Passkey overdraagbaarheid en de strijd om je identiteit

De belofte van een wachtwoordloze toekomst klonk prachtig: nooit meer ingewikkelde codes onthouden, geen verificatie-apps meer openen en een optimale beveiliging tegen phishing. Toch heeft het groeiende succes van de passkey een schaduwzijde blootgelegd die steeds nijpender wordt. Wie nu zijn digitale sleutels opslaat bij Apple, Google of Microsoft, ontdekt al snel dat hij vastzit in hun ecosysteem. De gebrekkige passkey overdraagbaarheid tussen verschillende platformen dreigt te veranderen in een nieuwe vendor lock-in. Hoe kon een technologie die gebouwd is op open standaarden toch eindigen in een gesloten digitale kluis?

De frictie van een opgesloten digitale identiteit

In de basis maakt een passkey gebruik van public key-cryptografie. Wanneer je een account aanmaakt, genereert je apparaat een publieke en een private sleutel. De publieke sleutel gaat naar de server van de dienst, terwijl de private sleutel veilig opgeslagen blijft op jouw smartphone of computer. Big Tech heeft deze technologie uitstekend geïntegreerd in hun eigen cloud-infrastructuur. Je sleutels worden naadloos gesynchroniseerd via iCloud Keychain of Google Password Manager.

Het echte probleem ontstaat wanneer je besluit over te stappen van iOS naar Android, of van Windows naar macOS. Er bestaat op dit moment geen gestandaardiseerde, veilige manier om de private sleutels te exporteren en te importeren bij een concurrent. Hierdoor wordt de gebruiker gedwongen te kiezen tussen digitale veiligheid en de vrijheid van platformkeuze.

De afwezigheid van een universele exporteerstandaard maakt van onze veiligste inlogmethode een gouden kooi.

Technische barrières en de rol van CTAP2

Waarom is de uitwisseling zo complex? Het antwoord ligt in de strikte beveiligingseisen. De FIDO Alliance heeft de protocollen ontworpen met de filosofie dat private sleutels het hardware-element van het apparaat nooit onversleuteld mogen verlaten. Het Client to Authenticator Protocol (CTAP2) regelt de communicatie tussen een beveiligingssleutel of smartphone en het besturingssysteem.

Hoewel CTAP2 uitstekend werkt om lokaal te authenticeren, was het protocol nooit primair ontworpen voor bulkoverdracht van versleutelde gegevens naar een externe cloud van een derde partij. Techgiganten schermen met het argument dat het openstellen van een exportfunctie grote veiligheidsrisico's met zich meebrengt. Als een kwaadwillende immers toegang krijgt tot het exportmechanisme, zijn in één klap alle wachtwoordloze toegangssleutels gecompromitteerd.

De uitdaging voor onafhankelijke wachtwoordmanagers

• Beperkte API-toegang: Onafhankelijke ontwikkelaars hebben niet altijd dezelfde diepe integratie op OS-niveau als de eigen diensten van Apple of Google.
• Platformspecifieke authenticatie: Hardwarematige enclave-beveiliging maakt het rechtstreeks uitlezen van geselecteerde keys technisch onmogelijk.
• Ontbreken van uniforme standaarden: Elk platform gebruikt een eigen implementatie voor cloud-synchronisatie.

Is er een oplossing in zicht voor de gebruiker?

Gelukkig is de industrie zich bewust van deze impasse. Binnen de FIDO Alliance wordt gewerkt aan nieuwe standaarden om de uitwisseling van authenticatiegegevens veilig te structureren, zonder dat het cryptografische fundament wordt aangetast. Er wordt gesproken over protocollen waarmee beveiligde kluizen onderling gegevens kunnen overdragen via een end-to-end versleutelde tunnel.

Tot die tijd blijft de passkey overdraagbaarheid een doorn in het oog van vooruitstrevende gebruikers. Wie volledige controle wil over zijn digitale identiteit, kan er momenteel voor kiezen om gebruik te maken van cross-platform wachtwoordbeheerders of fysieke hardware-beveiligingssleutels. Deze bieden vaak meer flexibiliteit dan de ingebouwde oplossingen van de grote techbedrijven.

Loopt jouw overstap naar een ander besturingssysteem ook vast op het migreren van je inloggegevens, of vertrouw je volledig op het ecosysteem van jouw apparatenbouwer? Laat je ervaringen achter in de reacties!