Wachtwoordmanager in Chrome krijgt ondersteuning voor notities

Google brengt verschillende nieuwe features voor zijn online wachtwoordmanager in Chrome uit. Het wordt onder andere mogelijk een snelkoppeling voor de desktop te maken en om notities aan credentials toe te voegen. Vooral dat laatste is een veelgevraagde functie.

Het is nog steeds niet mogelijk om in de wachtwoordmanager aparte notities op te slaan, maar wel om notities als apart veld aan een opgeslagen gebruiker-wachtwoordcombinatie toe te voegen. Daarmee is het bijvoorbeeld mogelijk om een pincode toe te voegen of verschillende accounts binnen hetzelfde domein uit elkaar te houden. Gebruikers vroegen al lang om zo'n functie, die in vrijwel alle andere wachtwoordmanagers gemeengoed is.

De wachtwoordmanager krijgt ook de mogelijkheid om wachtwoorden direct te importeren. Dat kon eerder alleen via het Google-account, maar niet direct vanuit de manager in de browser zelf. Daarnaast komen authenticatiemethoden als gezichtsherkenning en vingerafdrukscanners beschikbaar voor de desktopversie. Voorheen waren die functies er alleen nog voor de mobiele browser.

De wachtwoordmanager kan in de toekomst ook als een snelkoppeling in het menu van Chrome worden toegevoegd. Ook wordt er een knop toegevoegd waarmee een link naar de wachtwoordmanager via chrome://password-manager op het bureaublad kan worden gezet. Tot slot komt de scanner voor zwakke wachtwoorden 'in de komende maanden' uit voor iOS. Die functie is er nu alleen voor de desktop. Google kijkt bij die feature of opgeslagen wachtwoorden kort of kwetsbaar zijn, of vaak voorkomen in lijsten met gestolen wachtwoorden.

Tweakers schreef in 2021 al een vergelijkende test van wachtwoordmanagers in browsers. Bij die test namen we die in Chrome ook mee.

Reacties (20)

[CAPSLOCK2000]

Gezien de enorme dominantie van een hand vol techbedrijven moet ik er niet aan denken om mijn wachtwoorden door zo'n partij te laten beheren. Niet dat ik denk dat Google de bedoeling heeft om in mijn wachtwoorden te kijken maar fouten gebeuren overal. Hoe groter zo'n bedrijf hoe groter de gevolgen van fouten en hoe moeilijker het is om onafhankelijk te blijven. Ik probeer juist alles rond beveiliging zo veel mogelijk te isoleren in losse componenten die ik goed kan begrijpen, beheren en (indien nodig) vervangen. Daarbij is het voor mij belangrijk om te werken met standaard bestandsformaten en protocollen.

Als ik alles zou overlaten aan Google (of MS of Apple of ...) voel ik me te afhankelijk van de grillen van zo'n bedrijf.

[TijsZonderH]

Afhankelijk van techbedrijven is inderdaad wel iets om op te letten, maar puur op het gebied van security vertrouw ik Google wel echt meer dan de gemiddelde dienst.

[Bor]

Dat en ook Google gebruikt standaard (encryptie) protocollen. Je kan je ook afvragen of je bij een grotere dienst juist niet beter af bent dan bij een kleinere speler gezien een bedrijf als Google vele malen meer budget heeft om zaken goed te regelen, audits en penetratietests uit te voeren en goed personeel aan te trekken. Elke oplossing en aanbieder heeft zijn eigen voor- en nadelen.

[GekkePrutser]

Iedereen van belang gebruikt standaard encryptieprotocollen. Als je zelf het wiel loopt uit te vinden ben je echt verkeerd bezig in deze markt. Het correct implementeren van bestaande protocollen is al lastig genoeg en daar liggen al heel veel kansen om fouten te make.

Er zijn maar zeer weinig mensen met de kennis en ervaring om dat te kunnen (bijvoorbeeld Bruce Schneider die blowfish heeft gemaakt), en zelfs hun werk kan niet als veilig worden beschouwd zonder uitgebreide peer review.

Zelfs het befaamde signal protcol en bijv. wireguard bestaan uit standaard primitieven.

Als er iemand op de markt komt met een wachtwoord manager met 'een revolutionair encryptiealgoritme', meestal zonder technische details en veel superlatieven als 'onkraakbaar' en idiote marketing kreten als 'quantum' of 'blockchain' enz dan moet je het gewoon laten liggen want dan is het zeker prut. Als zo'n bedrijf echt een serieus algoritme had uitgevonden dan had het ze veel meer geld en aanzien opgeleverd als ze dat an sich gingen verkopen in plaats van een of andere dienst erop gebaseerd.

[Reactie gewijzigd door GekkePrutser op 24 juli 2024 12:24]

[CAPSLOCK2000]

Afhankelijk van techbedrijven is inderdaad wel iets om op te letten, maar puur op het gebied van security vertrouw ik Google wel echt meer dan de gemiddelde dienst.

Zeker, maar ook Google vertrouw ik niet 100%. Het gaat niet om meer of minder vertrouwen, maar dat ik geen enkele partij helemaal (blind) wil vertrouwen. In praktijk komt het daar bij die grote closed source bedrijven wel op neer. Ze bouwen de software zelf, controleren die zelf, publiceren die in hun eigen app store met hun eigen regels en als je als klant om informatie vraagt krijg je die niet.

Wat dat betreft heb ik meer vertrouwen in Linux distributies die in ieder geval niks onder de pet houden maar gewoon de broncode en bugreports publiceren. Dat is ook wel één partij (en dat probeer ik te vermijden) maar die is zo transparant dat ik er niet blind op hoef te vertrouwen.

[The Realone]

Dat is prima als je daar enige kennis van en interesse in hebt, maar wat juist zo mooi is aan dit soort implementaties van bijvoorbeeld Google is de eenvoudig en prima integratie met bestaande producten van hun. Ik heb bij mijn vader enige tijd Bitwarden geïnstalleerd omdat ik dat zelf ook gebruik, maar dat is echt een drama gebleken voor hem. Hij gebruikte al Chrome en met de verbeteringen aan die wachtwoord manager over de laatste jaren is dit de beste oplossing voor hem. Waar het in ieder geval voor zorgt is dat hij van dat wachtwoorden.docx bestand af kan en meer variatie in wachtwoorden ook een stuk beter te behappen is.

Daar staat tegenover dat ik ook weer vaak genoeg mensen tegen ben gekomen die voor dit soort doeleinden een NAS hadden. Want dan zijn ze niet afhankelijk van een clouddienst als Google Drive/Onedrive en achten ze dat veiliger. Keepass DB op hun NAS en dat is ook meteen afgedekt. Vervolgens hebben ze wel gewoon directe toegang tot hun NAS vanaf het internet, want het moet wel makkelijk zijn. Of gebruiken ze een standaard OpenVPN met lokale user accounts, eenvoudige wachtwoorden en geen MFA.

En dan hou je nog een kleine groep mensen over die het kunnen, willen en ook goed implementeren.

[CAPSLOCK2000]

Als het om security gaat zijn er vaak geen goede antwoorden alleen compromissen. De afweging die je daarbij maakt is persoonlijk. Ik snap dat niet iedereen dezelfde keuzes maakt als mij.

De uitkomst van die overweging kan ook zijn dat je het beste af bent door jezelf afhankelijk te maken zo'n groot bedrijf. Dat vind ik zelf een hoop slechte dingen over de situatie op de softwaremarkt maar dat is een beetje een andere discussie.

[The Realone]

Als het antwoord is "we gaan er security-technisch op vooruit", dan is dat een goed antwoord, zelfs al zijn er dan compromissen. Je moet ook niet vergeten dat het hier om een tool voor thuisgebruikers gaat.

[beerse]

Vanuit de geschiedenis gebruik ik de opslag van account en autofill gegevens in de browsers. Maar omdat ik primair firefox gebruik en regelmatig chromium (of zelfs chrome) er naast is het wel zo handig om die gegevens in een aparte tool zoals bitwarden te hebben.

En bij het gebruik van een ChromeBook met firefox onder linux en het gebruik van android apps is het gebrruik van bitwarden helemaal handig.

[moonlander]

Je kunt het ook anders bekijken. Kleine partijen hebben vaak niet het budget om mega strenge beveiliging te hanteren en te onderhouden.

[walkstyle]

Dankzij Google kan ik wel rustig slapen, en niet wakker worden dat me wachtwoorden door LastPass op straat liggen.

[anzaya]

Liggen er wachtwoorden op straat bij LastPass?

[MRammeloo]

Dat is toch een kwestie van tijd?

[GekkePrutser]

Maar google heeft geen E2E Encryptie met deze wachtwoorden. Ik kan opgeslagen wachtwoorden ook gewoon op de google website zien bijvoorbeeld.

LastPass deed dit duidelijk ook niet goed, maar als ze het wel hadden gehad dan was zo'n lek helemaal niet mogelijk geweest. Er zijn zat aanbieders die dat wel kunnen.

[Reactie gewijzigd door GekkePrutser op 24 juli 2024 12:24]

[Remzi1993]

Wat ook fijn zou zijn dat er ondersteuning komt om wifi wachtwoorden op te slaan. Dit kon ik in LastPass, echter ik ben overgestapt naar de Wachtwoordmanager van Google, omdat het gratis is en overal op werkt.

[Bor]

Wat maakt een WIFI wachtwoord anders dan elke willekeurig wachtwoord? Als je puur naar het wachtwoord zelf kijkt is het in essentie een string met karakters net als een wachtwoord van bijvoorbeeld een website.

[GekkePrutser]

Je hebt gelijk hoor maar wachtwoorden zijn niet de enige manier om met wifi te verbinden. Op het werk gebruiken we certificaten (WPA Enterprise).

Echter is dat meestal NIET iets dat je in een wachtwoord manager wil hebben. Wij doen er op het werk alles aan om te zorgen dat gebruikers die niet exporteren. Want een certificaat is maar bedoeld voor op 1 apparaat en wordt automatisch via het beheer geintalleerd, en het wordt ingetrokken als dat apparaat niet goed beveiligd is (software te ver out of date bijvoorbeeld).

We hebben wel voorbeelden gezien van mensen die het exporteerden op hun Mac (daar is de bescherming wat minder dan op windows) en vervolgens op hun prive telefoon installeerden en daar gaan we hard tegenin.

[Reactie gewijzigd door GekkePrutser op 24 juli 2024 12:24]

[Remzi1993]

Er is inderdaad technisch geen verschil. Alleen heeft het geen username of iets dergelijks.

Je kan in de Google wachtwoordmanager geen wachtwoorden opslaan met aleen een wachtwoord. Het heeft verplicht 2 velden, namelijk gebruikersnaam en wachtwoord.

[pete4live]

De wachtwoordmanager zit nog steeds overal verstopt in de menus van Google's diensten. Ik zou veel liever zien dat ze de Google authenticator app zouden updaten naar Material You en daarnaast gelijk een tabblad toevoegen voor wachtwoorden en een tabblad om veiligheidsinstellingen van Google te beheren inclusief passkeys. Daarnaast mag de wachtwoordmanager wel wat naar voren worden geschoven in Chrome.

[blahenazo]

handig functie , los van het feit of je een service zoals dit wil gebruiken. Zijn die kleine notes wel handig bij accounts,...

De voornaamste zaken zijn (f)SSO etc... <=handig
Maar als het moet gebruik ik op het werk Keepass, <= bedrijf geleverde versie + LCM etc...
Maar voor die enkele one-off's-tools die halsstarrig, niet integreren met central user mgt of een idiote self contained user repo/role mapping hebben. => ik kijk naar u agile rap rap , mvp1 , mvp2 plannen we later wel, ehuem allicht , misschien , nooit ?...

Maak ik daar notities is als . Account X , indien locked bel of creeër ticket daar of dat team , vraag acces via X etc... notities die ik vroeger in one notes hield of verdwenen in de mailbox.
Die dingen zet ik nu in keepass.

[Reactie gewijzigd door blahenazo op 24 juli 2024 12:24]