Wachtwoorden blijven een van de meest hardnekkige zwakke plekken in cybersecurity. Passkeys, of toegangssleutels, worden gepresenteerd als een antwoord op dit probleem, maar volgens een analyse gepubliceerd door SecurityWeek zijn ze niet voldoende om de bredere kwestie van het vertrouwen in een identiteit op te lossen.
Een sterkere bescherming dan wachtwoorden
Passkeys zijn gebaseerd op publieke-sleutelcryptografie, die gedeelde geheimen vervangt door cryptografische referenties. Er is dus geen wachtwoord meer dat een aanvaller zou kunnen stelen, onderscheppen via phishing (phishing) of hergebruiken bij een andere dienst. Wanneer ze correct worden geïmplementeerd, zijn ze ook bestand tegen phishing, omdat de authenticatie gekoppeld is aan de legitieme dienst.
Het mechanisme onderscheidt zich van traditionele methoden. Eenmalige codes, SMS of pushmeldingen, zelfs robuuster dan alleen wachtwoorden, blijven kwetsbaar voor phishing, zogenaamde ‘man-in-the-middle’-aanvallen, vermoeidheid door herhaalde verzoeken (MFA fatigue), SIM swapping en social engineering. Bij passkeys bewaart het apparaat van de gebruiker een privésleutel, terwijl de dienst de bijbehorende publieke sleutel bewaart. De privésleutel wordt nooit verzonden tijdens de authenticatie.
Authenticeren is niet identificeren
Een succesvolle authenticatie levert een sterk cryptografisch bewijs dat een aan een account gekoppelde referentie het proces heeft doorlopen. Het zegt echter niet of het account legitiem is aangemaakt, of de onderliggende identiteit is gecompromitteerd, of het apparaat betrouwbaar is, of een aanvaller handelt via een geauthenticeerde sessie.
Het risico verschuift met name tijdens de inschrijving. Als een aanvaller een account aanmaakt of overneemt voordat er een passkey aan is gekoppeld, kan de organisatie vervolgens met een hoog beveiligingsniveau de verkeerde persoon authenticeren. Hoe sterker het authenticatiemechanisme, hoe belangrijker de integriteit van deze stap wordt.
De vraag doet zich ook voor wanneer de gebruiker van apparaat wisselt, wat vaak gebeurt: verloren, gestolen of vervangen telefoons, nieuwe laptops, veranderingen van ecosysteem. Als de herstelprocedure steunt op een wachtwoord, een SMS-code, een e-maillink, een geheime vraag of een helpdesk, kunnen aanvallers dit zwakkere pad targeten. Zoals de analyse samenvat: ‘De passkey is niet gecompromitteerd. De aanvaller heeft het mechanisme omzeild.’
Vertrouwen op lange termijn beoordelen
Volgens de analyse is authenticatie slechts een moment in het traject. Moderne aanvallen kunnen reeds geopende sessies kapen, vertrouwde apparaten compromitteren, privileges misbruiken of accountkenmerken wijzigen. In deze gevallen kan het authenticatiemechanisme precies hebben gewerkt zoals bedoeld.
De auteur stelt daarom voor om passkeys aan te vullen met detectie van identiteitsgerelateerde bedreigingen, die continu het risico beoordeelt. Kenmerken van het apparaat, attributen van de identiteit, afwijkend gedrag, netwerkinformatie of accountwijzigingen kunnen helpen bepalen of een identiteit nog steeds vertrouwd kan worden. Een bekende gebruiker, vanaf een gevestigd apparaat en met normaal gedrag, zou niet gehinderd moeten worden. Een herstelpoging vanaf een onbekend apparaat of een wijziging van kritieke attributen kan daarentegen een extra verificatie triggeren.
Het model verschuift zo van ‘eenmaal authenticeren, dan vertrouwen’ naar ‘vertrouwen opbouwen, risico continu beoordelen en reageren wanneer het vertrouwen verandert’. Passkeys beantwoorden de vraag of de gebruiker een legitieme referentie bezit, terwijl detectie van identiteitsgerelateerde bedreigingen gaat over de vraag of deze identiteit nog steeds vertrouwd moet worden. Organisaties moeten beide beantwoorden.
