Passkeys worden vaak gepresenteerd als dé opvolger van wachtwoorden. En ja: ze maken veel klassieke aanvallen veel lastiger. Toch lossen passkeys niet het hele identiteitsvraagstuk op. De kernvraag blijft namelijk: zelfs als iemand succesvol authenticatie doorloopt, mogen we die identiteit en die sessie nog vertrouwen?
In dit artikel leggen we uit wat passkeys wél verbeteren, waar de risico’s verschuiven en welke aanpak organisaties gebruiken om identiteit continu veilig te houden.
Wat passkeys beter maken dan wachtwoorden
Wachtwoorden zijn al jaren een zwakke schakel. Gebruikers vergeten ze, hergebruiken ze, delen ze onbedoeld en geven ze soms af aan phishing-sites die overtuigend genoeg zijn. Daardoor kunnen aanvallers credentials stelen en geautomatiseerd proberen in te loggen via technieken zoals credential stuffing.
Passkeys pakken dat probleem structureel anders aan. Ze zijn gebaseerd op public-key cryptografie: de service bewaart een public key, terwijl de gebruiker (via het apparaat) beschikt over de bijbehorende private key. Tijdens authenticatie wordt die private key niet meegestuurd.
Het gevolg is dat er geen herbruikbaar geheim is dat een aanvaller kan:
- stelen uit een wachtwoorddatabase,
- onderscheppen via phishing,
- opnieuw gebruiken tegen andere diensten.
Daarnaast zijn passkeys phishing-resistent als ze correct zijn geïmplementeerd, omdat de authenticatie is gekoppeld aan de legitieme dienst. Dat is een grote stap vooruit ten opzichte van traditionele methoden, inclusief veel vormen van multi-factor authenticatie (MFA).
Passkeys niet genoeg: authenticatie is niet hetzelfde als identiteit
Veel organisaties focussen op de vraag: lukt inloggen? Met passkeys wordt dat makkelijker te harden. Maar succes bij authenticatie is nog geen bewijs dat de juiste identiteit vooraf correct is vastgesteld.
Stel dat een aanvaller al vóórdat passkeys aan een account zijn gekoppeld, controle over dat account krijgt of het account kan “opbouwen” op een manier die later als legitiem wordt gezien. Dan kan de organisatie daarna wel heel sterke authenticatie afdwingen—maar voor de verkeerde persoon.
Daarom geldt: hoe sterker de authenticator, hoe belangrijker het wordt om enrollment en het vaststellen van identiteit zorgvuldig te beveiligen.
Wat organisaties moeten checken na succesvolle authenticatie
Een sterk authenticatieproces geeft cryptografisch bewijs dat de juiste credential is gebruikt. Maar organisaties moeten aanvullend beoordelen:
- Is de account-opbouw of koppeling ooit betrouwbaar geweest?
- Is het apparaat dat autenticeert wel te vertrouwen?
- Is er sprake van een geautoriseerde sessie of kan een aanvaller binnen de sessie handelen?
Wat gebeurt er als gebruikers van apparaat wisselen?
Legitieme gebruikers veranderen wél eens van omgeving. Een telefoon raakt kwijt, een laptop wordt vervangen, medewerkers krijgen nieuwe hardware, of consumenten stappen over naar een ander ecosysteem. Passkeys kunnen dat grotendeels opvangen via synch-mogelijkheden, zodat credentials beschikbaar blijven op ondersteunde apparaten.
Maar er blijven situaties waarin iemand probeert toegang te krijgen zonder het verwachte passkey-toegangspunt. Dan verschuift het vraagstuk van “autenticatie” naar herstel: hoe toon je opnieuw aan dat de persoon die toegang vraagt ook echt de eigenaar van het account is?
Als fallback-herstelprocessen terugvallen op een zwakkere methode—bijvoorbeeld een wachtwoord, SMS-code, e-mail-link of vragen op basis van persoonlijke kennis—ontstaat een route waar aanvallers omheen kunnen bewegen. Het gebeurt dan alsof de passkey veilig is, maar de aanvaller “gaat eromheen” via het herstelpad.
Daarom moeten organisaties herstel zo inrichten dat vertrouwen opnieuw wordt opgebouwd voordat een nieuw device of een nieuwe authenticator aan een account wordt gekoppeld.
Authenticatie is maar het begin: let op sessies en accountgedrag
Veel identity-architecturen werken in de praktijk te lineair: authenticate, grant access, en vervolgens is er langdurig vertrouwen. Maar moderne aanvallen stoppen niet automatisch na het inloggen.
Ook als authenticatie correct verloopt, kunnen aanvallers doorgaan met activiteiten zoals het overnemen of misbruiken van een sessie, het compromitteren van een vertrouwd apparaat, het escaleren van privileges, of het wijzigen van accountkenmerken. Ze kunnen zelfs anomalieën veroorzaken die niet direct zichtbaar zijn bij de login-check.
De relevante vraag wordt dus niet alleen: heeft de gebruiker succesvol geauthenticeerd? Maar ook: hebben we nog voldoende bewijs om die identiteit en die activiteit te blijven vertrouwen?
Laag risico op elk moment: identity threat detection bovenop passkeys
Een effectieve manier om het gat te dichten tussen “sterke authenticatie” en “betrouwbare identiteit” is identity threat detection. Het idee is simpel: behandel een succesvolle login niet als een permanente vrijstelling, maar evalueer continu de identiteit en het risico.
Daarvoor kunnen organisaties signalen gebruiken zoals:
- device-kenmerken en context,
- identiteitsattributen,
- gedragsafwijkingen (behavioral anomalies),
- netwerk- en dreigingsintelligentie,
- wijzigingen in accountstatus of instellingen,
- transactiecontext en patroonafwijkingen.
Een goede aanpak hoeft niet elke actie extra te vertragen. Met een risk-based model kunnen gebruikers meestal doorwerken zonder frictie, terwijl risicovolle gebeurtenissen automatisch om extra verificatie vragen.
Voorbeelden van wanneer extra verificatie wél logisch is
- Een bekend gebruiker logt in vanaf een vertrouwd device en gedraagt zich normaal: doorgaans geen extra stappen.
- Dezelfde gebruiker probeert een herstelactie vanaf een onbekend device uit te voeren: dan is strengere validatie zinvol.
- Er vinden wijzigingen plaats aan kritieke accountattributen of er is sprake van anomal gedrag: verhoog de controle.
De juiste toekomst: meer dan passkeys, minder dan wachtwoorden
Passkeys en identity threat detection pakken verschillende delen van het identiteitsrisico aan. Passkeys verminderen vooral problemen rond wachtwoorden, credential theft, credential stuffing en phishing. Maar ze adresseren niet alle risico’s rond enrollment, herstel, sessiecompromotie en afwijkend accountgedrag.
Als organisaties de wachtwoordafhankelijkheid echt wegnemen, passen aanvallers hun strategie aan. Ze gaan niet alleen meer “direct” tegen de authenticator vechten, maar zoeken naar kansen om eromheen—zoals via herstelpaden of door een reeds gecompromitteerde identiteit te misbruiken.
Daarom is het verstandig om de rol van passkeys scherp te houden: ze beantwoorden de vraag “heeft deze gebruiker een legitieme credential om te authenticeren?” Identity threat detection beantwoordt de vraag “mogen we deze identiteit blijven vertrouwen?”
Praktische link: bekijk ook je security-remediatieproces
Veel organisaties verbeteren identity security nadat er al iets misging. Maar het werkt beter als je updates, detectie en remediatie op orde hebt. Als je zoekt naar een werkwijze die controleert én verbetert in plaats van alleen te patchen, kan je dit artikel gebruiken als aanvulling op je aanpak:
Veilige security-remediatie: Observe, Prove, Act
Conclusie
Passkeys zijn duidelijk beter dan wachtwoorden: ze maken phishing en credential misbruik veel moeilijker door het gebruik van public-key cryptografie en phishing-resistente authenticatie. Maar passkeys lost het bredere identiteitsrisico niet automatisch op.
Wie echt grip wil houden, moet ook kijken naar enrollment en recovery, naar wat er na authenticatie gebeurt en naar de betrouwbaarheid van apparaat, sessie en gedrag. Met identity threat detection bovenop passkeys bouw je een aanpak die vertrouwen niet alleen “eenmalig” vaststelt, maar continu beoordeelt.
Bron: https://www.securityweek.com/passkeys-are-better-than-passwords-but-they-are-not-enough/
