Passkey in Enpass, meerwaarde?

[JazzMatazz]

Op het gevaar af dit onderwerp te hijacken, wil ik graag 2 vragen over Passkeys kwijt:

1. Ik heb Passkeys voor een aantal websites aangemaakt op mijn mobiele telefoon en deze staan opgeslagen in mijn wachtwoordmanager (Enpass). Deze synct met mijn andere apparaten waar Enpass ook op geïnstalleerd is. Stel nu dat mijn telefoon kwijt raakt of gestolen wordt, kan ik dan nog steeds op die websites inloggen? Wordt dan niet om een Passkey-authenticatie op mijn telefoon gevraagd (die ik dan dus niet meer heb)?

2. Ik lees ook hier en daar dat je bij verlies van je Passkey altijd nog de traditionele inlogmethodes kan gebruiken (bv. username en wachtwoord). Maar als dat klopt, wat is dan de meerwaarde van de Passkey? Die is toch (mede) in het leven geroepen om inloggen veiliger te maken (in de zin dat als je gebruikersnaam en wachtwoord in verkeerde handen vallen het makkelijk is om in te loggen en dat dat met Passkey tegengegaan wordt)?

[F_J_K]

Ik heb je vraag even afgesplitst van Passkey support

Goed gezocht, maar het gaat daar over inbouwen in onze website en dat is niet jouw vraag

[F_J_K]

Vraag 1: probeer het eens. Telefoon uitdoen en zien hoe ver je komt. Houd er wel rekening mee dat men bij toegang tot je Enpass ook de passkey heeft, wat het minder veilig maakt dan losse hardware.

2: dat kan je dus uitschakelen. En, het heeft nog steeds een boel meerwaarde omdat er dan verschillende aanvalstechnieken onmogelijk zijn voor de keren dat je de passkey gebruikt ipv username+password.

[i7x]

Wbt punt 2, dat is wellicht wel waar in zekere zin, maar ikzelf gebruik voor de wachtwoorden willekeurig gegenereerde strings (Apple password suggesties), die ook verschillen voor elke site. Vervolgens gebruik ik in de praktijk enkel passkeys, indien dit wordt aangeboden.

Er is dus nog steeds een kans dat men je wachtwoord zou kunnen stelen en dat gebruiken om in te loggen via de traditionele methode, maar de mogelijkheden daarvoor zijn wel gelimiteerder geworden, want je gebruikt deze in de praktijk nooit, en het functioneert dus meer als een backup key.

Maar het is wel waar dat dit een zwakte blijft. Soms zijn wachtwoorden schijnbaar geheel uit te schakelen, maar ik ben dit nog niet tegengekomen.

Sinds ik gegenereerde wachtwoorden gebruik icm (indien mogelijk) passkeys, heb ik geen last meer gehad van gehackte accounts door data leaks ed. Het is misschien niet perfect, maar het is zeker een verbetering en werkt daarnaast ook nog eens eenvoudiger in mijn beleving.

[Martijntjeh]

@JazzMatazz In aanvulling op wat @F_J_K schreef deze website : https://webauthn.io/
Is een goede site om passkeys en hoe ze werken met je wachtwoorden kluis te testen.