Password manager, hoe wat en waar?

[dude88]

Passwords je kent het wel....

Ik ben aan het overwegen om een password manager te gebruiken.
Hiermee kan je dus zonder alles te moeten onthouden voor elke account een zeer sterk password gebruiken zonder dit te hoeven onthouden.
Een bekende is lastpass, aan te raden of niet?
Hoe werkt zo'n programma bij accounts waar het password regelmatig veranderd moet worden.

Backup van de database, kan dat bijvoorbeeld automatisch op SkyDrive? (Moet je nog wel even je SkyDrive password onthouden )

Kortom hoe gaan jullie er mee om?

[MegaTronics]

Ik gebruik KeePass voor het bijhouden van mijn wachtwoorden. Je wachtwoorden database kun je inderdaad gewoon op je Dropbox/Sky Drive zetten en met de juiste clients kun je hem ook benaderen via bijvoorbeeld je mobiele telefoon.

[ Voor 47% gewijzigd door MegaTronics op 07-06-2012 08:39 ]

[Joster]

Toevallig zat ik zojuist naar 1Password te kijken, welke ook gratis beschikbaar is voor Android. Kost de Windows versie gewoon 50 dollar

Kan je het gebruik van Keepass op je mobiele telefoon en i.s.m. Dropbox iets meer in gemakkelijke taal beschrijven? Er is ook gewoon aan Android app voor overigens..

[ Voor 56% gewijzigd door Joster op 07-06-2012 10:47 ]

[Rmg]

dude88 schreef op donderdag 07 juni 2012 @ 08:36:
Passwords je kent het wel....

Ik ben aan het overwegen om een password manager te gebruiken.
Hiermee kan je dus zonder alles te moeten onthouden voor elke account een zeer sterk password gebruiken zonder dit te hoeven onthouden.
Een bekende is lastpass, aan te raden of niet?
Hoe werkt zo'n programma bij accounts waar het password regelmatig veranderd moet worden.

Backup van de database, kan dat bijvoorbeeld automatisch op SkyDrive? (Moet je nog wel even je SkyDrive password onthouden )

Kortom hoe gaan jullie er mee om?

Ik gebruik zelf lastpass.

Two Factor Authentication voor het inloggen en een kort lijstje One Time Passes (en dan ook nog Two Factor Auth) voor het inloggen in computers die ik minder vertrouw.

Met de firefox plugin is het een kwestie van naar de site gaan waar je het wachtwoord wil veranderen, nieuwe generen met LP en daarna vraag hij om als nieuw op te slaan of oude gegevens over te schrijven.

Offline backup heb ik niet van mijn lastpass vault, vind ik persoonlijk niet nodig, moet wel kunnen volgens mij

Op mijn (Android) telefoon gebruik ik Dolphin HD browser met de LP plugin, zo goed als dezelfde features als op de pc

[ Voor 5% gewijzigd door Rmg op 07-06-2012 10:07 ]

[dude88]

Rmg schreef op donderdag 07 juni 2012 @ 10:06:
[...]Two Factor Authentication voor het inloggen en een kort lijstje One Time Passes (en dan ook nog Two Factor Auth) voor het inloggen in computers die ik minder vertrouw.

Wat houd dat precies in?

Is die Plugin er alleen voor FireFox of werkt die ook met IE?

[Andre-85]

Keepass fan hier. Waarom keepass? Voor mij zijn de belangrijkste redenen: de beschikbaarheid op veel platformen (Linux, Windows, Android,...) en het feit dat ik zelf de volledige controle heb over mijn passwords en niet een derde partij (lastpass)

Mijn password database staat in drobbox, daarmee synchroniseer ik mijn passwords op mijn verschillende werkplekken en devices.

Ideaal!

[Rmg]

t

dude88 schreef op donderdag 07 juni 2012 @ 11:39:
[...]


Wat houd dat precies in?

Is die Plugin er alleen voor FireFox of werkt die ook met IE?

Voor firefox, ie, opera, alle grote browsers worden wel ondersteund.

OTP is zoals het al zegt eenmalige passwords, ik heb er 3 aangemaakt en zitten in m'n portemonnee. Als ik wil inloggen in bijv. een internetcafe log ik daar mee in. krijg ik een mailtje dat 1 van de wachtwoorden is gebruikt en kan ik voor die sessie met dat wachtwoord werken.

Two factor auth houdt in dat er naast mijn wachtwoord nog een code wordt gevraagd. Die code krijg ik van google authenticator.

Andre-85 schreef op donderdag 07 juni 2012 @ 11:57:
Keepass fan hier. Waarom keepass? Voor mij zijn de belangrijkste redenen: de beschikbaarheid op veel platformen (Linux, Windows, Android,...) en het feit dat ik zelf de volledige controle heb over mijn passwords en niet een derde partij (lastpass)

Mijn password database staat in drobbox, daarmee synchroniseer ik mijn passwords op mijn verschillende werkplekken en devices.

Een persoonlijke keuze natuurlijk maar voor mij valt keepass daarom juist af.

Losse password databases die je dan weer beschikbaar moet hebben op verschillende plekken.
Waardoor je snel grijpt naar USB sticks en derde partijen als dropbox.

Ja de database is encrypted, maar wat kunnen ze er wel uit halen behalve de passwords.

Een offline(usb stick) en online storage(dropbox) is ook vragen om sync problemen, (wil je dropbox überhaupt wel draaien op een pc in iets als een internet cafe om je laatste versie te downloaden?)

Je database file ligt op straat als je een USB stick kwijtraakt.

En wat als je je database file kwijtraakt door een HDD crash... dan zit je in het gunstigste geval met een oude database file waar je laatste wijzigingen niet in zitten.

Ik vertrouw dan liever een (betaalde) 3e partij die een (groot)deel van die problemen voor mij oplost. Er blijven dan nog steeds nadelen bestaan (o.a. de 'onzekerheid' van een 3e partij) maar dat zijn dingen waarmee ik beter kan leven

USB stick met firefox portable + de lp plugin en lekker boeiend als ik hem kwijt raak.

Online kan ik alles wijzigen, master pass veranderen inloggeschiedenis bekijken op afstand computers un-trusten.

en nog een voordeel vind ik is dat de lastpass plugins niet gebruik maken van copy paste, clipboard sniffing is een vrij standaard feature in keyloggers

[ Voor 58% gewijzigd door Rmg op 07-06-2012 12:18 ]

[jjbstolk]

Ik gebruik LastPass. Ik heb meerdere computer waar ik inlog en zo kan ik op elke computer gebruik maken van LastPass (online vault functie), en ook kan ik op mij telefoon mij wachtwoorden opzoeken!
Je kan met de browser plugin dus autoinlog's maken e.d.

[ Voor 12% gewijzigd door jjbstolk op 07-06-2012 11:59 ]

[Joster]

Andre-85 schreef op donderdag 07 juni 2012 @ 11:57:
Keepass fan hier. Waarom keepass? Voor mij zijn de belangrijkste redenen: de beschikbaarheid op veel platformen (Linux, Windows, Android,...) en het feit dat ik zelf de volledige controle heb over mijn passwords en niet een derde partij (lastpass)

Mijn password database staat in drobbox, daarmee synchroniseer ik mijn passwords op mijn verschillende werkplekken en devices.

Ideaal!

Dat lijkt me inderdaad ideaal. Hoe werkt dat synchroniseren tussen drobbox, je passwords en verschillende werkplekken / devices?

[aZuL2001]

Hier ook een enthousiaste Keepass gebruiker.

Ik gebruik de portable versie (PortableApps), en de database staat in mijn dropbox.

Wel een sterk wachtwoord op de database zetten


Ideaal, van iedere machine kan ik er zo bij, geen setup, en altijd actueel.

[Tsurany]

Joster schreef op donderdag 07 juni 2012 @ 12:01:
[...]


Dat lijkt me inderdaad ideaal. Hoe werkt dat synchroniseren tussen drobbox, je passwords en verschillende werkplekken / devices?

Database in Dropbox opslaan.

[Joster]

Tsurany schreef op donderdag 07 juni 2012 @ 12:09:
[...]

Database in Dropbox opslaan.

En op iedere pc KeePass installeren lijkt me. Ik heb een XP (werk) en W7 (thuis) machine, kan ik dan voor beide versie 2.xx gebruiken of moet ik voor XP versie 1.xx gebruiken zoals ze aangeven op de site? Werkt onderling syncen dan nog?

[pasta]

Dit past beter in Beveiliging & Virussen. Ik verplaats je topic dan ook even.

Client Software Algemeen -> Beveiliging & Virussen

[Tsurany]

Joster schreef op donderdag 07 juni 2012 @ 12:21:
[...]


En op iedere pc KeePass installeren lijkt me. Ik heb een XP (werk) en W7 (thuis) machine, kan ik dan voor beide versie 2.xx gebruiken of moet ik voor XP versie 1.xx gebruiken zoals ze aangeven op de site? Werkt onderling syncen dan nog?

XP wordt gewoon ondersteund door versie 2.xx. Je kan ook de portable versie in Dropbox zetten, kan je het programma direct vanuit daar gebruiken.

[RemcoDelft]

MegaTronics schreef op donderdag 07 juni 2012 @ 08:38:
Ik gebruik KeePass voor het bijhouden van mijn wachtwoorden.

Ik ook, maar dan KeePassX. Het is dan ook voor vrijwel elk OS verkrijgbaar
Wel even goed door de opties spitten wat jou het beste uitkomt.

Je wachtwoorden database kun je inderdaad gewoon op je Dropbox/Sky Drive zetten

Doe ik ook, maar dan met extra encryption, zonder dat ik Dropbox vertel wat voor file het is. Being paranoid doesn't mean Dropbox isn't spying on you
Het was wel even scripten om de file op meerdere computers te encrypten en dan alsnog te synchroniseren via Dropbox...

[Megamind]

Lastpass is daarom gewoon makkelijker, geen gelazer met die bestanden weer encrypten e.d. Ik gebruik al bijna 2 jaar lastpass, voordeel is dat het op alle IE, Chrome, FF en Safari werkt. Daarnaast heb je ook een plugin voor Dolphin dus op je mobiel werkt het ook gewoon.

Ik moet wel eerlijk zeggen dat er wel wat bugs inzitten. Zo heb ik 2 gmail accounts, als ik dan naar gmail ga dan staat 1 van de 2 al ingevuld, maar vul ik handmatig een ander account in dan wordt soms het wachtwoord gewijzigd van 1 van de 2 opgeslagen accounts! Al moet ik zeggen dat het sinds de laatste versie nog niet voorgekomen is.

Met Lastpass kan je ook kiezen om de Google Authenticator te gebruiken, dan moet je een app op je android telefoon installeren. Als je dan bij Lastpass wilt inloggen vanaf een niet authorized device of browser dan moet je authenticator gebruiken voor 2 step authentication.

Je kan ook zelfs nog een Yubikey kopen (paar euro), die moet je dan in je PC pluggen voordat je kan inloggen.

Ik weet niet hoe het zit met de veiligheid op de servers, maar ik had ergens een blogpost gelezen dat al je passwords geencrypt worden op je PC voordat ze verstuurd worden.

[Joster]

Tsurany schreef op donderdag 07 juni 2012 @ 12:26:
[...]

XP wordt gewoon ondersteund door versie 2.xx. Je kan ook de portable versie in Dropbox zetten, kan je het programma direct vanuit daar gebruiken.

En dan heb je hem maar op 1 plaats staan waarbij je op zowel je mobiel als al je pc's gebruik maakt van een en dezelfde KeePass versie? Klinkt goed. Enkel moet je dan op iedere pc / device wel dropbox installeren maar dat moet sowieso als je gebruik maakt van een gedeelde db lijkt me.

Hoe ik het programma dan moet gaan gebruiken vanuit Dropbox is me nog niet helemaal duidelijk maar goed.

[ Voor 11% gewijzigd door Joster op 07-06-2012 12:52 ]

[Hari-Bo]

Ik gebruik jaren Keepass en synchroniseer het Sugarsync in een Truecrypt container, Lastpass zet automatisch in hun eigen 'cloud' omgeving, maar hoe veilig zijn je gegevens dan als het weggezet wordt?

[Tsurany]

Megamind schreef op donderdag 07 juni 2012 @ 12:36:
Ik weet niet hoe het zit met de veiligheid op de servers, maar ik had ergens een blogpost gelezen dat al je passwords geencrypt worden op je PC voordat ze verstuurd worden.

Dat zegt elk programma dat gegevens online opslaat. Echter als ik jou gegevens standaard encrypt met wachtwoord 12345 worden ze weliswaar geencrypt voordat ze verstuurd worden maar kan ik er nog gemakkelijk bij als ik zou willen.
Mijn probleem met online wachtwoorden is de zeer sterke afhankelijkheid van dat systeem. Wanneer je je wachtwoorden offline opslaat ben je zelf verwantwoordelijk en heb enkel jij toegang tot het systeem waar je wachtwoorden staan.

[Verwijderd]

K (tot en met) eePass!

[Megamind]

Tsurany schreef op donderdag 07 juni 2012 @ 12:56:
[...]

Dat zegt elk programma dat gegevens online opslaat. Echter als ik jou gegevens standaard encrypt met wachtwoord 12345 worden ze weliswaar geencrypt voordat ze verstuurd worden maar kan ik er nog gemakkelijk bij als ik zou willen.
Mijn probleem met online wachtwoorden is de zeer sterke afhankelijkheid van dat systeem. Wanneer je je wachtwoorden offline opslaat ben je zelf verwantwoordelijk en heb enkel jij toegang tot het systeem waar je wachtwoorden staan.

Ze worden natuurlijk geëncrypt met je password + yubikey. Lastpass bestaat alweer een tijdje maar heb ze nooit negatief in het nieuws gezien, niet zoals dropbox.

[Tsurany]

Megamind schreef op donderdag 07 juni 2012 @ 13:06:
[...]

Ze worden natuurlijk geëncrypt met je password + yubikey. Lastpass bestaat alweer een tijdje maar heb ze nooit negatief in het nieuws gezien, niet zoals dropbox.

Als de beveiliging van Dropbox gekraakt wordt hebben ze alsnog enkel een encrypted database, die moeten ze dan ook nog kraken. Hier kan je zelfs nog een truecrypt container aan toevoegen waardoor er drie lagen van encryptie zijn waarvan je er twee zelf in de hand hebt.

[Marv]

Megamind schreef op donderdag 07 juni 2012 @ 13:06:
[...]

Ze worden natuurlijk geëncrypt met je password + yubikey. Lastpass bestaat alweer een tijdje maar heb ze nooit negatief in het nieuws gezien, niet zoals dropbox.

LastPass staat mij vooral bij vanwege dit bericht: nieuws: LastPass forceert nieuwe wachtwoordaanmaak na mogelijke hack

Ik gebruik zelf ook KeePass, internet diensten zijn handig... maar dit hou ik liever in eigen beheer :-)

[Jayden]

Megamind schreef op donderdag 07 juni 2012 @ 13:06:
[...]

Ze worden natuurlijk geëncrypt met je password + yubikey. Lastpass bestaat alweer een tijdje maar heb ze nooit negatief in het nieuws gezien, niet zoals dropbox.

Helaas is dat niet het geval. Lastpass versleuteld alleen met je password, anders was het niet mogelijk je yubikey uit te zetten.
Om die reden gebruik ik KeePass en sync met Wuala.

[HeSitated]

Rmg schreef op donderdag 07 juni 2012 @ 11:59:
Losse password databases die je dan weer beschikbaar moet hebben op verschillende plekken.
Waardoor je snel grijpt naar USB sticks en derde partijen als dropbox.

Ik gebruik KeyPass met een plugin die voor mij de backup regelt naar mijn (oude) NAS. Er blijven door die backup sowieso de laatste 10 versies bewaard.

Verder heb ik de database voorzien van een wachtwoord en een keyfile, de keyfile staat op skydrive en een onbeveilgde usb stick. De database staat op dropbox en op een beveiligde usb-stick.

Keypass kan ik runnen vanaf de beveiligde usb-stick.

Dus ik maak me nog geen zorgen dat de gegevens op straat komen te liggen....

[Der Rudi]

Gebruik zelf al jaren LastPass met Yubikey op diverse platformen en browsers. Werkt erg goed en is ook goed (genoeg) beveiligd: toegang tot LastPass paswoorden kluis via YubiKey one-time-password en als men ingelogd is doet LastPass verder 'alles' zelf.

Mooie is dat YubiKey 2 identiteiten toestaat per key. Ik gebruik de 2e identiteit voor een lang static password voor die dingen waar LastPass niet werkt (client apps bv).

Volgens mij ondersteunt KeePass ook de YubiKey, of anders via OAUTH?

[Rmg]

HeSitated schreef op donderdag 07 juni 2012 @ 13:17:
[...]

Ik gebruik KeyPass met een plugin die voor mij de backup regelt naar mijn (oude) NAS. Er blijven door die backup sowieso de laatste 10 versies bewaard.

Verder heb ik de database voorzien van een wachtwoord en een keyfile, de keyfile staat op skydrive en een onbeveilgde usb stick. De database staat op dropbox en op een beveiligde usb-stick.

Keypass kan ik runnen vanaf de beveiligde usb-stick.

Dus ik maak me nog geen zorgen dat de gegevens op straat komen te liggen....

Maar kijk eens wat voor extra zut je daar bij hebt.

Een automatische backup plugin.
Een nas om op te storen.
keyfile.
dropbox account..
beveiligde usb stick.

Wat ik heb is 1 masterpassword, google authenticator en een standaard usb stick met firefox + plugin erop en een lijstje met een stel OTP's

[Megamind]

Marv schreef op donderdag 07 juni 2012 @ 13:13:
[...]

LastPass staat mij vooral bij vanwege dit bericht: nieuws: LastPass forceert nieuwe wachtwoordaanmaak na mogelijke hack

Ik gebruik zelf ook KeePass, internet diensten zijn handig... maar dit hou ik liever in eigen beheer :-)

Hier is nooit duidelijk geworden óf er een hack was, natuurlijk zullen ze dit ook niet snel toegeven, maar dan vind ik dit erger

[HeSitated]

Rmg schreef op donderdag 07 juni 2012 @ 13:22:
Maar kijk eens wat voor extra zut je daar bij hebt.

Een automatische backup plugin.
Een nas om op te storen.
keyfile.
dropbox account..
beveiligde usb stick.
onbeveiligde usb stick.

Je was er nog een vergeten....

Wat ik heb is 1 masterpassword, google authenticator en een standaard usb stick met firefox + plugin erop en een lijstje met een stel OTP's

Daar heb ik voor mijzelf een andere keuze ingemaakt:
- Ik heb het beheer in eigen hand. Dropbox/skydrive plat? Geen probleem, desnoods gebruik ik mijn usb stick
- Ik heb ook nog een aparte database+key voor mijn software-keys (Van winamp t/m MS Actionpack)
- Ik kan met KeePass niet alleen ww voor websites, maar ook ww c.q. keys van servers, werkstations, databases, VPN, WIFI....

Dan liever de lucht zut in....

Megamind schreef op donderdag 07 juni 2012 @ 13:30:
...dan vind ik dit erger

Dat is een gedachte waar ik ook al heb zitten nadenken: ik verplaaats binnenkort de database naar skydrive en de (nieuwe ) keyfile naar dropbox....

[ Voor 25% gewijzigd door HeSitated op 07-06-2012 13:40 ]

[Marv]

Megamind schreef op donderdag 07 juni 2012 @ 13:30:
[...]

Hier is nooit duidelijk geworden óf er een hack was, natuurlijk zullen ze dit ook niet snel toegeven, maar dan vind ik dit erger

Ik zeg ook nergens dat ik m'n KeePass DB op Dropbox zet, die vertrouw ik wat dat betreft nog minder

[Rmg]

HeSitated schreef op donderdag 07 juni 2012 @ 13:34:

Daar heb ik voor mijzelf een andere keuze ingemaakt:
- Ik heb het beheer in eigen hand. Dropbox/skydrive plat? Geen probleem, desnoods gebruik ik mijn usb stick

valide punt

- Ik heb ook nog een aparte database+key voor mijn software-keys (Van winamp t/m MS Actionpack)
- Ik kan met KeePass niet alleen ww voor websites, maar ook ww c.q. keys van servers, werkstations, databases, VPN, WIFI....

Kan lastpass ook en ze hebben een beta applicatie die automatisch kan inloggen op applicaties.

[Joster]

Aha, als Lastpass én Dropbox (t.b.v. KeePass) ter discussie staan dan blijft het sowieso een lastig verhaal.

[Ra_gdd]

Ik gebruik Roboform Everywhere.
Paswoorden worden online opgeslagen zodat ik ze gemakkelijk kan syncen op verschillende pc's.
En is voor meerdere platformen.

[Bor]

Megamind schreef op donderdag 07 juni 2012 @ 13:06:
[...]

Ze worden natuurlijk geëncrypt met je password + yubikey. Lastpass bestaat alweer een tijdje maar heb ze nooit negatief in het nieuws gezien, niet zoals dropbox.

Onder andere dit:

nieuws: LastPass forceert nieuwe wachtwoordaanmaak na mogelijke hack

[ebia]

Die Lastpass hack van toen was niet echt een overduidelijke hack. Niet zoals bijvoorbeeld bij Linkedin wat gisteren naar buiten is gekomen.

Vergeef me dat ik de details niet meer weet, maar men heeft toen als voorzorg gevraagd aan ieder z'n wachtwoord te wijzigen. Terwijl de kans vrijwel nihil was dat er ook daadwerkelijk één wachtwoord is buitgemaakt.

Hoe dan ook enorm proactief optreden van Lastpass toen. Direct openheid van zaken gegeven richting de gebruikers, direct in het probleem gedoken, direct maatregelen genomen. Er zijn er niet zoveel die dat 'durven'. Vele steken gewoon hun kop in het zand (of weten echt niet dat ze zijn aangevallen) totdat er op een dag een wachtwoordfile op een Russisch forum boven water komt.

[dude88]

Het lijkt erop dat er geen eenduidig simpel antwoord op mijn vraag te geven is

Wat ik nu zo snel even uit alle reacties haal:

LastPass:
- Werkt erg goed
- Je moet je vertrouwen bij LastPass neerleggen
- Free version lijkt wat beperkter in zijn mogelijkheden

KeePass:
- Volledig zelf beheer
- Gratis
- Zelf backups verzorgen
- Risico als je Online Storage gehackt wordt

Beide hebben een intergratie met diverse browsers.

Hoewel ik eerst aan LastPass dacht overweg ik nu wel sterkt om KeePass te gebruiken.
LastPass lijkt me in de Free version toch wat beperkt.
Gezien ik het voorlopig op 1 vaste PC wil gaan gebruiken lijkt KeePass best een goede oplossing.

Zou je de database van KeePass met BitLocker kunnen encrypten en vervolgens op SkyDrive kunnen laten synchroniseren?

[MegaTronics]

Ik denk dat met BitLocker de database dan weer gewoon zonder BitLocker encryptie op je SkyDrive komt te staan. Als je het al extra versleuteld wilt opslaan zou je een TrueCrypt container kunnen maken en daar de KeePass Database in zetten.

[Joster]

Hoe zijn de ervaringen dan met een TrueCrypt container op Dropbox met daarin de KeePass password database? Gemakkelijk in gebruik?

[ Voor 43% gewijzigd door Joster op 08-06-2012 09:18 ]

[Verwijderd]

Ik maak al een lange tijd gebruik van keepass, echt een aanrader zowel de service, updates en gebruiksgemak .

[Raymond P]

Keepass hier, al jaren.
Database encrypted met een keyfile + wachtwoord.

Ik zie dat jullie geen van allen de methode gebruiken om je Keepass database zelf te hosten?

Keepass geeft je de optie om je database file te openen vanaf een URL. Dit kan http maar ook ftp zijn, en (eventueel met plugins) ook scp, sftp webdav etc etc.
Voorwaarde is wel dat je dan een internet verbinding nodig hebt, maar dat heb je met Lastpass ook.
Ook had de android client die optie niet de laatste keer dat ik dat checkte.

Het updaten van je database hoeft hierdoor niet moeilijker te worden, tenzij je HTTP hebt gekozen (lees: webdav nodig).

edit:

Joster schreef op vrijdag 08 juni 2012 @ 09:17:
Hoe zijn de ervaringen dan met een TrueCrypt container op Dropbox met daarin de KeePass password database? Gemakkelijk in gebruik?

De Keepass password database kan gewoon met Keepass zelf encrypted worden (AES256bit key).
Daar nog een Truecrypt container omheen gooien lijkt mij te veel van het goede.

[ Voor 25% gewijzigd door Raymond P op 08-06-2012 09:28 ]

[Joster]

Ook een optie ja, kan ik hem dus op mijn NAS hosten.

Veel op mijn NAS doe ik middels browsers (applicaties, webdav, etc) maar ook een verbinding middels ssh maak ik regelmatig, valt KeePass hier ook mee te gebruiken?

Edit: laat maar: http://keepass.info/plugins.html#puttyagent

[ Voor 12% gewijzigd door Joster op 08-06-2012 09:30 ]

[Raymond P]

Yep.
Meer info:
http://keepass.info/help/v2/sync.html

[dude88]

MegaTronics schreef op vrijdag 08 juni 2012 @ 08:47:
Ik denk dat met BitLocker de database dan weer gewoon zonder BitLocker encryptie op je SkyDrive komt te staan. Als je het al extra versleuteld wilt opslaan zou je een TrueCrypt container kunnen maken en daar de KeePass Database in zetten.

Dit wordt door SkyDrive zo gedaan?

Ik hoopte dus geen extra applicatie nodig te hebben, BitLocker zit toch al in Windows zelf.

[Joster]

Raymond P schreef op vrijdag 08 juni 2012 @ 09:25:
[...]


De Keepass password database kan gewoon met Keepass zelf encrypted worden (AES256bit key).
Daar nog een Truecrypt container omheen gooien lijkt mij te veel van het goede.

Ja en als je die dan zelf host (op bijvoorbeeld je NAS) waarvan alles dicht getimmerd is (ook met KeePass in feite, zowel voor browser als ssh toegang) is dat inderdaad wel voldoende ja.

[Verwijderd]

Dat KeePass die optie had dat heb ik nooit geweten, waarschijnlijk omdat ik het al handig genoeg vond dat alles op mijn USB stickie stond.

Maar ik ga zeker naar de optie 'sync' kijken, dan laat ik hem gewoon van mijn FTP afhalen!

[Raymond P]

File > Open > Open URL.
Als je FTP gebruikt kan je dan ook gewoon de [save] knop rammen na een edit.
Het grote voordeel is dat je met 3 locaties werkt. Je key sla je lokaal op, je database extern en je password zit in je hoofd.

Beetje offtopic:
@Joster: Als je toch al een NAS hebt, en zelf durft te sleutelen, zet dan een VPN server op. Daar ga je veel plezier van hebben. Overal toegang tot je network shares is fun.

Plus in het kader security kan je dmv VPN je traffic encrypted tunnelen met je eigen trusted netwerk als exit point.
Als je wel eens gebruik maakt van open wifi netwerken, en je bent al zo ver om na te denken over je passwords encrypted storen dan is dit stap 2.

[ Voor 10% gewijzigd door Raymond P op 08-06-2012 09:44 ]

[Joster]

En meteen een stap te ver ben ik bang, de onbekende termen vliegen me hier om de oren

Zal er eens induiken!

[LordMorgoth]

LM is ook een fervent Lastpass gebruiker in combinatie met de Yubikey; wil niet meer anders.

[dude88]

Net even KeePass gedownload om eens te kijken.

Geen idee of ik de verkeerde verwachtingen had of iets nog niet goed doe.
Maar ik had verwacht dat als ik het password in de database had staan, het password direct ingevuld zou worden op de website als ik er naar toe browse... Dat lijkt niet helemaal zo te werken.
Of is die mogelijkheid er wel?

[Rukapul]

ctrl-alt-A kun je username+wachtwoord in laten vullen op websites en applicaties

[Rukapul]

Raymond P schreef op vrijdag 08 juni 2012 @ 09:31:
Yep.
Meer info:
http://keepass.info/help/v2/sync.html

Ik gebruik tot nu toe altijd KeepassSync om het op m'n eigen server thuis te synchen (over SSH). Dat werkt op zich perfect behalve dat de KeepassSync plugin hopeloos niet bijgehouden wordt en ik dus altijd aan oude Keepass versies vastzit tot iemand de plugin update.

Ik ging er vanuit dat de ingebouwde sync twee nadelen had:
• url moet handmatig ingevuld worden
• simultane edits op verschillende machines worden niet gemerged

Maar als ik het goed begrijp dan gaan deze nadelen niet op en kan ik de ingebouwde sync gebruiken (in combinatie met de plugin die op de link genoemd wordt, want je moet bijna wel gekke henkie te zijn om plain FTP te gebruiken).

[Raymond P]

Rukapul schreef op vrijdag 08 juni 2012 @ 21:52:
[...]

Ik gebruik tot nu toe altijd KeepassSync om het op m'n eigen server thuis te synchen (over SSH). Dat werkt op zich perfect behalve dat de KeepassSync plugin hopeloos niet bijgehouden wordt en ik dus altijd aan oude Keepass versies vastzit tot iemand de plugin update.

Ik ging er vanuit dat de ingebouwde sync twee nadelen had:
• url moet handmatig ingevuld worden
• simultane edits op verschillende machines worden niet gemerged

Maar als ik het goed begrijp dan gaan deze nadelen niet op en kan ik de ingebouwde sync gebruiken (in combinatie met de plugin die op de link genoemd wordt, want je moet bijna wel gekke henkie te zijn om plain FTP te gebruiken).

Een hele korte analyse (op http protocol) geeft me dit:

code:

"GET /data/NewDatabase.kdbx HTTP/1.1" 200 1790 "-" "-"
"DELETE /data/NewDatabase.kdbx.tmp HTTP/1.1" 405 172 "-" "-"
"PUT /data/NewDatabase.kdbx.tmp HTTP/1.1" 405 172 "-" "-"
"GET /data/NewDatabase.kdbx HTTP/1.1" 200 1790 "-" "-"

Dit failt aangezien ik geen webdav draai. Maar wat ie probeert lijkt me duidelijk.
GET > pak eventueel nieuwere file.
sync zal dus lokaal gebeuren
PUT > save de nieuwste versie.
en nogmaals een GET om te zien of niemand 'm voor was gok ik.

Eventuele edits worden dus lokaal gemerged bij het saven.
Mede daardoor zie ik het probleem van gebuik van FTP niet echt.
De database file wordt standaard al AES256 encrypted, en het is dus niet zo dat de edits die je maakt plain text appended worden aan de bestaande file.

Begrijp me niet verkeerd, liever SFTP dan FTP als het ff kan.
De url handmatig invullen, tjah... File > Open recent

[Rukapul]

Raymond P schreef op vrijdag 08 juni 2012 @ 22:46:
Mede daardoor zie ik het probleem van gebuik van FTP niet echt.

FTP + gebruik van open wifi netwerken is gewoon geen fijne combi. Zeker niet met een sync-on-save

[Raymond P]

Gebruik van open WiFi zonder VPN met een laag encryptie (of socks als je ouderwets wilt doen) is sowieso geen fijne combi.
Of je nou IMAP, POP, HTTP, FTP of JABBER gebruikt, het is allemaal insecure.

Ik snap je punt wel, maar de oplossing ligt zo voor de hand dat ik soms de riscicos vergeet.
Helaas lijkt dit net een drempel te ver voor vrijwel iedereen. Terwijl het dan ook gelijk safe is om ftp te gebruiken. (En overbodig.)

Het afgelopen jaar werk ik steeds meer buiten en is het mij nu zo'n gewoonte dat ik zelfs thuis soms gewoon VPN aanzet.

[Polster]

Heb zelf ook gekozen voor KeePass. Heb een paar worst-case scenario's bedacht en die zo goed als mogelijk afgevangen. Worst-case scenario's zijn: brand, diefstal computer, keylogger/gehackt, cloud-server gehackt.

Voor mijn KeePass database gebruik ik een wachtwoord en keyfile. De database sla ik op in de cloud bij Wuala en Crashplan (plus lokale en externe backups). De key-file staat op al mijn computers/telefoon/tablet/usb sticks, etc. maar nergens in de cloud. De KeePass database wordt uiteraard ge-encrypt en Wuala en Crashplan encrypten het ook nog een keer voordat het wordt geupload. Verder heb ik KeePass zo ingesteld dat de auto-fill met double-obfuscation werkt.

Worst-case scenario brand/ramp etc.: Computer + lokale backups zijn verloren. Database staat in de cloud dus nog altijd bereikbaar. Keyfile heb ik op mijn telefoon en off-site bij mijn ouders. Alles ok.

Worst-case scenario: Diefstal computer. Dief heeft mijn encrypted database en mijn key-file. Maar hij/zij weet mijn wachtwoord niet. Alles ok.

Worst-case scenario: Keylogger/gehackt. Mijn KeePass database + Wuala wachtwoord wordt afgevangen, hacker kan inloggen en mijn KeePass database downloaden. Hacker heeft nog altijd niet mijn key-file want die is puur lokaal en nergens online. Alles ok.

Worst-case scenario: Cloud server wordt gehackt en KeePass database valt in verkeerde handen. Database is encrypted en zelfs al hebben ze het wachtwoord dan ontbreekt de key-file. Alles ok.

Worst-case scenario: Ik verlies mijn telefoon/tablet/computer. Database en key-file zijn mogelijk in bezit van vreemden. Wachtwoord is echter niet bekend. Alles ok.

Er zijn nog wel lekken in het systeem. Maar om die te dichten wordt het volgens mij te gebruiksonvriendelijk.
- Wanneer een hacker volledige controle heeft over mijn computer dan kan mijn KeePass wachtwoord afgevangen worden door een keylogger en de key-file kan gewoon gekopieerd worden.
- Ik ga er van uit dat de KeePass encryptie nu stand houdt, maar is dat over 10 jaar ook nog zo?
- Ik gebruik de KeePass Chrome plugin en vertrouw hier op.
- En waarschijnlijk het grootste probleem is dat ik niet weet of de double-obfuscation techniek van KeePass wel afdoende is tegen keyloggers.


LastPass houdt volgens mij niet in al deze scenario's stand omdat er niet wordt gewerkt met een key-file (correct me if I'm wrong).

[Verwijderd]

Heeft iemand ervaring met Revelation voor Ubuntu?
Waar worden de wachtwoorden opgeslagen? Alleen lokaal?

[HeSitated]

Polster schreef op zaterdag 09 juni 2012 @ 01:18:
- Ik ga er van uit dat de KeePass encryptie nu stand houdt, maar is dat over 10 jaar ook nog zo?

Ik hoop voor jou dat je tegen die tijd je wachtwoorden toch minimaal een aantal keren hebt vervangen en dat je KeePass up-to-date houdt....

Voor alle overige angsten, de enige echte beveiliging is je pc niet aan het internet knopen...

Voor de rest:

• een goede virusscanner
• lokale rechten goed toedelen (dus geen local admin)
• KeePass gebruiken met meerdere databases, met verschillende wachtwoorden en keyfiles...
• ...

Al zouden ze het kunnen achterhalen, dan zijn ze er in ieder geval even zoet mee...

[dude88]

De vraag is ook natuurlijk hoe ver wil je gaan?
Als we het over gewoon thuis gebruik hebben valt er eigenlijk niets te halen, dus hoe veel tijd willen ze erin steken om jouw passworden te hebben....

Zolang er geen groot geld bij je te halen valt wordt je database denk ik niet zomaar gericht gestolen en gehackt.

[Alicanto]

en 1Password? Iemand daar ervaring mee?

[arjen9551]

Om even een vrij oud topic weer een klein schopje te geven (voornamelijk ook omdat ik zo gauw niets recentelijkers kon vinden):
Ik zit er aan te denken om een password manager te gaan gebruiken, enerzijds omdat ik dan maar 1 wachtwoord hoef te onthouden, anderzijds omdat ik dan over verschillende wachtwoorden heb. Momenteel is het vaak hetzelfde, of licht afwijkend.
Anyway, ben al een aantal grotere spelers tegengekomen, maar wat ik nog steeds niet duidelijk heb. Stel, ik zit achter een PC waar de password manager niet geinstalleerd is en ook niet kan worden. Wat doe ik dan? Kan ik dan op een bepaalde manier bij mijn wachtwoorden komen? Kan dit bijvoorbeeld via mijn telefoon?

[ThinkPad]

Dat ligt aan de password manager.

LastPass kan je via de browser opvragen, of via een app via je telefoon (betaald). KeePass bijv. werkt met een database bestand, deze kun je op Dropbox zetten, en dan de client downloaden en database van Dropbox halen. Of via je telefoon (gratis) met de app, en Dropbox app.

[arjen9551]

Lastpass was inderdaad 1 van de kanshebbers, mede omdat dat online gebaseerd is. Op mijn werklaptop kan ik namelijk niks installeren, maar miss moet ik dan ook eens beter naar Keepass kijken.

Thanks!

[analogworm]

Zo heb ik altijd een usb stickje bij me met portable versies van keepass en truecrypt. Zo kan ik er gemakkelijk bij.

[Megamind]

arjen9551 schreef op maandag 21 april 2014 @ 19:26:
Lastpass was inderdaad 1 van de kanshebbers, mede omdat dat online gebaseerd is. Op mijn werklaptop kan ik namelijk niks installeren, maar miss moet ik dan ook eens beter naar Keepass kijken.

Thanks!

Je kan geen plugin installeren op je werklaptop? Volgens mij kan dat bij Chrome en Firefox prima zonder admin rechten.

[PilatuS]

KeePass heeft ook een app voor de telefoon. De database staat op mijn telefoon en daardoor heb ik altijd alle wachtwoorden bij mij. Af en toe zet ik dan de database van mijn PC opnieuw op de telefoon als er nieuwe dingen bijgekomen zijn.

[Marzman]

Ik heb ook Keepass, al jaren. Belangrijke dingen hebben dubbele identificatie nodig behalve paypall helaas. Ik hoop dat daar nog ooit een alternatief voor komt (het is wel handig voor ebay en aankopen uit china)

[arjen9551]

Megamind schreef op maandag 21 april 2014 @ 19:52:
[...]

Je kan geen plugin installeren op je werklaptop? Volgens mij kan dat bij Chrome en Firefox prima zonder admin rechten.

Ja plugins lukt wel. Maar 'officieel' mogen wij ook geen chrome gebruiken, al is dat tot nu toe nog wel gewoon mogelijk.

Ik zie hier verschillende keepass aanhangers, nog bepaald argument dit te verkiezen boven bijvoorbeeld Lastpass? Of voornamelijk omdat Lastpass online is en je bij Keepass de database in eigen beheer hebt?

[Rukapul]

Dat laatste

En ik moet zeggen dat de laatste versie van Keepass een verbetering op een paar mindere punten inhoudt (performance, synchronisatie)

[triesvan]

Rukapul schreef op maandag 21 april 2014 @ 21:23:
Dat laatste

En ik moet zeggen dat de laatste versie van Keepass een verbetering op een paar mindere punten inhoudt (performance, synchronisatie)

Wat ik niet snap is welke versie ik moet installeren? De V1 of V2, beide hebben updates gekregen, en ik kan het verschil op de website niet echt vinden.

[leuk_he]

triesvan schreef op maandag 21 april 2014 @ 21:28:
[...]

Wat ik niet snap is welke versie ik moet installeren? De V1 of V2, beide hebben updates gekregen, en ik kan het verschil op de website niet echt vinden.

V2 is goed. V1 is ook nog steeds voldoende.

http://keepass.info/compare.html

[miles]

Mijn keepass database staat in dropbox ivm synchronisatie. Nu zou ik boxcryptor willen gebruiken, maar kan ik keepass dan nog steeds op m'n telefoon (iOS) gebruiken?

[analogworm]

Marzman schreef op maandag 21 april 2014 @ 20:32:
Ik heb ook Keepass, al jaren. Belangrijke dingen hebben dubbele identificatie nodig behalve paypall helaas. Ik hoop dat daar nog ooit een alternatief voor komt (het is wel handig voor ebay en aankopen uit china)

Dan kan het overigens nog wel handig zijn om een pincode voor evt telefonisch contact toe te voegen. Ik had op arstechnica een verhaal gelezen dat iemand zo door social engineering toegang had gekregen tot het account.

[ThinkPad]

Dat heb ik bij zaken als Gmail en Dropbox ook gedaan. Heb daar een relatief eenvoudig password, maar nadat je die hebt ingevoerd moet ik alsnog een code invoeren die gegenereerd wordt door de Google Authenticator app.

[RemcoDelft]

analogworm schreef op maandag 21 april 2014 @ 21:49:
Ik had op arstechnica een verhaal gelezen dat iemand zo door social engineering toegang had gekregen tot het account.

Om precies die reden beantwoord ik nooit "veiligheidsvragen". Vragen als: "wat is de naam van je huisdier" zijn veel te makkelijk. Mijn antwoord is standaard een paar meppen op het toetsenbord: jqf98h2873tyfiuashdfuywaeresjrfjhafhahefhsufnj dus. Deze veiligheidsvragen geven een enorm veiligheidsgat.
Op die manier heb ik zelfs m'n eerste rijbewijs kunnen ophalen zonder enige andere identificatie bij me te hebben.

[analogworm]

RemcoDelft schreef op dinsdag 22 april 2014 @ 08:37:
[...]

Om precies die reden beantwoord ik nooit "veiligheidsvragen". Vragen als: "wat is de naam van je huisdier" zijn veel te makkelijk. Mijn antwoord is standaard een paar meppen op het toetsenbord: jqf98h2873tyfiuashdfuywaeresjrfjhafhahefhsufnj dus. Deze veiligheidsvragen geven een enorm veiligheidsgat.
Op die manier heb ik zelfs m'n eerste rijbewijs kunnen ophalen zonder enige andere identificatie bij me te hebben.

Maar ironisch genoeg is het mij nog nooit gelukt om op die manier acces terug te krijgen tot mijn account... Op de een of andere manier was het antwoord altijd fout

Nu heb ik idd ook gewoon leugens erin staan en deze opgeslagen in mijn database..

[dude88]

Meestal wordt er ook via je e-mail adres een link gestuurd of nieuw password. Dus ze hebben ook je mail adres nodig om je password te wijzigen...

[Maardiweb]

Mooi topic. Ik was er ook naar aan het zoeken want ik begin toch ook het gevoel te krijgen dat een password manager wel redelijk belangrijk is. Zal vanavond thuis eens naar Keepass gaan kijken. Meest vervelende lijkt mij om op openbare computers te moeten gaan stoeien met inloggen. Aan de andere kant log ik op dit soort computers hooguit in op facebook en op tweakers, misschien kan ik die gewoon een 'normaal' password laten houden dan ofzo?

En hoe doen jullie het met dropbox zelf? Ik heb dropbox op 2 stappen auth staan, zou je dan ook nog je dropbox account een sick moeilijk password meegeven? Want ook dat lijkt me lastig juist als je even ergens wil inloggen op je dropbox?

[ThinkPad]

Maardiweb schreef op dinsdag 22 april 2014 @ 10:20:
Mooi topic. Ik was er ook naar aan het zoeken want ik begin toch ook het gevoel te krijgen dat een password manager wel redelijk belangrijk is. Zal vanavond thuis eens naar Keepass gaan kijken. Meest vervelende lijkt mij om op openbare computers te moeten gaan stoeien met inloggen. Aan de andere kant log ik op dit soort computers hooguit in op facebook en op tweakers, misschien kan ik die gewoon een 'normaal' password laten houden dan ofzo?

En hoe doen jullie het met dropbox zelf? Ik heb dropbox op 2 stappen auth staan, zou je dan ook nog je dropbox account een sick moeilijk password meegeven? Want ook dat lijkt me lastig juist als je even ergens wil inloggen op je dropbox?

Zie:

ThinkPadd schreef op dinsdag 22 april 2014 @ 06:50:
Dat heb ik bij zaken als Gmail en Dropbox ook gedaan. Heb daar een relatief eenvoudig password, maar nadat je die hebt ingevoerd moet ik alsnog een code invoeren die gegenereerd wordt door de Google Authenticator app.

Dat heb ik juist gedaan voor inloggen op openbare plaatsen. Dan wil je niet A0s**)S803lSLKf8()0SDF*)U hebben als password voor je Dropbox. Gewoon eentje die je kan onthouden (KeePass kan ook uitspreekbare wachtwoorden genereren, die blijven wel hangen) en 2FA (2-factor authentication) aanzetten.

[MaffeMaarten]

Ik heb sinds vorige week ook KeePass, erg fijn en ook "nerd-vriendelijk" zo staan mijn database op m'n NAS, waar ik via ssh bij kan, en mijn telefoon-app kan dat ophalen via sftp.
Ook kon ik al mijn geinporteerde wachtwoorden uit firefox opschonen door in de XML-replacefunctie een slimme XPath-zoekopdracht te doen.

Verder heb ik ook de taktiek dat ik voor dingen waar ik verwacht via publieke/bevriende PC's op in wil kunnen loggen een leesbaar wachtwoord pak. Zodat ik via m'n telefoon even kan kijken wat het wachtwoord was en dat dan in kan typen.