Ik ben een beetje te laat met deze mededeling omdat al mijn Macs al op macOS12 Monterey draaien, maar ongeveer twee weken geleden heeft Apple zonder ophef macOS 11.6.7 Big Sur uitgebracht, separaat van andere updates. In de toelichting bij deze update staan voor het eerst wat details sinds macOS 11.5. Er staat dat de update een probleem in macOS 11.6.6 oplost met het openen van bijlages als de applicatie voor het openen van de bijlage al actief was. De gebruikers krijgen dan een foutmelding waarin wordt beweerd dat ze niet de juiste rechten hebben.

TidBITS Talk-gebruiker chs had problemen met het afdrukken na de update naar macOS 11.6.7 op een M1-MacBook Air. Het blijkt dat als onderdeel van de update de installatie van Rosetta was verwijdert. Een her-installatie van Rosetta was nodig om de Brother-printer driver weer in te stellen. (Ook een update van de originele Brother-software had het probleem kunnen oplossen.) Will M melde ook dat Time Machine, na de update naar 11.6.7, de eerste back-up naar zijn Time Capsule volbracht sinds de installatie van 11.6.5 in April.

Kortom: als je nog steeds Big Sur gebruikt, is het de moeite waard om de update naar macOS 11.6.7 via Software-update te doen. Dit zal de problemen oplossen met de e-mailbijlages en potentiële Time Machine-blokkades, maar houd er rekening mee dat je misschien Rosetta weer opnieuw moet installeren. Of je kunt direct de sprong naar Monterey maken.

De laatste paar weken ben ik bezig geweest met het helpen van de bejaarde vader JP van mijn overleden vriend Oliver, en JP's vrouw Gretel. Ze maken voorbereidingen om naar een bejaardenhuis in een andere staat te verhuizen. (Zie “Oliver Habicht sterft op 53-jarige leeftijd aan of pancreaskanker”, 26 september 2020.) Ze zijn internationale vermaarde wetenschappers in voedings-epidemiologie en -antropologie. Hoewel ze last hebben van niet te vermijden ouderdomsverschijnselen zijn ze nog steeds compleet mentaal competent, zij het af en toe wat langzamer door medicatie en vermoeidheid.

Ik had Oliver beloofd dat ik zijn plaats zou innemen wanneer dat nodig zou zijn, en aangezien hij de belangrijkste tech-ondersteuning voor JP en Gretel was, hielp ik ze met plezier toen ze vertelden dat ze wat computervragen hadden. Ik wist min of meer wat ik kon verwachten, omdat JP in 1987, toen ik student in Cornell was en maar een straat verder woonde, mijn eerste klant was. Ik kwam regelmatig langs om de notities te ontcijferen die hij voor zichzelf had gemaakt door lege folders op zijn Mac Plus een naam te geven, en om te helpen bij allerlei software- en hardware-problemen.

Er was maar tijd voor een paar bezoeken voordat ze zouden verhuizen, en om ons heen werd het huisraad al ingepakt. Daarom focusten we op drie zaken: wat te doen met oude apparatuur, het stroomlijnen van hun back-upstrategie, en het optimaliseren van hun systeem van wachtwoordenbeheer. bij alle drie die onderwerpen moest ik constateren dat Apple daar recentelijk wel aandacht aan heeft besteed, maar niet noodzakelijkerwijs op een manier waar oudere Mac-gebruikers die niet de recentste apparatuur, besturingssystemen en technologieën gebruiken iets aan hebben.

Ik wil niet generaliseren met betrekking tot mensen in de leeftijd van, zeg, 70 tot 95, want we hebben een flink aantal bijzonder capabele en technisch onderlegde TidBITS-lezers in die leeftijdscategorie. (Om maar te zwijgen van onze honderdplusser, zie “George Jedenoff: een TidBITS-lezer van 101”, 17 juni 2019 en “102-jarige George Jedenoff publiceert zijn autobiografie”, 26 augustus 2019.) Maar als je naar het doorsneepubiek kijkt is het duidelijk dat ouderen steeds meer gebruikmaken van computers, tablets en smartphones, waarbij ze echter wel moeite hebben om de snelheid van de ontwikkelingen en veranderingen in de tech-wereld bij te houden. Het is niet dat de systemen op zichzelf te ingewikkeld zijn (hoewel er links en rechts wel ruimte is voor verbetering), het probleem is dat je flink wat informatie moet verwerken en dat die informatie te snel en te vaak wijzigt. Daar komt bij dat als je al tientallen jaren gebruikmaakt van deze technologieën je meestal ook veel oude apparatuur hebt verzameld, en dat komt het probleem van upgraden en compatibiliteit zeker niet ten goede.

Het is verleidelijk om terug te vallen op de standaardwijsheid: “If it ain't broke, don't fix it”, en soms werkt dat ook. Maar in de techwereld is het vaak geen optie om stil te blijven staan. Sommige apps stoppen echt met werken als ze te oud zijn (zoals 32-bit apps in macOS 10.15 Catalina), sommige updates vereisen nieuwere apparatuur en besturingssystemen, met bepaalde minimumeisen, en nieuwe en verbeterde apps bieden aantrekkelijke nieuwe mogelijkheden. Een zekere mate van verandering is onontkoombaar, maar dat wordt moeilijker als die verandering al jaren is uitgesteld. Ik liep tegen de volgende dingen aan.

Oude apparatuur

Bij mijn eerste bezoek kwamen JP en Gretel aan met een doos vol willekeurige stukken apparatuur (toetsenborden, muizen, USB hubs, voedingen) met etiketten met mijn naam erop. (Er waren overal geeltjes, niet in de laatste plaats omdat het prima geheugensteuntjes zijn, en JP is het prototype van een verstrooide professor.) Verder hadden ze een oude MacBook Air, Mac mini, iMac, Dell toren-pc en een pc subnotebook, waar ze mee in hun maag zaten. Ze waren geen van alle in gebruik, maar wel opgeslagen in plaats van ze te recyclen, omdat het vaak niet handig is om een oude machine meteen weg te doen als je een nieuwe aanschaft. Je weet nooit of je die oude nog eens ergens voor nodig hebt. Bovendien: als je een oude machine weggeeft of anderszins afvoert is het van belang om voordat je dat doet de interne harde schijf te wissen.

Nu was het mijn taak om die schijven te wissen en de machines af te voeren. En gezien de leeftijd van die machines blijkt dat nog niet zo eenvoudig. De MacBook Air uit 2010 was geen probleem: ik startte hem op in macOS Recovery, formatteerde de SSD en installeerde macOS opnieuw. We hebben zelfs een kennis die hem wel wil adopteren. Maar hoewel ik de schijf van de iMac kon wissen, bleef het apparaat vragen naar mijn Apple ID om 10.11 El Capitan te installeren en die installatie mislukte keer op keer. De Mac mini lijkt op te starten, maar ik ben er nog niet in geslaagd om er een scherm aan te koppelen, dus kan ik niet zien wat er op dat scherm te zien zou zijn en ik kan dus ook de schijf niet wissen. (Een aantal personen suggereerden om het apparaat op te starten in Target Disk Mode, en dat zal ik zeker proberen als ik er weer aan toekom.) Aan de pc's ben ik nog helemaal niet toegekomen. Grote kans dat die gewoon gestript en gerecycled worden.

Wat ik maar wil zeggen is dit: als het voor iemand met mijn achtergrondkennis en beschikking over apparatuur al zo'n probleem is om een computer klaar te maken voor afvoeren (plus de kracht en flexibiliteit om met al die machines en schermen te slepen) dan gaat dat voor veel ouderen een onoverkomelijk probleem zijn. Niet in het minst omdat het opschonen van een Mac voor verwijdering niet iets is dat veel mensen, consultants of IT-beheerders daargelaten, dagelijks doen.

Gelukkig is dit wel een van die gebieden waar Apple vooruitgang boekt. Allereerst spoort het bedrijf gebruikers aan om oude apparatuur in te ruilen of te recyclen. Daarnaast heeft Apple het vanaf macOS 12 Monterey eenvoudiger gemaakt om een Mac voor te bereiden op een tweede leven, hoewel die optie diep verborgen zit.

Zo maak je een Mac klaar voor een nieuw leven als er Monterey op staat. (Hiervoor is een M1-Mac of een Intel-Mac met een T2-beveiligingschip nodig.) Je opent het programma Systeemvoorkeuren, maar in plaats van in het venster te werken, zoals je normaal doet, kies je “Systeemvoorkeuren > Wis alle inhoud en instellingen…” om de Wisassistent te starten. Nadat je op ‘Doorgaan’ hebt geklikt, worden al je apps gestopt en worden alle gegevens gewist. Dat neem ik tenminste aan, want ik heb de opstartschijf van mijn 27 inch-iMac niet laten wissen.

Helaas hebben veel oudere gebruikers mogelijk geen Macs die aan deze vereisten voldoen. Voor andere Macs houd je commando-R bij het opstarten ingedrukt om macOS Recovery te starten, van waaruit je Schijfhulpprogramma kan gebruiken om het opstartvolume te wissen en vervolgens een schone versie van macOS te installeren.

Betere back-ups

Als langdurige Mac-gebruikers met advies van Oliver, die IT-professional was, hadden JP en Gretel allebei Time Machine-schijven voor lokale versiegebonden back-ups en offsite back-ups naar IDrive. Ze begrepen het belang van offsite back-ups, maar waren niet tevreden met IDrive en wilden een nieuwe internetback-upservice. Ze hadden ook last van twee veel voorkomende verwarringen over back-ups:

• Ze wilden weten of ze andere bestanden konden opslaan op hun ruime Time Machine-schijf. Technisch gezien is dat mogelijk (zie “Hoe gebruik je de extra opslagruimte op een APFS Time Machine-schijf”, 20 mei 2022), maar het is een slecht idee om back-ups en oorspronkelijke gegevens op dezelfde fysieke schijf door elkaar te gebruiken, vooral voor mensen die niet goed weten hoe ze meerdere back-upsystemen moeten onderhouden.
• Ze betaalden niet alleen voor IDrive maar ook voor extra opslagruimte op Dropbox en Google Drive, en wilden weten of ze daarheen konden back-uppen. Ook dit is technisch mogelijk, maar beide bieden online synchronisatie en opslag, geen echte back-up. Voor back-up met versiebeheer en bescherming tegen het verwijderen van bestanden is een back-up-app nodig.

Na overleg en rekening houdend met het feit dat ze binnenkort zouden verhuizen, heb ik een Backblaze-abonnement voor ze geregeld voor $ 70 per computer per jaar en heb ik ze geholpen om automatische verlenging van hun IDrive-account uit te zetten. Ze hebben ook hun Dropbox-accounts teruggebracht naar het gratis niveau, maar zijn bij het laagste opslagabonnement van Google One gebleven om zeker te zijn van voldoende ruimte in Gmail.

Backblaze is een goed systeem, vooral in de categorie 'instellen en vergeten', wat essentieel is voor oudere mensen die niet meer tijd hoeven te besteden aan het beheren van hun back-ups. Het grootste probleem dat JP en Gretel aanvankelijk hadden, was het onderscheid tussen het Backblaze-voorkeurenpaneel op de Mac en de web-interface voor aanvullend beheer en het herstellen van bestanden. Ze vielen ook ten prooi aan de zenuwslopend lang durende eerste back-up, die een paar dagen duurde om te voltooien.

Apple heeft met iCloud Backup voorzien in de behoefte aan back-ups voor iOS en iPadOS, maar het blijft me verbazen dat het bedrijf nog geen iCloud Time Machine heeft uitgebracht waarmee Macs kunnen worden geback-upt naar betaalde iCloud+-opslag. (Zie “Vijf verbeteringen voor Apples toekomstige besturingssystemen”, 19 mei 2022.) Een dergelijk ingebouwd systeem zou meer Mac-gebruikers, ongeacht hun leeftijd, aanmoedigen om hun gegevens te beschermen, omdat ze geen externe schijf zouden hoeven te kopen en het zou kunnen dienen als een externe back-up voor degenen die Time Machine al lokaal gebruiken.

Gedeelde wachtwoorden

Het laatste punt van zorg betrof wachtwoorden. Ik weet niet waarom, maar JP en Gretel hadden nog nooit de sprong naar een wachtwoord-manager gemaakt. Een deel daarvan was misschien JP's eigenzinnige gewoonte om aantekeningen te maken en Gretels uitstekende geheugen (toen ze zich inschreef voor Backblaze, noemde ze zonder problemen haar hele American Express creditcardnummer, vervaldatum en CVC-code op). Toch was Gretel zich ervan bewust dat ze een eenmalig wachtwoord of feit misschien niet zou onthouden, dus viel ze terug op handgeschreven geheugensteuntjes op vellen notitiepapier. Net zo, maar meer digitaal, hield JP een Word-document bij met gecodeerde notities die zijn wachtwoorden voor verschillende sites zo beschreven dat alleen hij of iemand die hem goed kende in staat zou zijn om de wachtwoorden te achterhalen. Hij had dat document onlangs gedeeld met familieleden, maar was zich ervan bewust dat er betere oplossingen bestonden.

Het verhuizen van ouderen naar een wachtwoordenbeheerder houdt me toch wel bezig. Hoewel wachtwoordenbeheerders in veel opzichten beter zijn (sneller, eenvoudiger, betrouwbaarder, makkelijker te delen en een zegen bij het gebruik van meerdere apparaten), moet je er wel een hele nieuwe manier van inloggen op websites voor leren en dat blijkt moeilijk. Als een wachtwoordenbeheerder meer login-ergernis veroorzaakt dan wegneemt, dan is het de moeite niet waard.

In eerste instantie dacht ik dat het meer voor de hand zou liggen om een minder technische oplossing voor back-ups te vinden en Google Chrome te gebruiken om wachtwoorden te bewaren, maar JP stond erop dat LastPass geïnstalleerd zou worden en de app met zijn gezin gedeeld werd. Zo gezegd zo gedaan, en ik heb hem ook laten zien dat LastPass naar nieuwe of geüpdatete logins vraagt, maar ik ben bang dat het op den duur toch niet goed zal werken. Wachtwoorden en iCloud-sleutelhanger van Apple zouden bruikbare alternatieven kunnen zijn, zeker met de opties accountherstelcontacten en erfeniscontacten, maar bij deze oplossingen van Apple is het delen van functies niet mogelijk, wat LastPass en 1Password nou juist zo overtuigend maakte voor families die toegang tot accounts van (wils)onbekwaam geworden of overleden familieleden nodig zouden kunnen hebben.

Passkeys zijn natuurlijk de beste oplossing: ze zijn makkelijker en veiliger dan wachtwoorden. Toch ben ik bang dat oudere mensen het moeilijk zullen vinden om de overstap te maken naar alweer een nieuw verificatieysteem. (Zie “Waarom passkeys eenvoudiger en veiliger zijn dan wachtwoorden”, 27 juni 2022.) Als JP en Gretel enigszins representatief zijn voor hun generatie, dan zullen de biometrische aspecten van passkeys misschien niet veel voordelen voor oudere mensen opleveren: Touch ID werkte voor geen van beiden en er wordt gesuggereerd dat het scannen van vingerafdrukken minder nauwkeurig wordt naarmate mensen ouder worden, doordat de huid gladder en minder elastisch wordt. Hoewel deze problemen zich bij Face ID niet zouden voordoen, blijft een groot aantal van de apparaten van Apple toch op Touch ID vertrouwen.

Het lijkt er dus op dat Apple met wachtwoordenbeheer, passkeys en herstelopties de juiste weg inslaat, maar dat het wellicht te laat is voor diegenen die niet de passende hardware hebben of voor wie een nieuwe verificatiemethode te veel gevraagd is.

Apple heeft hun eigen soort passkeys geïmplementeerd. Passkeys zijn gebaseerd op een industriestandaard die een vervanging is voor wachtwoorden. Ze bieden meer veiligheid en bescherming tegen kaping en zijn tegelijkertijd in bijna ieder opzicht eenvoudiger.

Je hoeft een passkey nooit in te kloppen of te beheren. Een passkey wordt gegenereerd als je een account op een specifieke website opwaardeert van alleen een wachtwoord, eventueel in combinatie met login met tweefactor-verificatie. Passkeys hebben geen last van de vele zwakke kanten van wachtwoorden:

• Iedere passkey is uniek - altijd.
• Iedere passkey wordt op je apparaat gegenereerd, en het geheime deel van de passkey verlaat je apparaat nooit tijdens het inloggen. (Je kunt je passkeys veilig delen tussen apparaten of met anderen.)
• Omdat passkeys aangemaakt worden met een sterk versleutelingsalgoritme, hoef je je geen zorgen te maken over een 'zwak' wachtwoord dat geraden of gekraakt kan worden.
• Een website kan je authenticatiegegevens niet lekken, omdat sites alleen het publieke deel van de passkey opslaan, dat overeenkomt met je inlognaam, en niet het geheime deel waarmee je identiteit gevalideerd wordt.
• Phishing is niet mogelijk omdat een passkey alleen getoond wordt aan een website die er legitiem mee verbonden is.
• Passkeys hoeven nooit te veranderen, omdat ze niet gestolen kunnen worden.
• Passkeys vereisen geen tweefactor-verificatie omdat de twee factoren al standaard ingebouwd zijn.

Na testen met ontwikkelaars in het afgelopen jaar heeft Apple ondersteuning voor passkeys ingebouwd in iOS 16, iPadOS 16, macOS 13 Ventura en watchOS 9. Deze versies worden in september of oktober uitgebracht. Deze besturingssystemen zullen passkeys opslaan in de sleutelhanger, beschermd door het wachtwoord van het apparaat, Touch ID of Face ID. Passkeys worden ook op veilige wijze tussen je apparaten gesynchroniseerd met de iCloud-sleutelhanger, die aan beide zijden versleuteling gebruikt - Apple heeft nooit toegang tot passkeys of andere gegevens uit de iCloud-sleutelhanger.

Het beste nieuws is misschien nog wel dat Apple passkeys heeft gebouwd bovenop een bestaande en wijdverspreide industriestandaard, de W3C Web Authentication API of WebAuthn, ontworpen door het World Wide Web Consortium en de FIDO Alliance, een groep die jaren besteed heeft aan het ontwikkelen van benaderingen die bestand zijn tegen phishing, kapen en dergelijke, in combinatie met gebruiksvriendelijkheid. Apple, Amazon, Google, Meta (Facebook) en Microsoft zitten allemaal in de raad van bestuur van FIDO, net zoals belangrijke financiële organisaties, kredietkaartbedrijven en producenten van chips en hardware.

Veel websites en besturingssystemen ondersteunen WebAuthn al door middel van een hardware-sleutel, zoals de veelgebruikte van Yubico. Je bezoekt een website, kiest voor inloggen met een veiligheidssleutel, tikt op een knop op de hardwaresleutel en de browser, het besturingssysteem en de hardwaresleutel communiceren met elkaar om de log-in af te ronden. Met een passkey wordt het werk van de hardwarelseutel in het besturingssysteem geïntegreerd en is er geen verdere hardware nodig. Websites die al op WebAuthn gebaseerde hardwaresleutels ondersteunen, zouden passkeys met weinig inspanning moeten kunnen gebruiken, volgens Apple.

Voordat we beginnen nog even het volgende: merk op dat Apple 'passkey' met kleine letters schrijft, in een poging om ons het als een gewoon concept te laten gebruiken, zoals wachtwoord en pincode. Google, Microsoft en andere bedrijven zullen compatibele technologie aanbieden en wellicht ook kiezen om het 'passkey' te noemen. Hoewel er wellicht verwarring kan ontstaan, is 'passkey' beter dan het technischer 'multi-device FIDO credentials', dat niet bepaald vlot bekt.

Laten we eens nader bekijken hoe passkeys werken.

Passkeys brengen de voordelen van cryptografie met publieke sleutels naar de dagelijkse logins

Passkeys maken gebruik van cryptografie met publieke sleutels, een technologie waar we al bijna 30 jaar over schrijven in TidBITS. Met deze technologie wordt er door een versleutelingsalgoritme een geheime sleutel gegenereerd die uit twee stukken bestaat: een privé-sleutel die je nooit openbaar moet maken en een publieke sleutel die je gewoon kan delen - zonder het risico dat je de privé-sleutel openbaar maakt. Deze techniek ligt ten grondslag aan beveiligde webverbindingen, e-mail, verbindingen tussen terminals, iMessage en vele andere standaarden en diensten.

Iedereen die de publieke sleutel bezit van een persoon kan hiermee een bericht versleutelen dat alleen ontsleuteld kan worden met de bijbehorende privé-sleutel. De partij met de privé-sleutel kan ook iets anders: zij kunnen een bericht 'ondertekenen' met deze privé-sleutel die feitelijk zegt: 'Ik valideer dat dit bericht van mij komt'. Cruciaal is dat iedereen met de publieke sleutel kan bevestigen dat alleen de eigenaar van de privé-sleutel deze ondertekening kan hebben aangebracht.

Een passkey is een paar van openbare en private sleutels dat gekoppeld is aan een set metadata, zoals het website domein waar het voor gecreëerd werd. Met een passkey verlaat de private sleutel nooit het apparaat waarop het werd aangemaakt om een login te valideren, terwijl de website uitsluitend de overeenkomstige openbare sleutel bevat, opgeslagen in de accountgegevens van de gebruiker.

Om een passkey te gebruiken moet je je allereerst aanmelden bij een website of in een app. Dat ken je waarschijnlijk al als je je ooit hebt aangemeld voor tweefactor-verificatie op een website: je logt in met bestaande gebruikersnaam en wachtwoord, activeert 2FA, waarna je een sms-bericht krijgt of een QR-code moet scannen in een app of in je sleutelhanger (in iOS 15, iPadOS 15, en Safari 15 voor macOS), om dan je ontvangst te valideren.

Bij een passkey verloopt het proces anders. Als je inlogt op een website met passkey-verificatie, heb je in de beveiligings- of wachtwoordsectie van je account een optie om te upgraden naar een passkey. De website genereert eerst een registratiebericht dat de besturingssystemen van Apple zullen interpreteren - dit gebeurt in een laag die je nooit te zien krijgt. Als reactie maakt uw apparaat het publieke/privé-sleutelpaar, slaat het veilig en lokaal op, en stuurt de publieke sleutel naar de website. De site kan dan optioneel een challenge uitgeven en uw apparaat kan deze presenteren om de inschrijving te bevestigen.

Bij volgende bezoeken, als je wordt voorgesteld om in te loggen, toont je iPhone of iPad de code in de QuickType-balk en Safari in macOS toont het als een venstermenu. In beide gevallen is dat net als met wachtwoorden en verificatiecodes tegenwoordig. Net als bij die inloghulpmiddelen valideer je het gebruik van je passkey met Touch ID, Face ID of je apparaatwachtwoord, afhankelijk van je instellingen.

Achter de schermen genereert de server van de site een "challenge"-verzoek met de opgeslagen openbare sleutel om in te loggen via een passkey. Je apparaat moet dan een antwoord maken met je opgeslagen privé-sleutel. Omdat je een passkey-aanmelding initieert door je identiteit te valideren, heeft je apparaat toegang tot de privésleutel van je passkey wanneer het challenge-verzoek binnenkomt en kan het op het verzoek antwoorden zonder nog een verificatiestap uit te voeren. De server vergelijkt het antwoord van je apparaat met je opgeslagen openbare sleutel, om er zeker van te zijn dat jij en jij alleen de juiste partij bent om toegang te krijgen. Als alles klopt, logt de website je in.

Een passkey vervangt tweefactor-verificatie, en het is de moeite waard uit te zoeken waarom, want het lijkt contra-intuïtief: hoe kan een enkele code op een apparaat aparte aspecten van bevestiging bieden? De checklist voor meervoudige beveiligingsfactoren wordt meestal geformuleerd als "iets dat je weet, iets dat je hebt, of iets dat je bent". Een passkey omvat ten minste twee van deze factoren:

• Iets dat je weet: Hoewel meestal aan een wachtwoord wordt gedacht, is het "weet"-gedeelte eigenlijk elk vast stukje informatie dat je bezit. Denk maar aan een willekeurig gegenereerd wachtwoord van 20 tekens dat is opgeslagen in je wachtwoordmanager. "Weet" je dat? Ja, in de zin dat het precies zo kan worden opgevraagd als het is ingevoerd.
• Iets dat je hebt: Omdat passkeys vastzitten aan apparaten, bewijs je dat je een apparaat bezit door de passkey te ontgrendelen: geen passkey, geen apparaat.
• Iets dat je bent: Hoewel passkeys geen biometrische verificatie met Face ID of Touch ID vereisen, is het wel een optie. Apple laat je altijd een apparaatwachtwoord gebruiken om Face ID of Touch ID te back-uppen, dus het is geen duidelijk onderscheid met "iets dat je weet" in vergelijking met een speciaal biometrisch apparaat zonder reservemogelijkheid.

Blijf even staan bij de voordelen. Een passkey:

• Is bestand tegen phishing: Net als bij wachtwoorden en verificatiecodes zal je apparaat een passkey alleen weergeven in QuickType of als een venstermenu-optie wanneer je op het specifieke domein van een website bent die is gekoppeld aan de passkey. Een aanvaller kan je niet verleiden om een passkey in te voeren op een valse site, zoals dat wel kan met een wachtwoord.
• Voorkomt hergebruik van een gestolen sleutel op andere accounts: Omdat elke inlogsleutel uniek is voor de bijbehorende website, is de enige inlogcode die kan worden gestolen je publieke sleutel, zelfs als op de site is ingebroken. Met die publieke sleutel kan een dief niet inloggen op een andere site, aangezien hij je private sleutel niet heeft om de login-challenge te beantwoorden.
• Blokkeert schade als gevolg van injectie van kwaadaardige code op een website die je bezoekt: Een kwaadwillende partij kan vaak kwaadaardige JavaScript "injecteren" op een verder goedaardige pagina. Het is zelfs grote websites al overkomen, meestal door slecht doorgelichte kwaadaardige advertenties die automatisch via zelfbedieningsadvertentienetwerken worden geleverd. Een website die ten prooi valt aan een front-end aanval op zijn HTML en scripts zou de aanvaller niet in staat stellen een geldig challenge-verzoek voor de passkey van je apparaat te produceren. De site zou ook te lijden moeten hebben van een back-end compromittering van de servercode om accountinformatie in gevaar te brengen, op welk punt de gegevens van de site waarschijnlijk toch al volledig gecompromitteerd zijn.
• Blokkeert raden, identiteit zoeken, brute kracht: Omdat iedere passkey een supercomplex geheim heeft, heeft een aanvaller geen succes met raden of met brute kracht van jouw toegang tot een site forceren.
• Stopt 2FA-kapen: Omdat passkeys geen tweede factor hebben, zijn ze niet gevoelig voor sms-kapen of -onderschepping, nagemaakte sites en phishing en andere technieken om de tweede factor te verkrijgen.

Apple slaat iedere passkey als een gewoon element in je sleutelhanger. Als je iCloud-sleutelhanger ingeschakeld hebt, worden de passkeys tussen al je apparaten gesynchroniseerd. (iCloud-sleutelhanger vereist dat je tweefactor-verificatie aan hebt staan in je Apple ID; Apple heeft niet gezegd of passkeys hun interne gebruik van 2FA voor gebruikers-accounts zal vervangen.)

Je kunt een passkey met iemand anders delen via AirDrop. Dit betekent dat je in de buurt moet zijn van de ander, hetgeen nog een beveiligingselement vormt. De gegevens worden gedeeld via end-to-end versleuteling, waardoor de privé-sleutel en andere data kunnen worden gedeeld zonder risico te lopen om onderschept te worden. Apple heeft niet veel meer details geboden dan dat delen via AirDrop mogelijk is, dus er kunnen andere voorwaarden en beveiligingslagen zijn.

Omdat passkeys wachtwoorden en tweede factoren vervangen, kan je bezorgd zijn om het kwijtraken van toegang tot je passkeys als je van je Apple ID-account wordt buitengesloten of al je geregistreerde apparaten verliest. Apple heeft diverse processen om opnieuw toegang te krijgen tot je Apple ID-account en al je via iCloud gesynchroniseerde data. Bij een Apple ID-account kan je Apples accountherstel-proces doorlopen of een account-herstelcode gebruiken. Voor data in iCloud data kun je, als je het herstelsysteem voor vrienden en familie gebruikt, de hersteldienst voor iCloud-gegevens gebruiken om toegang te herstellen. Als je weer toegang hebt tot je account, heeft Apple nog een paar extra stappen waarmee je je iCloud-sleutelhanger gegevens kunt terugkrijgen: dit is onder andere het versturen van een sms naar een geregistreerd telefoonnummer en het invoeren van het wachtwoord van een van de apparaten die via iCloud synchroniseren.

Dit alles is een aanzienlijke reductie van mogelijke aanvallen op je accounts op internet. Maar er is meer: Apple bouwt hier niet weer een ommuurde tuin. In tegendeel, passkeys zijn onderdeel van een industrie-brede inspanning, en Apple zegt dat hun implementatie daarmee compatibel zal zijn.

Passkeys zijn een industrie-standaard en geen eigendom van bepaalde bedrijven

Apple heeft hun passkey-ondersteuning gebouwd bovenop de eerder genoemde WebAuthn-standaard, waarin de server-kant beschreven is waarop inloggen op het web moet worden geïmplementeerd met publieke sleutel-cryptografie. FIDO heeft standaarden gecreëerd voor de gebruikerskant van de zaak en noemt de combinatie van hun protocol en WebAuthn FIDO2. Apple heeft zijn eigen aanpak voor de gebruikerskant, die compatibel is met standaard WebAuthn-servers en inwisselbaar zou moeten zijn met de uitrol van passkeys door andere bedrijven. Google, Microsoft en Apple hebben in mei 2022 ook nog een gezamenlijke aankondiging gedaan waarin ze zich aan deze aanpak zeggen te binden.

In Apples passkey introductie-video voor ontwikkelaars benadrukt programmeur Garrett Davidson Apples toewijding aan compatibiliteit. Hij stelt:

We hebben samengewerkt met verkopers van andere platformen binnen de FIDO Alliance om zeker te zijn dat passkey-implementaties tussen platformen compatibel zijn en op zo veel mogelijk apparaten werken.

Vervolgens demonstreerde hij het gebruik van een passkey op een Apple-apparaat om in te loggen op een website op een PC en toonde hoe een QR-code kon worden gebruikt om met een passkey in te loggen op en van je accounts via en apparaat of en browser die geen onderdeel is van je bestaande apparaten-ecosysteem.

Je kunt als volgt inloggen op een account dat passkeys gebruikt op andermans PC, door jouw iPhone met jouw passkey als verificatie te gebruiken. Tijdens het inloggen kan je ervoor kiezen om een apparaat toe te voegen in plaats van een passkey of een andere verificatie in de browser in te voeren. De website-server genereert een QR-code die een paar wachtwoorden voor eenmalig gebruik bevat — die worden gegenereerd voor alleen die login en gebruikt voor de volgende stap voor extra bevestiging. (Merk op dat het apparaat met de browser eender welk besturingssysteem kan gebruiken dat passkeys ondersteunt. Apple of andere bedrijven kunnen wel beperkingen opleggen aan het apparaat dat de verificatie uitvoert, zoals je bijvoorbeeld alleen een iPhone kunt gebruiken om Apple Pay in Safari op een Mac te bevestigen en geen Mac met Touch ID om Apple Pay te bevestigen op een iPhone.)

De PC in ons voorbeeld begint ook een Bluetooth-bericht uit te zenden met informatie die nodig is om direct te verbinden met en te verifiëren op de server. Scan die QR-code met je iPhone en de iPhone gebruikt en end-to-end versleuteld protocol om een tunnel te genereren met de webbrowser op de PC met behulp van de sleutels in de QR-code. (Deze versleutelde verbinding is overigens geen Bluetooth-protocol, maar data die over Bluetooth getunneld worden; Bluetooth zelf heeft hier niet de versleutelingskracht voor.)

Deze Bluetooth-verbinding biedt extra beveiliging en verificatie door zogenaamde out-of-band-elementen te beiden van details die de PC niet biedt aan het apparaat dat de verificatie doet, in dit geval jouw iPhone. Omdat webpagina's kunnen worden nagemaakt voor phishing-aanvallen, biedt de Bluetooth-verbinding een apparaat-naar-apparaat-kanaal voor de sleuteldetails:

• Server-adressen: De QR-code vertelt de iPhone niet met welke server (of lijst aan servers) het kan verbinden voor de daadwerkelijke passkey-verbinding. Hierdoor wordt voorkomen dat de browser boosaardige informatie levert.
• Key-validatie: Het succesvol aanmaken van een end-to-end versleutelde twee-wegsessie via Bluetooth met behulp van sleutels in de QR-code zorgt ervoor dat de iPhone en de PC kunnen controleren of de QR-code die de browser leverde en degene die de iPhone scande identiek zijn. (Apple heeft over dit stadium nog geen volledige uitleg gegeven. Het besturingssysteem genereert klaarblijkelijk de QR-code gebaseerd op het verzoek van de browser en de browser kan de Bluetooth-verbinding niet zien. Dus een front-end aanval die een boosaardige QR-code toont, werkt niet omdat de PC en de iPhone communiceren buiten de browser om.)
• Nabijheid: Verbinden via Bluetooth op korte afstand bevestigt de nabijheid van de PC en de iPhone.

Deze brede apparaat- en platform-compatibiliteit zorgt ervoor dat je hetzelfde niveau van passkey-beveiliging en -eenvoud behoudt zonder de moeten afzakken naar een zwakkere login-methode als je wilt inloggen op je account via apparaten van een ander. Overal waar een manier is om een zwakkere login-methode af te dwingen, zullen kwaadwillenden dit misbruiken via phishing, social engineering of andere onderschepping-technieken. (Het bieden van een tweede factor via en sms-tekstbericht in plaats van een verificatie-code is een schoolvoorbeeld van een zwakkere reserve-aanpak die uitgebreid misbruikt wordt.) Totdat passkeys exclusief kunnen worden gebruikt, zullen logins met wachtwoorden dus moeten blijven bestaan en deze zullen kwetsbaar blijven.

Er kunnen wat haperingen optreden in de bruikbaarheid van de passkeys tijdens hun verschijnen, maar die zullen niet wijdverbreid zijn. Het is bijvoorbeeld mogelijk dat sommige WebAuthn-servercomponenten moeten worden bijgewerkt of dat Apple meer uitzonderingsgevallen moet toevoegen aan zijn framework om rekening te houden met de manier waarop dingen in het wild werken.

Maar stel je je eens een wereld voor waarin je veilig kan inloggen op websites met elke actuele browser op elk apparaat met elk modern besturingssysteem, zonder wachtwoorden te hoeven maken, onthouden, typen en beveiligen. Alleen al aan dat idee denken is ontspannend.

De belangrijkste vraag die nog onbeantwoord is, is hoe overdraagbaar passkeys zullen zijn tussen ecosystemen: kan ik iOS en Android en Windows gebruiken en een passkey die op één gegenereerd is, delen tussen alle drie? Aangezien Apple een AirDrop-methode voor het delen van sleutels heeft ontwikkeld, hoop ik dat de brede compatibiliteit van FIDO ook het delen van sleutels tussen besturingssystemen omvat.

Terug naar veiligheid door nabijheid

Wachtwoorden vormen een ongemakkelijk veiligheidscompromis sinds zij tientallen jaren geleden werden ingevoerd toen computersystemen voor meerdere gebruikers bescherming begonnen te vereisen. Wachtwoorden zijn duidelijk onvolmaakt, een overblijfsel uit een tijdperk waarin fysieke nabijheid het eerste niveau van bescherming bood, iets dat door het internet overbodig is geworden.

In een poging om een aantal zwakke punten van een wachtwoordsysteem te verhelpen, werd tweefactor-verificatie toegevoegd om te vereisen dat je iets anders had dan een wachtwoord, iets dat vereiste dat je een voorwerp vasthield of in de buurt ervan was om je recht om in te loggen op een computer, dienst of website te valideren. Maar omdat 2FA begint met een wachtwoord voor een account en gebruik maakt van een tweede methode die vatbaar is voor compromittering of phishing, blijft het een pleister op een beschadigde muur.

De passkey is een moderne vervanging voor wachtwoorden die de beveiligingsmuur die standaard accountlogins beschermt, opnieuw bouwt. Nabijheid (in de vorm van het apparaat dat je passkeys opslaat) is een krachtig middel om account-kaping en -onderschepping tegen te gaan. Passkeys lijken misschien eng en revolutionair, maar ze zijn eigenlijk veiliger en, in sommige opzichten, een beetje ouderwets: ze zijn een beetje een stap terug naar een tijd waarin toegang hebben tot een terminal bewijs was dat je gemachtigd was om hem te gebruiken.