We gebruiken ze dagelijks, we haten ze consequent, en we hergebruiken ze veel te vaak: wachtwoorden. Al decennia vormen ze de primaire verdedigingslinie van ons digitale leven. Maar de realiteit is hard: het traditionele wachtwoord is niet langer opgewassen tegen het moderne dreigingslandschap.
Met de opkomst van geavanceerde, AI-gestuurde phishing-aanvallen en grootschalige datalekken is de vraag niet óf het wachtwoord verdwijnt, maar wanneer. Het antwoord? Die transitie is nu in volle gang, aangedreven door passkeys.
Het fundamentele probleem met wachtwoorden
Het concept van het wachtwoord leunt op een zwakke basis: de mens. We zijn slecht in het onthouden van complexe, unieke reeksen. Het resultaat is dat 80% van de datalekken te herleiden is naar zwakke, gestolen of hergebruikte wachtwoorden.
Zelfs tweestapsverificatie (2FA) via SMS of authenticator-apps — hoewel een flinke verbetering — is niet meer waterdicht. Cybercriminelen slagen er steeds vaker in om deze codes te onderscheppen via geavanceerde Man-in-the-Middle (MitM) phishing-sites of via Session Hijacking (het stelen van actieve inlogsessies).
Wat is een passkey en hoe werkt het?
Een passkey is een digitale sleutel die is gekoppeld aan een specifiek apparaat (zoals je smartphone, tablet of computer). In plaats van een geheime tekst die je deelt met een server, maken passkeys gebruik van cryptografie met een openbare en een privésleutel (asymmetric cryptography).
Wanneer je een account aanmaakt, gebeurt het volgende:
- De Publieke Sleutel: Je apparaat genereert een unieke publieke sleutel en deelt deze met de website of app.
- De Privésleutel: De bijbehorende privésleutel blijft veilig opgeslagen op jouw apparaat (in de hardwarematige beveiligingschip, zoals de Secure Enclave of TPM) en wordt nooit gedeeld met de buitenwereld.
Inloggen is vervolgens een kwestie van seconden. Je bevestigt je identiteit simpelweg via de biometrische beveiliging van je apparaat — denk aan Face ID, een vingerafdrukscan, of de pincode van je toestel.
Waarom passkeys phishing onmogelijk maken
Het grootste voordeel van passkeys is dat ze inherent immuun zijn voor phishing.
Bij een traditionele aanval lokt een hacker je naar een nagemaakte website (bijvoorbeeld een nepomgeving van je bank) en typt de gebruiker daar argloos zijn wachtwoord in. Een passkey weigert dit simpelweg. Omdat de sleutel cryptografisch is gekoppeld aan de exacte, geverifieerde domeinnaam van de legitieme website, zal je apparaat de privésleutel nooit vrijgeven op een malafide URL. Zelfs als je er met open ogen intupt, kan de nepsite de authenticatie niet voltooien.
Daarnaast valt er voor hackers bij een serverinbraak niets te halen. Als een platform wordt gehackt, liggen daar alleen de publieke sleutels. Zonder jouw fysieke apparaat en biometrische verificatie zijn die volledig waardeloos.
De adoptie: geen toekomstmuziek, maar de standaard
De transitie naar een wachtwoordloze wereld is geen theoretisch concept meer. Grote techgiganten zoals Google, Apple en Microsoft hebben de krachten gebundeld binnen de FIDO Alliance om passkeys naadloos te integreren in hun besturingssystemen. Of je nu op Android, iOS, Windows of Ubuntu Linux werkt: de ondersteuning is er.
Steeds meer platformen — van Amazon en Google-accounts tot cryptoplatformen en financiële dienstverleners — dwingen passkeys inmiddels actief af als de primaire inlogmethode. Het resultaat? Tot 75% snellere inlogtijden en een drastische daling van het aantal mislukte inlogpogingen.
De conclusie
Het wachtwoord heeft zijn tijd gehad. Het was een bruikbaar mechanisme voor het vroege internet, maar het schaalt niet naar de veiligheidseisen van vandaag. Passkeys lossen de eeuwige frictie tussen gebruiksgemak en maximale security op. De overstap vergt een korte mentaliteitsomslag, maar wie eenmaal de snelheid en veiligheid van een passkey heeft ervaren, wil nooit meer terug naar die eindeloze lijst met tekstwachtwoorden.
