Op de laptop het bedrijfsaccount kiezen, de aanmelding op het apparaat goedkeuren en verder werken: een passkey kan de werkdag eenvoudiger maken. Voor bedrijven hoort daar een plan voor toegestane apparaten, vervanging en herstel bij.
Wat er bij het aanmelden werkelijk gebeurt
Een passkey is een aanmeldreferentie op basis van FIDO-standaarden en een cryptografisch sleutelpaar. De dienst kent de openbare sleutel. De authenticator gebruikt de bijbehorende privésleutel, bijvoorbeeld op een smartphone, computer of beveiligingssleutel. Bij het aanmelden beantwoordt deze een uitdaging van de dienst met een digitale handtekening. Daarvoor is geen met de website gedeeld aanmeldwachtwoord nodig.
WebAuthn is de gestandaardiseerde interface voor deze aanmelding op het web; FIDO2 omvat de onderliggende mechanismen. Voor medewerkers telt vooral het zichtbare verloop: account en bestemming controleren, vervolgens goedkeuren met de apparaat-PIN of een geschikte biometrische controle. De keuzemogelijkheden hangen af van dienst, besturingssysteem, browser en passkeyaanbieder.
Waarom dit verschilt van een wachtwoord met een eenmalige code
Een wachtwoord en een overgetypte sms- of appcode kunnen op een valse aanmeldpagina worden gevraagd en doorgestuurd. WebAuthn bindt de aanmeldreferentie aan de bedoelde dienst. Dat maakt aanmelden met passkeys phishingbestendig. Een besmet eindapparaat, gestolen sessie of zwakke herstelroute wordt daarmee niet automatisch veilig.
Lokale goedkeuring op het apparaat is geen tweede websitewachtwoord. Of een aanmelding voldoet aan de vereiste multifactorauthenticatie of authenticatiesterkte, wordt beoordeeld op basis van de gebruikte methode en het beleid. Een willekeurige knop op zomaar een sleutel indrukken is daarvoor geen toereikende beschrijving. Bronnen: FIDO Alliance: uitleg over passkeys (externe link).
Apparaatgebonden of gesynchroniseerd: het doorslaggevende verschil
Apparaatgebonden passkeys blijven op de specifieke authenticator. Dat kan een passend ondersteunde telefoon of een FIDO2-beveiligingssleutel zijn. Een nieuwe sleutel of vervangende telefoon beschikt niet over die referentie alleen omdat deze van dezelfde persoon is. Daarvoor wordt een andere toegestane authenticator geregistreerd of een voorbereide herstelprocedure gebruikt.
Gesynchroniseerde passkeys kunnen via een passkeyaanbieder op andere bevoegde apparaten van dezelfde persoon terechtkomen. Diens account, beveiliging en herstel zijn daarom relevant. Ondersteunde apparaten en overdrachtsroutes hangen af van de aanbieder. Dit betekent geen willekeurige export tussen alle platforms of automatische opname in het bedrijfsbeheer.
| Variant | Wat gebeurt er bij een apparaatwissel? | Voor gebruik in het bedrijf vastleggen |
|---|---|---|
| Apparaatgebonden passkey | Een nieuwe authenticator registreren of de aangewezen herstelroute gebruiken. | Vervanging en verantwoordelijkheid onafhankelijk voorbereiden. |
| Gesynchroniseerde passkey | Beschikbaar op een ondersteund apparaat via de juiste aanbieder; diens herstelroute is van belang. | Toegestaan aanbiedersaccount, apparaten en accountbeveiliging vastleggen. |
| Aanmelden tussen apparaten | Een bestaande authenticator op een ander apparaat gebruiken betekent niet dat deze wordt gekopieerd. | De ondersteunde combinatie en een veilige sessie op het doelapparaat testen. |
Een telefoon kan aanmelden zonder de passkey te kopiëren
Een hypothetische werkwijze: een medewerker opent een goedgekeurd bedrijfsportaal op de vergaderlaptop. Haar toegestane smartphone bevestigt de aanmelding. Een ondersteunde aanmeldmethode tussen apparaten gebruikt daarvoor de authenticator op de telefoon. Dat verschilt van synchronisatie of permanente registratie op de laptop.
Deze werkwijzen kunnen een nabijheidscontrole en aanvullende technische voorwaarden vereisen. Ze worden getest met de werkelijk gebruikte apparaten en browsers. Op een gedeelde computer zijn ook het juiste account, een passende sessieduur en daarna afmelden van belang. Een telefoon in de buurt vervangt deze organisatorische stappen niet.
Privéapparaten en beheerde apparaten bewust onderscheiden
Als bedrijfstoegang uitsluitend in een persoonlijk platformaccount wordt gesynchroniseerd, kan zakelijk herstel afhangen van iemands privéaccount. Leg daarom vooraf vast welke aanbieders, apparaten en passkeytypen voor welke gebruikersgroepen zijn toegestaan. Een beheerd apparaat maakt bepaalde eisen eenvoudiger; beheer betekent echter niet automatisch dat beheerders elke privésleutel kunnen uitlezen.
Volgens de gecontroleerde documentatie ondersteunt Microsoft Entra ID zowel gesynchroniseerde als apparaatgebonden passkeys en kan het via passkeyprofielen eisen aan groepen stellen. Dat keurt niet elke combinatie goed: registratie, bestaande rechten, apparaatondersteuning en beleid moeten op elkaar aansluiten. Bronnen: Microsoft: passkeys en profielen in Entra ID (externe link).
Vervanging en uitdiensttreding vóór brede invoering regelen
Een pilot omvat naast succesvol aanmelden ook een verloren telefoon, defecte beveiligingssleutel en geblokkeerd aanbiedersaccount. Afhankelijk van de beveiligingsbehoefte wordt een onafhankelijk geregistreerde vervangende authenticator of een gecontroleerde herstelroute voorbereid. Een apparaatwissel is geen goed moment om pas de verantwoordelijke persoon en vereiste bewijsstukken te zoeken.
Bij vertrek wordt de bedrijfstoegang bij de identiteitsdienst of het doelsysteem geblokkeerd en worden geregistreerde methoden passend ingetrokken. Een kopie in een persoonlijk synchronisatieaccount hoeft daardoor niet van het privéapparaat te verdwijnen; bepalend is dat bedrijfstoegang deze niet meer accepteert. Bestaande sessies en andere aanmeldroutes worden afzonderlijk meegenomen. Hieruit volgt geen algemene toestemming om privéapparaten op afstand te wissen.
Wat er met vingerafdrukken en gezichtsgegevens gebeurt
Bij WebAuthn-aanmelding krijgt de dienst geen biometrische kenmerken, zoals een vingerafdruk of gezichtssjabloon. De controle gebeurt lokaal bij de authenticator; de dienst ontvangt cryptografisch bewijs en de bedoelde verificatiegegevens. Ook de apparaat-PIN wordt niet als websitewachtwoord verstuurd. De precieze verwerking op het apparaat en bij de passkeyaanbieder blijft wel onderdeel van de apparaat- en aanbiederskeuze.
Bronnen: W3C: lokale biometrische controle bij WebAuthn (externe link). Dit betekent niet dat een betrokken cloudaanbieder helemaal geen accountgegevens of metadata verwerkt.
Begin met een overzichtelijke pilot
DAXS helpt geschikte diensten en apparaten te kiezen, rollen en herstel af te spreken en een pilot met vastgelegde resultaten uit te voeren. De controles omvatten normaal aanmelden, vervanging, gedeelde werkplekken en uitdiensttreding. Daarna wordt besloten welke methoden breed worden ingezet.
De invoering van passkeys bespreken · Werkplekken en identiteiten plannen · Gedeelde bedrijfstoegang ordelijk beheren
Veelgestelde vragen
Kan ik een apparaatgebonden passkey gewoon naar een nieuwe telefoon kopiëren?
Dat is bij apparaatgebonden passkeys juist niet de bedoeling. Gesynchroniseerde passkeys kunnen beschikbaar worden op ondersteunde apparaten van het juiste aanbiedersaccount. De concrete wisselroute wordt vooraf getest.
Moet iedereen een eigen privésmartphone gebruiken?
Dat wordt in het bedrijfsconcept vastgelegd. Afhankelijk van dienst en eisen komen beheerde apparaten, geschikte beveiligingssleutels of andere ondersteunde authenticators in aanmerking.
Vervangt een passkey alle rechten in het bedrijf?
Een passkey bewijst de aanmelding bij een account. Welke toepassingen en gegevens dat account mag gebruiken, blijft een aparte taak van gebruikers- en rechtenbeheer.
