GitHub maakt wachtwoordloos inloggen via passkeys in bèta mogelijk

GitHub maakt wachtwoordloos inloggen met passkeys mogelijk. Daarmee kunnen gebruikers een authenticatiesleutel aan hun apparaat toevoegen om veilig in te loggen.

Het gaat voorlopig nog om een preview, schrijft het bedrijf. De publieke bèta is voor iedereen toegankelijk. Gebruikers kunnen passkeys gebruiken naast een standaard gebruikersnaam en wachtwoord.

Passkeys zijn een nieuwe authenticatiestandaard waar grote techbedrijven aan werken. Ze maken het mogelijk een sleutelpaar aan te maken tussen een online dienst en het fysieke apparaat waar zij op zitten. Dat werkt hetzelfde als bijvoorbeeld een YubiKey, maar in plaats van een fysieke sleutel kan de gebruiker een computer gebruiken. De laatste tijd gaan steeds meer diensten daarop over, waaronder 1Password, Google en Bitwarden.

Reacties (76)

[rijnsoft]

Voor passkey heb je een provider nodig, ook wel een "Relying Party" genoemd, die de authenticatie uitvoert. Dit is wat de grote tech-bedrijven graag willen zijn. Zo kunnen zij precies zien waar iemand inlogt. Ik vind dat een toekomstbestendig inlog-systeem eens een keer geen data moet doorspelen aan de grote tech-bedrijven.

[GertMenkel]

Die relying party kan natuurlijk ook een zelfgehoste server zijn, of de implementatie kan technisch gezien zelfs peer to peer werken als je zowel de client als de server in je applicatie inbouwt.

Momenteel is de authenticatie behoorlijk gecentreerd op Apple, Google, en Microsoft, maar 1Password heeft dit bijvoorbeeld ook al en Bitwarden is bezig met een implementatie.

[rijnsoft]

Laten we hopen dat er voldoende, en vooral op privacy gericht, aanbod komt. Passkeys zijn nog erg nieuw, en op het moment ziet het er niet goed uit.

Om een voorbeeld te geven: 95% van alle email wereldwijd loopt via de grote tech-bedrijven. Het is algemeen bekend dat Google de inhoud van alle emails scant en analyseert voor diverse doeleinden. Vroeger was je post alleen voor jou, en had je zelf zoiets ouderwets als het briefgeheim.

Het probleem is dat de meeste mensen het geen zier kan interesseren wat de tech-bedrijven met hun gegevens doen. Ze snappen het niet of zien de gevaren niet.

[jcbvm]

Ik snap het probleem met grote tech bedrijven hier niet. Ik ben juist blij dat ze allemaal meedoen zodat passkeys überhaupt van de grond komen, zonder deze tech bedrijven was dat nooit gebeurd. Daarnaast zijn deze passkeys als het goed is gewoon E2E encrypted en mag toch hopen dat deze tech bedrijven die data niet kunnen lezen.

[rijnsoft]

Dit is precies wat ik bedoelde met "ze snappen het niet". Het is erg naïef om te denken dat een relying party geen data kan verzamelen omdat de verbinding met de client E2E encrypted is.

Ik wil het ook niet overdrijven. Deze passkeys worden slechts 1 van de vele manieren waarop je data verzameld wordt. Een interessante manier, maar niet cruciaal. Amazon, Google en Mircosoft hebben vrijwel overal een vinger in, en Apple heeft zijn eigen eco-system. Je gebruikt Chrome van Google op Windows van Microsoft, om een website te benaderen die gehost wordt op Amazon Web Services. Daarnaast zijn er honderden bedrijven op de achtergrond die data verhandelen. Vaak blijken deze wederom eigendom van de grotere tech-bedrijven te zijn. De datahonger is onlesbaar.

Wat deze bedrijven met de data doen is eigenlijk best onschuldig. Ze proberen te begrijpen wie jij bent om je advertenties aan te bieden waar je op reageert. Zo verdienen ze hun geld. Hou je van alcohol? Game je veel? Een ziekte? Vrienden? Hoe oud? Hoe heet je? Besteedbaar inkomen? Welk gender? Eigen huis of huurhuis? Wie volg je? Welk beroep? Welke films kijk je? Opleidingsniveau? Waar luister je naar? Etc. Zeg maar alles wat jou tot jou maakt.

Het probleem hierbij is dat deze data ergens worden opgeslagen en bewaard. Over 10 jaar is het nog steeds te achterhalen, en omdat vrijwel iedereen online is, weten ze alles van bijna iedereen. Stel bijvoorbeeld dat Trump in 2024 wordt herverkozen, of iemand zoals hij, en ze gaan nog verder in de US dan ze nu al gaan. De overheid daar gebruikt de data van de tech-bedrijven nu al voor allerlei oneigenlijke doeleinden. Ik sluit geenszins uit dat ze een wet voorstellen om bijvoorbeeld te kijken of iemand informatie over abortus zoekt. Of contact opneemt met een abortus kliniek. Zo kan ik nog talloze voorbeelden bedenken. De data kan dus ook voor doeleinden gebruikt worden waarvoor ze niet wordt verzameld. Ook hier in Europa.

Het fascisme ligt overal op de loer, en er is maar heel weinig voor nodig om een nieuwe zuivering te starten. Dat is het gevaar, en maar weinigen zien het. Zeg maar net zoiets als de klimaat crisis: We weten het eigenlijk wel, maar we willen geen offers brengen om het op te lossen. Zo ook met die PassKeys: Het is handig, we zijn lui, en ach, het zal wel meevallen.

[De_Daapse]

Ja, ik maak me nog het meeste zorgen over het klimaat-fascisme. Ze gaan bij houden hoeveel je reist, waarheen, etc. zodat ze je vrijheid kunnen gaan beperken om 0,000036 graden opwarming van de aarde te voorkomen.

[rijnsoft]

Je kunt niet zomaar overal het label fascisme op plakken. Ik geef toe dat het een moeilijk begrip is, maar het begint bij populisme en groeit door naar autoritair nationalisme: Blut und Boden.

Zo wordt duidelijk dat er een veel groter gevaar bestaat op echt fascisme bij de discussie over immigratie, waarbij de onuitgesproken vraag speelt: "Wie zijn wij als volk?", of de meer sinistere variant: "Wie willen wij niet zijn?", waarmee groepen mensen buitengesloten worden. Bij de klimaat discussie zie ik dit probleem niet.

Waar je wel een punt hebt is dat de onmogelijkheid om de data-verzamelwoede te ontwijken een autoritaire regering de mogelijkheid geeft jouw reislust in te perken in het belang van het klimaat. Dat is niet goed, en daar mag je best een label op plakken, maar fascisme is niet het juiste.

[jcbvm]

Prima dat je tegen tech bedrijven bent en deels ben ik het met je eens. Echter kun je er ook in doorslaan.

[Anoniem: 80910]

goed dat je het over offers hebt. vroeger werdt dat met een leven bekostigd, nu alleen met wat laaghangend fruit. je kunt kiezen tussen deze techbedrijven, je kunt verspreiden tussen deze bedrijven en niets weerhoudt je ervan naar een andere partij te gaan dan deze grote bedrijven, ze bestaan nog, hebben nog bestaansrecht, alleen lever je in op features waarschijnlijk en is de prijs duurder.

Ik vind het bijvoorbeeld niks dat onze overheid de data in de cloud op slaat bij amazon of google of microsoft . pak een europees bedrijf zou ik zeggen en zorg dat onze data binnen de europeesche grens blijft.

[bartvb]

Dat is hetzelfde soort 'maar het is toch E2E encrypted?' als bij Whatsapp. De inhoud kan niet worden bekeken, maar ze zien wel precies wanneer je met welke partijen interacteerd.

[Martijntjeh]

Die relying party is toch gewoon de partij die het certificaat van de TLS verbinding uitgeeft? Correct me if I am wrong…

[SleutelMan]

Nope, in het (web)PKI-land is de relying party de browser. Het gaat om een partij die op het certificaat moet kunnen vertrouwen (to rely on). De Certificate Authority (CA) valideert een certificaataanvraag en geeft certificaten uit. Is hier dus een ander systeem/context

[Reactie gewijzigd door SleutelMan op 23 juli 2024 10:39]

[The Zep Man]

Nu loggen veel mensen in diensten in met een Facebook/Google/Microsoft-account, en heb je hetzelfde probleem.

Kan je in GitHub zelf niet een vertrouwde Relying Party-server opgeven? Zo ja, kan je het altijd nog zelf hosten. Verder zie ik geen probleem zolang het niet verplicht is.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 10:39]

[MegaR]

Is de relying-party niet gewoon de server waar je op authentificeert? Dus precies hetzelfde waar je nu nog je username/password invult?

[rullzer]

Dit klopt niet helemaal. Meestal draait de webauthentication API in de browser en die handelt de user side af. De Relaying party operations worden door de server afgehandeld. Dit kan betekenen dat ze calls doen naar andere services. Maar dat hoeft zeker niet.

In Principe moet je gewoon een public key registeren. Nu zijn er mogelijkheden om te zeggen nee alleen echter yubikeys bijvoorbeeld. Maar dan nog kan dat ook gebaseerd zijn op de yubikey public key. Dus zonder dat je met yubikey moet praten. Maar er zijn ook varianten mogelijk dat je wel met een 3rdparty moet praten.

De bewoording is misschien een beetje ongelukkig maar als je inlogt met je security key of met 1password passkey of met je face id enabled iphone. Dan hoeft het allemaal niet. Sterker nog ik denk dat in veel gevallen ze dit allemaal lokaal op de servers van github zullen afhandelen omdat dat gewoon een dependency op andere services weg haalt en sneller is.

[Defragging]

Ik heb het filmpje afgekeken maar is dat browser / Certficate verbonden aan ingelogd gebruiker?
Dus als ik even wegloop zonder te locken, iemand opent webbrowser > kan zo inloggen met mijn gegevens.

Doorgaans kunnen browser geboden data ook overgekopieerd worden door kwaadwillende, hoe ga je het dan weer "herstellen" oftewel hun sessie beëindigen ?

[Zer0]

Dus als ik even wegloop zonder te locken,

Op dat moment ben je al de mist in gegaan....

[jaapzb]

Je moet de menselijke factor ook meenemen in dit soort systemen, het zijn namelijk uiteindelijk mensen die het gaan gebruiken.

[Reactie gewijzigd door jaapzb op 23 juli 2024 10:39]

[RobIII]

Nee, het is gebonden aan een Face-id, fingerprint, Yubikey; dat soort zaken.

[nzall]

En wat als je computer dit niet heeft? Mijn computer heeft geen webcam, geen microfoon, geen fingerprint reader, geen Yubikey, niets wat kan gezien worden als "something you are" of "something you have".

[ComputerGekkie]

Dan ga je voor “something you know” cq je wachtwoord

[RobertMe]

Geen enkele computer heeft een YubiKey. Maar computers hebben over het algemeen wel een USB poort (USB-A of USB-C). Dus daar kun je een YubiKey wel op in prikken. En ik meen zelfs dat ze versies hebben met een Apple Lightning connector.

En daarnaast hebben verschillende modellen ook NFC voor gebruik met de telefoon (en ook daar werken ze volgens mij op middels USB).

[TheVMaster]

Maar voor Passkey heb je niet perse een Yubikey nodig. Kan ook 'gewoon' met een iPhone of Android toestel waar je passkeys dan op opgeslagen staan'. Daarnaast kan ook je password manager ze opslaan, zoals 1Password.

[vickypollard]

Doe je met het opslaan in een password manager niet het idee van de passkeys teniet? Dan is de veiligheid van al je passkeys ineens weer verbonden aan een wachtwoord (en als je niet zelf je password manager host, ook nog aan één partij), wat je juist wilde voorkomen door passkeys te gebruiken.

[Reactie gewijzigd door vickypollard op 23 juli 2024 10:39]

[TheVMaster]

Nee, want mijn password manager gebruikt straks ook een passkey. Eigenlijk zou ik de passkeys gewoon in mijn Apple keychain willen hebben, maar het issue is dan wel dat je dan vooralsnog niet makkelijk weg kunt uit het Apple ecosysteem. Dus gebruik ik mijn passwordmanager (die op alle platformen beschikbaar is) om passkeys op te slaan.

Overigens als je dus je Passkeys (die je toch ergens zult moeten vastleggen) in iOS of Android opslaat, dan zit je ook vast aan 1 partij. En nee, ik ga passwordmanagers niet zelf hosten want waarom zou ik beter zijn in het beveiligen van een passwordmanager dan een partij wiens belangrijkste taak dat is (en die ook nog eens elke paar maanden een check laat doen)? En ja, je kunt ook met fysieke Yubikeys gaan werken, maar die gebruik ik dan wel weer om mijn Password manager te unlocken (als ik hem aan een nieuw device toevoeg). en als ik eenmaal mijn passwordmanager actief heb, dan volstaat FaceID of Windows Hello

[netdata]

Dan werkt het niet ;-)

[GertMenkel]

Je kunt gewoon je TPM gebruiken voor passkeys, al zul je dan wel een goed, los wachtwoord moeten kiezen natuurlijk. Dan kun je met één goed wachtwoord overal op inloggen.

Op Android kan dit al veel langer met U2F en dergelijke, als je geen vingerafdrukscanner hebt, wordt de secret store van je telefoon (bijvoorbeeld met TrustZone geïmplementeerd) gebruiken na het ingeven van je schermvergrendeling.

[GertMenkel]

Waarschijnlijk heeft je computer een TPM waar je een sleutel in kan bewaren. Als dat het geval is, zou je via Windows Hello met bijvoorbeeld een PIN-code (en dan wel een PIN die ook letters kan bevatten, want Microsoft en naamgeving is raar) de TPM gebruiken met een passkey. Dit is dan geen website-specifieke PIN, maar een computer/gebruikerspecifieke code.

Zie hierhttps://www.bleepingcompu...anager-for-windows-hello/ meer informatie.

[Sandro!]

Als je een iPhone hebt waar de passkey in opgeslagen is, kun je een QR-code op je scherm scannen en op die manier inloggen: zie https://support.apple.com...e/iphone/iphf538ea8d0/ios onder Sign in on a different device with the passkey stored on your iPhone.

[nzall]

Ah, dat wist ik niet. Dan moet ik dat eens nakijken. wel een relevant vraagje hierbij: als ik binnen pakweg 5 jaar een nieuwe iPhone zou kopen, kan ik dan mijn passkeys transferen tijdens het iPhone transfer process?

[RobIII]

Uiteraard - maar er blijven ook gewoon 'backup methodes' beschikbaar he?

[Sandro!]

Ik heb het net zelf even getest en om in Edge bij GitHub in te loggen met je passkey, moet je in de eerste dialog juist op Cancel drukken, dan krijg je een tweede waarin je kunt aangeven dat je een telefoon of tablet wilt gebruiken en kun je de QR-code scannen.

De passkeys worden in de Keychain opgeslagen en via iCloud gesynchroniseerd. Wil je dat niet, zul je waarschijnlijk een encrypted backup van je oude telefoon moeten maken via iTunes en die op je nieuwe telefoon terugzetten.

[vickypollard]

Wat is het voordeel dan van passkeys, naast gemak, als je passkeys alsnog tussen devices gesynct worden via een cloud-dienst? Tenzij je toegang daartoe ook weer beveiligt met een passkey in plaats van een wachtwoord, heb je dus een zwakke schakel toegevoegd die je passkeys eigenlijk even kwetsbaar maken als een wachtwoord.

Of zie ik dat verkeerd?

[Reactie gewijzigd door vickypollard op 23 juli 2024 10:39]

[TheVMaster]

Dan kun je 'gebruik een iphone of android toestel' gebruiken en scan je de QR met die camera.

[Yggdrasil]

Het mag ook een ander apparaat zijn, bijv. een iPhone. Webapp toont dan een QR code die je met je telefooncamera scant.

[supersnathan94]

Dan je TPM module (verplicht TPM2.0 boor Windows 11) in combinatie met een sterk wachtwoord. Dit werkt dan als een soort van single sign on oplossing/password manager, maar dan met een veiligere oplossing voor authenticatie aan de applicatiekant.

[supersnathan94]

Nee. Passkeys werken veel veiliger dan wat je ju gebruikt. De meeste mensen hebben een password manager die zonder vorm van authenticatie wachtwoorden vrijgeeft en alvast invult. Denk aan de standaard dingen van edge en chrome.

Passkeys iets nieuws wat authenticatie verbind aan biometrics of hardware tokens in het device. Zonder kun je dus helemaal niet inloggen. Ook als het device is ontgrendeld.

Apple doet dit nu al met finger- en faceID enabled devices voor normale vault access en autofill in safari, maar dat kun je zo dus ook afdwingen met andere ondersteunde browsers zoals chrome en op device waar bijvoorbeeld windows hello niet gebruikt mag worden voor windows unlock (zoals sommige werklaptops via policies).

Passkeys is een veel veiligere manier.

[Gropah]

Maar wat als je KeePass oid gebruikt voor je wachtwoorden, waardoor ze niet blind vooringevuld worden. Is het dan nog veiliger?

Voor mij voelt het van niet, omdat je namelijk alsnog maar 2 van de 3 categorieën van iets wat je weet, bent of hebt vervuld (mits geen biometrics, zoals Apple faceid)

[supersnathan94]

Ja, want het mechanisme werkt anders.

Phishing werkt bijvoorbeeld niet meer met deze technieken. De eenmalige code die wordt gegenereerd is namelijk afhankelijk van het device en werkt met allerlei technieken zoals fingerprinting om die identiteit te verifiëren.

Daarnaast hoef je geen master password te onthouden (wat per definitie dus al geen bijster sterk wachtwoord is) en zit OTP ingebakken in de techniek.

[GertMenkel]

Als het goed is zul je om authenticatie worden gevraagd bij het gebruik van de passkeys. Dat kan biometrie zijn (zoals je vingerafdruk of de 3D-gezichtsherkenning van Apple en Windows, bijvoorbeeld) maar ook een wachtwoord.

Als je een externe key gebruikt die geen verdere verificatie eist, zoals de goedkopere Yubikeys zonder vingerafdrukscanner, zul je de sleutel mee moeten nemen naar de WC. Een fysieke authenticatiesleutel in je PC achterlaten is als je sleutelbos in de voordeur achterlaten, dan is het snel gedaan met de beveiliging. Het voordeel van een fysieke sleutel is dat je geen losse wachtwoorden meer nodig hebt, het nadeel is dat je je sleutel wel goed moet bewaken.

Maar goed, als je je PC ingelogd achterlaat kan men net zo goed een keylogger installeren of de JWT tokens uit je browser stelen.

[Raphire]

Dat zelfde kan ook als mensen hun wachtwoorden opslaan in de browser, die automatisch alles in vult zonder authenticatie.

Desalniettemin, Het idee achter passkeys is dat deze keys in bijvoorbeeld de TPM chip worden opgeslagen en enkel dmv authenticatie met pin/biometrische gegevens kan worden gebruikt.

[Reactie gewijzigd door Raphire op 23 juli 2024 10:39]

[klakkie.57th]

En wat maakt dit nu veiliger dan bv 2FA.
Ik heb nu al meerder YouTube filmpjes gekeken en ik ben er nog steeds niet uit

[Reactie gewijzigd door klakkie.57th op 23 juli 2024 10:39]

[jcbvm]

Een passkey is de vervanger voor zowel je wachtwoord als de 2fa, het is niet alleen de 2fa die het vervangt. Zie verder het verhaal van @Gamebuster

[klakkie.57th]

Nou ik “voel” het zo nog niet, maar dat komt misschien nog wel Geef mij maar een username/password en een TOTP via een applicatie op mijn telefoon.

Ik wil gewoon nog “bewust” inloggen.

[Gamebuster]

Je logt alsnog bewust in, alleen het invullen van username/password/totp code gaat automatisch.

In plaats daarvan moet je je login bevestigen via een extern systeem, bijv. door je hardware key aan te raken of een master password in te vullen. Tijdens die login-flow krijg je op een extern systeem te zien waar je inlogt en namens wat. Dat biedt perfecte bescherming tegen phishing.

Omdat je zelf geen wachtwoorden hoeft te bedenken is de kans op wachtwoord-reuse totaal 0.

Het vereist altijd een vorm van interactie, op z'n minst het invoeren van een pincode of bevestigen via biometrie (windows hello, vingerafdrukscanner, whatever). Je account is dan niet beveiligd met de pincode of windows hello of whatever, maar een combinatie van dat + een sleutelgenerator via de cloud, je browser of een hardware sleutel.

[Reactie gewijzigd door Gamebuster op 23 juli 2024 10:39]

[klakkie.57th]

Ik begrijp je, maar mijn punt was dat wanneer ik op mijn pc inlog op een website en ik enkel nog een handeling moet doen op diezelfde pc, mij dit onveiliger lijkt dan een puschbericht van je authenticator app op je telefoon en niet de op iets dat aangesloten is op diezelfde pc, zoals je webcam/fingerprintsensor/…., anders is het zoals je pincode doorgestuurd krijgen via mail die je inkijkt op dezelfde pc

[Reactie gewijzigd door klakkie.57th op 23 juli 2024 10:39]

[jcbvm]

Volgens mij is het met passkeys nog steeds mogelijk om via je mobiel te bevestigen als je mobiel de store is van je passkeys. Hoef je ook niks in te pluggen. Maar ik snap je gevoel wel ja, het voelt onveiliger. Daarnaast verandert er eigenlijk niet veel als je nu al een wachtwoordmanager gebruikt en dus eigenlijk nooit ergens zelf een wachtwoord invult.

[Faceless]

Laat je niets wijs maken. Je kunt 2 FA niet samenvoegen tot 1 ding. Het is iets wat je alleen maar weet en het is iets wat je alleen maar hebt.

Passkeys 'softwarematig' zijn gekoppeld aan een computer of gekoppeld aan een dienst als een password manager, dus dat is iets iets wat je weet (de login van de computer / dienst) en daar ontbreekt dus de factor 2.

Passkeys 'hardwarematig' zoals een yubikey is iets wat je hebt en daar ontbreekt dus factor 1.

Kortom, een heleboel fuzz om terug te gaan naar 1 factor authenticatie.. Mensen zullen binnenkort hopelijk het licht wel een keer zien.

[klakkie.57th]

Zo voelt het dus ook voor mij, je vervangt username en pasword door een passkey, maar je mist nog steeds die extra verificatie op een ander device als je het implementeert zoals sommigen hier zeggen, 1 keer inloggen want dat is lekker makkelijk.

[Faceless]

Klopt. Passkeys zouden alleen factor 1 of factor 2 moeten vervangen.

Maar goed, das geen sexy verhaal blijkbaar voor Tweakers. Gewoon persberichten blijven overschrijven hoor.

[Gamebuster]

2FA op zichzelf is niets meer dan het hebben van 2 beveiliging methodes, ongeacht hoe veilig deze zijn. Gebruikelijk wordt 2FA geimplementeerd met een wachtwoord als 1e "factor" en een Time-based One-Time Password, die 6-cijferige codes die iedere 30 seconden veranderen of in sommige gevallen naar je SMS of e-mail verzonden worden.

TOTP via E-mail, SMS of authenticator app is beter dan niets, maar het biedt geen bescherming tegen phishing, waarbij de "foute pagina" je gewoon ook om die 6-cijfere code kan vragen, of er 1tje kan opsturen door in te loggen bij de "echte loginpagina" met de username/password die jij net hebt opgegeven.

SMS en E-mail kan vaak gelijktijdig gehackt zijn met het platform waarop een aanvaller probeert in te loggen, wat het een zwakke methode maakt (maar beter dan niets). Bij een TOTP via authenticator app zit de "secret key" in ieder geval in jouw telefoon en hebben ze echt jou nodig om die code over te typen, maar je kan die alsnog intypen in een nep pagina.

Passkeys automatiseren het hele proces. Net als TOTP is er een secret key (ergens), alleen ipv dat jij handmatig de gegenereerde code moet overtypen, gaat het volledig automatisch en hoef je alleen maar te bevestigen dat je inlogt. De passkey provider zal alleen tokens genereren voor exact dezelfde domeinnaam en username, dus phishing is hierbij niet mogelijk. Jij zal vrijwel altijd moeten bevestigen dat je inlogt, soms kan dit door ergens te klikken, en in het geval van een Yubikey moet je de key fysiek aanraken (iemand die je PC heeft overgenomen kan dat dus niet doen)

Passkeys zijn wat mij betreft zoveel veiliger dan wachtwoorden, TOTP via auth-app, SMS of E-mail, dat het voldoende moet zijn om exclusief met passkeys te werken en gewoon de rest de deur uit te doen. Naar mijn mening moet het dan wel blijven werken met Yubikeys of vergelijkbaar, want in geen geval laat ik mijn secrets achter in een cloud Merk op dat je yubikey of whatever provider vrijwel altijd ook vraagt om een pincode of "master password" om deze te unlocken; een gestolen key biedt dus nog geen toegang. Deze master password of pincode komt echter nooit je systeem uit, dus die kan niet lekken door hergebruik, en zelfs als ze wel de master password of pincode hebben, moeten ze je eventuele fysieke key ook nog fysiek verkrijgen.

Merk op dat de meeste websites het mogelijk maken om meer dan 1 provider te nemen. Zo heb ik 2 yubikeys geregistreerd. Als ik er 1 verlies, kan ik de ander nog gebruiken.

[Reactie gewijzigd door Gamebuster op 23 juli 2024 10:39]

[TheVMaster]

Het is makkelijker en veiliger dan username/password. Het ding is namelijk dat er niets meer gelekt kan worden. Ook een MFA sessie schijnt gekaapt te kunnen worden, met Passkeys heb je dus ALTIJD het device zelf nodig om te kunnen inloggen.

Wat @Anoniem: 710428 eigenlijk ook al zegt. Je wilt niet elke dag 30+ minuten bezig zijn met inloggen op websites en MFA afhandelen, gewoon inloggen met FaceID/Windows Hello en dan overal bij kunnen (en dat die sites dan authenticeren onder water met private/public key pairs zal mij een zorg zijn, zolang het maar veilig gaat en snel is).

[Anoniem: 710428]

Niet zo zeer veiliger dan 2fa maar wel veiliger dan gebruikersnaam+ wachtwoord. Het is ook een stuk sneller natuurlijk

Ik ben op een dag zeker wel een halfuur bezig met overal inloggen met 2fa's , daar wil ik vanaf. Ik wil gewoon snel mijn pc opstarten, authenticeren met bijv mijn faceid en dan bij elke site inloggen waar ik wil zonder inloggegevens te hoeven invullen.

[klakkie.57th]

Mar dat werkt natuurlijk alleen als al die individuele websites dan niet iedere op hun beurt 2FA vereisen, wat in mijn geval nagenoeg altijd het geval is

[Anoniem: 710428]

Ook nadat ze passwordless hebben toegevoegd? Lijkt me stug, want passwordless zou de vervanger moeten zijn voor alles.

Ik ben in ieder geval erg blij met de ontwikkel, vind alleen jammer dat het zolang heeft moeten duren voordat het kwam.

Web2 ; inloggen met je google/fb/apple account scheelt al een hoop en gelukkig kunnen ze dat dus binnekort omzetten naar passwordless met die 3 providers. Voor de 90% bevolking is dat echt een verademing, voor de privacy tweakers misschien wat minder, maar die komen er ook wel uit.

[Reactie gewijzigd door Anoniem: 710428 op 23 juli 2024 10:39]

[Tassadar32]

Privacy tweakers hosten gewoon zelf een vaultwarden instance en gebruiken bitwarden op mobiel of in de browser.

[Gamebuster]

Passkeys zijn zeker wel veiliger dan de meeste 2FA implementaties, tenzij de 2FA methode passkeys gebruikt

[wildekek]

Passkeys zijn een enorm goed idee, zolang de gebruiker kan kiezen waar de private keys worden opgeslagen. Een Safari passkey in iCloud en een Chrome passkey in je Chrome profile is echt waardeloos.

[GertMenkel]

De standaard staat dit al toe, maar niet ieder OS is nog up to date. Ik weet van Android dat pas vanaf Android 14 passkeys die niet van Google komen standaard zullen worden ondersteund, hoe dat op iOS zit durf ik niet te zeggen.

Verdere passkeys zijn afhankelijk van hoe vriendelijk je desktopbrowser is. Apple's eigen passkeys lijken met Sonoma naar desktopbrowsers te komen. Op Windows zouden de passkeys van Microsoft gewoon bruikbaar moeten zijn op andere browser omdat die via Windows Hello werken.

Ik draai zelf Linux en gebruik Firefox dus mijn directe ervaring met passkeys is nog minimaal helaas. Ik wacht zelf tot Bitwarden eindelijk passkeys kan regelen voor me aangezien 1Password de enige onafhankelijke passkeymethode lijkt te bieden.

[TheVMaster]

iOS ondersteund het al een tijd, volgens mij waren ze een van de eerste platformen die het ondersteunden. Windows ondesteund het pas echt goed sinds een van de laatste Insider Builds geloof ik.

[TheVMaster]

Tja, als je een password manager (zoals 1Password) gebruikt kunnen ze ook daar gewoon in worden opgeslagen. 1Password doet dit behoorlijk seamless btw.

[klakkie.57th]

Maar moet je dit willen al je secrets op 1 plek ?? Username/paswoord in je paswoordmanager en je passkeys in een andere systeem onafhankelijk van het de systeem waarop je werkt lijkt mij dan een veel stuk veiliger.

Ook dat “ik hoef maar 1 keer te authenticeren” lijkt mij geen best practice. Gewoon iedere keer wanneer je een passkey nodig hebt even bevestigen op je telefoon of ander device.

[Reactie gewijzigd door klakkie.57th op 23 juli 2024 10:39]

[TheVMaster]

De grap/bedoeling van Passkeys is dat het in plaats van wachtwoorden gaat zijn. Dus hoe zie jij dat precies voor je, dat je die op een andere plek bewaard dan ehh, dan wat eigenlijk?

Dus als passkeys gemeengoed zijn, dan zal je dus geen username/passwords meer nodig hebben. Nu heb ik voor m’n Werk (O365) en Microsoft accounts ook een passwordless (met de Authenticator App) aanlogmethode. Dus geen reden meer om wachtwoorden te gebruiken of te hebben.

[klakkie.57th]

Al Je passkeys ga je toch ergens in een vault moeten opslaan lijkt me ? Die vault wil te toch gescheiden hebben van het toestel waar je op inlogt, lijkt mij gewoon gezond verstand.

Maar goed lijkt mij toch toekomstmuziek voor alle websites over zijn op passkeys zijn we weer 10 jaar verder en is er vast weer wat nieuws.

[TheVMaster]

Dat is te kort door de bocht, misschien even verdiepen in passkeys? 😇

[Bor]

@klakkie.57th heeft het over de opslag van het private deel van de passkey. Die zal je goed moeten beschermen. Wanneer je dat in een password manager opslaat beperk je de beveiliging tot de beveiliging van die password manager en de toegang hiertoe.

[TheVMaster]

True, maar als je die ‘gewoon’ op je iPhone/Android/Windows device opslaat dan staat hij natuurlijk ‘fysieker’ op een device. Al roamed hij op die devices ook gewoon ‘tussen je devices via de cloud van die providers’. Tuurlijk is er theoretisch een ‘groter’ risico als je een password manager gebruikt, maar op dit moment is dat wat mij betreft acceptabel en die passwordmanager is natuurlijk ook niet alleen voorzien van username+password. Die unlock je ook alleen met met een FIDO2 key, maar daarna wordt dat overgenomen door FaceID en/of Windows Hello. Dat is acceptabel.

Het is natuurlijk ‘lastig’ als je gebruik maakt van zowel iOS, Android, Windows om dan je passkeys goed te kunnen laten roemen. Of je moet er geen issue mee hebben dat je 30x per dag je telefoon moet pakken om een authenticatie methode te gebruiken. Dan gaat het gros van de gebruikers gewoon lekker op wachtwoorden blijven hangen. Je wilt natuurlijk een seamless, passwordless oplossing die ook tussen je devices roamed. En ja wij Tweakers zijn daar misschien anders in, maar 99% van de mensheid wil gewoon ‘geen gedoe’. Dat is dezelfde reden dat die groep ook vaak overal eenzelfde/hetzelfde wachtwoord gebruikt en juist daar willen we vanaf.

[Reactie gewijzigd door TheVMaster op 23 juli 2024 10:39]

[Bor]

en die passwordmanager is natuurlijk ook niet alleen voorzien van username+password. Die unlock je ook alleen met met een FIDO2 key, maar daarna wordt dat overgenomen door FaceID en/of Windows Hello. Dat is acceptabel.

Jij misschien wel maar het grootste deel van de mensen niet hoor. FIDO2 is nog lang niet ingeburgerd en eigenlijk alleen nog maar in gebruik bij sommige bedrijven en tech savvy mensen. Een goede oplossing moet voor iedereen goed en veilig werken imho.

[TheVMaster]

Tuurlijk, voor het gros van de mensen zal het dus eerst een seamless ervaring moeten gaan worden. Mensen die hun hele leven vertrouwen op gebruikersnamen en wachtwoorden heb je niet in een paar maanden (of jaren) over naar iets compleet anders.

Passkeys zijn denk ik een heel goede vervanger voor een username/wachtwoord en als je de passkeys alleen op je iPhone (of Android) toestel opslaat, dan is dat voor 99% van de mensen een goede oplossing denk ik. Daarnaast ben ik er een beetje huiverig voor om passkeys dus met Windows Hello op te slaan. Want ik heb niet helemaal helder wat er gebeurt als ik mijn pc weer eens opnieuw ga installeren. Of roamen die passkeys dan mee met (in het geval van een werk pc) met Enterprise State Roaming. Of (bij een persoonlijk account) met mijn Microsoft Account settings?

Maar dan heb ik dus (waarschijnlijk) op mijn werkpc niet de mogelijkheid om die passkeys op te slaan in mijn persoonlijke account en kan ik ze dus niet hergebruiken op mijn privé pc (of telefoon), vandaar dus de passwordmanager die wel overal aanwezig is en die dus ook passkeys opslaat.

[TheVMaster]

Wat ik me nu wel afvraag. Nu heb ik een Passkey aangemaakt (eigenlijk meerdere, een binnen Windows Hello, 1 binnen 1Password en 1 op iOS), maar als ik nu in een Private browser naar github ga, dan moet ik nog steeds inloggen met username/password. Pas daarna herkent hij dat ik een passkey heb en de volgende keer kan ik die dan wel (binnen die browser) gebruiken.

Ik zou toch graag zien dat ik gewoon de optie krijg (direct) 'inloggen met passkey'.

[DismissedGuy]

In het geval van GitHub heeft dit er waarschijnlijk mee te maken dat het nog een feature preview is; ik geloof dat ze die instellingen aan je session cookie koppelen, dus zodra je je cookies verwijdert staat die feature weer uit totdat je opnieuw inlogt. Ik hoop dat dat niet meer gebeurt nadat ze het standaard voor iedereen hebben aangezet.

Sommige andere services doen dat overigens ook terwijl het voor hun (naar mijn weten) niet meer in beta is, en dat is inderdaad behoorlijk irritant.

[TheVMaster]

Ik vraag dat ook omdat ik het bij andere sites die Passkeys zijn gaan ondersteunen (zoals bv. eBay) ook gebeurt. Daar lijkt het ook aan een session cookie ofzo gekoppeld te zijn, maar goed dat zei jij ook al ;-)

[Martijntjeh]

Top nieuws! Ik hoop maar dat meer websites passkeys gaan ondersteunen!!!

[TheVMaster]

Ben wel benieuwd of Tweakers dit ook gaat ondersteunen trouwens Vind dat echt iets voor onze nummer 1 tech community!

[Martijntjeh]

Helemaal mee eens!

[Elaborate8455]

Lijkt mij duidelijk de toekomst.