In dit artikel9
Wat is multifactorauthenticatie?
Bij inloggen wil een systeem zeker weten dat jij het bent. Daarvoor kan het drie soorten factoren gebruiken: iets wat je weet, iets wat je hebt en iets wat je bent. Een wachtwoord valt onder iets wat je weet. Een authenticator valt onder iets wat je hebt, met als voorbeeld een look-up secret. Een biometrisch kenmerk noemt NIST iets wat je bent, maar NIST erkent dat niet als authenticator op zichzelf. Het wordt volgens NIST alleen samen met een fysieke authenticator gebruikt.
MFA combineert minstens twee verschillende factoren. NIST beschrijft in SP 800-63B-4, definitief gepubliceerd in juli 2025, drie authenticator assurance levels (AAL's). Bij AAL2 is bewijs van bezit en controle over twee verschillende authenticatiefactoren vereist. Het beheren van inloggen en toegang heet identity and access management.
Een tweede wachtwoord is geen tweede factor. De tweede factor moet van een ander soort zijn dan de eerste. Niet elke MFA is even sterk, zoals het volgende kopje laat zien.
Hoe sterk zijn de verschillende vormen van MFA?
Vorm | Wat de bron zegt | Kanttekening |
|---|---|---|
Wachtwoord plus eenmalige code (TOTP) | Het NCSC noemt TOTP als tweefactorauthenticatie slechts marginaal veiliger. | TOTP beschermt niet tegen adversary-in-the-middle-aanvallen. |
Verificatie via telefoonnet of sms | NIST schrijft dat het telefoonnet voor out-of-band-verificatie beperkt is en dat out-of-band-authenticatie niet phishing-resistent is. | Niet phishing-resistent volgens NIST. |
E-mail als tweede kanaal | NIST staat e-mail niet toe voor out-of-band-authenticatie. | Niet gebruiken als out-of-band-factor volgens NIST. |
Passkey | De FIDO Alliance noemt passkeys phishing-resistent. Het NCSC noemt ze de veiligste vorm van authenticatie. | Het NCSC schrijft dat passkeys nog in de kinderschoenen staan en dat slechts een handjevol websites en apps ze ondersteunt. |
Bij een adversary-in-the-middle-aanval stuurt de aanvaller de eenmalige code in real time door. De gebruiker typt zijn wachtwoord en code in op een nepsite, en die site stuurt beide direct door naar de echte site en logt er zelf mee in. Het NCSC beschrijft dit in zijn advies over authenticatiemiddelen (bron: NCSC). De NCSC-pagina over passkeys toont geen datum, dus kijk daar voor de actuele stand van de ondersteuning.
Wat is een passkey?
De FIDO Alliance schrijft dat gebruikers met passkeys geen gebruikersnaam en wachtwoord meer hoeven in te voeren, en ook geen extra factoren. Een passkey vervangt het wachtwoord. Passkeys zijn gebaseerd op publiekesleutelcryptografie en kunnen worden gesynchroniseerd tussen de apparaten van een gebruiker, of aan één apparaat gebonden zijn. Je keurt het inloggen goed met de methode waarmee je je apparaat ontgrendelt, zoals biometrie, pincode of patroon. De biometrische gegevens blijven op het apparaat. Volgens de FIDO Alliance worden passkeys ondersteund in alle grote besturingssystemen en browsers (bron: FIDO Alliance).
FIDO2 is een open authenticatiestandaard die de FIDO Alliance heeft ontwikkeld, en waarop passkeys zijn gebouwd. WebAuthn is de standaard die de browser-API beschrijft waarmee passkeys worden beheerd, en CTAP wordt geïmplementeerd door authenticators en client-platformen. Een passkey kan op je telefoon of computer staan, of op een security key, want een security key slaat passkeys op hardware op (bron: FIDO2).
De W3C-specificatie Web Authentication Level 3 is op 25 augustus 2026 een W3C Recommendation (bron: W3C). Daarin is een passkey een synoniem voor een client-side discoverable credential. Een backup-eligible credential heet in die specificatie een multi-device credential.
Hoe werkt inloggen met een passkey?
Een passkey bestaat uit twee sleutels. De privésleutel staat veilig op je eigen apparaat, en de publieke sleutel is publiek beschikbaar. De website bewaart de publieke sleutel die bij de registratie is aangemaakt. Het sleutelpaar is een toepassing van cryptografie. Het NCSC legt dit uit op zijn pagina over passkeys (bron: NCSC).
Het inloggen werkt volgens een challenge-response. De site stuurt een uitdaging, en het apparaat beantwoordt die met een handtekening. Zo werkt het bij Sanne, die inlogt op de webmail van haar organisatie. Haar telefoon bevat een passkey voor die site. Dit is een vereenvoudigde weergave van het proces:
- De site stuurt een uitdaging (challenge) naar de browser.
- De browser vraagt Sanne haar telefoon te ontgrendelen, bijvoorbeeld met vingerafdruk of pincode.
- Het apparaat ondertekent de uitdaging met de privésleutel.
- De site controleert de handtekening met de publieke sleutel die bij de registratie is opgeslagen.
Sanne typt geen wachtwoord en voert geen code in. Een nepsite op een ander domein krijgt geen werkende handtekening. De passkey hoort bij het echte domein, en dat is de reden dat een nepsite geen werkende inlogpoging oplevert. Wat de aanbieder van de site opslaat, is alleen de publieke sleutel. Een gehackte site geeft een aanvaller daarmee minder op dan een lijst met wachtwoorden.
Wat betekent phishing-resistent?
NIST definieert phishing-resistentie als het vermogen van een authenticatieprotocol om te voorkomen dat authenticatiegeheimen en geldige uitvoer van de authenticator bij een bedrieglijke verifier terechtkomen. Die bescherming hangt niet af van de oplettendheid van de gebruiker (bron: NIST SP 800-63B-4, paragraaf 3.2.5).
Daarom verschilt een passkey van een TOTP-code of een sms-code. Een code die je op een nepsite invoert, kan een aanvaller direct doorgeven. Bij een passkey is de bescherming ingebouwd in het protocol. Een nepsite krijgt geen geldige uitvoer, omdat de passkey aan het echte domein is gekoppeld. Hoe organisaties hun e-maildomein beschermen, staat in e-mailbeveiliging met SPF, DKIM en DMARC.
Gesynchroniseerd of apparaatgebonden: welke passkey kies je?
Een passkey kan gesynchroniseerd zijn tussen apparaten, of gebonden aan één apparaat. NIST beschrijft syncable authenticators als authenticators waarmee de gebruiker het geheim naar extra apparaten kan kopiëren. Die mogen niet worden gebruikt op AAL3, omdat daar de privésleutel exporteerbaar moet zijn (bron: NIST SP 800-63B-4, paragrafen 3.1.6 en 2.3.2). Het NCSC wijst erop dat opgeslagen passkeys in sommige gevallen moeilijk uit te wisselen zijn met apparaten van andere fabrikanten.
Gesynchroniseerde passkeys zijn handig, want een nieuwe telefoon betekent niet dat je buitengesloten wordt. Maar de sleutel wordt gekopieerd naar een cloudaccount van de aanbieder van je apparaat of van je wachtwoordmanager. Een apparaatgebonden passkey, bijvoorbeeld op een security key, verlaat het apparaat niet. Het NCSC noemt een onafhankelijke wachtwoordmanager als back-up.
De keuze hangt af van het risico. Hoe hoger de risico's, hoe eerder een apparaatgebonden sleutel past. Voor beheerdersaccounts past zo'n sleutel vaker dan voor een gewoon account. Dat is een afweging per situatie, geen vaste regel.
Wat adviseren NCSC en NIST aan organisaties?
- NCSC-maatregel 8. Gebruik passkeys voor authenticatie in plaats van wachtwoorden. Gebruik op plaatsen waar nog wachtwoorden nodig zijn multifactorauthenticatie. De maatregel staat op de NCSC-pagina over de zorgplicht in de Cyberbeveiligingswet en NIS2 (bron: NCSC).
- Eerste stappen. Het NCSC noemt passkeys of MFA in elk geval bij accounts die vanaf het internet bereikbaar zijn, accounts met beheerrechten en accounts op de belangrijkste systemen. De wettelijke tekst is algemener: die spreekt over multifactor- of continue authenticatie wanneer dat gepast is.
- Conclusie over TOTP en passkeys. Het NCSC noemt TOTP slechts marginaal veiliger en adviseert passkeys te gebruiken als authenticatiemiddel.
- Wachtwoorden volgens het NCSC. Wachtwoorden zijn zeer kwetsbaar voor diverse digitale aanvallen, en het NCSC vindt dat ze op internet niet gebruikt zouden moeten worden.
- Wachtwoordregels van NIST. Voor een wachtwoord als enige factor geldt een minimumlengte van 15 tekens. Binnen MFA geldt een minimum van 8 tekens. Verifiers mogen geen andere samenstellingsregels opleggen en mogen niet eisen dat wachtwoorden periodiek worden gewijzigd. Bij aanwijzingen voor compromittering moet het wachtwoord wel worden vervangen.
Hoe voer je passkeys in?
Het NCSC adviseert om eerst voor alle authenticatieplaatsen in je inventarisatie na te gaan waar de grootste risico's liggen. Begin bij de centrale authenticatie, want het NCSC noemt die de belangrijkste mijlpaal. Laat in eerste instantie de bestaande inlogmethode nog toe, omdat je stapsgewijs overgaat. Richt daarnaast processen in voor de uitgifte van nieuwe passkeys, het blokkeren van verloren passkeys en tijdelijke tokens voor gebruikers die hun passkey of apparaat zijn kwijtgeraakt (bron: NCSC).
Het herstelproces bepaalt hoe veilig de invoering is. Zonder goed herstelproces wordt de helpdesk de zwakke plek: een aanvaller belt en vraagt een nieuwe passkey aan. Controleer de identiteit van de beller daarom zorgvuldig voordat je iets uitgeeft. Test de invoering eerst met een kleine groep. Begin met de centrale login, bijvoorbeeld de identiteitsprovider, dan de beheerdersaccounts en daarna de rest. Bij een SSO-opzet hoef je passkeys bij sommige organisaties maar op één plek in te voeren. Lees meer over identity and access management en SSO.
Die oude methode blijft dus tijdelijk naast de passkey bestaan. Zolang ze blijft werken, kan een aanvaller die methode blijven aanvallen. Beperk daarom de overgangsperiode.
Wie werkt met MFA en passkeys?
- IAM-engineer. Je richt authenticatie en toegang in. Zie de vacatures voor IAM-engineers en de rolgids. IAM-engineers werken bijvoorbeeld met identiteitsplatformen zoals Okta.
- IAM-consultant. Zie de vacatures voor IAM-consultants.
- Security engineer. Zie de vacatures voor security engineers.
- Security architect. Je kiest de authenticatiearchitectuur. Zie de vacatures voor security architecten en het vakgebied security architecture.
- SOC-analist. Je let op verdachte inlogpogingen en op MFA-misbruik. Zie de vacatures voor SOC-analisten.
Wat is het verschil tussen MFA en een passkey?
MFA is het principe dat je minstens twee verschillende factoren combineert. Een passkey is een specifieke inlogmethode zonder wachtwoord. Volgens de FIDO Alliance is een passkey phishing-resistent, en het NCSC noemt passkeys de veiligste vorm van authenticatie.
Is een eenmalige code uit een app (TOTP) veilig genoeg?
Het NCSC noemt TOTP als tweefactorauthenticatie slechts marginaal veiliger. De reden is dat TOTP niet beschermt tegen adversary-in-the-middle-aanvallen, waarbij de aanvaller de code in real time doorstuurt. Voor authenticatie adviseert het NCSC passkeys.
Wat gebeurt er als ik mijn telefoon met mijn passkey kwijtraak?
Gesynchroniseerde passkeys staan ook op je andere apparaten of in de cloudaccount van de aanbieder, dus een nieuwe telefoon hoeft niet te betekenen dat je buitengesloten wordt. Bij een verloren apparaat zorgt de organisatie via een herstelproces voor een nieuwe passkey of een tijdelijk token. Het NCSC noemt daarnaast een onafhankelijke wachtwoordmanager als back-up.
Wat vraagt het NCSC van organisaties?
Het NCSC vraagt om passkeys in plaats van wachtwoorden te gebruiken voor authenticatie, en om multifactorauthenticatie waar nog wachtwoorden nodig zijn. Als eerste stappen noemt het passkeys of MFA bij accounts die vanaf het internet bereikbaar zijn, accounts met beheerrechten en accounts op de belangrijkste systemen.
Moeten wachtwoorden regelmatig worden vervangen?
Nee. NIST SP 800-63B-4 staat niet toe dat verifiers eisen dat wachtwoorden periodiek worden gewijzigd. Wel moet een wachtwoord worden vervangen bij aanwijzingen dat het gecompromitteerd is. Het minimum is 15 tekens als enige factor en 8 tekens binnen MFA.