1Password laat gebruikers voortaan wachtwoorden delen via link

Wachtwoordmanager 1Password introduceert de nieuwe Psst!-functie waarmee gebruikers wachtwoorden en notities kunnen delen via een link. Ook gebruikers die geen klant van 1Password zijn kunnen de gedeelde links openen en wachtwoorden ontvangen.

Wachtwoorden delen via een enkele link kan volgens 1Password via de website van 1Password of via de app. Daar kunnen gebruikers het te delen wachtwoord aanklikken waarna ze met de deel-knop een link kunnen genereren. Een gebruiker kan instellen hoelang een link actief moet blijven en wie de link mag openen. Dat kan iedereen zijn die de link ontvangt of een specifieke gebruiker. In dat laatste geval vindt er een controle plaats op basis van het emailadres.

Een ontvanger die een door 1Password-gegenereerde link toegestuurd krijgt, wordt doorgeleid naar een webpagina met daarin het gedeelde wachtwoord. Gebruikers die eerst hun identiteit via een e-mailadres moeten verifiëren, krijgen na het invullen van hun e-mailadres eenmalig een zescijferige code via de mail toegestuurd. Die code moet ingevuld worden om toegang te krijgen tot het wachtwoord.

1Password stelt dat wanneer een gebruiker zijn of haar gedeelde wachtwoord wijzigt, dit niet aangepast wordt in de gegenereerde link. Die link bevat immers een kopie van het wachtwoord die gemaakt werd op een bepaald tijdstip.

Reacties (39)

Gebruiken zij een vorm van client-side encryptie, waarbij het door de deler gegenereerde sleutelmateriaal verwerkt is in de URL na een #, zodat de client het wachtwoord lokaal kan ontsleutelen zonder dat de server kennis hoeft te hebben over het wachtwoord?

Zo niet, dan zie ik dit als een slecht systeem. De partij die een wachtwoordbeheerder host zou nooit toegang moeten hebben tot wachtwoorden, zelfs niet als ze gedeeld worden.

Ik heb hier niet uitgebreid naar gekeken, maar als ik in de blog post kijk naar het URL staat er inderdaad een key achter de hashtag. Alles na de hashtag wordt in principe nooit naar de server gestuurd vanuit een browser en blijft dus ook cliënt side.

Daarnaast staat er bij het deelscherm in 1Password ook dat de link niet meer zichtbaar zal zijn zodra het scherm wordt gesloten. Daarmee lijkt het erop dat de link (en daarmee dus de key) niet door 1Password wordt opgeslagen.

Maar zeker een goed idee om dit te verifiëren voordat je het in gebruik neemt

Dit klinkt als dat de hash in de URL alleen dient als identifier en de 1Password server even fungeert als man in the middle. Die handelt de verificatie af (als die is ingesteld) en brengt wellicht vervolgens rechtstreeks of anders via de server de ontvanger in contact met de deler die vervolgens het wachtwoord doorgeeft. Zo hoeft de server in beide gevallen niks op te slaan en alleen door te geven.

Maar goed, zal vast een blog post van ze over komen denk ik. Voor mij was het maar een gok adhv je verhaal. Ben er nog niet ingedoken.

Let op het woordje 'in principe'. Dat impliceert dat er wel degelijk iets in de cache oid wordt opgeslagen.

Ik heb het geprobeerd en krijg deze link:
[code]
https://start.1password.c...v7s4x6a&h=my.1password.eu
[/code]

Voor de hackers onder u allen, ik heb wat karakters vervangen. Niet de # want die zat er niet in.

[Reactie gewijzigd door roawser op 13 oktober 2021 13:23]

Aan de betalende 1Password gebruikers die ook iOS en / of Mac toestel hebben:

Waarom betalen jullie voor 1Password als ik vragen mag? Gezien Apple zelf een wachtwoordsysteem ingebouwd heeft in hun software. Ik ben zelf al 3 jaar betalende gebruiker en ik doe dit omwille van 1 enkele reden en dat is dat ik documenten kan toevoegen zoals mijn ID, etc. en dit kan niet via Apple's systeem. Maar ik was even benieuwd te horen wat jullie redenen zijn? Want het kost toch ongeveer 38-40 euro per jaar.

[Reactie gewijzigd door diskopogo op 12 oktober 2021 18:56]

1Password werkt prima in elke browser (die ik gebruik) en is daarmee ook platformonafhankelijk. Ik kan het in Linux, MacOS en Windows gebruiken, zeker met klanten die ik heb kan dat compleet variëren en ben ik soms aangewezen op een systeem van de klant.

Precies dit, ik heb verschillende Widows PC's thuis, ik werk bij klanten op Windows, OS X systemen, ik heb een privé iPhone en een werk Android en ik kan op een eenvoudige manier op al die systemen al mijn wachtwoorden tot mijn beschikking hebben.

Ik sluit aan op wat de anderen ook al gezegd hebben, voor mij dus multiplatform vooral.

En wat ik ideaal vind: de 2FA/One Time Password ook in mijn password manager en gesynct door al mijn devices; ook vaak direct gekopieerd na het invullen van mijn wachtwoord!
Voorheen gebruikte ik ook een of andere MFA tool, maar die ondersteunde maar 1 device en aangezien ik soms via mijn iPhone, soms via mijn iPad's inlog moest die ook wel gesynct worden.

Ik had 1password voor ik Apple devices had.
Is gewoon mijn standaard gebleven.


Maar ik gebruik dan ook de meer niche zaken zoals cli support op Linux etc

- Family sharing
- Overal te gebruiken
- In 12 jaar 1100 logins gemaakt met de familie
- Ook documenten veilig opslaan

Je kunt op de Mac ook een encrypted disk image maken en volgens mij zelfs de sleutel opslaan in sleutelhanger. Maar goed beetje afhankelijk van wat je wilt doen. Ik deed dat met bestanden die ik dan in de cloud zette (OneDrive/iCloud maakt dan niet zoveel uit).

Omdat er nog veel meer dan Apple alleen is

Op mijn werk gebruikten ze Windows

Wachtwoordsysteem voor op het werk

Ik heb een Apple apparaten dat voorop gesteld. Daarnaast werkt het synchroniseren tussen al mijn devices (4 stuks) en delen met familieleden top. Combineer dat met een gelikte interface en ik heb er die 40 euro per jaar best voor over.

Ik gebruik 1Password omdat er met de standaard password systeem van apple nog heel veel mis is.

1. Je MOET een url toevoegen, dus je kan bvb geen wachtwoord opslaan voor bijvoorbeeld een modem, of een serial nummer toevoegen.
(Dit kan je dan wel doen als je bvb (https://modem.com) aanmaakt, maar das een beetje raar

2. Je kan geen andere informatie toevoegen, bijvoorbeeld een note waar bijvoorbeeld een backup op staat, dit kan wel via de 1Password app.


Op het moment heb ik beide aanstaan, ik wilde sinds IOS 15 overgaan naar de buildin omdat deze ook 2FA heeft nu, maar het mist helaas nog steeds te veel opties


(Oh, en gegenereerde wachtwoorden werken ook nog niet lekker vind ik op iOS en MacOS...)

als voorstander voor open-source, betaal ik zonder problemen voor software, ofwel via opensource donatie ofwel voor betaalde software, als ik t me kan veroorloven tenminste en de prijs in verhouding is tot wat t mij bied.
Krijg altijd een beetje de kriebels van die nederlandse 'waarom betalen als t gratis kan' mentailteit
(in z'n algemeenheid, niet zozeer als commentaar op deze vraag)

KeePass wel jarenlang gebruikt vanwege veiligheid want standalone, maar op iOS en OSX was het een probleem aan worden (KeePassX geen fijne interface oa) dus overgestapt op 1Password.

Net als iedereen tevreden over Multi-Platform en Firefox integratie.
40 euri per jaar voor iets wat je enkele (tientallen) keren per dag gebruikt is wel goedkoop te noemen.

Slim en klinkt handig, maar ik hoop van harte dat de beveiliging van die gedeelde wachtwoorden goed geregeld is…

Belangrijkste is dat de ontvanger zijn e-mailadres moet invullen en dan een 6 cijferige verificatiecode ontvangt. Dat vind ik best veilig. Hoe 1Password het zelf op orde heeft, is hun verantwoordelijkheid.

Hoe 1Password het zelf op orde heeft, is hun verantwoordelijkheid.

Beetje kort door de bocht... Ja, het is hun verantwoordelijkheid, maar het risico ligt bij jou, het zijn jouw passwords die al dan niet beveiligd door de lucht gaan. Als ik gebruiker was, zou ik dat wel even willen weten, voor ik deze feature zou gaan gebruiken.

Best altijd nakijken hoe iets juist werkt.
Heb je helemaal gelijk in!

Maar 1Password heeft wel zijn zaken op orde.
Heb net voor mijn bedrijf audit docs opgevraagd van 1Password.

Paar linkjes:
https://1password.com/soc/
https://support.1password.com/security-assessments/

[Reactie gewijzigd door Rodrigo op 13 oktober 2021 02:10]

Verschil met Bitwarden Send?

Ja ik moet hier eens naar kijken, want volgens mij heeft bitwarden dit ook. Heb het overigens nog niet gevonden (ook niet echt naar gezocht eigenlijk) maar deel regelmatig wachtwoorden. Nu werk ik veel met "organisaties" in bitwarden, omdat de meeste van onze familie en vrienden dit gebruiken.

Is dat dan met een (betaald) premium account? Of family account?

Met een gratis account kun je enkel tekst delen met "send". Geen afbeeldingen.

Ik moet alleen zeggen dat is het echt alles behalve functioneel vind (net mee zitten spelen). Zo kom ik de volgende dingen tegen:

• Je kunt niet direct een bestaande login delen
• De "send" pagina die je deelt is niet responsive, dus werkt niet echt lekker op mobiel.
• Hij onthoudt het wachtwoord niet die de ontvangers moeten invoeren om het bericht te zien. dus iedere keer als je iets nieuws aan wilt maken, moet je opnieuw een wachtwoord aanmaken.

Kortgezegd is het dus naar mijn inziens niet echt een integratie met bitwarden zoals ik had gehoopt. Het gaat hier letterlijk om het delen van tekst en afbeeldingen. Nu kun je wel je inlog sturen via deze link, maar je moet dan heen en weer gaan kopiëren en plakken, en voor de eindgebruiker is het nou ook niet echt straight forward.

Ik hoop echt dat ze bitwarden zelf gaan integreren met "send"

[Reactie gewijzigd door Wachten... op 12 oktober 2021 19:30]

De Send-functie in Bitwarden is niet bedoeld om een gehele login te delen. Je deelt de loginnaam veelal via social media, Zulip etc. maar het wachtwoord delen daar lijkt me een minder goed idee: op dat moment schiet Bitwarden Send te hulp. Met het Premium account kun je ook bestanden tot 500MB delen via deze functie. Wil je andere functionaliteit dan kun je dat bij Bitwarden kenbaar maken.

Hoop dat LastPass ook zo’n functie krijgt. Ideaal soms

Die bestaat gewoon hoor.

Dat ga ik dan even uitvogelen 😅 thanks

En NordPass

Handig alternatief voor pwshare of pwpush!

Ziet er nice uit! Hoop dat ze hier nog een keer een iteratie op doen dat je ook enkel specifieke onderdelen van je login enkel kan delen.

Ik heb net even gekeken naar bitwarden send (soortgelijk iets) wat alleen jammer is, is dat je niet direct een bestaande inlog kunt delen met send.

Ik heb toch wel regelmatig dat ik even snel een account wil delen met iemand die geen bitwarden heeft. Nu stuur ik dan los een inlog door (in plain tekst dus) en moet er zelf voor zorgen dat deze verwijderd wordt. Send is op zich best handig, maar direct een account delen met send gaat dus niet.

Het is iets kleins, maar maakt het delen nog net iets fijner. Hopelijk implementeren ze dit een keer.

[Reactie gewijzigd door Wachten... op 12 oktober 2021 19:02]

had een reactie op een ander moeten zijn

[Reactie gewijzigd door Wachten... op 12 oktober 2021 19:27]

In de basis vind ik het erg fijn dat deze functie er in zit. Maar vanwege opmerkingen van oa @The Zep Man (waar ik in alle eerlijkheid nog niet aan gedacht had) wacht ik nog wel even met deze functie gebruiken.

Ander punt wat me opviel. De interface (op 0:08 seconden in het filmpje) is heel anders dan mijn interface? En ook de interface zoals die bijvoorbeeld op https://1password.com/tour/ staat. Iemand anders dat ook opgevallen?

Correct dat is de nieuwe layout waar ze nu aan het werken zijn.
Ik weet niet welke tools je precies gebruikt, maar een deel ervan zie je al terug in een paar updates geleden voor de browser extensie.
De desktop applicaties zijn voorlopig nog in beta voor meer info:
https://blog.1password.co...c-is-now-in-early-access/
https://blog.1password.co...s-is-now-in-early-access/

Thanks. Ik zit nog op de public release v7 (gebruik op macOS en iOS).

Ik zelf ook vind het voor zo een programma iets te riskant om met beta's bezig te zijn.
Echter volg ik de aankondigingen op de voet zodat ik wel op de hoogte blijf