Microsoft maakt passkeys de standaard inlogmethode voor Entra ID, voorheen nog bekend als Azure Active Directory. De maatregel wordt vanaf 1 september bij organisaties uitgerold. Microsoft Entra ID is een in de cloud draaiende directory and identity management service van Microsoft. Organisaties gebruiken het om hun gebruikers toegang tot Microsoft services te geven.

Gebruikers van organisaties die voor multifactorauthenticatie sms of spraakoproepen gebruiken krijgen straks bij het inloggen de melding om een passkey te registreren. Op 1 februari 2027 zal Microsoft stoppen met sms-codes en spraakoproepen als standaard optie binnen Entra ID. Organisaties die van sms of spraakoproepen gebruik willen blijven maken kunnen op eigen kosten voor een telecompartner kiezen, aldus Microsoft. Dit zal vanaf 30 oktober via de Microsoft Security Store mogelijk zijn.

Passkeys zouden wachtwoorden moeten vervangen en zijn gebaseerd op de Web Authentication (WebAuthn) standaard. Ze maken gebruik van public key cryptography. Gebruikers moeten eerst op hun computer of smartphone een passkey voor een account of website genereren. De bijbehorende private key blijft op het toestel van de gebruiker, terwijl de bijbehorende public key door de website of app wordt opgeslagen.

Het toestel van de gebruiker genereert vervolgens een signature gebaseerd op de private key die bij het inloggen wordt verstuurd. Tijdens het inloggen gebruikt de website of app waarop wordt ingelogd de public key om de signature van de private key te verifiëren. Er is ook de nodige kritiek op passkeys. Zo waarschuwde Proton dat de manier waarop Apple en Google passkeys hebben geïmplementeerd een valstrik is en alleen bedoeld om mensen in de ecosystemen van de techbedrijven vast te houden. Het risico van vendor lock-in is vaker genoemd. Ook zijn er privacyzorgen.