Wat doe je als je apparaat weg is?

Bij traditionele systemen is het antwoord simpel: vraag een nieuw wachtwoord aan via je e-mail. Maar PrismPass heeft geen wachtwoorden en geen centrale opslag. Er is niemand die je sleutel bewaard heeft. Dat is precies waarom het systeem privacyvriendelijk is. En precies waarom herstel een eigen aanpak nodig heeft.

De uitdaging: herstel mogelijk maken zonder een achterdeur te creëren. Iemand anders die jou kan helpen inloggen, kan in principe ook inloggen zonder jouw toestemming. Dat risico moet architectureel worden weggenomen, niet alleen beleid-technisch.

De oplossing is een fysiek herstelkaartje: het PrismPinpass. Een NFC-kaartje met een pincode, vergelijkbaar met een bankpas. Het kaartje is gekoppeld aan jouw account bij aanmaak. De pin ken alleen jij.

Als je je telefoon kwijt bent, tik je het kaartje tegen een nieuw apparaat en voer je de pin in. Het nieuwe apparaat wordt geregistreerd als vervanger. Het oude apparaat wordt op hetzelfde moment uitgeschreven.

Het kaartje zelf bevat geen persoonsdata. Het bevat een cryptografisch token dat alleen geldig is in combinatie met de bijbehorende pin. Wie het kaartje heeft maar de pin niet, kan er niets mee. Wie de pin weet maar het kaartje niet heeft, ook niet.

De authenticatiedriehoek van PrismPass bestaat uit drie factoren die allemaal van de gebruiker zijn: het apparaat, de biometrie en de NFC-tag. Het PrismPinpass neemt de rol van de derde factor over als de normale NFC-tag niet beschikbaar is.

Het kaartje is dus geen apart systeem. Het is een fallback binnen dezelfde driehoek. De architectuur verandert niet. De gebruiker blijft de enige eigenaar van alle drie de factoren.

Dat is het fundamentele verschil met een wachtwoordherstelmail: bij die aanpak geeft een derde partij, de e-mailprovider, tijdelijk toegang tot jouw account. Bij PrismRestore geeft niemand anders toegang. Jij geeft jezelf toegang, via iets wat alleen jij hebt.

Beide pinnen worden ingesteld bij registratie. Beide zitten op hetzelfde fysieke kaartje. Beide werken zonder dat de server weet wie ze activeert. De logica is identiek. De richting is tegengesteld.