruik je een YubiKey met de app van ING? Kan je uitleggen hoe je dat hebt geconfigureerd? Ik kan deze mogelijkheid namelijk nergens vinden bij mijn Nederlandse studentenrekening.

Geen idee. weet alleen dat ING FIDO/Yubikey ondersteund.

Goede info, thanks!

En hoe zit dat dan met een gebruiker die bijvoorbeeld gebruik maakt van wisselende (flex)werkplekken?

lenwar schreef onder meer:

Nee, dat is niet hoe het werkt.
Passkeys zijn (kort door de bocht) de digitale equivalent van bijvoorbeeld een Yubikey.

Alle wachtwoorden/passkeys zijn lokaal op een vertrouwd apparaat opgeslagen. Dat is zodanig opgezet dat ze niet werken op een ander apparaat zonder speciale handelingen gedaan te hebben. Ofwel. Je kan niet domweg een backup maken van telefoon één en terugzetten op telefoon twee [...]

Dat is onjuist. Een significant verschil tussen hardware keys en passkeys is dat passkeys (versleuteld) geback-upped (kunnen) worden en daarmee ook gesynchroniseerd kunnen worden naar andere devices.

Apple gaat zelfs zover dat zij passkey sharing (via airdrop) ondersteunt, een "feature" die ik zeer discutabel vind.

Dat private keys niet (of met extreem veel moeite) uit hardware keys te extracten zijn, heeft voordelen en nadelen.

Een belangrijk voordeel van het gebruik van WebAuthn (door passkeys en redelijk recente hardware keys) is dat elke "credential" min of meer is gekoppeld aan een domeinnaam, waardoor phishing-aanvallen met "lijkt op" of "zou kunnen" domeinnamen (zoals "instagramhelp.support", gisteren beschreven door Armorblox) in de basis onmogelijk zijn.

Overigens, of in dat voorbeeld andere vormen van MFA hadden geholpen, is nog maar de vraag. Als na de getoonde "change password" pagina om een TOTP- of via SMS ontvangen code wordt gevraagd, kunnen de cybercriminelen namens jou op de echte site inloggen (hoe dat kan beschrijf ik hier).

Dat kan toch al zolang je de browser extensies gebruikt van de makers?
Ik heb de privacy verklaringen niet gelezen, maar ik mag toch hopen dat een partij als 1Password daar over zegt dat ze dit soort data niet opslaan.

Veilig zou het moeten zijn - dit moet "de nieuwe standaard" worden ter vervanging van username/password als basis.

@eheijnen @Zebby
Dat kan niet zolang je de "mobile authenticator" niet gebruikt. Voor die feature stuurt een device wat geen toegang heeft tot een 1Password client een verzoek naar 1Password die dat door stuurt naar jouw device, dus daar hebben ze in theorie zicht op waar je wanneer in logt.

Standaard werkt 1Password op basis van wat zij zelf "Zero Knowledge Encryption" noemen, effectief gewoon een vorm van 'zero trust'. De 'kluis' waarin jouw wachtwoorden staan wordt alleen encrypted opgeslagen, en zij hebben de informatie niet om deze te decrypten, die heb jij alleen. Dat wordt bij aanmaken van een account ook overduidelijk gemaakt met de aantekening dat als je ooit je wachtwoord of secret key kwijt raakt ze deze niet voor je kunnen herstellen. In dat geval is je 'kluis' dus verloren en krijg je na een support procedure een 'nieuw' account/kluis combinatie.

Het enige wat 1Password dus van jou heeft en verstuurd naar je devices met een 1Password client is de encrypted kluis, welke je lokaal moet ontsleutelen met je master password + secret key (eenmalig nodig). Of hier dan passkeys in worden opgeslagen of random generated wachtwoorden maakt dan niet zoveel uit. Dat gebeurt dus allemaal lokaal, tenzij je dus zoals ik in het begin aangeef de aankomende 'mobile authenticator' feature voor passkeys gaat gebruiken, dan moet e.e.a. verstuurd worden via 1Password.

Mjaaa, hopen...
MS & Google hebben al vaker hun beleid aangepast in het nadeel van de klant.

Maar goed het zou dus een service moeten blijven. Maar zeker geen vereiste, gesteld door een bepaalde site om daar te kunnen inloggen. Dan zou je zo'n service verplicht moeten aanschaffen.

Mjaaa, hopen...
MS & Google hebben al vaker hun beleid aangepast in het nadeel van de klant.

Omdat grote tech bedrijven die een totaal ander product/service aanbieden (met ook nog eens een totaal ander verdienmodel) dat doen, betekend niet automatisch dat andere partijen, met een totaal ander product dat ook doen natuurlijk. Verdiep je even in 1Password voordat je dit soort uitspraken doet die bovendien niet kloppen ook.

[Reactie gewijzigd door CH4OS op 18 november 2022 12:40]

Die opmerking van mij is er een die zich in de tijd zal ontwikkelen.
Dat kan linksom of rechtsom gaan.
En een aanname (hopen dat) is niet weten waar je aan toe bent...

Welk bedrijf dat dan ook is, het lijkt me zeker de moeite waard om zo'n overweging daarin mee te nemen.

Dus ik zie niet in wat er aan de uitspraak niet zou kloppen.

De reactie lijkt vooral de whataboutism kaart te spelen. En dat is gewoon zonde.

Dat je er dat niet gelijk bij gezet hebt...

Als je zo hard in zit met uw doen en laten, dan zou ik het internet laten voor wat het is.
Dergelijke basis zaken zoals sitebezoek zijn al jaren perfect te achterhalen op allerlei manieren.

Je data wordt clientside ge-encrypt. Dus al zou het opgeslagen zijn, dan nog kunnen ze er niets mee. Ze houden wel data bij over gebruik, maar niet over welke items of waar. Of in ieder geval, dat claimen ze (https://support.1password.com/1password-privacy/).

[Reactie gewijzigd door Caelorum op 18 november 2022 09:52]

Het probleem is dat als je een Apple aparaat en een Windows apparaat gebruikt, je in 2 passkey omgevingen zit.
Met enige pech praten die niet met elkaar, en moet je dus overal 2 accounts hebben, of er iets anders op vinden.
Ben heel benieuwd hoe 1password dat denkt op te lossen.

Dat is dus juist het hele punt van 1Password gebruiken voor je passkeys ipv 'in een eco system'. Staat hier (halverwege/onderaan) beschreven: https://www.future.1password.com/passkeys/

Als je passkey in 1Password staat dan kun je het op alle apparaten gebruiken waar je 1Password geïnstalleerd hebt staan lijkt mij?

Je hebt nu toch ook al verschillende authenticator apps, zoals Microsoft Authenticator, Bitwarden, ... die cross platform werken?

Het ontgrendelen van die apps zal per platform anders zijn, zoals FaceId, vingerafdruk, pincode, ...

1Password vind ik goed en gebruik het al jaren, maar ben overgestapt naar een ingebouwde. Ik vraag me af hoeveel mensen in deze huidige situatie nog gaan betalen voor een speciale wachtwoordmanager als de huidige van Google, MS en Apple al goed genoeg zijn.

Ik!

Het nadeel van de ingebouwde versies is dat ze niet cross platform syncen. Daarbij is het reuze handig om een gedeelde bak met passwords te hebben met iedereen in huis.

Omdat ik niet gebonden wil zijn aan 1 eco systeem, zowel hardwarematige liever niet en zeker niet softwarematig.

Ik heb dezelfde wachtwoorden nodig op m'n Oneplus telefoon, iPad en Windows pc's. Het is dan best handig om één password manager te hebben die op alle eco-systemen werkt en alles automatisch in sync houdt. Daarnaast kan je 1password ook gebruiken voor TFA (ik laat in het midden of het verstandig is je wachtwoorden en TFA te bundelen) waardoor je daar ook geen losse app meer voor nodig hebt of codes hoeft over te typen.

Er zijn uiteraard genoeg mensen die vrijwel helemaal in 1 ecosysteem zitten en dan is 1password wellicht wel prijzig voor de geringe voordelen die het biedt.

Is op zich een goed argument en zal voor velen uiteindelijk de reden zijn om te switchen.

Maar cross-platform en family sharing zijn voor mij de argumenten om (nog) geen afscheid te nemen van 1Password.

Benieuwd hoe dit in de praktijk gaat werken, maar het lijkt me perfect werken op computers die niet van jezelf zijn (werk, vrienden, internet cafe, ja, andere discussie hoe veilig dat dan weer is:))

1Password is de laatste tijd lekker bezig. Ben er erg blij, zeker met het Family abo Ideaal om wachtwoorden of gegevens te delen met andere gezinsleden en het werkt op elk OS super fijn!

Ik neem aan dat de naam vanaf 2023 0Password is.

Echt blij met dit nieuws. Heb op dit moment 5 Yubikeys, werkt perfect, maar voor sommige diensten zou een software matige fido functie toch wel erg handig zijn. Voornamelijk wanneer ik er net geen in de buurt heb.

Hoe ik het nu voor me zie is dat ik op elke dienst 1Password ga toevoegen voor authenticatie. Mijn Yubikeys kan ik aanvullend gebruiken voor deze diensten.

Het gerucht gaat dat Elon Musk 1password wil overkopen...

O, terwijl hier staat dat we op Passkeys overgaan.

Ik gebruik 1Password nu een jaar en ik ben nog even terug geweest naar een wachtwoord manager in 2 verschillende browser (omdat ik dacht dat het eenvoudiger zou zijn) en ik ben heel blij dat gelijk weer terug ben gegaan naar 1Passwoord. Ik raad dit echt aan iedereen aan, het maakt het allemaal zo eenvoudig.

Even Jip & Janneke uitleg gewenst:

-Ik gebruik 2 factor al jaren, waar het ook maar mogelijk is. Google, Versio, Paypal, Evernote, etc etc., Samen met o.a. Authy.

Google biedt altijd een extra mogelijkheid om in te loggen, dus ik durfde wel de Passkey te gebruiken.

Maar het installeren van een Passkey was mij niet bijzonder duidelijk,
1. Ga naar https://myaccount.google.com/security , maar dat moet dan wel op de telefoon die ik wil gebruiken als Passkey.
2. Kies verificatie in twee stappen en klik dan op pijltje achter beveiligingssleutels.
3. En dan kies toevoegen.
Als ik dan voor toevoegen kies ( hoezo toevoegen, hij staat toch al op die telefoon? Krijg ik:
Je ingebouwde beveiligingssleutel is momenteel je Beveiligingssleutel van telefoon. Je kunt er maar één hebben voor inloggen. Wil je in plaats daarvan de sleutel van deze nieuwe telefoon gebruiken?

En vanaf dat moment is die telefoon het apparaat, waar Google naar vraagt.

Als ik dat op een andere telefoon doe, wordt die vanaf dat moment gevraagd als ik wil inloggen. Dan wisselt die dus. Getest. Hij springt alleen naar die telefoon en niet, zaosl bij Prompt naar alle Android hardware die ik heb>


Vanaf nu staat er bij "verificatie in twee stappen":

In deze volgorde ( en de eerste staat aangevinkt):

-Beveiligingssleutel (Standaard)
-Google-prompts ( de voorganger?)
-Authenticator-app ( 6 cijfer 2fa)
-Spraakbericht of sms (mijn telf nrs.)
-Backupcodes ( kiezen uit een lijstje)

En nu paar vragen:

Als ik mijn bluetooth en near field etc niet aan heb staan, dan werkt hij niet en gaat hij naar stap 2 ( de prompts)?
Is er een handigere manier dan via de Chrome browser op het android apparaat/

Je kunt je beveiligingssleutels beheren via de instellingen voor verificatie in 2 stappen. Daar vind je een lijst met de sleutels die je hebt toegevoegd, gesorteerd van de meest recente tot de oudste. Je ziet ook meer informatie, zoals de naam van de sleutel, de datum waarop deze is toegevoegd en de datum waarop deze voor het laatst is gebruikt. De naam van de sleutel is standaard Beveiligingssleutel, tenzij je een aangepaste naam kiest

Ik zie alleen maar een telefoon symbool en dus geen lijst van telefoons. Is die lijst alleen voor Yubi keys etc?

En nu de belangrijkste vraag:
Als een app, zoals Bitwarden, overgaat op Appkeys, moet ik dan via Google Chrome weer iets doen, of doet Bitwarden dat. Heb ik dan ooit, op mijn phone een hele lijst passkeys, of is deze ene voldoende, ook voor Paypal c.s. Dit is mijn belangrijkste vraag. Als ik van telefoon wissel kan ik met https://myaccount.google.com/security er voor zorgen dat de nieuwe of andere telefoon de passkey bevat.

Ik ben ervan overtuigd dat de phone gebruiken voor dit soort zaken ideaal is. Ook banken geloven er in.

Hier het plaatje dat ik krijg als ik via Passkey probeer in te loggen (Met groot Bluetooth symbool in het midden)

https://photos.app.goo.gl/rKDGTPnHMvmzcoMY7

Laatste vraag:: kan dat niet handiger? Hoe leer ik mijn buurvrouw om dat te doen?

[Reactie gewijzigd door herpideperpi op 10 december 2022 15:21]