Pass-the-Passkey: nieuwe aanvallen richten zich op de opvolger van het wachtwoord

Onze gids „Een wachtwoord alleen is niet genoeg“ werd goed ontvangen door de gemeenschap en was bewust geschreven voor beginners. Uit de feedback kwamen precies de fijne nuances naar voren die wij destijds hadden weggelaten. Nu biedt het onderzoek de juiste gelegenheid: op Black Hat USA (1 tot en met 6 augustus, Las Vegas) presenteert beveiligingsonderzoeker Michael Grafnetter een reeks aanvallen die hij „Pass-the-Passkey“ noemt. Tijd voor een vervolg: wat onderscheidt passkeys nu echt, waar liggen hun grenzen en wat kunt u beter doen?

Cloud-passkey of hardwaresleutel, dat is het verschil

Passkeys zijn er in twee varianten. De handige variant bevindt zich in een wachtwoordbeheerder of rechtstreeks bij Apple, Google of Microsoft en wordt via de cloud met al uw apparaten gesynchroniseerd. Dat is handig, maar het opent een extra aanvalsvlak. Wie toegang krijgt tot uw cloudaccount, krijgt mogelijk ook toegang tot de gesynchroniseerde passkeys. De tweede variant is de hardwaresleutel, een kleine USB- of NFC-stick. De privésleutel verlaat de chip nooit en kan niet worden geëxporteerd, zoals de FIDO Alliance het omschrijft. Voor de meeste mensen volstaat de cloud-toegangssleutel, omdat deze bestand is tegen phishing en duidelijk beter is dan een wachtwoord. Als u accounts heeft die speciale bescherming vereisen, bent u veiliger met een hardwaresleutel.

Wat het onderzoek naar „Pass-the-Passkey“ aantoont

Michael Grafnetter, een beveiligingsonderzoeker bij SpecterOps, heeft de implementatie van passkeys in de praktijk grondig onder de loep genomen en zijn bevindingen bekendgemaakt op zijn blog DSInternals. Wat hij ontdekte: wanneer de omgeving slordig is, kunnen oude aanvalspatronen opnieuw worden ingezet, ook al is de passkey-cryptografie zelf solide. Hij noemt dit ‘Pass-the-Passkey’, naar het voorbeeld van ‘Pass-the-Hash’. Een aanvaller steelt inloggegevens en hergebruikt deze zonder ooit het wachtwoord te kennen. Concreet ontdekte hij drie kwetsbaarheden in Windows 11 en Microsoft Entra ID die bijna misbruikt konden worden. Windows 11 schreef de handtekening van een aanmelding in leesbare tekst naar het gebeurtenislogboek, waar accounts zonder beheerdersrechten deze konden lezen, in sommige gevallen zelfs op afstand. De privésleutel zelf bleef beveiligd in de authenticator. Bovendien voorkwam Entra ID niet op de juiste wijze dat deze authenticaties werden hergebruikt. Samen zou dat voldoende zijn geweest om bevoegde cloudaccounts over te nemen en zelfs phishingbestendige meervoudige authenticatie te omzeilen. De belangrijkste kwetsbaarheid is geregistreerd als CVE-2026-34348 en werd op 14 juli verholpen. Microsoft heeft de kwetsbaarheid aan de cloudzijde stilletjes verholpen. Eén ding is belangrijk om in de juiste context te plaatsen: dit heeft vooral gevolgen voor bedrijfsomgevingen met Entra ID, Windows Hello of FIDO2-sleutels, niet voor uw persoonlijke toegangssleutel op uw telefoon. Grafnetter is zelf van mening dat toegangssleutels een grote stap vooruit zijn, maar geen tovertruc, en dat de aanvalsroutes veel complexer blijven dan bij klassieke wachtwoorden.

Hardware-sleutels zijn niet allemaal hetzelfde

Een hardwaresleutel is niet automatisch de perfecte oplossing. Kijk eerst naar de standaard. FIDO2 met WebAuthn is de moderne, phishingbestendige methode, terwijl oudere methoden met eenmalige codes, zoals TOTP, dat niet bieden. Ten tweede zijn de bekendste merken, zoals YubiKey (hier verkrijgbaar bij Amazon) of de Titan van Google, weliswaar volwassen, maar juist hun grote verspreiding maakt ze tot een populair doelwit, en ook zij hebben zwakke plekken gehad. De EUCLEAK-aanval toonde in 2024 aan dat bepaalde oudere YubiKeys onder laboratoriumomstandigheden kunnen worden gekloond. Als u het aanvalsoppervlak wilt verkleinen, kunt u bewust kiezen voor een minder gangbaar maar gecertificeerd model. En voor alles wat in het apparaat is ingebouwd, bijvoorbeeld een iPhone, geldt de nuchtere aanname: wat vandaag veilig in de chip zit, kan op een dag toch nog worden uitgelezen. Een afzonderlijke sleutel die u bij twijfel kunt verwijderen, blijft de conservatievere keuze.

De meest voorkomende fout: het oude wachtwoord blijft actief

De duurste fout is degene die u niet kunt zien. Veel mensen stellen een toegangscode in, maar laten het oude, zwakke wachtwoord als inloggegevens staan. De achterdeur blijft dan wijd openstaan en de toegangscode levert u weinig op. Zo doet u het op de juiste manier:

1. Stel een passkey of een hardwaresleutel in voor het account.
2. Sla de herstelcodes op, bij voorkeur afgedrukt of in een offline wachtwoordbeheerder.
3. Schakel het oude wachtwoord uit overal waar de dienst dit toestaat.
4. Als dat niet mogelijk is, vervang het wachtwoord dan door een lang, complex wachtwoord en bewaar dit uitsluitend op een veilige plaats.

Is de overstap dan toch de moeite waard?

Ja. Passkeys verplaatsen het doelwit, ze verwijderen het niet, en dat is de eerlijke boodschap van het nieuwe onderzoek. Ze zijn nog steeds duidelijk veiliger dan wachtwoorden, onafhankelijk van datalekken en bestand tegen phishing. Microsoft maakt passkeys vanaf 1 september zelfs de standaardaanmeldingsmethode voor zijn cloudaccounts. Voor de meeste mensen is de gesynchroniseerde passkey de juiste stap. Wie meer bescherming nodig heeft, voegt een hardwaresleutel toe en sluit zo de achterdeur van het wachtwoord af. Grafnetter zal de details van „Pass-the-Passkey“ presenteren op Black Hat, samen met tools die hij als open source vrijgeeft, zodat anderen verdere zwakke plekken kunnen opsporen.

Update van 31 juli 2026

Wij hebben de beschrijving van het Windows-beveiligingslek nauwkeuriger gemaakt. In deze passage stond eerder dat Windows 11 een volledige kopie van de sleutel naar het gebeurtenissenlogboek schreef. Die formulering was afkomstig uit het Dark Reading-rapport waarnaar wij als bron hadden verwezen. Wat daadwerkelijk in het log terechtkwam, was de handtekening van een aanmelding – beperkt in tijd en bereik – en niet de privésleutel. De privésleutel blijft beveiligd in de authenticator.

Microsoft heeft ons op deze onjuistheid gewezen. De correctie komt overeen met de mededeling van Michael Grafnetter op DSInternals, die spreekt over handtekeningen, en met de classificatie van CVE-2026-34348 als een informatielek in de Windows Event Logging Service. Dit alles doet niets af aan de ernst van het beveiligingslek. Herbruikbare handtekeningen en het ontbreken van een replay-controle in Entra ID waren samen voldoende om bevoorrechte cloudaccounts over te nemen.