[Password Managers] Discussie- en reviewtopic

[vanaalten]

PrettigGestoord schreef op donderdag 7 december 2023 @ 13:38:
Ik heb nu een test gedaan met KeePass en een lokale database bestand, doet wat het moet doen en lees er veel goeie dingen over, maar natuurlijk geen sync naar mobiel ofzo.

Keepass met zowel een wachtwoord als keyfile beveiligen en de database vervolgens op Dropbox ofzo plaatsen. Dan zorgen dat je op elke client waar je je wachtwoorden wil gebruiken de keyfile hebt en je kan op je mobiel iets als Strongbox gebruiken. Strongbox kan een Keepass database vanaf Dropbox inlezen, dus je hoeft niet te syncen, enkel een centrale database op Dropbox gebruiken.

[PrettigGestoord]

vanaalten schreef op donderdag 7 december 2023 @ 15:39:
[...]

Keepass met zowel een wachtwoord als keyfile beveiligen en de database vervolgens op Dropbox ofzo plaatsen. Dan zorgen dat je op elke client waar je je wachtwoorden wil gebruiken de keyfile hebt en je kan op je mobiel iets als Strongbox gebruiken. Strongbox kan een Keepass database vanaf Dropbox inlezen, dus je hoeft niet te syncen, enkel een centrale database op Dropbox gebruiken.

Dropbox is ook weer zo'n cloud toestand, dit wil ik nou net vermijden. Ook al kunnen ze nu niks met de .kdbx file als deze toch zou lekken, het geeft me geen fijn gevoel meer. Met of zonder keyfile.

I know, ik moet nu ook niet overdrijven en ik kan evengoed mijn laptop gestolen worden waar de database op staat maar het bewust zelf ergens gaan hosten vegroot alleen maar mijn risico denk ik dan.

[ Voor 14% gewijzigd door PrettigGestoord op 07-12-2023 18:34 ]

[qwasd]

PrettigGestoord schreef op donderdag 7 december 2023 @ 18:31:
[...]


Dropbox is ook weer zo'n cloud toestand, dit wil ik nou net vermijden. Ook al kunnen ze nu niks met de .kdbx file als deze toch zou lekken, het geeft me geen fijn gevoel meer. Met of zonder keyfile.

I know, ik moet nu ook niet overdrijven en ik kan evengoed mijn laptop gestolen worden waar de database op staat maar het bewust zelf ergens gaan hosten vegroot alleen maar mijn risico denk ik dan.

Hoe wil je dan gaan syncen? Je kunt je database natuurlijk ook op je pc plaatsen en af en toe kopiëren naar je telefoon. Het lijkt er namelijk op dat je cloudopslag wilt vermijden. Aan de andere kant wat minder bang zijn als je je wachtwoorden, 2FA etc. gewoon goed op orde hebt.

Ik gebruikt zelf 1password en af en toe maak ik een backup (export/import) naar vaultwarden on premise (Synology).

[ Voor 6% gewijzigd door qwasd op 07-12-2023 20:12 ]

[Klippy]

@PrettigGestoord Je kan het zelf niet beter dan Bitwarden.
Er is met alles een klein risico, maar een cloud storage zegt helemaal niks over hoe veilig het is.
En het is zeker niet minder veilig dan lokale opslag en zeer zeker veiliger dan je eigen synchronisatie gaan opzetten.

De samenvatting is dat Bitwarden elke individuele vault lokaal versleutelt op basis van je eigen wachtwoord. Dus zelf als er een 'hack' is op de servers in Azure dan heb je nog steeds je sleutel nodig om de vaults te kunnen kraken. Ik gebruik zelf bijvoorbeeld een hoofdwachtwoord van 32 random tekens inclusief speciale karakters. Je kan hierboven zien hoe lang het duurt om dat te kraken en dan moeten ze ook nog net jou vault uitkiezen om te kraken.

Lees voor het volledige verhaal dit eens door https://bitwarden.com/help/data-storage/ en ook https://bitwarden.com/help/what-encryption-is-used/
Als je daarna nog meer wil weten lees je https://bitwarden.com/help/bitwarden-security-white-paper/ en je kan zelfs proberen hoe de encryptie werkt op https://bitwarden.com/crypto.html

Gaat het je hiervan duizelen dan moet je ook niet zelf wat gaan proberen. Vertrouw je Azure niet dan kan je ook Bitwarden zelf hosten https://bitwarden.com/help/install-on-premise-linux/
Zelf hosten is een goed alternatief want je hebt de encryptie goed geïmplementeerd (die Bitwarden ook meteen patcht bij een vulnerability) en de data wel zelf in beheer, dus bij een hack als bij LastPass hebben ze in elk geval jou kluis niet.
Maar ook dan acht ik jou eigen Raspberry Pi ofzo minder veilig dan een Azure datacenter en je backups minder goed.

En dit is ook ongeveer hoe LastPass werkt (maar dan met iets mindere encryptie). Daar is ook nooit echt een "hack" geweest waarbij het bekend is dat er echt kluizen zijn gekraakt. Er zijn kluizen van klanten gedownload, maar deze waren allemaal versleuteld. De zwakste schakel was daar een hack bij een thuiswerkplek van een medewerker die toegang had tot de database. Het enige lichtpuntje bij zelf hosten is inderdaad dat jij niet interessant bent om te hacken.

De andere password managers hebben ook veel geleerd van de hack bij LastPass en hebben ongetwijfeld maatregelen genomen mbt thuiswerk en beveiliging van hun interne systemen, maar de grootste fout van LastPass was oneerlijke en onvolledige communicatie.
Is dat reden om een alternatief te zoeken? Ja.
Is dat reden om bang te zijn dat jou eigen data gelekt is? Nee.
Is dat reden om een andere cloud password manager te vermijden? Nee.

KeePass is ook een vrij niche product en slaat dus eigenlijk die bovenstaande storage security helemaal over omdat het niet centraal staat opgeslagen. Eigenlijk is KeePass dus net zo veilig als de gehackte vaults van het voorbeeld hierboven, want je deelt je .kdbx file of hebt die lokaal opgeslagen. Wanneer iemand dus toegang heeft tot je lokale apparaat dan heeft die persoon je kluis (en waarschijnlijk ook je keyfile) en wellicht ook je wachtwoord: https://www.wiz.io/blog/c...rability-exploit-released
Dan kan je weer beter je vault in de cloud hebben.

Lang verhaal kort: Niets is onfeilbaar, maar je moet zeker niet denken dat je het zelf beter kan dan de grote password managers Maar jou data is totaal niet interessant als particulier, dus met beiden zit je gewoon goed.

[begintmeta]

Ik gebruik keepass met keyfile erbij (niet zo zinvol) en HMAC-SHA1 via een yubikey. Ik verwacht voldoende tijd te hebben alle gevoelige wachtwoorden te wijzigen als de device waarop het bestand staat, of de backup (ik heb verder nog een aanvullend versleutelde backup elders), verloren gaat. Alleen als het bestand ongemerkt wordt buitgemaakt (gekopieerd van mijn gehackte device), dan weet ik natuurlijk niet dat ik dat (versneld) moet doen. Ook eventuele versleutelde bestanden die al in het bezit van iemand anders zijn zal ik natuurlijk niet meer kunnen achterhalen om wachtwoorden/sleutels te wijzigen.

Maar voor mijn huis-tuin-en keukengebruik vind ik dit veilig genoeg.

[Klippy]

Voor huis-tuin-en-keukengebruik is het allemaal prima. Onze data is niet spannend genoeg om veel moeite in te steken, iedereen die een wachtwoord manager gebruikt en geen wachtwoorden opnieuw gebruikt heeft zijn doel al bereikt en zit veilig.
Dat was ook ongeveer mijn punt, steek er geen moeite in om slimmer te willen zijn. Cloud is prima, maar wil je dat niet, dan is lokaal ook goed, maar de hoeveelheid risico is gelijk want je bent gewoon 99.999% van de tijd veilig.

[rachez]

Zo, sinds een week ofzo over van Enpass naar ProtonPass.

Wat een verademing.
Eindelijk een password manager die werkt: Op elke website tot nu toe krijg ik een icoontje in het aanmeldscherm om in te loggen met het juiste account. Dat was met Enpass eigenlijk een 50/50 kans.

Enige nadeel tot nu toe: geen eigen hosting meer van je vault met je keys. Verder erg tevreden.

[qwasd]

rachez schreef op zondag 10 december 2023 @ 18:28:
Zo, sinds een week ofzo over van Enpass naar ProtonPass.

Wat een verademing.
Eindelijk een password manager die werkt: Op elke website tot nu toe krijg ik een icoontje in het aanmeldscherm om in te loggen met het juiste account. Dat was met Enpass eigenlijk een 50/50 kans.

Enige nadeel tot nu toe: geen eigen hosting meer van je vault met je keys. Verder erg tevreden.

Heb je de mail ook bij Proton of alleen ProtonPass?

[rachez]

@qwasd , Ik heb proton unlimited. Dus mail, pass en vpn.

[streamnl]

rachez schreef op dinsdag 19 december 2023 @ 08:19:
@qwasd , Ik heb proton unlimited. Dus mail, pass en vpn.

en drive

[qwasd]

rachez schreef op dinsdag 19 december 2023 @ 08:19:
@qwasd , Ik heb proton unlimited. Dus mail, pass en vpn.

Volgens mij is dit wel eens eerder besproken hier en reddit staat er ook vol mee maar je hebt dus 1 inlog voor je mail en wachtwoorden? Hoe ga je dan om met je 2FA codes? Ik gebruik nu 1Password en ik wil misschien ook overstappen naar Proton maar ik zie er nog tegenop om alles onder 1 account te hebben.

[rachez]

Gebruik 2FA alleen voor mijn werk en heb daar een aparte app voor. Dus ik heb hier geen issue mee.

[whahas]

Ik heb een aparte 2FA app voor mijn Proton account.

[Exocet]

BITWARDEN HEIST - HOW TO BREAK INTO PASSWORD VAULTS WITHOUT USING PASSWORDS

Sometimes, making particular security design decisions can have unexpected consequences. For security-critical software, such as password managers, this can easily lead to catastrophic failure: In this blog post, we show how Bitwarden’s Windows Hello implementation allowed us to remotely steal all credentials from the vault without knowing the password or requiring biometric authentication. When we discovered this during a penetration test it was so unexpected for us that we agreed with our client to publish a blog post about it and tell the story.

https://blog.redteam-pentesting.de/2024/bitwarden-heist/

[n9iels]

Exocet schreef op woensdag 3 januari 2024 @ 14:42:



[...]


https://blog.redteam-pentesting.de/2024/bitwarden-heist/

Dan is het wel fair om deze quote er ook even bij te zetten he

Bitwarden has since made changes to their codebase to mitigate this particular scenario, which we will quickly summarize in the next section. They have also changed the default setting when using Windows Hello as login feature to require entering the main password at least once when Bitwarden is started.

[BytePhantomX]

Ik vind de professionele reactie van Bitwaren hier vooral wat eruit springt. Dat er kwetsbaarheden kunnen zijn is bijna altijd een gegeven, maar ze pakken het serieus op en fixen het issue.

Dat is niet van iedere wachtwoordmanager te zeggen.

[Hmmbob]

BytePhantomX schreef op woensdag 3 januari 2024 @ 15:22:
Ik vind de professionele reactie van Bitwaren hier vooral wat eruit springt. Dat er kwetsbaarheden kunnen zijn is bijna altijd een gegeven, maar ze pakken het serieus op en fixen het issue.

Dat is niet van iedere wachtwoordmanager te zeggen.

Jupz. Heel duidelijke communicatie met de eerste melder ook: https://hackerone.com/reports/1874155

[ Voor 27% gewijzigd door Hmmbob op 03-01-2024 15:24 ]

[qwasd]

Voor 2FA gebruik ik momenteel 2FAS op mijn Android toestel.
Zijn hier mensen met Aegis of Ente die deze verkiezen boven 2FAS?

- Aegis hoef je niet in te loggen maar de backup kan alleen op het apparaat zelf of via het OS lijkt het. Recovery kan dan alleen door je hele telefoon opnieuw te installeren. Via een automatisch export (.json) zou het ook mogelijk moeten zijn met Nextcloud.

If your cloud provider supports the Storage Access Framework of Android (like Nextcloud does), it can even create automatic backups to the cloud.

2FAS gebruikt daarentegen een verborgen map in Google Drive en Ente lijkt het op te slaan in je account als je ervoor kiest deze aan te maken. Op privacy guides zie ik 2FAS echter niet als aanbevolen staan. Ik ben benieuwd naar jullie mening en hoe jullie met de backup van jullie 2FA codes omgaan.

[begintmeta]

Ik heb de belangrijkste TOTP secrets op twee yubikeys staan (1 backup dus) , de minder belangrijke zitten in de wachtwoordmanager. Recovery codes of bij gebrek daaraan de TOTP-secrets heb ik ook nog op papier.

@qwasd, het vooral belangrijk wat je graag wil, er zijn inmiddels ontelbaar veel TOTP/HOTP-apps.

Ik wil in ieder geval ook graag TOTP-codes op basis van andere algoritmen (b.v. SHA512) en een nader aantal digits (b.,v. 8 ) kunnen genereren. Verder sla ik natuurlijk wachtwoord en 2FA-secrets liefst niet bij elkaar op (dat doe ik inmiddels dus wel voor het gemak). Backups heb ik altijd al zelf verzorgd, geen cloud-backups voor mij, maar wel papier (en dus evt op een andere yubikey).

[ Voor 54% gewijzigd door begintmeta op 08-01-2024 13:35 ]

[Thibaut1234]

Is bitwarden premium voor een persoonlijke account het waard? Twijfel om deze te kopen.

[FLA NL]

Thibaut1234 schreef op maandag 8 januari 2024 @ 19:42:
Is bitwarden premium voor een persoonlijke account het waard? Twijfel om deze te kopen.

10 dollar per jaar is natuurlijk niks voor zo'n dienst dus als je het gebruikt zou ik het gewoon doen.

[baco101]

Ik heb het volgende probleem met bitwarden op mijn Android tablet tab s7+, ik moest bitwarden verwijderen maar nu kan ik niet meer inloggen in de app omdat ik steeds het bericht krijg dat the code die ik in authy krijg invalid is. Ik heb geprobeerd om via de site in te loggen ook met de herstelcode maar die werkt ook niet.
Ik heb gelukkig nog wel de app op mijn iPhone. Weet niet of mijn extension op mijn laptop nog werkt die heb ik niet bij me, ben nu in Azië. Kan dat het probleem zijn dat het probleem is dat ik in een andere tijdzone zit?

Weet iemand een oplossing?

[MerijnB]

baco101 schreef op dinsdag 30 januari 2024 @ 04:58:
Ik heb het volgende probleem met bitwarden op mijn Android tablet tab s7+, ik moest bitwarden verwijderen maar nu kan ik niet meer inloggen in de app omdat ik steeds het bericht krijg dat the code die ik in authy krijg invalid is. Ik heb geprobeerd om via de site in te loggen ook met de herstelcode maar die werkt ook niet.
Ik heb gelukkig nog wel de app op mijn iPhone. Weet niet of mijn extension op mijn laptop nog werkt die heb ik niet bij me, ben nu in Azië. Kan dat het probleem zijn dat het probleem is dat ik in een andere tijdzone zit?

Weet iemand een oplossing?

Staat de datum en tijd van je tablet goed?

[baco101]

MerijnB schreef op dinsdag 30 januari 2024 @ 07:17:
[...]


Staat de datum en tijd van je tablet goed?

De datum en tijd staan op de lokale tijd en die is 6 uur later dan Nederland.

Ik heb op een andere site ingelogd en daar werkt de code die ik krijg van authy wel.

[ Voor 15% gewijzigd door baco101 op 30-01-2024 07:39 ]

[swhnld]

baco101 schreef op dinsdag 30 januari 2024 @ 07:36:
[...]


De datum en tijd staan op de lokale tijd en die is 6 uur later dan Nederland.

Ik heb op een andere site ingelogd en daar werkt de code die ik krijg van authy wel.

Staat de regio goed op de tablet? Stel de tablet denkt dat hij in Nederland is en je zet de tijd om naar de Azie tijd, dan lijkt de tijd goed te staan, maar is die feitelijk 6 uur fout, en dan kan de berekening voor de 2factor code niet goed gaan want die codes zijn 30 seconden geldig, en datum/tijdzone/tijd zit daarin meegenomen.

[begintmeta]

baco101 schreef op dinsdag 30 januari 2024 @ 07:36:
[...]


De datum en tijd staan op de lokale tijd en die is 6 uur later dan Nederland.

Ik heb op een andere site ingelogd en daar werkt de code die ik krijg van authy wel.

De "prover" (/je app) en de "verifier" (/de site die om de code vraagt) moeten inderdaad zoals hierboven gepost uitgaan van dezelfde tijd om een TOTP code te berekenen. Vziw is dat volgens de specificatie "unix time" (aantal seconden na 1970-1-1 zonder schrikkelseconden). Ik zou verwachten dat de tablet of de app wel rekening zouden moeten houden met juist gespecificeerde tijdzones, als dat niet zo is, is dat een bug. Je kunt eens kijken wanneer de codes die op je tablet en de site gegenereerd worden gelijk zijn, of ze gelijk gaan lopen als je de tijd op de tablet X uur verschuift.

[baco101]

Nog geen succes met de tips die ik heb gekregen, ben volgende week weer in Nederland en dan ga ik het weer proberen, alvast bedankt @begintmeta en @swhnld

[Bor]

Zijn er ook mensen die ervaring hebben met meer corporate password managers? Er komen veel min of meer "persoonlijke" password managers voorbij en die zijn in een zakelijke omgeving met meerdere gebruikers niet altijd even goed bruikbaar.

In een zakelijke omgeving is al snel behoefte aan:
- Multi user
- Fine grained uitdelen van autorisaties
- Logging en auditing
- Bring your own key of double key encryptie
- Support
- Gecertificeerd product bij voorkeur

[swhnld]

Bor schreef op vrijdag 2 februari 2024 @ 08:25:
Zijn er ook mensen die ervaring hebben met meer corporate password managers? Er komen veel min of meer "persoonlijke" password managers voorbij en die zijn in een zakelijke omgeving met meerdere gebruikers niet altijd even goed bruikbaar.

In een zakelijke omgeving is al snel behoefte aan:
- Multi user
- Fine grained uitdelen van autorisaties
- Logging en auditing
- Bring your own key of double key encryptie
- Support
- Gecertificeerd product bij voorkeur

Wij gebruiken 1password hiervoor (zakelijke installatie geeft gebruikers ook een gratis privé familie abonnement, en als ze bedrijf verlaten kunnen ze dat behouden tegen betaling), en na implementatie daarvan via de policies hebben we browser based password managers vervolgens verboden, alsmede rapportage op andere password managers als mensen die als plugin installeren, waarna we het gesprek aangaan. Gebruiken ze zowel privé als zakelijk 1password, kun je beide in de browser hebben, en voeg je een zakelijke account per ongeluk aan je privé kluis toe geeft 1password de melding dat die in de andere kluis hoort, dus ook dat helpt.

[Hmmbob]

Bor schreef op vrijdag 2 februari 2024 @ 08:25:
Zijn er ook mensen die ervaring hebben met meer corporate password managers? Er komen veel min of meer "persoonlijke" password managers voorbij en die zijn in een zakelijke omgeving met meerdere gebruikers niet altijd even goed bruikbaar.

In een zakelijke omgeving is al snel behoefte aan:
- Multi user
- Fine grained uitdelen van autorisaties
- Logging en auditing
- Bring your own key of double key encryptie
- Support
- Gecertificeerd product bij voorkeur

Geen ervaring, maar Bitwarden zie ik ook veel adverteren met corporate solutions.

[Room42]

Bor schreef op vrijdag 2 februari 2024 @ 08:25:
Zijn er ook mensen die ervaring hebben met meer corporate password managers? Er komen veel min of meer "persoonlijke" password managers voorbij en die zijn in een zakelijke omgeving met meerdere gebruikers niet altijd even goed bruikbaar.

In een zakelijke omgeving is al snel behoefte aan:
- Multi user
- Fine grained uitdelen van autorisaties
- Logging en auditing
- Bring your own key of double key encryptie
- Support
- Gecertificeerd product bij voorkeur

Hier hebben ze Keeper (https://keepersecurity.eu/). Deze beheer ik zelf niet maar het security team heeft veel mogelijkheden tot uitgeven van rechten en logging.

[ Voor 8% gewijzigd door Room42 op 02-02-2024 14:43 ]

[sypie]

Kennis van mij wil graag dat zij en haar partner gebruik maken van dezelfde LastPass kluis. Op zich wil inloggen best lukken tot het punt waar je op 2FA/MFA komt. Dan moet degene van wie de telefoon als vertrouwd is ingesteld de code (in)geven. Dat is niet handig. De bedoeling is dat ze beide zelfstandig in kunnen loggen op de kluis en daarmee ook op sites en accounts die in de kluis staan.

Ik heb bij LastPass gekeken maar kreeg het niet aan de praat.

Nu gebruik ik zelf Bitwarden, wat mij uitstekend bevalt. Daarvan heb ik gelezen dat daar wel 2 gebruikers op 1 account kunnen. Dat lijkt me eventueel een prima alternatief.

Iemand andere ideeën?

[Room42]

sypie schreef op zondag 4 februari 2024 @ 14:32:
[...]
Iemand andere ideeën?

Als je als 2FA Google Authenticator gebruikt, kun je gewoon beiden de QR-code scannen en heb je beiden dezelfde TOTP en kun je dus beiden dezelfde 2FA gebruiken.

[ Voor 30% gewijzigd door Room42 op 04-02-2024 15:02 ]

[baco101]

baco101 schreef op woensdag 31 januari 2024 @ 03:59:
Nog geen succes met de tips die ik heb gekregen, ben volgende week weer in Nederland en dan ga ik het weer proberen, alvast bedankt @begintmeta en @swhnld

mijn probleem met inloggen in bitwarden niet kunnen oplossen, dus via de app op mijn iphone de kluis geexporteerd en een nieuw account aangemaakt en het oude account verwijderd

[qwasd]

Bor schreef op vrijdag 2 februari 2024 @ 08:25:
Zijn er ook mensen die ervaring hebben met meer corporate password managers? Er komen veel min of meer "persoonlijke" password managers voorbij en die zijn in een zakelijke omgeving met meerdere gebruikers niet altijd even goed bruikbaar.

In een zakelijke omgeving is al snel behoefte aan:
- Multi user
- Fine grained uitdelen van autorisaties
- Logging en auditing
- Bring your own key of double key encryptie
- Support
- Gecertificeerd product bij voorkeur

Kijk eens naar Passwordstate

[Phoolie]

Ik heb jaren gebruik gemaakt van BitWarden in combinatie met Authy. Nou krijg ik zojuist een mail van Twilio dat de Authy desktop app EOL is vanaf maart. Nou heb ik deze combinatie altijd gebruikt vanuit de gedachte dat als ze mijn BitWarden zouden kraken, dat ze dan niet ook meteen mijn Authenticator hebben. Nou moet ik dus op zoek naar een nieuwe Authenticator die ook een desktop app heeft. Is het beter om hier weer een losse app voor te kiezen of is de kans dat ze BitWarden zo klein dat ik best voor het gemak van Password Manager en Authenticator in één kan gaan?

[Locolau]

Bitwarden ben ik wel blij mee, maar ik heb geen Premium. 10$ per jaar kan er wel vanaf.
Dan kan ik ook 2FA daarbij gebruiken en weg van Authy. Lijkt me een mooie.

Maar ik zie dat er ook iCloud Passwords is, ook voor Windows (wat ik gebruik als Desktop). Zitten daar nog haken en ogen aan? Gebruik wel een iPhone en iPad Mini, maar geen Mac.

[swhnld]

Locolau schreef op woensdag 14 februari 2024 @ 10:40:
Maar ik zie dat er ook iCloud Passwords is, ook voor Windows (wat ik gebruik als Desktop). Zitten daar nog haken en ogen aan? Gebruik wel een iPhone en iPad Mini, maar geen Mac.

Je moet het even opzetten op Windows, maar dan werkt het prima.

[begintmeta]

@Phoolie Ik hou wachtwoordmanager en TFA bij voorkeur gescheiden, Voor TOTP-secrets gebruik ik in principe Yubikeys, maar inmiddels - vanwege een gebrek aan ruimte op de Yubikeys... - voor de minder belangrijke de wachtwoordmanager. Yubi-TOTP is beschikbaar voor desktop en mobiele OS.

[streamnl]

Serieuze vraag
Nu op de meeste gsm’s goeie gezichtsherkenning en/of vingerafdruk zit, en als je 2fa als aparte app gebruikt, heeft een Yubikey nog echt meerwaarde?

[ Voor 5% gewijzigd door streamnl op 14-02-2024 13:13 ]

[Phoolie]

begintmeta schreef op woensdag 14 februari 2024 @ 11:51:
@Phoolie Ik hou wachtwoordmanager en TFA bij voorkeur gescheiden, Voor TOTP-secrets gebruik ik in principe Yubikeys, maar inmiddels - vanwege een gebrek aan ruimte op de Yubikeys... - voor de minder belangrijke de wachtwoordmanager. Yubi-TOTP is beschikbaar voor desktop en mobiele OS.

Yubikeys heb ik mij nog niet in verdiept. Hoeveel kan je daar op opslaan? En is het dan aan te raden om 2 van die keys te kopen of zijn er backup mogelijkheden voor die dingen?

[begintmeta]

Phoolie schreef op woensdag 14 februari 2024 @ 13:25:
[...]

Yubikeys heb ik mij nog niet in verdiept. Hoeveel kan je daar op opslaan? En is het dan aan te raden om 2 van die keys te kopen of zijn er backup mogelijkheden voor die dingen?

Er kunnen 32 OATH-secrets worden opgeslagen (als ik me goed herinner). Ik gebruik (tenminste) een key als backup (voor de OATH-secrets en ook voor FIDO2), en daarnaast backup op papier.

streamnl schreef op woensdag 14 februari 2024 @ 13:13:
Serieuze vraag
Nu op de meeste gsm’s goeie gezichtsherkenning en/of vingerafdruk zit, en als je 2fa als aparte app gebruikt, heeft een Yubikey nog echt meerwaarde?

Yubikeys zijn IMHO best handig, je kan er naast FIDO2 en OATH-credentials ook gpg en certificaten/sleutels op opslaan (maar het maximale aantal van al die items mag wel wat hoger van mij), en gebruik maken van HMAC-SHA1 als extra factor voor de passwordmanager.

Op die manier heb ik de dingen aan mijn sleutelbos, minder plekken waar ze opgeslagen hoeven te worden (behalve dus in backup-keys en op papier of een USB-stick). Ook als mijn apparaat het eens niet doet kan ik desnoods snel op een nieuw apparaat toch weer toegang krijgen tot de diverse sleutels. Ik denk dat de kans dat bijvoorbeeld een telefoon defect raakt groter is dan dat een Yubikey kapot gaat - maar ook die kunnen natuurlijk defect raken.

[Phoolie]

begintmeta schreef op woensdag 14 februari 2024 @ 13:56:
[...]

Er kunnen 32 OATH-secrets worden opgeslagen (als ik me goed herinner). Ik gebruik (tenminste) een key als backup (voor de OATH-secrets en ook voor FIDO2), en daarnaast backup op papier.

Misschien dat dan maar eens overwegen. Ik zie alleen dat je de mogelijkheid hebt voor NFC, USB-A, USB-C en Lightning. Nou wil ik het gebruiken voor iPhone 14 Pro, Macbook Air M2 en een Windows machine. Waarbij die laatste geen noodzaak is. Is er dan één device die ik voor beide Apple producten kan gebruiken of dien ik een USB-C variant voor de Macbook te nemen en Lightning of NFC voor de iPhone?

En als je een key dan opslaat, moet je hem op beide Yubikeys opslaan, toch?

[user109731]

streamnl schreef op woensdag 14 februari 2024 @ 13:13:
Serieuze vraag
Nu op de meeste gsm’s goeie gezichtsherkenning en/of vingerafdruk zit, en als je 2fa als aparte app gebruikt, heeft een Yubikey nog echt meerwaarde?

Voor mij wel. Ik heb een aantal Yubikey Security Keys (de versie met alleen WebAuth/FIDO2) en ik vind dit fijner dan voor alles afhankelijk te zijn van mijn telefoon. Eén zit aan de sleutelbos en een backup ligt op een veilige locatie. Voor websites die alleen TOTP hebben gebruik ik de password manager - de voor mij belangrijkste websites ondersteunen WebAuthn tegenwoordig.

Phoolie schreef op woensdag 14 februari 2024 @ 14:05:
Misschien dat dan maar eens overwegen. Ik zie alleen dat je de mogelijkheid hebt voor NFC, USB-A, USB-C en Lightning. Nou wil ik het gebruiken voor iPhone 14 Pro, Macbook Air M2 en een Windows machine. Waarbij die laatste geen noodzaak is. Is er dan één device die ik voor beide Apple producten kan gebruiken of dien ik een USB-C variant voor de Macbook te nemen en Lightning of NFC voor de iPhone?

Je hebt ook keys die allebei hebben, zoals deze met USB-C en Lightning: https://www.yubico.com/nl/product/yubikey-5ci/ Wel vrij duur, je zou voor die prijs misschien ook twee goedkopere kunnen nemen of USB-C + NFC.

En als je een key dan opslaat, moet je hem op beide Yubikeys opslaan, toch?

Ja sowieso goed om altijd minimaal twee keys te registreren zodat je een backup hebt.

[Phoolie]

user109731 schreef op woensdag 14 februari 2024 @ 14:57:
[...]

Je hebt ook keys die allebei hebben, zoals deze met USB-C en Lightning: https://www.yubico.com/nl/product/yubikey-5ci/ Wel vrij duur, je zou voor die prijs misschien ook twee goedkopere kunnen nemen of USB-C + NFC.

Die is idd een stuk duurder. Denk dat USB-C + NFC dan een betere optie is en er daar dan twee van aan te schaffen. Dan zou ik voor mijn Windows pc alleen een verloopje van USB-A naar USB-C nodig hebben. Maar denk dat USB-C en NFC wel het meest future proof is.

[StormRider]

Een vraagje:
Stel je gebruikt een wachtwoord voor Bitwarden en een Yubikey als 2FA.
De Azure server van Bitwarden wordt gehackt en ze bemachtigen mijn kluis. Hebben de hackers dan wederom mijn wachtwoord EN 2FA nodig? Oftewel, vindt de 2FA authenticatie plaats op de kluis of op de Bitwarden server?

[BytePhantomX]

StormRider schreef op zondag 31 maart 2024 @ 21:11:
Een vraagje:
Stel je gebruikt een wachtwoord voor Bitwarden en een Yubikey als 2FA.
De Azure server van Bitwarden wordt gehackt en ze bemachtigen mijn kluis. Hebben de hackers dan wederom mijn wachtwoord EN 2FA nodig? Oftewel, vindt de 2FA authenticatie plaats op de kluis of op de Bitwarden server?

Daar ben ik oprecht ook wel benieuwd naar. Als ik het zo lees dan lijkt het dat je e-mail adres en master wachtwoord worden gebruikt voor een afgeleide encryptiesleutel voor je database. Dit proces vind lokaal plaats op je pc en wordt niet verstuurd naar de cloud. Hier lees ik echter niet iets terug over MFA: https://bitwarden.com/blo...d-multifactor-encryption/

En als ik hier lees: https://www.reddit.com/r/...ncryption_of_a_bitwarden/, dan wordt elke vorm van 2fa alleen gebruik voor authenticatie naar de servers, niet voor het versleutelen van de database.

Dus als ze een versleutelde versie van je database vinden en ze hebben je master password, dan zouden ze volgens mij je database kunnen ontsleutelen.

[Stefan22]

Op mijn Galaxy S22 Ultra heb ik ingeschakeld dat Bitwarden in de bovenste regel van mijn toetsenbord verschijnt bij het inloggen op een website, dit werkt erg fijn, als het werkt. En dat doet het dus vaker niet dan wel. Heb het ook al eerder op andere Android toestellen (waaronder Pixel) ervaren, dus het lijkt me niet een probleem wat specifiek op een Samsung toestel speelt. Meer mensen die dit ervaren en eventueel een oplossing hebben?

[ Voor 10% gewijzigd door Stefan22 op 04-04-2024 10:37 ]

[Room42]

@Stefan22 Android werkt niet consistent, in die zin. Als het goed is kun je wel ook in dat geval in het tekstveld drukken om 'Auto-fill' met Bitwarden te kiezen. Check ook even de auto-fill-instellingen in Bitwarden zelf.

[BytePhantomX]

Edit: Gereageerd op een oude post.

[ Voor 105% gewijzigd door BytePhantomX op 04-04-2024 11:54 ]

[Tripl3 D]

@Stefan22 Heb hetzelfde met Dashlane op mijn Galaxy A52s

Het enige wat soms helpt is het (1e) invoerveld nog een keer aan te tikken (soms zelfs helpt dit pas na meerdere keren)

[elsinga]

Stefan22 schreef op donderdag 4 april 2024 @ 10:36:
Op mijn Galaxy S22 Ultra heb ik ingeschakeld dat Bitwarden in de bovenste regel van mijn toetsenbord verschijnt bij het inloggen op een website, dit werkt erg fijn, als het werkt. En dat doet het dus vaker niet dan wel. Heb het ook al eerder op andere Android toestellen (waaronder Pixel) ervaren, dus het lijkt me niet een probleem wat specifiek op een Samsung toestel speelt. Meer mensen die dit ervaren en eventueel een oplossing hebben?

Je kunt op zo'n moment ook BW vanuit de top van het scherm naar beneden swipend bereiken. Geen idee of daar een instelling voor nodig is, maar bij mij werkt dat altijd als het regulier niet werkt.

[William_H]

Tripl3 D schreef op donderdag 4 april 2024 @ 11:58:
@Stefan22 Heb hetzelfde met Dashlane op mijn Galaxy A52s

Het enige wat soms helpt is het (1e) invoerveld nog een keer aan te tikken (soms zelfs helpt dit pas na meerdere keren)

Volgens mij is dit een algemeen probleem in Android. Heb dit ook met KeepassXC.

[whahas]

Hoe verplaats ik mijn passkeys van iOS naar Proton Pass? Kan dat überhaupt?
Ik heb het idee dat ik ze net zo goed kan wissen en opnieuw kan implementeren. Klopt dat?

Of is het juist handig om het een beetje te spreiden, de inlog methodes?

[streamnl]

Persoonlijk spreid ik

Overal verschillende e-mails via Proton/Simplelogin
Alle wachtwoorden in Bitwarden
Minder belangrijke 2fa (zoals Tweakers) ook in Bitwarden
Belangrijke 2fa via Authy

[Locolau]

Is er een tutorial om 2FA van Authy te verplaatsen naar Bitwarden 2FA? Ik hoorde toch wat dingen die niet zo snor waren bij Authy.

Heeft Bitwarden ook een back-up / export functie?

[ Voor 16% gewijzigd door Locolau op 17-05-2024 10:52 ]

[Room42]

Locolau schreef op vrijdag 17 mei 2024 @ 10:52:
Is er een tutorial om 2FA van Authy te verplaatsen naar Bitwarden 2FA? Ik hoorde toch wat dingen die niet zo snor waren bij Authy.

Persoonlijk zou ik de 2FA los van mijn password manager houden. Ik gebruik Aegis als Google Authenticator-compatible 2FA app. Opensource en met encrypted backups.

Maar als Authy kan exporteren in plain text, kun je de secrets overnemen in Bitwarden. Aegis ondersteunt trouwens de Authy export, dus dat zou je kunnen overwegen.

Heeft Bitwarden ook een back-up / export functie?

Ja (natuurlijk, zou ik haast zeggen), maar wel een beetje maf dat je dat niet zelf gevonden hebt met 'bitwarden export' op je zoekmachine.

[whahas]

Zoeken met bepaalde zoekmachines is tegenwoordig lastiger dan op een forum om een antwoord vragen.
Vooral de betrouwbaarheid is soms ver te zoeken.

[Locolau]

Room42 schreef op vrijdag 17 mei 2024 @ 11:26:
[...]

Persoonlijk zou ik de 2FA los van mijn password manager houden. Ik gebruik Aegis als Google Authenticator-compatible 2FA app. Opensource en met encrypted backups.

Maar als Authy kan exporteren in plain text, kun je de secrets overnemen in Bitwarden. Aegis ondersteunt trouwens de Authy export, dus dat zou je kunnen overwegen.

[...]

Ja (natuurlijk, zou ik haast zeggen), maar wel een beetje maf dat je dat niet zelf gevonden hebt met 'bitwarden export' op je zoekmachine.

Thanks voor de reactie.

Ik bedoelde een exportfunctie van de aparte Bitwarden Authenticator (2FA app) voor back-ups, en plaatste het gelijk erbij, ipv zelf door de aankondiging en link te lezen. Liever lui dan moe... Hopelijk werken ze aan een gemakkelijke import vanuit Authy zodat ik makkelijk over kan. Ben benieuwd.

Ik zit op iOS en iPadOS dus Aegis skip ik.

[haagsepracht]

S1NN3D schreef op donderdag 7 september 2023 @ 12:11:
[...]

Ik gebruikte Authy maar ben overgestapt op Raivo.
https://raivo-otp.com/

Ik heb dat ook lang gebruikt maar sinds gisteren overgestapt op 2FAS AUTH.

Let op, update Ravio niet! Exporteer eerst je 2FA's en stap dan over naar een andere tool. Doe je dat niet dan ben je waarschijnlijk de sjaak, want er staat nu een paywall voor! De app is onlangs overgenomen door een andere partij die uit is op geld. Boefjes!

[Whoopsie]

Iemand ervaring met StrongBox of KeePassium op MacOS of iOS?

[kleautviool]

haagsepracht schreef op donderdag 30 mei 2024 @ 15:48:
[...]

Ik heb dat ook lang gebruikt maar sinds gisteren overgestapt op 2FAS AUTH.

Let op, update Ravio niet! Exporteer eerst je 2FA's en stap dan over naar een andere tool. Doe je dat niet dan ben je waarschijnlijk de sjaak, want er staat nu een paywall voor! De app is onlangs overgenomen door een andere partij die uit is op geld. Boefjes!

Shit, dit zie ik net te laat. Kom nu niet meer bij mijn codes (app reageert nergens op)

[Room42]

Whoopsie schreef op vrijdag 31 mei 2024 @ 13:11:
Iemand ervaring met StrongBox of KeePassium op MacOS of iOS?

Voelt voor mij heel raar om een closed source, nota bene betaald pakket te nemen dat een opensource, gratis pakket als basis heeft. Is er geen echt opensource (alternatief) voor iOS voor Keepass (XC)?

[ Voor 8% gewijzigd door Room42 op 31-05-2024 14:40 ]

[PrettigGestoord]

Whoopsie schreef op vrijdag 31 mei 2024 @ 13:11:
Iemand ervaring met StrongBox of KeePassium op MacOS of iOS?

Ik gebruik al een tijdje KeePassium (gratis versie) op iOS. Doet perfect zijn ding en af en toe zet ik eens een nieuwe versie van mijn databasebestand op mijn iPhone, voor mij hoeft er gewoon geen cloud en sync aan te pas te komen.

[downtime]

Room42 schreef op vrijdag 31 mei 2024 @ 13:51:
[...]

Voelt voor mij heel raar om een closed source, nota bene betaald pakket te nemen dat een opensource, gratis pakket als basis heeft. Is er geen echt opensource (alternatief) voor iOS voor Keepass (XC)?

Waar heb je het over? KeePassium is gratis en GPLv3. Alleen voor wat extra features moet je betalen.

https://keepassium.com/pricing/

[haagsepracht]

kleautviool schreef op vrijdag 31 mei 2024 @ 13:20:
[...]


Shit, dit zie ik net te laat. Kom nu niet meer bij mijn codes (app reageert nergens op)

Dit is eigenlijk toch te gek voor woorden? Wat een klootviool ben je dan dat je in eens een paywall implementeert om toegang te krijgen tot zo'n dienst. Denk dat er genoeg mensen zijn die de release notes niet hebben doorgelezen. Ben heel blij dat ik hem echt per toevallig zag en toen gauw eieren voor mijn geld heb gekozen.

[S1NN3D]

haagsepracht schreef op donderdag 30 mei 2024 @ 15:48:
[...]

Ik heb dat ook lang gebruikt maar sinds gisteren overgestapt op 2FAS AUTH.

Let op, update Ravio niet! Exporteer eerst je 2FA's en stap dan over naar een andere tool. Doe je dat niet dan ben je waarschijnlijk de sjaak, want er staat nu een paywall voor! De app is onlangs overgenomen door een andere partij die uit is op geld. Boefjes!

Gaat lekker daar inderdaad… not.
nieuws: Gebruikers van Raivo-2fa-app zijn tokens kwijt na recente iOS-update

Toevallig ben ik recent opnieuw overgestapt. Van eerst Authy naar destijds Raivo en nu sinds een tijdje 2FAS waar jij naar refereert. Mooi op tijd dus.

Edit: Bitwarden heeft recent een nieuwe stand-alone app uitgebracht; Bitwarden Authenticator. Ik gebruik al hun self-hosted password manager; Vaultwarden. Misschien dat ik hun nieuwe 2FA tool ook eens ga proberen.

[ Voor 11% gewijzigd door S1NN3D op 31-05-2024 17:54 ]

[kleautviool]

haagsepracht schreef op vrijdag 31 mei 2024 @ 14:27:
[...]

Dit is eigenlijk toch te gek voor woorden? Wat een klootviool ben je dan dat je in eens een paywall implementeert om toegang te krijgen tot zo'n dienst. Denk dat er genoeg mensen zijn die de release notes niet hebben doorgelezen. Ben heel blij dat ik hem echt per toevallig zag en toen gauw eieren voor mijn geld heb gekozen.

Bizar inderdaad. Dacht dan maar even een maandje te betalen om tokens over te kunnen zetten, maar daar reageert de app niet op.

Top dit

[Room42]

Voor de iOS users staan hier wellicht nog tips tussen:
- https://www.privacyguides...ation/#authenticator-apps
- https://www.privacytools.io/secure-password-manager (zie Privacy Two-Factor Authentication (2FA))

Over privacytools.io was overigens in het verleden ook wat drama, waaruit privacyguides.org is ontstaan, geloof ik.

[mrbootster]

even checken of 1password bij de wensen van mij en mijn vrouw past. ik wil met haar samen 1 gezamenlijke online wachtwoord opslag hebben, voor gebruik in meerdere devices met verschillende browsers en besturingssystemen. Ook nodig dat b.v. een wachtwoord meteen bij haar geupdate wordt als ik het wijzig. Als ik het goed zie is 1password family plan geschikt voor ons?

[ Voor 6% gewijzigd door mrbootster op 04-06-2024 11:33 ]

[PrettigGestoord]

Kan je dan niet gewoon een free user delen?

[Phoolie]

PrettigGestoord schreef op dinsdag 4 juni 2024 @ 11:52:
Kan je dan niet gewoon een free user delen?

Een wachtwoord is als een onderbroek, die deel je niet Ok, er zijn mannen die vinden dat prettig, maar dat was niet de strekking van mijn opmerking.

Nou zijn er natuurlijk best situaties waarbij een "shared account" prima (minder erg) is. Maar een wachtwoord voor een password manager zou ik daar zelf niet aan toevoegen.

[F_J_K]

mrbootster schreef op dinsdag 4 juni 2024 @ 11:30:
even checken of 1password bij de wensen van mij en mijn vrouw past. ik wil met haar samen 1 gezamenlijke online wachtwoord opslag hebben, voor gebruik in meerdere devices met verschillende browsers en besturingssystemen. Ook nodig dat b.v. een wachtwoord meteen bij haar geupdate wordt als ik het wijzig. Als ik het goed zie is 1password family plan geschikt voor ons?

Als 100% gedeeld mag worden, voldoet een gewone account (aanname: account delen mag vanuit de algemene voorwaarden). Niet anders dan 1 persoon met telefoon + laptop + tablet + werktelefoon. Maar: dan mag er geen werk-wachtwoord in terecht komen. Die mag je immers niet delen.

Als er ook passwords zijn die niet gedeeld mogen worden, kom je inderdaad uit bij een 'family' versie van een password manager.

[ Voor 4% gewijzigd door F_J_K op 04-06-2024 12:23 ]

[Wachten...]

Zijn er hier al veel mensen die gebruik maken van passkeys, en zo ja voor wat voor diensten en wat is jullie ervaring er tot nu toe mee?

Ik heb nu 1 account even opgezet met passkey, maar ik merk dat ik er nog erg aan moet wennen dat ik de rest los moet laten. Tot op heden had je alles in eigen beheer, en nu doet de device het voor je. Het voelt dus alsof ik minder controle heb, waardoor ik er erg aan moet wennen.

Ik ben benieuwd naar jullie ervaringen.

[Wachten...]

haagsepracht schreef op donderdag 30 mei 2024 @ 15:48:
[...]

Ik heb dat ook lang gebruikt maar sinds gisteren overgestapt op 2FAS AUTH.

Let op, update Ravio niet! Exporteer eerst je 2FA's en stap dan over naar een andere tool. Doe je dat niet dan ben je waarschijnlijk de sjaak, want er staat nu een paywall voor! De app is onlangs overgenomen door een andere partij die uit is op geld. Boefjes!

Waarom kies je niet voor een open source programma zoals AEGIS?
Misschien heb je er een goede reden voor hoor, maar als het even kan, dan zou ik voor dit soort security zaken altijd voor open source gaan.

Ik zie graag je reactie tegemoet

[qwasd]

Wachten... schreef op zaterdag 13 juli 2024 @ 16:44:
[...]


Waarom kies je niet voor een open source programma zoals AEGIS?
Misschien heb je er een goede reden voor hoor, maar als het even kan, dan zou ik voor dit soort security zaken altijd voor open source gaan.

Ik zie graag je reactie tegemoet

Hij geeft aan Raivo te gebruiken dus moet wel iOS zijn. Aegis is alleen te gebruiken op Android.

[whahas]

Wachten... schreef op zaterdag 13 juli 2024 @ 16:40:
Zijn er hier al veel mensen die gebruik maken van passkeys, en zo ja voor wat voor diensten en wat is jullie ervaring er tot nu toe mee?

Ik heb nu 1 account even opgezet met passkey, maar ik merk dat ik er nog erg aan moet wennen dat ik de rest los moet laten. Tot op heden had je alles in eigen beheer, en nu doet de device het voor je. Het voelt dus alsof ik minder controle heb, waardoor ik er erg aan moet wennen.

Ik ben benieuwd naar jullie ervaringen.

Ik vind het wennen, maar gebruik het indien het aangeboden wordt. Wel heb ik laatst alles overgezet op één dienst. Ik gebruik nu wachtwoorden, passkeys en 2FA via Proton Pass.

Vaak is het best vlot.

[streamnl]

Momenteel zit ik (nog) bij Authy en heb vanmiddag pas echt tijd om alles om te zetten naar Ente…

Dat kan ik (als ik het goed gelezen heb) gebruiken op mijn IPhone en op mijn Android tablet.
Het is opensource en het synchroniseert met elkaar zodra je een account hebt (kan ik wel 1 aanmaken met SimpleLogin).

Ik gebruik Bitworden voor mijn wachtwoorden, dus dan heb ik mijn 2FA liever niet bij dezelfde partij. Mail e.d. is bij Proton.

Zijn er redenen/meningen dat ik beter naar iets anders kan gaan, dan naar Ente?

Ik heb geen zin om tzt weer alles aan te passen.

[Wachten...]

streamnl schreef op zondag 14 juli 2024 @ 08:04:
Momenteel zit ik (nog) bij Authy en heb vanmiddag pas echt tijd om alles om te zetten naar Ente…

Dat kan ik (als ik het goed gelezen heb) gebruiken op mijn IPhone en op mijn Android tablet.
Het is opensource en het synchroniseert met elkaar zodra je een account hebt (kan ik wel 1 aanmaken met SimpleLogin).

Ik gebruik Bitworden voor mijn wachtwoorden, dus dan heb ik mijn 2FA liever niet bij dezelfde partij. Mail e.d. is bij Proton.

Zijn er redenen/meningen dat ik beter naar iets anders kan gaan, dan naar Ente?

Ik heb geen zin om tzt weer alles aan te passen.

Omdat je een iPhone hebt, kan ik je niet verder helpen.
Maar een account voor dingen zoals een wachtwoord manager of een 2FA tool is voor mij echt een no go.
De enige keer dat ik zelf een account gebruik of zou gebruiken, is als ik het zelf host. Nu is Ente gelukkig wel open source. Dit is ten alle tijden al beter dan Authy. Sowieso snap ik nooit dat mensen voor Authy hebben gekozen. Deze dienst is zo vaak slecht in het nieuws geweest en is closed source.

Ik zie dan zelf ook niet echt een reden om een 2FA tool op 2 apparaten te hebben. Je hebt (lijkt mij) je telefoon altijd bij je. Mocht je telefoon het begeven, dan is een backup binnen een paar minuten terug gezet.

Zoals eerder genoemd gebruik ik zelf AEGIS (Nederlandse developers), maar dat is voor Android. In mijn ogen is dat één van de beste open source 2FA tools voor Android. Geen account nodig, open source, en erg simpel in gebruik, ook om backups te maken.

TLDR:
Mijn advies zou dus zijn om een open source app te zoeken, die geen account nodig heeft en daarvan backups maken. Ik weet overigens niet hoe andere apps hiermee om gaan, maar backups wil je altijd encrypted hebben.

[Wachten...]

whahas schreef op zondag 14 juli 2024 @ 01:02:
[...]

Ik vind het wennen, maar gebruik het indien het aangeboden wordt. Wel heb ik laatst alles overgezet op één dienst. Ik gebruik nu wachtwoorden, passkeys en 2FA via Proton Pass.

Vaak is het best vlot.

Maar alles bij 1 dienst?
Er zijn meerdere diensten die TOTP ondersteunen (Time-based One-time Password Algorithm), echter als iemand dus toegang heeft tot je vault, dan heeft hij gelijk toegang tot alles.

Heel het idee van een 2FA zou moeten zijn, dat het met een apparaat is, wat enkel jij tot je beschikking hebt, zoals een Ubikey of een telefoon met een 2FA app. TOTP in een wachtwoordmanager is dus "lekker makkelijk" echter creeer je hiermee een SPOF (Single point of failure)

[ Voor 10% gewijzigd door Wachten... op 14-07-2024 10:34 ]

[streamnl]

Wachten... schreef op zondag 14 juli 2024 @ 10:24:
[...]
Maar een account voor dingen zoals een wachtwoord manager of een 2FA tool is voor mij echt een no go.
De enige keer dat ik zelf een account gebruik of zou gebruiken, is als ik het zelf host. Nu is Ente gelukkig wel open source.

TLDR:
Mijn advies zou dus zijn om een open source app te zoeken, die geen account nodig heeft en daarvan backups maken. Ik weet overigens niet hoe andere apps hiermee om gaan, maar backups wil je altijd encrypted hebben.

Volgens de site zelf "Your codes sync across all your devices, end-to-end encrypted".
Al snap ik je punt. Voor mij is het wenselijk dat ik op beide apparaten bij mijn codes kan (ik heb bijv. niet altijd mijn gsm bij me ).

Inmiddels 29 codes handmatig overgezet, Duurde langer dan ik had verwacht...
Er was/is blijkbaar ook een tooltje, maar dat vertrouw ik dan niet zo.

Volgende week alles nogmaals testen en dan kan Authy eraf (nu geen zin meer in).

[whahas]

Wachten... schreef op zondag 14 juli 2024 @ 10:28:
[...]


Maar alles bij 1 dienst?
Er zijn meerdere diensten die TOTP ondersteunen (Time-based One-time Password Algorithm), echter als iemand dus toegang heeft tot je vault, dan heeft hij gelijk toegang tot alles.

Heel het idee van een 2FA zou moeten zijn, dat het met een apparaat is, wat enkel jij tot je beschikking hebt, zoals een Ubikey of een telefoon met een 2FA app. TOTP in een wachtwoordmanager is dus "lekker makkelijk" echter creeer je hiermee een SPOF (Single point of failure)

Ik heb de toegang tot mijn Proton Account dan weer wel ergens anders ondergebracht, namelijk bij Ente.

Indien iemand het voor elkaar krijgt dat hij in mijn telefoon en in mijn computer komt én ook nog alle wachtwoorden en weet ik wat weet om in mijn Proton Account te komen, dan vermoed ik dat er meer aan de hand is dan iemand die me 'gewoon' probeert te hacken.

[Wachten...]

whahas schreef op zondag 14 juli 2024 @ 18:09:
[...]

Ik heb de toegang tot mijn Proton Account dan weer wel ergens anders ondergebracht, namelijk bij Ente.

Indien iemand het voor elkaar krijgt dat hij in mijn telefoon en in mijn computer komt én ook nog alle wachtwoorden en weet ik wat weet om in mijn Proton Account te komen, dan vermoed ik dat er meer aan de hand is dan iemand die me 'gewoon' probeert te hacken.

Nee ik snap je hoor. De kans is altijd vrij klein, maar toch blijft heel het idee van een 2FA om een SPOF te voorkomen. Op deze manier doe je dat niet.

[whahas]

Nee, het is een extra laag beveiliging waarmee je dat kunt doen.

[Wachten...]

whahas schreef op maandag 15 juli 2024 @ 13:23:
Nee, het is een extra laag beveiliging waarmee je dat kunt doen.

Is Ente trouwens niet een foto backup oplossing?

En host je dat zelf?

[whahas]

Wachten... schreef op maandag 15 juli 2024 @ 15:31:
[...]


Is Ente trouwens niet een foto backup oplossing?

En host je dat zelf?

Ente is begonnen als een dienst waarmee je foto's versleuteld kan opslaan in de cloud, maar inmiddels bieden ze ook andere diensten aan.
Nee, ik host het niet zelf. Ik heb niet eens een server, dus ik zou ook niet weten waarop ik dat zou willen hosten.

[Room42]

whahas schreef op maandag 15 juli 2024 @ 20:12:
[...] Ik heb niet eens een server, dus ik zou ook niet weten waarop ik dat zou willen hosten.

offtopic:
Zelf hosten kan ook op een VPS bij een hostingprovider.

[whahas]

Dan ben je toch niet meer zelf aan het hosten?

[PrettigGestoord]

Ik ben hier nu ook aan het kijken om te switchen naar Ente, ik zit nu op Authy en KeePass maar misschien moet ik gewoon nog even afwachten op iOS18 zodat hun native Password app beschikbaar komt.

Dan kan ik van 2 apps naar 1 gaan en het is nog eens binnen het ecosysteem.
Iemand deze toevallig al getest op de beta versie van iOS18?

[swhnld]

PrettigGestoord schreef op woensdag 17 juli 2024 @ 10:37:
Ik ben hier nu ook aan het kijken om te switchen naar Ente, ik zit nu op Authy en KeePass maar misschien moet ik gewoon nog even afwachten op iOS18 zodat hun native Password app beschikbaar komt.

Dan kan ik van 2 apps naar 1 gaan en het is nog eens binnen het ecosysteem.
Iemand deze toevallig al getest op de beta versie van iOS18?

Je kunt nu al de geintegreerde password fucntie gebruiken binnen iOS. Zit dat verstopt in het instellingen menu, maar meestal vult het toch automatisch in. En dit werkt nu ook al op Mac en Windows.
De nieuwe app zal het toegankelijker maken door een direct knopje Wachtworden te bieden in plaats van via instellingen - wachtwoorden te moeten gaan, maar functioneel werkt het al gewoon op dit moment.

[Phoolie]

swhnld schreef op woensdag 17 juli 2024 @ 11:47:
[...]

Je kunt nu al de geintegreerde password fucntie gebruiken binnen iOS. Zit dat verstopt in het instellingen menu, maar meestal vult het toch automatisch in. En dit werkt nu ook al op Mac en Windows.
De nieuwe app zal het toegankelijker maken door een direct knopje Wachtworden te bieden in plaats van via instellingen - wachtwoorden te moeten gaan, maar functioneel werkt het al gewoon op dit moment.

De app gaan ze toch ook uitbreiden? Gebruik het nu niet, maar begreep dat het nu alleen voor wachtwoorden is en dat je het straks ook voor MFA kan gebruiken en dat je ook wachtwoorden kan delen.

[Domino]

Phoolie schreef op woensdag 17 juli 2024 @ 11:59:
[...]

De app gaan ze toch ook uitbreiden? Gebruik het nu niet, maar begreep dat het nu alleen voor wachtwoorden is en dat je het straks ook voor MFA kan gebruiken en dat je ook wachtwoorden kan delen.

TOTP kan nu ook al:



Delen gaat via airdrop.

Al met al kan het nog wel wat beter en gebuiksvriendelijker, maar het is al functioneel.

[swhnld]

Phoolie schreef op woensdag 17 juli 2024 @ 11:59:
[...]

De app gaan ze toch ook uitbreiden? Gebruik het nu niet, maar begreep dat het nu alleen voor wachtwoorden is en dat je het straks ook voor MFA kan gebruiken en dat je ook wachtwoorden kan delen.

Nou, in de huidige variant kun je ook gewoon je MFA codes kwijt. Probeer het maar eens met een van je accounts.
https://support.apple.com...e/iphone/ipha6173c19f/ios

[Phoolie]

Domino schreef op woensdag 17 juli 2024 @ 12:04:
[...]


TOTP kan nu ook al:

[Afbeelding]

Delen gaat via airdrop.

Al met al kan het nog wel wat beter en gebuiksvriendelijker, maar het is al functioneel.

O, dat had ik nog nooit gezien. Is dat al vanaf het begin? En werkt dat ook op Windows?

[Domino]

Phoolie schreef op woensdag 17 juli 2024 @ 12:10:
[...]

O, dat had ik nog nooit gezien. Is dat al vanaf het begin? En werkt dat ook op Windows?

Nee, zit er sinds ios15 in volgens mij. Al best een tijdje, maar niet sinds de start

[Phoolie]

Domino schreef op woensdag 17 juli 2024 @ 12:12:
[...]


Nee, zit er sinds ios15 in volgens mij. Al best een tijdje, maar niet sinds de start

Misschien moet ik eens wat vaker releasenotes lezen. Heb er ooit in het begin naar gekeken en toen ontbrak er nogal wat. Denk dat ik et voor nu maar even laat zoals ik het nu heb, met Bitwarden & Authy. Maar met de nieuwe iOS ga ik hier eens mee experimenteren

[whahas]

Mits je het niet erg vindt om nog meer in Apple's ecosysteem terecht te komen dan is dat zeker een idee.

[Phoolie]

whahas schreef op woensdag 17 juli 2024 @ 18:04:
Mits je het niet erg vindt om nog meer in Apple's ecosysteem terecht te komen dan is dat zeker een idee.

Mijn Windows desktop en werklaptop zijn de enige non Apple devices, daar zie ik dus niet echt een probleem in.

[Daejji]

Ik gebruik al een hele tijd Dashlane en heb de gratis variant. Ik heb van oudsher meer dan 25 wachtwoorden opgeslagen, dus ik zoi alleen nog moeten kunnen raadplegen.
Prima.

Nu wil het geval dat ik er onlangs achter kwam dat ik de wachtwoorden ook niet meer kan raadplegen?
Er staat dan een i (informatie) icoontje achter en er staat dan dat ik beperkte rechten heb en dat ik niet kan bekijken/bewerken??
Meer mensen hier last van?

[Room42]

@Daejji, je vertelt niet hoe je je gegevens probeert te benaderen en welke browser of app je gebruikt. Kun je (nog) wel je gegevens exporteren uit Dashlane? Dan is dat wellicht een manier om bij je gegevens te komen. En anders wellicht even de Dashlane support benaderen.