Proton brengt eigen wachtwoordmanager Proton Pass in gesloten bèta uit

Proton heeft een wachtwoordmanager uitgebracht. Proton Pass is een wachtwoordmanager die naast credentials en totp-codes ook notities en aliassen kan opslaan. Een volledige kluis wordt vervolgens met end-to-endencryptie versleuteld. De functie komt eerst in een gesloten bèta uit.

Proton noemt de wachtwoordkluis Proton Pass. Dat wordt een feature die binnen de pakketten van Proton wordt aangeboden, maar het bedrijf zegt niet of er ook een gratis variant beschikbaar komt. gebruikers kunnen in de wachtwoordmanager wachtwoorden en gebruikersnamen opslaan, maar ook Time-based One-Time Passwords en notities. Daarnaast is het mogelijk om Aliases op te slaan. Dat is een feature die Proton vorig jaar introduceerde, waarbij gebruikers een alternatief e-mailadres kunnen gebruiken om hun oorspronkelijke adres te verbergen.

Opvallend aan de wachtwoordmanager is vooral dat de hele kluis met end-to-endencryptie is versleuteld, in plaats van alleen de wachtwoorden, zoals bij de meeste wachtwoordmanagers het geval is. Wat dat voor gebruikers in de praktijk zal betekenen, is moeilijk te zeggen. Mogelijk wordt de wachtwoordmanager daardoor trager. Bovendien betekent het dat de kluizen op één plek moeten worden opgeslagen, wat het aanvalsoppervlak kan vergroten. Volgens Proton betekent die versleuteling dat een aanvaller geen metadata kan achterhalen, zoals op welke sites een gebruiker een account heeft.

Proton Pass gebruikt bcrypt als hashalgoritme en gebruikt de Secure Remote Password-standaard voor authenticatie. Proton schrijft in een blogpost dat individuele items ook nog versleuteld worden met een extra sleutel, waardoor een potentiële aanvaller met de masterkey niet in alle gevallen alle wachtwoorden kan achterhalen tijdens een man-in-the-middleaanval. Het bedrijf geeft voor nu weinig details over de versleuteling, maar zegt dat de code later wel open source beschikbaar wordt gesteld. Bovendien valt de wachtwoordmanager onder het bugbountyprogramma van Proton.

De dienst is voor nu alleen te gebruiken als gesloten bèta. Daar wordt een willekeurig aantal gebruikers voor uitgekozen. 'Later dit jaar' moet de dienst publiek beschikbaar komen. De manager is beschikbaar voor iOS en Android en als browserextensie voor Chrome en Chromium-browsers. Een Firefox-extensie is er momenteel nog niet, omdat Mozilla die volgens Proton nog niet heeft goedgekeurd.

Reacties (23)

[vespino]

Wil je dat eigenlijk, je wachtwoord én TOTP in één systeem? Ik dacht dat het altijd was "something you are", "something you know", "something you have".

[TijsZonderH]

De winst van überhaupt geen 2fa hebben naar welke vorm dan 2fa dan ook is al 95%. Die overige 5% zit dan in waar je je totp-token opslaat, of je sms of een yubikey gebruikt etc. Best practice is om het natuurlijk te scheiden maar ik zou het altijd nog aanraden boven helemaal geen 2fa te gebruiken.

[- peter -]

Idd, ik gebruik altijd een aparte app op mijn mobiel naast 1Password. Snap ook niet dat ze dat promoten.

[BlaDeKke]

Je kan toch enkel in 1pass op een vertrouwd apparaat. Je moet anders heel die grote key + je hoofdwachtwoord + je email opgeven. Als je zorgvuldig omgaat met die grote key moet men toegang hebben tot je apparaten. Of ze moeten binnenbreken in je woning om die afgedrukte key te bemachtigen.

[Ferruginous Hwk]

Dus nog steeds alles op hetzelfde device? Dat is ook niet scheiden.
Ik gebruik voor het meeste gewoon de totp in mijn passwordmanager. De belangrijke accounts gebruiken een yubikey.

[- peter -]

Ik gebruik 1password vooral op desktop, en dan tokens mobiel.

[Sublimity]

Nee, dit komt de security van je accounts niet per se ten goede. De "something you know" en "something you have" factoren worden gecombineerd; met alleen een wachtwoord heb je toegang tot beide.

Overigens: als jouw wachtwoord kluis beveiligd is met TOTP, dan heeft een aanvaller die in jouw kluis kan komen hoogstwaarschijnlijk ook toegang tot de andere TOTP codes voor je individuele account. Heeft je kluis geen TOTP of MFA, dan moet je sowieso even evalueren of dat zo handig is

[nandervv]

Niet alleen een wachtwoord, je moet een wachtwoord hebben + toegang tot iemands laptop. Dat is in principe een vorm van 2fa. Net als je met een bankpas je pasje + pincode nodig hebt.

Een wachtwoordmanager op zichzelf is dat nog niet, omdat je het wachtwoord zou kunnen overtypen, en dan kan iemand erin.

[Baardmeester]

Ja, maar het is altijd beter dan geen 2fa. Een aanvaller die een account van je wilt kraken zal toch zowel aan je wachtwoord als je totp moeten komen ook al staan die in dezelfde kluis. In het geval dat ze je kluis kraken ben je natuurlijk wel de sjaak. Ik zou zeggen zet in ieder geval bij je belangrijkste accounts zoals bank en email de seed niet in dezelfde kluis.

[Polderviking]

Je wil het eigenlijk apart. Maar ik werd dusdanig wous van de hoeveelheid totp tokens in mijn app dat ik die milde hit in security voor lief neem.

[CyBeR]

Zoals gezegd: voor optimale beveiliging wil je het apart. Als je het samen doet kan iemand die achter jouw computer zit inloggen (als je ww manager ontsleuteld is, of als die persoon daar het ww van weet). Of je daar een probleem mee hebt moet je zelf afwegen.

Maar zelfs je ww en TOTP codes bij elkaar bewaren heeft wel degelijk nog gewoon zin voor het grootste gevaar, namelijk dat je ww uitlekt (vanwege een lek bij de dienst bijvoorbeeld, of succesvolle phishing) en dat iemand anders remote, zonder jouw medeweten, kan inloggen. Die komt dan de 2fa-vereiste tegen en komt dan niet verder.

[MartSB]

Het is inderdaad niet ideaal, maar het is zeker fijn dat de gebruiker al gewoon de keuze krijgt om óf wachtwoorden óf TOTP-codes op te slaan bij Proton. Niemand is verplicht beide in te voeren in de manager...

Keepass heeft ook de optie om wachtwoorden en TOTP-codes op te slaan. Heb al meermaals gelezen dat er mensen zijn die twee kluizen aanmaken, één voor de wachtwoorden, één voor TOTP. Ook niet perfect, aangezien de 'what you know' nog steeds een 'what you have' is.

Security is als een ajuin: wachtwoorden en TOTP-codes gescheiden houden is gewoon een extra laagje.

[Cyb]

Opvallend aan de wachtwoordmanager is vooral dat de hele kluis met end-to-endencryptie is versleuteld, in plaats van alleen de wachtwoorden, zoals bij de meeste wachtwoordmanagers het geval is.

"Opvallend" is datgene wat juist niet opvallend zou moeten zijn, maar juist vanzelfsprekend zou moeten zijn. Online wachtwoordmanager die metadata niet end-to-end encrypten, zou je zowel qua privacy als security moeten wantrouwen, vooral bij een product als een wachtwoordmanager, waar encryptie vanzelfsprekend is. Het feit dat sommige wachtwoordmanagers (zoals Lastpass) dat niet doen, wekt de suggestie dat ze bepaalde interesses hebben in je metadata.

Mooi dat Proton ook in deze markt stapt.

[supersnathan94]

Ja! Dat viel mij dus ook direct op. Like what? Dat is nieuw? Hoe dan?

[jcbvm]

Inderdaad.. en zo nieuw is het niet. Bitwarden encrypt ook alles

[memsys]

Precies dit! Het is eerder opvallend dat het NIET de standaard is ondanks dat het dat wel zou moeten zijn.

[BiaggioLuciano]

Uhm ik gebruik nu gewoon de standaard Apple versie, want die werkt wel prima. Misschien dat ik super-cruciale wachtwoorden back-up, maar ik kan eigenlijk geen reden zien om over te stappen denk ik. Die kluis encryptie klinkt leuk, maar het lijkt me meer dubbel dan efficiënt.

Wat ik niet goed begrepen heb, en excuseert mij als ik het fout heb, maar is de one-time password een vervanging voor Authy of is dat alleen voor de wachtwoorden in de kluis? Want als TFA systeem lijkt me dit wel mooi.

[TuxDePinguïn]

Je zal niet de eerste zijn die toegang tot z’n account van een big tech bedrijft verliest, en zeker ook niet de laatste.

Daarnaast werkt Apple Keychain voor zover ik weet alleen op Apple apparaten en alleen als je met je iCloud account bent ingelogd op dat apparaat.

Ook ondersteunt Apple Keychain geen TOTP (of andere vorm van 2fa).

[OttoRocketman]

Fijn dat niet alleen de wachtwoorden geëncrypt worden maar de hele kluis. Sinds het LastPass fiasco ben ik erg op m'n hoede, daar werden website URL’s bijvoorbeeld niet geëncrypt. Ook mooi dat de code open source beschikbaar wordt gesteld, geeft weer extra vertrouwen.

[Blacklight447]

Eerste indruk is positief.

[maevian]

heb ook een betaald account bij proton en heel erg fan van hun diensten, maar heb toch graag een aantal dingen gescheiden te houden

[Khalid!!]

Ik gebruik Samsung Pass en dat is perfect

[Kvibe]

Voor mij niks beters dan Bitwarden. Al jaren zeer tevreden.