NCSC adviseert standaard gebruik van passkeys voor klanten

Het Britse National Cyber Security Centre (NCSC) adviseert bedrijven om passkeys als standaard authenticatiemethode aan te bieden aan consumenten. Volgens de organisatie zijn passkeys een veiliger en gebruiksvriendelijker alternatief voor wachtwoorden, die volgens het NCSC niet langer voldoende bescherming bieden in de hedendaagse digitale wereld.

In een blogpost stelt het NCSC dat passkeys het inloggen eenvoudiger maken doordat gebruikers alleen hun goedkeuring hoeven te geven, zonder een wachtwoord in te voeren. Dit maakt passkeys sneller en moeilijker te compromitteren door cybercriminelen. De methode is bestand tegen phishing en voorkomt risico’s die samenhangen met het hergebruiken van wachtwoorden.

De aanbeveling is gebaseerd op een analyse van het NCSC naar de effectiviteit van verschillende authenticatiemethoden tegen aanvallen zoals phishing, credential reuse en sessiekaping. Traditionele methoden, waaronder wachtwoorden gecombineerd met eenmalige codes, blijven volgens het NCSC inherent vatbaar voor phishing. Passkeys, die gebaseerd zijn op FIDO2-standaarden, bieden een gelijkwaardige of hogere mate van beveiliging tegen deze aanvallen, zoals beschreven in het technische document van het NCSC.

Passkeys werken met cryptografische sleutels die op het apparaat van de gebruiker worden opgeslagen en gekoppeld zijn aan verificatiemethoden zoals biometrie of een pincode. Dit voorkomt dat authenticatiegegevens kunnen worden onderschept en hergebruikt door aanvallers. Voor organisaties die online diensten aan klanten leveren, betekent dit een fundamentele verandering in de manier waarop authenticatie op gebruikersniveau wordt ingericht. Volgens senior analist Madelein van der Hout van Forrester gaat het om een verschuiving van het traditionele wachtwoord-plus-MFA-model naar een phishingbestendige basis.

Het NCSC benadrukt dat organisaties bij de implementatie van passkeys ook rekening moeten houden met de volledige gebruikersreis, inclusief herstel- en fallbackmechanismen, om een veilige en gebruiksvriendelijke ervaring te waarborgen.