Wachtwoorden verdwijnen: kunnen passkeys accounts beter beveiligen?

Wachtwoord123. Welkom2024. De naam van je kat gevolgd door je geboortejaar. Vrijwel iedereen weet dat zulke wachtwoorden niet veilig zijn. Toch blijven mensen ze gebruiken. Uit gemak, uit gewoonte of omdat ze denken dat het hen niet zal overkomen.

Dan wordt ergens een database gelekt, belanden inloggegevens op een lijst die op het darkweb wordt verhandeld en is Wachtwoord123 plotseling niet meer alleen van jou. Bij een socialmedia-account is dat vervelend. Bij een account waaraan geld en persoonlijke gegevens zijn gekoppeld, kunnen de gevolgen groter zijn.

Het probleem met wachtwoorden is structureel. Mensen kiezen vaak wachtwoorden die ze gemakkelijk kunnen onthouden. Juist daardoor zijn ze soms ook eenvoudig te raden. Bovendien gebruiken veel mensen hetzelfde wachtwoord voor meerdere websites. Zodra één website wordt getroffen door een datalek, kunnen aanvallers de buitgemaakte gegevens ook bij andere diensten proberen.

Een wachtwoordmanager kan helpen door voor iedere website een sterk en uniek wachtwoord te genereren. Tweefactorauthenticatie voegt een extra beveiligingslaag toe. Maar ook deze maatregelen lossen niet ieder probleem op.

Dan is er nog phishing. Een gebruiker ontvangt bijvoorbeeld een e-mail die afkomstig lijkt van een bank, streamingdienst of online casino. De link leidt naar een nagemaakte website waarop wordt gevraagd om in te loggen. Wie daar een wachtwoord invult, geeft het onbedoeld aan een aanvaller. Ook codes die per sms worden verstuurd, zijn niet volledig ongevoelig voor misbruik.

Het wachtwoord is daardoor steeds minder geschikt als enige beveiligingsmethode.

Passkeys zijn ontwikkeld als alternatief voor wachtwoorden. Apple, Google en Microsoft ondersteunen de techniek inmiddels binnen hun besturingssystemen en steeds meer websites en apps bieden haar aan.

In plaats van een woord dat je moet onthouden, gebruikt een passkey een combinatie van cryptografische sleutels. De openbare sleutel wordt bij de website opgeslagen. De bijbehorende privésleutel blijft beveiligd op het apparaat of wordt versleuteld gesynchroniseerd via de accountomgeving van de gebruiker.

Bij het inloggen wordt de passkey meestal ontgrendeld met een vingerafdruk, gezichtsherkenning of de pincode van het apparaat. De website ontvangt daarbij niet de privésleutel zelf, maar een cryptografisch bewijs dat de gebruiker over de juiste sleutel beschikt.

Daardoor staat er op de server geen herbruikbaar wachtwoord dat bij een datalek kan worden buitgemaakt. Dat maakt passkeys beter bestand tegen zowel databaselekken als veel gebruikelijke vormen van phishing.

Aan een casinoaccount kunnen geld, betaalgegevens, identiteitsinformatie en persoonlijke instellingen zijn gekoppeld. Dat maakt een goede beveiliging belangrijk. Een aanvaller die toegang krijgt tot zo’n account, kan persoonlijke gegevens bekijken, instellingen veranderen of proberen het beschikbare saldo weg te sluizen.

Vergunde aanbieders in Nederland moeten passende maatregelen nemen om accounts en persoonsgegevens te beschermen. Denk aan beveiligde verbindingen, identiteitscontroles en maatregelen tegen ongeautoriseerde toegang. De gebruiker houdt zelf ook een verantwoordelijkheid. Een hergebruikt wachtwoord, uitgeschakelde tweefactorauthenticatie of overtuigende phishingmail kan de beveiliging verzwakken.

Ook bij het vergelijken van platforms met online gokkasten en live casinospellen is accountbeveiliging daarom een relevant aandachtspunt. Niet alleen het spelaanbod telt, maar ook de manier waarop een aanbieder omgaat met inloggen, verificatie, persoonsgegevens en ongebruikelijke accountactiviteit.

Passkeys kunnen een volgende beveiligingslaag vormen. Een gebruiker hoeft dan geen wachtwoord meer in te voeren dat kan worden afgekeken, onderschept of op een nagemaakte website kan worden ingevuld. Passkeys zijn niet tegen iedere denkbare aanval bestand, maar verkleinen wel een aantal veelvoorkomende risico’s.

Passkeys worden al ondersteund door grote technologiebedrijven en door een groeiend aantal websites en apps. Binnen de online kansspelsector zijn ze nog niet overal als inlogmogelijkheid zichtbaar.

Dat kan verschillende oorzaken hebben. Aanbieders moeten de techniek integreren in bestaande websites en apps. Ook moeten zij rekening houden met wettelijke eisen rond identificatie, authenticatie en accountbeheer. Daarnaast moet er een veilige oplossing zijn voor situaties waarin iemand een telefoon verliest, naar een ander apparaat overstapt of geen toegang meer heeft tot de omgeving waarin de passkey is opgeslagen.

De ontwikkeling gaat daarom geleidelijk. Een passkey toevoegen is meer dan een nieuwe knop op een inlogscherm. Ook registratie, accountherstel, klantenservice en fraudedetectie moeten goed op elkaar aansluiten.

Het belangrijkste voordeel van passkeys is de combinatie van veiligheid en gebruiksgemak. De gebruiker hoeft geen ingewikkeld wachtwoord te bedenken, geen reeks speciale tekens te onthouden en meestal geen afzonderlijke code uit een sms over te typen.

Na het instellen van een passkey kan inloggen vaak met een vingerafdruk, gezichtsherkenning of apparaatcode. Dat is eenvoudiger dan een traditioneel wachtwoord en tegelijkertijd beter bestand tegen verschillende veelvoorkomende aanvallen.

Dat betekent niet dat alle beveiligingsproblemen verdwijnen. Apparaten moeten nog steeds goed worden beschermd en aanbieders blijven verantwoordelijk voor hun technische systemen en controleprocessen. Maar voor accounts waaraan geld en gevoelige persoonsgegevens zijn gekoppeld, kunnen passkeys een belangrijke verbetering zijn.

De vraag is daarom niet alleen wanneer wachtwoorden verdwijnen. De belangrijkere vraag is hoe snel sectoren waarin veiligheid en vertrouwen centraal staan een gebruiksvriendelijker alternatief invoeren.