Menu Zoek

Berichtdetails

Dit bericht is geplaatst in de: Veiligheid-Club
Wachtwoordbeheer, handmatig of digitaal?
Geplaatst op 12 juli 2018 om 18:08 door WG-Beekhuis

Hoe beheer je je wachtwoorden en hoe houd je je inloggegevens veilig? Gebruik je een wachtwoordmanager, welke vind je veilig en waarom?

28 reacties
BenWuring zegt:

* Gangbare, niet privacy gevoelige sites, in de browser en Keepass.
* Privacy gevoelige sites, inbegrepen DigiD gekoppelde sites en e-mail, in browser met two factor authentication (TFA) en Keepass.
* Financiële instanties, handmatig, Keepass, TFA, pincode en vingerscan.

Voor mij dus geen online wachtwoordmanagers, maar ik 'beperk' mij tot het offline Keepass met wachtwoord en keyfile. Bewezen goed!

12 juli 2018 om 19:30.
HenkW zegt:

Voor Financiële instanties gebruik ik geen wachtwoordmanager. Voor de rest gebruik ik LastPass premium i.c.m. Yubikey.
Ik overweeg nog om KeepassXC te installeren maar die kan volgens mij niet omgaan met Yubikey??
Sommige banken zeggen zelfs dat je cookies en ww in de browser op kunt slaan.

Schermafdrukvan2018-07-1221-33-20.jpg
12 juli 2018 om 21:25.
WG-Beekhuis zegt:

HenkW,
Yubikey wordt ondersteund door KeepassXC. In de documentatie en FAQ lijst staat beschreven hoe je deze combinatie kunt configureren.
Ik ben KeepassXC al lange tijd aan het testen en gebruik deze wachtwoordmanager in combinatie met de extensie KeepassXC-Browser. Dat werkt goed. Met Keepass-Touch op de iPhone kan ik ook mobiel werken.

Verder werk ik ook met de standalone versie van 1Password, dat is een behoorlijk geprijsde wachtwoordmanager maar daar krijg je ook veel functionaliteit voor. Op diverse platformen kun je met 1Password werken.

18 juli 2018 om 22:38.
WG-Beekhuis zegt:

BenWuring,
Het gebruik van een Wachtwoordmanager als Keepass is ook voor het aanloggen bij financiële instanties een goede oplossing. Als je het invullen van gebruikersnaam en wachtwoord niet vertrouwt dan kun je deze velden ook nog leeglaten. De juiste URL invullen door Keepass voorkomt ook fishing. Keepass heeft ook nog de mogelijkheid om keyloggers te misleiden endat is dan weer veiliger dan het handmatig intoetsen van je inloggegevens.

18 juli 2018 om 22:48.
BenWuring zegt:

WG-Beekman, voor financiële instanties hanteer ik ook Keepass, voor de opslag van wachtwoorden dan. Dit programma gebruik ik al jaren en ben er volledig mee vertrouwd. Inloggen bij banken e.d. doe ik echter nog steeds 'ouderwets' uit het blote hoofd, met ingeschakelde bankbeveiliging en achter een VPN. Idem op de smartphone, maar dan met vingerafdruk en VPN.

18 juli 2018 om 23:28.
HenkW zegt:

@WG-Beekman, functioneert de extensie KeepassXC-Browser niet hetzelfde als de extensie LastPass? Dus alleen on-line? Als je het programma KeepassXC installeert dan kun je hier ook of-line mee werken. Of zie ik dit verkeert??

19 juli 2018 om 11:38.
Dirk Boom zegt:

Leuke vraag.
Mijn wachtwoorden zitten deels in het hoofd, en zijn deels vastgelegd maar wel zodanig dat nergens het wachtwoord zelf staat vermeld.
Uiteraard ga ik hier niet vertellen waar ze zijn vastgelegd, maar ik gebruik geen wachtwoordmanager.
In wachtwoordmanagers heb ik mij eerlijk gezegd nooit verdiept. Het zou nuttig kunnen zijn als ik de wachtwoordmanager op elk apparaat gelijk kan gebruiken en in elke app. Hij moet dan dus synchroniseren via de cloud en met alles integreren. Nadeel lijkt mij dat je het wachtwoord niet meer zelf behoeft te onthouden (wat in je hoofd zit, dat weet een ander niet).
Wachtwoorden: het betreft tientallen, misschien wel boven de 100. Voor mail, sociale media, webwinkels, bank en overheid, apparaten, wat zou het mooi zijn als het anders kan.
Mijn smartphone is te openen met een vingerafdruk, herkennen mbv je iris of stem lijkt mij beter en wie weet kan het nog slimmer.

19 juli 2018 om 11:56.
elgee zegt:

Zou het gebruik van iDIN de oplossing voor het onthouden van de vele wachtwoorden kunnen zijn?
Leo

19 juli 2018 om 15:19.
kareltje zegt:

iDIN is maar beperkt te gebruiken. Niet direct voor onlinewinkels waar je met regelmaat koopt.

19 juli 2018 om 17:00.
elgee zegt:

Dat klopt. Ik ging ook eigenlijk in op Dirk, die schreef: wat zou het mooi zijn als het anders kan. Het is ook vrij nieuw heb ik begrepen. Het schijnt de bedoeling te zijn dat het op den duur zelfs DigiD gaat vervangen. 🙄
Dat zal nog wel even duren denk ik.
Voorlopig blijf ik het maar op de 'gewone' manier doen. 😁

19 juli 2018 om 17:32.
kareltje zegt:

Een tabel maken in een tekstverwerker, sorteren van A-Z. Extern opslaan en ook nog printen.
Dan mag je PC ook nog de geest geven en kun je b.v. ook bij familie terecht.
Het document kan op elk moment uitgebreid worden.
Papier wordt tegenwoordig erg ondergewaardeerd.

19 juli 2018 om 17:43.
WG-Beekhuis zegt:

@HenkW,
Bij LastPass worden al je wachtwoorden in een versleutelde vorm op de server van LastPass opgeslagen. Bij KeepassXC worden je wachtwoorden lokaal opgeslagen waar je dat wilt, dat kan op een USB stick maar ook op je harde schijf. Uiteraard kun je ook je gegevens in Dropbox zetten. Het grote nadeel van Lastpass is dat de criminele Hackers voortdurend op zoek zijn naar mogelijkheden om deze dienst te kraken en gegevens te bemachtigen. Er zijn al een behoorlijk aantal hacks geweest die voor mij voldoende reden waren om deze dienst te schrappen. Ik heb ook al eens twee dagen niet meer van mijn wachtwoorden gebruik kunnen maken door gehackte LastPass servers.
De KeePassXC-browser extensie is bedoeld om inlog gegevens in te kunnen vullen op Webpagina’s en nieuwe of gewijzigde wachtwoorden op te slaan in de KeePassXC database.

19 juli 2018 om 18:03.
elgee zegt:

Niet omdat ik het altijd al zo geregeld had, maar de manier die Kareltje aangaf is m.i. toch het veiligst.

19 juli 2018 om 18:13.
WG-Beekhuis zegt:

Ik wil nog een stelling toevoegen aan dit onderwerp. Stel dat je dement raakt of komt te overlijden dan is het voor je nabestaanden belangrijk dat ze jouw digitale leven kunnen afsluiten. Het zorgvuldig bewaren van je inloggegevens is dan natuurlijk ook belangrijk. Als je die op een USB stick in een wachtwoordmanager opslaat dan heb je een veilige manier om deze gegevens aan je dierbaren over te dragen. Je moet dan natuurlijk wel het hoofdwachtwoord op een veilige plaats bewaren, die ook bekend is bij je erfgenamen.
Wachtwoordmanagers als KeePass of 1Password kunnen daarbij banpaal komen omdat deze ook lokale kluizen kunnen opslaan.

19 juli 2018 om 18:14.
elgee zegt:

Waarom zo ingewikkeld. Degene van mijn nabestaanden die de zaak moet afsluiten weet uiteraard waar e.e.a. ligt.

19 juli 2018 om 18:19.
WG-Beekhuis zegt:

@Dirk Boom,
knp dat je meer Daan 100 wachtwoorden kunt onthouden. Daar heb je vast een systematische oplossing voor gekozen met vaste voorloop en/of afsluit karakters. Het gebruik van dergelijke methodes kan ook risico’s met zich meebrengen als je inloggegevens op verschillende Websites zijn gestolen. Hier is al een keer wetenschappelijk onderzoek naar gedaan. Het kiezen van lange random gekozen wachtwoorden bestaande uit (Hoofd)letters, cijfers en speciale tekens zijn hel veiligst volgens de security experts. Deze wachtwoorden worden door alle goede wachtwoordmanagers gegenereerd.
het mooie van een wachtwoord manager is bovendien dat synchronisatie naar verschillende platformen mogelijk is. Op deze manier heb je dan altijd op een veilige manier je inloggegevens bij de hand. Er is dan nog slechts één hoofdwachtwoord die je moet kunnen onthouden.

19 juli 2018 om 18:53.
HenkW zegt:

@allen, ik zou het daarom zeer op prijs stellen als SW meer bekend zou maken en Nederlandse handleidingen zou genereren en voor en nadelen zou bespreken over WW managers. Of zijn deze er al??

19 juli 2018 om 22:10.
WG-Beekhuis zegt:

@HenkW,
Een heel nuttig advies heeft de overheid in samenwerking met banken en ICT bedrijven.
Beveiliging met 2FA en wachtwoorden

Op SW staan ook een aantal berichten voor KeePass heb ik een handleiding gemaakt op basis van de workshop van de Consumentenbond, bijgewerkt tot en met versie 2.38

Mijn bedoeling van het plaatsen van deze vraag heeft mede ten doel om duidelijkheid te geven en meningen en ervaringen uit te wisselen over het wachtwoordbeheer binnen SeniorWeb. Omdat beroepsmatig veel betrokken ben geweest met gebruikersbeveiliging kan ik daarbij veel informatie verschaffen.
Als je Googled op Wachtwoordmanagers kom je ook veel testrapporten tegen, hoewel er ook veel Non-informatie wordt gegeven.

19 juli 2018 om 22:40.
HenkW zegt:

@WG-Beekhuis, dank voor de uitgebreide info en documentatie. Ik moet alles nog goed door nemen. Ik wil er meer van weten. De reden om het zo veilig mogelijk te houden. Ik ben daarom ook zo verwondert over de uitspraken van de Rabo Bank. (zie reactie op 12 juli 2018 om 21:25 u).
Inmiddels KeepassXC al geïnstalleerd op een andere OS. Wil aan de hand van de workshop eens kijken met deze manager.

p.s. deze topic vind ik (hopelijk niet alleen) super belangrijk.

19 juli 2018 om 23:13.
WG-Beekhuis zegt:

@HenkW,
Ik kan dat bericht van de Rabo niet vinden. Wat was de boodschap?

19 juli 2018 om 23:57.
HenkW zegt:

Uitleg overgang van internetbankieren naar onlinebankieren en het verdwijnen van uiteindelijk de scanner.

20 juli 2018 om 00:03.
WG-Beekhuis zegt:

De meeste banken gaan de extra Apparaatjes ter identificatie van de klant uitfaseren. Dit wordt vervangen door een extra code of een App voor smartphones. De smartphone neemt daarbij de rol van het apparaatje over.
Deze verandering is zeer begrijpelijk omdat de ontwikkelingen in de technologie dusdanig zijn verbeterd, dat die apparaatjes geen toegevoegde waarde meer hebben en omdat de meeste mensen een smartphone bezitten.
De beveiliging werkt alsvolgt: Je installeert de Bank App en je moet de App aanmelden zodat die een unieke koppeling krijgt met je smartphone en je bankaccount. Er vindt dus een soort pairing plaats met een unieke code die vergelijkbaar is met Bluetooth. Verder wordt de communicatie tussen de Bank en de App versleuteld, zodat er geen leesbare gegevens over het netwerk worden uitgewisseld. Op deze manier wordt de beveiligingsfunctie van bezit (bankpas en apparaat) volledig overgenomen door de smartphone en App.
Bijkomstigheid is dat je weer een nieuwe code moet onthouden. Het veilig bewaren van deze extra code kun je in een wachtwoordmanager veilig bewaren.

20 juli 2018 om 09:52.
HenkW zegt:

Oke, dat werkt bij een App zo, maar online bankieren op een (mijn) pc. Ik heb al aan de bank gevraagd of een van hun een smartphone of tablet krijg maar dan zijn ze niet thuis. Maar er zijn alternatieven.

20 juli 2018 om 10:12.
elgee zegt:

Begrijp het eigenlijk niet zo goed. ABNAMRO heeft dit systeem al jaren.
Bankier dus ook al jaren via de telefoon. Gebruik hiervoor geen andere code dan die ik ook op de laptop zou gebruiken.
Via de ingebouwde ‘wallet’ betaal ik zelfs, waar dit mogelijk is, met de telefoon.
De laptop gebruik ik praktisch nooit meer voor bankieren.
De e.dentifier is namelijk slechts in zeer bepaalde gevallen nodig.
Voor buitenlandse overboekingen b.v. moet je aangeven dat de overboeking akkoord is.
Altijd en overal je Bank bij de hand!
Als je hier eenmaal aan gewend bent, wil je niet anders meer.
Maar dat KAN allemaal Henk. Het HOEFT niet.

20 juli 2018 om 11:40.
HenkW zegt:

@Elgee, dat is namelijk het verschil. Bij ABN kan je nog altijd de e.dentifier met pas gebruiken maar bij de Rabo gaat de scanner eruit en heb je voor de pc alleen nog een code nodig mits je je pc in je browser geregistreerd hebt en dan praat men over veilig bankieren. Klant is koning.
Maar er zijn banken genoeg hoor waaronder de Volksbank. Ik erger me alleen aan het dwingende gedoe van deze bank terwijl je alles dubbel en dwars betaalt.
Wordt alles goedkoper als de scanner verdwijnt ??

20 juli 2018 om 12:00.
Dirk Boom zegt:

Hopelijk krijgen we nu geen discussie over banken, want het gaat over beheren en veilig houden van wachtwoorden.
Veiligheid wordt wel eens als lastig ervaren, en uiteraard heeft het zijn prijs. De boef is niet blij met goede beveiliging dus ik ben daar wel blij mee.
De uitdaging is om het omgaan met veiligheid voor jezelf gemakkelijk te maken, met behoud van veiligheid.

20 juli 2018 om 13:25.
elgee zegt:
Klopt! Mijn reactie had inderdaad weinig te maken met wachtwoord beheer.
Hoe ik dat geregeld heb had ik al eerder aangegeven.
Deze reactie was alleen bedoeld om aan te geven dat het door Beekhuis gestelde allang geen nieuwtje meer was.
Het was zeker niet mijn bedoeling dat er nu een discussie gestart zou gaan worden over hoe andere banken dit doen.
 
20 juli 2018 om 14:09.
WG-Beekhuis zegt:

Een papieren administratie kan natuurlijk ook, maar dat is uiteindelijk ook niet veilig en een document in Word of Excel al evenmin, tenzij je dat een wachtwoordbeveiliging opzet. Helaas zijn die beveiligingen makkelijk te kraken met gratis tooltjes op internet. Met de papierenlijst moet je steeds alles intoetsen en juist daarin schuilt het gevaar van Keyloggers die je toetsaanslagen kunnen registreren en in handen geven van een criminele hacker. Zoals ik al zei zijn alle securityexperts die ik ken en de overheidsinstanties die belast zijn met internetcriminaliteit voorstander van het gebruik van vooral Off-line Wachtwoordmanagers. Voor multiplatform gebruikers is er dan ook nog 1Password, die gebruik ik momenteel zelf ook en ik ben er enorm tevreden over, met name de service van de support bij vragen en ideeën. Een NL handleiding is hier te vinden bij Computertotaal: 1Password.
Voordelen zijn dat je gewaarschuwd wordt als een wachtwoord is gehackt of niet veilig genoeg is.

Het uitstapje naar de Banken vond ik best even interessant maar laten we ons nu richten op de mogelijkheden die de computers, tablets en telefoons ons kunnen bieden op het gebied van persoonlijke veiligheid. Daarvoor zijn we tenslotte lid van SW.

Nog een zinvolle checklist over het beveiligen Tips veilig digitaal werken.

20 juli 2018 om 16:40.

Wilt u zelf een vraag stellen in de Veiligheid-Club?
Veiligheid-Club