Hoe werkt een passkey?

Denk dat je met je vragen hier het beste naar toe kan gaan:

https://www.seniorweb.nl/

Een passkey is de moderne, veiligere vervanger van het traditionele wachtwoord. In plaats van een wachtwoord te onthypen, log je in met de schermvergrendeling van je apparaat (zoals Face ID, een vingerafdrukscanner of een pincode). Dit kan je gebruiken om in te loggen in 1Password.

Hopelijk is dit duidelijk.

​@AriënC dank voor duidelijkheid én antwoord op mijn vraag, scheelt me weer surfen op Seniorweb 😉

​@Stephan.z zoals je weet: er bestaan geen domme vragen...Niet iedereen is een Slimmerik

Een passkey (wachtwoordsleutel) is eigenlijk een digitale huissleutel voor je online accounts, maar dan eentje die je nooit kunt kwijtraken en die nooit kan worden gestolen. Het is de moderne vervanger van het ouderwetse wachtwoord.

Om het heel simpel uit te leggen:

Hoe werkt het?

Vroeger moest je voor elke website een moeilijk wachtwoord onthouden (en geheim houden). Met een passkey hoeft dat niet meer.

In plaats van een woord in te typen, bewijs je wie je bent met je telefoon of computer. Precies zoals je normaal ook je telefoon ontgrendelt:

• Met je vingerafdruk (Face ID / Touch ID)

• Met je gezichtsscan

• Of met de pincode van je telefoon

De digitale fietssleutel (Hoe het achter de schermen werkt)

Je kunt een passkey zien als een fietsslot dat uit twee delen bestaat:

1. De sleutel: Deze staat veilig op jouw telefoon of computer opgeslagen. Niemand kan erbij, en de website weet niet hoe de sleutel eruitziet.

2. Het slot: Dit staat op de website waar je wilt inloggen (zoals Google, Apple of je bank).

Als je wilt inloggen, houdt de website het 'slot' omhoog. Jij legt je vinger op je telefoon, je telefoon herkent jou, en draait de 'sleutel' virtueel om in het slot. Klik, je bent binnen!

Waarom is het veel beter dan een wachtwoord?

• Je hoeft niks te onthouden: Geen gedoe meer met hoofdletters, cijfers en uitroeptekens. Jouw gezicht of vingerafdruk is genoeg.

• Hackers hebben er niks aan: Als een website wordt gehackt, liggen daar alleen de 'sloten', niet de 'sleutels'. Hackers kunnen dus geen wachtwoorden van jou stelen.

• Veilig tegen nepsites (phishing): Als je per ongeluk op een valse website terechtkomt die sprekend op jouw bank lijkt, trapt de passkey er niet in. De sleutel past namelijk alleen op de échte, officiële website.

Kortom: het is inloggen zonder typen, supersnel en extreem veilig.

Extreem veilig is overdreven. Een pincode op telefoon heeft vaak alleen 4 cijfers. Als je gedwongen wordt jouw telefoon te ontgrendelen (politie of iemand met een pistool tegen je hoofd) geeft je toegang tot alle websites en wallets vrij. Bij politie kan je nog weigeren een wachtwoord of pincode te typen, maar hij kan en mag gewoon jouw vinger pakken en op de vingerafdrukscanner leggen of jouw telefoon voor je gezicht houden. Passkey is veilig tegen fishing maar onveilig als vreemden fysieke toegang hebben tot jouw apparaat met passkeys. Als iemand denkt dat Nederlandse politie naar rechtsstaatprincipes werkt, zoek maar naar opsporingsmethodes of daten verzamelen of inbreken zonder wettelijke basis. Ook bij reizen naar buitenland (b.v. USA) wordt je vaak gedwongen je apparaten te ontgrendelen en dan heb je te doen met vreemde instanties de lak hebben aan Nederlandse wetten.

Met een pistool op mijn hoofd kan ik ook gedwongen worden om een som geld over te maken via internet bankieren als ik met een wachtwoord mijn telefoon ontgrendelen moet. 

Bovendien bepaal jij waar je passkey gebruikt. Voor wallets gebruik ik geen passkey bijvoorbeeld.

Bij banken zitten een limiet voor overmaken, als je het limiet wil veranderen, is een tijdslot in werking (bij mijn bank 4u), pas dan geldt het nieuwe limiet. Boven bepaalde bedraag slaat fraude-preventie of witwas-preventie alarm. Bovendien, iemand met een pistool en intentie iemand te vermoorden doet het niet voor paar duizenden €. Als je denkt dat iedereen zijn wachtwoord tot zijn wallet bij het zien van een pistool geeft, is niet altijd van toepassing. Rijke mensen worden ontvoerd voor losgeld, alleen zonder uitzicht op krijgen van losgeld wordt iemand vermoord, en dat weten de ontvoerde ook. Zie hier b.v. een bericht over een miljardair de rol omdraaide en zijn ontvoerder vinger afbeet

https://www.smh.com.au/world/europe/australian-crypto-king-bit-off-part-of-attacker-s-finger-during-botched-kidnapping-court-told-20250702-p5mbuf.html

Dan kan je net zo goed een wachtwoord manager met ondersteuning van passkey gebruiken. Het gebruik van passkeys zonder extra stappen na ontgrendelen van jouw apparaat baseert op aanbood van de OS-eigenaar (MS,Google of Apple) en deze worden ook gesynchroniseerd naar cloud. Na bewering van hun worden ze E2E versleuteld, maar dan moet je hun geloven … Alleen een gebruik van een fysieke passkey geeft betere zekerheid maar dan verdwijnt ook het gemak van 'zonder extra stappen’

​@fixnix top! Dit begrijp ik. Dank voor de uitgebreide, gedegen uitleg.

De werking van passkey’s is duidelijk, maar zoals ​@TDN zeer terecht opmerkt, zijn er ook risico’s. De werkelijke veiligheid hangt af van welke implementatie je gebruikt, hoe sterk je platformaccount beveiligd is, en of je hardware- of software-passkeys gebruikt.

Ha ​@fixnix, nu wordt het te ingewikkeld . Neem aan dat passkey via wachtwoordmanager 1Password software-passkey is. Is dat veilig of moet ik stalen handschoenen gaan dragen? Met slot. 😉

​@TDN  ik denk dat ik het een beetje begrijp, met nadruk op beetje. 😄 Deze tijd blijft tricky met hacken. Tijd om weer terug naar postduif te gaan? Dank voor je uitleg, ik weet weer wat meer en genoeg stof om na te denken.