[Password Managers] Discussie- en reviewtopic

[Ramon]

XeNeRgY schreef op woensdag 21 oktober 2020 @ 20:28:
[...]

Ik gebruik nog geen password manager om de reden die ik hierboven genoemd heb:

Het nadeel is dat er 1 bekende provider is die al mijn wachtwoorden kent en, belangrijker nog, een overzicht heeft van alle websites en accounts en dus op die manier overal in kan loggen. Als deze gehackt word ben ik mogelijk flink de sjaak.

Security wordt fors verhoogd maar je creëert een single point of failure dat er eerder niet was. Ik heb het dan overigens vooral over online oplossingen als Lastpass.

Als je online oplossingen niet vertrouwd kan je keepass gebruiken, of een selfhosted bitwarden.

Maar over het algemeen hebben deze bedrijven/oplossingen security als selling point dus geven ze er meer aandacht aan dan de voetbalpoule website van de buurjongen.

[GekkePrutser]

XeNeRgY schreef op woensdag 21 oktober 2020 @ 20:28:
[...]

Ik gebruik nog geen password manager om de reden die ik hierboven genoemd heb:

Het nadeel is dat er 1 bekende provider is die al mijn wachtwoorden kent en, belangrijker nog, een overzicht heeft van alle websites en accounts en dus op die manier overal in kan loggen. Als deze gehackt word ben ik mogelijk flink de sjaak.

Security wordt fors verhoogd maar je creëert een single point of failure dat er eerder niet was. Ik heb het dan overigens vooral over online oplossingen als Lastpass.

Hier was ik ook bang voor, daarom heb ik zx2c4 pass. Het is nogal technisch allemaal, maar elk paswoord is afzonderlijk ge-encrypt met een public key die op een Yubikey staat (in mijn geval). Die ik ook nog eens moet aanraken voor elke actie.

Dus je hebt geen master paswoord waarmee iemand je hele database mee leeg kan melken. Tegen verlies heb ik meerdere Yubikeys en ook nog een gewone software private key die op een beveiligde USB stick staat en ik alleen in noodgevallen gebruik.

Tot die tijd deed ik het ook zo als jij. Met heel veel sites kan je eigenlijk niks met zo'n account (bestellen bij bol.com maar dan moeten ze zelf betalen want ik sla mijn creditcard nooit op). Maar paswoord lekken gebeuren gewoon te regelmatig nu, en het is stomvervelend om overal je paswoord te gaan veranderen. Daarom vond ik dat het zo niet meer kon.

Dus toen ben ik na gaan denken hoe ik het zelf idealiter wou hebben. Een master paswoord was meteen al van tafel exact om wat je hierboven zegt. Je kan het risico inperken door alles lokaal te draaien (in andermans cloud was voor mij sowieso een non starter). Maar dan nog kan malware je database stelen en je toetsenbord loggen. En van smartcards/yubikeys was ik altijd al fan (in plaats van paswoorden).

Dus ik ben hierop uitgekomen. Er was ook een hele goede Android app voor. En GUI clients voor Windows, Linux en Mac (ik gebruik alle platformen tegelijk dus bijvoorbeeld iCloud Keychain was sowieso geen optie). Ik ben er erg tevreden mee, behalve op het usability punt na. Je moet een git server draaien, en soms heb ik een sync conflict waardoor ik even moet prutsen met commits enzo. Maar qua beveiliging dekt het de scenarios waar ik bang voor was beter af dan een gewone paswoord manager zoals bitwarden (waar ik ook naar gekeken heb) ivm gebrek aan master paswoord.

Als er iets beters komt dat ook op deze manier werkt maar wat minder ingewikkeld is, ga ik daar meteen voor. Op de lange termijn hoop ik dat eindelijk Fido2 met passwordless mode eens van de grond komt. Ik kan nu al zo inloggen op Office 365. Key er in, pincode, yubikey aanraken en hij weet wie ik ben en ik ben ingelogd. Handig en super veilig, zo hoort het te zijn. Maar helaas ondersteunt verder nog niemand dit, en als ze al Fido ondersteunen dan is het alleen de oude U2F (MFA methode naast een gewoon paswoord) en daar heb ik geen interesse in.

[ Voor 13% gewijzigd door GekkePrutser op 21-10-2020 21:09 ]

[XeNeRgY]

GekkePrutser schreef op woensdag 21 oktober 2020 @ 21:04:
[...]


Hier was ik ook bang voor, daarom heb ik zx2c4 pass. Het is nogal technisch allemaal, maar elk paswoord is afzonderlijk ge-encrypt met een public key die op een Yubikey staat (in mijn geval). Die ik ook nog eens moet aanraken voor elke actie.

Dus je hebt geen master paswoord waarmee iemand je hele database mee leeg kan melken. Tegen verlies heb ik meerdere Yubikeys en ook nog een gewone software private key die op een beveiligde USB stick staat en ik alleen in noodgevallen gebruik.

Tot die tijd deed ik het ook zo als jij. Met heel veel sites kan je eigenlijk niks met zo'n account (bestellen bij bol.com maar dan moeten ze zelf betalen want ik sla mijn creditcard nooit op). Maar paswoord lekken gebeuren gewoon te regelmatig nu, en het is stomvervelend om overal je paswoord te gaan veranderen. Daarom vond ik dat het zo niet meer kon.

Dus toen ben ik na gaan denken hoe ik het zelf idealiter wou hebben. Een master paswoord was meteen al van tafel exact om wat je hierboven zegt. Je kan het risico inperken door alles lokaal te draaien (in andermans cloud was voor mij sowieso een non starter). Maar dan nog kan malware je database stelen en je toetsenbord loggen. En van smartcards/yubikeys was ik altijd al fan (in plaats van paswoorden).

Dus ik ben hierop uitgekomen. Er was ook een hele goede Android app voor. En GUI clients voor Windows, Linux en Mac (ik gebruik alle platformen tegelijk dus bijvoorbeeld iCloud Keychain was sowieso geen optie). Ik ben er erg tevreden mee, behalve op het usability punt na. Je moet een git server draaien, en soms heb ik een sync conflict waardoor ik even moet prutsen met commits enzo. Maar qua beveiliging dekt het de scenarios waar ik bang voor was beter af dan een gewone paswoord manager zoals bitwarden (waar ik ook naar gekeken heb) ivm gebrek aan master paswoord.

Als er iets beters komt dat ook op deze manier werkt maar wat minder ingewikkeld is, ga ik daar meteen voor. Op de lange termijn hoop ik dat eindelijk Fido2 met passwordless mode eens van de grond komt. Ik kan nu al zo inloggen op Office 365. Key er in, pincode, yubikey aanraken en hij weet wie ik ben en ik ben ingelogd. Handig en super veilig, zo hoort het te zijn. Maar helaas ondersteunt verder nog niemand dit, en als ze al Fido ondersteunen dan is het alleen de oude U2F (MFA methode naast een gewoon paswoord) en daar heb ik geen interesse in.

Thx voor je uitgebreide toelichting. Ik ga het eens onderzoeken. Het voelt voor mij vooralsnog niet comfortabel om mijn belangrijkste data in een cloud bij een onbekend bedrijf te plaatsen. De combi met een unieke, fysieke login spreekt mij erg aan.

[.SnifraM]

XeNeRgY schreef op woensdag 21 oktober 2020 @ 21:24:
[...]

Thx voor je uitgebreide toelichting. Ik ga het eens onderzoeken. Het voelt voor mij vooralsnog niet comfortabel om mijn belangrijkste data in een cloud bij een onbekend bedrijf te plaatsen. De combi met een unieke, fysieke login spreekt mij erg aan.

Je kunt je beter duizendmaal drukker maken dat 1 van de 400 websites waar je een account hebt een breach heeft waardoor je inloggegevens op straat komen te liggen (daarom unieke credentials + 2fa waar mogelijk gebruiken), dan dat de passwordmanager-dienst gehackt wordt. Dat risico is namelijk minimaal. En om dat minimale risico terug te dringen tot 0% kun je een yubikey op je password manager zetten. Ook al ligt dan jouw database op straat, dan is die encrypted en kan hij alleen geopend worden met de combinatie van jouw masterpassword + yubikey. Als je dat niet vertrouwd kun je beter van het internet wegblijven en een paar rollen extra alluminiumfolie in huis halen

[XeNeRgY]

Ik denk dat ik het als volgt ga doen:

- 5 e-mailadressen met uniek wachtwoord + 2FA via iPhone: deze neem ik niet op in de PW-manager
- overige accounts in PW-manager met uniek wachtwoord
- deze accounts hebben als e-mailadres 1 van deze 5 adressen (wachtwoord vergeten is daarmee ook safe)
- het wachtwoord in de PW-manager is niet het wachtwoord waarmee ik in kan loggen, ik voeg achteraan het wachtwoord nog een los woord toe dat ik altijd zelf typ

Zo heb ik wel de voordelen van unieke wachtwoorden die ik zelf niet hoef te onthouden, zonder dat de PW-manager mijn daadwerkelijke wachtwoorden kent. Bij een eventuele hack ben ik dan alsnog safe.

Nu eens kijken welke PW-manager ik ga gebruiken. Lastpass vind ik prettig werken en de gratis variant biedt voldoende features. Maar bij iets dat gratis is ben ik zelf het product, ik kan ook niks over het gratis 'verdienmodel' vinden. 1Password voelt dan al beter omdat het betaald is, maar wel zonde als er een goed gratis alternatief is. Bitwarden vind ik gruwelijk glitchy, veel foutmeldingen alleen al bij registreren en inloggen. Keepass is een stuk complexer en ik betwijfel of de sync tusssen windows - iOS - Linux probleemloos gaat.

Edit:

Ik krijg Bitwarden echt niet aan de gang. Heb nu 2 accounts aangemaakt, inloggen op PC lukt prima maar op 2 iOS apparaten krijg ik continu 'user/password' incorrect als ik op de Bitwarden app wil inloggen Zo wordt het wel erg lastig gebruiken.

[ Voor 37% gewijzigd door XeNeRgY op 22-10-2020 22:04 ]

[Tripl3 D]

@XeNeRgY waarom overweg je Dashlane en Keeper niet? Als ik zo het internet afschuim dan worden die over het algemeen ook hoog gewaardeerd. Ik ben namelijk zelf ook in de oriënterende fase en met name Dashlane spreekt me aan ivm hoge gebruiksvriendelijkheid (wil dit voor het hele gezin) en de goed werkende Android app (krijgt een 4.6 in de Play Store)

[Bl4ckviper]

Ik gebruik al jaren Keepass als tool. Bevalt op zich prima. Voor OTP heb ik google authenticator.
DB van Keepass staat op dropbox zodat ik deze kan gebruiken over verschillende devices heen.

Nu zou ik graag voor OTP niet meer afhankelijk willen zijn van Google.Ook in geval van telefoon verlies en ik dan papieren backups moeten hebben. Ik hoor veel over de Yubikey en dit lijkt mij wel een mooi alternatief.
Zowel voor het masterpw van keepass als OTP.

Nu is het OTP deel mij wel duidelijk. Gewoon hun Yubico app.
Echter wat mij niet zo duidelijk is, in beide gevallen, is een evt backup. Op hun site kan je een two-pack bestellen van de 5 nfc key. Maar hoe kan ik met deze beide keys zowel OTP als keepass unlocken?

Evt is keepass met otp ook een oplossing natuurlijk. Wat zijn jullie ervaringen hierin?

[begintmeta]

@Bl4ckviper, (T)OTP werkt op basis van een shared secret. Een yubikey slaat dat op. Bij een backup key zal je dus diezelfde secret moeten invoeren (dus via de app voor beide keys het shared secret (de QR-code) invoeren bijvoorbeeld). Ik heb een backup-key en daarnaast papieren backup.

Voor het unlocked van keepass mbv een yubikey bestaan vziw meerdere mogelijkheden. Ik gebruik voor mijn passwordmanager de yubikey als een soort key file. Voor die methode zou je ook weer hetzelfde algoritme en secret (voor een challenge-response slot) in de backup key moeten invoeren, voor andere mogelijkheden zijn er eventueel andere vereisten.

[ Voor 3% gewijzigd door begintmeta op 23-10-2020 10:32 ]

[Bl4ckviper]

begintmeta schreef op vrijdag 23 oktober 2020 @ 10:29:
@Bl4ckviper, (T)OTP werkt op basis van een shared secret. Een yubikey slaat dat op. Bij een backup key zal je dus diezelfde secret moeten invoeren (dus via de app voor beide keys het shared secret (de QR-code) invoeren bijvoorbeeld). Ik heb een backup-key en daarnaast papieren backup.

Voor het unlocked van keepass mbv een yubikey bestaan vziw meerdere mogelijkheden. Ik gebruik voor mijn passwordmanager de yubikey als een soort key file. Voor die methode zou je ook weer hetzelfde algoritme en secret (voor een challenge-response slot) in de backup key moeten invoeren, voor andere mogelijkheden zijn er eventueel andere vereisten.

Het komt er dus op neer dat je beide keys direct moet syncen/instellingen aanpassen op het moment dat een nieuw OTP account toevoegt.

En persoonlijk zou ik de key alleen gebruiken als 2fa dus ook op de db icm root pw. Want als iemand als nog je key heeft is die zo binnen.

[begintmeta]

Bl4ckviper schreef op vrijdag 23 oktober 2020 @ 10:55:
...

Het komt er dus op neer dat je beide keys direct moet syncen/instellingen aanpassen op het moment dat een nieuw OTP account toevoegt.

Klopt, of een tijdelijke buffer maken, door het secret tijdelijk op te slaan(op papier, foto, in je geheugen (zou mij niet lang lukken)), die je vernietigd zodra je de andere key ervan heb t voorzien.

En persoonlijk zou ik de key alleen gebruiken als 2fa dus ook op de db icm root pw. Want als iemand als nog je key heeft is die zo binnen.

Hoe ik het gebruik is dus als “salted hash” van mijn wachtwoord. Ik voer mijn wachtwoord in, dat wordt door de yubikey en de daarin opgeslagen secret (salt) naar een hash getransformeerd, vervolgens is die hash de daadwerkelijke sleutel. Zo kan ik dus vrij eenvoudig een lange sleutel gebruiken, en keylogging van het wachtwoord is niet voldoende om de sleutel te reproduceren (in tegenstelling tot alleen het wachtwoord), noch is alleen de yubikey voldoende (want dan ontbreekt het wachtwoord). Een key file kan je op een soortgelijke manier gebruiken (combinatie van inhoud van de file en het wachtwoord is de sleutel)

Maar dat is dus geen echte 2fa, aangezien er maar één sleutel is (de hash in dit geval), die wordt gevormd vanuit de combinatie van mijn wachtwoord en de secret in de key. (Zie ook posts hierover eerder in dit topic)

[ Voor 11% gewijzigd door begintmeta op 23-10-2020 13:23 ]

[GekkePrutser]

.SnifraM schreef op donderdag 22 oktober 2020 @ 11:27:
[...]


Je kunt je beter duizendmaal drukker maken dat 1 van de 400 websites waar je een account hebt een breach heeft waardoor je inloggegevens op straat komen te liggen (daarom unieke credentials + 2fa waar mogelijk gebruiken), dan dat de passwordmanager-dienst gehackt wordt. Dat risico is namelijk minimaal. En om dat minimale risico terug te dringen tot 0% kun je een yubikey op je password manager zetten. Ook al ligt dan jouw database op straat, dan is die encrypted en kan hij alleen geopend worden met de combinatie van jouw masterpassword + yubikey. Als je dat niet vertrouwd kun je beter van het internet wegblijven en een paar rollen extra alluminiumfolie in huis halen

Wel een puntje over die yubikey als 2FA, die wordt bij online diensten niet meegenomen in de encryptie. Het is geen encryptiemechanisme, het is puur een extra vereiste bij het inloggen.

Aangezien een eventuele hack van de paswoord dienst de inlog daar zal omzeilen, zal een MFA daarvoor geen extra beveiliging opleveren. Daar is het ook niet voor bedoeld.

[Bl4ckviper]

Vrouw gaat er ook aan dus 4 besteld 1 voor beide en 1 backup voor beid
Bij dustin.com €41,75 stond niet in de pricewatch. Gemiddelde reviews online. Maar goed simpele order moet vast goedkomen.

[begintmeta]

@Bl4ckviper, ben nog benieuwd hoe je ze concreet gaat gebruiken.

[Bl4ckviper]

begintmeta schreef op vrijdag 23 oktober 2020 @ 13:24:
@Bl4ckviper, ben nog benieuwd hoe je ze concreet gaat gebruiken.

Als vervanger voor de google authenticator voor alle MFA's.
Verder dus om mijn keepass te unlocken kijk nog ff naar HMAC-SHA1 Challenge-Response of OATH-HOTP.

[begintmeta]

Bl4ckviper schreef op vrijdag 23 oktober 2020 @ 13:30:
...
Als vervanger voor de google authenticator voor alle MFA's.
Verder dus om mijn keepass te unlocken kijk nog ff naar HMAC-SHA1 Challenge-Response of OATH-HOTP.

Zo gebruik ik de yubikey dus ook (met het HMAC-SHA1-mechanisme (en ik gebruik ook de PKI-functie)), volgens mij zijn de HMAC-SHA1 en OATH-HOTP-mechanismes conceptueel hetzelfde (dat laatste mechanisme gebruikt mijn passwordmanager niet), en het is in wezen geen 2FA, maar een verdeling van de sleutel over verschillende invoermechanismes. De afweging draait er dan denk ik om bij welk mechanisme de mastersleutel het veiligst wordt, en bij welk machanisme het onderscheppen van deelsleutels het minst oplevert.

[XeNeRgY]

Tripl3 D schreef op vrijdag 23 oktober 2020 @ 07:40:
@XeNeRgY waarom overweg je Dashlane en Keeper niet? Als ik zo het internet afschuim dan worden die over het algemeen ook hoog gewaardeerd. Ik ben namelijk zelf ook in de oriënterende fase en met name Dashlane spreekt me aan ivm hoge gebruiksvriendelijkheid (wil dit voor het hele gezin) en de goed werkende Android app (krijgt een 4.6 in de Play Store)

Geen bewuste reden. Er is erg veel keuze. Met LastPass gratis zou ik er al zijn (sync over meerdere platformen is mijn enige echte eis) maar het voelt niet lekker om zelf het product te zijn.

[Tripl3 D]

XeNeRgY schreef op vrijdag 23 oktober 2020 @ 15:14:
Geen bewuste reden. Er is erg veel keuze. Met LastPass gratis zou ik er al zijn (sync over meerdere platformen is mijn enige echte eis) maar het voelt niet lekker om zelf het product te zijn.

Dan zou ik toch ook eens Dashlane uitproberen. Schijnt echt wel een goede te zijn.

[Ferrox1]

XeNeRgY schreef op donderdag 22 oktober 2020 @ 21:26:
Ik denk dat ik het als volgt ga doen:

- 5 e-mailadressen met uniek wachtwoord + 2FA via iPhone: deze neem ik niet op in de PW-manager
- overige accounts in PW-manager met uniek wachtwoord
- deze accounts hebben als e-mailadres 1 van deze 5 adressen (wachtwoord vergeten is daarmee ook safe)
- het wachtwoord in de PW-manager is niet het wachtwoord waarmee ik in kan loggen, ik voeg achteraan het wachtwoord nog een los woord toe dat ik altijd zelf typ

Zo heb ik wel de voordelen van unieke wachtwoorden die ik zelf niet hoef te onthouden, zonder dat de PW-manager mijn daadwerkelijke wachtwoorden kent. Bij een eventuele hack ben ik dan alsnog safe.

Nu eens kijken welke PW-manager ik ga gebruiken. Lastpass vind ik prettig werken en de gratis variant biedt voldoende features. Maar bij iets dat gratis is ben ik zelf het product, ik kan ook niks over het gratis 'verdienmodel' vinden. 1Password voelt dan al beter omdat het betaald is, maar wel zonde als er een goed gratis alternatief is. Bitwarden vind ik gruwelijk glitchy, veel foutmeldingen alleen al bij registreren en inloggen. Keepass is een stuk complexer en ik betwijfel of de sync tusssen windows - iOS - Linux probleemloos gaat.

Edit:

Ik krijg Bitwarden echt niet aan de gang. Heb nu 2 accounts aangemaakt, inloggen op PC lukt prima maar op 2 iOS apparaten krijg ik continu 'user/password' incorrect als ik op de Bitwarden app wil inloggen Zo wordt het wel erg lastig gebruiken.

Kijk even of je domein een geldig certificaat heeft. Hier liep bij mij iOS op vast. De rest accepteerde het wel.

[user109731]

Ik heb jarenlang Lastpass gebruikt maar ben vorig jaar overgestapt naar een concurrent, omdat Lastpass destijds geen U2F/FIDO2/WebAuthn ondersteunde. Volgens mij zit dat er nu een jaar later nog steeds niet in? Dit is echt wel een flink minpunt vind ik, juist voor een password manager wil je gewoon de sterkste 2FA optie hebben en om daar dan jaren mee te wachten komt totaal niet sterk over.

[GekkePrutser]

user109731 schreef op zondag 25 oktober 2020 @ 12:59:
Ik heb jarenlang Lastpass gebruikt maar ben vorig jaar overgestapt naar een concurrent, omdat Lastpass destijds geen U2F/FIDO2/WebAuthn ondersteunde. Volgens mij zit dat er nu een jaar later nog steeds niet in? Dit is echt wel een flink minpunt vind ik, juist voor een password manager wil je gewoon de sterkste 2FA optie hebben en om daar dan jaren mee te wachten komt totaal niet sterk over.

Dit is wat ze nu ondersteunen, ze ondersteunen nu o.a. Yubikey MFA.

https://support.logmeinin...r-authentication-lp010002

Fido inderdaad niet, helaas. Snap ik ook niet helemaal. Ik gebruik het zelf ook niet maar we hebben er naar gekeken voor het werk.

[user109731]

Volgens dit artikel is dat nog steeds vatbaar voor phishing omdat het gebaseerd is op OTP in plaats van U2F. Best misleidend eigenlijk.

[Bobbje]

Goedemiddag heren,

Na aanleiding van het boek van Daniel Verlaan wou ik ook beginnen met een password manager, namelijk KeepassXC, alleen een ding krijg ik niet voor elkaar. Volgens KeePassXC handleiding moet je meerdere URL's kunnen toevoegen, zie https://keepassxc.org/doc...uide.html#_advanced_usage. Alleen ik zie de optie "Browser Integration" niet in KeePassXC als ik een entry bewerk. Iemand enig idee wat ik fout doen of een work around hebt?

Want loop nu tegen het probleem aan dat ik de URL erbij zet en de gebruikersnaam goed overneemt, alleen dan gaat de sharepoint site verder naar een andere URL en kan daar het wachtwoord niet plakken.

[Munchie]

Bobbje schreef op woensdag 28 oktober 2020 @ 13:17:
Goedemiddag heren,

Na aanleiding van het boek van Daniel Verlaan wou ik ook beginnen met een password manager, namelijk KeepassXC, alleen een ding krijg ik niet voor elkaar. Volgens KeePassXC handleiding moet je meerdere URL's kunnen toevoegen, zie https://keepassxc.org/doc...uide.html#_advanced_usage. Alleen ik zie de optie "Browser Integration" niet in KeePassXC als ik een entry bewerk. Iemand enig idee wat ik fout doen of een work around hebt?

Want loop nu tegen het probleem aan dat ik de URL erbij zet en de gebruikersnaam goed overneemt, alleen dan gaat de sharepoint site verder naar een andere URL en kan daar het wachtwoord niet plakken.

In Tools > Settings > Browser Integration, Enable browser integration aanvinken. Daarna KeepassXC opnieuw opstarten, en als het goed is verschijnt het dan wel in de entry editor.

[Bobbje]

Munchie schreef op woensdag 28 oktober 2020 @ 13:25:
[...]

In Tools > Settings > Browser Integration, Enable browser integration aanvinken. Daarna KeepassXC opnieuw opstarten, en als het goed is verschijnt het dan wel in de entry editor.

De laatste zin had ik nog niet gedaan, nu zie ik het wel.

Maar hartelijk dank ervoor!

[ Voor 3% gewijzigd door Bobbje op 28-10-2020 14:07 ]

[Bl4ckviper]

begintmeta schreef op vrijdag 23 oktober 2020 @ 14:02:
[...]

Zo gebruik ik de yubikey dus ook (met het HMAC-SHA1-mechanisme (en ik gebruik ook de PKI-functie)), volgens mij zijn de HMAC-SHA1 en OATH-HOTP-mechanismes conceptueel hetzelfde (dat laatste mechanisme gebruikt mijn passwordmanager niet), en het is in wezen geen 2FA, maar een verdeling van de sleutel over verschillende invoermechanismes. De afweging draait er dan denk ik om bij welk mechanisme de mastersleutel het veiligst wordt, en bij welk machanisme het onderscheppen van deelsleutels het minst oplevert.

Inmiddels alle 2fa OTP zaken op de yubikey en de backup. Dit ging verrassend simpel.
Volgende stap wordt de keepass database.

[chielmi]

Enkele maanden geleden overgestapt naar Bitwarden, na jaren Keepass te hebben gebruikt. Keepass heeft op zich genoeg synchronisatie / cloud opties, toch liep het delen van 1 Keepass db op meerdere devices geregeld niet goed.

Bitwarden_rs geïnstalleerd in Docker op mijn Synology NAS. Via een duckdns domeinnaam en let's encrypt certificaat maak ik verbinding met een custom poort. Daarnaast 2fa ingesteld.

Ben er zeer tevreden mee. Docker container draait hartstikke stabiel.
Zoals in vorige replies ook werd gemeld hoef je geen licenties aan te schaffen en heb je toch alle functionaliteit van een betaald account. Om dat te compenseren heb ik gedoneerd aan de developer van bitwarden_rs

Prima toegankelijke software ook. Mijn vader van 65 had het na een korte uitleg rap door, en gebruikt Bitwarden nu ook!

[MacPoedel]

chielmi schreef op dinsdag 17 november 2020 @ 14:16:
Prima toegankelijke software ook. Mijn vader van 65 had het na een korte uitleg rap door, en gebruikt Bitwarden nu ook!

Haha, mijn vriendin van 29 (ICT'er, Java developer...), moet ik elke keer opnieuw uitleggen hoe ze inlogt met Bitwarden . Ze heeft ook nog geen één van haar eigen wachtwoorden er op ingevoerd, ze gebruikt het alleen voor gedeelde accounts. Misschien is het dus omdat ze het te weinig gebruikt.

[honey]

Wat is jullie mening over SafeInCloud?

Ik zat te kijken of er een betere password manager is. 1Password, Keeper en alle andere grote spelers. Toch vallen deze me allemaal tegen. Dan heb ik het nog niet eens over de veel hogere prijs.

Ik ben verbaast waarom SafeInCloud niet veel vaker wordt genoemd. Natuurlijk zal 1Password e.d. veel meer kunnen adverteren. Dat verklaart ook deels de populariteit, maar mis ik verder iets? Ik zie geen reden om te wisselen.

[Arunia]

Gebruik zelf nog tevreden Enpass. Mijn vrouw gebruikt sinds wel de gezamenlijke kluis, maar ook alleen als ik het zeg. Terwijl ik er mee lees en schrijf. Maar wellicht is het op de pc en Android makkelijker dan ios.

[Freakster86]

Een keer een wat kritisch geluid m.b.t. Bitwarden (sorry ). Ik loop namelijk toch tegen (behoorlijk) wat dingen aan sinds ik een week geleden ben overgestapt van Enpass. Reden daarvoor: de familie gebruikt LastPass en ik wil ze daar weghalen. Uitgekomen bij Bitwarden, mede vanwege het vele positieve geluid dat je online tegenkomt. En dan moet ik het zelf natuurlijk ook wel gaan gebruiken om vragen te kunnen beantwoorden. Al was het maar voor even. Mijn persoonlijke ervaring na een week:

• Firefox extensie werkt in zijn geheel niet in Private Mode. Een foutmelding (Unfortunately this window is not available in private mode for this browser.) verwijst naar de website van Bitwarden waar een "omweg" staat uitgelegd, maar ook die werkt niet. En het komt over op mij alsof ze Firefox de schuld daarvan geven, maar ik ken geen andere password manager met hetzelfde probleem? En dit is blijkbaar al héél lang een issue, maar daar wordt niks aan gedaan. Enige optie is dus vanuit een normaal venster of uit de Windows app gebruikersnaam én wachtwoord te copy/pasten.
• Firefox extensie heeft als enige niet de optie om te vergrendelen bij systeem vergrendeling.
• Extensies syncen niet qua settings / uiterlijk, dus elke browser extensie moet je opnieuw instellen.
• Elke extensie moet opnieuw worden ontgrendeld, ondanks aanwezigheid van de Bitwarden app op Windows zelf, die al unlockt is. Zou fijn zijn als je de extensie ook lokaal kon koppelen, zodat alle extensies vanuit de Windows app gecontroleerd/geregeld worden. Enpass doet het op die manier en dat werkt een stuk fijner als je regelmatig van browser wisselt.
• Bitwarden vraagt meer niet dan wel om een nieuwe login op te slaan (vb. Otto, Aliexpress - zowel met Edge als Firefox). Dat kan aan de site liggen, maar Enpass lukt het in al die gevallen dus wel.
• Aanmaken nieuw wachtwoord gaat wat omslachtig. Via de rechter muisklik of extensie waarbij je dan nog steeds daarna moet copy/pasten. Er ontbreekt een simpele autofill optie van een nieuw gegenereerd wachtwoord. Het maakt het dan des te vervelender wanneer je even in een andere browser werkt en deze weer opnieuw moet ontgrendelen.

[Philo Melos]

Freakster86 schreef op maandag 23 november 2020 @ 12:07:

• Firefox extensie werkt in zijn geheel niet in Private Mode. Een foutmelding (Unfortunately this window is not available in private mode for this browser.) verwijst naar de website van Bitwarden waar een "omweg" staat uitgelegd, maar ook die werkt niet. En het komt over op mij alsof ze Firefox de schuld daarvan geven, maar ik ken geen andere password manager met hetzelfde probleem? En dit is blijkbaar al héél lang een issue, maar daar wordt niks aan gedaan. Enige optie is dus vanuit een normaal venster of uit de Windows app gebruikersnaam én wachtwoord te copy/pasten.
• Firefox extensie heeft als enige niet de optie om te vergrendelen bij systeem vergrendeling.
• Extensies syncen niet qua settings / uiterlijk, dus elke browser extensie moet je opnieuw instellen.
• Elke extensie moet opnieuw worden ontgrendeld, ondanks aanwezigheid van de Bitwarden app op Windows zelf, die al unlockt is. Zou fijn zijn als je de extensie ook lokaal kon koppelen, zodat alle extensies vanuit de Windows app gecontroleerd/geregeld worden. Enpass doet het op die manier en dat werkt een stuk fijner als je regelmatig van browser wisselt.
• Bitwarden vraagt meer niet dan wel om een nieuwe login op te slaan (vb. Otto, Aliexpress - zowel met Edge als Firefox). Dat kan aan de site liggen, maar Enpass lukt het in al die gevallen dus wel.
• Aanmaken nieuw wachtwoord gaat wat omslachtig. Via de rechter muisklik of extensie waarbij je dan nog steeds daarna moet copy/pasten. Er ontbreekt een simpele autofill optie van een nieuw gegenereerd wachtwoord. Het maakt het dan des te vervelender wanneer je even in een andere browser werkt en deze weer opnieuw moet ontgrendelen.

Bitwarden werkt gewoon vanuit Firefox private-mode. Als ik de rechtermuisknop indruk verschijnt een menuutje met onderaan Bitwarden. Daar kun je auto-invul kiezen.

Wb vergrendelen: Ik heb ervoor gekozen om dit met een pincode te doen. Scheelt behoorlijk qua inloggen met het hoofdwachtwoord. Moet wel elke keer nadat ik de browser heb afgesloten en nadien weer opnieuw gebruik de pincode weer intoetsen. Maar dat ongemak neem ik voor lief.

[Freakster86]

Philo Melos schreef op maandag 23 november 2020 @ 16:05:
[...]


Bitwarden werkt gewoon vanuit Firefox private-mode. Als ik de rechtermuisknop indruk verschijnt een menuutje met onderaan Bitwarden. Daar kun je auto-invul kiezen.

Zojuist nog eens getest, en nu werkt dat wel ja. Maar dan ben je alsnog gebonden aan de wachtwoord instellingen die je voor het laatst hebt gebruikt. Ik zet dit standaard op 30, maar op een site als Aliexpress mag je slechts max 20 tekens gebruiken en geen symbolen. Dan moet je alsnog heen en weer.

En dan nog hou je het probleem dat je niets kunt opslaan. Dus een nieuwe login? Dan moet je alsnog naar de Windows App of een normaal browser venster om het handmatig op te slaan (wat ik tot nu toe bijna elke keer al heb moeten doen helaas). Het feit dat dit al sinds 2017 een issue is en nog steeds niet serieus wordt genomen vind ik maar vreemd: https://github.com/bitwarden/browser/issues/136

Wb vergrendelen: Ik heb ervoor gekozen om dit met een pincode te doen. Scheelt behoorlijk qua inloggen met het hoofdwachtwoord. Moet wel elke keer nadat ik de browser heb afgesloten en nadien weer opnieuw gebruik de pincode weer intoetsen. Maar dat ongemak neem ik voor lief.

Dat heb ik ook ingesteld. Maar ik gebruik afwisselend Firefox, Edge en Chrome (zowel normaal als in private mode). Zodra je de browser sluit, moet je weer je wachtwoord opnieuw invoeren. Bij Enpass regelen ze dit vanuit de Windows app zelf. Dus de extensies zoeken telkens verbinding met die app en je hoeft slechts één keer je hoofdwachtwoord in te voeren bij het opstarten van je PC en vanaf dat moment alleen maar je pincode. Maakt niet uit welke browser je gebruikt of wanneer. Dat werkt echt een heel stuk simpeler.

[Philo Melos]

Freakster86 schreef op maandag 23 november 2020 @ 16:24:
[...]


Dat heb ik ook ingesteld. Maar ik gebruik afwisselend Firefox, Edge en Chrome (zowel normaal als in private mode). Zodra je de browser sluit, moet je weer je wachtwoord opnieuw invoeren. Bij Enpass regelen ze dit vanuit de Windows app zelf. Dus de extensies zoeken telkens verbinding met die app en je hoeft slechts één keer je hoofdwachtwoord in te voeren bij het opstarten van je PC en vanaf dat moment alleen maar je pincode. Maakt niet uit welke browser je gebruikt of wanneer. Dat werkt echt een heel stuk simpeler.

Ik hoef alleen maar de pincode opnieuw in te voeren. Kun je voor kiezen bij instellingen. Het had misschien nog makkelijker gekund, maar zo'n pincode intoetsen is 1 kleine moeite.

[tw1light]

Zijn er hier mensen met ervaringen met wachtwoordmanagers die een beetje lekker samenwerken met Windows Hello? Dashlane werkt voor mij nu aardig goed, maar de aanstaande overgang naar "web first" gaat de Windows Hello integratie zeer waarschijnlijk om zeep helpen

[Stpan]

Ik ben met mijn vriendin eindelijk aan de passwordmanager, en gekozen voor Dashlane vanwege de (volgens artikelen zoals Tweakers frontpage) gebruiksvriendelijkheid zodat mijn vriendin er ook mee om kan gaan.

We gebruiken Windows/Android telefoon/iOS telefoon en een family membership. En goed, het werkt makkelijk.

Maar ik vind het synchroniseren tussen apparaten op hetzelfde account, of het delen met een account, toch een enorme lag hebben. Op je desktop een pw wijzigen en gelijk op je mobiele telefoon gebruiken is geen garantie. En sterker nog - voor 1 website (die van de school) merk ik dat de Edge Extension en de website doodleuk het oude password vasthouden - terwijl de Chrome Extension en de windows applicatie wel het nieuwste sterke password hebben gekoppeld. De wijziging is meer dan 24 uur oud.

Ik word een beetje zenuwachtig van dit soort synchronisatie perikelen, maar kan nergens vinden dat Dashlane hier een slechte reputatie in heeft. Misschien wat beginnerspech? Ik ben benieuwd.

Ik heb voor bovenstaande synchronisatiebug een ticket bij het support center gelogd, en de afhandeling daarvan gaat bepalen of Dashlane een blijvertje is.

[ Voor 17% gewijzigd door Stpan op 15-12-2020 15:45 ]

[Aardwolf]

Ik heb al even gezocht en niet gevonden, maar hoe gaan jullie om met sites die bij inlog met 2FA standaard aanvinken: vraag voortaan niet meer, voeg toe aan vertrouwde apparaten, etc?

Vanuit beveiligingsoogpunt (waar je 2FA op voorhand al voor gebruikt) begrijp ik niet dat sites dit het standaard aangevinkt hebben staan, dus een opt-out ipv een opt-in. Wat heeft het voor zin om 2FA aan te bieden of zelfs te verplichten om vervolgens een apparaat te whitelisten om daarna nooit meer 2FA te gebruiken? Gebruiksvriendelijkheid, maar verder... wtf. Soms in de snelheid vergeet ik het uit te vinken, kan je later weer zoeken om het "vertrouwde" apparaat te verwijderen. Onveilig en vervelend.
Ik heb nog niet kunnen vinden of dit dus in zijn geheel uit te zetten is. Met doel dat je of die optie helemaal niet ziet of dat hij dus opt-in wordt en standaard uitgevinkt is. Ben daarom even nieuwsgierig hoe jullie daar mee omgaan en of het ergens een verborgen instelling is van bijv. outlook, gmail, facebook, etc?

(als de vraag hier niet hoort, aub verplaatsen)

[Airw0lf]

Stpan schreef op dinsdag 15 december 2020 @ 15:41:
Ik ben met mijn vriendin eindelijk aan de passwordmanager, en gekozen voor Dashlane vanwege de (volgens artikelen zoals Tweakers frontpage) gebruiksvriendelijkheid zodat mijn vriendin er ook mee om kan gaan.

Heb je ook nog anderen geprobeerd/getest?
Indien ja: welke en waarom viel(en) die af?

[Valinor]

Stpan schreef op dinsdag 15 december 2020 @ 15:41:
Ik ben met mijn vriendin eindelijk aan de passwordmanager, en gekozen voor Dashlane vanwege de (volgens artikelen zoals Tweakers frontpage) gebruiksvriendelijkheid zodat mijn vriendin er ook mee om kan gaan.

We gebruiken Windows/Android telefoon/iOS telefoon en een family membership. En goed, het werkt makkelijk.

Maar ik vind het synchroniseren tussen apparaten op hetzelfde account, of het delen met een account, toch een enorme lag hebben. Op je desktop een pw wijzigen en gelijk op je mobiele telefoon gebruiken is geen garantie. En sterker nog - voor 1 website (die van de school) merk ik dat de Edge Extension en de website doodleuk het oude password vasthouden - terwijl de Chrome Extension en de windows applicatie wel het nieuwste sterke password hebben gekoppeld. De wijziging is meer dan 24 uur oud.

Ik word een beetje zenuwachtig van dit soort synchronisatie perikelen, maar kan nergens vinden dat Dashlane hier een slechte reputatie in heeft. Misschien wat beginnerspech? Ik ben benieuwd.

Ik heb voor bovenstaande synchronisatiebug een ticket bij het support center gelogd, en de afhandeling daarvan gaat bepalen of Dashlane een blijvertje is.

Ik heb hetzelfde, voornamelijk met de browser extentie. Tussen de apps op mijn mobiele apparaten werkt het wel snel. Verder wel tevreden over. Met black friday weer verlengd voor 20 euro dus ik zit er weer een jaar aan vast

[begintmeta]

marcel87 schreef op zaterdag 19 december 2020 @ 15:50:... Wat heeft het voor zin om 2FA aan te bieden of zelfs te verplichten om vervolgens een apparaat te whitelisten om daarna nooit meer 2FA te gebruiken? Gebruiksvriendelijkheid, maar verder... wtf. Soms in de snelheid vergeet ik het uit te vinken, kan je later weer zoeken om het "vertrouwde" apparaat te verwijderen. Onveilig en vervelend.
...

Bij sites die ik tegenkom is whitelisten meestal niet de standaard-optie, wat ik op zich beter begrijp dan het whitelisten wat jij ziet. Dat het überhaupt mogelijk is te whitelisten snap ik wel en vind ik ook wel ok, aangezien 2fa op een veilig apparaat (bijvoorbeeld een zelf-beheerde computer met versleutelde schijf waar je met een smartcard+pin op inlogt) in mijn ogen niet noodzakelijk erg veel toevoegt. Maar dat kan voor iedereen anders liggen, en daarom is het ook goed om de tijd te nemen bij het inloggen en bijvoorbeeld de whitelist-vink goed in de gaten te houden (net als bijvoorbeeld de website-certificatencheck, die ik nog wel eens laat zitten)

[ Voor 14% gewijzigd door begintmeta op 01-01-2021 09:43 ]

[Dacuuu]

marcel87 schreef op zaterdag 19 december 2020 @ 15:50:
Ik heb al even gezocht en niet gevonden, maar hoe gaan jullie om met sites die bij inlog met 2FA standaard aanvinken: vraag voortaan niet meer, voeg toe aan vertrouwde apparaten, etc?

Vanuit beveiligingsoogpunt (waar je 2FA op voorhand al voor gebruikt) begrijp ik niet dat sites dit het standaard aangevinkt hebben staan, dus een opt-out ipv een opt-in. Wat heeft het voor zin om 2FA aan te bieden of zelfs te verplichten om vervolgens een apparaat te whitelisten om daarna nooit meer 2FA te gebruiken? Gebruiksvriendelijkheid, maar verder... wtf. Soms in de snelheid vergeet ik het uit te vinken, kan je later weer zoeken om het "vertrouwde" apparaat te verwijderen. Onveilig en vervelend.
Ik heb nog niet kunnen vinden of dit dus in zijn geheel uit te zetten is. Met doel dat je of die optie helemaal niet ziet of dat hij dus opt-in wordt en standaard uitgevinkt is. Ben daarom even nieuwsgierig hoe jullie daar mee omgaan en of het ergens een verborgen instelling is van bijv. outlook, gmail, facebook, etc?

(als de vraag hier niet hoort, aub verplaatsen)

Het whitelisten is iets minder veilig. Maar als iemand achter je wachtwoord is gekomen, moet die persoon nog steeds 2fa inloggen omdat die persoon niet gewhitelist is. Prima toch?

[Miki]

Ik gebruik al ruim 2 jaar 1Password en gebruik voor een aantal sites ook de ingebouwde 2Fa key generator. Dat werkt hartstikke goed met inloggen via de browser extensie en op de iPhone wordt de gegenereerde key tijdelijk in je klembord gekopieerd zodat je die kunt plakken nadat je login+wachtwoord is geverifieerd.

Dus voor een aantal sites heb ik bewust 2Fa aanstaan

[Aardwolf]

Dacuuu schreef op vrijdag 1 januari 2021 @ 09:33:
[...]


Het whitelisten is iets minder veilig. Maar als iemand achter je wachtwoord is gekomen, moet die persoon nog steeds 2fa inloggen omdat die persoon niet gewhitelist is. Prima toch?

Dat klopt, alleen niet als die persoon mijn computer of netwerk heeft gehackt lijkt me en remote toegang heeft. Ik weet niet hoe realistisch dat is, meestal zullen ze idd wel gegevens verzamelen en proberen in te loggen via hun eigen systemen. En dan hebben jullie, @begintmeta en jij gelijk.
Het inloggen via een hack op netwerk/computer/telefoon is dus waar ik enigszins vrees voor heb. Een remote toegang tot je pc of telefoon (maar onzichtbaar) en dan allerlei dingen doen... en dat kan dan omdat de pc/telefoon is gewhitelist. Ik denk op je telefoon een groter risico dan op pc. Als deze inlog elke keer opnieuw moet is kans op misbruik een heel stuk kleiner. Maar misschien kijk ik teveel scammer/hacking filmpjes op Youtube.

Ik begrijp uit jullie teksten dat er eigenlijk niet veel aan te doen is. Behalve dus regelmatig die whitelist controleren en wellicht alle sessies laten uitloggen.

[Airw0lf]

marcel87 schreef op vrijdag 1 januari 2021 @ 16:17:
[...]

Dat klopt, alleen niet als die persoon mijn computer of netwerk heeft gehackt lijkt me en remote toegang heeft. Ik weet niet hoe realistisch dat is, meestal zullen ze idd wel gegevens verzamelen en proberen in te loggen via hun eigen systemen. En dan hebben jullie, @begintmeta en jij gelijk.
Het inloggen via een hack op netwerk/computer/telefoon is dus waar ik enigszins vrees voor heb. Een remote toegang tot je pc of telefoon (maar onzichtbaar) en dan allerlei dingen doen... en dat kan dan omdat de pc/telefoon is gewhitelist. Ik denk op je telefoon een groter risico dan op pc. Als deze inlog elke keer opnieuw moet is kans op misbruik een heel stuk kleiner. Maar misschien kijk ik teveel scammer/hacking filmpjes op Youtube.

Ik begrijp uit jullie teksten dat er eigenlijk niet veel aan te doen is. Behalve dus regelmatig die whitelist controleren en wellicht alle sessies laten uitloggen.

Onzichtbaar remote toegang... misschien flauw... maar volgens mij kan dat niet - elke login wordt toch gelogd?

Maar goed - mocht dat toch het geval zijn: je zou twee (soort van) audits kunnen doen? Eentje op de logins en eentje op het netwerkverkeer (via de packets)? Bijvoorbeeld met Auditbeat en Packetbeat van Elastic.

Op die manier krijg je inzicht in wie er allemaal een "login" doet - ook als dat via een service is.
Dat wordt dan gecombineerd met IP-adressen waarlangs gegevens uitgewisseld worden.
Hiermee zou je in ieder geval achterhalen of er rare dingen op je systeem gebeuren.

Is misschien over de top en kost ff wat moeite om e.e.a. in te regelen. Maar het werkt wel. Tis te zeggen... ik heb op deze manier het afgelopen jaar meerdere rare RDP-login-pogingen opgespoord en om zeep geholpen.
Auditbeat leverde de login namen en Packetbeat de publieke IP-adressen. Dit werd door Elastic aangevuld met de Geolocatie.

[Stpan]

Airw0lf schreef op zondag 20 december 2020 @ 12:28:
[...]


Heb je ook nog anderen geprobeerd/getest?
Indien ja: welke en waarom viel(en) die af?

Ik heb me er gemakkelijk vanaf gemaakt, en heb alleen Dashlane geprobeerd. Als de meest gebruiksvriendelijke Password Manager geen 'user acceptance' zou krijgen thuis, en is de rest bij voorbaat kansloos.

D2FValinor schreef op vrijdag 1 januari 2021 @ 03:40:
[...]

Ik heb hetzelfde, voornamelijk met de browser extentie. Tussen de apps op mijn mobiele apparaten werkt het wel snel. Verder wel tevreden over. Met black friday weer verlengd voor 20 euro dus ik zit er weer een jaar aan vast

Ik heb inmiddels antwoord, Dashlane gooit het erop dat de browser extensie niet altijd goed werkt als je op een corporate netwerk zit, vanwege mogelijke beperkingen. Mijn eerste klacht kwam inderdaad via mijn werklaptop dus dat zou het euvel kunnen zijn.

Nu heb ik gisteren prive een password aangemaakt, met behulp van de browser-extensie. En die staat dan 5 minuten later (als ik de app van de bijbehorende website op mijn telefoon installeer) nog niet in de Dashlane app. Toen ik de volgende ochtend checkte stond die er gewoon wel in.

Maar het blijft onhandig.

Mooie deal trouwens voor 20 euro!

[ Voor 3% gewijzigd door Stpan op 04-01-2021 15:22 ]

[Valinor]

Stpan schreef op maandag 4 januari 2021 @ 02:04:
[...]


Ik heb me er gemakkelijk vanaf gemaakt, en heb alleen Dashlane geprobeerd. Als de meest gebruiksvriendelijke Password Manager geen 'user acceptance' zou krijgen thuis, en is de rest bij voorbaat kansloos.


[...]


Ik heb inmiddels antwoord, Dashlane gooit het erop dat de browser extensie niet altijd goed werkt als je op een corporate netwerk zit, vanwege mogelijke

Nu heb ik gisteren prive een password aangemaakt, met behulp van de browser-extensie. En die staat dan 5 minuten later (als ik de app van de bijbehorende website op mijn telefoon installeer) nog niet in de Dashlane app. Toen ik de volgende ochtend checkte stond die er gewoon wel in.

Maar het blijft onhandig.

Mooie deal trouwens voor 20 euro!

Blijft inderdaad onhandig. Zit sinds kort op een macbook, nog niet echt uitgetest, hopelijk is het daarop beter.

Ja die 50% was wel nice. Was geen blackfriday deal herinner ik mij nu. Zat te kijken voor een dashlane BF deal maar dat viel tegen totdat ik op reddit iemand zag posten dat de code WFH50 ook voor renewals werkte (misschien werkt hij nog )
Anders was ik sws voor de lastpass black friday deal gegaan.

[Milmoor]

Het nadeel van een Password Manager is dat je die of op het apparaat in kwestie moet openen of moet overtypen van een ander apparaat. Een fijn werkende workaround als je een USB apparaat kan aansluiten: Inputstick. Deze doet een toetsenbord na, en typt in wat je naar hem doorstuurt. Hiermee kan je op je mobiel je Password Manager openen, en deze typt je wachtwoord voor je in op het apparaat waar je deze nodig hebt. Kleine wachtwoorden typ ik nog over, maar ingewikkelde of lange wachtwoorden stuur ik door.
Zelf gebruik ik deze op iOS, samen met Keepass Touch, en mijn wachtwoordbestand met een stevig wachtwoord in Dropbox. Flexibel, en toch veilig. Ik had ook de Apple Password manager of iets anders kunnen gebruiken.

[Stpan]

Welke wachtwoorden type je over dan?
En een wachtwoord bestand (Word? Txt?) op je Dropbox? Waar gebruik je dat bestand dan voor?

Ik geloof dat ik je use case niet goed begrijp.

Ik heb Dashlane geïnstalleerd (als App of browser extensie) op mijn prive Android, zakelijke iOS, mijn privé Windows 10 en zakelijke laptop.

Dashlane bewaart alle wachtwoorden voor mijn websites. Dus een wachtwoord aangemaakt op mijn Android werkt op mijn zakelijke laptop waar Dashlane automatisch mijn username en (sterke door Dashlane aangemaakt) password aanvult.

Dat lijkt me het idee van een wachtwoordmanager, dat je juist niets overtypt en niets zelf opslaat. Keepass werkt neem ik aan ook op (en synchroniseert langs) verschillende platformen?

De standaard Apple (of Android) wachtwoordmanager zou perfect zijn als ik alleen maar iOS zou hebben voor prive of werk, maar daar heb ik nou juist een onafhankelijke wachtwoordmanager voor nodig.

Sorry als ik je punt volledig gemist heb.

[ Voor 16% gewijzigd door Stpan op 05-01-2021 13:16 ]

[Milmoor]

@Stpan Ik gebruik Keepass Touch op mijn telefoon t.b.v. een wachtwoord manager direct op een computer waar ik het wachtwoord nodig heb. Dat kan trouwens ook met Dashlane i.p.v. Keepass Touch. Ik kan bijv. mijn telefoon om gebruiken om in te loggen op mijn werk PC, of op de laptop van pietje die ik even mag lenen om mijn mail te controleren. Dan hoef ik daar geen password manager te hebben. Een beschikbare USB poort is voldoende. Helpt dit?

[GekkePrutser]

Milmoor schreef op maandag 4 januari 2021 @ 20:04:
Het nadeel van een Password Manager is dat je die of op het apparaat in kwestie moet openen of moet overtypen van een ander apparaat. Een fijn werkende workaround als je een USB apparaat kan aansluiten: Inputstick. Deze doet een toetsenbord na, en typt in wat je naar hem doorstuurt. Hiermee kan je op je mobiel je Password Manager openen, en deze typt je wachtwoord voor je in op het apparaat waar je deze nodig hebt. Kleine wachtwoorden typ ik nog over, maar ingewikkelde of lange wachtwoorden stuur ik door.
Zelf gebruik ik deze op iOS, samen met Keepass Touch, en mijn wachtwoordbestand met een stevig wachtwoord in Dropbox. Flexibel, en toch veilig. Ik had ook de Apple Password manager of iets anders kunnen gebruiken.

Ja er is ook de mooltipass.. Best cool ding, heb er zelf een.

Maar ik gebruik hem niet meer, het is veeeel te langzaam om de PIN code in te vullen en een paswoord op te zoeken met dat +/- slidertje.

[Stpan]

Milmoor schreef op dinsdag 5 januari 2021 @ 21:36:
@Stpan Ik gebruik Keepass Touch op mijn telefoon t.b.v. een wachtwoord manager direct op een computer waar ik het wachtwoord nodig heb. Dat kan trouwens ook met Dashlane i.p.v. Keepass Touch. Ik kan bijv. mijn telefoon om gebruiken om in te loggen op mijn werk PC, of op de laptop van pietje die ik even mag lenen om mijn mail te controleren. Dan hoef ik daar geen password manager te hebben. Een beschikbare USB poort is voldoende. Helpt dit?

Dus als ik het goed begrijp, in de gevallen dat je op een computer zit waar je niet jouw wachtwoord manager op kan/mag/wil installeren zou je handmatig een wachtwoord moeten intypen voor een website of een bestand.

En voor die use case raad je aan om een wachtwoordmanager op een USB-stick te gebruiken.
En als dat niet kan, gebruik je een document die je op je Dropbox of andere online vault hebt staan om te kunnen pasten.

Ik moet zeggen dat ik voor mezelf moeite heb om een goede use case te bedenken, want kom nooit in een positie dat ik vertrouwelijke/beveiligde websites bezoek op iemand anders computer. Maar er is een markt, en ik kan me bedenken dat als je een systeembeheerder bent dat dit handig kan zijn.

Overigens kun je Dashlane (en vast vele andere PW managers) altijd via het web bereiken om vanuit daar te copy-pasten, of nog beter: direct door Dashlane in te laten loggen (zodat er niets op het clipboard achterblijft). Dat ljikt me vele malen veiliger dan de Dropbox methode.

[GekkePrutser]

Stpan schreef op woensdag 6 januari 2021 @ 04:11:
[...]
En voor die use case raad je aan om een wachtwoordmanager op een USB-stick te gebruiken.
En als dat niet kan, gebruik je een document die je op je Dropbox of andere online vault hebt staan om te kunnen pasten.

Ik zou eerlijk gezegd sowieso geen paswoorden intypen op een onbekende computer. Via USB of wat dan ook. Een keylogger en je bent al de sjaak.

Als je dat vaak moet doen kan je beter Fido2 of zoiets gebruiken. Zelfs als je alles onderschept heb je niet genoeg om een nieuwe login te triggeren namelijk. Wat je met een onderschept paswoord natuurlijk wel hebt.

[begintmeta]

GekkePrutser schreef op woensdag 6 januari 2021 @ 04:27:
....

Ik zou eerlijk gezegd sowieso geen paswoorden intypen op een onbekende computer.

Dat is inderdaad het beste.

Als je dat vaak moet doen kan je beter Fido2 of zoiets gebruiken. Zelfs als je alles onderschept heb je niet genoeg om een nieuwe login te triggeren namelijk. Wat je met een onderschept paswoord natuurlijk wel hebt.

Over het algemeen wordt de login dan toch ook door iets getriggerd dat te onderscheppen is, zoals invoer van een gebruikersnaam of bezoeken van een bepaalde url? Of begrijp ik getriggerd verkeerd? Het is bij fido 2 of een otp- systeem natuurlijk niet mogelijk om door een opnieuw afspelen van een voorgaande procedure de login succesvol af te ronden, wat bij een simpel wachtwoord wel zo is.

[ Voor 12% gewijzigd door begintmeta op 06-01-2021 08:33 ]

[GekkePrutser]

begintmeta schreef op woensdag 6 januari 2021 @ 08:31:
Over het algemeen wordt de login dan toch ook door iets getriggerd dat te onderscheppen is, zoals invoer van een gebruikersnaam of bezoeken van een bepaalde url? Of begrijp ik getriggerd verkeerd? Het is bij fido 2 of een otp- systeem natuurlijk niet mogelijk om door een opnieuw afspelen van een voorgaande procedure de login succesvol af te ronden, wat bij een simpel wachtwoord wel zo is.

Fido2 is niet zoals een OTP systeem, meer zoals een smartcard. De Fido key bevat een asymmetrische sleutel, je kan bewijzen dat je hem hebt, zonder de sleutel zelf af te geven. Een challenge-response systeem.

Met Fido2 in passwordless (CTAP) mode hoef je niet eens meer een username in te voeren. De website vraagt van "Steek je sleutel in", en daarmee weet hij ook gelijk de gebruiker. Heel handig!

Je moet wel een pincode invoeren, en die kan onderschept worden, maar daar heb je zonder het token zelf niets aan. En die kan je ook periodiek veranderen. Eigenlijk net zoals een pinpas met chip.

[begintmeta]

GekkePrutser schreef op woensdag 6 januari 2021 @ 13:16:
[...]


Fido2 is niet zoals een OTP systeem, meer zoals een smartcard. De Fido key bevat een asymmetrische sleutel, je kan bewijzen dat je hem hebt, zonder de sleutel zelf af te geven. Een challenge-response systeem.
...

Denk dat ik “triggeren” inderdaad anders begreep, het is op zich best te triggeren, maar het is lastig/in principe uitgesloten een goede respons te geven op de trigger.

Ik gebruik ook een aantal fido2-sleutels, is inderdaad een mooi systeem, als men het ondersteunt. Mijn yubikey gebruik ik daarnaast tegenwoordig ook als smartcard en gpg-container (en totp-secret-container). Vind dat heel handig moet ik zeggen.

Bij smart cards is het trouwens imho aan te raden een (liefst zelf-beheerste) lezer met geïntegreerd keypad te gebruiken, in verband met het keyloggen.

[GekkePrutser]

begintmeta schreef op woensdag 6 januari 2021 @ 14:28:
[...]

Denk dat ik “n” inderdaad anders begreep, het is op zich best te troggelen, maar het is lastig/in principe uitgesloten een goede respons te geven op de trigger.

Ik gebruik ook een aantal fido2-sleutels, is inderdaad een mooi systeem, als men het ondersteunt. Mijn yubikey gebruik ik daarnaast tegenwoordig ook als smartcard en gpg-container (en totp-secret-container). Vind dat heel handig moet ik zeggen.

Bij smart cards is het trouwens imho aan te raden een (liefst zelf-beheerste) lezer met geïntegreerd keypad te gebruiken, in verband met het keyloggen.

Inderdaad! Heb ik zelf vroeger ook gedaan. Ik gebruik al heel lang smartcards. Eerst SmartcardHSM, later OpenPGP en nu yubikeys met OpenPGP, PIV en Fido2 door elkaar heen.

Maar sindsdien de opkomst van de Yubikey ben ik daarop overgegaan en dan heb je die mogelijkheid van losse reader met PIN helaas niet meer. Er is helaas geen fysieke smartcard die alle protocollen aankan die ik nu nodig heb.

Ik ben een enorme voorstander van passwordless want daarmee los je het hele paswoord probleem voorgoed op. Maar inderdaad, Fido2 wordt nog amper ondersteund. Ik gebruik het alleen op Office 365. Voor inlog op Windows en Mac gebruik ik PIV (werkt beter met AD dan Fido2, zelfs via remote desktop!). En OpenPGP voor mijn paswoord manager (pass) en direct voor inlog op SSH. Voordeel van pass in combinatie met de yubikey is dat je geen master password meer nodig hebt, dus dat kan ook niet gelogd worden. Elk paswoord moet met een druk op de yubikey bevestigd worden zelfs na invoer van de pincode (mits je touch to sign ingesteld hebt). Dit was voor mij het moment om over te gaan op yubikeys omdat smart cards deze extra beveiliging missen: Zodra je de pin hebt ingevoerd wordt elke operatie zonder bevestiging uitgevoerd. Dus iets dat je SSH agent hijackt kan dan zo door inloggen. En dit is in de praktijk ook echt gebeurd, zie de hack van Matrix.org. Doordat ik bij mij de yubi even voor elke inlog aan moet raken, kan dat dus niet meer.

Ik zoek echt een manier om mijn interne web dingen ook Fido2 compliant te maken. Ik heb al eens zitten neuzelen maar een open source IDP (a la Okta bijvoorbeeld) maar niet echt gevonden.

[Milmoor]

Stpan schreef op woensdag 6 januari 2021 @ 04:11:
[...]


Dus als ik het goed begrijp, in de gevallen dat je op een computer zit waar je niet jouw wachtwoord manager op kan/mag/wil installeren zou je handmatig een wachtwoord moeten intypen voor een website of een bestand.

Klopt.

En voor die use case raad je aan om een wachtwoordmanager op een USB-stick te gebruiken.

Zeker niet. De USB stick is geen data opslag, maar een heel compact toetsenbord in vermomming. www.inputstick.com: zie ook filmpje.

En als dat niet kan, gebruik je een document die je op je Dropbox of andere online vault hebt staan om te kunnen pasten.

Zeer zeker niet. Mijn Keepass file staat op Dropbox, beveiligd met een erg stevig wachtwoord. Ik open die op mijn eigen veilige telefoon. Die stuurt alleen het relevante wachtwoord door naar de USB stick, die hem voor mij intypt op de PC waar ik dit wachtwoord nodig heb.

Ik moet zeggen dat ik voor mezelf moeite heb om een goede use case te bedenken, want kom nooit in een positie dat ik vertrouwelijke/beveiligde websites bezoek op iemand anders computer. Maar er is een markt, en ik kan me bedenken dat als je een systeembeheerder bent dat dit handig kan zijn.

Ik werk regelmatig op computers van anderen, via Citrix, Remote Desktop, Teamviewer, etc. De andere kant is behoorlijk veilig, maar niet meer dan dat. Ik mag er vaak niets installeren. Maar ik moet er wel wachtwoorden intypen om verder te kunnen. En zelfs al mag ik wat installeren, ik typ liever mijn hoofd wachtwoord alleen in op mijn eigen apparatuur.

Overigens kun je Dashlane (en vast vele andere PW managers) altijd via het web bereiken om vanuit daar te copy-pasten, of nog beter: direct door Dashlane in te laten loggen (zodat er niets op het clipboard achterblijft). Dat ljikt me vele malen veiliger dan de Dropbox methode.

Klopt, maar ik gebruik het dan ook anders dan jij begrepen had.

[JDFS]

Gisteren met een vriend Bitwarden via de geweldige bitwarden_rs Docker image geïnstalleerd op mijn Synology. Ik ben al sinds 2015 een betalende 1Password-gebruiker, maar bloed kruipt waar het niet gaan kan en het DIY- en open source-gehalte van Bitwarden spreekt mij wel aan. Mijn vriend gebruikt het nu twee weken en is overgestapt van Lastpass, hij heeft nog even 1Password gebruikt maar was helemaal om met Bitwarden.

Ik nu, na 1 dag, ook! Wat een genot om het te draaien op je eigen server, dit via een reverse proxy te kunnen benaderen en het allemaal gewoon goed en strak werkt op verschillende devices (iOS, Windows, Mac in mijn geval). Een groot voordeel ten opzichte van 1Password, en zeker als je veel met o.a. een Synology, domotica etc bezig bent: de URI (dit was een nieuwe term voor mij, ik kende alleen URL ) op host niveau in te voeren. Bij 1Password kreeg ik namelijk bij http://localip:poort altijd alle wachtwoorden en gebruikersnamen te zien die er waren; zeer vervelend als je dus een losse login hebt voor Synology, Portainer, Nginx, Bitwarden etc.

Dat probleem is nu dus opgelost! Ook wordt er een backup via Hyper Drive naar mijn Google Drive gesynced en kan ik weer lekker 2FA gebruiken op de sites die het toestaan.

Nu nog even uitvogelen hoe access lists werken in Nginx en dan is het helemaal dicht. Overigens via Nginx nu ook uitgevogeld de Plex Server open te zetten naar buiten, zonder port forwarding (alles loopt via 80 en 443). Ik ben een leek op het gebied van netwerken, maar toch mooi om te zien hoe dit gaat!

[rachez]

JDFS schreef op zondag 17 januari 2021 @ 11:44:
Gisteren met een vriend Bitwarden via de geweldige bitwarden_rs Docker image geïnstalleerd op mijn Synology. Ik ben al sinds 2015 een betalende 1Password-gebruiker, maar bloed kruipt waar het niet gaan kan en het DIY- en open source-gehalte van Bitwarden spreekt mij wel aan. Mijn vriend gebruikt het nu twee weken en is overgestapt van Lastpass, hij heeft nog even 1Password gebruikt maar was helemaal om met Bitwarden.

Ik nu, na 1 dag, ook! Wat een genot om het te draaien op je eigen server, dit via een reverse proxy te kunnen benaderen en het allemaal gewoon goed en strak werkt op verschillende devices (iOS, Windows, Mac in mijn geval).

Nu nog even uitvogelen hoe access lists werken in Nginx en dan is het helemaal dicht. Overigens via Nginx nu ook uitgevogeld de Plex Server open te zetten naar buiten, zonder port forwarding (alles loopt via 80 en 443). Ik ben een leek op het gebied van netwerken, maar toch mooi om te zien hoe dit gaat!

Nice, wil hier ook eens naar gaan kijken. Heb je een specifieke handleiding op internet gevolgd om je docker container dmv een reverse proxy bereikbaar te krijgen?

[ndonkersloot]

@JDFS
Is er een reden dat je los nginx (in een extra container?) gebruikt als reverse proxy? Dat kan Synology zelf toch ook?

[Dacuuu]

rachez schreef op maandag 18 januari 2021 @ 20:15:
[...]


Nice, wil hier ook eens naar gaan kijken. Heb je een specifieke handleiding op internet gevolgd om je docker container dmv een reverse proxy bereikbaar te krijgen?

https://hub.docker.com/r/linuxserver/swag

Dan heb je alles in 1, nginx reverse proxy. Fail2ban, geoblock en meer. Werkt prima

[rachez]

Thx!

Ha linuxserver.io. Daar heb ik al het een en ander van, super spul.
Ga ik eens naar kijken.

[JDFS]

@rachez, zoek ik morgen even op.

Overigens draai ik Nginx Proxy Manager via een docker image. Zeer mooie GUI!

@ndonkersloot, ik weet niet of het met DSM mogelijk is, maar de mogelijkheid om Theme Park css style sheets te draaien zonder een Stylus extension en dus op al mijn devices. Zo ziet Bitwarden er bijv. op mijn iPad via Edge uit met een Plex thema:


En dit dus ook voor Radar, Sonarr, sabnzbd, Portainer en ga zo maar door . Heerlijke uniformiteit op alle devices. Er zijn ook nog donkere stylen, maar ik vond deze wel geinig en in lijn met Plex.

[ Voor 16% gewijzigd door JDFS op 18-01-2021 23:15 ]

[ndonkersloot]

@JDFS
Dat is grappig, dat kende ik nog niet.
Zo te zien doen ze dat door de stylesheet in de header mee te geven, je kan custom headers gebruiken in de reverse proxy van DSM dus verwacht dat het ook werkt. Niet dat een losse reverse proxy niet goed is hoor.

Ik zal het binnenkort is testen.

[JDFS]

Ik ga het gelijk even testen! Als het in DSM zelf kan, wellicht ook handiger.

Overigens voor de geïnteresseerden: https://github.com/gilbN/theme.park - voor zowat iedere (veel gebruikte) app is er een thema te verkrijgen in meerdere kleuren. Zo wordt voor mij het gebruik van stylus / stylish steeds minder en is Dark Reader voldoende (plus natuurlijk custom css op Tweakers ).

[JDFS]

@rachez: deze tutorial! https://medium.com/swlh/s...ssword-vault-313d76374046

[rachez]

Thx!

Gebruik je bitwarden buitenshuis dmv een VPN, zoals beschreven?
Lijkt me dan nog wel een dingetje qua gebruiksgemak.

Ik gebruik nu keepass2android icm nextcloud om passwords thuis op te halen, werkt best redelijk qua gebruiksgemak (merged bv nieuwe entries real time in de database thuis), maar moet wel altijd het password handmatig in de browser pasten.
Dus zoek eigenlijk wat beters..

[ndonkersloot]

Ik gebruik nu Enpass maar stoor me eraan dat er steeds nieuwe dingen bij komen waar je 'weer' voor moet betalen. Ik heb enpass al langer en eenmalig betaald. Sync mijn DB nu via webdav en buitenhuis via een vpn.

Ik ga waarschijnlijk over op bitwarden, en richt het dan zoals onderstaand in. Zodat websockets werken en fail2ban en ga het dan wel open zetten (met een geoip filter alleen in NL)

https://github.com/sosand...twarden_rs-caddy-synology

[prakka]

ndonkersloot schreef op woensdag 20 januari 2021 @ 14:25:
Ik gebruik nu Enpass maar stoor me eraan dat er steeds nieuwe dingen bij komen waar je 'weer' voor moet betalen. Ik heb enpass al langer en eenmalig betaald. Sync mijn DB nu via webdav en buitenhuis via een vpn.

Ik ga waarschijnlijk over op bitwarden, en richt het dan zoals onderstaand in. Zodat websockets werken en fail2ban en ga het dan wel open zetten (met een geoip filter alleen in NL)

https://github.com/sosand...twarden_rs-caddy-synology

Vanwege precies dezelfde redenen zit ik hier ook aan te denken.

[technorabilia]

@ndonkersloot
Ik geloof dat het wel in orde is hoor, maar aan de andere kant zie ik veel mensen deze onofficiële implementatie van Bitwarden server gebruiken zonder daarbij stil te staan (ik praat nu algemeen en niet tegen jou persoonlijk ).

Wie is deze developer? Expertise? Is het één persoon? Code review? Toekomst bestendig? (retorische vragen overigens )

Maar goed, ik besef ook dat closed source en cloud based oplossingen risico's hebben.

Caddy heb je denk ik niet perse nodig. Je kunt ook zonder diverse reverse proxies op poort 443 laten draaien.

[ndonkersloot]

@kraades
Daar heb je helemaal gelijk in, dat is altijd lastig zonder zelf een code review te doen waar ik simpelweg de tijd en kunde niet voor heb. Ik heb besloten om bitwarden_rs met alles wat ik er over gelezen heb te vertrouwen.

Ik ga het op Synology draaien, en die heeft zelf een reverse proxy echter krijg je dan de websockets niet goed werkend. Om die reden is de caddy server er tussen.

[technorabilia]

@ndonkersloot
Je kunt bij een reverse proxy bij custom headers ook Websockets aangeven. Ik heb dit werkend op een Synology met bijvoorbeeld een reverse proxy naar een Visual Studio Code container op poort 443. Daarom snap ik het gebruik van Caddy niet zo goed.

Ik ga het ook wel eens proberen. Ik ben ook Enpass met hetzelfde gevoel als hierboven.

Edit:
Websockets worden zelfs al ingesteld zie ik nu:
https://github.com/sosand...n_rs-caddy-synology#setup

Edit:
Even getest.

docker run -d --name bitwarden -p 9999:80 bitwardenrs/server

Reverse proxy met certificaat:
server {

code:

    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name bw.xxxxxx.synology.me;
    ssl_certificate /usr/syno/etc/certificate/ReverseProxy/b5c8ee6e-6468-49ab-b480-ebe40c1b3beb/fullchain.pem;
    ssl_certificate_key /usr/syno/etc/certificate/ReverseProxy/b5c8ee6e-6468-49ab-b480-ebe40c1b3beb/privkey.pem;
    add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload" always;
    location / {
        proxy_connect_timeout 60;
        proxy_read_timeout 60;
        proxy_send_timeout 60;
        proxy_intercept_errors off;
        proxy_http_version 1.1;
        proxy_set_header        Upgrade            $http_upgrade;
        proxy_set_header        Connection            $connection_upgrade;
        proxy_set_header        Host            $http_host;
        proxy_set_header        X-Real-IP            $remote_addr;
        proxy_set_header        X-Forwarded-For            $proxy_add_x_forwarded_for;
        proxy_set_header        X-Forwarded-Proto            $scheme;
        proxy_pass http://localhost:9999;
    }
    error_page 403 404 500 502 503 504 @error_page;
    location @error_page {
        root /usr/syno/share/nginx;
        rewrite (.*) /error.html break;
        allow all;
    }
}

Het bijwerken van de vault waarvoor dacht ik Websockets worden gebruikt is mij nog niet helemaal duidelijk.
Net even getest met de Android app maar hier schijnt het weer anders te werken.
https://bitwarden.com/help/article/vault-sync/

Misschien iets voor een ander topic...

[ Voor 79% gewijzigd door technorabilia op 20-01-2021 18:40 ]

[ndonkersloot]

@kraades
Ik ben bekend met de aangepaste headers optie in DSM. De reden dat de caddy server gebruikt wordt is omdat de websocket verbinding niet naar Rocket (rust web framework in bitwarden) maar naar een andere instance moet (in ieder geval dit dacht ik gelezen te hebben, en zonder krijg ik het niet werkend). En dat is niet zomaar vanuit de gui in te stellen op DSM. Waarschijnlijk wel door de nginx config op de backend aan te passen maar dat is dan weer niet future proof.

De websockets worden inderdaad gebruikt voor de vault om changes te pushen.
Ik heb gisteren alles ingesteld, incl. Fail2ban met notificaties e.d. Ik wil binnenkort nog wat laatste dingen testen met Bitwarden zoals het delen van passwords en het maken van organisaties met policies. Voordeel t.o.v. enpass, dan ga ik ook gewoon mijn familie de mogelijkheid geven om een vault aan te maken in mijn bitwarden als ze die wens hebben.

[ Voor 4% gewijzigd door ndonkersloot op 20-01-2021 22:00 ]

[mithras]

Ik draai al een tijd bitwarden_rs in de cloud (vps) achter traefik. Met 2FA werkt dat bijzonder goed. Het gemak is een heel stuk groter (al je clients zijn altijd in sync zonder dat je een vpn moet aanzetten) en ik geloof er niet dat je echt een significante verbetering in je veiligheid hebt als het on-prem draait tbh.

Ik vraag me wel af of de bouwer(s) van bitwarden_rs de ontwikkelsnelheid van Bitwarden kunnen bijhouden. Er zijn wat grote zaken aangekondigd (emergency access zit ik bijv erg op te wachten) en dat zijn vooral server-side implementaties. Het eigen Bitwarden-team is afgelopen tijd uitgebreid dus daar zit wat meer vertrouwen in, alleen zo jammer dat die implementatie zo gigantisch veel resources kost.

[Nakebod]

Ben al jaren Keepass gebruiker, maar qua gebruikersgemak op ChromeOS heb ik het nooit helemaal lekker gekregen. Handmatig DB openen, user/pass kopieren en plakken. Potentieel beveiligingsrisico doordat het toch in je geheugen staat.

Windows met keepasshttp plugin werkt het prima. Op Android met de autofill service ook prima.
Alleen ChromeOS... Tja. Door de beveiliging loop je tegen beperkingen aan. Keepass2Android of KeepassXC zelf werken prima, alleen browser plugins in ChromeOS kunnen niet bij de Android of Linux containers. Dus keepasshttp of keepassrpc zijn niet werkend te krijgen of nooit gevonden hoe.

Dus toch op zoek gegaan naar wat anders.
On prem oplossingen hebben (Waarschijnlijk onterecht) de voorkeur, maar die zijn vrijwel allemaal gericht op zakelijk en te duur voor 1 gebruiker.
An sich heb ik geen hele rare wensen/eisen (Liefst zelf hosted, KDBX importeren, (kleine) attachments bijvoegen, werkend op Win, Android, ChromeOS, MFA / TOTP)

Passbolt klinkt veelbelovend, alleen nog steeds geen mobile app. Gratis versie verder net te beperkt, en betaald is minimaal 10 euro per maand.
PSONO voldeed, maar wel pas nadat ik eenmaal een stuk of 4/5 docker containers had draaien om het geheel werkend te krijgen. Alleen daardoor vond ik het ook iets te complex eigenlijk.
Bitwarden_RS kwam ik ook al tegen maar niet getest. Werkt in huidige staat vast met de browser add-in, maar gaat dat in de toekomst ook goed. Zit volgens mij ook 1 persoon achter.
Nog een paar waarvan ik de naam niet heb onthouden, maar een paar die 500+ euro als prijskaartje hangen vallen nogal snel af.

Dus kom je toch snel aan de cloud varianten. Gevoelsmatig sla ik de grote spelers graag over.
Test nu met Bitwarden cloud versie, en zit er al sterk over te denken om de betaalde Premium versie te nemen zodat ik wel attachments kan opslaan.
Desktop client ziet er functioneel uit, Chrome add-on werkt prima (Zowel Windows als ChromeOS) en Android integratie is ook prima (Inloggen in apps en websites).
Dus ik denk wel dat ik een winnaar heb gevonden.

(Tot zover mijn dagboek )

[technorabilia]

ndonkersloot schreef op woensdag 20 januari 2021 @ 18:57:
En dat is niet zomaar vanuit de gui in te stellen op DSM. Waarschijnlijk wel door de nginx config op de backend aan te passen maar dat is dan weer niet future proof.

Bedankt, ik heb inderdaad een voorbeeld van een nginx conf gevonden.
https://www.kartolo.de/20...en-live-sync-on-synology/
In principe blijven de files in de nginx sites-enabled directory bewaard tijdens DSM upgrades (ik heb daar ook mijn conf files staan), maar ik snap je punt.

[JDFS]

rachez schreef op dinsdag 19 januari 2021 @ 21:34:
Thx!

Gebruik je bitwarden buitenshuis dmv een VPN, zoals beschreven?
Lijkt me dan nog wel een dingetje qua gebruiksgemak.

Ik gebruik nu keepass2android icm nextcloud om passwords thuis op te halen, werkt best redelijk qua gebruiksgemak (merged bv nieuwe entries real time in de database thuis), maar moet wel altijd het password handmatig in de browser pasten.
Dus zoek eigenlijk wat beters..

Ik draai het via een reverse proxy achter een DuckDNS domein. Dat domein vul ik bij al mijn bitwarden clients in en dan kan ik inloggen met mijn 2FA via Duo

Dus geen VPN nodig, het werkt eigenlijk best goed allemaal - net zoals 1Password maar dan draai ik de server lokaal. Alleen ik irriteer me een beetje aan de Sync, die moet ik heel vaak nog handmatig syncen... Heeft iemand daar een oplossing voor op zijn apparaten?

[ Voor 16% gewijzigd door JDFS op 21-01-2021 15:00 ]

[L0g0ff]

Ik maak nu gebruik van keepass op een webdav share voor mobile en sync share voor desktop en dit werkt best prima.

Backup vindt dagelijks plaats.

Crashed mijn nas, vliegt hij in de brand of wordt hij door iemand gestolen dan heb ik altijd nog wel ergens op een device een keepass kopie draaien.

Dit is belangrijk want zonder kopie kan ik niet bij mijn backups in de cloud.

Deze opstelling heb ik al een jaar of 5 en werkt prima.

Maar... Nu miste ik deze week ineens een wachtwoord. Iets onschuldigs, kon zo een password reset doen, maar mijn mail adres is over het algemeen altijd [e-mail].

Stel ik wist mijn tag niet dan was ik dus de sjaak. Dat zette me aan het nadenken.

Ik ben behoorlijk secure met mijn wachtwoorden en ik geloof niet dat ik ben vergeten te saven. Dus dat wachtwoord moet ergens tussen wal en schip gevallen zijn van een van de syncs. Dit zit mij niet lekker.

Daarom wil ik eigenlijk naar een bitwarden(rs) constructie. Gewoon eigen docker container en geen file sync maar gewoon een database.

Nu mijn vraag:

Stel mijn nas fikt af, of ik heb geen internet connectie. Kan ik dan nog bij mijn wachtwoorden?

En hoe kan ik zo'n docker container in de lucht krijgen als ik bijvoorbeeld geen nas meer heb en ik moet iets uit de (cloud) backup halen?

Ik zou bijvoorbeeld even snel in azure een docker container kunnen starten. Is het dan gewoon een kwestie van een datamap restoren en mee mounten?

In dat geval moet ik mijn Azure wachtwoord en cloud backup wachtwoord altijd ergens anders dubbel opslaan en dat voelt niet lekker.

Iemand tips?

[MerijnB]

L0g0ff schreef op woensdag 27 januari 2021 @ 17:42:
Stel mijn nas fikt af, of ik heb geen internet connectie. Kan ik dan nog bij mijn wachtwoorden?

Zowel de cliënt als de browser plugins hebben een lokale cache die je wordt gebruikt als je de server niet kunt bereiken.

[ndonkersloot]

@Anoniem: 83557
Ik had het voor mijzelf als volgt bedacht.
Ik back-up mijn docker-compose files en data iedere dag naar twee verschillende locaties. Mocht mijn NAS onbruikbaar worden heb ik mijn mobiel, notebook of desktop waar ik bitwarden nog kan openen (vanwege offline toegang) en dus de credentials kan benaderen van mijn back-up locaties.

De data restore ik dan en kan bitwarden dan weer eenvoudig starten op een andere host (raspverry pi bijv. Of desktop o.i.d.). Het is namelijk niet meer dan je data map terug zetten en je docker-compose file weer starten op een systeem waar docker en docker-compose op geïnstalleerd is.

Stel mijn huis brand af en al mijn devices waar ik bitwarden op heb geïnstalleerd branden mee heb ik ook nog fysieke toegang tot mijn back-up locaties en kan ik de data van de disken afhalen. De disken zijn niet encrypted omdat de data zelf al encrypted is en omdat er voldoende fysiek beveiliging maatregels getroffen zijn.

[L0g0ff]

Bedankt @MerijnB en @ndonkersloot

Is wel stof tot nadenken. Maar zeker goed nieuws dat bitwarden ook offline prima blijft werken.

Ik bedacht gisteren nog een mismatch in mijn opstelling. Als ransomware mijn keepass db sloopt dan kan ik niet bij mijn backup voor een restore. Omdat mijn login gegevens in die db zitten.

Ik denk dat ik maar eens ga opschieten met de migratie van keepass naar bitwarden en misschien dat ik die cloud backup wachtwoorden toch ook maar eens ga printen.

[streamnl]

Door het nieuws op de frontpagina, weer aan het denken over mijn wachtwoord manager.

Ik neig naar (zoals velen) naar Bitwarden.
Ligt aan mijn 4 vragen of ik hiermee door wil gaan.

Als ik een familie account neem, dan kost dat mij $40 pj. Dit kan ik dan delen met 5 andere personen.

Begrijp ik het goed dat de andere in mijn groep alleen een (gratis) account hoeft aan te maken om deel te nemen?

Kan iedereen instellen wat je met wie deelt?
Mijn vrouw mag al mijn wachtwoorden weten (echt waar), maar mensen buiten haar om mag niets weten.

Ik verwacht dat ik (als “admin”) nooit iets kan veranderen bij de ander zijn account. Hooguit eruit gooien. Is dat echt zo?

Stel ik (als “admin”) raak de “admincode” kwijt, wat dan?

Alvast vriendelijk bedankt!

[mithras]

streamnl schreef op dinsdag 16 februari 2021 @ 09:07:
Door het nieuws op de frontpagina, weer aan het denken over mijn wachtwoord manager.

Ik neig naar (zoals velen) naar Bitwarden.
Ligt aan mijn 4 vragen of ik hiermee door wil gaan.

Als ik een familie account neem, dan kost dat mij $40 pj. Dit kan ik dan delen met 5 andere personen.

Begrijp ik het goed dat de andere in mijn groep alleen een (gratis) account hoeft aan te maken om deel te nemen?

Je hebt eigenlijk een "plan" waarin 5 "users" zitten. Toevallig is een user dan ook account holder, een soort van admin. Dus ja, je schaft een family plan aan en binnen dat plan kunnen 5 gebruikers zich ("gratis", je hebt er namelijk al voor betaald) registeren.

Kan iedereen instellen wat je met wie deelt?
Mijn vrouw mag al mijn wachtwoorden weten (echt waar), maar mensen buiten haar om mag niets weten.

In de basis heeft iedereen een eigen kluis. Je kan wel een organisatie maken en daarin wachtwoorden stoppen (op eenzelfde manier georganiseerd met mappen en verzamelingen), die gedeeld worden in een groep.

Je kan dus zelf afspreken dat jij alleen maar wachtwoorden toevoegt in de organisatie die je deelt met je vrouw. En dat je niemand anders verder toevoegt in die organisatie. Let wel op dat de popup die Bitwarden toont bij het automatisch toevoegen na registratie, Bitwarden dit item opslaat in je eigen account. Je zal dus zelf altijd de procesafspraak moeten nakomen om vervolgens dat net-aangemaakte wachtwoord te delen in je gedeelde organisatie.

Ik verwacht dat ik (als “admin”) nooit iets kan veranderen bij de ander zijn account. Hooguit eruit gooien. Is dat echt zo?

Je kan als organisatie-eigenaar mensen eruit gooien en een rol aanpassen (gebruiker/manager/beheerder/eigenaar). Je kan nooit van een andere user de persoonlijke wachtwoorden (dus, niet in de gedeelde organisatie) inzien.

Stel ik (als “admin”) raak de “admincode” kwijt, wat dan?

Alvast vriendelijk bedankt!

Ik heb daarom 2 mensen eigenaar gemaakt van mijn gedeelde organisatie. Daardoor kunnen we elkaar helpen als het mis zou gaan.

Verder, als je je wachtwoord kwijt raakt, moet je opnieuw beginnen. Je wachtwoorden kan je dan niet meer vrijgeven namelijk. Zie ook https://bitwarden.com/hel...forgot-my-master-password

Hoe het exact zit met een organisatie, gedeelde wachtwoorden en je eigen account verwijderen & opnieuw aanmaken, daar heb ik geen idee over. Je zou daar beter de bitwarden support voor kunnen navragen. Aan jouw account zit namelijk ook het plan gekoppeld met de betalingen, dus ik weet niet welk effect dat heeft als je een recover-delete uitvoert

[streamnl]

mithras schreef op dinsdag 16 februari 2021 @ 10:13:
[...]
Je hebt eigenlijk een "plan" waarin 5 "users" zitten. Toevallig is een user dan ook account holder, een soort van admin. Dus ja, je schaft een family plan aan en binnen dat plan kunnen 5 gebruikers zich ("gratis", je hebt er namelijk al voor betaald) registeren.

[...]
In de basis heeft iedereen een eigen kluis. Je kan wel een organisatie maken en daarin wachtwoorden stoppen (op eenzelfde manier georganiseerd met mappen en verzamelingen), die gedeeld worden in een groep.

Je kan dus zelf afspreken dat jij alleen maar wachtwoorden toevoegt in de organisatie die je deelt met je vrouw. En dat je niemand anders verder toevoegt in die organisatie. Let wel op dat de popup die Bitwarden toont bij het automatisch toevoegen na registratie, Bitwarden dit item opslaat in je eigen account. Je zal dus zelf altijd de procesafspraak moeten nakomen om vervolgens dat net-aangemaakte wachtwoord te delen in je gedeelde organisatie.


[...]
Je kan als organisatie-eigenaar mensen eruit gooien en een rol aanpassen (gebruiker/manager/beheerder/eigenaar). Je kan nooit van een andere user de persoonlijke wachtwoorden (dus, niet in de gedeelde organisatie) inzien.

[...]
Ik heb daarom 2 mensen eigenaar gemaakt van mijn gedeelde organisatie. Daardoor kunnen we elkaar helpen als het mis zou gaan.

Verder, als je je wachtwoord kwijt raakt, moet je opnieuw beginnen. Je wachtwoorden kan je dan niet meer vrijgeven namelijk. Zie ook https://bitwarden.com/hel...forgot-my-master-password

Hoe het exact zit met een organisatie, gedeelde wachtwoorden en je eigen account verwijderen & opnieuw aanmaken, daar heb ik geen idee over. Je zou daar beter de bitwarden support voor kunnen navragen. Aan jouw account zit namelijk ook het plan gekoppeld met de betalingen, dus ik weet niet welk effect dat heeft als je een recover-delete uitvoert

Bedankt voor je uitgebreide antwoord.
Het is al een stuk duidelijker. Al die wachtwoordmanagers is voor mij: hoe meer je weet, hoe meer vragen je krijgt

Ik zag net ook iets staan dat je als “organisatie “ met 2 man er gratis in kan zitten. Zoiets zou voor mij al ideaal zijn als ik dan alles kan delen.

Straks na het rennen even rustig op de Mac kijken wat dat precies inhoud. En/of ik dan nog een betaalde account nodig heb.

Nogmaals bedankt

[Miki]

streamnl schreef op dinsdag 16 februari 2021 @ 10:26:
[...]

Bedankt voor je uitgebreide antwoord.
Het is al een stuk duidelijker. Al die wachtwoordmanagers is voor mij: hoe meer je weet, hoe meer vragen je krijgt

Ik zag net ook iets staan dat je als “organisatie “ met 2 man er gratis in kan zitten. Zoiets zou voor mij al ideaal zijn als ik dan alles kan delen.

Straks na het rennen even rustig op de Mac kijken wat dat precies inhoud. En/of ik dan nog een betaalde account nodig heb.

Nogmaals bedankt

Het ligt er natuurlijk aan wat je in wachtwoord manager gaat opslaan maar beveiliging mag ook wat geld kosten. Daar help je tenslotte ook de ontwikkelaar mee om betere software te schrijven en het onderhoud mee te bekostigen.
Als ik zie hoeveel keer per dag ik mijn password manager app gebruik dan zijn de kosten relatief gering tegenover het gemak en het vertrouwen in beveiliging.

[streamnl]

Miki schreef op dinsdag 16 februari 2021 @ 10:34:
Het ligt er natuurlijk aan wat je in wachtwoord manager gaat opslaan maar beveiliging mag ook wat geld kosten. Daar help je tenslotte ook de ontwikkelaar mee om betere software te schrijven en het onderhoud mee te bekostigen.
Als ik zie hoeveel keer per dag ik mijn password manager app gebruik dan zijn de kosten relatief gering tegenover het gemak en het vertrouwen in beveiliging.

Hier ben ik absoluut mee eens.
Daarom betaal ik ook voor enkele zaken.

[Tripl3 D]

Sinds een aantal weken gebruik ik Dashlane (de trial Premium versie) en die heb ik gekozen, omdat veel sites dit een van de meest gebruikersvriendelijke Password Managers vinden.

Maar zo gebruikersvriendelijk vind ik hem niet. Een van de vervelendste dingen is dat je op elk apparaat elke 14 dagen verplicht bent om weer dat master wachtwoord op te geven. Dus op 2 laptops, 2 smartphones en een tablet.
Heb bewust voor een heel lang wachtwoord gekozen, maar daardoor blijf je aan de gang. Is dat bij de concurrentie ook zo?

Daarnaast vind ik de synchronisatie ook niet bepaald optimaal, zelfs niet met de browserextensie. Kan wel even duren voordat alles is bijgewerkt.

Ten slotte vind ik hem ook niet zo intuitief als er op veel verschillende sites beweerd wordt.

Voor mij juist allemaal heel belangrijk, mede doordat de WAF onder druk komt van dit alles.

[S1NN3D]

Tot mijn verrassing zag ik zojuist bovenstaande in Lastpass. In het Free-account is het binnenkort niet meer mogelijk om het zowel mobiel als op een vaste pc te gebruiken. Je moet kiezen voor 1 van de 2 of upgraden naar een betaald account. Dat wordt even afwegen wat handig is... upgraden of overstappen naar een alternatief.

[Miki]

S1NN3D schreef op dinsdag 16 februari 2021 @ 14:29:
[Afbeelding]
Tot mij verrassing zag zojuist bovenstaande in Lastpass. In het Free-account is het binnenkort niet meer mogelijk om het zowel mobiel als op een vaste pc te gebruiken. Je moet kiezen voor 1 van de 2 of upgraden naar een betaald account. Dat wordt even afwegen wat handig is... upgraden of overstappen naar een alternatief.

Tja je kon er op rekenen dat ze vroeg of laat wel over zouden gaan. Zo'n service in de lucht houden met allerlei audits en ontwikkelkosten is niet gratis. Ik vind de aanbieding best netjes zeker als je vaak gebruik maakt van zo'n wachtwoord app.

[Magic]

Ik zat toevallig net een betaalde variant te overwegen, geldt de 25% korting ook op family abbo's?

[AlxRoelofs]

S1NN3D schreef op dinsdag 16 februari 2021 @ 14:29:
[Afbeelding]
Tot mijn verrassing zag ik zojuist bovenstaande in Lastpass. In het Free-account is het binnenkort niet meer mogelijk om het zowel mobiel als op een vaste pc te gebruiken. Je moet kiezen voor 1 van de 2 of upgraden naar een betaald account. Dat wordt even afwegen wat handig is... upgraden of overstappen naar een alternatief.

Wellicht ligt het aan mij, maar waar zie je dit precies? Ik krijg deze melding namelijk nergens te zien.

[xven0mxz]

AlxRoelofs schreef op dinsdag 16 februari 2021 @ 15:23:
[...]

Wellicht ligt het aan mij, maar waar zie je dit precies? Ik krijg deze melding namelijk nergens te zien.

Ik zag hem in eerste instantie ook niet. Maar als je op account opties klikt komt die tevoorschijn.

[Drardollan]

S1NN3D schreef op dinsdag 16 februari 2021 @ 14:29:
[Afbeelding]
Tot mijn verrassing zag ik zojuist bovenstaande in Lastpass. In het Free-account is het binnenkort niet meer mogelijk om het zowel mobiel als op een vaste pc te gebruiken. Je moet kiezen voor 1 van de 2 of upgraden naar een betaald account. Dat wordt even afwegen wat handig is... upgraden of overstappen naar een alternatief.

Lekker bezig daar bij LastPass...

Dan maar op zoek naar een alternatief wat gewoon werkt op de PC en iPad. Belangrijkste is dat ik op de iPad vanuit elke app toegang heb tot mijn wachtwoordkluis. Iets wat LastPass sinds enige tijd al kan, geen idee of andere software dit ook kan.

[Miki]

Drardollan schreef op dinsdag 16 februari 2021 @ 15:47:
[...]


Lekker bezig daar bij LastPass...

Dan maar op zoek naar een alternatief wat gewoon werkt op de PC en iPad. Belangrijkste is dat ik op de iPad vanuit elke app toegang heb tot mijn wachtwoordkluis. Iets wat LastPass sinds enige tijd al kan, geen idee of andere software dit ook kan.

1Password kan het bijvoorbeeld ook en is sinds het prille begin sterk op Apple ecosysteem gericht, alleen die is niet gratis

[Hmmbob]

Ik heb er zojuist ook een email over ontvangen van ze.

Ben heel benieuwd hoe dit verder gaat, zeker nu de MS Authenticator ook wachtwoorden doet sinds kort en wel gratis is en lekker simpel instapklaar is.

Voor techies is een self-hosted bitwarden natuurlijk ook nog een oplossing, maar toch...

edit: de email:

[ Voor 70% gewijzigd door Hmmbob op 16-02-2021 16:13 ]

[Drardollan]

Miki schreef op dinsdag 16 februari 2021 @ 16:04:
[...]

1Password kan het bijvoorbeeld ook en is sinds het prille begin sterk op Apple ecosysteem gericht, alleen die is niet gratis

Gratis is niet het belangrijkste, heb jarenlang LastPass Premium gehad. Gestopt toen het duurder werd en nu ik zo beperkt wordt en gelijk €35 moet betalen ben ik er klaar mee

Dank voor de tip!

[Drardollan]

Hmmbob schreef op dinsdag 16 februari 2021 @ 16:08:
Voor techies is een self-hosted bitwarden natuurlijk ook nog een oplossing, maar toch...

Zover ik heb gezien is Bitwarden gratis als zij het hosten, dan ga je toch zelf geen moeite doen met alle risico's van dien?

[Blauwschaap]

Het verbaast me dat ik geen resultaten krijg als ik in dit topic zoek op AuthPass (https://authpass.app/)

Zijn er mensen die deze gebruiken? Ik gebruik al jaren KeePass en tot voor kort gebruikte ik op mijn Android telefoon de KeePass2Android app waarbij mijn KeePass file op Google Drive werd bewaard.

Recentlijk ben ik echter overgestapt naar een iPhone en na een aantal verschillende apps te hebben geprobeerd, waaronder LastPass en Strongbox, ben ik bij AuthPass uitgekomen. Werkt tot nu toe best goed.

[swhnld]

Drardollan schreef op dinsdag 16 februari 2021 @ 16:09:
[...]

Gratis is niet het belangrijkste, heb jarenlang LastPass Premium gehad. Gestopt toen het duurder werd en nu ik zo beperkt wordt en gelijk €35 moet betalen ben ik er klaar mee

Dank voor de tip!

Ik had ook Premium toen het nog 12 Euro per jaar was, voordat Logme-in het kocht. Toen ze eerst naar 24 en vervolgens 36 Euro ging vond ik het te gek worden.

Zou het Microsoft Authenticator / Autofill alternatief iets zijn voor wie gratis wil blijven?
https://blogs.windows.com...l-solution-for-passwords/

[S1NN3D]

Heb eerder vanmiddag de Lastpass kluis geëxporteerd en daarna geïmporteerd in Bitwarden. Ook hun apps geïnstalleerd op mijn iOS devices. Eerste indruk is prima.

[muhda]

Net even gekeken naar alternatieven. 1Password is €36 euro per jaar en Bitwarden is €10 per jaar.
Voor mij word het Bitwarden. De app ziet er goed uit met de nodige features en er is een gratis optie mocht je niet de premium willen.