Windows 11 biedt voortaan ondersteuning voor passkeys van 1Password en Bitwarden

Microsoft heeft ondersteuning toegevoegd voor passkeys die zijn opgeslagen in 1Password en Bitwarden. Voorheen konden gebruikers deze wachtwoordloze inlogsleutels binnen Windows 11 enkel aanmaken en opslaan in Microsoft Password Manager.

Voor onder meer het inloggen in Windows 11 zelf en in Windows 11-apps kunnen gebruikers voortaan passkeys gebruiken die in 1Password en Bitwarden zijn opgeslagen, meldt Microsoft. Ook kunnen ze ervoor kiezen dat nieuw aangemaakte passkeys in het besturingssysteem automatisch in een van deze twee wachtwoord­managers worden opgeslagen. Voorheen kon dit alleen met Microsofts eigen Password Manager.

Gebruikers kunnen vanaf Windows 11-versie 26200.7019 de standaardmanager wijzigen via de instellingen. Daarvoor moeten ze eerst de gewenste wachtwoordmanager installeren. De versie van Bitwarden die native ondersteuning biedt voor Windows 11 is vooralsnog enkel als bèta beschikbaar op GitHub.

Microsoft probeert gebruikers al langer wachtwoordloze inlogmethodes te laten gebruiken, omdat wachtwoorden volgens het bedrijf relatief onveilig zijn. Nieuwe Windows-accounts hoeven sinds kort geen wachtwoord meer in te stellen, maar kunnen meteen aanmelden via onder meer passkeys.

Reacties (47)

[dasiro]

Voorheen kon dit alleen met Microsofts eigen Password Manager.

Ik begrijp dat jullie gewoon de letterlijke quote van de Microsoft-blog overnemen, maar voordien was dit gewoon de password manager van Edge die niet in windows geïntegreerd was. Dat verandert nu óók (de blog van vorige week staat er ook in gelinkt):

We’ve integrated Microsoft Password Manager from Microsoft Edge natively into Windows as a plugin. That means you can use it in Microsoft Edge, other browsers, or any app that supports passkeys.

This integration of Microsoft Password Manager from Microsoft Edge comes with added security benefits:

• Passkey operations (creation, authentication, and management) are protected by Windows Hello.

• Passkeys stored in Microsoft Password Manager will be synced and available on other Windows devices where the user is logged into Microsoft Edge with the same Microsoft account.

• Syncing is protected by your Microsoft Password Manager PIN and a cloud enclave solution.

• Azure Managed Hardware Security Modules (HSMs) help protect encryption keys.

• Sensitive operations are performed inside a hardware-isolated environment in Azure Confidential Compute. 

• There is tamper-proof recovery with Azure Confidential Ledger.

In other words, your passkeys are securely stored and easy to use.

Ik hoop dat uiteindelijk de oeroude Vault hiermee ook kan worden vervangen als bvb de ingebouwde remote desktop client ook ondersteund gaat worden en je niet meer afhankelijk moet zijn van andere first of third-party software, maar alles mooi geïntegreerd wordt en via API's met elkaar kan communiceren.

[bzuidgeest]

Ik vraag mij altijd af wat passwordless/passkeys nou werkelijk toevoegt. Uiteindelijk is er altijd ergens een sleutel of cert dan word gecombineerd met een username. Uiteindelijk is het een wachtwoord onder een andere naam. Dongles e.d. zijn leuk, maar iemand kan je nog steeds dwingen er 1 te gebruiken. En tokens zijn electronica en electronica kan stuk, dus je moet al twee tokens minimaal hebben en de reserve goed bewaren en af en toe checken.

Een voldoende complex wachtwoord is goed genoeg in 90% van de gevallen en heeft veel minder haken en ogen.

[RobertMe]

Een voldoende compex wachtwoord beschermd je niet tegen phishing en dergelijke. Passkeys doen dat wel, doordat ze altijd hard gekoppeld zijn aan een domein en onmogelijk op een ander domein gebruikt kunnen worden (zie bv X / Twitter die laatst waarschuwde dat passkeys gekoppeld aan Twitter(.com) binnenkort niet meer werken omdat de authenticatie naar X(.com) verplaatst wordt). En v.w.b. of het voorkomt dat er het een password per ongeluk op een phishing website invullen, zelfs met een password manager? Ja, dat komt voor, en gebeurt zelfs "de beste": nieuws: Mailinglijst blog Have I Been Pwned-oprichter gelekt door phishingmai...

Daarnaast zijn passkeys ook inherent veiliger doordat ze asymmetrisch zijn. Een wachtwoord is symmetrisch, beiden kennen het wachtwoord, en het wachtwoord gaat over de lijn. Luistert iemand op de lijn mee, is het wachtwoord uitgelekt, lekt de database uit, is het wachtwoord uitgelekt. Bij passkeys is het dus asymmetrisch, dus de "sleutel" gaat nooit over de lijn. De private key staat in de wachtwoordmanager, op het apparaat, of op een roaming key. De bijbehorende publieke key wordt eenmalig naar de website gestuurd (bij registratie). En de publieke key mag ook uitlekken, daarom heet die ook zo. En de private key kan in principe niet uitlekken (vaak mag je hem niet inzien, en bij bv Bitwarden zit die ook helemaal niet in de export). Op het moment van inloggen oo de website stuurt de website vervolgens een willekeurig stukje tekst (zogenaamde nonce), deze nonce wordt vervolgens met de private key versleuteld, en dit versleutelde resultaat wordt door de website met de public key ontsleuteld. Waarna de website dus kan zien of de ontsleutelde tekst gelijk is aan de nonce die die zelf gestuurd heeft. Er gaat dus nooit een wachtwoord of enigszins dat ook maar lijkt op een "geheim" over de lijn heen. De versleutelde data die elke login over de lijn gaat is "onzin" (willekeurige tekst die de website in plain text aanleverde) en de publieke key, die maar eenmalig over de lijn gaat, is dus publiekelijk en niet geheim en kun je niks mee behalve het ontsleutelen van iets dat met de private key versleuteld is.
Dus ook je claim dat passkeys gelijk zijn aan wachtwoorden is niet waar. Doordat de een symmetrisch is en de ander niet.

[bzuidgeest]

en het wachtwoord gaat over de lijn

Correct, maar normaal versleuteld met asymetrische encryptie.

lekt de database uit, is het wachtwoord uitgelekt.

Alleen als iemand nog zo stom is plain text passwords op te slaan.

En wie zegt dat de private key niet kan lekken? Hij gaat niet over de lijn, maar malware kan ook lokaal draaien en passkeys zijn een prima doelwit. Ze zijn niet magisch vrij van fouten en lekken en manco's, Je key kan ook gestolen worden.

Dus ook je claim dat passkeys gelijk zijn aan wachtwoorden is niet waar.

Niet zozeer technisch gelijk, als wel een oplossing op zoek naar een probleem in veel scenarios. En een oplossing met weer zijn eigen problemen. Niets is perfect. En er zijn gewoon heel veel functionele overeenkomsten. Het is een "uniek" ding dat jou identificeert. Uiteindelijk gaat er met of zonder extra "gedoe" een ding over de lijn dat jou authenticeert.

[RobertMe]

[...]

Correct, maar normaal versleuteld met asymetrische encryptie.

Ook dan kan er een man-in-the-middle zijn. Of bv dat je verbind met een reverse proxy die SSL/TLS termination doet en vervolgens over HTTP (zonder SSL/TLS) met een daadwerkelijke backend server babbelt.

En wie zegt dat de private key niet kan lekken? Hij gaat niet over de lijn, maar malware kan ook lokaal draaien en passkeys zijn een prima doelwit. Ze zijn niet magisch vrij van fouten en lekken en manco's, Je key kan ook gestolen worden.

Een roaming key geeft helemaal geen toegang tot de key. De FIDO API geeft daar geen mogelijkheid voor en dat hoeft ook niet. Het OS/de applicatie kan aan de key vragen om de nonce te versleutelen (incl wat context v.w.b. het doel/voor welke website). Vervolgens doet de key die actie uitvoeren en het resultaat teruggeven. De key wordt dus nooit afgegeven naar het OS/de applicatie en deze kan dus ook niet lekken.
Bij ingebakken support in het OS (zoals Windows Hello, en andere equivalenten) is dit voor zover ik weet ook zwaar afgeschermd (met TPM etc) waardoor je niet zomaar de key kunt uitlezen.
Bij pure software implementaties (zoals dus bv bij Bitwarden) durf ik niet exact te zeggen hoe het met de beveiliging zit.
Maar in alle gevallen geldt dus dat de aanvaller daarvoor uberhaupt al toegang tot het apparaat moet hebben. En in dat geval zijn ouderwetse wachtwoorden ook al zo lek als een mandje (keylogger bv). En bv een Keypass heeft als beleid ook dat ze helemaal niks doen aan "lekken" die alleen werken als de aanvaller toegang tot het systeem heeft. Simpelweg omdat je dan al een veel groter probleem hebt.

[...]

Niet zozeer technisch gelijk, als wel een oplossing op zoek naar een probleem in veel scenarios. En een oplossing met weer zijn eigen problemen.

De problemen van passkeys zitten echter niet in de beveiliging an zich. Maar meer in de praktische toepassing. Zoals je zelf aanhaalt: "wat als de key stuk gaat? Dan moet je al altijd twee keys bijhouden". Terwijl wachtwoorden problemen hebben als: opschrijven, te makkelijk te raden, te onderscheppen, van over de hele wereld te gebruiken door een aanvaller (waarbij 2FA middels OTP 0,0 extra bescherming bied want dat is wel weer echt gelijk aan een wachtwoord en als je dat "weet" kun je het gebruiken. Lees: OTP codes kun je nog steeds op phishing websites invullen waarna de aanvaller ze kan over nemen).

En er zijn gewoon heel veel functionele overeenkomsten. Het is een "uniek" ding dat jou identificeert. Uiteindelijk gaat er met of zonder extra "gedoe" een ding over de lijn dat jou authenticeert.

Nee, het is niet een ding dat je authenticeert. Het is een afgeleide van een ding waarmee je geauthenticeert wordt. Dat ding zelf (de private key) gaat niet over de lijn.

[Pinkys Brain]

Passkeys zijn expliciet ontworpen om te syncen tussen meerdere apparaten, dus ze gaan niet meer zo makkelijk stuk. Kon met U2F in theorie ook wel maar dan gingen Fido gastjes heel hard schreeuwen en over de grond rollen ... zoals ze nu nog steeds doen als software gebruikers hun eigen passkeys laat zien.

https://github.com/keepassxreboot/keepassxc/issues/10407

[hoosterb]

Ik lees hieronder nog allerlei opmerkingen dat het niet zo onkraakbaar zou zijn, zal wel, maar jouw uitleg is wel de eerste die ik begrijpen kan en me doet inzien dat het zinnig is met passkeys te gaan werken i.p.v. met wachtwoorden die mijn browser vervolgens op slaat. Bedankt hiervoor!

[beerse]

Passkeys zijn naar mijn idee niet passwordless maar dat is ongetwijfeld een taalkundig detail, geen tweak discussue waard....

Voor mij is de toegevoegde waarde van PassKeys dat het gebruiksgemak met inloggen voor mij hoger ligt dan gebruikersnaam/wachtwoord combinaties en zeker beter dan de mfa-toegang die vaak gewenst is. En de beveiliging, zowel voor ongewenste toegang als ook tegen verkeerde toegang net zo hoog of zelfs hoger ligt dan met ssh-keys en omstreken. De passkey een keer instellen is vergelijkbaar met het opzetten van mfa-toegang. Het inlog gemak met een passkey is vergelijkbaar met een vingerafdruk of irisscan of zo.

Mocht je met passkeys willen testen/oefenen: https://passkey.org/

[madcow22]

Kan in ieder geval zetten met mijn moederbord zijn passkeys nutteloos. Laatste keer dat ik mijn bios update werd mijn hele keystore gewist en geen enkele passkey werkte meer.

Gigabyte aorus x870 motherboard.

[William_H]

Hopelijk kan dit dan ook snel voor andere varianten, zoals het Nederlandse Aliasvault, dat sterk op Bitwarden lijkt.

[InfiniteSpaze]

Ziet er wel goed uit! Handig dat zo een beetje alles in 1 tool zit. Nu heb ik een aantal losse services voor zulke features. Als ze nu ook aliases/maskers hebben voor mobiele nummers zou het al helemaal top zijn.

Alleen vraag ik me wel iets af. Wat is de catch? Als een service goed is wil ik er graag voor betalen. Aangezien ik eerder gebruik heb gemaakt van opensource password managers die vanwege een slecht verdienmodel failliet gingen. Ze waren enorm goed alleen verdiende niets met het delen van data of met aankopen/abonnementen. Dus waar verdient Aliasvault op? Niets is volledig gratis, dus als dit verborgen is of niet makkelijk te vinden dan word ik een beetje sceptisch.

[mavadosh]

Als je op hun site kijkt:

De huidige basisversie van AliasVault, met alle bestaande functies, is volledig gratis te gebruiken en zal dat altijd blijven. Zowel voor de officiële cloud-gehoste als self-hosted opties. In de nabije toekomst zijn we wel van plan om optionele premium functies te introduceren zoals extra opslagruimte, automatische back-ups en meer. Deze betaalde opties zullen ons helpen bij de verdere ontwikkeling en het dragen van de kosten voor het runnen van het project. Dat gezegd hebbende, zijn we momenteel gefocust op het ontwikkelen en verfijnen van de basisfuncties van AliasVault om een stabiele en betrouwbare basis voor alle gebruikers te garanderen. Premium functies maken deel uit van onze langetermijn roadmap, maar onze huidige prioriteit is het leveren van een solide basisversie. Als je het project in de tussentijd wilt helpen, zijn donaties zeer welkom — bezoek onze contactpagina voor meer informatie.

[bzuidgeest]

en zal dat altijd blijven

Hoe vaak hebben we nou al gezien dat een bedrijf verkocht/gekocht word en de nieuwe eigenaar die belofte intrekt? Dat soort beloftes is helemaal niets waard. En je moet er geen waarde aan hechten.

En dat is niet alleen bij aliasVault zo.

[InfiniteSpaze]

Dankje! Ik had zelf daar overheen gelezen. Ik ben het wel eens met wat @bzuidgeest zegt. Wat ze nu hebben kost ook een hoop en dat moet ergens vandaan komen. Het op het begin gratis aanbieden kan wel een goede strategie zijn om gebruikers aan te trekken, al helemaal als de basisversie gewoon goed is.

Maar zelf hoef ik geen bètatester te zijn in dit gebied en heb ik geen zin om over een jaar weer alles over te moeten gooien, omdat het platform niet overeind kan blijven staan. Ik wacht het daarom liever even af en blijf bij wat ik nu heb. Maar zoals ik al eerder zei, als er ook mobiele maskers komen dan ben ik wel heel erg geïnteresseerd.

[The Zep Man]

Het op het begin gratis aanbieden kan wel een goede strategie zijn om gebruikers aan te trekken, al helemaal als de basisversie gewoon goed is.

Dat klinkt als de eerste stap van de enshittificationcyclus. Ik hoop dat dat niet opgaat voor AliasVault. Zelf gebruik ik Vaultwarden. Wat meer concurrentie in de FLOSS-ruimte zou fijn zijn.

[InfiniteSpaze]

VLC, WinRAR, Rufus, Blender, OBS Studio, Kodi, LibreOffice en eigen bijna alle browsers (alhoewel betaal je op een andere manier voor de meesten).

Het model kan wel werken. Als de basisversie goed werkt en het mijn digitale leven wat makkelijker maakt dan betaal ik er graag voor om de devs te steunen. Ook al zijn in veel gevallen de premiumfeatures onnodig omdat de basisversie al prima is, mijn donatie krijgen ze. Het is pas enshittyfication wanneer ze basisfeatures achter een paywall plaatsen. Dat is wanneer je moet opletten voor een product/service.

[William_H]

Als ze nu ook aliases/maskers hebben voor mobiele nummers zou het al helemaal top zijn.

Mozilla Relay is misschien wat je zoekt.

[InfiniteSpaze]

Ja ik had vroeger Relay maar ben overgestapt omdat ik hoorde dat ze ermee gingen stoppen. Nu is het een jaar later en kan ik er niets meer over terugvinden. Weet jij hier toevallig meer over?

[William_H]

Ik weet alleen dat ze minder gingen investeren erin, en weer meer gingen inzetten op de kern, dus Firefox en Thunderbird. Maar niks gehoord over stoppen.

[bzuidgeest]

Microsoft kennende is er gewoon een windows API die aliasvault zou kunnen implementeren. Microsoft heeft gewoon een paar populaire voorbeelden gekozen. De rest laten ze aan de markt over zoals dat zo netjes heet.

[Indy81]

Nu nog ondersteuning voor VaultWarden, dat is in feite een fork van Bitwarden, die je mooi lokaal kunt draaien.

[Oon]

Ik weet niet hoe het werkt, maar je zou verwachten dat het via de Bitwarden app loopt, en dan dus ook automatisch Vaultwarden ondersteunt? Anders heb je er inderdaad vrij weinig aan, dan is het gewoon wederom een advertentie voor een (al dan neit betaalde) dienst

[incapable]

Precies dit, ik draai alles met de officiele bitwarden apps en een vaultwarden backend. Ik verwacht dat het "gewoon" werkt

[xoniq]

Same. Op alle telefoons, computers enz gebruik ik gewoon de Bitwarden app die verwijst naar de selfhosted Vaultwarden. Hierdoor wel een bekend en geïntegreerde app, maar wel met de data in eigen hand.

[Raziel]

Het lijkt te werken, het is wel de Windows store variant, dus je hebt dan weer geen ondersteuning voor Windows Hello. Geen fingerprint of face unlock dus.

[RobertMe]

Vaultwarden is alleen een server implementatie die gelijk is aan de Bitwarden server. Vervolgens gebruik je gewoon de Bitwarden client. Oftewel: installeer de Bitwarden Windows applicatie (of nouja, schijnbaar de beta), en geef bij het inloggen aan dat je wilt inloggen op een self-hosted server en geef daar je Vaultwarden adres op. Zo simpel zal het zijn. (En hetzelfde met de Android app, Linux applicatie, browser extensies, ...).

[Executor16]

Eindelijk. Ik snapte het al niet als er zo’n windows popup in mijn browser verscheen die vraagt naar een passkey / qr code etc terwijl ik wel gewoon 1Password als standaard gebruik en er een key in heb staan.

[Hoenens]

Works like a charm!

[reepke]

Dit is schitterend nieuws, gebruik al jaren 1Password en de passkey popups die soms wat onhandig zijn zullen dan hopelijk beter werken. Het gebruik van passwordless authenticatie is zeker iets wat verder moet gepromoot worden en dit zal alleen maar helpen.

[slijkie]

Ben geen Windows gebruiker, maar dit betekend dus dat Proton Pass (de Passkeys) ook niet werkt?

[Gladiator5]

Als ik het goed begrijp, heeft windows 11 nu de optie om een password manager te gebruiken buiten de ingebakke versie.
Mits deze apps zijn geupdate voor windows 11?
Of alleen voor specifiek deze 2 apps?

[Reactie gewijzigd door Gladiator5 op 12 november 2025 14:13]

[Centurion183]

Voor nu geldt dit alleen voor deze 2 password managers lees ik.

Maar wie weet komt er meer ondersteuning voor andere password managers later.

edit: Hier lees je dat er later meer komen:
Windows 11 expands passkey manager support - Windows IT Pro Blog

[Reactie gewijzigd door Centurion183 op 12 november 2025 15:45]

[lenwar]

Klopt. Er moet een integratie naar het OS worden geregeld. Goede kans dat hier strikte controle op zit. (gezien de aard van de integratie.) Waarschijnlijk zullen mettertijd alle grote (commerciële?) wachtwoord-beheerders die integratie hebben.

Dit staat overigens los van het gebruik van passkeys in websites/browsers. Dat wordt veelal geregeld via browser-plugins die wel met de bijbehorende wachtwoordbeheerder kan.

[biteMark]

Mogelijk gaat het om een pilot met deze twee applicaties en wordt de api en docs later beschikbaar voor andere ontwikkelaars

[masauri]

Ben ik de enige die zich af vraagt hoe veilig dit is?

Ik ben alsnog geneigd om gewoon het programma zelf te gebruiken zonder aan te vinken binnen windows zelf.

[Advanced03]

Das mooi! Ben zelf recent overgestapt naar Bitwarden omdat alle wachtwoorden in Firefox opslaan mij niet zo veilig leek.