Microsoft start eind april met de uitrol van passkey-ondersteuning voor phishingbestendige, wachtwoordloze authenticatie op Windows-apparaten. Deze functionaliteit richt zich op Microsoft Entra-beveiligde resources en wordt naar verwachting medio juni 2026 algemeen beschikbaar. De ondersteuning voor wachtwoordloos inloggen wordt hiermee uitgebreid naar ook niet-beheerde Windows-apparaten.

Volgens Microsoft zal de Entra passkey-functionaliteit op Windows werken op zakelijke, persoonlijke en gedeelde apparaten, waarbij beheerders controle houden via Conditional Access en Authentication Methods-beleidsregels. Gebruikers kunnen apparaatgebonden passkeys aanmaken die worden opgeslagen in de Windows Hello-container en zich authenticeren met Windows Hello-methoden zoals gezichtsherkenning, vingerafdruk of pincode. Dit vergroot de mogelijkheden voor wachtwoordloze authenticatie op Windows-apparaten die niet zijn gekoppeld aan of geregistreerd bij Microsoft Entra, wat organisaties helpt de beveiliging te versterken en de afhankelijkheid van wachtwoorden te verminderen in diverse gebruiksscenario's.

De nieuwe beveiligingsfunctie is beschikbaar voor organisaties die 'Microsoft Entra ID met passkeys' hebben ingeschakeld binnen het Authentication Methods-beleid, voor gebruikers die inloggen op Windows-apparaten die niet zijn gekoppeld aan Microsoft Entra, mits Conditional Access-beleidsregels dit toestaan. Daarnaast maakt het aanmaken van FIDO2-passkeys mogelijk, die cryptografisch zijn gebonden aan het apparaat en lokaal worden opgeslagen. Deze passkeys kunnen alleen worden gebruikt voor authenticatie via Microsoft Entra ID met Windows Hello, waarbij gezichtsherkenning, vingerafdruk of pincode worden ingezet. Dit in tegenstelling tot Windows Hello for Business, dat ook apparaat-aanmeldingen ondersteunt.

Passkeys zijn cryptografisch aan het apparaat gebonden en worden nooit via het netwerk verzonden, waardoor ze niet kunnen worden gestolen via phishing of malware om multifactor-authenticatie te omzeilen. Microsoft benadrukt dat deze toevoeging een beveiligingskloof sluit die eerder persoonlijke en gedeelde apparaten dwong te vertrouwen op wachtwoordgebaseerde Microsoft Entra ID-authenticatie. In recente maanden zijn Microsoft Entra single sign-on-accounts doelwit geweest van aanvallen met gestolen credentials in een golf van SaaS-diefstallen. Eerder kondigde Microsoft in het kader van de Secure Future Initiative aan dat multifactor-authenticatie registratie verplicht wordt bij ingeschakelde beveiligingsstandaarden en dat nieuwe Microsoft-accounts standaard wachtwoordloos worden gemaakt om bescherming te bieden tegen brute-force, credential stuffing en phishing-aanvallen.