Passkeys + device intelligence: gelaagde verdediging tegen account takeover

Passkeys zijn de belangrijkste verbetering van consumentenauthenticatie in tien jaar, en de manier waarop de industrie erover praat is subtiel misleidend. De boodschap is dat passkeys account takeover "oplossen". Dat doen ze niet — ze elimineren één klasse ervan, de grootste en meest automatiseerbare klasse, en daarmee duwen ze aanvallers richting de delen van de accountlevenscyclus die passkeys structureel niet kunnen beschermen.

Dit stuk is voor security-architecten en product-securityteams die passkeys uitrollen en een heldere kaart willen van wat passkeys dekken, wat ze blootstellen en waar een device-intelligence-laag past. De stelling: passkeys en device intelligence zijn complementair. Passkeys verstevigen de authenticatie; device intelligence beveiligt alles eromheen.

Wat passkeys werkelijk oplossen

Passkeys lossen credential-diefstal op door het gedeelde geheim volledig weg te nemen. Er is geen wachtwoord om te phishen, geen wachtwoord om over sites heen te hergebruiken, geen wachtwoord dat in een datalek ligt te wachten om te worden gestuft. Dat sluit in één beweging het grootste aanvalsoppervlak voor account takeover.

Mechanisch is een passkey een publiek-privé sleutelpaar dat per site wordt aangemaakt met de WebAuthn- en FIDO2-standaarden. De privésleutel verlaat nooit het apparaat van de gebruiker (of hun gesynchroniseerde credential provider); de site slaat alleen de publieke sleutel op. Authenticatie is een cryptografische challenge-response: de site stuurt een challenge, het apparaat ondertekent die met de privésleutel, de site verifieert met de publieke sleutel. Er gaat niets herbruikbaars over de lijn.

Twee eigenschappen volgen daaruit, en het zijn precies die die er voor ATO toe doen:

Phishing-bestendigheid. De passkey is cryptografisch gebonden aan de origin van de site. Een gebruiker die op een look-alike phishingdomein terechtkomt, kan zijn passkey daar niet presenteren — de browser biedt hem niet aan, omdat de origin niet overeenkomt. Dit verslaat de hele categorie van realtime phishing-proxy's (Evilginx-achtige aanvallen) die eenmalige-code-MFA nutteloos maakt. De credential kan simpelweg niet worden doorgesluisd naar de verkeerde bestemming.

Geen gedeeld geheim om in bulk te stelen. Er is geen database met gehashte wachtwoorden om te exfiltreren, geen credential-lijst om te kopen, geen materiaal voor credential stuffing. De economie van geautomatiseerde wachtwoordaanvallen hangt ervan af dat gestolen credentials goedkoop en herbruikbaar zijn; passkeys maken ze onbestaand.

Voor de flows die een passkey daadwerkelijk beheert — een gebruiker die inlogt op een apparaat dat zijn passkey al bevat — is dit vrijwel waterdicht. Als je hele gebruikersbestand uitsluitend zou authenticeren met passkeys op apparaten die ze al bezitten, zou het klassieke ATO-draaiboek dood zijn.

Dat is niet de wereld waarin enige echte dienst opereert.

Het aanvalsoppervlak dat passkeys niet dekken

Passkeys beveiligen de authenticatiegebeurtenis. Account takeover beperkt zich niet tot de authenticatiegebeurtenis — het richt zich op de hele accountlevenscyclus, en het merendeel van die levenscyclus valt buiten wat een passkey beheert. Vier gaten doen ertoe.

Accountherstel. Dit is de grote. Elke dienst heeft een manier nodig waarop een gebruiker die zijn apparaat kwijt is weer binnenkomt. Dat herstelpad — e-maillink, sms-code, beveiligingsvragen, back-upcodes, helpdeskverificatie — is per definitie een manier om te authenticeren zonder de passkey. Een aanvaller die de passkey niet kan verslaan, valt in plaats daarvan de herstelflow aan, en herstelflows zijn doorgaans veel zwakker dan de primaire authenticatie die ze omzeilen. Een passkey-uitrol met een "reset via sms-code"-terugval heeft een phishbare, SIM-swapbare achterdeur, hoe sterk de voordeur ook is.

Device enrollment. Een nieuwe passkey aan een account toevoegen is een accountwijzigende actie, en als een aanvaller de passkey van zijn eigen apparaat kan aanmaken, heeft hij nu permanente legitieme toegang. Enrollment wordt meestal afgeschermd door een bestaande geauthenticeerde sessie — wat betekent dat het de zwaktes erft van wat die sessie ook maar heeft opgezet, inclusief de herstelflow hierboven. Een-nieuwe-passkey-aanmaken is het moderne equivalent van "een doorstuurregel toevoegen": stil, hardnekkig en makkelijk te missen.

Session hijacking. Passkeys authenticeren; ze herauthenticeren niet doorlopend. Zodra een gebruiker is ingelogd, is de resulterende sessietoken net als elke andere een bearer-credential. Steel hem — via malware, een kwaadaardige extensie, een gecompromitteerd apparaat of een token-exfiltratieaanval — en je hebt de geauthenticeerde sessie zonder ooit de passkey aan te raken. De sterkte van de login zegt niets over de veiligheid van het uur dat erop volgt.

De niet-aangemelde lange staart. Passkey-adoptie is reëel maar gedeeltelijk. Een betekenisvol deel van elk consumentenbestand zal geen passkey hebben: oudere apparaten, gedeelde of zakelijke machines, gebruikers die de prompt hebben weggeklikt, gebruikers die het niet begrijpen. Elk van die accounts heeft nog steeds een op-wachtwoord- of op-code-gebaseerd pad, en aanvallers concentreren zich precies op dat pad. Een dienst is slechts zo goed beschermd als zijn zwakste beschikbare authenticatiemethode, en voor de niet-aangemelde staart is die methode de oude.

Het patroon over alle vier: sterke authenticatie neemt de prikkel om accounts over te nemen niet weg, het verplaatst de aanval. Dit is de consistente les van het ATO-landschap van 2026 — naarmate elke vector verstevigt, stromen aanvallers naar de eerstvolgende zwakste. Passkeys verplaatsen de strijd van het loginformulier naar de herstelflow, de enrollment-stap en de sessie na de login.

Waarom device intelligence de gaten dekt

Device intelligence dekt de passkey-gaten omdat het op een andere as opereert: passkeys vragen "bezit deze gebruiker de juiste sleutel," device intelligence vraagt "is dit het apparaat en de context die we voor dit account verwachten, bij elke actie." De tweede vraag is beantwoordbaar, zelfs wanneer er geen passkey in het spel is — wat precies de situatie is bij herstel, enrollment en de niet-aangemelde staart.

Het mechanisme is een persistente device-identiteit: een stabiele identifier opgebouwd uit browser-, hardware-, netwerk- en gedragssignalen die een terugkerend apparaat over sessies heen herkent zonder te leunen op een opgeslagen credential. (Hoe die identifier wordt geconstrueerd en waarom hij gewiste cookies overleeft, wordt behandeld in hoe device fingerprinting werkt.) Met die identiteit gekoppeld aan de historie van een account krijgt elk van de vier gaten een controle die passkeys niet kunnen bieden.

Herstel gekoppeld aan bekende apparaten. Wanneer een herstelpoging binnenkomt, beantwoordt device intelligence een vraag die de herstelflow anders niet kan: wordt dit herstel geïnitieerd vanaf een apparaat dat dit account ooit heeft gebruikt? Herstel vanaf een gloednieuw apparaat in een nieuw land op een datacenter-IP is categorisch riskanter dan herstel vanaf de gebruikelijke laptop van de gebruiker. Dat signaal laat je de herstelflow gelaagd maken — lichte verificatie vanaf een bekend apparaat, zware verificatie (of een blokkade) vanaf een onbekend apparaat — in plaats van dezelfde zwakke sms-check op iedereen toe te passen.

Enrollment afgeschermd door device trust. Een verzoek om een nieuwe passkey aan te maken kan worden gescoord tegen de device-historie. Een passkey aanmaken vanaf het gevestigde apparaat van de gebruiker is verwacht. Er een aanmaken vanaf een apparaat dat minuten geleden opdook, direct na een herstelgebeurtenis, vanaf een verdacht netwerk, is de signatuur van een account dat wordt gekaapt. Device intelligence maakt dat enrollment-verzoek leesbaar in plaats van onzichtbaar.

Continue sessiescoring na de login. Omdat de device-identiteit bij elk verzoek wordt geëvalueerd, niet alleen bij login, is een sessie die op het ene apparaat begint en op een ander doorloopt — de vingerafdruk van een gestolen token die elders wordt afgespeeld — detecteerbaar. De midden-in-de-sessie verschuivende apparaat- of netwerkcontext weg van het geauthenticeerde apparaat is een hijack-signaal dat geen enkele mate van voordeur-authenticatiesterkte kan opvangen. Dit is het principe van zero-trust device-verificatie: vertrouwen wordt continu geëvalueerd, niet eenmalig verleend bij de deur.

Dekking voor de niet-aangemelden. Voor de gebruikers die nooit een passkey hebben aangenomen, is device intelligence de laag die het werk doet — hun bekende apparaat herkennen en legitieme logins met weinig frictie doorlaten, terwijl de credential-stuffing- en onbekend-apparaat-pogingen die precies deze populatie viseren worden gemarkeerd. De gebruikers die het meest blootstaan door gedeeltelijke passkey-adoptie zijn juist degenen die device intelligence het meest direct beschermt.

De rode draad: passkeys bewijzen sleutelbezit op één moment; device intelligence stelt apparaat- en gedragscontext vast over elk moment. De gaten in het eerste zijn precies het domein van het tweede.

Hoe de twee lagen in de praktijk samenkomen

In een gelaagde uitrol draaien passkeys en device intelligence parallel, elk gezaghebbend voor de beslissingen waarvoor het geschikt is, en voeden ze één risicobeeld.

Bij login is een passkey, waar aanwezig, de sterke primaire factor — phishing-bestendig, geen gedeeld geheim. Device intelligence draait ernaast en bevestigt stilletjes dat het apparaat bekend is en de context normaal. Voor een passkey-login vanaf een herkend apparaat is dit onzichtbaar: de gebruiker logt in, er wordt niets gevraagd. Het device-signaal wordt alleen geraadpleegd wanneer het niet strookt met de verwachting.

Bij herstel en enrollment, waar geen passkey wordt gepresenteerd (dat is het hele punt van deze flows), wordt device intelligence de primaire risico-input. Het oordeel van de smart signals — bekend apparaat, netwerkreputatie, gedragsconsistentie — bepaalt of de flow licht doorgaat, escaleert naar sterkere verificatie of vasthoudt voor beoordeling. Dit is waar de echte achterdeur van de passkey-uitrol een slot krijgt.

Na de login biedt device intelligence continue evaluatie. De taak van de passkey eindigde bij de authenticatie; de device-laag bewaakt de sessie op de contextverschuivingen die op tokendiefstal wijzen, en kan herauthenticatie afdwingen wanneer het device-signaal midden in de sessie breekt.

Voor de niet-aangemelden draagt device intelligence ook bij login de primaire last, door het terugkerende bekende apparaat te onderscheiden van de credential-stuffing-poging, totdat (en indien) de gebruiker een passkey aanneemt.

De taakverdeling is helder omdat de twee mechanismen werkelijk verschillende vragen beantwoorden en op werkelijk verschillende manieren falen. Een passkey kan je niet vertellen of het apparaat dat een wachtwoordreset aanvraagt betrouwbaar is; device intelligence kan geen phishing-bestendig cryptografisch bewijs van sleutelbezit leveren. Het een zonder het ander inzetten laat een voorspelbaar gat achter — passkeys alleen laten de herstel- en sessieflows zacht; device intelligence alleen mist de cryptografische authenticatiesterkte aan de voordeur.

De eerlijke framing voor een passkey-uitrol

Als je passkeys uitrolt, is de accurate interne boodschap niet "we hebben account takeover opgelost." Het is "we hebben credential-diefstal als aanvalsvector geëlimineerd, en we moeten nu de flows verstevigen waar aanvallers naartoe zullen gaan." Die flows — herstel, enrollment, sessie en de niet-aangemelde staart — zijn waar de volgende ronde ATO-pogingen zich zal concentreren, juist omdat de voordeur sterk werd. Een passkey-uitrol die niet tegelijk het herstel verstevigt, verplaatst het slot van de deur naar het raam terwijl het raam openblijft.

Die versteviging is wat een device-intelligence-laag biedt, en het is waarom de sterkste ATO-houdingen de twee koppelen. Passkeys maken de authenticatiegebeurtenis vrijwel onverslaanbaar. Device intelligence maakt de rest van de accountlevenscyclus — de delen waar een aanvaller zich naartoe wendt omdat de authenticatiegebeurtenis onverslaanbaar werd — observeerbaar en scoorbaar.

Tracio levert de device-intelligence-helft van die koppeling: een persistente device-identiteit die gewiste cookies en verse sessies overleeft, netwerk- en gedragsrisicosignalen, en een oordeel dat in minder dan 50 ms wordt teruggegeven en aansluit op herstel, enrollment en continue sessiechecks. Het draait stil achter passkey-logins vanaf bekende apparaten en stapt naar voren precies daar waar passkeys niet kunnen reiken.

Wil je zien hoe device intelligence de flows dekt die je passkey-uitrol openlaat?

Start je gratis proefperiode — 2.500 verificaties gratis, geen creditcard nodig. Boek een demo om device intelligence af te zetten tegen je authenticatie-, herstel- en sessiearchitectuur.