Wachtwoordmanager of passkeys: wat adviseert het NCSC?

Wat is een passkey?

Een passkey is een sleutelpaar. De publieke sleutel staat bij de website of app waar je inlogt, de privésleutel staat op je eigen apparaat. Je ontgrendelt die privésleutel met een pincode of met je vingerafdruk of gezicht, en inloggen lukt alleen met de juiste combinatie van beide sleutels. Volgens Microsoft werkt een passkey bovendien alleen op de website of in de app waarvoor je hem hebt aangemaakt.

Daardoor maken passkeys het volgens het NCSC vrijwel onmogelijk om via phishing toegang te krijgen tot je gegevens. Wie je wachtwoord probeert te stelen, krijgt bij een passkey namelijk maar een stukje van de sleutel in handen. Bij een gestolen toestel heeft een dief volgens het NCSC alleen toegang tot je passkeys als het toestel kan worden ontgrendeld en hij volledige toegang tot je gegevens kan krijgen.

Op een andere NCSC-pagina, bedoeld voor CISO’s, CIO’s en IT-beheerders, staat dat passkeys de veiligste vorm van authenticatie zijn, omdat ze bestand zijn tegen phishing en de meeste andere aanvalstechnieken.

Let op: de NCSC-pagina Wat zijn passkeys? is geschreven voor gebruikers en niet voor organisaties. Er staat geen uitleg voor bedrijven of beheerders in. Voor organisaties heeft het NCSC aparte pagina’s, bijvoorbeeld over het kiezen van een authenticatiemiddel op basis van het risico en over aan de slag met passkeys.

Is een eenmalige code niet genoeg?

Een bekende extra stap bovenop het wachtwoord is een code die maar één keer wordt gebruikt en kort geldig is, bijvoorbeeld uit een app op de telefoon (in vaktaal TOTP). Volgens het NCSC beschermt zo’n code tegen misbruik van een gestolen wachtwoord, tegen password spraying (veelgebruikte wachtwoorden uitproberen bij veel accounts) en tegen keyloggers (software die meeleest wat je typt). Tegen phishing waarbij de aanvaller live meekijkt en jouw code direct doorstuurt naar de echte dienst (adversary-in-the-middle) helpt de code niet. Ook tegen social engineering helpt hij niet, bijvoorbeeld als een aanvaller je persoonlijk overhaalt je gegevens in te vullen op een nagemaakte pagina.

Daarom noemt het NCSC het toevoegen van TOTP aan een wachtwoord slechts marginaal veiliger, vanwege het toenemende aantal adversary-in-the-middle-aanvallen. Lees ook hoe je meervoudige verificatie opzet.

Wat doe je waar passkeys nog niet werken?

Voor organisaties adviseert het NCSC om voor passkeys te kiezen waar dat kan, en om meervoudige verificatie te gebruiken op plaatsen waar passkeys nog niet worden ondersteund. Voor ondernemers die hun IT grotendeels zelf regelen, geeft het NCSC daarbij deze adviezen voor wachtwoorden:

• Een eigen wachtwoord per account. Een zin van vier tot zes losse woorden die niets met elkaar te maken hebben, is volgens het NCSC vaak sterker dan een kort wachtwoord met allerlei speciale tekens.
• Een tweede inlogstap. Bijvoorbeeld een code die je via een ander apparaat ontvangt of een controle met je vingerafdruk.
• Een wachtwoordmanager. Bij een goede manager zijn je wachtwoorden versleuteld opgeslagen en heb alleen jij de sleutel. De manager bedenkt voor elk account een sterk wachtwoord, en jij onthoudt alleen het hoofdwachtwoord. Sla om te beginnen het wachtwoord van je e-mail erin op.
• Wachtwoorden geheim houden. Geef ze aan niemand, ook niet aan iemand die zich voordoet als helpdesk, en zet een wachtwoord nooit in een e-mail.

Het hoofdwachtwoord verdient extra zorg, want volgens het NCSC heeft een aanvaller met toegang tot de manager direct alle wachtwoorden tot zijn beschikking. Een goed hoofdwachtwoord bestaat volgens het NCSC uit minstens 12 tekens, met een combinatie van letters, leestekens en cijfers. Vaak is een wachtwoordzin makkelijker en zelfs veiliger. Veel managers laten je er een extra stap naast zetten, zoals een code op je telefoon, een hardwaretoken of biometrie. Het NCSC waarschuwt dat die extra laag het gebruik van een zwak hoofdwachtwoord niet rechtvaardigt.

Waar let je op bij een wachtwoordmanager?

De NCSC-pagina Hoe kies ik een wachtwoordmanager? noemt deze punten om op te letten:

• Beschikbaarheid. Zijn er apps voor de browser, de telefoon en het besturingssysteem dat jij gebruikt?
• Online of offline. Een manager in de cloud is gebruiksvriendelijk en werkt op verschillende apparaten. Een offline manager bewaart je wachtwoorden op één apparaat, zodat je er alleen daar bij kunt.
• Gratis of betaald. Betaalde versies hebben vaak extra functies of meer gebruiksgemak, zoals een controle of je wachtwoorden in een datalek zijn voorgekomen. Bij een gratis versie is het verstandig uit te zoeken wat het verdienmodel van de aanbieder is.
• Gedeelde kluizen. Handig om wachtwoorden te delen met bepaalde collega’s of een heel team. Iedereen met toegang tot een kluis ziet de wachtwoorden erin, en de werking verschilt per manager.
• Ondersteuning. De helpdesk kan je vaak niet helpen als je het hoofdwachtwoord vergeet. In sommige gevallen raak je dan helemaal buitengesloten.

Over de browser zet het NCSC twee opties naast elkaar. Browseropslag is handig, omdat hij in je browser is geïntegreerd, wachtwoorden automatisch invult en geen apart hoofdwachtwoord vraagt. Synchroniseren tussen verschillende besturingssystemen gaat niet altijd goed. Een losse manager is vaak beter in het beschikbaar maken van je wachtwoorden op al je apparaten en heeft meer functies, zoals meldingen over zwakke wachtwoorden en waarschuwingen voor gecompromitteerde websites. Je maakt en onthoudt daarvoor wel een eigen hoofdwachtwoord. Kies je browseropslag, houd de browser dan actueel en beveilig je apparaten met een pincode, wachtwoord of biometrie.

Wat zijn de beperkingen van passkeys?

• Oudere toestellen. Volgens het NCSC kun je passkeys gebruiken op apparaten met minimaal iOS 16 of Android 9. Controleer dus eerst de telefoons en tablets van je team.
• Niet overal beschikbaar. Niet elke website en app ondersteunt passkeys al. Voor die accounts blijft je wachtwoordmanager nodig.
• Back-up. Het NCSC raadt aan een back-up van je passkeys te bewaren, zodat je ze niet kwijtraakt als een apparaat kapotgaat of wordt gestolen.
• Wisselen van fabrikant. Passkeys zijn soms lastig over te zetten naar apparaten van een andere fabrikant (vendor lock-in). Het NCSC noemt het opslaan van passkeys in een onafhankelijke wachtwoordmanager als mogelijke oplossing.

Microsoft ondersteunt passkeys in Microsoft Entra ID, de cloudidentiteitsdienst voor inloggen en toegang die bij Microsoft 365 hoort. Microsoft onderscheidt passkeys die op één apparaat blijven (de Microsoft Authenticator-app of een fysieke FIDO2-beveiligingssleutel) van gesynchroniseerde passkeys, bijvoorbeeld via Apple iCloud Keychain of Google Password Manager. Voor sterk gereguleerde sectoren en gebruikers met verhoogde rechten (denk aan beheerders) beveelt Microsoft beveiligingssleutels aan, met passkeys in de Authenticator-app als andere optie. Een beveiligingssleutel kan de kosten voor apparatuur, training en helpdesk verhogen, vooral als gebruikers hun sleutel kwijtraken en hun account moet worden hersteld. Voor de meeste andere gebruikers, buiten sterk gereguleerde omgevingen en zonder toegang tot gevoelige systemen, noemt Microsoft gesynchroniseerde passkeys een handig en goedkoop alternatief voor traditionele meervoudige verificatie.

Zo pak je het aan in je bedrijf

Dit stappenplan is van HAN-IT en vertaalt de adviezen van het NCSC en de keuzes die Microsoft noemt naar een klein bedrijf. Het NCSC en Microsoft beschrijven het zo niet zelf.

1. Bepaal waar het risico het grootst is. Begin met de mail van je team en de accounts van beheerders.
2. Zet passkeys aan waar het kan. Controleer eerst of de toestellen iOS 16, Android 9 of nieuwer draaien en of de dienst passkeys ondersteunt. Kies voor beheerders een passkey die op één apparaat blijft, zoals een beveiligingssleutel of de Authenticator-app.
3. Geef de rest een wachtwoordmanager. Kies één manager voor het hele team, begin met de wachtwoorden van de mail en laat iedereen een sterk hoofdwachtwoord kiezen van minstens 12 tekens, bij voorkeur een wachtwoordzin.
4. Zet op accounts zonder passkey een tweede inlogstap aan. Houd daarbij in gedachten dat een code niet beschermt tegen phishing waarbij de aanvaller live meekijkt. Train je team daarom ook in phishing herkennen.
5. Leg vast waar de passkeys staan. Op het apparaat, bij een dienst als Apple of Google of in een onafhankelijke wachtwoordmanager, en hoe je ze terugkrijgt als een apparaat kapotgaat.
6. Schakel oude inlogmethoden pas uit als iedereen met een passkey kan inloggen. Het NCSC adviseert de bestaande inlogmethode in eerste instantie nog toe te staan, omdat je stapsgewijs overgaat, en haar uit te schakelen wanneer alle gebruikers met hun passkey kunnen inloggen.

Wat als iemand zijn telefoon kwijtraakt?

Bij passkeys en bij een tweede inlogstap op de telefoon hoort een afgesproken noodprocedure. Het NCSC adviseert bij de invoering van passkeys om processen in te richten voor de uitgifte van nieuwe passkeys, het blokkeren van verloren passkeys en de uitgifte van tijdelijke tokens voor gebruikers die hun passkey of het apparaat ervan kwijt zijn. Leg in elk geval vast:

• Bij wie een medewerker een kwijt of gestolen toestel meldt, ook buiten kantoortijd.
• Wie de verloren passkey blokkeert en het toestel laat vergrendelen of wissen.
• Hoe de medewerker tijdelijk weer bij zijn accounts komt en hoe je controleert dat het echt de medewerker is.
• Hoe op het nieuwe toestel een nieuwe passkey wordt aangemaakt.