Zo werken passkeys op iPhone en Android en ben je online nog veiliger

Online veilig blijven is tegenwoordig belangrijker dan ooit. Gelukkig komt er een slim alternatief voor het ouderwetse wachtwoord.

Wachtwoorden… je gebruikt ze elke dag, maar eigenlijk zijn ze niet zo veilig als je denkt. Ze zijn makkelijk te raden, kunnen worden gestolen via phishing of simpelweg uitlekken bij een hack. Grote techbedrijven willen daar vanaf. Hun oplossing is Passkeys. Een nieuwe manier van inloggen, waarbij je helemaal geen wachtwoorden meer nodig hebt.

Misschien klinkt dat als toekomstmuziek, maar de kans is groot dat je binnenkort zelf al passkeys gaat gebruiken, of dat zelfs nu al doet, zonder het echt door te hebben. Maar hoe werkt het eigenlijk? En waarom is het zoveel veiliger dan je vertrouwde wachtwoord? Wij leggen het je graag uit.

Waarom passkeys beter zijn dan wachtwoorden

Iedereen gebruikt wachtwoorden, maar ze zijn eigenlijk best wel onhandig. Iedere keer dat je ergens een account aanmaakt, moet je namelijk een geheim (je wachtwoord) delen met de website of app die je gebruikt. Vanaf dat moment moeten zij dat wachtwoord opslaan om je bij de volgende login te kunnen controleren. En dat betekent risico’s. Want als iemand dat wachtwoord weet te achterhalen, door een datalek of phishing bijvoorbeeld, kan die inloggen alsof jij het bent.

Bij passkeys werkt dit compleet anders. Natuurlijk zit er ook een geheim achter een passkey, maar het grote verschil is dat je dat geheim nooit deelt. De website of app waarmee je inlogt, weet jouw geheime code niet en hoeft deze ook niet op te slaan. In plaats daarvan bewijs je simpelweg dat je het geheim bezit, zonder het te delen. Dit heet Zero Knowledge Authentication. Het betekent simpelweg dat niemand anders jouw geheim ooit in handen kan krijgen.

Dat klinkt misschien wat ingewikkeld, maar stel je het voor als een soort digitale handdruk. Jij laat zien dat je het juiste ‘sleuteltje’ hebt, zonder het daadwerkelijk aan iemand af te geven. En omdat je geheim nooit gedeeld wordt, kunnen hackers het ook niet stelen. Veel van de grootste datalekken ooit waren misschien voorkomen als iedereen al met passkeys had gewerkt.

Hoe passkeys technisch werken

Achter passkeys zit een slimme techniek die draait om twee sleutels. De eerste sleutel wordt opgeslagen bij de website of app, de tweede is een privésleutel die wordt bevestigd met je identiteit. Wanneer iemand je publieke sleutel gebruikt om een bericht te versleutelen, kan alleen jij dat bericht lezen.

Bij het inloggen werkt dat idee net zo. De website krijgt jouw publieke sleutel en bij het inloggen wordt de privésleutel gebruikt om de identiteit te verifiëren, vaak via biometrische gegevens. Als deze controle succesvol verloopt, krijg je toegang zonder dat je een wachtwoord hoeft in te voeren.

Die publieke sleutel kun je dus rustig met iedereen delen. Alleen jouw privésleutel maakt het mogelijk om daadwerkelijk in te loggen. En die geheime sleutel blijft altijd bij jou. Omdat alles draait om deze sleutels en niet om gedeelde geheimen, is het risico op diefstal bij passkeys vrijwel nul. En dat maakt inloggen via passkeys een stuk veiliger dan het traditionele wachtwoord.

De vier belangrijke stappen

Wanneer je overstapt naar passkeys, loop je eigenlijk vier vaste stappen door. Ten eerste moet je ontdekken of de website of app die jij gebruikt passkeys ondersteunt. Dat is soms even zoeken, want niet alle bedrijven gebruiken dezelfde termen of knoppen om het duidelijk te maken.

De tweede stap is het registreren van je passkeys. Hierbij wordt jouw publieke sleutel gedeeld met de website, en wordt je geheime sleutel veilig opgeslagen op je apparaat. Dit is meestal een kwestie van een paar klikken. Veel makkelijker dan het onthouden van nog een nieuw wachtwoord.

Daarna volgt de derde stap: inloggen met je passkeys. Wanneer je de volgende keer wilt inloggen, hoef je alleen maar te bevestigen dat jij het bent. Vaak met je vingerafdruk, gezichtsherkenning of een simpele pincode. Zo weet het systeem dat jij de geheime sleutel bezit.

Tot slot is er het verwijderen van passkeys. Net als bij wachtwoorden kun je oude of ongebruikte passkeys verwijderen. Zo houd je alles overzichtelijk en schoon.

Achter de schermen

Passkeys klinken simpel, maar achter de schermen gebeurt er best veel. Twee belangrijke standaarden zorgen ervoor dat alles soepel werkt: WebAuthn en CTAP. WebAuthn zorgt dat websites veilig en zonder wachtwoorden kunnen inloggen, terwijl CTAP ervoor zorgt dat jouw apparaat (zoals je telefoon of computer) goed samenwerkt met de ‘authenticator’. De technologie die jouw passkey beheert.

Die authenticator kan van alles zijn. Je telefoon bijvoorbeeld, of een wachtwoordmanager zoals 1Password of Bitwarden. Sommige mensen gebruiken speciale fysieke sleutels zoals een YubiKey. Deze authenticators zorgen ervoor dat jouw geheime sleutel altijd veilig blijft opgeslagen, en ze regelen het technische deel van het inloggen voor je.

Doordat alles volgens deze standaarden werkt, kun je op veel verschillende plekken dezelfde passkeys gebruiken. Of je nu op je laptop werkt of via je smartphone, inloggen blijft makkelijk en veilig. Zo werkt het eigenlijk een beetje zoals je gewend bent van wachtwoorden. Alleen dan zonder de risico’s.

Waar wacht je nog op?

De wereld van passkeys klinkt misschien ingewikkeld, maar in de praktijk merk je daar als gebruiker weinig van. Het hele idee is juist dat jij minder hoeft te onthouden en veiliger kunt inloggen. Geen wachtwoorden meer om te onthouden of te stelen, alleen jouw geheime sleutel, veilig op jouw apparaat.

Ben je klaar om afscheid te nemen van wachtwoorden? Dan is overstappen naar passkeys misschien wel de slimste beveiligingsupgrade die je in 2025 kunt maken. Veel grote websites ondersteunen het al, dus de kans is groot dat je vandaag al kunt beginnen.

64 miljoen McDonald’s-sollicitaties gelekt, ‘123456’ als wachtwoord opende alle deuren

Onderwerpen

• iPhone