Hoe veilig is wachtwoorden bewaren in icloud notities?

[dennis_rsb]

Ik zit al langer te filosoferen om mijn wachtwoorden in de notities van icloud te gooien. Lijkt mij een handig iets. Maar hoe veilig is het?

Stukje anti-cybercriminaliteit:

Ik heb 2 staps verificatie aan. Ik kan tevens de notities beveiligen dmv touchid & het wachtwoord van mijn icloud account.

Stukje databewaring:

Ik neem aan dat notities gewoon prima bewaard blijven in icloud? Ik lees links en rechts wel eens horrorverhalen dat spontaan notities weg zijn?

Anyhow, nu heb ik al mijn wachtwoorden in een schriftje, maar het is gewoon niet handig eigenlijk. En dingen als Lastpass vind ik niet makkelijk/fijn werken.

Wat is jullie mening hierover?

[oohh]

Waarom zou je Notes daarvoor gebruiken? Dan kun je toch beter gebruikmaken van iCloud Keychain? Hoef je niet alles self bij te houden en kun je automatisch gegenereerde wachtwoorden gebruiken

[dennis_rsb]

oohh schreef op donderdag 26 januari 2017 @ 20:51:
Waarom zou je Notes daarvoor gebruiken? Dan kun je toch beter gebruikmaken van iCloud Keychain? Hoef je niet alles self bij te houden en kun je automatisch gegenereerde wachtwoorden gebruiken

In notes vind ik het overzichtelijker. Dan kan ik eigen kopjes maken. Bv 1 notitieitem met "forums" 1 met "social media" etc. Jouw optie kan idd, maar er zijn sites die ik nooit met mijn mobiel eigenlijk open. Of jij bedoelt handmatig 1malig er inzetten? Ik gebruik als pc gewoon Windows. Maar is het nog zo dat die icloud sleutelhanger veiliger is dan de notities? (Zowel qua datavastheid als minder gevoelig voor cybercriminaliteit?)

[Daedalus]

Dit is meer iets voor Beveiliging & Virussen, dus een move die kant op

3i > BV

[Khallouki]

dennis_rsb schreef op donderdag 26 januari 2017 @ 21:07:
[...]


In notes vind ik het overzichtelijker. Dan kan ik eigen kopjes maken. Bv 1 notitieitem met "forums" 1 met "social media" etc. Jouw optie kan idd, maar er zijn sites die ik nooit met mijn mobiel eigenlijk open. Of jij bedoelt handmatig 1malig er inzetten? Ik gebruik als pc gewoon Windows. Maar is het nog zo dat die icloud sleutelhanger veiliger is dan de notities? (Zowel qua datavastheid als minder gevoelig voor cybercriminaliteit?)

Je kunt met Keychain makkelijk een naam geven aan je record bijv: forum auto's, forum tweakers etc. Als je dus zoekt op "forum" krijg je ze allemaal netjes te zien.

Ik vind het echt geweldig werken, ook omdat het dan gesynchroniseerd is met mijn telefoon en alle andere apparaten die verbonden zijn aan mijn iCloud.

[oohh]

iCloud Keychain kun je helaas niet gebruiken op Windows. Dus dan is dat inderdaad geen optie.

Als je bijv een MacBook en een iPhone hebt, synchroniseert die virtuele sleutelhanger je wachtwoord en hoef je dus niks meer in te vullen.
Werkt dus eigenlijk net zoals Lastpass of een andere password manager.

Over de veiligheid van Notes: ik weet niet of het minder veilig is dan een password manager. Er zit immers nog een TouchID wachtwoord (óf passphrase op). Als iemand dus jouw passphrase heeft dan kan die persoon er alsnog bij komen.

Heb er zelf ook wel wat simpele wachtwoorden in zitten (o.a van Wi-Fi). Ik denk dat het belangrijkste is dat je niemand aan je telefoon laat zitten en je wachtwoord alleen bij jou bekend is.

Khallouki schreef op donderdag 26 januari 2017 @ 21:36:
[...]


Je kunt met Keychain makkelijk een naam geven aan je record bijv: forum auto's, forum tweakers etc. Als je dus zoekt op "forum" krijg je ze allemaal netjes te zien.

Ik vind het echt geweldig werken, ook omdat het dan gesynchroniseerd is met mijn telefoon en alle andere apparaten die verbonden zijn aan mijn iCloud.

Dat kan niet op iOS, dus daar heeft de TS niet veel aan.

[ Voor 25% gewijzigd door oohh op 26-01-2017 21:39 ]

[Switchie]

dennis_rsb schreef op donderdag 26 januari 2017 @ 20:48:
En dingen als Lastpass vind ik niet makkelijk/fijn werken.

Wat is jullie mening hierover?

Wat vind je precies niet makkelijk en fijn aan lastpass en wat denk je in jouw oplossing te vinden dat Lastpass en consorten jou niet kunnen bieden?

Ben zelf namelijk sindskort een dankbaar Lastpass gebruiker.
Alle gevoelige accounts zijn "afgeschermd" met verschillende wachtwoorden die random gegereneerd zijn op basis van de wensen/mogelijkheden van de betreffende site.
Wil mijn hypotheekverstrekker max 20 tekens, minstens 1 hoofdletter, een cijfer en een leesteken? Prima, beste Lastpass, verzin maar wat leuks dat aan deze eisen voldoet.

Het hoofdwachtwoord zelf is ook niveautje NSA meets CIA maar kan gelukkig op onze telefoons vervangen worden door een simpele vingerafdruk.

[Wim-Bart]

Alles in de cloud is per definitie onveilig als het daar onversleuteld staat. Zeker wanneer het in cleartext is. Daarnaast vind ik de risico's ook best wel groot met cloud diensten en documenten er in wanneer je opeens last krijgt van een update waardoor een | een ¦ is omdat er opeens een update is.

Zelf gebruik ik keypass met een database op OneDrive. Waarbij ik gebruik maak van certificaat en paswoord met sterke encryptie. Certificaat staat op USB key. Al neemt iemand de database mee, dan nog is het veilig.

[dennis_rsb]

Switchie schreef op donderdag 26 januari 2017 @ 21:46:
[...]

Wat vind je precies niet makkelijk en fijn aan lastpass en wat denk je in jouw oplossing te vinden dat Lastpass en consorten jou niet kunnen bieden?

Ben zelf namelijk sindskort een dankbaar Lastpass gebruiker.
Alle gevoelige accounts zijn "afgeschermd" met verschillende wachtwoorden die random gegereneerd zijn op basis van de wensen/mogelijkheden van de betreffende site.
Wil mijn hypotheekverstrekker max 20 tekens, minstens 1 hoofdletter, een cijfer en een leesteken? Prima, beste Lastpass, verzin maar wat leuks dat aan deze eisen voldoet.

Het hoofdwachtwoord zelf is ook niveautje NSA meets CIA maar kan gelukkig op onze telefoons vervangen worden door een simpele vingerafdruk.

Nouja, ik heb ze beide geprobeerd de bekendste Keepass en Lastpass (jaartje geleden wel al) en vond het gewoon niet zo fijn. Wellicht dat ik het mezelf ook te lastig maaktte door meerdere devices. Misschien als ik het probeer dat ik alleen de iPhone app gebruik, en op die manier de passwords en usernames inlees en als ik dan op de pc zit gewoon ff mijn tel erbij pak om de inloggegevens erbij te pakken? Maar opzich kan ik dan net zo goed de notitie app gebruiken. Het gaat er mij vooral om wat de meest veilige optie is, maar het moet ook wel fijn werken. En ja ik snap uiteraard dat 100% veiligheid niet bestaat online, maar goed in zo'n schrift weetje het ook nooit bij brand of diefstal.

[dennis_rsb]

Wim-Bart schreef op donderdag 26 januari 2017 @ 22:00:
Alles in de cloud is per definitie onveilig als het daar onversleuteld staat. Zeker wanneer het in cleartext is. Daarnaast vind ik de risico's ook best wel groot met cloud diensten en documenten er in wanneer je opeens last krijgt van een update waardoor een | een ¦ is omdat er opeens een update is.

Zelf gebruik ik keypass met een database op OneDrive. Waarbij ik gebruik maak van certificaat en paswoord met sterke encryptie. Certificaat staat op USB key. Al neemt iemand de database mee, dan nog is het veilig.

Alles in iCloud is toch versleuteld dacht ik? Kijk als ik nou een kladblok bestandje in notepad maak en die in dropbox of onedrive knal snap ik dat de risico's stukken groter zijn.

[Wim-Bart]

dennis_rsb schreef op donderdag 26 januari 2017 @ 22:03:
[...]


Alles in iCloud is toch versleuteld dacht ik? Kijk als ik nou een kladblok bestandje in notepad maak en die in dropbox of onedrive knal snap ik dat de risico's stukken groter zijn.

Wie zegt dat jij de enige bent die de sleutel heeft?

[dennis_rsb]

Wim-Bart schreef op donderdag 26 januari 2017 @ 22:09:
[...]


Wie zegt dat jij de enige bent die de sleutel heeft?

Ik bedoel meer dat de verbinding versleuteld / encrypted zou moeten zijn toch. Maar 2 staps verificatie+vingerafdruk in notities zou niet afdoende zijn denk jij? Is lastpass/keepass wel veilig in jouw ogen?

[Wim-Bart]

Lastpass vertrouw ik niet. Keypass genereer je je eigen sleutel waardoor alleen bezitter van sleutel + password de db kan gebruiken.

[Switchie]

dennis_rsb schreef op donderdag 26 januari 2017 @ 22:02:
[...]


Nouja, ik heb ze beide geprobeerd de bekendste Keepass en Lastpass (jaartje geleden wel al) en vond het gewoon niet zo fijn. Wellicht dat ik het mezelf ook te lastig maaktte door meerdere devices.

Lastpass is sinds een tijdje ook met ontbetaald account op meerdere devices te gebruiken.
Gebruik het zelf op Windows 10 (in Crome browser) Android 7.1 en Ios 10.nogwat. Allen naar volle tevredenheid.

Wim-Bart schreef op donderdag 26 januari 2017 @ 22:15:
Lastpass vertrouw ik niet. Keypass genereer je je eigen sleutel waardoor alleen bezitter van sleutel + password de db kan gebruiken.

Wat vertrouw je precies niet aan Lastpass? (Oprechte vraag)
Weet zelf namelijk niet beter dan dat mijn zelfgekozen masterkey ook op een deftige manier versleuteld staat opgeslagen.

Overigens zijn mijn "belangrijke" logins wat dat betreft wel dubbel beveiligd;
- Digid - Two factor
- Hypotheekverstrekker - Gekoppeld aan een elders ondergebrachte rekening. Kan dus hooguit wat documenten inzien. Vind ik niet zo spannend dat iemand een loonstrookje van 3 jaar geleden kan zien. Mijn cao is wat dat betreft toch openbaar)
- Creditcard - Gekoppeld aan elders ondergebrachte rekening. Enige dat hij/zij kan uitspoken is een opdracht uisturen om mijn openstaande bedrag (als ik deze al heb) te betalen.
- Aandelen - 2 factor + koppeling aan specifieke rekening. Hij/zij kan hier een kijkje nemen in mijn aandelenportfolio maar verder geen aan- of verkopen doen. Volgens mij kun je hier met een zoekopdracht op GOT ook wel achterkomen

Verder zitten er louter wat minder kritieke sites als Tweakers e.d. opgeslagen. Nou, zodra iemand het voor elkaar krijgt om mijn masterkey te achterhalen, gun ik hem/haar oprecht alle plezier in de GOT-huiskamer. Hoop uiteraard wel dat hij/zij een beetje lief is voor jullie

[Wim-Bart]

Switchie schreef op donderdag 26 januari 2017 @ 22:35:
[...]

Lastpass is sinds een tijdje ook met ontbetaald account op meerdere devices te gebruiken.
Gebruik het zelf op Windows 10 (in Crome browser) Android 7.1 en Ios 10.nogwat. Allen naar volle tevredenheid.


[...]

Wat vertrouw je precies niet aan Lastpass? (Oprechte vraag)
Weet zelf namelijk niet beter dan dat mijn zelfgekozen masterkey ook op een deftige manier versleuteld staat opgeslagen.

Overigens zijn mijn "belangrijke" logins wat dat betreft wel dubbel beveiligd;
- Digid - Two factor
- Hypotheekverstrekker - Gekoppeld aan een elders ondergebrachte rekening. Kan dus hooguit wat documenten inzien. Vind ik niet zo spannend dat iemand een loonstrookje van 3 jaar geleden kan zien. Mijn cao is wat dat betreft toch openbaar)
- Creditcard - Gekoppeld aan elders ondergebrachte rekening. Enige dat hij/zij kan uitspoken is een opdracht uisturen om mijn openstaande bedrag (als ik deze al heb) te betalen.
- Aandelen - 2 factor + koppeling aan specifieke rekening. Hij/zij kan hier een kijkje nemen in mijn aandelenportfolio maar verder geen aan- of verkopen doen. Volgens mij kun je hier met een zoekopdracht op GOT ook wel achterkomen

Verder zitten er louter wat minder kritieke sites als Tweakers e.d. opgeslagen. Nou, zodra iemand het voor elkaar krijgt om mijn masterkey te achterhalen, gun ik hem/haar oprecht alle plezier in de GOT-huiskamer. Hoop uiteraard wel dat hij/zij een beetje lief is voor jullie

toon volledige bericht

Mijn probleem met een sleutel in de cloud is dat niemand mij kan garanderen dat anderen niet bij die key kunnen. Ik heb te vaak data diefstal gezien om zo maar alle beheerders van diensten te vertrouwen. 1 rotte appel is genoeg.....

[Switchie]

Wim-Bart schreef op vrijdag 27 januari 2017 @ 20:32:
[...]

Mijn probleem met een sleutel in de cloud is dat niemand mij kan garanderen dat anderen niet bij die key kunnen. Ik heb te vaak data diefstal gezien om zo maar alle beheerders van diensten te vertrouwen. 1 rotte appel is genoeg.....

Maar jouw masterkey zou b.v. achterhaald kunnen worden door een zero day in Windows die jouw toetsaanslagen netjes mailt naar [e-mail]. In de wondere wereld van het internet is 100% veiligheid helaas toch een utopie.

Vanuit dit oogpunt sta ik er zelf dan ook vrij nuchter in. 99.99% van de hackers die opereren uit financieel gewin schieten met hagel. Zolang er miljoenen mensen bankgegevens mailen naar een Zimbabwaanse prins zal deze aanpak vanuit kosten/baten de voorkeur genieten.

Daarnaast heb je natuurlijk de grote online communities die geen noodzaak zien in updates. Met de juiste exploit heb je binnen nuttele seconden een complete database dump. Uiteraard gebruikt 50% van de bezoekers exact dezelfde credentials voor zijn/haar MasterCard account et voila, relatief simpel en goedkoop een gigantische geldberg binnen handbereik.

Kans dat iemand zich specifiek op mij gaat richten terwijl hij/zij voor dezelfde kosten 3 miljoen naïeve ouderen kan benadelen, is dus eigenlijk vrij klein.

Ergo. Zolang ik voor elke site een verschillend wachtwoord a la "3&#GBn6.&"6@$!4" gebruik, geen creditcardgegevens mail naar Prins Youseff Ubabai de 3e en mijn software netjes up-to-date houd, ben ik praktisch afgedekt tegen 99.99% van de mogelijke gevaren.
Mocht ik desondanks slachtoffer worden, zijn mijn bankzaken e.d. nog voorzien van een Two factor autorisatie. Ongetwijfeld dat Putin's 1337 h4ckz0r leger hier ook wel raad mee weet maar zolang ik geen oliemagnaat, Amerikaans president of lid ben van de anti-Putin beweging denk ik dat ik met mijn paar euro niet een al te interessant target ben.

[CyBeR]

dennis_rsb schreef op donderdag 26 januari 2017 @ 22:03:
[...]


Alles in iCloud is toch versleuteld dacht ik? Kijk als ik nou een kladblok bestandje in notepad maak en die in dropbox of onedrive knal snap ik dat de risico's stukken groter zijn.

Notes worden zover ik weet via de e-maildienst opgeslagen en die is niet encrypted.

[Pearx]

dennis_rsb schreef op donderdag 26 januari 2017 @ 22:02:
[...]
Het gaat er mij vooral om wat de meest veilige optie is, maar het moet ook wel fijn werken..

Ik gebruik KeePass nu al een geruime tijd op zowel MacOS als windows, en het werkt lekker.
Eventueel kan je het in dropbox gooien om het te laten syncen tussen verschillende devices zodat je er ook bij kan op je mobiel.


EDIT:
Antwoord op je vraag is natuurlijk ook wel netjes:
NEE het is niet veilig in je notities.
Voeg je een keer een email adres toe aan je accounts en je let ff niet op.
Dan kan het zijn dat dat nieuwe email account ook de notities synct. (aantal jaar geleden gehad)

[ Voor 24% gewijzigd door Pearx op 28-01-2017 00:19 ]

[dennis_rsb]

Ik vind het moeilijk, Keepass klinkt wellicht als de betere optie. Maar als ik dan de database alsnog in Dropbox zet (cloud dus) vraag ik me af of het wel veiliger is dan Lastpass. Kijk het is zo, het liefst wil ik gewoon op zowel telefoon, tablet én pc alle wachtwoorden gesynct kunnen hebben. Maar als het alleen op mijn telefoon zou zijn is het ook prima (in dat laatste geval volstaat Keepass natuurlijk sowieso)

[Tsurany]

Het voordeel van Keepass en Dropbox is dat ze eerst in jouw Dropbox moeten komen en dan nog een apart beveiligde password vault in moeten komen. De cloud sync oplossing staat volledig los van de password encryptie oplossing.
Ook al is een van de twee lek, ze moeten beide systemen kraken.

[RGAT]

Switchie schreef op zaterdag 28 januari 2017 @ 00:04:
[...]

Maar jouw masterkey zou b.v. achterhaald kunnen worden door een zero day in Windows die jouw toetsaanslagen netjes mailt naar [e-mail]. In de wondere wereld van het internet is 100% veiligheid helaas toch een utopie.

Vanuit dit oogpunt sta ik er zelf dan ook vrij nuchter in. 99.99% van de hackers die opereren uit financieel gewin schieten met hagel. Zolang er miljoenen mensen bankgegevens mailen naar een Zimbabwaanse prins zal deze aanpak vanuit kosten/baten de voorkeur genieten.

Daarnaast heb je natuurlijk de grote online communities die geen noodzaak zien in updates. Met de juiste exploit heb je binnen nuttele seconden een complete database dump. Uiteraard gebruikt 50% van de bezoekers exact dezelfde credentials voor zijn/haar MasterCard account et voila, relatief simpel en goedkoop een gigantische geldberg binnen handbereik.

Kans dat iemand zich specifiek op mij gaat richten terwijl hij/zij voor dezelfde kosten 3 miljoen naïeve ouderen kan benadelen, is dus eigenlijk vrij klein.

Ergo. Zolang ik voor elke site een verschillend wachtwoord a la "3&#GBn6.&"6@$!4" gebruik, geen creditcardgegevens mail naar Prins Youseff Ubabai de 3e en mijn software netjes up-to-date houd, ben ik praktisch afgedekt tegen 99.99% van de mogelijke gevaren.
Mocht ik desondanks slachtoffer worden, zijn mijn bankzaken e.d. nog voorzien van een Two factor autorisatie. Ongetwijfeld dat Putin's 1337 h4ckz0r leger hier ook wel raad mee weet maar zolang ik geen oliemagnaat, Amerikaans president of lid ben van de anti-Putin beweging denk ik dat ik met mijn paar euro niet een al te interessant target ben.

toon volledige bericht

Dit zijn exact de redenen waarom ik (en een hoop anderen) niet Lastpass gebruiken
De kans dat een hacker zich op 1 persoon specifiek richt is te klein om actief tegen te beschermen (behalve updates doen etc...) dus de kans dat zo'n hacker mijn Keepass gaat proberen te kraken is al te verwaarlozen. Met Lastpass hoeft de hacker niet op 1 te richten maar kan die op miljoenen? (hoeveel Lastpass users zijn er?) richten
Verder is het al eens mis gegaan bij Lastpass, de kans dat er iets gebeurt is dus al bevestigd.
Daarbij biedt Lastpass voor mij geen voordeel, heb de synchronisatie zelf in beheer

[dennis_rsb]

Tsurany schreef op zaterdag 28 januari 2017 @ 10:19:
Het voordeel van Keepass en Dropbox is dat ze eerst in jouw Dropbox moeten komen en dan nog een apart beveiligde password vault in moeten komen. De cloud sync oplossing staat volledig los van de password encryptie oplossing.
Ook al is een van de twee lek, ze moeten beide systemen kraken.

Ik ga denk ik voor dit dan! Dropbox heb ik toch al, moet alleen ff checken of ik 2 staps verficitie heb aanstaan. Want gebruik Dropbox weinig en staat niks spannends in. Maar als er een database van Keepass inkomt is het wel belangrijk. Moet alleen even kijken hoe ik dit allemaal in zijn werk ga zetten. Misschien heb jij of iemand soort van simpele tutorial die aangeeft hoe je zorgt dat de database synct (maar dat zal wel automatisch omdat dropbox) en als ik de database in dropbox zet, hoe je dan als het waren de ''serverkant/database" benadert op je telefoon of pc.

[Tsurany]

Op de computer gewoon de KeePass 2.x applicatie en de database openen vanuit de Dropbox map. Op Android is er een KeePass app die rechtstreeks vanuit Dropbox de database kan openen. Op iOS geen idee, gebruik ik niet.

[Pearx]

Tsurany schreef op zaterdag 28 januari 2017 @ 10:54:
Op de computer gewoon de KeePass 2.x applicatie en de database openen vanuit de Dropbox map. Op Android is er een KeePass app die rechtstreeks vanuit Dropbox de database kan openen. Op iOS geen idee, gebruik ik niet.

Yes er is een iOS app die werkt.

En ik zou mijn KeePass database zelfs publiekelijk kunnen hebben en geen zorgen hoeven te maken dat het master-password gekraakt word.

[Anoniem: 323791]

My 2 cents aan dit alles voor de ts: Waarom zou je zaken in iCloud bewaren ( jaaa... ik weet "het is makkelijk en ik heb niet zoveel zin..." verhaal ken ik) als je twijfels hebt? Ik ken het gemak en de verhalen over iCloud en soortgelijke progjes maar ik bewaar alles waar ik twijfels over heb of het verstandig is dat op een externe server te zetten gewoon niet op een externe server maar gewoon ouderwets in een word bestand uitgeprint en wel in een speciale map en digitaal op mijn mobiel waar ik geen internet op gebruik. Wil ik even weten wat een wachwoord o.i.d. weer was dan hoef ik het maar even op te zoeken (kleine moeite) en niemand die er verder naar kraait behalve ik en ik hoef niet bang te zijn dat derden erbij kunnen. Doe het al jaaren.