Proton Pass-wachtwoordmanager gaat waarschuwen voor datalekken en accountzwaktes

Proton Pass krijgt een nieuwe Pass Monitor-functie die automatisch kwetsbaarheden in accounts opspoort en eventuele datalekken signaleert. Sommige onderdelen van de feature zijn alleen beschikbaar voor betalende abonnees.

De Pass Monitor-functie voor Proton Pass scant onder meer het dark web om blootstelling van gebruikersgegevens te voorkomen. In de aankondiging is te lezen dat de gebruiker een waarschuwing ontvangt als wordt gedetecteerd dat zijn e-mailadres in een illegale datamarkt terecht is gekomen. Deze Dark Web Monitoring-functie is alleen beschikbaar voor gebruikers met een betaald abonnement, zoals Proton Plus of het Unlimited-abonnement dat ook toegang geeft tot de andere diensten van Proton. Proton heeft Dark Web Monitoring vorige maand al beschikbaar gesteld voor zijn Mail-dienst.

Daarnaast zoekt Pass Monitor voor alle gebruikers naar zwakke en hergebruikte wachtwoorden, zodat de gebruiker actie kan ondernemen om accounts beter te beveiligen. Ook krijgen gebruikers te zien welke accounts beveiligd kunnen worden met tweefactorauthenticatie, om hen te motiveren een extra beveiligingslaag in te schakelen naast een wachtwoord.

Pass Monitor bevat de Proton Sentinel-feature, die vorig jaar is uitgebracht door het in Zwitserland gevestigde bedrijf. De functie zet AI en menselijke analisten in om aanvallen op accounts te detecteren en te blokkeren. Proton Sentinel is alleen beschikbaar voor betalende gebruikers.

Proton Pass is beschikbaar als app op Windows, Android en iOS, en is te gebruiken als webapp en als browserextensie. Pass Monitor wordt gefaseerd uitgerold en moet uiterlijk 10 mei beschikbaar zijn op alle apparaten.

Reacties (22)

[Yzord]

Tot zover het encryptie gedeelte die zogenaamd alleen maar te openen is met jouw wachtwoord. Want hoe kunnen ze anders bij jouw wachtwoorden om deze te vergelijken? Lijkt me toch aardig moeilijk als deze allemaal encrypted zijn. Of zijn ze dat toch niet?

[Bor]

Hier hebben we o.a. homomorphische encryptie voor. Homomorfe encryptie is een vorm van encryptie die het mogelijk maakt (bepaalde) berekeningen te maken op versleutelde tekst. Het resultaat van deze berekening is ook versleuteld, maar komt na ontsleuteling overeen met het resultaat als dezelfde berekening was uitgevoerd op de oorspronkelijke klare tekst. Om de berekening uit te voeren, hoeft de versleutelde data niet eerst ontsleuteld te worden.

Meer informatie: Wikipedia: Homomorphic encryption

Tweakers schreef eerder al een artikel: review: Homomorfische encryptie - analyses uitvoeren op versleutelde data

Hoe dit bijvoorbeeld wordt gebruikt in Microsoft Edge: Password Monitor: Safeguarding passwords in Microsoft Edge

[Mushroomician]

Bullshit, want: homomorphische encryptie werkt in een soort gesloten systeem.

Je kunt berekeningen loslaten op een systeem met HE, ja, maar je kunt geen match maken met clear tekst. Dat zou namelijk de encryptie ondermijnen.
De resultaten van een berekening blijven versleuteld en zijn niet leesbaar door de verwerker.

Proton kan niet anders dan het e-mail adres delen met die partij zoals haveibeenpwnd.
Dat staat ook op de website. Citaat:

We only share custom email addresses (with your approval) with third parties for Dark Web Monitoring.

All Password Health checks are carried out on your device, so your data remains end-to-end encrypted.

bron: https://proton.me/blog/proton-pass-monitor

[Reactie gewijzigd door Mushroomician op 22 juli 2024 21:59]

[joost00719]

Ze pakken de eerste x karakters van je password hash. Deze wordt naar een 3e partij opgestuurd (bijv. have I been powned). De service stuurt alle hashes terug die met dezelfde karakters beginnen. Daarna checkt het programma of jouw hash in de teruggestuurde lijst voor komt.

De check kan worden gedaan zodra jij je vault decrypt.

Hoe het precies bij proton pass werkt, weet ik niet. Mijn uitleg is gebaseerd op wat ik ooit op blogpost van hibp heb gelezen.

[Bor]

Hoe werkt dit dan met salted hashes wat best practice is?

[Slonzo]

Salt is irrelevant in een database met (al dan niet gelekte) plain text paswoorden.

De gelekte paswoorden worden gehashed zonder salt, de paswoorden in je vault worden ook zonder salt gehashed. Deze zijn dus 1 op 1 te vergelijken.

[Zer0]

De darkweb controle is alleen op je email-adres, niet je wachtwoorden, en de andere controles kunnen binnen de app gedaan worden.

[Mushroomician]

Dit gebeurd met toestemming. Bron: https://proton.me/blog/proton-pass-monitor

Citaat:

All Password Health checks are carried out on your device, so your data remains end-to-end encrypted.

We only share custom email addresses (with your approval) with third parties for Dark Web Monitoring.

[Reactie gewijzigd door Mushroomician op 22 juli 2024 21:59]

[BlaDeKke]

Wel er is een handleiding hoe je een script kan maken om je wachtwoorden te checken zonder ze op te geven op haveibeenpwned. Neem dat door en je begrijpt het

En @joost00719 legt het al een beetje uit.

Je hashed je wachtwoord, stuurt de eerste X characters van die hash door. Haveibeenpwnd antwoord met alle hashes die zij hebben en die matchen met uw eerste characters. In dat antwoord zoek jij naar een exacte match met jou volledige hash. Vind je die? Dan is je ww gelekt. En havibeenpwned is niets wijzer geworden.

[Reactie gewijzigd door BlaDeKke op 22 juli 2024 21:59]

[SgtElPotato]

Ik gebruik nu zelf 1Password. Zijn er voors / tegens om eventueel over te stappen op Proton?

[Stijnvi]

Mijn reden om over te stappen was niet hun password manager, maar de rest.
Mijn wachtwoorden staan nog in BitWarden, maar Proton heeft veel meer.
Met hun alles-in-1 abbonement heb je ook:
- (encrypted) email (eventueel te koppelen aan eigen dommeinnaam van een paar euro) incl. aliassen via SimpleLogin, dus geen spam,
- een (unlimited) VPN met Tor ondersteuning,
- een kalender,
- en een flinke (500GB) encrypted drive met mogelijkheid tot foto backup (à la Google Photos, in ieder geval op Android).

En dit kost per maand:
€13 (maandelijks)
€10 (12 maanden)
€8 (24 maanden)

En als student kan je ze ook nog mailen en vragen om korting.

Het is dus voor mij een volledige vervanging van Google One.

[Mausssie]

Ik twijfel om volledig over te stappen, maar zou graag zien dat ik een ander wachtwoord voor Proton Pass kan gebruiken, dan voor de rest van mijn account.
Hoeveel extra korting kon je krijgen?

[Stijnvi]

Mailtje naar protondiscount (at) proton.me

Ik kreeg 50% korting

"Please note that we offer you 50% off our Mail Plus, VPN Plus, or Proton Unlimited plan for 1 year (yearly payment) only."

Een ander wachtwoord voor de password manager is volgens mij niet mogelijk.

[The Third Man]

Sluit ik me geheel bij aan. Ben van 1password naar Bitwarden en nu Proton overgegaan, de laatste is by far het prettigst in alle opzichten.

[LightPhoenixNL]

Ik gebruik beide, ik heb voor beide geen abonnement. Daarom kan ik 1password niet op mn macbook gebruiken. Bij proton kan dat wat eenvoudiger, enige wat ik mis in de gratis versie is toevoegen van credit cards.

[AlfABetA]

Ik gebruik zelf ook 1password. Voor mij een van de beste password managers die ik gebruikt hebt.
Hoewel proton geweldige producten heeft, (ga binnenkort helemaal over na hun email, is hun paswoord manager nog niet zo ver als 1pasword.
Een voorbeeld wat voor mij heel belangrijk is dat je geen kleine documenten zoals facturen, garantie bewijzen niet kunt opslaan in hun paswoord manager. Ik gebruik een paswoord manager niet alleen voor mijn paswoorden, maar ook voor al mijn aankopen, waar ik de facturen bij opslaan.
Ook vind ik 1password zo fijn dat het zo aanpasbaar is, zoals dat je velden kunt toevoegen en zo.
Maar ik volg Proton paswoord mgr ook, wat het gaat zeker de goede kant op. Je dunt deze ook gratis gebruiken.

[honey]

Er is geen reden om te veranderen. 1Password is een goed programma. Ik gebruik deze ook in een betaalde versie, maar heb ook een betaalde abonnement op Proton. Ik zie geen reden om 1Password niet te gebruiken.

[Baardmeester]

Voordeel is de kosten als je al Proton producten gebruikt en het unlimited abbonement afneemt of wilt gaan afnemen. Een nadeel kan zijn dat je all eggs in one basket hebt. Wanneer Proton gehackt zou worden kunnen ze zowel bij je mail en password manager. 1Password en Bitwarden zijn voor cloud password managers de hoogst aangeschreven managers dus ik zou geen reden zien om te switchen.

[mikeyfire643]

Proton Sentinel is alleen beschikbaar voor gebruikers met het duurdere Unlimited-abonnement.

Dit was vroeger zo, nu is dit ook voor proton pass paid users.

https://proton.me/blog/sentinel-high-security-program

Due to the expensive resources required to operate advanced account protection and support, the Proton Sentinel program is limited to the bundled plans with premium access to the whole Proton ecosystem: Proton Unlimited, Family, and Business, along with legacy Lifetime and Visionary accounts. We also offer it with our Proton Pass Plus plan so you can use it to protect your password manager account and, by extension, your passwords, which are some of your most sensitive data.

[Bux666]

Uit de link in het artikel over 'How to use Proton Pass passkeys in the browser extension':
Note: Firefox doesn’t offer passkey support. You can follow its tracking issue ticket.

[TechSupreme]

Sorry hoor, maar ben ik de enige die de nieuwswaarde van dit niet inziet? Dit is toch ondertussen de verwachte standaard functionaliteit van elke password manager?

Admin-edit:

Bedankt voor je feedback. Commentaar voor de redactie hoort echter thuis in Geachte Redactie. Hier staat het de inhoudelijke discussie niet in de weg en kan de redactie het eenvoudig terugvinden.

[Reactie gewijzigd door Bor op 22 juli 2024 21:59]

[Polderviking]

Alleen voor Unlimited (en Zakelijk/Family) abonnee's zo te zien, wat wel een beetje sneu is voor iedereen met een mailplus pakket.