Wereld zonder wachtwoorden komt waarschijnlijk sneller dan je denkt

In werkelijkheid is het echter onmogelijk om voor elk account een nieuw sterk wachtwoord te verzinnen en die ook nog te onthouden. Het resultaat is dat we ons vaak beperken tot zwakke wachtwoorden die makkelijk te onthouden zijn en daardoor ook makkelijk te hacken.  Bij Microsoft willen ze een einde maken aan deze kwetsbaarheid, zeker vanwege de enorme toename van het werken in de cloud en de daarvoor benodigde wachtwoorden. Vanaf deze zomer richten zij zich op Password Less Authentication en Microsoft heeft daarbij een duidelijk doel voor ogen: over een aantal jaar zijn wachtwoorden een  relikwie uit het verre verleden. 

Wat is Password Less Authentication?

Password Less is het identificeren van een gebruiker zonder een wachtwoord te gebruiken. Meestal maak je daarbij gebruik van biologisch gerelateerde manieren van inloggen, zoals een vingerafdruk of een gezichtsscan. Om het nog veiliger te maken kun je multifactor authentication inzetten, waarbij je deze methode combineert met een pincode of een inlogcode die je via de telefoon krijgt toegestuurd. 

Alternatief voor wachtwoorden 

Microsoft werkt al meer dan tien jaar aan het vinden van een goed alternatief voor wachtwoorden. Zo werkten ze onder meer met smartcards, die echter alleen goed werkten in een besloten omgeving. Inmiddels maakt de technologie echter grote sprongen. Vingerafdrukscans zitten nu op vrijwel alle nieuwere smartphones en computers en de kwaliteit daarvan wordt steeds beter. Ook 3D-webcams, waarmee je  biometrische scans kunt maken, zijn steeds toegankelijker en gebruikelijker. Een andere sturende kracht achter het project is het toenemende aantal bedrijven dat tegenwoordig in de cloud werkt en hierbij is het beveiligen van de identiteit van de gebruiker buitengewoon belangrijk.

Wachtwoordprobleem

Wachtwoorden zijn daarvoor zeker niet ideaal. Om jezelf te identificeren zal een wachtwoord namelijk altijd ergens opgeslagen moeten zijn. Dat gebeurt vrijwel standaard op de server van de dienst waar je een account bij hebt. Uiteraard zijn al deze wachtwoorden in mindere of meerdere mate versleuteld en beveiligd, maar dat is nog geen garantie. Wie het nieuws een beetje volgt, ziet regelmatig berichten over datalekken en op straat liggende wachtwoorden voorbijkomen. Begin juni werden bij stamboomsite My Heritage maar liefst 92 miljoen wachtwoorden gestolen. Criminelen verhandelen deze buitgemaakte vertrouwelijke gegevens via illegale marktplaatsen. 

Veilig tegen hackers

We gebruiken vaak dezelfde wachtwoorden en hackers maken gretig misbruik van dat gegeven. Weet een hacker een bepaald wachtwoord te bemachtigen, dan is de kans groot dat hij daarmee toegang verkrijgt tot meerdere accounts van dezelfde gebruiker. Bij een vingerafdruk of een biometrische scan werkt het principe uiteraard hetzelfde, alleen kan een hacker vrij weinig met de data daarvan, in tegenstelling tot een wachtwoord. Vingerafdrukken zijn bij iedereen verschillend en de techniek rondom biometrische scans is inmiddels zover dat het onderscheid maken tussen eeneiige tweelingen zelfs mogelijk is. 

Betere identiteitsbeveiliging  

Het toenemende werken in de cloud zorgt ervoor dat de beveiligingsprioriteit verschuift. Van het bekende `On Perimeter`, dus het letterlijke beveiligen van je computer, naar Idenitity. Vooral voor ondernemingen kunnen de gevolgen groot zijn als persoonsgegevens van klanten worden gestolen via een gekraakt account van een medewerker. Het zorgt voor een ernstige reputatieschade van het bedrijf. Op dit moment staat de cloud nog bekend als erg veilig. Microsoft is er alles aan gelegen om dat zo te houden. Het probleem is daarbij dat Microsoft geen enkele controle heeft over de wijze waarop hun klanten met het wachtwoord omgaan. De beste oplossing daarvoor is het simpelweg uitbannen van het wachtwoord en het vervangen door veel veiligere opties. 

Asymmetrische beveiliging

Naast dit alles wordt er inmiddels ook druk gewerkt aan een veiliger systeem. Daarbij wordt gebruik gemaakt van een zogenaamde asymmetrische aanpak. Hierbij wordt gebruik gemaakt van een TPM beveiligingschip op je computer. Op het moment dat je inlogt met bijvoorbeeld een vingerafdruk wordt deze herkend door de chip. Die geeft op zijn beurt weer een signaal naar de cloud dat het veilig is, zonder dat de andere partij hoeft te beschikken over het wachtwoord of de vingerafdruk. Hiermee kun je niet alleen inloggen op je computer, maar ook direct in de cloud. Wil je het nog veiliger maken, dan kun je dit aanvullen met multifactor authentication, bijvoorbeeld voor zakelijke of gevoelige gegevens

Inloggen zonder wachtwoord

Voor zakelijk gebruik wil Microsoft snel veranderingen doorvoeren. Zo werken ze aan een update voor Windows Hello for Business met alle bovengenoemde opties plus nog een aantal andere aanvullingen. Uiteraard ben je helemaal vrij om dit wel of niet te gebruiken, maar de vraag is wel hoe lang dit zo blijft. Volgens Microsoft is het succesvol invoeren Password Less afhankelijk van een aantal factoren. Zo is het belangrijk dat gebruikers, zowel zakelijk als privé, steeds meer gewend raken aan inloggen zonder wachtwoord. Daarnaast is het noodzakelijk dat de gehele industrie aan deze verandering wil meewerken. De technologie is er inmiddels klaar voor. Alleen Microsoft is niet genoeg, dus laat de rest nu volgen!  

Inloggen met Fido2

De grootste belemmering voor het invoeren van Password Less zijn apparaten die niet zijn voorzien van een vingerafdrukscanner of een 3D-webcam voor biometrische scans. Om toch zonder een wachtwoord in te loggen, kun je onder meer gebruik maken van Fido2, een initiatief van onder meer Lenovo en PayPal en een groot aantal techbedrijven, zoals Google en Microsoft. Fido2 is simpel gezegd een USB-stick met een vingerafdrukscanner. Het idee is makkelijk. Je stopt de stick in je telefoon, computer of tablet en je logt in met je vingerafdruk. Bij de nieuwe update van Windows Hello for Business is de integratie nu zover doorgevoerd dat je met Fido2 zowel kunt inloggen op je computer als op Azure.