Sterven wachtwoorden uit?

Passkeys moeten nieuwe inlogstandaard worden

De eerste praktijkervaringen

Op dit moment is er een aantal manieren om passkeys te gebruiken. IPhone-gebruikers met apparaten die iOS 16 of hoger draaien en Safari gebruiken, kunnen meteen aan de slag. Zodra je inlogt op een website die ondersteuning heeft voor passkeys, krijg je een pop-up met de vraag of je een passkey aan wilt maken. De enige extra vereiste is dat je iCloud Keychain gebruikt. Doe je dit niet, dan krijg je bij het aanmaken van je eerste passkey een melding dat dit geactiveerd moet worden. Heb je eenmaal de passkey aangemaakt en probeer je op een later moment in te loggen bij die site of app, dan hoef je enkel via Face ID of Touch ID je identiteit te verifiëren.

Dit scenario is vrijwel hetzelfde voor Android-gebruikers. In dit geval moet je gebruikmaken van Googles Password Manager, die credentials synchroniseert op basis van je Google-account. Hierbij heb je een Android-apparaat met minimaal versie 9 nodig en is het een vereiste dat je Google Chrome gebruikt en binnen de browser bent ingelogd op je Google-account.

Wil je niets opslaan bij een van de grote techbedrijven, dan kun je ook gebruikmaken van een externe wachtwoordmanager, hoewel die implementaties nog achterlopen. Zelf maak ik gebruik van 1Password. Dat heeft nu een bètaversie van zijn browserextensie met passkeys-ondersteuning. Hiermee kun je dus passkeys aanmaken en er vervolgens mee inloggen. Android 13 heeft geen ondersteuning voor passkeys in externe wachtwoordmanagers, daarvoor moeten we wachten op Android 14, dat dit najaar uitkomt. Datzelfde geldt voor Apple; ook daar komt ondersteuning dit najaar als het iOS 17 uitbrengt.

Inloggen bij Google met passkeys en Windows Hello

Voor wie de voorkeur geeft aan een fysieke oplossing, is er alsnog de alom bekende YubiKey. Deze is er in een uitvoering met USB en NFC, zodat je zowel op je telefoon als op je laptop kunt inloggen. Op dit moment kunnen YubiKeys maximaal 25 passkeys opslaan, wat op termijn zeker weten te weinig zal zijn. Fabrikant Yubico zegt te overwegen om dit te verhogen, maar omdat YubiKeys niet aangepast kunnen worden, zal dit alleen gelden voor nieuwe modellen.

Tot zover de benodigde hard- en software. Belangrijker nog is de vraag: op welke diensten kun je nu al inloggen met passkeys? Nou, vrij weinig. Hoewel Microsoft een van de kartrekkers is en Windows Hello kan dienen als biometrische identificatie bij inloggen met passkeys, kreeg ik het niet voor elkaar om via Android of 1Password een passkey aan te maken voor mijn Microsoft-account. De enige optie was via Windows Hello. Ook bij Apple was het niet mogelijk om in te loggen met een passkey, hoewel ook die mogelijkheid via iOS 17 er aankomt. Alleen bij Google lukte het mij om in te loggen met een passkey, op de desktop via Windows Hello en op mijn telefoon via de ingebouwde Android-functionaliteit. Met 1Password speelt Google op dit moment nog niet lief samen; het is wel mogelijk om een nieuwe passkey aan te maken voor je Google-account, maar de browserplug-in van 1Password wordt niet geactiveerd als je wilt inloggen. Dit is een bekend probleem en men zegt eraan te werken.

De lijst met sites die passkeys ondersteunen, is nog karig.

Ondersteuning voor passkeys is op dit moment dus zelfs bij de grote merken die het aanjagen, verre van af. Er zijn verschillende sites die overzichten bijhouden van diensten met passkeysondersteuning, maar lang zijn deze lijsten helaas nog niet. Enkele bekende namen die er uitspringen, zijn onder meer Adobe, Nvidia en eBay. In tegenstelling tot bij eerdergenoemde techbedrijven, lukte het me het bij bijvoorbeeld eBay wel om een passkey aan te maken en ermee in te loggen.

Ben je Linux-gebruiker, dan staan de zaken er nog slechter voor. De enige combinatie die dan werkt, is er eentje die losstaat van het OS of biometrische logins, bijvoorbeeld door Chrome te gebruiken in combinatie met een YubiKey. Ook Googles eigen ChromeOS heeft geen native ondersteuning en van de grote browsers loopt Firefox helaas ook nog achter de feiten aan.

De good ‘ol QR-code

Voor die gevallen is er echter nog een andere optie ingebakken in de standaard. Stel, je wilt via een laptop inloggen bij een website die passkeys ondersteunt. Je hebt eerder een passkey gemaakt voor die site, maar dat was op je telefoon, niet op die specifieke laptop. Dan kun je er bij het inloggen voor kiezen om een ander apparaat te gebruiken. De website op de laptop zal dan een QR-code tonen die je met je telefoon kunt scannen. Vervolgens authenticeer je jezelf op de telefoon met pin of biometrie en je bent ingelogd bij de website. Dit is vooral handig als je moet inloggen op een eigen account, maar dan op een apparaat dat niet van jezelf is. Denk bijvoorbeeld aan een publieke computer in een bibliotheek.

• Volgende pagina 4. Nadelen en de toekomst