Passkeys voor je bedrijf: inloggen zonder wachtwoord en lastig te phishen

Wachtwoorden hebben een fundamenteel probleem: je kunt ze op de verkeerde plek intypen. Eén overtuigende nepsite, en een medewerker geeft zijn inloggegevens zelf weg. Tweestapsverificatie maakt dat al een stuk lastiger, maar ook een code kun je op een nepsite invullen. Passkeys (in het Nederlands soms toegangssleutels genoemd) pakken het anders aan: er valt niets meer in te typen.

Wat is een passkey?

Een passkey is een digitaal sleutelpaar. Maak je een passkey aan voor een dienst, dan ontstaan er twee sleutels die bij elkaar horen:

• een openbare sleutel, die de dienst bewaart;
• een privésleutel, die op je apparaat of in je wachtwoordmanager blijft.

Bij het inloggen stuurt de dienst een soort puzzel die alleen met jouw privésleutel op te lossen is. Je apparaat lost hem op zodra jij bevestigt met je vingerafdruk, gezicht of pincode. Die vingerafdruk of pincode verlaat je apparaat niet; hij ontgrendelt alleen de sleutel. Passkeys zijn gebaseerd op een open standaard van de FIDO Alliance, een samenwerkingsverband van onder meer grote technologiebedrijven.

Waarom passkeys phishing tegenhouden

• Gekoppeld aan het echte adres. Een passkey hoort bij één website. Je apparaat gebruikt hem niet op een nepsite met een net iets ander adres, hoe echt die er ook uitziet.
• Niets om weg te geven. Er is geen wachtwoord of code die een medewerker kan intypen of aan een beller kan doorgeven.
• Niets bruikbaars om te stelen bij de dienst. De dienst bewaart alleen de openbare sleutel. Lekt die, dan kan een aanvaller er niet mee inloggen.

Waar werkt het al?

De grote platforms van Apple, Google en Microsoft ondersteunen passkeys, net als de gangbare browsers. Steeds meer diensten, ook zakelijke, bieden het aan als manier van inloggen. Kijk in de beveiligingsinstellingen van je account of er een optie voor passkeys is.

Waar je als bedrijf op let

Verloren apparaten. Er zijn twee soorten passkeys. Sommige worden via je Apple- of Google-account of via je wachtwoordmanager naar je andere apparaten gesynchroniseerd; die raak je niet kwijt met je telefoon. Andere staan vast op één apparaat, zoals een hardwaresleutel. Registreer daarvan altijd een tweede, of houd een andere veilige manier om in te loggen.

Herstel is de zwakke plek. Kun je een account ook herstellen via een sms of een link per mail, dan richt een aanvaller zich daarop. Controleer welke herstelmogelijkheden er zijn en beveilig die net zo goed.

Gedeelde accounts. Een passkey is persoonlijk. Geef bij gedeelde accounts waar mogelijk iedereen een eigen account. Kan dat niet, kijk dan of je zakelijke wachtwoordmanager passkeys in een gedeelde kluis kan bewaren.

Het wachtwoord blijft vaak bestaan. Bij veel diensten komt de passkey naast het wachtwoord, niet ervoor in de plaats. Houd dat wachtwoord dus sterk en uniek, en laat tweestapsverificatie aan staan.

Combineer met je wachtwoordmanager. Veel wachtwoordmanagers kunnen passkeys bewaren. Dat is handig als je team met apparaten van verschillende merken werkt, en je beheert alles op één plek. Zie ook ons artikel over een wachtwoordmanager voor je bedrijf.

Bij vertrek. Passkeys horen op je checklist voor een medewerker uit dienst: verwijder ze uit de zakelijke accounts.

Verstandig beginnen in vijf stappen

1. Begin bij jezelf. Maak een passkey aan voor een belangrijk account, zoals je zakelijke mail, en ervaar hoe het werkt.
2. Registreer er minstens twee, bijvoorbeeld op je telefoon en je laptop, of met een hardwaresleutel als reserve.
3. Test het. Log uit en weer in, ook op een ander apparaat. Veel diensten laten je op een computer inloggen door met je telefoon een QR-code te scannen.
4. Controleer de herstelopties van dat account.
5. Breid uit naar je team, te beginnen bij beheerdersaccounts en diensten met financiële of klantgegevens. Spreek af wie het beheer doet.

Aan de slag

Wil je weten welke van jouw diensten al passkeys ondersteunen, en hoe je ze invoert zonder dat iemand wordt buitengesloten? Bekijk onze dienst cybersecurity of plan een gesprek.