# Apparaten en ontgrendelen

Je pincode, ontgrendelen met een passkey, een nieuw apparaat toevoegen en een verloren apparaat intrekken.

Je sleutels staan op elk apparaat dat je hebt ingesteld, beschermd door de pincode van dat apparaat. Deze pagina gaat over alles rond die apparaten.

> **Beveiligingsdetails**
> Elk apparaat heeft één share van je master key, verzegeld onder een sleutel die met Argon2id uit de pincode is afgeleid. Ontgrendelen opent de device share, haalt na het inloggen de server share op en bouwt de master key in het geheugen op. De server heeft niets dat uit de pincode is afgeleid. Zie [Herstelzin en shares](https://databeamer.eu/docs/account/recovery-phrase).

## Je pincode

De pincode van 6 cijfers ontgrendelt Databeamer op **één apparaat**. Andere apparaten hebben hun eigen pincode. Wijzigen doe je onder **Instellingen › Beveiliging › Pincode wijzigen**.

- Voer je hem te vaak verkeerd in, dan is het apparaat **voorlopig vergrendeld**; probeer het later opnieuw. Je krijgt ook de beveiligingsmelding **Pincode vergrendeld**.
- **Pincode vergeten?** op het ontgrendelscherm leidt naar **Sleutels van dit apparaat verwijderen**. Daarna voeg je het apparaat opnieuw toe zoals hieronder beschreven.
- **Ontgrendeld blijven bij herladen** vraagt de pincode één keer per browsersessie in plaats van bij elke herlaadbeurt.

## Ontgrendelen met een passkey

Onder **Instellingen › Beveiliging › Passkey** laat **Passkey inschakelen** je ontgrendelen met Touch ID, Face ID, Windows Hello of een beveiligingssleutel in plaats van je pincode te typen. Het wordt per apparaat ingesteld, en je pincode blijft ernaast werken. **Passkey verwijderen** zet het uit.

Sommige passkey-aanbieders kunnen niet worden gebruikt om te ontgrendelen; Databeamer meldt het als de jouwe daarbij hoort.

> **Beveiligingsdetails**
> De passkey beschermt dezelfde device share via de WebAuthn PRF-extensie; daarom zijn aanbieders zonder PRF-ondersteuning niet bruikbaar. Op iOS vervult de Secure Enclave achter Face ID dezelfde rol. De pincode blijft als tweede ingang bestaan.

![Instellingen › Beveiliging met de lijst apparaten](https://databeamer.eu/docs-screenshots/nl/settings-security.png)

## Een nieuw apparaat toevoegen

Log in op het nieuwe apparaat. Het scherm **Je account ontgrendelen** biedt twee manieren om je sleutels erop te krijgen:

- **Goedkeuren vanaf een ander apparaat**. Het nieuwe apparaat toont een code. Ga op een apparaat dat al is ingesteld naar **Instellingen › Beveiliging › Apparaatgoedkeuringen**, kies **Goedkeuren** en voer de code in. Kies **Weigeren** als jij dit niet hebt gestart. Het nieuwe apparaat vraagt je daarna een eigen pincode te kiezen.
- **Gebruik je herstelzin**. Voer de 24 woorden in en kies **Ontgrendelen**. De zin blijft daarna geldig.

> **Beveiligingsdetails**
> Apparaatgoedkeuring is een met een wachtwoord geauthenticeerde key exchange over de 6-cijferige code: het goedkeurende apparaat leidt een nieuwe share van je master key af en stuurt die versleuteld naar het nieuwe apparaat, zodat de server alleen ciphertext doorgeeft. Verzoeken verlopen na enkele minuten, en beide kanten schrijven ondertekende auditentries.

![De kaart Apparaatgoedkeuringen met een wachtend apparaat en de knoppen Goedkeuren en Weigeren](https://databeamer.eu/docs-screenshots/nl/device-approval.png)

## Verloren of gestolen apparaat

Ga op een ander apparaat naar **Instellingen › Beveiliging › Apparaten**. Elk apparaat staat er met type en het tijdstip **Laatst ontgrendeld**. Kies **Intrekken** en bevestig met je pincode. Het ingetrokken apparaat kan je account niet meer ontgrendelen, ook niet met zijn pincode.

Stond je herstelzin op dat apparaat, **genereer** hem dan daarna opnieuw; zie [Herstelzin](https://databeamer.eu/docs/account/recovery-phrase).

Ben je **al je** apparaten kwijt, dan is je herstelzin de enige weg terug. Die ook kwijt? Zie [Ik heb geen apparaat en geen herstelzin meer](https://databeamer.eu/docs/account/no-device-no-phrase). Voor inlogproblemen vóór het ontgrendelscherm, zie [Ik kan niet inloggen](https://databeamer.eu/docs/account/cannot-sign-in).

> **Beveiligingsdetails**
> Een apparaat intrekken vernieuwt de secret sharing: de overige apparaten krijgen nieuwe shares en de share van het ingetrokken apparaat is niet meer met de server share te combineren. De wijziging is een ondertekende auditentry. Gegevens die het apparaat al ontsleuteld had blijven onaangetast; daarom moet een zin die erop stond opnieuw worden gegenereerd.