Passkeys zijn door allerlei problemen nog niet geschikt om wachtwoorden overal te vervangen, zo stelt het Britse National Cyber Security Centre (NCSC). De Britse overheidsinstantie zegt met de industrie te zullen samenwerken om deze problemen te verhelpen en ervoor te zorgen dat het gebruik van passkeys verder toeneemt. "Het NCSC denkt dat ze de toekomst van moderne authenticatie zijn", aldus de overheidsinstantie in een blogposting.

Passkeys zouden wachtwoorden moeten vervangen en zijn gebaseerd op de Web Authentication (WebAuthn) standaard. Ze maken gebruik van public key cryptography. Gebruikers moeten eerst op hun computer of smartphone een passkey voor een account of website genereren. De bijbehorende private key blijft op het toestel van de gebruiker, terwijl de bijbehorende public key door de website of app wordt opgeslagen.

Het toestel van de gebruiker genereert vervolgens een signature gebaseerd op de private key die bij het inloggen wordt verstuurd. Tijdens het inloggen gebruikt de website of app waarop wordt ingelogd de public key om de signature van de private key te verifiëren. Passkeys zijn niet te raden, niet te phishen en uniek voor elke website, legt het Britse NCSC uit.

Allerlei problemen zorgen er echter voor dat het Britse NCSC passkeys nog niet voor grootschalig gebruik kan aanraden. Zo verschilt de ondersteuning en gebruikservaring per platform en programma. Er wordt wel gewerkt aan standaardisering, maar het Britse NCSC merkt op dat het nog wel even kan duren voordat deze standaarden overal worden toegepast. Een ander probleem is wanneer gebruikers hun toestel of apparaat verliezen. Ook het migreren van passkeys naar een andere fabrikant of platform zorgt voor problemen.

De Britse overheidsdienst noemt verder nog onzekerheden met het synchroniseren en delen van passkeys, onzekerheden over welke passkeys als tweede factor zijn te gebruiken, het inconsistente gebruik, waarbij sommige websites gebruikers meteen laten inloggen en andere een tweede factor eisen en uitdagingen voor diensten die verschillende domeinen voor het inloggen gebruiken. Het Britse NCSC sluit de blogposting af door nogmaals te zeggen dat passkeys de toekomst zijn, maar dat dit een grotere inzet van en meer samenwerking tussen alle betrokken partijen vereist. Eind vorig jaar kwam de Duitse overheid nog met een advies aan burgers om passkeys te gebruiken.