Nieuwe Microsoft-accounts worden standaard wachtwoordloos

Microsoft gaat nieuwe accounts voortaan standaard vragen om wachtwoordloze inlogmethoden te gebruiken, zoals passkeys. Het bedrijf wil daarmee afstappen van 'minder veilige' wachtwoorden. Microsoft kwam eerder dit jaar al met een nieuw inlogscherm, dat beter werkt met die inlogopties.

Microsoft liet op donderdag weten dat het 'standaardgedrag' bij het aanmaken van nieuwe accounts verandert, waarbij standaard wordt ingezet op wachtwoordloze inlogmethoden. "Nieuwe gebruikers hebben verschillende wachtwoordloze opties om zich aan te melden bij hun account en hoeven nooit een wachtwoord op te geven", schrijft het bedrijf. Bestaande gebruikers krijgen de optie om hun wachtwoord te verwijderen in de accountinstellingen.

De techgigant zegt dat nieuwe accounts 'nu' standaard wachtwoordloos zijn, hoewel ons nog steeds gevraagd werd om een wachtwoord in te voeren bij het aanmaken van een Microsoft-account. Vermoedelijk wordt de wijziging dan ook binnenkort doorgevoerd. Microsoft biedt al langer wachtwoordloze inlogmethoden aan. Daaronder vallen bijvoorbeeld passkeys, inloggen via een telefoon en fysieke beveiligingssleutels. Voorheen moesten gebruikers eerst een wachtwoord instellen voordat ze die konden gebruiken. Dat gaat binnenkort veranderen.

De aankondiging volgt in het kader van de eerste World Passkey Day, die vroeger bekendstond als World Password Day. De FIDO Alliance, die authenticatienormen ontwikkelt en de feestdag heeft bedacht, heeft hem dit jaar hernoemd om 'de verschuiving weg van wachtwoorden te versnellen'.

Reacties (229)

[Triblade_8472]

Ik hoop met heel mijn hart dat ze een goede helpdesk hebben voor alle mensen die de passkey kwijtraken of een nieuwe telefoon hebben waar dit niet in meegekomen is.

Op kantoor kom ik genoeg tegen dat dit een probleem is. Laat staan de rest van de wereld.

Ik begrijp dat wachtwoorden niet meer 'kunnen', maar dan moet er wel een degelijke achtervang zijn als het 'passwordless' deel niet meer werkt.

[The Zep Man]

Ik hoop met heel mijn hart dat ze een goede helpdesk hebben voor alle mensen die de passkey kwijtraken of een nieuwe telefoon hebben waar dit niet in meegekomen is.

Je verwart een aantal zaken. Nieuwe Microsoft accounts hebben standaard geen wachtwoord meer. Dit zegt niets over domeinaccounts bij organisaties of wachtwoorden om in te loggen met Windows Hello.

"Passkey" staat niet gelijk aan "smartcard/fysieke token". Banaan is fruit, maar fruit hoeft geen banaan te zijn. Je kan prima passkeys gebruiken via platformauthenticatie (zoals Windows Hello) om jouw platform zich te laten authenticeren naar de betreffende dienst. Hoe jij je als gebruiker authenticeert naar het platform kan op vele manieren die los staan van elkaar: iets dat je weet (wachtwoorden/PIN, schermpatroon, ...), iets dat je hebt (smartcard, fysieke token/key, ...) of iets dat je bent (gezicht, vingerafdruk, ...).

[Reactie gewijzigd door The Zep Man op 2 mei 2025 09:20]

[swhnld]

Stel, ik ben op vakantie en mijn telefoon wordt gestolen. op de telefoon staat een passkey voor MS. Nu koop ik een nieuwe telefoon. Hoe log ik dan in op mijn wachtwoordloze MS account op die nieuwe telefoon?

[Hann1BaL]

Gebruik een goede password manager waarin je je passkeys opslaat en je bent niet afhankelijk van een specifiek device voor je passkeys.

Het zijn net sleutels
Als je je huissleutel kwijt raakt, moet je ook zorgen dat je een reservesleutel hebt. Waarom is dat dan ineens raar met de passkey authenticatie?

En als het goed is, kun je je wachtwoorden sowieso niet onthouden, want dan zijn ze te makkelijk, of je hergebruikt je wachtwoorden. (Dit is niet als persoonlijke reactie, maar als je wachtwoord wel het makkelijkst is, is dat doorgaans door een redelijk zwak wachtwoord)

[3raser]

Als je dan toch al een wachtwoordmanager gebruikt, waarom dan nog de behoefte aan passkeys? Een lang random wachtwoord doet toch precies hetzelfde? En dat werkt overal, niet alleen bij diensten die toevallig passkeys ondersteunen.

[Hann1BaL]

Nee, het doet niet hetzelfde. Ja het geeft dezelfde toegang, maar een wachtwoord is gewoon minder veilig.
Versimpeld: Een passkey is per design een MFA en dus afhankelijk dat je het apparaat in handen hebt.
Terwijl een wachtwoord door iedereen kan worden geprobeerd van waar ook ter wereld.

En het feit dat passkeys niet overal worden ondersteund is alleen maar een extra reden een PW manager te gebruiken met zeer sterke wachtwoorden totdat ze wel passkeys ondersteunen.

Wat je denk ik bedoelt is dat de gebruikerservaring voor het inloggen zelf redelijk hetzelfde is.

[Triblade_8472]

Versimpeld: Een passkey is per design een MFA

Ik heb een mooie post gezien hierover: Passkeys: MFA or not?

MFA was bedoeld om de beveiliging te versterken met iets wat je hebt & iets wat je weet.
Wat je weet is op een gegeven moment (in veel gevallen) vervangen met biometrisch - iets wat je bent. Eigenlijk een 2e 'iets wat je hebt'. Alleen iets wat minder makkelijk gestolen kan worden.

Biometrisch en passkeys (op hetzelfde authenticatie apparaat) verzieken eigenlijk dit principe omdat je met 1 apparaat toegang tot iets kan krijgen. Een hacker hoeft alleen (online) het device te hacken en is binnen. Geen wachtwoord of PIN uit het hoofd wat een hacker moet gokken\kraken.

Iets wat je écht weet is eigenlijk onvervangbaar. We zijn nu mensen weer dom aan het maken door technische oplossingen. (=mening)

[3raser]

Hoe is een passkey per design MFA terwijl ik deze gewoon in Bitwarden aan kan maken? Waar is dan de MFA?

[Hann1BaL]

Als het goed is moet je je Bitwarden authenticeren. (Iets wat je weet of bent) icm met de iets wat je hebt, de passkey

[3raser]

Als je het zo bekijkt is iedere vorm van wachtwoordmanager dus ook al standaard MFA. Daar denken de meeste mensen toch anders over lijkt me.

[24hourpartypal]

Nee want met wachtwoorden in een wwmanager heb je slechts 1 factor aan authenticatie, namelijk het wachtwoord. Uiteindelijk kan je altijd naar binnen met het wachtwoord, er zijn meerdere manieren om aan het wachtwoord te komen (denk aan bijv een hack). Bij passkeys heb je een private key in je password manager en staat er een public key op de service waar je in wil loggen. Zodra je in gaat loggen dan log je in bij je wachtwoordmanager (eerste factor) en wordt er een challenge meegestuurd die wordt opgelost door je private key (tweede factor), vervolgens wordt die key dan vergeleken met de public key en kan je als het goed is naar binnen. De enigste manier om naar binnen te komen is dus via dit proces en een hacker kan dus niet naar binnen als die jouw wachtwoord ergens anders is tegengekomen.

Uiteindelijk valt of staat je beveiliging met hoe goed je wachtwoord manager beveligd is, maar dit is bij elke andere MFA vorm ook het geval. Als ik bij jouw telefoon naar binnen kan, kan ik prima je OTP SMSjes lezen en gebruiken. Dit is zelfs veiliger dan multi-factor via WW+OTP omdat de tweede factor encrypted is (private key). Het is vrij makkelijk om een MFA log-in te onderscheppen aan de hand van een MitM-attack/phishing.

[Hann1BaL]

Nee dat is het niet want het is anders alleen beveiligt met een wachtwoord.

[xxs]

Dat is toch geen MFA?

[Blizz]

Een passkey is by design MFA, want het combineert iets dat je hebt (je apparaat) met iets dat je bent (via biometrie) of iets dat je weet (apparaatwachtwoord of -code). Het is phishing resistant en by design veiliger dan het gebruik van wachtwoorden. Bovendien zijn wachtwoorden vaak ook beperkt of onderhevig aan wisselende voorwaarden.

[3raser]

Ik moet zeggen dat ik te weinig details wist over passkeys en dat ik de voordelen er wel meer van ga inzien. Vooral het feit dat je "wachtwoord" nooit uit kan lekken als er weer eens wordt ingebroken bij een willekeurig bedrijf, en dat MITM aanvallen onmogelijk worden is een groot voordeel. Het lijkt me wel extreem belangrijk dat je private keys veilig worden opgeslagen, want daar hangt nu alles vanaf. Een wachtwoordmanager in de cloud wordt dan nog kritieker. Als je private keys uitlekken heb je geen 2FA om op terug te vallen die je nog kan beschermen.

[Bas-w]

Versimpeld: Een passkey is per design een MFA en dus afhankelijk dat je het apparaat in handen hebt.

Dit is wel een probleem zoals ik het begrijp, want als ik de toegang tot mijn device (pc/mobiel) verlies (diefstal/kapot) heb ik niks aan al die passkeys die opgeslagen staan in mijn (wachtwoord-/) passkeymanager. Met een ander apparaat kan ik immers niet inloggen met dezelfde passkey. Toch?

Edit: ik zie nu dat ik het niet goed begrepen had, dit kan wel.

[Reactie gewijzigd door Bas-w op 3 mei 2025 11:21]

[fireblack]

Passkeys zijn niet opgeslagen bij bijvoorbeeld een website.
Passkeys is een sleutel.

Passwoord is wel opgeslagen om te bevestigen dat hetzelfde pw is.

Bik een hack kunnen ze je passworden niet meer zien, wat nu tot de meeste problemen zorgt dat je je wachtwoord hergebruikt op andere site.

[ikt]

Maar dan doet bijvoorbeeld Bitwarden een verplichting tot een 2FA key *op* je Bitwarden account. Ik heb wel lokaal backups, maar die backup telefoon ga ik niet meenemen op vakantie. Als alles wordt gejat heb ik gewoon een gigantisch probleem.

Het idee achter een password manager is juist dat je 1 hele goede passphrase hebt die nergens wordt gebruikt en dus gewoon veilig is.

Ik snap het volledig dat dit algemeen veiliger is, maar handiger wordt het nooit en de risico op permanent locked out raken wordt met elke drempel steeds groter.

[Hann1BaL]

Als je bitwarden hebt ingesteld gebruik je toch gewoon je biometrics om je vault te unlocken? Ingesteld op meerdere apparaten die je mee hebt, en misschien een fysieke steutel als backup? Recovery contact die toegang kan krijgen eventueel?
Als al je huissleutels worden gejat heb je ook een probleem. Ja dat klopt wel.

En wederom kun je een recovery optie toevoegen zodat je niet permanent locked out raakt en volledig afhankelijk bent van de passkey.
Van de paar honderd (gokje) opgeslagen credentials in mijn PW manager heb ik maar toegang tot misschien 2 platformen nodig mocht ik echt mijn toegang kwijt raken. (Email + file storage)
Zorg dan dat je daar dus een extra auth methode hebt toegevoegd die je elders bewaard.
Niets is vrij van risico. Het is altijd een afweging.

[Athome]

Hier op Tweakers wordt er heel makkelijk over gesproken. Wat gezien de gemiddelde gebruiker hier ook niet zo vreemd is. Maar de vraag van @Triblade_8472 gaat vooral over de gewone burgers zoals onze ouders, grootouders en de andere mensen die al moeite genoeg hebben met al die huidige wachtwoorden, DigiD, bankieren, etc.
Daar hou ik mijn hart ook voor vast.

[bamboe]

De vraag is of je dit allemaal eigenlijk wel wil, ik heb nu een 4 cijferige pincode om windows in te komen, en daarnaast passwords voor websites die je in de browser bewaard.
Waarom zou ik een speciale key op mijn telefoon willen hebben om windows op te starten.

[Hann1BaL]

Maar die key is niet om Windows op te starten. Dat ga je juist met Windows hello doen. En daarnaast ga je met Windows hello je passkeys op je laptop beschermen

Dus het gaat precies doen wat jij wilt

[nightgold]

Te complex voor de gewone man. Punt.
Er is simpelweg (nog steeds) geen goed alternatief voor wachtwoorden.
En ik word er moe van dat het tegengestelde beweerd wordt.

Als techneut lijkt het allemaal simpel, maar voor de niet-techneut die enkel zijn PC gebruikt op momenten dat het "moet", is het al paniek wanneer er een onbekend pop-up scherm verschijnt die er "normaal gezien" niet is. Laat staan dat ze wachtwoord managers gaan gebruiken of andere "rare" methoden.
Misschien heb jij een technisch aangelegde kennissenkring, maar hier ken ik geen mens die zelfs MFA gebruikt of weet hoe dat in godsnaam zou werken. In het beste geval mfa met SMS codes.

[Hann1BaL]

Zo voer je toch geen discussie? “Te complex. Punt”. Dat is toch geen argumentatie?

Ik ken genoeg mensen die MFA gebruiken en totaal niet technisch zijn maar wel alleen als dat dus standaard wordt aangeboden en dan kan vrijwel iedereen* er mee werken

Je weet dat DigiD niet anders is hè? MFA die vrijwel iedereen gebruikt.

*en niet iedereen want er is een groeiende groep digitale analfabeten maar die hebben genoeg uitdagingen en het behouden van wachtwoorden lost dat niet op.

De mensen die er moeite mee hebben zijn doorgaans ook de mensen die te eenvoudige wachtwoorden gebruiken en het risico op hacken van accounts wordt dan gewoon te groot.

Ja change management is lastig en veranderingen zijn altijd moeilijk, maar dat betekent niet dat we maar moeten opperen het altijd bij het oude te houden. (Dit is overigens mijn baan: niet-IT mensen aan nieuwe oplossingen te krijgen)

[Coolstart]

Het zijn net sleutels
Als je je huissleutel kwijt raakt, moet je ook zorgen dat je een reservesleutel hebt. Waarom is dat dan ineens raar met de passkey authenticatie?

Je ziet het te simpel. Rampen gebeuren.

Mijn gsm werd gestolen en gebruik Ms authenticator op mijn iphone en dat synct out of the box met icloud. Dit was begin 2023.

Mijn nieuwe telefoon zet ik oo met een backup, ik had alles weer. Foto’s apps etc Ook ms authenticator stond er weer op maar de passkeys waren weg termijn mijn saved games van een stom spel werden wel mooi meegenomen.

Je hebt ook geen andere mogelijkheid tot backup van uw passkeys. Ik zie alvast niets in de menu’s staan.

Als zo’n dingen überhaupt kunnen door bugs, interface issues of weet ik wat dan organiseer je een massale ramp.

[Hann1BaL]

Mensen vergeten nu ook hun wachtwoord. Dus als het over te simpel denken gaat: er wordt hier een absolute waarheid geschetst die er niet is.

Ja de sleutels kun je kwijt raken net als je ww. Recovery mogelijkheden zijn in beide gevallen belangrijk.

[xxs]

Een goede password manager draai je m.i. lokaal op je device en niet in een cloud. Oh ja, die staat dan op die gestolen telefoon. ;-)

Er moet m.i. een goed alternatief zijn om bij het ontbreken van de passkey toch in te kunnen loggen.

[LaTiNo156]

Maar heb je ook weer niet een telefoon (passkey) nodig om in te loggen in je password manager?

[daredevil__2000]

En als het goed is, kun je je wachtwoorden sowieso niet onthouden, want dan zijn ze te makkelijk, of je hergebruikt je wachtwoorden. (Dit is niet als persoonlijke reactie, maar als je wachtwoord wel het makkelijkst is, is dat doorgaans door een redelijk zwak wachtwoord)

En dat is niet per definitie zo. Je kan ook lange wachtwoord zinnen gebruiken met bepaalde vreemde tekens er in en voor iedere dienst een unieke. Dan is het wachtwoord prima te onthouden maar is de kans op bruteforce kraken van het wachtwoord met de huidige techniek niet binnen een redelijk termijn te realiseren.

[karelvandongen]

Je weet dat ze bij achterhalen van wachtwoorden ook standaard kijken naar kleine mutaties ? echt als er bv een deel van sitenaam in zit, is dat dit echt veel onveiliger als dat veel mensen denken (want dit word zoveel toegepast.... Daarom gebruik ik ook unieke mail adressen samen me 2fa wanneer mogelijk, en zeker > 20 letters random wachtwoorden voor websites.

[yevgeny]

Onlangs is kali linux een signing key kwijtgeraakt, zelfs linux guru's verliezen dus keys.

[The Zep Man]

Een voorbeeld van een recovery option is het gebruik van een telefoonnummer om je terug te bellen of om een SMS te sturen. Je kan dat combineren met een ingelogde sessie op een ander apparaat, een recovery code om te komen tot de twee benodigde factoren waarmee een account hersteld kan worden.

Verder kan je alsnog altijd een wachtwoord instellen om te gebruiken als een recovery option. Het instellen van een wachtwoord is niet meer een verplichting voor nieuwe accounts. Het blijft wel mogelijk.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 09:46]

[swhnld]

Je telefoon is gestolen, dus je bellen of SMS-en valt af. Dan blijft over papieren recovery codes mee te nemen, of een tweede apparaat aanschaffen en dat meenemen. Heel gebruiksvriendelijk en simpel aan te leren gedrag, plus betaalbaar, voor 20 procent van de wereldbevolking. maar de overige 80 procent?

Uiteraard kun je nog een wachtwoord instellen, maar het doel van MS is dat uiteindelijk af te schaffen zeggen ze.

[The Zep Man]

Heel gebruiksvriendelijk en simpel aan te leren gedrag, plus betaalbaar, voor 20 procent van de wereldbevolking. maar de overige 80 procent?

Vroeger vergat een gebruiker een wachtwoord waarmee die niet dagelijks inlogde (omdat die gebruik maakte van versimpelde platformauthenticatie, zoals een PIN). Vanuit dat perspectief is er niets veranderd. Zonder discipline vanuit de gebruiker om zaken in te richten zullen er altijd SPOF's zijn.

Een gebruiker kan een recovery code in een (gratis!) online wachtwoordbeheerder gooien en daarop op afstand inloggen met enkel een gebruikersnaam en wachtwoord. Dat gecombineerd met een passkey (die dezelfde wachtwoordbeheerder ook kan bewaren) is voldoende om alsnog in te loggen op een MS account met een nieuw apparaat.

Microsoft biedt (net als veel andere online diensten) gereedschap aan om zaken veilig, gebruiksvriendelijk en herstelbaar in te richten. Het is aan (privé) gebruikers om daarmee aan de slag te gaan of om de pijn te voelen wanneer het fout gaat.

Zakelijke gebruikers hebben wat meer opties om te mitigeren. Daar wordt de pijn omgezet in kosten om gebruikers te ondersteunen in het herstellen van toegang tot accounts.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 10:24]

[swhnld]

En jij ziet je 75 jarige tante dat doen? Of de gemiddelde kleding verkoper die nooit met IT werkt? Of de inwoner van een arm land waar de IT dichtheid 1 mobiele telefoon per 3 inwoners is?

Want voor ons techneuten kan alles, maar wij zijn niet representatief.

[Orangelights23]

Sterker nog, IT service desks zijn veel tijd kwijt aan nota bene IT-personeel dat inlogproblemen heeft doordat zij wachtwoorden vergeten zijn, geen back-up voor de passkeys hebben of een nieuw toestel hebben.

[CH4OS]

Dat komt omdat de niet technisch onderlegde de wachtwoorden op een geeltje opgeschreven heeft dat aan de monitor hangt. Liever een password reset uitvoeren, dan dat de gegevens letterlijk voor je neus op straat hangen.

[The Zep Man]

En jij ziet je 75 jarige tante dat doen?

De gemiddelde 75-jarige zie ik geen smartphone instellen of wachtwoorden onthouden. Hetzelfde met andere minder technisch onderlegde mensen.

Die mensen zullen zonder hulp pijn voelen. Dat deden ze al, en dat zullen ze blijven doen. Passkeys veranderen hier niets aan.

[Blokker_1999]

Genoeg gepensioneerden die zonder problemen met moderne technologie werken, al is de kloof daar vaak groter. Maar niets belet hen om nieuwe dingen te leren, net zoals wij daar ook mee moeten leren omgaan. Ik maak me ook geen zorgen over de vrouw achter de vuilkar of de man in de kleding winkel, ook zij zijn niet dom.

Ja, er is iets nieuw, maar dit is niet complexer dan wat we vandaag al hebben. Zovele platformen dwingen vandaag al MFA af, en mensen werken daar zonder al te veel moeite mee. Maar oh nee, een grote provider doet het ineens, en dan zou het een probleem zijn?

Ik verwelkom dit net. Ja, er komen nieuwe uitdagingen mee met wachtwoordloos te gaan. Maar weet je wat 1 groot voordeel is? Mensen kunnen letterlijk hun wachtwoord niet meer vergeten!

Oh, en stop eens met neer te kijken op inwoners van arme landen. Wist je dat mobiele betalingen in vele armere landen net een stuk sneller zijn ingebrugerd geraakt dan hier bijvoorbeeld?

Maar moeten we maar ter plaatse blijven trappelen, niet vooruitgaan, de veiligheid niet verhogen voor een groot deel van de gebruikers omdat we riskeren dat enkelingen achter lblijven? Want het lijkt me dat je dan je prioriteiten ook verkeerd hebt.

[xxs]

Precies, ‘we’ trainen mensen al 30+ jaar om een sterk wachtwoord te gebruiken en sommige snappen nog steeds niet dat 123456 dat niet is.

Veel plezier met omschakelen naar passkey’s de komende 30 jaar.

[OruBLMsFrl]

123456 was niet goed, 12345678 was niet goed, dus nu gebruikt men 123456789abc inderdaad want 12 tekens
Tegelijk beter geboel bij duidelijke backup codes of dubbele yubikey oplossing, dan vage 'je bent nu veilig' kreten

[yevgeny]

En je verwacht dat iedereen met een IQ lager dan 100 dat allemaal kan ?

Er zijn heel veel mensen die totaal niets hebben met computers en het ook niet willen leren.

[Reactie gewijzigd door yevgeny op 2 mei 2025 11:00]

[The Zep Man]

Ik verwacht niets. Ik denk dat mensen die zelf technisch niet voldoende onderlegd zijn het beste hulp in kunnen schakelen van technisch onderlegde vrienden, familie en vrijwilligers.

Er zijn heel veel mensen die totaal niets hebben met computers en het ook niet willen leren.

Wat mensen willen en wat de werkelijkheid biedt verschilt helaas vaak van elkaar.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 12:39]

[Terrier529]

Maar je vergeet te vermelden dat die inderdaad wel gebruik maken van windows voor hun dagelijkse spelletje en het gebruik van FB en instagram. etc.

Juist voor die groep en een hele grote groep ouderen wordt het weer een een stuk lastiger gemaakt.

[William_H]

Precies.
Ik wacht nu alweer op onder andere de Radar afleveringen waarin er weer een sloot mensen zijn die komen vertellen dat ze niet in hun account kunnen komen. Dan komt er zo iemand van MS uitleggen, "Ja maar daar kun je je op voorbereiden met X y z alternatief". Ik weet het repliek van mevrouw Hertzberger alweer: " U verwacht dat mensen van 80 dit kunnen?"

[Baserk]

Hihi.
"We hebben als tech sector best wel issues met tante Corrie die amper een wachtwoord manager kan gebruiken.
Dus gaan we haar pushen richting passkeys.
De oplossing voor een gestolen of kapot gevallen telefoon op vakantie is...een 2e telefoon meenemen op vakantie!"
Hahaha. Je zou bijna denken dat dat soort tech lui echt een gruwelijke hekel hebben aan hun tante Corrie.

Nou ja, als die generatie op vakantie massaal een hartaanval van de stress krijgt of een hersenbloeding, na een belletje naar een helpdesk, via de telefoon van de hotel hostess, "Wat bedoelt u mevrouw Van Druten, geen 2e telefoon in eigen bezit?", dan ben je op termijn wel van dit probleem af.
Sjongejonge.

[Blokker_1999]

En al die problemen doen zich ook voor als je gewoon MFA actief hebt. Dat is net waarom men vna wachtwoorden af wenst te komen. MFA is een de-facto standaard geworden overal en of je nu een wachtwoord hebt of niet, zonder dat MFA token kom je er niet in.

[nandervv]

Laten we niet hopen dat we telefoon of SMS gaan gebruiken als backup auth, dat is minder veilig dan een post-it onder het bureau.

[Digimann]

Dat is afhankelijk wat op de post-it staat
Daarnaast heb ik toch het idee dat een post-it onder het bureau met sms is veiliger dan alleen een post it.

[nandervv]

Sure, maar als je dus recovery kan doen puur vanuit een SMS, dan is het zeer onveilig.

[vormulier]

2 telefoons?

1 voor je socials, je dagjes weg etc. en een voor je belangrijke zaken, geld, digid, password managers etc.
deze leg je dan in je hotel kluis op vakanties voor het geval dat en thuis voor je dagelijkse gang van zaken.

Je telefoon word zo belangrijk tegenwoordig dat het kwijtraken er van echt een drama kan zijn.

[hiostu]

Dat gaat natuurlijk geen enkele normale gebruiker doen.

[lariekoek]

Waar men naartoe wil is dat men inlogt via <vul grote boer hier in> om zelf relevant en een autoriteit in identiteit/profiel/betaling/licensing (etc), relevant, te zijn/worden/blijven.
Niet dat mensen verstandig aan eigen beheer doen.

[Reactie gewijzigd door lariekoek op 2 mei 2025 10:19]

[The Zep Man]

Normale gebruikers hebben sinds de uitvinding van het eerste authenticatiesysteem probleemscenario's. Die gaan nooit weg.

Vraag bijvoorbeeld een normale gebruiker een wachtwoord te onthouden dat ze zelden gebruiken. Dat gaat niet lukken. Veel gebruikers missen hier de benodigde discipline voor.

Laat perfect geen obstakel zijn voor beter.

[Khalid.]

Ik ben een normale gebruiker en heb 2 telefoons? Mijn oude smartphone en nieuwe en heb letterlijk alles nog op mijn oude smartphone staan en helemaal niks verwijderd.

[Raymond Deen]

Lig op de grond van het lachen!
Maar even serieus; dat is toch geen oplossing!

Hij stelt een heel valide vraag, eentje waarvan ik ook wel benieuwd ben naar het antwoord. Nou zie ik dat verschillende wachtwoord beheerders ook de mogelijkheid hebben tot het “opslaan” van otp bij accounts, maar dan houdt je het probleem hoe je dáár dan weer de toegang tot moet beveiligen.

[vormulier]

Mijn wachtwoord manager kan ook OTP opslaan. En deze vault deel ik met mijn partner. Dus dan heb je bij wijze van ook al 2 telefoons. is de mijne kwijt dan kan ik via de andere nog bij mijn wachtwoorden.

In feite dus 2 telefoons, een mooie oplossing? tjah mening verschillen. Maar als je een betere oplossing hebt dan verneem ik dat graag!

Dus ja je kan 2 telefoons kwijt raken en een 3e nemen enz enz. maar alle gekheid op een stokje waarom moet je wel je hele digitale leven meenemen, en laat je van alles thuis want dat heb je niet nodig op vakantie?

[RaJitsu]

Ervoor zorgen dat je een backup hebt op een andere plek dan je telefoon zoals in de cloud. Ik neem altijd een screenshot van mijn passkeys en zorg dat ze op mijn NAS staan en in mijn clouddienst naast mijn telefoon en geef een tag mee (waarvan ik mij net besef dat volgens mij alleen de Samsung-foto-app die tags begrijpt en ik dus gewoon in de naam de naam van de betreffende app of dienst moet vermelden).

Het is zoals het artikel bewijst ook geen ding van alleen mobiele apps. Je moet gewoon een degelijke cloudoplossing hebben waar je altijd toegang toe hebt, misschien zelfs twee waarvan je de een niet actief gebruikt zodat je een backup/contingency hebt. Er zijn voldoende gratis opties, dus dit kan wel.

De vraag is natuurlijk wel of mensen die niet gewend zijn dergelijke diensten te gebruiken en de organisatieskills (of algemene digitale skills) niet hebben, of ze in staat zijn dit gebruik hun eigen te maken. Je hebt mensen van boven de 60 die afspraken 'bewaren' door ze terug te zoeken in WhatsApp (serieus een bevriende rij-instructeur meegemaakt die dit zo deed en bij het verliezen van de betreffende app dus geen backup meer had), mailtjes bewaren door ze op hun bureaublad te bewaren, en alle belangrijke hardcopy papieren in mapjes te stoppen waar ze vervolgens nooit meer terug te vinden zijn op het moment dat het moet. Het type persoon dat een browser gebruikt zonder te weten dat het zoekveld van Bing or Google niet de adresbalk is, maar omdat het al meer dan 25 jaar werkt voor hun browse-gebruik ze dit nooit aangepast hebben.

Deze mensen gaan waarschijnlijk nooit leren hoe ze dit goed moeten organiseren en hebben daar hulp bij nodig.

[kiang]

Bedankt voor je antwoord, je bewijst ermee wat ik al lang zeg: passkeys zijn een onpraktische techneuten-oplossing die compleet onrealistisch is voor gewone gebruikers. Het is blijkbaar bedacht door mensen die vergroeid zijn met hun telefoon, die zich niet kunnen voorstellen dat gewone gebruikers niet actief bezig zijn met contingentieplanning waarbij ze dus een secundaire authenticatie-telefoon in een kluis hebben liggen. En natuurlijk springt big tech er gretig op in, want die willen niets liever dat dat tante Arie niet eens meer kan inloggen bij de bank zonder iPhone.


Passkeys, echt weer een pareltje dat aantoont hoe out of touch big tech is.

[Reactie gewijzigd door kiang op 2 mei 2025 10:08]

[Marctraider]

Om eerlijk te zijn, een smartphone is tegenwoordig zo'n must (overheid, instanties, bankzaken, werkgever) waar het merendeel verplicht wordt, dat de overheid en werkgevers etc de bevolking eigenlijk zouden moeten betalen voor een deugdelijk klein (budget) apparaat met lifetime support.

Dan kan je zelf altijd nog bepalen of je daarachter je eigen prive apparaat (wat het ook is, mobiel OS of een mini laptop) om deze te hotspotten naar je overheidagefinancieerde 4G mobiel.

Het is praktisch / technisch namelijk amper nog te doen om prive en zakelijk op een dergelijk apparaat gescheiden te houden. Zelfs op een rooted apparaat met meer controle loop je al tegen privacy problemen en disfunctie aan (nfc betalen etc)

Het is toch eigenlijk van de zotte dat zowel prive als instantie zo dicht op elkaar zitten? Met alle beveiligingsrisico's van dien.

Met mijn voorstel kan de overheid de boel zelf dichttimmeren en hoef jij je alleen maar te bekommeren om je eigen prive apparaat en diens beveiliging die per hotspot verbonden is met het overheidsapparaat.

Of natuurlijk andersom hotspotten zodat je 4/5G op je prive apparaat hebt, en dat het overheidsapparaat hier gebruik van kan maken (Wel geisoleerd uiteraard)

Ik zit hier serieus zelf over na te denken zodra mijn S10 kaput is. Gewoon een budget mobieltje kopen waarvan de 'beloofde' support zo lang mogelijk is, en daarnaast een prive telefoon voor mijn eigen doeleinden.

[Reactie gewijzigd door Marctraider op 2 mei 2025 10:46]

[Scriptkid]

Het is praktisch / technisch namelijk amper nog te doen om prive en zakelijk op een dergelijk apparaat gescheiden te houden

Die snap ik niet, Op android is alles wat zakelijk is in zijn eigen container , zelfs authenticator . Als het bedrijf het goed doet kun je ook niet van priv naar zakelijk en vice versa.

Wat zijn je uitdagingen dat je het niet gescheiden kunt houden.

[Fermion]

Met minder cloud, gaat er minder fout

[Ron79]

Stel je gaat dan op vakantie...
En je wordt onderweg beroofd van je 2 telefoons?

Of heb je dan ergens nog een 3e en 4e telefoon?

[vormulier]

Tjah, je kan er 100 meenemen op vakantie natuurlijk, maar goed je neemt ook je wastafel niet mee op vakantie toch?
Waarom zou je digid meenemen of andere belangrijke apps die best belangrijk zijn?
Alles wat je thuis laat kan je ook niet kwijtraken

[Ron79]

Omdat het soms wel belangrijk is dat je die spullen bij je hebt. Net als een ID kaart en pinpas.

[vormulier]

Ben het niet oneens, tuurlijk is het handig om je hele digitale hebben en houden mee te hebben voor het geval dat.
Maar waarom we dat allemaal op 1 device moeten en dan klagen: "maar wat als je die kwijt bent".
Als je een betere oplossing hebt dan is die welkom natuurlijk!

[Michael0093]

Maar thuis kan er ook worden ingebroken ...

[Tintel]

Serieus?

En dan ook allebei telkens vervangen als de accu's 'op' raken of dat ze achter lopen qua updates?

Is het andersom niet veel verstandiger om niet zo absurd afhankelijk te zijn van een relatief kwestbaar / steelbaar apparaat? (Ik weet het - ook makkelijker gezegd....)

"Je moet een telefoon hebben"...
Als dat vanuit een overheid komt dan begrijp ik het wel; altijd een telefoon bij je is een zegen voor de 'tracking' diensten.

[vormulier]

Opzich, word er zelf ook niet vrolijk van want het is niet bepaald millieu vriendelijk en de andere tig redenen waarom je het niet zou moeten willen.

Je zou nog kunnen emuleren op een pc maar geen idee hoe de apps daar tegen aan kijken.. (laat staan de google playstore)

Maar een makkelijkere oplossing kan ik 123 ook niet verzinnen die minder impact heeft. Deze mini computers zullen steeds belangrijker worden.

[joeri1]

Ik sla mijn passkeys op in mijn wachtwoord manager, op die manier kan ik ze op ieder apparaat gebruiken.

[swhnld]

Dus op vakantie heb jij je wachtwoordmanager bij je via een 2de apparaat, mocht je telefoon gestolen worden...? Of heeft je wachtwoordmanager een wachtwoord dat je daarmee kan inloggen plus een papieren recovery code?

[joeri1]

Ik heb altijd een extra apparaat mee op vakantie, op beide staan zowel de wachtwoord manager app als 2FA app. De apps synchroniseren met elkaar via de cloud van de dienst zelf. Ik heb ook altijd mijn YubiKey mee mocht ik die nodig hebben.

[4tro]

En jij denkt dat je moeder bijvoorbeeld dit ook kan?

Want dat is wat dit bericht betekend, iedereen en je moeder moet dit kunnen doen. Succes daarmee

[joeri1]

Ja, in zekere maten wel. Ik heb zo al zover gekregen om gebruik te maken van een wachtwoord manager en af te stappen van wachtwoorden herhalen en/of te noteren in een notitieboekje. Passkeys maken dit alleen maar eenvoudiger.

[Fourtrain]

Wat je mogelijkheden precies zijn zal verschillen per dienst, als je gebruik maakt van bv bitwarden kun je inderdaad je passkeys daarin ook opslaan en kun je vanaf al je apparaten er bij.

Ik zou bij het verliezen van mijn telefoon via mijn laptop doormiddel van mijn master password bij mijn wachtwoorden kunnen komen. Maar dit kan alleen via mijn eigen laptop omdat ik daar door eerder gebruik geen 2fa nodig heb om in bitwarden te komen.

Op een ander apparaat zou ik niet bij mijn mail kunnen komen omdat ik het wachtwoord niet weet en mijn bitwarden 2fa codes naar de mail of de gestolen telefoon gaan.

Papieren recovery code neem ik persoonlijk nooit mee, die ligt altijd thuis dus daar kan ik op vakantie weinig mee.

[Reactie gewijzigd door Fourtrain op 2 mei 2025 10:14]

[Scriptkid]

Gaat het synchroniseren van passkey naar meerdere devices niet in tegen het idee dat een passkey ook device bound is ?

[Niemand_Anders]

Het idee dat je je de OTP al laat genereren door de password manager gaat in in tegen de 2FA/MFA gedachte. Het is gemakkelijk, maar in veel gevallen OTP is tegenwoordig niet veiliger dan de oude username/password omdat ze simpelweg niet meer gescheiden is.

Dat gezegd hebben snap ik de keuze van Microsoft wel. Steeds meer cloud services accepteren je Microsoft of Google account en als dat account van je gekraakt wordt, heeft de aanvaller wel ineens veel informatie. Dit is waarom zowel Microsoft en Google zaken als App Passwords hebben geintroduceerd voor bijvoorbeeld mail zodat je niet je hoofd account credentials hoeft te gebruiken om bijvoorbeeld een mailtje te versturen vanuit een Github action.

Account security is een grote paradox. Aan de ene kant wil je het zo eenvoudig mogelijk houden, maar toch dient de beveiliging van het account van een bepaald niveau te zijn dat deze niet gemakkelijk te kraken is. Userfriendly and security don't mix. Mijn IT docent riep dat 30 jaar geleden al.

[Fourtrain]

Gaat het synchroniseren van passkey naar meerdere devices niet in tegen het idee dat een passkey ook device bound is ?

Waarschijnlijk wel maar uiteindelijk is het een balans vinden tussen veiligheid en gebruiksvriendelijkheid.

[Proliges]

En als je bestolen wordt en je je laptop en telefoon kwijt zou raken? Wat voor opties heb je dan?

[Fourtrain]

En als je bestolen wordt en je je laptop en telefoon kwijt zou raken? Wat voor opties heb je dan?

Een telefoon(cel) vinden, Iemand bellen die een sleutel van mijn huis heeft en deze uitleggen hoe inloggen op mijn thuis PC & de wachtwoord kluis werkt.

En nee als mijn huis ook gestolen is heb ik geen verdere opties

[ErPannec]

Mijn wachtwoordmanager (bitwarden) wordt gesynchroniseerd over verschillende toestellen?

[olson]

Hier opgelost met 1Password family. Mijn partner heeft toegang tot de shared folder met belangrijkste accounts. Zonder partner wordt de uitdaging iets groter idd.

[GertMenkel]

Stel, ik ben op vakantie en mijn telefoon wordt gestolen. Op mijn telefoon staat mijn wachtwoordmanager met mijn MS-wachtwoord erin. Nu koop ik een nieuwe telefoon. Hoe log ik dan in op mijn MS account op die nieuwe telefoon?

Het antwoord is een combinatie van "een herstel-emailadres," "SMS-verificatie", "met mijn aparte Yubikey", of "niet tot ik thuis ben". In het geval van passkeys is er misschien nog een optie "met mijn herstelcode" maar die krijg je volgens mij alleen als je 2FA aan zet.

Het is natuurlijk een afweging: van hoeveel mensen wordt de telefoon op vakantie gestolen, en van hoeveel mensen wordt het wachtwoord geraden (al dan niet middels credential stuffing, want het soort mens dat geen 2FA op de email heeft zal ook niet met unieke wachtwoorden werken)?

[Wailing_Banshee]

Heel simpel, niet afhankelijk zijn van 1 telefoon... Ik heb al een tijdje een wachtwoordloos MS account (heb het gelijk ingesteld toen het kon) en krijg op 3 apparaten een notificatie als ik wil inloggen. Ik moet nog even een tweede methode instellen (kwam erachter dat je zo'n code ook in Keypass kon laten genereren).

[swhnld]

Maar niet iedereen in de wereld is zo rijk dat die zich een 2de apparaat kan veroorloven. Iemand in de schuldsanering, bijstand, of uit arme delen van de wereld.
De grootste denkfout vanuit Big Tech is redeneren vanuit zichzelf, niet vanuit de eindgebruiker.

[Scriptkid]

Door eerst in te loggen op een trusted device waar je account al op is geconfigureerd met windows Hello.

dan kan je je passkey instellen op je nieuwe telefoon.

[Aaargh!]

Je koopt een nieuwe telefoon, logt in met je AppleID en restored de laatste iCloud Backup. De 2FA voor je AppleID doe je eenvoudigweg via je iPad of MacBook. Zodra de backup teruggezet is heb je ook toegang tot al je passkeys want die syncen vanzelf via iCloud Keychain.

[Het.Draakje]

Mooie theorie. Mac mini ging stuk. Heb nog een iPad en iPhone. Kocht dus een nieuwe iPhone en een nieuwe Mini. Installeren. 2FA ging keihard naar mijn defecte mini. Terwijl die niet benaderbaar is.

Niet naar mijn werkende iPad of werkende oude telefoon. Oplossing: ik heb de oude mini laten repareren.

[Aaargh!]

Default kan je met alle Apple devices die gekoppeld zijn aan je iCloud account 2FA doen. Je moet dit expliciet uitzetten voor een apparaat als je dit niet wilt. Settings -> Apple Account -> Sign In & Security -> Two Factor Authentication , daar zie je onder het kopje "Verify using" alle apparaten staan waarmee je 2FA kan doen. Als je hier niets expliciet verwijderd hebt dan staan hier al je Apple devices.

[Het.Draakje]

Je 2FA gaat naar de Mini. Dat is goed, want die werkt.

De mini gaat stuk. Je komt niet meer in je Apple account om dat aan te passen want je 2FA gaat naar de Mini.

Hopelijk zie je nu wel wat het probleem is.

[Aaargh!]

Maar dat is een probleem dat je zelf veroorzaakt hebt.

Standaard gaat de 2FA naar al je Apple devices, dus naar je Mini *en* je iPad *en* je iPhone. Zodra je op een nieuw device inlogt met je iCloud account wordt deze automatisch toegevoegd. Als de 2FA dus niet naar je andere Apple devices gaat komt dit omdat je ze zelf opzettelijk uitgesloten hebt hiervan.

Hopelijke zie je nu hoe je het probleem hebt gecreëerd.

[Het.Draakje]

2FA gaat niet naar mijn telefoon. Was dat maar zo. Terwijl het nummer wel als vertrouwd staat.

[pe0mot]

Heerlijk langs elkaar praten?
De een heeft het over de Apple password app en de ander over de MS Authenticator.

[Het.Draakje]

Aargh heeft het over Apple ID, iCloud Backup en dergelijke diensten van Apple. Ik ook. Voor zover ik weet doet Microsoft heel weinig met een Apple ID en kan het geen iCloud Backup ontsleutelen. En kan mijn Apple spul heel weinig met MS Authenticator.

We hebben het geen van beiden over de Apple password app op een device. Maar over een account die bij Apple in de cloud staat.

[Aaargh!]

Voor zover ik weet doet Microsoft heel weinig met een Apple ID en kan het geen iCloud Backup ontsleutelen

Dat hoeft ook niet. We hebben het hier over passkeys. Microsoft’s passwordless login werkt o.a. met passkeys. Passkeys worden met je iCloud Keychain gesynchroniseerd. Hiervoor heb je niet eens een iCloud backup nodig, je hoeft alleen in te loggen op iCloud en iCloud Keychain aan te zetten op je Apple apparaten. Daarna kan je met je passkey inloggen bij Microsoft.

[Het.Draakje]

pe0mot zegt dat we appels en peren aan het mengen zijn. Ik probeer alleen maar aan te geven dat we beiden appels met appels aan het vergelijken zijn.

Ik ben redelijk op de hoogte van IT. Ooit eens begonnen met CP/M, via dos en Novell doorgeschakeld naar System 9. Vandaar naar Windows, Solaris, Red Hat en zOS. Flink wat jaartjes bij IBM en nu eindelijk met Windows 11, OSX (in al zijn varianten dus) lekker onder de palmbomen. Waarbij mijn windows pc een alternatief is voor een XBox.

Ben redelijk op de hoogte van passkeys. Security was mijn ding in mijn goede oude tijd.

Zakelijk zie ik het nut wel in. Privé wordt dat wat anders. Voor mij persoonlijk voegt het weinig toe. Het is dat Apple, mits eenmaal ingesteld, 2FA niet laat uitschakelen anders was ik daar al lang vanaf geweest. On-line ben ik best beveiligd en off-line vertrouw ik op mijn afgerichte herdershonden.

Edit: die palmbomen doen wat met mijn beheersing van de Nederlandse taal. Of het ligt aan het toetsenbord. Spelvauten verbeterd.

[Reactie gewijzigd door Het.Draakje op 2 mei 2025 17:27]

[Aaargh!]

Zakelijk zie ik het nut wel in. Privé wordt dat wat anders. Voor mij persoonlijk voegt het weinig toe.

Het is naast veiliger ook veel makkelijker. Overal waar ik met een passkey kan inloggen gaat dit net even wat soepeler dan met een wachtwoord + passwordmanager. Het werkt gewoon i.c.m. FaceID (iPhone/iPad) en TouchID (Mac).

Voor de 'gewone' gebruiker bied goede beveiliging zonder de frictie van een password manager.

[Het.Draakje]

Makkelijker. Ben ik met je eens.

Maar ik prefereer voor on-line diensten een paswoord van minimaal 15 tekens (ben gepensioneerd, dus wat lager gaan zitten in beveiliging), volstrekt willekeurig inclusief speciale tekens als #@ enz,. te laten genereren door mijn password manager en die vervolgens uit mijn hoofd te leren. Ik typ ze iedere keer handmatig in, tenzij ik op mijn eigen computers zit. Dat laatste is mijn concessie aan gemak.

Ik denk niet dat passkeys daar veel meer veiligheid aan toe kunnen voegen.

Al heb ik voor mijn bank wel zo'n calculator in gebruik (maar daar heb ik niet zelf voor gekozen, dat doet de bank).

Zowel mijn vrouw (bij me) en mijn zoon (in Nederland) hebben toegang tot mijn password manager dus mocht ik dement worden dan is er een backup. Tot nu toe werkt mijn geheugen nog voldoende.

Face-id en touch id zijn trouwens zo ingesteld dat mijn vrouw erbij kan. En omgekeerd, ik kan bij haar apparaten. (Dat laatste is niet zo vreemd, want ik beheer die dingen, ze is IT-technisch geen hoogvlieger).

[Aaargh!]

Maar ik prefereer voor on-line diensten een paswoord van minimaal 15 tekens (ben gepensioneerd, dus wat lager gaan zitten in beveiliging), volstrekt willekeurig inclusief speciale tekens als #@ enz,. te laten genereren door mijn password manager en die vervolgens uit mijn hoofd te leren. Ik typ ze iedere keer handmatig in

Ik denk niet dat het voor de gemiddelde gebruiker haalbaar is om honderden willekeurige gegenereerde wachtwoorden uit het hoofd te leren en niet te vergeten, zeker als je ze niet vaak gebruikt. Als ik naar mijn eigen password manager kijk staan daar 685 wachtwoorden in. Lijkt me onmogelijk te onthouden.

[Reactie gewijzigd door Aaargh! op 3 mei 2025 19:38]

[Navi]

Keer gehad met het terugzetten van een Apple reservekopie naar een nieuwe tel...dan zijn dus mooi al je 2FA codes weg. Authenticator app was leeg.

Net als je Digid koppeling, bank apps, etc. Allemaal ontkoppeld. Lang niet alles wordt meegenomen in zo'n backup.

[Reactie gewijzigd door Navi op 2 mei 2025 13:03]

[Aaargh!]

Nee, maar Passkeys dus wel.

Of iets meegenomen wordt ineen backup is een keuze v/d app zelf.

[Reactie gewijzigd door Aaargh! op 2 mei 2025 13:11]

[jip_86]

Als je een nieuwe telefoon hebt en je authenticator is niet overgezet heb je toch wel een probleem. Heeft mijn vader laatst nog gehad, telefoonzaak zou het wel overzetten voor ze. Maar dat waren ze dus even vergeten.

[The Zep Man]

Als je een nieuwe telefoon hebt en je authenticator is niet overgezet heb je toch wel een probleem.

"Als je een nieuwe telefoon hebt en je nog niet bent ingelogd in je e-mail en je wachtwoord bent vergeten heb je toch wel een probleem."

Passkeys veranderen niets aan het incorrect omgaan met apparaten en credentials.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 10:36]

[jip_86]

Als als als, een fysiek iets kwijt zijn is toch wel iets anders als een letter-/cijfercombinatie onthouden.

[The Zep Man]

een fysiek iets kwijt zijn is toch wel iets anders als een letter-/cijfercombinatie onthouden.

Voor de meeste mensen zijn beide problematisch. Een volledig vergeten wachtwoord is vergelijkbaar met het kwijtraken van een object.

"Ja, maar wachtwoorden kan je opschrijven in een wachtwoordenboekje."

Een wachtwoordenboekje is een object dat je kwijt kan raken. Verder kan je deze situatie ook vergelijken met passkeys door een (extra) fysiek token/key te registreren en bijvoorbeeld ergens in een lade op te bergen.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 11:53]

[Triblade_8472]

Ik verwar dat niet, wellicht schrijf ik het minder begrijpelijk?

Ik heb voor de test wel eens een passkey bij Microsoft aangemaakt, man wat een drama. Ook in gebruik.

• Eerst moet ik voor 'andere opties' kiezen
• Daarna een apparaat gebruiken
• Hierna kiezen voor wélk apparaat (iPhone, iPad of Android \ Security Key of dit Windows apparaat
• Volgende -> Oh bluetooth staat uit - even aanzetten
• QR-code scannen
• Connect devices (ik neem aan eenmalig?)
• Keuze maken voor in welk account mn passkey staat (MS authenticator)
• Biometrisch openen
• Eindelijk ingelogd!
• Oh ja, controleren of BT weer uit staat. - Ja gelukkig wel!

Het zal vast makkelijker gaan als het Windows apparaat ook een passkey heeft. Maar mobiel is wel een veelgebruikt systeem, dit is toch niet werkbaar?

Persoonlijk ben ik zeer sterk tegen passkeys. Het is prima veilig, maar ik vindt het professioneel en persoonlijk niet (prettig) werkbaar. Ik heb liever een klein risico met MFA dmv een authenticator\SMS dan het passkey systeem.

[The Zep Man]

Het zal vast makkelijker gaan als het Windows apparaat ook een passkey heeft. Maar mobiel is wel een veelgebruikt systeem,

Mobiel installeren mensen Microsoft Authenticator die veel zaken integreert en makkelijker maakt voor Microsoftdiensten. Die ondersteunt ook dagelijkse authenticatie via pushberichten.

[Scriptkid]

dit is moeilijker dan hoe ik het kon doen,

Authenticator starten -> inloggen -> new pass key vragen, - > MFA bevestigen done.

Als ik passkey wil gebruiken krijg ik QR code die ik moet scannen (Geen BT nodig) die scan ik met authenticator en done (Alleen authenticator unlocken met mijn 8 cijfer pin.)

[GertMenkel]

Hierna kiezen voor wélk apparaat (iPhone, iPad of Android \ Security Key of dit Windows apparaat
Volgende -> Oh bluetooth staat uit - even aanzetten
QR-code scannen
Connect devices (ik neem aan eenmalig?)
Keuze maken voor in welk account mn passkey staat (MS authenticator)

Die stappen gaan gelukkig maar eens per apparaat (op Windows).

Als je constant Bluetooth aan en uit zet, dan zit er inderdaad een extra stap tussen. Dat is wel onhandig. Maar goed, dat is niet hoe de meeste mensen werken.

Wil je dit voorkomen, dan kun je op Windows ook als volgt inloggen:

Eerst moet ik voor 'andere opties' kiezen
Daarna een apparaat gebruike
Daarna je hoofd voor de webcam houden/vinger op de vingerafdruklezer/je windows-PIN intypen
Daarna op OK klikken

De optie om de passkey te activeren heeft Microsoft helaas wat verstopt, en dat voegt onnodige stappen toe. Op Github kun je wel gewoon klikken op "log in met passkey" en dan kun je direct je hoofd voor de webcam/vinger op de vingerafdrukscanner leggen.

[PolarBear]

Ik hoop met heel mijn hart dat ze een goede helpdesk hebben voor alle mensen die de passkey kwijtraken of een nieuwe telefoon hebben waar dit niet in meegekomen is.

Op kantoor kom ik genoeg tegen dat dit een probleem is. Laat staan de rest van de wereld.

En je denkt dat mensen nooit hun password vergeten?

[M2M]

Maar die wordt on een boekje geschreven en is meestal vrij veelgebruikt...

Ik denk dat we al blij mogen zijn als het volk een passwordmanager gebruikt

[curkey]

Dat wel, maar de kwaliteit van de wachtwoorden in dat boekje is zelden beter dan Lente2025! dus weer een stuk eenvoudiger te brute-forcen.

[M2M]

Zeker, maar je moet je realiseren dat de bezoekers van tweakers.net geen afspiegeling zijn van alle mensen in Nederland. Verre van zelfs, als het om passwords aan komt. De meeste mensen hebben al uitdagingen / zien er tegenop om in te loggen met je Digid. 2 factor authentication hebben sommigen wat van gehoord, maar wordt meestal afgedaan met 'je krijgt dan een smsje met een code toch?'

Dus durf ik niet te zeggen hoe microsoft dit wil bewerkstelligen. In het ergste geval staat autologin aan en is het gekoppeld aan een app op een telefoon. Die autologin werkt altijd prima, tot het niet meer werkt en dan is het uitzoeken hoe je ook weer precies inlogt. Dan blijkt die app op de telefoon niet meer aanwezig te zijn, of inhoud weg, of app moet geupdate worden maar dat kan niet vanwege de leeftijd van de telefoon.
Meestal komt deze uitdaging op een moment dat het niet uitkomt omdat je 'snel' even je vliegticket nodig hebt uit je outlook mailbox.
Ik zie van allerlei uitdagingen met een grote groep mensen die echt niet snappen hoe dit werkt en die dit ook niet te onderwijzen is. Zeker niet als iedere softwareboer zijn eigen apps. authenticatiemethodes, beveiligingsregels, userinterfaces en dergelijke er op nahoud.

[Jeffrey88]

Dat is precies wat mijn werk geregeld voor ons aanmaakt na een wachtwoord reset als de onze is verlopen (ik kan geen eigen wachtwoord kiezen) met als gevolg dat ik vrij makkelijk in het account van mijn collega kan komen met een beetje inschattingsvermogen wanneer zijn laatste wachtwoord verlopen is

[Triblade_8472]

Dit inderdaad.

Al vraag ik mij zeer sterk af wat veilig is tegenwoordig. Een boekje met wachtwoorden waar never, ever iemand in komt of een (online/lokale) passwordmanager die gehackt wordt\kan worden.
Ik durf te wedden dat er meer offline pw-databases gestolen en decrypted worden en online hacks worden gepleegd dan er hackers jouw lades doorspitten naar je wachtwoordenboekje.

[M2M]

Boekje zou veiliger zijn denk ik, die ligt voor veel niet tech savvy mensen gewoon thiuis in de kast. Maar die zal ook slechts een handjevol passwords bevatten die klein, eenvoudig, en in een rainbowtable staan. En daar staan geen 200 verschillenden in.

[Het.Draakje]

Heb al vaak het antwoord gekregen dat GMail absoluut geen paspoort heeft. Gewoon het icoontje en dan opent hij alles vanzelf. En nee, ze gebruiken geen MFA of passkeys. Standaard android smartphone verder niets.

Echt een geweldige leuke optie dat automatisch invullen van een wachtwoord bij een dienst. Totdat ze na een aantal jaren een nieuwe telefoon hebben.

[romabah]

Mijn ervaring is: nee. Corporate accounts zullen wel voldoende goede service hebben om recovery te kunnen doen maar in mijn ervaring is hun antwoord : jammer dan, je bent je account kwijt

**Ja ik ben de gene die incapabel genoeg is om al een paar keer passkeys kwijt te raken tijdens informele trials van SaaS oplossingen.

[FPSUsername]

nieuwe telefoon hebben waar dit niet in meegekomen is.

Exact het probleem met de rommel app authenticator van microsoft. Het heeft backup mogelijkheden naar een outlook account, maar een restore is er niet (wat heb je dan aan backups??).
Veel gezeik mee gehad met microsoft accounts (werk) waar het vrijwel een vereiste is dat mijn telefoon het blijft doen (tja, met een custom rom kun je dat niet altijd garanderen). Soms wil je ook een factory reset uitvoeren, maar als die Authenticator app de backup niet goed hersteld, ben je direct je login kwijt.

[raidlabs]

Volledig mee eens, al meen ik te hebben gezien dat wachtwoordloos ook vraagt om een recovery e-mail/account aan je eigen account te hangen.

Als je dan je partner opgeeft, wordt dit account als het ware gebruikt ter validatie van een nieuwe registratie waarbij je de passkey niet meer weet. Dit biedt denk ik een redelijk vangnet voor de situatie die je aanhaalt, maar is zeker niet waterdicht. Wat doe je bijvoorbeeld wanneer je als partners elkaar herstelaccount bent, samen op vakantie bent en beide telefoons tegelijkertijd worden gestolen (en dat de enige twee toestellen blijken waar jullie op ingelogd waren). Volgens mij heb je dan wel een probleem, wanneer je niet ook nog een herstelcode offline hebt opgeslagen.

Ik ben overigens geen tegenstander van passkeys maar je moet wel goed nadenken over herstelopties. In zekere zin, staat dit los van passkeys want met wachtwoord en 2FA, bestond dit probleem ook al in situaties waarbij er geen kopie van die 2FA elders is of offline herstelcode bestaat.

[Kevinp]

Tot passkey gekraakt wordt. Want je hebt nog steeds een wachtwoord nodig.

Ik snap wel dat je hiermee makkelijker verschillende wachtwoorden kan maken. Maar ook in Firefox kan je dat makkelijk doen. Hoewel de opslag niet secure is (die kan je gewoon zien als je ingelogd bent).

Maar ik snap oprecht de hele hype van we moeten password managers hebben niet.

Je creëert namelijk één single point of failure met alle wachtwoorden.

[zordaz]

Wachtwoorden kunnen nog steeds prima, mits lang genoeg en uniek. Dat is prima te regelen met een wachtwoord manager. Met passkeys e.d. is ook weinig mis overigens, maar daar wachtwoorden niet meer zouden kunnen is echt onzin.

[Master_duck]

Heb je daar niet account recovery options voor. Dat meeste mensen dat niet instellen is dus een ander probleem.

[Triblade_8472]

Vast wel.

- Recovery phrases? Wat is je moeders 2e naam? De naam van je eerste huisdier? Veel minder veilig dan een wachtwoord omdat dit nooit wijzigt.
- Telefoonnummer? Die kan ook gewijzigd worden, bijv. met de telefoon. Is een redelijke optie, maar niet vreselijk veilig met SIM-swapping.
- Ander e-mail adres? Die heb\wil\gebruik ik niet\kan ik niet in komen.

Recovery options zijn een aardige bron van gehackte accounts.

[DrPoncho]

Bij 2FA krijg je recovery codes, niet phrases.

[Triblade_8472]

Ik reageerde op account recovery, niet MFA recovery. Maar dat klopt, je kan codes krijgen. Maar je moet er wel moeite voor doen, wat ik een gebruiker letterlijk nog nooit heb zien doen.

[GertMenkel]

De codes krijg je. Deze services dwingen je bijna om die codes uit te printen (lang leve de "print to PDF" functie). Je komt er niet onder uit, je moet actief moeite ondernemen om die codes niet te krijgen bij dit soort diensten.

Wat er vervolgens gebeurt, is dat men die codes weggooit. Of opslaat op een bestand op de computer. Op het moment dat mensen hun tweede factor kwijtraken, herinneren ze natuurlijk niet meer dat ze ooit codes hebben gehad.

Qua account recovery zijn passkeys hetzelfde als wanneer je je wachtwoord vergeet: een SMS op je telefoon, een link naar je herstel-email, misschien wat persoonlijke vragen, enzovoorts.

[paltenburg]

Ik heb een nieuwe telefoon, alle apps mooi overgezet. Maar wel op elke app opnieuw inloggen (dus wachtwoord opzoeken, dus blij dat ik dat ergens had opgeschreven, wat niet goed is).

Ik snap niet dat er nog niet het begin is van een systeem van een soort geautomatiseerde wachtwoordmanager in Android (in mijn geval, heeft iOS wel zoiets?) voor apps, zoals Chrome dat wel heeft voor websites.

[Reactie gewijzigd door paltenburg op 2 mei 2025 12:00]

[rob12424]

Wat dacht je van barrières zoals bij mij op het werk. Wegens ziekte insleep: luchtdouche enz. En telefoon mag van hygiëne dus absoluut niet mee. Maar ja iemand had leuke idee of 2fa in te voeren op een dag van de overkoepelende organisatie en wel verplicht en direct.......

[Triblade_8472]

Goed verhaal.

Ik bedenk mij daardoor. Zouden er "veilige" yubikey-achtige apparaatjes zijn die wel door dat soort barrières mogen?

[rob12424]

Ja die zijn er wel: probleem is alleen vaak. Waar ga je ze opslaan en hoe?
Je moet nagaan de chirurgische pakken die je aan hebt mogen vaak geen zakken hebben. (Er is vaak alleen een strip om pennen aan vast te hangen)
Alles wat grip moet hebben heeft een ruw oppervlak en is een hoger infectie risico. (Glad is dus beter)

Een keykoord is touw, buig je voorover gaat het in je schone gebied hangen waar je aan het werk bent. En ook een infectierisico. En je wilt zo min mogelijk in en uitsleep dus ding mee naar buiten nemen is ook geen optie.

[Triblade_8472]

Ik zou denken op een vergelijkbare manier als beveiligde ticketverkoop balies? Zo'n lade die je heen en weer schuift, maar dan een decontaminatie tussenin.

Of is dat teveel scifi?

[Rogers]

Vind het maar een vervelende ontwikkeling. Steeds meer authenticatie wordt afhankelijk van je telefoon, raak je die kwijt of gaat die kapot ben je zwaar de zak. Moet je nu werkelijk backup apparatuur gaan maken omdat Microsoft geen wachtwoord meer wilt?

Bovendien krijg ik geregeld authenticatie popups van Microsoft terwijl ik niet probeer in te loggen. Dat kan nu dus omdat ze geen wachtwoord meer nodig hebben, alleen je email is voldoende.
Als je een keer niet oplet en je keurt dat verzoek goed ben je de zak.

[Jacco011]

Dit probleem had ik een paar maanden terug ook, echter gebruik ik nog wel wachtwoorden. Zeker 10x per dag weer een melding, dit stopte gelukkig die 3 maanden geleden uit zichzelf.
Probleem is ook, dat Microsoft geen geo-blocking aanbiedt waarbij ik landen kan blocken. Het kan niet zo zijn dat ik op een dag in 3 verschillende continenten ben, maar volgens Microsoft dus de normaalste zaak van de wereld.

[Reactie gewijzigd door Jacco011 op 2 mei 2025 12:41]

[Rogers]

Idd geen geo blocking is een gemis. In account activiteit zie ik vaker dat er honderden keren per dag geprobeerd wordt in te loggen van over de hele wereld.

[GHorsie]

Precies mijn probleem hierbij. Als je de gehele dag door een pop-up krijgt om te bevestigen dat je inlogt gaat het een keertje fout.
Met een wachtwoord heb je tenminste een extra laag waar ze eerst doorheen moeten komen.

[BasHouse]

de Sjaak toch?

[Roel1966]

Mee eens en voor zo lang het nog gaat stel ik het ook uit om in te moeten loggen via de telefoon. Het is alweer een extra handeling en net zoals je zegt, gaat dat ding eens kapot dan zit je te kijken. En ja ik heb ook niet altijd die telefoon aan staan en wil dan ongestoord aan mijn pc kunnen zitten.

Dat Microsoft dan maar eens een methode ontwikkeld waarbij je even volledig zonder internet op je pc kan werken, dan is ook al die wachtwoordflauwekul niet nodig.

[Franckey]

Ze laten een kaartje zien met de locatie waarvandaan ingelogd wordt. Maar zouden ze dit niet beter automatisch kunnen checken met de locatie van mijn telefoon waar ze de notificatie naar toe sturen?

Op die manier kan je denk ik veel foute inlogpogingen tegenhouden. Evt. met een extra waarschuwing en de optie om inloggen alsnog te accepteren.

[The Zep Man]

Voor wie nog niets weet over de term "passkey", GitHub heeft een aardige omschrijving in de documentatie:

Passkeys are pairs of cryptographic keys (a public key and a private key) that are stored by an authenticator you control. The authenticator can prove that a user is present and is authorized to use the passkey. Authenticators prove authorization with a PIN, passcode, biometric, or device password, depending on the authenticator's capabilities and configuration. Authenticators come in many forms, such as an iPhone or Android device, Windows Hello, a FIDO2 hardware security key, or a password manager.

WebAuthn is de meestgebruikte standaard hiervoor.

iPhone/Android (ook genoemd in het artikel) en Windows Hello zijn voorbeelden van authenticators die platformbeveiliging gebruiken. Je gebruikt dan een bestaande authenticatiemethode in dat OS om te bewijzen dat jij jij bent richting het platform, en het platform authenticeert jou vervolgens voor de dienst. Dat zou een wachtwoord/PIN kunnen zijn, maar ook bijvoorbeeld een schermpatroon of biometrie (vingerafdruk, camera...).

Fysieke sleutels zijn bijvoorbeeld de bekende YubiKeys. Die heb je qua hardware en/of gebruik in verschillende smaakjes voor connectiviteit (USB A of C, NFC) en verificatie (druk op de knop, PIN opgegeven in de PC, vingerafdruk).

Dan heb je nog wachtwoordmanagers met ondersteuning voor passkeys. Zo kan bijvoorbeeld Bitwarden als browserextensie op de desktop of als applicatie op de smartphone gebruikt worden voor authenticatie. Bitwarden gebruikt standaard een wachtwoord, maar je kan het ook in laten haken op platformbeveiliging (zoals het gebruik van een vingerafdruk op een mobiele apparaat).

Een voordeel van een wachtwoordmanager tussen platform en dienst is dat je (naast wachtwoorden) passkeys kan synchroniseren zodat je ze op meerdere apparaten kan gebruiken, terwijl je toch van de voordelen van platformbeveiliging gebruik kan maken om de gebruiksvriendelijkheid te verhogen.

Door in te zetten op passkeys is Microsoft dus standaard van wachtwoorden af voor nieuwe accounts. Of je daar als gebruiker vanaf bent ligt aan andere factoren, zoals je eigen keuzes of die je systeembeheerder voor je maakt.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 09:54]

[Proliges]

Precies ze flikkeren het gewoon over de schutting. Want zij hebben geen gedoe meer met wachtwoorden. Gebruiksvriendelijker zijn passkeys in ieder geval niet.

[Daniel Jackson]

Ik vind het wel een interessante technologie. Voor elke site waar ik een account heb en die het ondersteunt maak ik een passkey aan.
Voor het opslaan van mijn passkeys gebruik ik mijn wachtwoordmanager KeepassXC. Dus de keys hou ik in lokaal eigen beheer. Het zit in niemand's cloud en in kan het naar elk systeem weer terugzetten.

[Draconian]

Dit is toch gewoon Windows Hello? Met pincode of biometrisch inloggen. Leuk als je als gebruiker in een bedrijf een wachtwoordwijziging moet uitvoeren. Geeft nogal eens problemen. Vooral als een app je oude wachtwoord cached zoals Teams en je iedere keer wordt gelocked in AD.

[Bathing Aap]

Ook je telefoon kan onder andere een passkey zijn voor het inloggen op je laptop, en dan bedoel ik zonder authenticator app.

[Marc H]

Bedacht door nerds, voor nerds.

Ik denk altijd aan mijn buren, als ik weer zo'n berichtje lees over passkeys. Zouden die ermee overweg kunnen? Even voor de beeldvorming: 80+, pin van de pc staat op een postit op de monitor en wachtwoorden worden 'bijgehouden' met de hand in een schriftje.

Totaal niet.

[barbarbar]

Het wordt voor gebruikers juist eenvoudiger. Gewoon de pincode van de pc gebruiken is voldoende, en vele malen veiliger dan een wachtwoord per account. Dat die pincode op de PC geplakt is, is geen probleem. Sterker nog, ik raad gebruikers vaak aan om een passkey in te stellen, en die pincode van de lokale pc gewoon op te schrijven en ergens op te plakken. Geen hacker die daar ooit bij komt.

[Draconian]

Slecht advies dan. Schoonmakers die in de avonduren het pand schoonmaken? Dan een +3 krijgen voor dit advies. De schoonmakers kunnen makkelijk op de pc inloggen met pincode geplakt op het beeldscherm onderaan. Echt bizar dit. Of een klant die binnen komt wandelen en de desbetreffende medewerker zit niet achter zijn werkplek. Even de pincode intoetsen en het rippen kan beginnen.

[Reactie gewijzigd door Draconian op 2 mei 2025 12:37]

[barbarbar]

Hij heeft over zijn opa van 80. Kom op, die zit niet meer op kantoor.

[GerritGekke]

Veel 80 plussers hebben zorg aan huis of maken gebruik van anderszins gelijke alternatieven.

Hoewel ik de doelgroep van zorgverleners zeer waardeer heb je hier ook rotte appels tussen zitten. Een pin op een post-it is dan wel erg laagdrempelig. Wanneer alles hier aangekoppeld wordt neem je wel een risico. Nee het zijn niet de hackers. Maar de rotte appels kunnen zo wel erg gemakkelijk bij allerlei diensten.

[barbarbar]

Alleen als die ook werkelijk achter die pc gaan zitten, thuis hebben ze er niks aan. Risico lijkt me nihil. Diefstal van gewone spullen is veel makkelijker en onopvallend. Zoals m'n moeder die al een tijdje spullen kwijt is sinds ze andere hulp heeft. Ouderdom of diefstal? Je moet toch op mensen vertrouwen, dan liever de schoonmaakster dan de hacker uit verweggistan...

Bankgegevens liggen ook vaak open en bloot in huis, en in de 40 jaar dat er mijn ouders hulp over vloer hebben, is dat niet een probleem.

Die schoonmaakster of hulp heeft helemaal geen tijd of kennis om zulke dingen te ondernemen. Dan erbij is bekend wie die hulp is, als er toch iets op een account wordt gedaan valt dat vrij snel op natuurlijk. Dan gaat het hooguit over iets bestellen op ander mans inlog. We hebben het niet over de pincodes van betaalpasjes e.d. al zal dat ook vaak ergens opgeschreven zijn.

[Reactie gewijzigd door barbarbar op 2 mei 2025 13:17]

[3raser]

En als de schijf dood is, hoe krijgt opa dan weer toegang tot zijn passkeys? Tot zover dus het "eenvoudiger".

[barbarbar]

Hoe is dat anders met wachtwoorden? Als opa die niet meer weet, kun je ook niks. Die zal hij ook opschrijven. Op een papiertje. Waar die een foto van maakt. En in een Word bestand plakt. Welke op een usb stick staat. Die het al jaren niet meer doet...

[3raser]

Een schriftje is over het algemeen beter bestand tegen de tijd dan een harde schijf. Alles kan stuk natuurlijk, maar het feit dat opa dat schriftje niet per ongeluk kan formatteren vind ik al een pluspunt.

[zordaz]

... Waarbij die pin wel weer hergebruikt wordt. Zijn we eigenlijk terug bij af...

[barbarbar]

Nee, die pin moet je zien als de pincode van een kluis. In de kluis liggen de codes per account, maar voor de kluis ben je alleen die pin nodig.

[zordaz]

Dan bedoelen we denk ik wat anders? Steeds meer diensten en apps werken met een pin 'bovenop' een unieke inlogkey. Die pin wordt natuurlijk door veel mensen hergebruikt. Dat is uiteindelijk ook niet erg veilig.

[barbarbar]

Als die pin gekoppeld is aan een fysiek apparaat is dat heel erg veilig. Die pin geeft alleen maar toegang tot de benodigde codes die alleen op dát apparaat staan. Een hacker komt daar helemaal nooit bij via internet. Dat is wat je met passkeys voornamelijk verbeterd, de beveiliging tegen online hackers (en de gebruiksvriendelijkheid).

Als je het over sms'jes hebt is het wat anders, die zijn relatief onveilig.

Als iemand én jouw apparaat bemachtigd, én jouw pincode, dan is toegang tot je accounts wel mogelijk. Maar ja, dan heb je het over normale diefstal én afkijken van je code.

De gelegenheidshackers, en de professionele hackers, houd je echt wel buiten de deur met passkeys. Ook al lijkt het alleen een pincode die je invoert, onder water wordt een cryptografie controle gedaan.

[Reactie gewijzigd door barbarbar op 2 mei 2025 15:41]

[zordaz]

Aha, zo bedoel je het. Remote toegang is hiermee idd beter beveiligd. In feite een variant van wat ik op mijn Linux systemen al jaren doe met SSH-keys.

[bantoo]

Laten we wel wezen, een groot deel van de maatschappij heeft en geen motivatie en geen belang bij dit soort veranderingen. Die mensen kun je gelukkig dan ook links laten liggen. Het mooiste zou zijn een algemeen internetverbod voor mensen die niet snappen hoe wachtwoorden etc werken en het ook niet proberen te snappen maar helaas in dat niet te halen in ons vergrijsde land. 500 "wachtwoord vergeten" mailtjes en irritante vragen aan familieleden die het wel snappen is hoe deze mensen op dit moment magisch alles nog voor elkaar krijgen.

[pbk]

Dit voelt voor mij als 'victim blaming'. Het systeem is te ingewikkeld voor iemand dus we ontzeggen iemand de toegang tot het systeem. De gebruiker moet zich dus maar aanpassen.
Ik denk dat het beter is om het om te draaien. Test je systeem dat je hebt bedacht onder een willekeurige groep gebruikers. Als minder dan 90% van de gebruikers er (na uitleg en enige oefentijd) niet mee overweg kan moet het terug naar de tekentafel.

[nnndoh]

Vroeger hadden we een wachtwoordloos internet

[DennusB]

Goed idee denk ik! Minder kans dat er iets uitlekt of het mis gaat

[memphis]

Mag je denken, de thuisgebruiker heeft hier niets aan en laat de key/kaart in de PC zitten of laten hun PC open om die ellende van nog moeilijker inloggen te voorkomen zoals inloggen via een SMS code. Ik heb jaren gewerkt bij bedrijven die met een pasjessysteem werkten en de servicedesk had de handen vol aan niet werkende en kwijtgeraakte pasjes.

[barbarbar]

Passkey heeft niks met pasjes te maken. Passkey is een digitale sleutel die in een speciale chip in de laptop/smartphone zit. Simpel gezegd.

[The Zep Man]

Mijn wachtwoordbeheerder (Bitwarden client, Vaultwarden server) hoeft op geen enkele manier gebruik te maken van een speciale chip in laptops of smartphones om passkeys te beheren en aan te bieden op websites.

Platform authentication m.b.v. embedded hardware kan gebruikt (en afgedwongen) worden wanneer passkeys worden gebruikt, maar het is geen verplichting.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 09:23]

[barbarbar]

Dat klopt, daarom ook "simpel gezegd".

[The Zep Man]

Leg het zo simpel mogelijk uit, maar niet simpeler.

Simpel gezegd is fruit een banaan. Dat houdt niet in dat banaan een goede omschrijving is van fruit.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 10:58]

[Zwatelaar]

Leg het uit, maar wel goed.

Fruit is een banaan? Dat klopt niet.

(Als je had geschreven: banaan is een fruit, dan had je stelling wel geklopt).

Loop je een ander te corrigeren, doe je het zelf fout.

[Pinkys Brain]

Pluton zit nog lang niet in alle Windows laptops, de TPM is voorzover ik weet niet flexibel genoeg voor passkeys.

Ik vermoed dat Microsoft probeert passkeys veilig te houden via virtualization based security. Ze staan ge-encrypt op opslag, maar gaan nog wel gedecrypt door de CPU binnen een speciale virtual machine ... is verder weinig over bekent, waarschijnlijk omdat Microsoft hackers niet op ideeën wil brengen.

[GertMenkel]

TPM's zitten in alle Windows-11-laptops. Windows Hello gebruikt die dan ook voor passkeys. Als je geen biometrie op je computer hebt zitten die veilig genoeg wordt geacht, kun je de TPM als passkey gebruiken door je Windows-PIN in te vullen in een OS popup.

Ze hebben ook de credential manager naar een los component in een VM-omgeving gezet, maar dat is voor zover ik weet alleen beschikbaar in Windows 11 Enterprise en staat standaard uit. Dat zal in de toekomst nog wel veranderen, verwacht ik.

Zie hier voor een demo: YouTube: Windows 11: Create and manage Passkeys

In tegenstelling tot je wachtwoord, wordt je PIN gebruikt om de TPM te ontgrendelen en wordt je TPM vervolgens gebruikt om in te loggen op van alles (onder andere Windows zelf!). Die PIN kan ook speciale tekens bevatten, overigens. Door de manier waarop de PIN werkt, kan die niet zo eenvoudig gebrute-forced worden (aangezien er een rate limit op de hardware zou moeten zitten) en kan die redelijk kort blijven zonder veiligheidsproblemen.

Als je nog geen PIN voor je computer hebt ingesteld, raad ik dat ten zeerste aan. Dat kan ook gewoon een wachtwoord zijn, dus, alleen krijg je er gratis een extra vorm van bescherming bij én kun je met Windows Hello op alles inloggen.

[Miglow]

Nee hoor, ik heb mijn Thinkpad zonder TPM verkocht met een verse Windows11 installatie via een installatie stick gemaakt met Rufus.

Oh, en ik heb juist geen beveiliging op mijn Windows systemen, allemaal prive gebruik. Bedenk me net dat de server op zolder het wel heeft omdat ik anders niet remote kan inloggen.

[Reactie gewijzigd door Miglow op 2 mei 2025 14:37]

[Raymond Deen]

Nee hoor, passkeys zijn gewoon een reeks berekende getallen op basis van een sleutel die je deelt bij het aanmaken van die passkey reeks.
Elke x seconde wordt een nieuwe passkey berekend op basis van die sleutel en beide zijden moeten dezelfde passkey dan gebruiken om aan te tonen dat ze zijn wie ze zeggen te zijn.

[barbarbar]

Bijna, niet helemaal. Bij de eerste keer instellen/koppelen van de passkey aan je account wordt er op je apparaat/wachtwoordmanager/key een publieke en private sleutelcombi gemaakt. De private sleutel blijft van jouw, de publieke sleutel gaat naar de server waar je wilt inloggen. Bij het inloggen geeft de server jou een willekeurige code, en vraagt jou die te versleutelen met je prive sleutel. Als dat is gedaan, gebruikt de server jou publieke sleutel (van die eerst aanmelding) om te controleren of dat die bij elkaar hoort (dus of jij de prive sleutel écht bezit, en dus toegang tot het account mag).

Er zijn wel extra controles die op tijd gaan, maar de basis is een publieke en private sleutel combi. De rest is extra controles.

[aikebah]

Zo te lezen verwar je passkeys met OTP (one-time passwords).

[Raymond Deen]

Je hebt gelijk!
Passkeys zijn wel degelijk public-private-key gebaseerd zoals hier al gezegd. Je hebt alleen geen speciale chip nodig om hem op te slaan…

[Seal64]

Als thuisgebruiker heb ik inderdaad gewoon géén wachtwoord op de PC staan. Lekker belangrijk - die staat op zolder, dus als je daar bij kunt heb ik grotere problemen als dat je eventueel in mijn PC gaat zitten neuzen.

Maar ik denk dat je op thuiswerkers doelt - da's natuurlijk wel wat anders. En tja, dat zal altijd een ding blijven. Je kunt je gebruikers nog zo goed proberen op te voeden en zo veel mogelijk afdwingen, maar aan de andere kant, mijn werkgever is nog van de stiel dat er elke zes maanden een nieuw wachtwoord op moet. 2FA is dan wel vereist en de SMS controle wordt momenteel uitgefaseerd - dus je moet met een authenticator app gaan werken die dan op je bedrijfstelefoon staat. En ja, er wordt minstens twee keer per jaar een (verplichte) elearning uit gegooid over dit soort zaken, maar ze trappen er nog steeds gewoon in.

[pbk]

Dus stel er wordt ingebroken en je pc wordt gestolen... dan heb je een extra groot probleem als je op die pc geen wachtwoord hebt staan.

[aikebah]

een keer per 6 maanden slechts?

[PolarBear]

Ik heb het idee dat je niet helemaal begrijpt wat passkeys zijn.

[The Zep Man]

Mag je denken, de thuisgebruiker heeft hier niets aan en laat de key/kaart in de PC zitten

Daar heb ik wel eens een goede oplossing voor gezien: om van de afdeling af te komen moest je ook van een pas gebruik maken. Het alternatief was het brandalarm of een intercomsysteem voor de nachtelijke werker wanneer een pas kapot gaat op het lastigste moment. Zo leer je wel je pas bij je te houden. Een bonus is dat je je computer automatisch vergrendelt, want je neemt je pas wel mee.

of laten hun PC open om die ellende van nog moeilijker inloggen te voorkomen zoals inloggen via een SMS code.

Veel bedrijven die volledig inzetten op Microsoft zetten ook in op Windows Hello. Daarmee heb je zat gebruiksvriendelijke opties, als de organisatie dat toestaat.

[Reactie gewijzigd door The Zep Man op 2 mei 2025 09:36]

[aadje93]

werk zelf bij een bedrijf waar inderdaad je pas ook gebruikt word voor PC login naast een wachtwoord. Bijna iedereen laat die pas er gewoon inzitten terwijl ze m locken. Collegas schrokken ervan hoe die van mij compleet versleten was qua kleuren/foto.

Zeg ja, dat krijg je na 5 jaar als je dus wel zoals voorgeschreven de pas uit je PC haalt....

[HansvDr]

Vriendin was laatst haar telefoon verloren. Hoe ga je zonder wachtwoord je telefoon terugvinden of resetten?

[Roko]

Door in je account meerdere inlog opties aan te maken zodat je altijd een fallback methode hebt om toch in te kunnen loggen.

[SambalBij]

Precies, waaronder dus een (sterk) wachtwoord...
Volkomen doorgeslagen idioterie dus weer dat ze dat nu niet meer doen bij een nieuw account, zeker wanneer dat (niet IT) gebruikers betreft die het risico niet zien van een account zonder wachtwoord met alleen maar zo'n passkey op een device wat kan stukgaan, gestolen/verloren worden, of simpelweg vergeten.

Maar goed, dit past wel weer prima in het rijtje ongewenste-zaken-door-de-strot-douwerij waar Microsoft tegenwoordig om bekend staat...
Volgende stap zal vast en zeker wel zijn dat je een abonnement moet nemen op de authenticator, en ze hebben vast een Copilot accountherstel AI in de pijplijn zitten....

[GertMenkel]

Nou ja, ze maakten in het verleden ook geen passkey aan voor als je je wachtwoord vergeten was, dus zo'n verschil is het ook weer niet. Je herstelopties zijn exact hetzelfde als wanneer je je wachtwoord vergeet, iets dat ik toch maandelijks bij familie meemaak.

Als je het niet wilt, doe je het niet. Microsoft is het zat dat accounts worden overgenomen met Wachtwoord1234! en mensen die overal hetzelfde wachtwoord voor gebruiken (waar ze dan nog de schuld van krijgen ook) en voegt hier een heel redelijk alternatief toe. Als je per se een wachtwoord wilt blijven gebruiken, dan blijft dat nog gewoon een optie.

De passkeystandaard is open en er zijn diverse implementaties die je vrij kan gebruiken. Als je je eigen computer niet vertrouwt, kun je een Yubikey (of equivalent) kopen en met een fysieke sleutel inloggen. Dit is pure risicodekking van Microsoft, het gaat nu niet om het verdienen van meer geld, maar meer om het voorkomen van meer verlies doordat ze al die spambotaccounts moeten sluiten.

[HansvDr]

Dan hoop ik dat ze dat duidelijk aangeven. Nou ja, een schrift vol met haar wachtwoorden heb ik inmiddels . Schrijf ik die codes er wel bij

[barbarbar]

Heel goed de restore codes noteren/printen en ergens neerleggen waar je ze jaren later nog weet te vinden.

[Yzord]

Dit is gewoon een vervelend iets wat ze door willen duwen. Ze duwen je eerst naar passkeys welke in authenticators zitten zoals Authy of Bitwarden etc. Maar wat je nu langzamerhand ziet is dat deze tools richting cloud gaan en dat betekent dus dat deze "keys" ook op een server bewaard worden. En je raadt het natuurlijk al, bij mij gaan dan de alarmbellen af. Want eenmaal in een cloud, dan is het voor specifieke diensten handiger om achter een passkey te komen.

En ja natuurlijk zijn er open source projecten die je zelf kan hosten, maar dat is omdat wij hier op T.net zitten en er vanaf weten, maar de meerderheid laat zich als een schaap in de val lokken en over nu en tien jaar ofzo (natte vingerwerk, sorry, geen bron) zal je zien dat de mainstream authenticators allemaal cloud based zijn owned door de multinationals. Dus wijsheid is nu om daarop in te springen en laat ik daar nu net mee bezig zijn wordt vervolgd.

[Hann1BaL]

Als gebruiker kun je eenvoudig kiezen waar je de passkeys opslaat en niets houdt je tegen er meerdere te maken. Sla dus op op je laptop/telefoon, maar ook in je (cloud based) password manager en je hebt een methode van het opslaan van je sleutel en reservesleutel zodat je dat misschien ook voor je fiets of auto doet.

Je hebt het ineens over authenticators en passkeys zijn nu net een manier om niet afhankelijk te zijn van authenticators.

Voor je belangrijke inlogs wil je gewoon meerdere auth methoden configureren en wachtwoord zou ik daar niet 1 van laten zijn. Overigens zijn voor de meeste mensen de belangrijke systemen net zo cloud based, vaak nog bij dezelfde bedrijven, dus ach, ik denk dat je angst qua authenticatie dus niet zo gegrond is.

Of je afhankelijk wilt zijn met bijv je email van die providers is een hele andere discussie en dat is hier niet de juiste plek

[Yzord]

Nou, als ik 1 ding heb geleerd in mijn leven is dat mijn onderbuik altijd gelijk heeft. We gaan het zien haha.

[Eusebius]

Ik heb nog wel Authy draaien, maar na de hack heb ik een FOSS-applicatie genomen via F-Droid. Die draait 'lokaal' op de mobiel.

[GertMenkel]

Authy doet alleen TOTP en hun eigen uitbreidingen daarop. Ze doen (nog) geen passkeys.

Passkeys doen het ook gewoon offline op een AOSP-Android-telefoon, of met een fysieke USB/NFC-sleutel, of met een zelfgehoste oplossing, dus die optie behoudt je gelukkig nog wel.

[Bergen]

Het bedrijf wil daarmee afstappen van 'minder veilige' wachtwoorden.

Een 4 cijferige pincode is toch per definitie minder veilig dan een wachtwoord? Ik vind het hartstikke handig hoor, maar iemand die over mijn schouder meekijkt kan gewoon zien welke pincode ik intyp, en dat is bij een wachtwoord een stuk lastiger.

[Llopigat]

De pincode wordt hardware gelimiteerd op een paar pogingen. De handshake die hij doet met de server is juist wel op harde crypto gebaseerd. Het is een beetje een ander model uiteindelijk. Ik gebruik zelf een hardware sleutel en daar ben ik erg voorzichtig mee.

[Azenomei]

Kan je dat niet meer instellen voor wachtwoorden dan? Ik weet nog dat dit in policies aan te passen was. Incl vergrendeling van account na X pogingen etc.

[habbekrats]

Op mijn home laptops zijn het 5 cijfers en de werklaptops zijn er 6.