[Password Managers] Discussie- en reviewtopic

[elsinga]

Vaultwarden werkt hier al jaren prima. Is een Bitwarden variant, die werkt met de Bitwarden client.

[Kreekje]

Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

[Wild Chocolate]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Ik gebruik zelf Enpass, ik zie dat die €1,95 ex BTW per user per maand rekenen. Je moet dan wel zelf de kluizen ergens opslaan. Dat kan op zo'n beetje iedere cloudopslag. Ik weet alleen niet hoe makkelijk hij te beheren is voor meerdere gebruikers.

[swhnld]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Je kunt Bitwarden business overwegen. Standaard 4 Euro per gebruiker per maand, 48 per jaar, maar ze geven korting voor non-profits, moet je wel contact met hun sales afdeling opnemen:
https://bitwarden.com/pricing/business/

[elsinga]

EN Bitwarden is ook zelf te hosten (zoek op Vaultwarden), dan zijn er geen kosten per user meer (alleen zorgen dat de Docker container blijft draaien, wat vrijwel geen werk is) en zelf backups maken.

[edwin2021]

En dus óf een server huren voor de docker óf een vpn naar huis als extra werk/kosten.
Btw poort openzetten is geen oplossing.

[Ramon]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Proton Pass heeft ook een gratis variant.

[RoRoNL]

@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

[whahas]

2 euro per gebruiker per maand, dat tikt behoorlijk door - en dat is dan nog eens de goedkoopste optie...

[edwin2021]

RoRoNL schreef op vrijdag 10 april 2026 @ 22:50:
@Ramon Ja voor particulieren inderdaad, maar als je als instelling dit wil beheren en wil aanbieden dan kom je uit op https://proton.me/nl/business/pass/pricing
@Kreekje

Werp een blik op aliasvault. Nl product.
Ontwikkelaar is zeer goed benaderbaar via discord.

[ Voor 6% gewijzigd door edwin2021 op 11-04-2026 07:03 ]

[eynickey]

Kreekje schreef op donderdag 9 april 2026 @ 22:38:
Heb even de laatste pagina's doorgelezen en in de hele topic gezocht maar niets gevonden voor mijn use-case. Ik zoek een password manager die betaalbaar moet zijn voor een non-profit. Liefst eentje dat niet te complex is voor de gebuikers. Ik was vooral aan het kijken naar 1Password, deze kwam hier in de topic ook aan bod. Voor non-profits hebben ze 25% korting op de business accounts. Dus per user zou dat dan op 62,91 EUR uitkomen per jaar.

Is dit een goede deal of kan ik beter nog verder zoeken? Zal eerst ook maar eens 14 dagen de trial proberen.

Misschien Passbolt? Je kunt een aanvraag indienen die ze dan beoordelen.
https://www.passbolt.com/contact/non-profit

[nafofella]

groggy schreef op maandag 6 april 2026 @ 21:41:
[...]

Proton pass

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

[Hippe Lip]

nafofella schreef op donderdag 16 april 2026 @ 18:04:
[...]

Ik heb idd maar proton pass genomen.
voor een jaar goedkoper dan 1password en ik wil zoveel mogelijk af van amerikaanse dienstverleners (ook als ze servers in europa hebben).

Zelf iets gaan hosten of klooien met dockers heb ik nu even geen zin in en dit is gewoon plug en play.
Net geïnstalleerd dus zal over tijdje wel ff posten hoe dat bevalt (in vergelijking met 1 password)

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

[nafofella]

Hippe Lip schreef op donderdag 16 april 2026 @ 18:50:
[...]

Daar wilde ik ook vanaf (had Lastpass) en twijfelde lang tussen Proton en Nordpass. Uiteindelijk heb ik voor Nordpass gekozen vanwege de gebruikersinterface. Ik heb een volkomen a-technische wederhelft en dan helpt elk beetje.

Bijna een weekje proton pass nu in gebruik en ik vind hem fijner en overzichtelijker dan 1password.
ook was 1password aan het klooien als ik een recover password op een site deed. ik moest 1password uitzetten omdat het nieuwe wachtwoord steeds anders was. (dat was ook de reden dat ik direct maar proton pass heb genomen)

ik gebruik het op mijn iphone en windows pc's. werkt fijn en intuïtief. Voor mij dus beter en fijner dan 1password.

Ik ga na dit jaarabbo ook eens nordpass proberen. Ik zag dat die een stuk voordeliger geprijsd zijn.

[nafofella]

Helemaal tevreden met proton pass nu ik het een tijdje gebruik. Werkt echt super.

Om toch de beveiliging helemaal optimaal te krijgen heb ik nu twee yubikeys en een token2 aan mijn accounts gehangen icm met Synology secure signin app op mijn iPhone.

Een yubikey aan de bos. Een in een bankkluis met backup hd nas en codes. En een doosje met de token2 naar een vriend.

Volgensmij kan ik qua online veiligheid niet veel meer doen 😜

[streamnl]

Ik had vandaag bij het aanmaken van een alias de optie van .may517
Dit is de eerste keer dat ik dat zie. Maar dat wil ik wel vaker dat ik iets van een datum/jaar zie. Dat ziet er toch net wat minder raar uit dan .underpaid123 ofzo

Ik begrijp dat je minder opties hebt dan random woorden en getallen, en dat de keuzes waaruit je dan kan kiezen snel op zijn als men wereldwijd hieruit kan kiezen.

Maar toch… ik zou het wel prettig vinden als je in de naam ook iets van een datum terug kan zien ipv bij de opties.

[BytePhantomX]

BytePhantomX schreef op woensdag 9 november 2022 @ 14:55:
Ik heb net trouwens eens getest wat de ervaring is. Die laat nog wat te wensen over, maar goed jullie zijn nog aan het bouwen.

...

Ik kreeg vandaag een like op deze comment en daarnaast zie ik MindYourPass nog regelmatig voorbij komen op mijn LinkedIn. Sinds deze post hebben we LLM's gekregen en leek het mij leuk om eens een analyse te doen van hoe het nu werkt.
Disclaimers: ik zal vast niet alles begrijpen en dit is getest op basis van de cosumentenversie.

Consumenten kunnen een gratis versie gebruiken. Je kunt naar: https://site.mindyourpass.io/nl/get-started om daar mee te beginnen. Bij de onboarding moet je een hoofdwachtwoord maken van 12 tekens (ps MindYourPass wordt gezien als goed wachtwoord) en krijg je een email met de recovery code, met daarin o.a. deze tekst:

Important notice!

In case you ever forget your master password of MindYourPass, you will need the code below to set up a new master password:

78babd18-89d4-46ab-8a61-45d1b3e39d71

Please keep this code in a safe place!

Persoonlijk zou ik een advies verwachten om deze code veilig op te bergen (op papier o.i.d.) en de mail daarna te verwijderen, en ook te verwijderen uit de prullenbak. Iemand die toegang krijgt tot je mailbox zou namelijk ook bij je wachtwoordmanager kunnen.

Je krijgt dan een video te zien met een uitleg waarbij je ook een eenvoudig te onthouden wachtwoord moet maken, naast je hoofdwachtwoord. Dat bleek in mijn geval niet nodig te zijn / niet te kunnen.

Voor de app op je telefoon moet je inloggen met je email adres en je hoofdwachtwoord. Daarna volgt een autorisatiecode per email en kun je inloggen. Voor consumenten is het niet mogelijk om MFA in te stellen (anders dan de email verificatiecode).

Je kunt daarna een record / site toevoegen aan MindYourPass. Daarna heb ik met AI de extensie geanalyseerd en de API calls om uit te vogelen hoe het nu werkt om een wachtwoord op te vragen:

1. Je opent het record in MindYourPass en vult je (hoofd of eenvoudig te onthouden) wachtwoord in.
2. Er wordt een call gedaan naar InputVector/GetWithSession om de user input vector voor deze sessie op te halen.
3. Je wachtwoord (uit stap 1) wordt samen met een salt gehashed. De salt wordt serverside in de JWT (json web token) geplaatst en lokaar er uit gehaald.
4. De hash uit stap 3 wordt samen met de Vector uit stap twee samengevoegd om een locale secret (mappedUserPassword) te maken.
5. Er wordt een call gemaakt naar /Generate waarbij data terugkomt met een passwordVector en een adjustmentVector.
6. Er wordt een call gemaakt naar /GetByUrl om de wachtwoord eisen voor de website op te halen (lengte, lowercasse, upercase etc)
7. De mappedUserPassword, passwordVector, adjustmentfactor en de regels uit 6 worden gebruikt om vervolgens is drie stappen het wachtwoord te berekenen. Deze berekening is volledig clientside en in javascript.

Calls naar de API zijn beveiligd met een bearer token. Ik weet niet zeker wat er server side voor checks plaatsvinden (bv op IP Adres), maar normaal gesproken zou je als je de bearer token hebt calls kunnen maken naar de API.

Dat maakt dat een paar aanvalspaden mogelijk zijn:

• Toegang tot de mailbox van de gebruiker geeft volledige toegang tot de wachtwoord manager. Hier is niet omheen te werken, aangezien je geen andere vormen van MFA kan instellen voor de consumenten versie.
• Als je geen toegang hebt tot de email van een slachtoffer, dan is het wat complexer, maar m.i. niet onmogelijk:
  • Je moet de token stelen, wat een vrij veel voorkomende aanval is. Het maakt wel dat je aanval mogelijk tijdelijk werkt vanwege de levensduur van de token.
  • Je moet het (hoofd of eenvoudig te onthouden) wachtwoord hebben. Kan gephist worden, of mogelijk staat het op het dark web als een gebruiker wachtwoorden hergebruikt.
  • Je moet de url hebben zoals die ingevoerd is in MindYourPass. Dat lijkt me in de basis realistisch.
  • Je moet de logica voor het maken van wachtwoorden hebben, maar die is uit de browser extensie te halen.

Mogelijk wordt optie 2 lastig of onmogelijk gemaakt door maatregelen aan de server kant, maar daar is niets over bekend, anders dan deze zin in de FAQ:

Detectie verdacht gedrag. Voor elk wachtwoord dat MindYourPass genereert, vindt een interactie met onze servers plaats. Dit maakt het mogelijk om verdacht gedrag te detecteren en te blokkeren.

Aan de ene kant gaaf dat we een Nederlands bedrijf hebben dat iets nieuws op de markt brengt. Aan de andere kant maak ik me een beetje zorgen over de veiligheid van deze tool en dat het bij veel gemeentes wordt gebruikt.

Ik ben eigenlijk wel benieuwd of iemand het gebruikt. Zakelijk of de consumenten versie.

[kevchenko]

Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.
De eerste testen zijn veelbelovend. Het privégebruik is beperkt, maar via een business account (31-day trial) kan je heel wat beheren.
Ze geven aan dat alles op Europese servers staat en dat ze 100% GDPR-compliant zijn.
Als ze doen wat ze beloven, is dit natuurlijk the way to go.
Heeft iemand dit product al eens onder de loep genomen?

[Hippe Lip]

kevchenko schreef op woensdag 27 mei 2026 @ 20:41:
Recent maakte ik op Cybersec Europe kennis met heylogin, een password manager waarbij je inlogt via een app op je smartphone (of met een security key) en niet met een master password.

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[ Voor 42% gewijzigd door Hippe Lip op 27-05-2026 22:57 ]

[kevchenko]

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]

Als de boel niet beveiligd is met een master password, hoe dan wel, @kevchenko?

Het zal toch hoop ik niet zo zijn dat iedereen die jouw telefoon te pakken heeft overal bij kan? Want dan is de beveiliging van die passwordmanager niet sterker dan de beveiliging van je telefoon?
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.
Wanneer ik wil inloggen op een website krijg ik volgend scherm.

Bij het selecteren van je account, krijg je een melding op je smartphone. Daar dien je deze aanmelding te verifiëren. In geval van MFA, krijg je ook nog via je authenticator app een melding.
Volgens je settings kan je bepalen hoe lang je sessie geldt, zodat je niet telkens moet bevestigen bij een volgende login. Per browser kan je ook meteen je sessie verbreken.

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.
Zopas heb ik hun Security architecture whitepaper gedownload. 57 Pagina's, dus het zal wel even duren vooraleer ik deze heb doorgrond.

[kevchenko]

Om het even in hun woorden te zeggen:

We completely remove the need for a Master Password. Instead, we generate a cryptographic seed directly in the security chips of the respective user devices to derive the specific keys for end-to-end encryption. In contrast to a Master Password, a seed is 256 bit secure, completely random and contains no human patterns.

heylogin supports security chips from different users devices. Typically, it uses the security chips built into smartphones on iOS and Android. This also allows the usage of smartwatchesto unlock heylogin if they are properly connected over Bluetooth with the phone. In this case heylogin still uses the security chip inside the smartphone. As an alternative, FIDO2 security keys can be used, which are connected over USB or NFC. With these devices, the security chip inside these security keys can be used as an alternative to the user’s phone or even as a standalone device without a phone. Security chips in PCs and Macs offer another way to unlock heylogin, via the Windows Hello and Touch ID APIs.

heylogin’s browser extension automates the login experience by detecting login forms, e.g. username and password fields, and then showing an overlay on top. This hides the inconveniences of the login process and instead shows a 1-click button labeled with the user’s website account.

The heylogin overlay works with all websites and even two-step logins, where username and password are on two different sites are also supported as well as automated entry of TOTP codes. The algorithm has been fine tuned over several years and is continuously updated.

The resulting experience feels like a Single-Sign On (SSO) but is technically a Password Manager.

1. In milliseconds, the overlay algorithm detects the login form on the website.

2. The browser extension renders the overlay precisely on top of the login form.

3. After clicking the button labeled with the user’s website account, a notification is shown on the smartphone.

4. After unlocking the security chip locally with Face Unlock, Fingerprint or PIN, the browser extension is unlocked and can now access private data, such as username and passwords, inside the vault. Username and password is automatically filled in behind the overlay to automate the website login process.

For multi-factor authentication / security, three factors are typically discussed: knowledge (”something only the user knows”, such as PIN, password, master password), possession (“something only the user has”, such as security chips, certificates files) and biometric factors (“something the user is”, such as fingerprint, face unlock).
As explained before, legacy Password Managers use the Master Password as a 1st factor (knowledge factor) and optionally implement 2nd factors, such as TOTP codes (knowledge factor) or security keys (possession factor). These 2nd factors, are only authentication mechanisms for an additional protection when accessing the cloud infrastructure, but not part of the vault encryption process. In case of an infrastructure breach, this means that they effectively only have 1-factor security with a master password. In contrast, heylogin has real 2-factor security as part of the vault encryption process. heylogin’s 1st factor is always a security chips, built inside the user’s smartphone, FIDO2 security key or TPM (possesion factor). heylogin’s 2nd factor is the factor used to unlock the security chips. In case of smartphones, this is typically fingerprint (biometric factor), face unlock (biometric factor) or PIN (knowledge factor). The 2nd factor always works on the login device itself locally and no biometric or PIN data is transmitted to our servers. While Master Passwords and PINs are both knowledge factors, there is a crucial difference how they work. As shown before, in a offline brute-force attack, Master Passwords can be guessed with unlimited attempts, since these attacks are only slowed down by the key derivation method. In contrast, PIN attempts are strictly limited by the security chip hardware. An attacker must therefore not only physically steal the smartphone (1st factor), but also unlock the security chip with a 2nd factor. It is important to remember that the use of the security chip ensures that our cryptographic seed can never be accessed by bypassing the phone’s authentication mechanisms, e.g., by prying out the storage and reading it through an external reader.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 07:55:
Je installeert de Heylogin app, die dient als authenticatie. Daarnaast kan je gebruik maken van een browser plug-in.

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Telefoon niet bij de hand? Dan kan je ook gewoon het kader wegklikken en je credentials manueel ingeven.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Wat je hierboven aanhaalt, geldt ook voor de native password managers van iOS en Android. Dus daar zie ik niet echt een probleem.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 14:06:
[...]

Je telefoon is dus je sleutel. En wat als die in de plomp verdwijnt of opeens <ploef> zegt? Dan kun je nergens meer bij?

Kun je ook een backup maken?

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.

Maar waar is dan je lijst met bewaarde credentials van die PW-manager? Daar kun je alleen maar bij vanaf je telefoon?

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Daar zie ik zoals gezegd nou juist wel het probleem. Dat is ook waarom ik geen gebruik maak van de native PW-manager van (in mijn geval) iOS. Hoe is een gemiddelde iPhone beveiligd? Met je unlock-code (PIN-code) kun je erin en kun je overal bij. Dat vind ik maar een matige bescherming.

Dan is er nog het verschil dat ik met de PW-mngrs waarmee ik tot nu toe werkte zowel de telefoon als de iPad als sleutel kan gebruiken. Maar daarvoor is dan wel steeds het lange master password nodig.

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

[groggy]

kevchenko schreef op donderdag 28 mei 2026 @ 18:14:
[...]

Je kan een 2e toestel koppelen (iPhone, iPad, Yubikey,... ), of in geval van <ploef> kan je een nieuw toestel configureren mits je de recovery code hebt. Daar sta je als gebruiker zelf voor in.
Als je geen 2e toestel koppelt, kan je inderdaad niet aan je data. Tenminste tot je een nieuw device hebt.
Als admin kan je de gebruikers resetten.
Backup van data is mogelijk naar .csv.


[...]

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.


[...]

De beveiliging van je toestel is ergens ook je eigen verantwoordelijkheid. In het gezin kijk ik daar op toe. Een bedrijf is natuurlijk iets anders.

In hun whitepaper geven ze ook antwoord op elke stap van hun beveiliging. "Alle" mogelijke risico's (voor zover je van alle kunt spreken) worden daar besproken.
Je kan die trouwens op hun site terugvinden.

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

[kevchenko]

groggy schreef op donderdag 28 mei 2026 @ 20:25:
[...]

Wie probeer je te overtuigen, ben je toevallig betrokken bij deze password manager?

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.
Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

[Hippe Lip]

kevchenko schreef op donderdag 28 mei 2026 @ 20:43:
[...]

Totaal niet. Ik had gehoopt dat iemand (met meer kennis van security dan mij) deze PM al eens bekeken had. Bij de firma waar ik werk zijn de gebruikers nogal moeilijk warm te maken voor een PM.

Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

Gezien we toch met gevoelige data werken, zijn we nogal wantrouwig tegenover cloudoplossingen voor PM's. Deze kan misschien wel iets te bieden hebben op dat vlak, net omdat hij anders lijkt te werken.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

Via heylogin.app log je in op het beheerportaal. Daar kan je alles uitgebreid beheren. De smartphone app dient enkel voor authenticatie en het beheer van je wachtwoorden.

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

[kevchenko]

Hippe Lip schreef op donderdag 28 mei 2026 @ 23:30:
[...]


Het lijkt er niet op dat je heel erg kritisch bent, dus ik kan me wel voorstellen dat je collega’s er niet aan willen. Ik ben nogal kritisch omdat je hiermee een van je gevoeligste dingen aan het bewaren bent.

[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Je lijkt hier te zeggen dat heylogin niet in de cloud werkt, maar je zegt zelf

[...]

Dat betekent toch dat je data niet op je telefoon staat maar bij heylogin. Dat is toch in de cloud?

Nee, ik ben nog bepaald niet overtuigd. Hooguit overtuigd van het feit dat dit zaakje allerminst me allerminst veilig lijkt.

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

[Hippe Lip]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[Ik ben net wel heel kritisch.

Ik probeer de werking tot op een bepaalde hoogte te doorgronden.

Niet ver genoeg, lijkt het.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

[Hippe Lip]

Een beetje behoorlijk wachtwoord, zeker wat je nodig hebt voor een PW-mngr, is meer dat 16 karakters (zeker niet alleen cijfers!) lang!
Ik houd ruim meer dan 20 aan.

[Phoolie]

Hippe Lip schreef op vrijdag 29 mei 2026 @ 10:49:
[...]

Precies DAAR geef je zelf dus aan hoe zwak dit is: de beveiliging gaat niet verder dan die ene PIN van een paar cijfers.
Dat is een zéér zwakke beveiliging. Ik adviseer je om hiermee geen kritische dingen op te slaan!

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

[FRANQ]

kevchenko schreef op vrijdag 29 mei 2026 @ 10:27:
[...]


[Ik ben net wel heel kritisch. Ik probeer de werking tot op een bepaalde hoogte te doorgronden.
Een kritische noot is bijvoorbeeld wanneer je iPhone defect is en je hebt geen 2e device, dan kan je wel een nieuw toestel activeren met je back-up codes. Maar wat als je iCloud credentials net in die PM zitten? Een 2e device lijkt dus echt wel noodzakelijk, wat dan weer een extra kost is.

Een tweede punt: Mijn vrouw weet de PIN van mijn telefoon. Dit wil zeggen dat zij ook aan mijn professionele paswoorden kan.


[...]


[...]

Dan moet dit niet duidelijk zijn uitgelegd door mij. Het is niet dat de gebruikers dit niet willen gebruiken omwille dat het cloudbased is, maar eerder uit beperkte IT vaardigheden. Vandaar ook deels mijn interesse in dit product.

Waar staat de data?

• In de cloud:
  • Logingegevens worden opgeslagen op servers in Duitsland
  • De data in de cloud is end-to-end encrypted. Heylogin zelf kan de inhoud niet zien of ontsleutelen
• Op je smartphone / device:
  • De sleutels om die data te ontgrendelen zitten op jouw toestel
  • Je toestel kan dus lokaal logingegevens gebruiken en synchroniseren met de server.

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

[groggy]

FRANQ schreef op dinsdag 2 juni 2026 @ 11:39:
[...]

Zelf heb ik bitwarden, en mijn vrouw kan ook in mijn telefoon.
Maar het wachtwoord van bitwarden is dermate ingewikkeld dat ze daar nooit achter komt.
Zelfs niet met een geheugensteuntje.

En zelf weet ik mijn eerste auto met kenteken en een paar speciale karakters er tussendoor prima uit mijn hoofd.

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

[FRANQ]

groggy schreef op dinsdag 2 juni 2026 @ 15:33:
[...]

Er komt een moment waarop je jouw bot het nét iets te makkelijk hebt gemaakt met deze ene zin om je wachtwoord te kraken...

Het is een voorbeeld
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

[Hippe Lip]

Phoolie schreef op dinsdag 2 juni 2026 @ 11:11:
[...]

Beveiliging is toch altijd zo zwak als de zwakste schakel? Die telefoon is het probleem niet, de kozen code van een paar cijfers is het probleem.

Is dat niet precies wat ik zeg?

[Phoolie]

Hippe Lip schreef op dinsdag 2 juni 2026 @ 21:34:
[...]

Is dat niet precies wat ik zeg?

Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

[ Voor 23% gewijzigd door Phoolie op 03-06-2026 08:35 ]

[swhnld]

FRANQ schreef op dinsdag 2 juni 2026 @ 15:39:
[...]
Maar dan nog zou ik het erg knap vinden, aangezien daar volgens mij niets over bekend is op internet.

Dan hoop je dat er nooit een hack geweest is van de overheids database waar die informatie in staat.

Ook ga je er dan van uit dat niemand ooit een foto plaatst of geplaatst heeft op sociale media van jou met je eerste auto en het kenteken leesbaar.

En8gste voordeel voor je is , hoop je dan maar, dat je een 13 in een dozijn, gemiddelde burger, bent. Er is niets te halen, je bent niet beroemd, etc. Dan gaat men niet gauw energie erin steken om het uit te zoeken wie Franq is.

[kevchenko]

De argumentatie is dat bij een breach bij legacy password managers, men in principe ongelimiteerd offline brute-force kan toepassen op de vault. Uiteraard zal de complexiteit van je wachtwoord daar een rol in spelen.
Volgens Heylogin is dat bij hen niet mogelijk.

Wat betreft de pincode op je iPhone, geven ze het argument dat brute-force vertraagd wordt.
Brute-force protection on iPhone and iPad.

On Apple devices, the Secure Enclave is responsible for handling user authentication via PIN.
The Secure Enclave also implements escalating timeouts on authentication failure to discourage
brute-force attacks6. Furthermore, Apple allows users to configure an automatic device
wipe that will delete all data on the device after 10 incorrect attempts.
Incorrect attempts 1 to 3 4 5 6 7 8 9
Delay in minutes until next try - 1 5 15 60 180 480
Incorrect attempts 10 Action Device is disabled or wiped, depending on configuration

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
Je PIN wijzigen in een alfanumerieke code is dan de oplossing. Maar of het handig is als je Face ID het even laat afweten. Hoewel alles beter is dan een 6 digit code, dus misschien hoeven 16 karakters dan weer niet, in combinatie met die brute-force protection.

[Phoolie]

kevchenko schreef op woensdag 3 juni 2026 @ 13:16:
[...]

Dat sluit natuurlijk niet uit dat iemand je PIN heeft zien intikken om een of andere reden.
[...]

Of ze zien je vingerafdrukken zitten, wat de pincode "raden" maken ook wat makkelijker maakt

[Hippe Lip]

Iemand hier die Dashlane gebruikt?

Zie artikel Wachtwoordkluizen Dashlane-klanten gestolen bij bruteforce-aanval

[Hippe Lip]

Phoolie schreef op woensdag 3 juni 2026 @ 08:34:
Als dat is wat je probeerde te zeggen, zou ik voortaan andere woorden kiezen. Het komt nu over of je de besproken oplossing afschiet omdat een telefoon alleen maar een pincode aan zou kunnen. Je geeft namelijk aan weg te blijven van die optie met die telefoon omdat er een makkelijke pincode op zit. Je kan natuurlijk prima die optie wel gebruiken en een moeilijke toegangscode voor je telefoon kiezen

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).

Hippe Lip schreef op woensdag 27 mei 2026 @ 22:41:
[...]
Dan is:

1. óf de beveiliging van de PW-mngr heel beroerd (de beveiliging van de meeste telefoons is maar vrij beperkt vergeleken met een goed master password),
2. óf de beveiliging van je telefoon is heel zwaar, wat je niet leuk gaat vinden elke keer als je je telefoon moet ontgrendelen.

[Phoolie]

Hippe Lip schreef op woensdag 3 juni 2026 @ 17:09:
[...]

Nou @Phoolie, dat is juist een van de eerste dingen die ik erover zei, dacht ik.
En dat is het lastige als een discussie over meerdere posts is uitgespreid, want niet iedereen leest (of onthoud) dan de hele story (geen verwijt).


[...]

In dat geval heb je volkomen gelijk, ik had dat eerste bericht gemist. Discussie om niets dus, eigenlijk zijn we het prima met elkaar eens

[Diederik]

Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

[Hippe Lip]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

[qwasd]

Diederik schreef op maandag 27 juli 2026 @ 15:58:
Omdat Microsoft passkeys verplicht gaat maken (of de authenticator) en ik op heel veel (echt heel veel) portals moet kunnen inloggen heb ik nu de volgende strategie bedacht:

-1Password is mijn password manager (al tijden)
-Proton authenticator gebruik ik voor TOTP
-Ik heb een YubiKey 5C NFC aangeschaft en een Google Titan
-Op 1Password heb ik beide sleutels als 2e factor ingesteld
-Vanaf nu registreer ik nieuwe Passkeys in 1Password, dat beschouw ik als veilig omdat iemand fysiek toegang moet krijgen tot mijn sleutels om in te loggen op mijn 1Password account.

Daarnaast maak ik vanaf nu maandelijks een csv backup van de wachtwoorden die bij de accounts horen en die plaats ik op een externe schijf.

Op deze manier kan een kwaadwillende geen toegang krijgen tot mijn accounts en kan ik zelf wel altijd toegang krijgen ook als mijn apparatuur en 1Password faalt. Zie ik nu nog iets over het hoofd?

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

[ Voor 3% gewijzigd door qwasd op 27-07-2026 23:57 ]

[Diederik]

Hippe Lip schreef op maandag 27 juli 2026 @ 23:39:
[...]

Die sleutels heb ik al lang geleden over nagedacht. Die zijn inderdaad veilig, maar kunnen ook een point of failure (en risico) opleveren. als je ‘m kwijt bent (of hij doet het niet meer), dan is er geen alternatief.
Als een kwaadwillende de sleutel in handen krijgt (verloren of gestolen), dan ben je verloren en kun je er nix tegen doen?

De sleutels zijn in mijn voorbeeld alleen nodig om toegang te krijgen tot mijn 1Password account, dat account is actief op 3 apparaten (Laptop, Mobiel, Tablet).

Zodra een kwaadwillende een sleutel in handen krijgt, heeft hij ook nog mijn masterwachtwoord nodig om toegang te krijgen, en kan ik met de andere sleutel de verloren sleutel uitschakelen.

Als ik op alle drie de apparaten uitgelogd raak en de sleutels niet meer heb, dan heb ik de csv backup om alsnog toegang te krijgen tot de accounts.

[...]

Je hebt thuis met die csv-bakcup alles dus in leesbaar formaat opgeslagen? Zit daar dan je zwakste punt? Als die gestolen wordt, dan kan de dief overal bij?

En die backup heb je in enkelvoud? Dan hoop ik voor je dat die het doet als je ‘m nodig hebt.

Ik weet het, het zijn optelsommen van de what-if’s, maar ik probeer mee te denken op het vergaande en uitgebreide niveau dat je zelf aan de dag lijkt te leggen.

Daar zit inderdaad een zwak punt, maar het risico van een fysieke diefstal is veel kleiner dan een online diefstal.

Ik ga nog wel eens goed nadenken over beveiligen van de hardware sleutels en de CSV backup.

[Diederik]

qwasd schreef op maandag 27 juli 2026 @ 23:52:
[...]

Ik gebruik zelf ook 1Password maar ik heb ook Vaultwarden in een docker container draaien waar ik om de zoveel tijd een nieuwe import in doe (via export / 1pux bestand uit 1Password). Vaultwarden hangt niet aan het internet maar sync ik na een nieuwe import eenmalig naar mijn telefoon vervolgens wordt dit gecached. Ik heb het één keer meegemaakt dat ik 1Password niet kon gebruiken en dit was een perfect alternatief.

TOTP codes sla ik op in Aegis.

Voor de rest heb ik mezelf nog niet echt verdiept in de passkeys binnen 1Password maar ik gebruik wel een Yubikey (+ extra Yubikey) voor 1Password. Ook op basis van FIDO2.

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 12:11:
[...]


[Afbeelding]

Als ik een 1PUX wil maken dan staat er dat de wachtwoorden niet geëxporteerd worden. Verder een interessant idee om de kluis naar een offline password manager te sturen.

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

[Diederik]

qwasd schreef op dinsdag 28 juli 2026 @ 17:48:
[...]

Deze melding heb ik nog nooit gezien. Ik doe het altijd via de 1Password desktop client en alles wordt hier netjes meegenomen. Zelfs TOTP en custom velden geprobeerd.

Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

[qwasd]

Diederik schreef op dinsdag 28 juli 2026 @ 18:10:
[...]


Welke versie gebruik jij? Ik gebruik: 1Password for Windows 8.12.28 (81228025)

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

[ Voor 15% gewijzigd door qwasd op 29-07-2026 05:20 ]

[Diederik]

@Hippe Lip en @qwasd bedankt voor het meedenken,

Mijn doel is om zeer goed beveiligd te zijn en de toegang tot mijn accounts niet (nooit) te verliezen, ik ga het als volgt oplossen:

Online:
- Passkeys naar 1Password
- 2e factor voor 1Password geregeld met 2 fysieke Fido2 keys
- TOTP codes naar Proton authenticator (wordt gesynced)

Offline:
Fysieke kluis met daarin:
- Backup codes voor mijn primaire accounts
- USB stick met 1Password backup (maandelijks updaten)
- 1 Fido2 key
Op externe locatie
- 2e Fido2 key + masterpassword van mijn 1Password kluis

Hiermee heb ik heel veel afgedekt:
- Brand
- Diefstal
- Geheugen verlies (als in iets vergeten)
- Hack's
- Verlies/uitval van apparatuur

Ik moet dan alleen nog zorgen dat pincodes en wachtwoorden voor mijn laptop, telefoon, tablet en fysieke kluis ingewikkeld genoeg zijn.

[Hippe Lip]

@Diederik Klinkt gedegen, volledig en goed afgewogen.

Maar wel erg complex en veel extra werk. ik ben benieuwd hoe lang je je maandelijkse (handmatige) update van je stick(s) vol gaat houden.

Ik vraag me af hoeveel mensen er zó uitgebreid mee bezig willen zijn. Ik heb in mijn PW-mngr (nu Nordpass) ook veel gegevens van anderen, maar houd het toch wat simpeler…

[Diederik]

@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

[qwasd]

Diederik schreef op vrijdag 31 juli 2026 @ 13:07:
@Hippe Lip Bedankt, dat maandelijks updaten ga ik zeker volhouden en ik hoop van harte dat mijn uitgebreide voorbereidingen voor niets zijn.

Het gebruik van Passkeys in 1Passwordt werkt overigens wel echt heel fijn.

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

[jorikc]

qwasd schreef op woensdag 29 juli 2026 @ 05:06:
[...]

Ik zie inderdaad die tekst ook staan. (ik heb dezelfde versie van 1Password)
Die tekst/melding is me echter nooit opgevallen en heel gek trouwens want ik exporteer het dus daadwerkelijk gewoon naar 1pux en kies in Vaultwarden voor 1pux formaat om te importeren en vervolgens staat alles erin (wachtwoorden, notities, custom velden, totp etc.)
EDIT: Misschien een bug in de vertaling? hier staat namelijk dat alles wordt meegenomen behalve passkeys. Zie dit artikel voor meer informatie.

Zojuist nog eens geprobeerd en nogmaals ik heb alles er gewoon in staan.
Ik zou zeggen test het zelf eens uit door een Vaultwarden of andere oplossing in de lucht te brengen.

Ja ik heb ook even gekeken en lijkt een vertalingsbug te zijn, "passkeys" werd naar "wachtwoorden" vertaald

EN:
NL:

Ik heb dit net bij 1Password gemeld, ben benieuwd wanneer het opgelost kan zijn .

[ Voor 13% gewijzigd door jorikc op 31-07-2026 15:28 ]

[Diederik]

qwasd schreef op vrijdag 31 juli 2026 @ 14:29:
[...]

Daar moet ik me nog in verdiepen want het staat me bij dat je hier geen backup van kunt maken vanuit 1Password toch? Ook zoals eerder aangegeven in de screenshot zit dit ook niet in het .1pux bestand. Of is dit inmiddels wel mogelijk? Dan moet je al bijna per website 2 passkeys gaan instellen en via verschillende manieren. (Bijvoorbeeld 1Password + Yubikey). Met Yubikey zit je echter ook aan een max.

Klopt, je kan geen backup maken, maar voor het zeer uitzonderlijke geval dat de dienst van 1Password onaangekondigd stopt, heb ik altijd nog wachtwoorden en herstelcodes (op papier). De Passkey uit 1Pasword is niet mijn enige manier om in te loggen, maar wel de voorkeursmethode.

[Bedge85]

Je kunt Proton Pass nu ook gebruiken als SSH Agent als je Visionary, B2B Bundles, Pass Professional, Plus, of Family abbo hebt. Aankondiging en support doc.

[Hippe Lip]

Bedge85 schreef op donderdag 13 augustus 2026 @ 17:57:
Je kunt Proton Pass nu ook gebruiken als SSH Agent

Wat houdt dit in, wat betekent het? Ik ben niet zo thuis in die termen en afkortingen.

[Bedge85]

@Hippe Lip SSH staat voor Secure Shell en is een versleuteld protocol waarmee je verbinding kunt maken met een server of een systeem. Soort van Remote Desktop maar dan voor de command line.

In een SSH Agent sla je publieke sleutels op waarmee je je kunt authenticeren over SSH. Op deze manier hoef je niet voor elke server een wachtwoord te onthouden en in te voeren. Een SSH Agent is vooral praktisch als je veel servers in beheer hebt.

[Jinoh]

Diederik schreef op woensdag 29 juli 2026 @ 10:53:
@Hippe Lip en @qwasd bedankt voor het meedenken,

Mijn doel is om zeer goed beveiligd te zijn en de toegang tot mijn accounts niet (nooit) te verliezen, ik ga het als volgt oplossen:

Online:
- Passkeys naar 1Password
- 2e factor voor 1Password geregeld met 2 fysieke Fido2 keys
- TOTP codes naar Proton authenticator (wordt gesynced)

Offline:
Fysieke kluis met daarin:
- Backup codes voor mijn primaire accounts
- USB stick met 1Password backup (maandelijks updaten)
- 1 Fido2 key
Op externe locatie
- 2e Fido2 key + masterpassword van mijn 1Password kluis

Hiermee heb ik heel veel afgedekt:
- Brand
- Diefstal
- Geheugen verlies (als in iets vergeten)
- Hack's
- Verlies/uitval van apparatuur

Ik moet dan alleen nog zorgen dat pincodes en wachtwoorden voor mijn laptop, telefoon, tablet en fysieke kluis ingewikkeld genoeg zijn.

Ik ben sindskort ook begonnen met mijn belangrijkste accounts te beveiligen met Yubikeys en een backup schema toe te passen. Wat misschien dan verder nog interessant is, is een kensington usb finger print reader voor Windows Hello. Mocht je Windows gebruiken althans. Zie: uitvoering: Kensington K64704EU vingerafdruklezer

[ Voor 25% gewijzigd door Jinoh op 29-08-2026 21:52 ]

[Hippe Lip]

Jinoh schreef op vrijdag 28 augustus 2026 @ 21:27:
[...]

Ik ben sindskort ook begonnen met mijn belangrijkste accounts te beveiligen met Yubikeys en een backup schema toe te passen. Wat misschien dan verder nog interessant is, is een kensington usb finger print reader voor Windows Hello. Mocht je Windows gebruiken althans. Zie: uitvoering: Kensington K64704EU vingerafdruklezer

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Bij mijn keuze probeer ik altijd alle mogelijke scenario’s naast elkaar te zetten en me bij elk af te vragen: wat doe ik als dat gebeurt. Kan ik dan nog bij mijn wachtwoorden?
Bijvoorbeeld: je bent op reis en dat fingerprintding of Yubikey doet het niet of is gejat. Dan kan ik die hele reis dus niet meer bij die wachtwoorden, want een eventuele reserve ligt thuis in een laatje.

[Jinoh]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 17:09:
[...]

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Bij mijn keuze probeer ik altijd alle mogelijke scenario’s naast elkaar te zetten en me bij elk af te vragen: wat doe ik als dat gebeurt. Kan ik dan nog bij mijn wachtwoorden?
Bijvoorbeeld: je bent op reis en dat fingerprintding of Yubikey doet het niet of is gejat. Dan kan ik die hele reis dus niet meer bij die wachtwoorden, want een eventuele reserve ligt thuis in een laatje.

Voor die situatie heb ik Proton Authenticator ook op mijn telefoon met al mijn 2fa/TOTP codes daarin. Ik heb mijn hoofd accounts via de Yubikeys ingesteld, en op de Yubikeys staan ook nog de 2fa/TOTP codes, evenals in Proton Authenticator.

[Domino]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 17:09:
[...]

Die fingerprintdingen heb ik altijd gemeden, want wat is de situatie als dat ding om wat voor reden dan ook niet meer werkt of niet beschikbaar is?
Hetzelfde voor zo’n Yubikey.

Ik gebruik al meer dan 10 jaar yubikeys en heb nog nooit een kapotte gezien (behalve moedwillig gesloopte keys). Wij rollen deze (security keys) ook en-masse uit in de organisatie, nog nooit klachten over gehad. Mijn yubi4 heeft zelfs al een paar keer in de wasmachine gezeten.

Diefstal of verlies is vervelend maar dat is een scenario dat je niet geheel kan uitsluiten. Je telefoon kan immers ook gestolen worden. Is het echt erg dat je een paar dagen/weken niet bij je wachtwoorden kan? dan neem je een reserve (3de) mee op reis. Hoeveelheid (reserve)keys die je kan enrollen is altijd een beperking van de dienst waar je ze gebruikt.

[Hippe Lip]

Domino schreef op zaterdag 29 augustus 2026 @ 18:02:
Ik gebruik al meer dan 10 jaar yubikeys en heb nog nooit een kapotte gezien (behalve moedwillig gesloopte keys).

Erg gevaarlijk om te zeggen, want onfeilbaar zijn ze nooit.

En je weet: risico is kans X gevolg.
De kans mag dan klein lijken, als de gevolgen groot zijn loopt je stiekem toch nog een aardig risico.

[Domino]

Hippe Lip schreef op zaterdag 29 augustus 2026 @ 22:53:
[...]

Erg gevaarlijk om te zeggen, want onfeilbaar zijn ze nooit.

En je weet: risico is kans X gevolg.
De kans mag dan klein lijken, als de gevolgen groot zijn loopt je stiekem toch nog een aardig risico.

Zoals met alles is het een kwestie van mitigeren. Een backup key sluit 99% van de risico’s uit. Een derde key verlaagt dat risico nogmaals met een factor X.

Dat wil niet zeggen dat het niet (tijdelijk) lastig kan zijn als een yubikey onverhoopt stopt met functioneren. Maar het is wel degelijk een tijdelijk probleem mits goed ingericht. Kans op een situatie die ik op de koop toeneem daar security voor mij zwaarder weegt dan (kort) ongemak.

Wat gebruik jij als mfa? Een keyfile, passkey, otp of geheel geen mfa? Alles heeft een risicofactor.

[Hippe Lip]

Domino schreef op zondag 30 augustus 2026 @ 09:42:
[
Zoals met alles is het een kwestie van mitigeren. Een backup key sluit 99% van de risico’s uit. Een derde key verlaagt dat risico nogmaals met een factor X.

Dat wil niet zeggen dat het niet (tijdelijk) lastig kan zijn als een yubikey onverhoopt stopt met functioneren. Maar het is wel degelijk een tijdelijk probleem mits goed ingericht. Kans op een situatie die ik op de koop toeneem daar security voor mij zwaarder weegt dan (kort) ongemak.

Ik denk dat je gelijk hebt. De ideale oplossing bestaat niet.

Hoe werk je met een yubikey; kun je die gebruiken voor zowel iPhone, iPad als MacBook (ik werk vrijwel uitsluitend op het Apple platform)?

Wat gebruik jij als mfa? Een keyfile, passkey, otp of geheel geen mfa? Alles heeft een risicofactor.

Ik gebruikte Lastpass tot een aantal maanden geleden. Die heeft een losse authenticator app die automatisch gebackupt wordt. Gaat mijn telefoon onverhoopt de plomp in (om maar wat te noemen), dan kan zowel Lastpass als de authenticator opnieuw geïnstalleerd worden.

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

[Domino]

Hippe Lip schreef op zondag 30 augustus 2026 @ 22:45:
[...]

Ik denk dat je gelijk hebt. De ideale oplossing bestaat niet.

Hoe werk je met een yubikey; kun je die gebruiken voor zowel iPhone, iPad als MacBook (ik werk vrijwel uitsluitend op het Apple platform)?


[...]

Ik ben ook een Apple gebruiker maar je vraag beantwoorden is nog niet zo simpel. Het ligt vooral aan de oplossing die je kiest, en hoe die een hardware key als yubi implementeerd.

Ik ben ook een keepass gebruiker: keepassxc op de mac, daar werkt de yubikey gewoon via usb-c. Op een iPhone keepassium en werkt de yubi via nfc.

Een ipad heb ik nooit geprobeerd, dat is hier in huis echt een 'media consumption device'. Ik grijp eerder naar de macbook dan naar de ipad.

Ik gebruikte Lastpass tot een aantal maanden geleden. Die heeft een losse authenticator app die automatisch gebackupt wordt. Gaat mijn telefoon onverhoopt de plomp in (om maar wat te noemen), dan kan zowel Lastpass als de authenticator opnieuw geïnstalleerd worden.

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

Ahh okay, ik ken Lastpass niet, iig niet qua gebruik. Die authenticator app lijkt op google prompt en werkt denk ik hetzelfde. Public/private key cryptografie met out-of-band notificaties.

Keepassxc doet grofweg hetzelfde met HMAC alleen dan compleet offline.

Moet er wel bij zeggen dat ik niet de beperking heb van WAF.

[Hippe Lip]

Domino schreef op maandag 31 augustus 2026 @ 11:00:
[...]
Moet er wel bij zeggen dat ik niet de beperking heb van WAF.

Die WAF bleek in de zoektocht naar een EU-PW-mngr inderdaad een veel grotere factor dan ik tevoren had bedacht. Sommige fraaie oplossingen waren door complexiteit totaal onmogelijk.

[SuperCrisz]

Hippe Lip schreef op zondag 30 augustus 2026 @ 22:45:
[...]

Een tijdje terug ben ik overgestapt op Nordpass, omdat ik Europees wilde. Bovendien is een zo eenvoudig mogelijke user interface belangrijk omdat mijn vrouw –voorzichtig gezegd– digibeet is.
Anders was het misschien Proton geworden.

Is Proton pass zoveel complexer in gebruik dan?

[whahas]

Als je zo'n sleutel hebt (ik heb zelf een Nitrokey) met nfc, hoe werkt dat dan? Kan zo'n sleutel gegevens versturen zonder stroom?

Nee, ik heb het nog nooit gebruikt, want nog nooit nodig gehad. Als zo'n sleutel stroom nodig heeft om te kunnen werken, snap ik het voordeel van nfc niet zo.

[Jinoh]

whahas schreef op dinsdag 1 september 2026 @ 20:18:
Als je zo'n sleutel hebt (ik heb zelf een Nitrokey) met nfc, hoe werkt dat dan? Kan zo'n sleutel gegevens versturen zonder stroom?

Nee, ik heb het nog nooit gebruikt, want nog nooit nodig gehad. Als zo'n sleutel stroom nodig heeft om te kunnen werken, snap ik het voordeel van nfc niet zo.

Een NFC module bezit zelf geen stroom, en dus ook niet in de Yubikey. Echter de uitlezende device zelf straalt een klein beetje energie uit, en dat is genoeg om dan de NFC module beschikbaar te maken om de info er dan vanaf te lezen.

[whahas]

Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

[Jinoh]

whahas schreef op woensdag 2 september 2026 @ 20:59:
Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

De NFC chip die krijgt stroom op tot een paar centimeter afstand en dan kan krijg je op je telefoon als je de Yubikey authenticator app hebt, een melding, en dan kan je die aantikken om op je app te openen.

Het is zo, dat wanneer je een Yubikey hebt, dat je bij je TOTP codes een (master)password kan instellen. Bij eerste setup van je Yubikey op de authenticator app van Yubico dan authenticeer je je key met de (master)password. Na setup kan je kiezen voor vergrendelen met biometrische unlock zoals fingerprint of Face ID afhankelijk van je model telefoon.

BIj een TOTP code kan je kiezen voor verbergen van de code en extra vinger aanraking te vereisen om te bewijzen aan de Yubikey dat je een mens bent, en zal het met meerdere stappen biometrische authenticatie vereisen. Hierdoor heb je een aantal lagen zekerheid dat de telefoon en je key daadwerkelijk door jou gebruikt worden. Hierdoor zie ik als ik dat ingesteld heb, meen ik, dat tot drie maal toe mijn face id vereist te controleren dat ik het echt ben op mijn iPhone.

Bij gebruik van sleutel authenticatie en passkeys heb je een (master)pincode, en moet je die ook authenticeren als je je aanmeld op een dienst. Sommige diensten bieden ook aan om het apparaat te vertrouwen en dan kan je je nogmaals aanmelden op het vertrouwde apparaat zonder die pincode authenticatie te doen na aanmelden met een Yubikey. Proton staat dit bijvoorbeeld toe.

edit:
Ff tekst aangepast.

[ Voor 26% gewijzigd door Jinoh op 02-09-2026 22:13 ]

[Wally2002]

Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

[Jinoh]

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Ook een zeer mooie optie als je wil gaan hardwarematige authenticatie.

[Domino]

whahas schreef op woensdag 2 september 2026 @ 20:59:
Wow!
Werkt dat zo!

Daar was ik me helemaal niet van bewust. Ik ben weer eens enorm onder de indruk van de technologie die we tegenwoordig hebben. Dus mijn telefoon kan een signaal uitzenden waardoor mijn Nitrokey gegevens kan delen? Gaaf!

Dat werkt zeker alleen als ik het initieer?

Goed voorbeeld van alledaags gebruik van deze techniek, waarbij je waarschijnlijk niet eens stilstaat: contactloos betalen met je pinpas.

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Token2 is een andere.

Groot nadeel van deze oplossingen dat ze redelijk wat achterlopen (of liepen) op Yubico. U2F en Fido2 zijn jarenlang het domein van Yubico geweest in hardware tokens. Evenals het gebruik van HMAC icm met het populaire keepass(xc). Support software is ook allemaal niet zo gestroomlijnd als bij Yubico, laat staan iets als enterprise enrolment.

En de vormfactor van yubikeys is onovertroffen. De token2 is gewoon meer dan twee keer zo dik.

[whahas]

Wally2002 schreef op donderdag 3 september 2026 @ 00:22:
Yubikey is niet de enige aanbieder van dit soort producten. Heeft een lange track record, maar is bijvoorbeeld niet open source.
Een mooi alternatief is Nitrokey, dat helemaal open source is, zelfs de hardware. En inmiddels ook wel een tijd mee gaat en ook breed toegepast wordt.

Ja, zo'n Nitrokey heb ik dus!

Alleen moet ik nog een keer uitvogelen hoe ik dat NFC gebeuren werkend krijg op mijn iPhone 15 en mijn oude iPhone SE 1e generatie (als ik van plan ben van dat toestel een back-up apparaat te maken).


Ah ja, @Domino , een betaalpas heeft natuurlijk ook geen stroom van zichzelf!

[ Voor 25% gewijzigd door whahas op 03-09-2026 19:31 ]

[Wally2002]

Domino schreef op donderdag 3 september 2026 @ 08:21:


Groot nadeel van deze oplossingen dat ze redelijk wat achterlopen (of liepen) op Yubico. U2F en Fido2 zijn jarenlang het domein van Yubico geweest in hardware tokens. Evenals het gebruik van HMAC icm met het populaire keepass(xc). Support software is ook allemaal niet zo gestroomlijnd als bij Yubico, laat staan iets als enterprise enrolment.

En de vormfactor van yubikeys is onovertroffen. De token2 is gewoon meer dan twee keer zo dik.

Token2 ben ik niet bekend mee, maar Nitrokey heeft inmiddels al eventjes Fido2 en U2F.
Nitrokey is inderdaad wat minder gestroomlijnd qua ontwikkeling, kleiner team en m.i. zijn ze op een gegeven moment heel erg hun portfolio gaan uitbreiden met allerlei producten en diensten. Op zich wel voorstelbaar om ook inkomsten te genereren maar daardoor inderdaad wat minder gestroomlijnd. Daarentegen dus wel open source en dat is ook wat waard.

[whahas]

Ja, toen ik het kocht heb ik ook netjes een bijdrage gedaan voor de ontwikkeling van nieuwe firmware, omdat ik het zo gaaf vind dat ze het open source houden.

[Hippe Lip]

@lanedirt Worden bij een import vanuit Nordpass naar Aliasvault ook alle 2FA’s meegenomen, of moet ik die dan handmatig allemaal opnieuw doen?

[ Voor 5% gewijzigd door Hippe Lip op 06-09-2026 16:49 ]

[lanedirt]

Hippe Lip schreef op zondag 6 september 2026 @ 16:48:
@lanedirt Worden bij een import vanuit Nordpass naar Aliasvault ook alle 2FA’s meegenomen, of moet ik die dan handmatig allemaal opnieuw doen?

AliasVault importeert standaard alle gegevens die een andere ondersteunde wachtwoordmanager exporteert. Echter zet Nordpass helaas geen 2FA secrets in hun .CSV export (zijn meer gebruikers die hierover klagen). Dus bij het verhuizen vanaf Nordpass naar een andere wachtwoordmanager (incl. AliasVault) zul je 2FA helaas opnieuw moeten instellen voor alle accounts.

Andere wachtwoordmanagers zoals Bitwarden, 1Password, Proton Pass etc. zetten wel gewoon de 2FA secrets in hun exports. Dit is iets wat het overstappen een stuk makkelijker maakt en je dus minder last hebt van vendor lock-in, dus hopelijk gaat Nordpass dit in de toekomst alsnog doen.

[edwin2021]

Dat is echt een major nono voor Nordpass 😐

[Hippe Lip]

edwin2021 schreef op zondag 6 september 2026 @ 21:41:
Dat is echt een major nono voor Nordpass 😐

Maar ja, als je daar nu al zit...

[Hippe Lip]

lanedirt schreef op zondag 6 september 2026 @ 19:40:
[...]
Andere wachtwoordmanagers zoals Bitwarden, 1Password, Proton Pass etc. zetten wel gewoon de 2FA secrets in hun exports. Dit is iets wat het overstappen een stuk makkelijker maakt en je dus minder last hebt van vendor lock-in, dus hopelijk gaat Nordpass dit in de toekomst alsnog doen.

Dank voor je uitgebreide antwoord, @lanedirt.
Ik zal eens gaan klagen bij Nordpass dat ze zichzelf niet bijzonder populair maken door dit manco. Ik ben bang dat het omgekeerd dan ook niet werkt, dat Nordpass 2FA-secrets van anderen dan ook niet importeert.
Slechte zaak.

[Hippe Lip]

Nou moet ik alleen nog een argument hebben om Nordpass mee om de oren te slaan dat 2FA niet in hun export zit. Want zeggen dat een overstap er lastiger door is, zal hen niet harder doen lopen, eerder langzamer.

Iemand suggesties?
@lanedirt misschien?

[RudolfR]

@Hippe Lip
Niet zeggen dat je al betalend lid bent, maar dat je het om die reden niet wordt.

Voor mij wordt het geen Nordpass

[ Voor 17% gewijzigd door RudolfR op 07-09-2026 10:24 ]

[Hippe Lip]

En kunnen passkeys ook geïmporteerd en geëxporteerd worden, @lanedirt?

[lanedirt]

Hippe Lip schreef op vrijdag 18 september 2026 @ 00:24:
En kunnen passkeys ook geïmporteerd en geëxporteerd worden, @lanedirt?

Nee passkeys kunnen op dit moment nog niet worden geimporteerd in AliasVault, omdat dit specifieke afstemming vereist tussen de exporterende en importerende wachtwoordmanager. Het is daarmee helaas (nog) niet zo simpel als een wachtwoord exporteren/importeren.

Er is de afgelopen tijd wel hard gewerkt door de industrie aan een nieuwe globale passkey-uitwisselings standaard (CXP) die inmiddels door steeds meer wachtwoord managers wordt ondersteund, voornamelijk dankzij het iOS/Android platform en apps.

Het toevoegen van support voor de CXP standaard staat daarom nu ook bij AliasVault op de roadmap voor v1.0. Er is een bestaand issue op GitHub hiervoor: https://github.com/aliasvault/aliasvault/issues/2010

Totdat de CXP support is toegevoegd betekent dit echter als je van wachtwoord manager wisselt, je passkeys nog opnieuw handmatig zult moeten aanmaken.

PS: Hier is bijvoorbeeld een recente nieuwspost van Bitwarden die meer uitlegt over deze standaard: https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/. Het is nog vers van de pers, zij hebben support in iOS 26 net een paar dagen geleden (15 september) toegevoegd.

[Hippe Lip]

@lanedirt
Mag ik nog een suggestie doen voor je wachtwoordgenerator: zorg dat bepaalde tekens niet in gegenereerde wachtwoorden terechtkomen. Het kan namelijk voor problemen zorgen.

Bij het US International toetsenbord zijn er een aantal toetsen die zogeheten ‘dode toetsen’ zijn. Dat zijn de accent aigu, de accent grave, de trema en dat dakje onder andere. Als daarna een klinker komt, dan wordt dat teken erop gezet: eerst de ‘ en dan de e levert é op; eerste de “ en dan de u levert ü op, eerst de ^ en dan de i levert î op. Dit zijn maar een paar voorbeelden.

Als nu iemand het US International keyboard gebruikt (wat handig is in Nederland) en een wachtwoord in moet typen met eerst een ^ en dan een e bijvoorbeeld, dan gaat het dus mis. Die krijgt niet ^e maar ê en dat strookt niet, dat levert een onjuist wachtwoord op.

Het heeft me in het verleden heel veel frustratie opgeleverd en lang geduurd voordat ik door had waar dat door kwam.

[Hippe Lip]

@lanedirt
AliasVault heeft wachtwoorden en TOTP in één. Wie de kluis weet te openen heeft meteen ook de tweede factor in handen. Dat kun je als een zwakte zien om het zo samen op te slaan.

Hoe kijk jij daar tegenaan?

[lanedirt]

Mag ik nog een suggestie doen voor je wachtwoordgenerator: zorg dat bepaalde tekens niet in gegenereerde wachtwoorden terechtkomen. Het kan namelijk voor problemen zorgen.

@Hippe Lip Goede suggestie! Dat is zeker iets wat toegevoegd kan worden. AliasVault biedt nu al de keuze welke karaktersets je wilt gebruiken in automatisch gegenereerde wachtwoorden (hieronder voorbeeld screenshot). Mogelijk dat we deze tekens ook in de "onduidelijke tekens" set op kunnen nemen, of er juist een aparte optie voor toe te voegen. Ik zal dit meenemen en naar kijken voor de volgende versie.

AliasVault heeft wachtwoorden en TOTP in één. Wie de kluis weet te openen heeft meteen ook de tweede factor in handen. Dat kun je als een zwakte zien om het zo samen op te slaan.

Hoe kijk jij daar tegenaan?

@Hippe Lip Ja dat klopt inderdaad, wanneer je AliasVault account zelf zou worden gecompromitteerd en er zowel wachtwoorden als 2FA in worden opgeslagen, kan een aanvaller in principe beide in handen krijgen. Dat kun je inderdaad zien als een "zwakte" ten opzichte van het volledig gescheiden bewaren in twee apps.

De reden waarom veel wachtwoordmanagers, waaronder AliasVault, toch aanbieden om 2FA-codes op te slaan, is dat 2FA ook bescherming biedt tegen andere aanvalsscenario’s. Denk bijvoorbeeld aan een wachtwoord dat uitlekt bij een datalek, iemand die over je schouder meekijkt, of een aanvaller die je wachtwoord op een andere manier weet te achterhalen. Alleen het wachtwoord is dan nog niet voldoende om toegang tot het account te krijgen.

AliasVault probeert het gebruik van 2FA daarbij zo eenvoudig mogelijk te maken doordat autofill ook voor TOTP-codes werkt. In de praktijk verlaagt dat voor veel mensen de drempel om 2FA daadwerkelijk voor meer accounts in te schakelen omdat het je niet daadwerkelijk meer tijd kost qua handelingen.

Wat de beste keuze is, hangt uiteindelijk af van je eigen situatie en evt. dreigingsprofiel. Voor de gemiddelde gebruiker biedt het opslaan van TOTP-codes in een wachtwoordmanager een goede combinatie van extra beveiliging en gebruiksgemak, en is het aanzienlijk veiliger dan helemaal geen 2FA gebruiken.

Het opslaan van 2FA codes in een aparte app is echter inderdaad theoretisch wel veiliger, omdat je dan een extra isolatie factor hebt. Maar je levert daarbij vaak wel in op gebruiksgemak (geen autofill), back-ups zijn niet altijd automatisch ingeregeld etc, dus wat gebeurt er als je je telefoon verliest of kapot gaat etc.

Het is daarom uiteindelijk vooral een afweging tussen maximale scheiding van factoren en praktisch gebruiksgemak.

[Hippe Lip]

Dank @lanedirt voor een snel en verhelderend antwoord.

Wat de tekens betreft: vaak worden zowel hoofd- als kleine letters én cijfers én tekens verlangd in een wachtwoord. Het zou dan inderdaad fijn zijn als je die diakritische tekens bij de onduidelijke tekens zet, zodat die uit te sluiten zijn, terwijl nog steeds alle vier categorieën karakters in het gegenereerde wachtwoord terechtkomen.

En de opslag van de TOTP is zoals je zegt een afweging die iedereen voor zichzelf moet maken. Goed om te weten hoe jij daar tegenaan kijkt.

[ Voor 14% gewijzigd door Hippe Lip op 21-09-2026 15:57 ]

[dirkstreepjejan]

@lanedirt Geniet van je kopje koffie

Ik kijk uit naar de extra functionaliteiten van het premium lidmaatschap van AliasVault.

Wel ironisch dat ik je een kopje koffie gaf met een SimpleLogin account Heb SL en AV beiden als extensie.

[ Voor 33% gewijzigd door dirkstreepjejan op 04-10-2026 12:41 ]

[Hippe Lip]

dirkstreepjejan schreef op zondag 4 oktober 2026 @ 12:13:
@lanedirt Geniet van je kopje koffie

Ik kijk uit naar de extra functionaliteiten van het premium lidmaatschap van AliasVault.

Wel ironisch dat ik je een kopje koffie gaf met een SimpleLogin account Heb SL en AV beiden als extensie.

Waarom kijk je er naar uit?

[dirkstreepjejan]

@Hippe Lip Omdat ik elke missende feature van AV t.o.v. SL toejuich als deze door lanedirt en zijn team wordt ontwikkeld. Wellicht worden ze nog beter dan SL. Ik heb namelijk het idee dat SL al een tijdje stil staat.

[dirkstreepjejan]

Ik begin AliasVault onder de knie te krijgen. Dit gaat zéker een Premium-lidmaatschap worden.

[tomdh76]

Ik gebruik al jaren vaultwarden, wat erg prettig werkt en ik vind het fijn dat alles lokaal staat.

Nu zie ik echter wat onrust op reddit over dat Bitwarden dingen aan het veranderen is met licenties etc. Begrijp ik niet helemaal maar er zou een probleem kunnen ontstaan voor bitwarden clients bijvoorbeeld op iPhone icm vaultwarden self hosted?

Dus ik begin al te kijken naar alternatieven als dit waar is? Iemand een goede lokale password manager die ook gebruik in gezinnen ondersteunt?

[Miki]

tomdh76 schreef op zondag 11 oktober 2026 @ 13:09:
Ik gebruik al jaren vaultwarden, wat erg prettig werkt en ik vind het fijn dat alles lokaal staat.

Nu zie ik echter wat onrust op reddit over dat Bitwarden dingen aan het veranderen is met licenties etc. Begrijp ik niet helemaal maar er zou een probleem kunnen ontstaan voor bitwarden clients bijvoorbeeld op iPhone icm vaultwarden self hosted?

Dus ik begin al te kijken naar alternatieven als dit waar is? Iemand een goede lokale password manager die ook gebruik in gezinnen ondersteunt?

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

[TripleQ]

Grrr, op het werk stappen we na 1 jaar over van Nordpas naar Bitwarden.

Jaar geleden al gezegd dat we liever Bitwarden wilden gebruiken, maar dat was toen schijnbaar te duur. Maar nu schijnbaar ineens wel weer een optie. Helemaal blij mee,

Echter blijkt je de 2fa secrets niet te kunnen exporteren vanuit Nordpas... Moet iedereen ineens op veel sites de 2fa opnieuw zien te activeren/resetten, best wel irritant klusje, gezien je ook niet makkelijk kan zien waar je allemaal 2fa hebt ingesteld.

[tomdh76]

Miki schreef op zondag 11 oktober 2026 @ 16:44:
[...]

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

1password is alleen niet self hosted te doen. Ik ben nu aan het experimenteren met passbolt; maar die heeft geen passkeys vooralsnog. En aliasvault: mooi! maar voor family (nog?) niet echt handig.

[Hippe Lip]

Miki schreef op zondag 11 oktober 2026 @ 16:44:
[...]

1Password is uitermate geschikt voor gezinnen maar is niet de goedkoopste. Wat zij goed doen is dat hun apps gebruiksvriendelijk en laagdrempelig worden weergegeven waardoor je snel je weg kunt vinden.
Let op dat als je gebruikt van 1Password dit doet via 1Password.eu en niet .com ivm opslaan van je wachtwoorden in of juist buiten Europa

@tomdh76 en @Miki
Kijk ook eens naar AliasVault. Veel mogelijkheden en in ontwikkeling, dus komt er regelmatig meer bij.
En Nederlands product!

En je kunt het hosten via AliasVault, maar ook helemaal zelf hosten.
Das echt super gebouwd.

[ Voor 7% gewijzigd door Hippe Lip op 11-10-2026 23:08 ]