Bug maakt wachtwoordoptie onzichtbaar op lockscreen Windows 11

Een bug maakt bij sommige gebruikers van Windows 11 de optie om een wachtwoord in te voeren onzichtbaar op het lockscreen. De knop is nog wel klikbaar; gebruikers moeten volgens Microsoft maar gokken waar die is en daarop klikken.

Dit icoon is zoek.

Als gebruikers hoveren over de optie, komt er een balk tevoorschijn en is die klikbaar, schrijft Windows Latest. De bug bestaat minimaal sinds augustus en is er nog steeds met de nieuwste patches. De optie voor een wachtwoord is er voor gebruikers die dat prefereren of bijvoorbeeld hun pincode om in te loggen vergeten zijn. Dan volstaat ook het wachtwoord van het gekoppelde Microsoft-account, als gebruikers hebben ingesteld dat het kan.

Het inloggen met wachtwoord kan wel, zo zegt Microsoft. Het proberen te hoveren over de onzichtbare knop is vooralsnog de enige manier om de knop in te drukken. Het is onbekend wanneer Microsoft de bug fikst. Omdat het gaat om een methode die niet veel mensen gebruiken om in te loggen in Windows, treft het vermoedelijk relatief weinig mensen. Over de oorzaak van het verdwijnen van de knop is niets bekend.

Reacties (141)

[Xbeek]

Kan iemand mij uitleggen waarom MS die pin zo erg aan het pushen is?

Ik wil wel biometrisch inloggen, of met wachtwoord: ik wil geen pin!

Waarom “mag dat bijna niet” van MS?

[latka]

Pin is veiliger: keyloggers kunnen er niets mee want het werkt alleen lokaal en je netwerk wachtwoord zit in de Windows keystore die je unlocked met de pin. Als je de pin zelf alleen hebt kun je echter niet op het netwerk inloggen dus een keylogger heeft er niets aan. Dat is de theorie zoals ik die begreep althans. Biometrisch is in dat opzicht vergelijkbaar met pin, maar als er dan iets gelogged wordt is het je vingerafdruk (die ik liever niet del, maar dat terzijde).

[Bor]

De reden waarom MS een PIN vereist bij gebruik van biometrie is omdat het een fallback is voor wanneer de biometrie niet werkt. Omdat een PIN een (device bound) kennisfactor is kent het nog steeds nadelen die een wachtwoord ook kent; soms makkelijk te raden, eenvoudig af te kijken etc.

[supersnathan94]

Maar in thuissituaties (dus geen bedrijfstenant met SSO) is het wachtwoord al een prima fallback en is een pin significant onveiliger dan een wachtwoord. Een 6 cijferige code is gewoon een compromis t.o.v zelfs een medium gekozen wachtwoord.

Zelfs een 4 character letters+cijfers wachtwoord is al sterker, en doe er symbolen bij en je hebt met 4 characters een significant hogere entropie. Ongeveer ~77x sterker

Omdat een PIN een (device bound) kennisfactor is kent het nog steeds nadelen die een wachtwoord ook kent; soms makkelijk te raden, eenvoudig af te kijken etc.

Nouja, ik durf wel te stellen dat een pin significant makkelijker af te kijken is, vooral omdat ook mensen die blind kunnen typen de pin vaak met 1 vinger intypen, maar 6 cijfers is significant makkelijker te onthouden.

Voor enterprise begrijp ik het en vind ik het ook een goed idee om dus dat wachtwoord voor online diensten af te schermen bij log in, maar ook dan heb ik er wel mijn vraagtekens bij of het echt veiliger is gezien het feit dat die laptop waarschijnlijk al via SSO is ingelogd op alles en je dus ook geen wachtwoord en 2FA meer nodig hebt voor ieder klein dingetje.

Bij vorige klant was dat in ieder geval wel de reden waarom ze geen windows hello konden activeren. 6number pin was niet secure genoeg voor het device.

[Bor]

Maar in thuissituaties (dus geen bedrijfstenant met SSO) is het wachtwoord al een prima fallback en is een pin significant onveiliger dan een wachtwoord.

Dat klopt niet om het simpele feit dat je met een wachtwoord, wanneer eenmaal in je bezit, overal kan inloggen op het account en de PIN is device gebonden. Dat werkt alleen op het device waar het is aangemaakt. Device bound is hier het code woord. Wat je zegt is niet per definitie waar. Je vergelijkt eigenlijk appels met peren omdat je het grote verschil tussen device bound en niet device bound gemakshalve niet meeneemt.

Bij vorige klant was dat in ieder geval wel de reden waarom ze geen windows hello konden activeren. 6number pin was niet secure genoeg voor het device.

In een zakelijke omgeving gebruik je Windows Hello for Business waarbij je gewoon PIN requirements kan afdwingen: Minimum PIN length

Min 4, max 127 lengte. Wil je meer eisen; ook dat kan, dan gooi je letters, speciale tekens etc in de mix: Windows Hello for Business policy settings

, maar ook dan heb ik er wel mijn vraagtekens bij of het echt veiliger is gezien het feit dat die laptop waarschijnlijk al via SSO is ingelogd op alles en je dus ook geen wachtwoord en 2FA meer nodig hebt voor ieder klein dingetje.

Een laptop logged doorgaans niet met SSO in. Je gebruikt SSO samen met sterke autheticatie van de user.

[Reactie gewijzigd door Bor op 30 november 2025 23:35]

[supersnathan94]

Ho, het gaat hier echt om een fallback ten opzichte van biometrics. Je primaire, device-bound oplossing kan gewoon fingerprint, gezichtsherkenning of iets in die hoek te zijn.

Waarom zou het volgens jou (voor thuisgebruik) zoveel uit maken? Ik heb in een gesprek met mijn klant zeer overtuigende argumenten gekregen om het niet te doen.

Voor alles wat “online” is, moet je bovendien echt MFA forceren. Die PIN is vooral een workaround omdat Windows-login zelf geen fatsoenlijke ingebouwde MFA heeft en passwordless pas een recent dingetje is.

Heb je de PIN, dan kun je het device op, en op een doorsnee bedrijfslaptop is de kans groot dat je daarna zonder enige extra drempel zo doorloopt naar dingen als SharePoint, intranet en andere systemen met gevoelige informatie. Voor beheertaken zit daar gelukkig vaak nog een extra MFA-laag boven, juist omdat een code of wachtwoord op zichzelf helemaal niet veilig genoeg is, maar dit is ook pas recent iets wat Microsoft echt forceert. Daarvoor kon het ook prima zonder.

Belangrijk onderscheid:

• Heb je de PIN, dan kun je met dat device werken zonder het wachtwoord te weten.
• Heb je het wachtwoord, dan kun je in principe alles in die Windows-omgeving, en is die PIN irrelevant.
  
  In beide gevallen geldt: heb je goede MFA, dan heb je tegen beide een extra barrière.

Daar komt bij dat een wachtwoord afkijken (zelfs met slow-motion video) aanzienlijk lastiger is dan een simpele cijfercode. Een PIN is nu eenmaal veel makkelijker te “shoulder surfen”.

Mijn klant had daarom uitgebreide documentatie waarom dit in de praktijk helemaal niet zo’n goed idee is: je eindigt met het worst of both worlds-scenario.

• De PIN is veel makkelijker te stelen.
• Het wachtwoord wordt vaak hergebruikt voor andere diensten.

Heb je fysieke toegang tot het device, dan maakt het onderscheid nauwelijks meer uit. Die PIN geeft je indirect toegang tot het echte wachtwoord via SSO en sessies.

Standaard heeft Windows bovendien credential caching: zelfs op een uitgelogde machine staat de credential nog (gehashed) in het geheugen of op schijf, en kun je die met tools als Mimikatz uitlezen. Dat kan leiden tot:

• een pass-the-hash-aanval (zonder het wachtwoord ooit te hoeven kraken);
• of het offline bruteforcen van de hash om het wachtwoord alsnog te achterhalen.

Beide oplossingen hebben MFA en Full Disk Encryption nodig om echt veilig te zijn. Microsoft presenteert 6 cijfers als “veiliger”, maar zodra je kijkt naar forensische tools, zie je dat ze het juist triviaal maken om via die constructie alsnog het echte wachtwoord te achterhalen:

quote: https://support.passware....Acquired-Windows-Registry

Password recovery for Windows hashes is a brute-force process, which can be accelerated with GPU and distributed computing. An average speed on a single NVIDIA 2080ti is 19 billion passwords per second. Passware Rainbow Tables for Windows can also be used to decrypt the hashes and recover the passwords.

Windows systems starting from Windows 8 can be protected with PIN and Picture password in addition to the regular user password (Windows Hello options). In fact, these additional sign-in options undermine Windows security and allow instant recovery of the user password. Here’s what Passware Kit can do to recover user passwords depending on the sign-in options.

NOTE: For Windows 10 and 11, in case a PIN needs to be recovered, Passware Kit first detects whether it is fully numerical (default settings) or not. If the PIN contains numbers only, Passware Kit automatically recovers it with the predefined settings. If the PIN is a combination of letters and numbers, Passware Kit asks a user to customize the brute-force settings.

En precies dit is de reden dat Microsoft nu drive encryption standaard aan zet bij OEM machines waar een nieuw Microsoft account op wordt gemaakt. Die groep is alleen behoorlijk klein. Zelfbouw valt er sowieso niet onder. En dan nog, als je de pincode hebt kun je er wel bij.

Zelfs passwordless sign in is niet safe voor forensics (want je kunt om "god knows why" een account conversie afdwingen naar local) met speciale recovery software yay.

Als men dus wil dan komt men er wel in en dan maakt de pincode het alleen maar makkelijker. De enige opties die daadwerkelijk werken en iets toevoegen zijn MFA en disk encryption. Alle andere dingen maken de overall security niet noodzakelijkerwijs beter.

Voor bedrijven is het een afweging of ze een gestolen device en account snel genoeg kunnen blocken om de impact te minimaliseren, maar dat kan voor thuisgebruikers niet per se. Microsoft is hard aan de weg aan het timmeren, maar voor de volledige suite zijn er nog wel serieuze implementaties nodig om dit echt goed waterdicht te krijgen. voor de gemiddelde gebruiker zal het allemaal wel los lopen, maar Microsoft zou er beter aan doen om gewoon MFA te vereisen op ieder account of passwordless de default te maken waar het kan.

De pin is vooral convenience.

[Bor]

Mijn klant had daarom uitgebreide documentatie waarom dit in de praktijk helemaal niet zo’n goed idee is: je eindigt met het worst of both worlds-scenario.

Enlighten us en de rest van de corporate wereld. Ik ben benieuwd.

Voor alles wat “online” is, moet je bovendien echt MFA forceren.

Dat klopt, niemand stelt dat dit niet zo is toch?

Daar komt bij dat een wachtwoord afkijken (zelfs met slow-motion video) aanzienlijk lastiger is dan een simpele cijfercode. Een PIN is nu eenmaal veel makkelijker te “shoulder surfen”.

Dat hangt helemaal van de eisen af die aan de pincode worden gesteld. Dat heb je in een zakelijke omgeving helemaal zelf onder controle zoals ik in mijn eerdere post al getoond heb. Je kan de eisen net zo sterk maken als het doorsnede wachtwoord. De pin is dan nog steeds devicebound, het doorsnede wachtwoord niet.

Belangrijk onderscheid:

Heb je de PIN, dan kun je met dat device werken zonder het wachtwoord te weten.
Heb je het wachtwoord, dan kun je in principe alles in die Windows-omgeving, en is die PIN irrelevant.

Heb je de pin, dan kan je iets op dat device
Heb je het wachtwoord van het account dan heb je mogelijk toegang vanaf elke locatie op de wereld. Het wachtwoord is niet device bound.

...zie je dat ze het juist triviaal maken om via die constructie alsnog het echte wachtwoord te achterhalen:

Het stuk dat je quote geeft aan dat je bruteforce aan de gang moet en dat pas wanneer je toegang hebt gehad tot de registery. Dat heb je doorgaans wanneer je toegang tot het systeem hebt. Dat is niet triviaal lijkt mij?

[q]Beide oplossingen hebben MFA en Full Disk Encryption nodig om echt veilig te zijn. [q]

Wederom, niemand zegt dat dit niet zo is toch? Je haalt er van alles bij maar we hebben het hier puur over het verschil tussen een wachtwoord en device bound pincode (als fallback voor biometrie in veel gevallen dus dan valt er niets te shoulder surfen).

[Reactie gewijzigd door Bor op 30 november 2025 18:31]

[supersnathan94]

Ik was net bezig met een serieuze reactie hierop en best al een heel eind onderweg om je het volledige scenario uitgewerkt te laten zien en toen boem, PC uit. briljant. Weer twee uur weg door windows 11 die crashed.

hier wat ik nog open had staan op m'n mac, morgen edit ik het wel even met dat andere spul erbij in, want moet je eerlijk zeggen dat ik daar nu echt geen zin meer in heb door bovenstaande.

Het wachtwoord is niet device bound.

Doesn't matter if there's only 1 device. plus je kunt daarna het wachtwoord én account gewoon in windows vault uitlezen met de pincode.

Enlighten us en de rest van de corporate wereld. Ik ben benieuwd.

ik heb je hierboven zat dingen gegeven om mee aan de slag te gaan met een security specialist van die corporates. Mijn klanten doen dat ook en die komen dus met dit soort dingen aan.

Je haalt er van alles bij maar we hebben het hier puur over het verschil tussen een wachtwoord en device bound pincode (als fallback voor biometrie in veel gevallen dus dan valt er niets te shoulder surfen).

Ja omdat die zaken randvoorwaardelijk zijn om daadwerkelijk die pincode goed te kunnen laten werken. Heb je die dingen niet dan verzwak je gewoon de volledige beveiliging van je systeem, ook van je account met het wachtwoord. Weet je de pin, dan is het achterhalen van het wachtwoord namelijk triviaal. Daarmee heb je dus met een pincode je volledige beveiliging verzwakt. Dan kun je een 64 karakter alfanumeriek password met symbolen hebben ingesteld, het hoeft niet meer "geraden" te worden, je kunt het zo uitlezen.

Je krijgt toegang tot tokens, hashes en SSO-sessies waarmee je óf direct verder het netwerk in kunt, óf uiteindelijk alsnog het echte wachtwoord kunt achterhalen of resetten.

Dat klopt, niemand stelt dat dit niet zo is toch?

Maar by default is dit niet het geval (thuisgebruikers) MS dwingt dit niet af, sterker nog. Bij Setup van windows 11 wordt dit volgens mij niet eens aangeboden als optie, want win11 ondersteund het überhaupt niet.

[Bor]

Doesn't matter if there's only 1 device.

Natuurlijk wel. De pincode werkt immers niet op een ander device in tegenstelling tot het wachtwoord. Je hebt dus toegang tot dat specifieke device nodig en dat is een groot verschil (ofwel een big difference als het opeens in het engels moet).

ik heb je hierboven zat dingen gegeven om mee aan de slag te gaan met een security specialist van die corporates. Mijn klanten doen dat ook en die komen dus met dit soort dingen aan.

Dit is een semi "doe je eigen onderzoek" en totaal geen antwoord. Wie stelt bewijst immers?

Ja omdat die zaken randvoorwaardelijk zijn om daadwerkelijk die pincode goed te kunnen laten werken.

Het zijn randvoorwaarden om je systeem veilig te houden die minstens zo veel van toepassing zijn (en wellicht nog meer) bij het gebruik van wachtwoorden.

Weet je de pin, dan is het achterhalen van het wachtwoord namelijk triviaal.

Ik zie graag objectieve onderbouwing. Heb je dit wel eens geprobeerd? Wat is de bron die zegt dat dit triviaal is? Daarnaast, welk wachtwoord in sommige omgevingen. Succes met het vinden van mijn wachtwoord.

[Reactie gewijzigd door Bor op 30 november 2025 23:41]

[supersnathan94]

Je hebt dus toegang tot het device nodig en dat is een groot verschil

Dat is de premise van het hele verhaal, want je weet ook niet @ random het gebruiksaccount van een willekeurig persoon. Hoe ga je daar achter komen dan?

Dit is een semi "doe je eigen onderzoek" en totaal geen antwoord. Wie stelt bewijst immers?

Nee helemaal niet, maar ik verwacht dat als ik je bronnen geeft dat je ze dan ook daadwerkelijk even bekijkt. Staat letterlijk het hele proces uitgeschreven, dat ga ik hier niet volledig nog een keer doen. De highlight dat het security slechter maakt staat gewoon gequote toch?

Het zijn randvoorwaarden om je systeem veilig te houden die minstens zo veel van toepassing zijn (en wellicht nog meer) bij het gebruik van wachtwoorden.

Ja dat is exact het punt. De code maakt dat niet minder noodzakelijk. MFA dekt alleen wel het scenario af dat je gebruikersnaam en wachtwoord weet terwijl pincode je ook gewoon toegang geeft tot tokens en sessies die in je browser nog actief zijn bijvoorbeeld.

Ik zie graag objectieve onderbouwing. Heb je dit wel eens geprobeerd?

Ja drie seconden geleden. Je weet wat de standaard password managers (zoals die van chrome) tegenwoordig vereisen? De native windows integratie voor authenticaite en dan wordt er dus om een pincode gevraagd. Dan even zoeken op "outlook.com" et voilà. 3 tellen werk.

Succes met het vinden van mijn wachtwoord.

ik verwacht dat jij ook wel iets meer hebt gedaan dan de gemiddelde windows home gebruiker, maar dan nog kan ik de NTLM en SHA1 hash binnen drie tellen uit een LSASS dump trekken met een simpele python package. Net nog mee zitten pielen voordat mijn PC crashte. Dat was ik dus verder op aan het schrijven.

Pass the Hash Attack | Netwrix geeft een keurige uitleg hoe je daar dan verder mee kunt gaan en als je hier (Forcing WDigest to Store Credentials in Plaintext | Red Team Notes) even kijkt zie je ook hoe je met toegang en admin access (wat je meestal gewoon hebt op zo'n home install) ook gewoon plain text acces af kunt dwingen.

Device toegang met pincode is echt voldoende. Daarom zat ik hier achter de PC want die heeft dat helaas ook. Maar een eigen windows laptop zou ik absoluut nooit in publieke ruimte met pincode unlocken.

[Bor]

Dat is de premise van het hele verhaal, want je weet ook niet @ random het gebruiksaccount van een willekeurig persoon. Hoe ga je daar achter komen dan?

Dat is relatief eenvoudig. Doorgaans wordt niet alleen het password gelekt of gephished maar de hele credential set, dus username en password.

De highlight dat het security slechter maakt staat gewoon gequote toch?

Nee?

MFA dekt alleen wel het scenario af

Ware het niet dat veel MFA oplossingen helemaal niet phishing resistent zijn en op zich daarmee onvoldoende veilig. Ook bij gebruik van een pincode wil je overigens voor diensten nog steeds MFA gebruiken.

Ja drie seconden geleden. Je weet wat de standaard password managers (zoals die van chrome) tegenwoordig vereisen? De native windows integratie voor authenticaite en dan wordt er dus om een pincode gevraagd. Dan even zoeken op "outlook.com" et voilà. 3 tellen werk.

Je verschuift steeds de doelpalen en er komt steeds meer bij.Nu gaat het ineens over een password manager die credentials opslaat. Ja logisch, dat is het hele doel van de password manager.

Device toegang met pincode is echt voldoende.

En dan nog heb je het device nodig in tegenstelling tot een wachtwoord. Het verschil is duidelijk toch? De pincode kan je net zo sterk maken als je wachtwoord.

[Bor]

Ho, het gaat hier echt om een fallback ten opzichte van biometrics. Je primaire, device-bound oplossing kan gewoon fingerprint, gezichtsherkenning of iets in die hoek te zijn.

Dat kan inderdaad. Je kan de PIN ook zonder biometrics gebruiken. Niemand spreekt dit tegen toch? Wanneer je een biometrische herkenning toevoegd aan Windows Hello for Business is de pincode verplicht als fallback. Gebruik van een PIN is ook mogelijk zonder biometrie.

[Reactie gewijzigd door Bor op 30 november 2025 19:47]

[comecme]

Het nadeel van een pin die lang moet zijn en ook letters mag/moet bevatten is dat gebruikers er dan vaak voor kiezen om als pin hun wachtwoord in te stellen. En dat maakt natuurlijk het gebruik van pin zinloos.

Is niet in te stellen dat de pin niet gelijk kan zijn aan het echte wachtwoord?

[Bor]

Nee die optie is er helaas niet. Niet alles kan je even eenvoudig in techniek afvangen. Je zal ook wat aan het instrueren van je gebruikers moeten doen (training & awareness). Doe je dat niet dat gaan mensen bv ook snel hun pincode hergebruiken op andere devices en websites met alle risico's van dien.

[supersnathan94]

Nee die optie is er helaas niet. Niet alles kan je even eenvoudig in techniek afvangen.

Dit lijkt mij juist een triviaal geval om wel in software af te vangen. Device weet het wachtwoord al en heeft dit plain text voor handen, zeker op dat moment in het proces, want om een pincode in te stellen of aan te passen moet je wel met Wachtwoord authenticeren. Dus dit zou toch juist wel gewoon in software te regelen moeten zijn?


Training en awareness zijn zeer belangrijk dat ben ik met je eens.

[Bor]

Het device heeft het wachtwoord plaintext voor handen? Zou je dat willen onderbouwen met een objectieve bron? Natuurlijk slaat het systeem het wachtwoord niet plain text op. Dat zou wel heel erg dom zijn en tegen alle best (security) practices in.

[supersnathan94]

Zou je dat willen onderbouwen met een objectieve bron?

Hoeveel wil je er hebben? Niet zo moeilijk. Om een pincode in te stellen of te kunnen wijzigen moet je eerst je wachtwoord invoeren. Dat nooit anders geweest. Om secundaire opties te wijzigen moet je altijd met een primaire manier inloggen.

quote: https://petri.com/windows...of-a-password-to-sign-in/

Add a PIN

If you didn’t set up a PIN when installing Windows 10, here’s how to add a PIN to the device:

• Select Settings from the Start menu.
• Select Accounts in the Settings app.
• On the ACCOUNTS page, select Sign-in options from the options on the left.
• Click Add below PIN.
• Verify your Microsoft account password and click OK.
• Now enter a PIN for the device and click Finish.

^ uit 2015

quote: https://support.lenovo.com/bg/en/solutions/ht504515

2. To set up a PIN, log in to Windows 10 with a Microsoft Account and add the PIN to your MSA profile. Enter the password in the provided field and then select Sign In.

quote: https://aag-it.com/how-to...word-to-a-pin-on-windows/

Verify Your Identity: Before you can add a PIN, Windows will ask you to verify your identity. This usually means entering your current password. Type in your password and click “OK” or “Next.”

[Bor]

De vraag is om dit te onderbouwen:

Device weet het wachtwoord al en heeft dit plain text voor handen

Jij stelt dat een Windows device het wachtwoord plain text voorhanden heeft. De links die je geeft stellen alleen dat je je wachtwoord moet invoeren. Dat wordt niet plain text opgeslagen.

Het enige moment dat een wachtwoord bekend is, is wanneer de user dit invoert. Of bedoelde je dat? Gezien je mede stelt "zeker op dat moment in het proces" lijk je te insinueren dat dit ook buiten dit proces zo is.

[Reactie gewijzigd door Bor op 30 november 2025 21:00]

[supersnathan94]

Het enige moment dat een wachtwoord bekend is, is wanneer de user dit invoert.

Ja en dat is dus ongeveer 0,2 seconden voordat je een pin in moet voeren.

Gezien je mede stelt "zeker op dat moment in het proces" lijk je te insinueren dat dit ook buiten dit proces zo is.

Nee dat is juist exact niet wat ik insinueer.

Jij stelt dat een Windows device het wachtwoord plain text voorhanden heeft.

... op dat moment in het proces waar je dus een pincode in zou kunnen stellen die hetzelfde is als je wachtwoord. Daar zit een fractie van een minuut tussen.

Overigens zouden ze daarna ook gewoon hashes kunnen vergelijken waardoor plain text houden niet eens noodzakelijk meer is.

[supersnathan94]

[...]
Een laptop logged doorgaans niet met SSO in. Je gebruikt SSO samen met sterke autheticatie van de user.

Oke dit had ik duidelijker op moeten schrijven, wat ik bedoel is dat de laptop vaak alle tokens en credentials voor SSO al in het geheugen heeft staan en dat als je de device pin hebt je niet ook nog het wachtwoord hoeft te hebben om bij bedrijfsgegevens en systemen te kunnen komen. In bedrijfssettings is het dus de vraag voor afdeling security of je dat al moet willen. SAML authenticatie doe je vaak eenmalig op de dag bij de eerste service die je wil gebruiken en dan door de dag veelal niet meer. Dus totdat de laptop als gestolen is gemarkeerd hebben mensen met de PIN feitelijk gewoon toegang tot je interne systemen. Hoeven ze het wachtwoord niet voor te weten.

Het daadwerkelijke accountwachtwoord is in de meeste organisaties niet relevant. Al was het alleen al maar omdat MFA je er toch niet in laat. De PIN omzeilt dat allemaal. En die lekt juist in het publieke domein sneller door dingen als shoulder surfing, hoeft niet eens bewust te zijn.

[Bor]

Een PIN lekt niet noodzakelijkerwijs sneller. Ik heb al getoond dat je de requirements voor de PIN gewoon zelf kan bepalen. Daarbij, nogmaals; die PIN werkt alleen op het betreffende apparaat. Je moet daar dus toegang toe hebben in tegenstelling tot een standaard wachtwoord. Dat werkt overal. MFA vereisen is sowieso slim en best practice natuurlijk. Wachtwoorden worden gephished. Om diverse MFA oplossingen is ook heen te werken helaas. Het voordeel van de devcie bound PIN blijft overeind.

Je haalt er van alles bij wat imho niet helemaal relevant is wanneer je puur een vergelijking maakt tussen een device bound PIN en een (overal bruikbaar) wachtwoord. Zaken als disk encryptie etc zijn aanvullende controls.

Het daadwerkelijke accountwachtwoord is in de meeste organisaties niet relevant. Al was het alleen al maar omdat MFA je er toch niet in laat.

Het is min of meer de helft van je authenticatieslag wanneer je op basis van username password + MFA inlogged. Naturlijk is dat relevant, waarom heb je hem anders en houd je hem geheim?

[Reactie gewijzigd door Bor op 30 november 2025 19:44]

[supersnathan94]

Ik heb al getoond dat je de requirements voor de PIN gewoon zelf kan bepalen

Nou ik wil wel even eerlijk tegen je zijn. Ik heb je eigenlijk nog niks zien tonen. ik heb je wel dingen zien beweren, maar direct gestaafd met daadwerkelijke documenten.

Ik zie dat je in een edit nu wel wat documenten heb toegevoegd, maar die link had ik niet gezien toen ik dit vorige bericht typte op mijn telefoon. Ik ga er eens naar kijken.

[Reactie gewijzigd door supersnathan94 op 30 november 2025 20:24]

[mjl]

Alleen een wachtwoord is niet genoeg, je hebt ook nog MFA. Als fallback is dus wachtwoord met MFA respons ook prima wat dat betreft, mensen onnodig veel extra pincodes/wachtwoorden laten onthouden of managen is ook niet gewenst aangezien men dan weer makkelijk raadbare codes of wachtwoorden gebruikt of hergebruikt..

[Bor]

Als fallback is een wachtwoord met MFA response niet vergelijkbaar simnpelweg omdat het niet device bound is zoals de pincode wel is net als je biometrics onder Windows Hello for Business.

[mjl]

Alsnog kan je het gebruiken als fallback als biometrisch niet werkt, dus zonder pin zou gewoon moeten kunnen.

[Bor]

Nee dat kan niet want een device bound PIN is simpelweg vereist wanneer je een biometrische herkenning toevoegt. Dat is onder Windows op hoofdlijn niet anders dan bv op een mobiel.

[mjl]

Dat het niet kan is duidelijk maar er staat Microsoft niks in de weg om het anders te doen. Biometrisch is veiliger dan PIN en bij het falen van je biometrische login kan je als of met je password weer inloggen. Nou gaat een biometrische login vaak gewoon goed, dus vaak zul je het niet nodig hebben.

[Bor]

De beveiliging staat Microsoft in de weg. Je wilt iets wat device bound is idealiter niet vervangen met iets wat dat niet is. Je hebt op die manier altijd een mogelijkheid tot een downgrade attack. Je bent zo lang je een minder gebonden of veiliger alternatief toestaat altijd kwetsbaar voor de minst veilige methode.

[mjl]

Als ze dat willen moeten ze inloggen met password helemaal afschaffen. En het kan best zijn dat een device bound authenticatie bepaalde risico’s afdekt zoals cross domain hopping, maar je legt de gebruiker ook weer extra pincode en password stress op wat hergebruik van pincodes en passwords weer in de hand werkt, dus of het in de praktijk voor de gemiddelde Windows thuisgebruiker nou zoveel veiliger is ….

en ja, awareness is een middel om het gedrag te verbeteren, en dat werkt tot op zekere hoogte binnen bijvoorbeeld een corporate omgeving wel, maar je hebt gewoon met mensen te maken die op een gegeven moment gewoon de weg van de minste weerstand kiezen.

[Bor]

Als ze dat willen moeten ze inloggen met password helemaal afschaffen.

Dat is dan ook waar de security wereld inclusief Microsoft zich naar toe beweegt; passwordless authenticatie. Wachtwoorden zijn achterhaald, onveilig, vereisen allemaal aanvullende maatregelen, zijn eigenlijk niet goed te beheren

[mjl]

Daar is men inderdaad al een tijdje mee bezig, het concept is echter voor de gemiddelde gebruiker erg ongrijpbaar en men is vooral bang om controle over hun ‘secreta’ kwijt te raken, passwords en MFA is vertrouwd tenslotte.

uiteindelijk is de technologie er wel klaar voor maar vooral de mens (die moet het gaan doen) zelf en de processen (vooral hoe systemen nu zijn ingericht en de gedragsregels moeten worden aangepast) zijn nog niet zover :)

[supersnathan94]

ja, nou, maar.

"Passwordless" bij MS voor thuisgebruikers is niet iets zoals Passkeys en scanning met je telefoon of MFA app, maar alleen windows hello zonder mogelijkheid om met je MS account wachtwoord in te loggen.

Als je maar 1 device hebt is het vervangen van een complex wachtwoord door een 6-cijferige pin echt niet een verbetering van de beveiliging.

quote: https://support.microsoft...95-4878-aeac-a014984df856

The next time you sign in to your device, you won't have the option to use your password. Only the Windows Hello face, fingerprint, or PIN gestures will be available.

heel eerlijk. Het lijkt er op dat dit bijvoorbeeld security keys ook uitsluit.

Under Additional settings, turn on the option For improved security, only allow Windows Hello sign-in for Microsoft accounts on this device

Security keys is géén windows Hello optie.

Wat mij betreft is dit dus niet per se een verbetering.

[supersnathan94]

Als fallback is een wachtwoord met MFA response niet vergelijkbaar simnpelweg omdat het niet device bound

Waarom? In mijn optiek maakt dit het alleen maar een betere fallback. Je fingerprintscanner of Face recognition hebben net een aantal keer niet kunnen aantonen dat jij het daadwerkelijk bent die probeert in te loggen. De juist manier om dan te verifieren dat jij ook daadwerkelijk diegene bent om is om dan een step-up authenticatie af te dwingen. Óok onder WHfB.

Bij device toegang de slechtste optie verkiezen als fallback lijkt mij absoluut niet slim.

Heb je ergens iets van documentatie of instructies die aangeven waarom dit nu per se beter is anders dan "Microsoft zegt dit".

Een 6-cijferige PIN die afgekeken wordt is volledig compromitterend voor dat device.

Een wachtwoord dat je als fallback gebruikt + MFA vereist twee factoren, waarvan één nooit reproduceerbaar is door een aanvaller.

Het punt van fallback is juist dat je een zwaardere, niet een lichtere of gelijkwaardige verificatie uitvoert. Biometrie faalt omdat Windows je identiteit niet met voldoende zekerheid kan bevestigen. Dan wil je geen 6-cijferige PIN, dat is een verzwakking van de assurance, maar juist een full authentication flow zoals wachtwoord + MFA. Dat geldt óók onder WHfB. Fallback staat los van device-bound logic, het gaat dan om identity assurance, niet device trust. Een wachtwoord+MFA is in zo’n scenario aanzienlijk sterker dan een simpele local PIN, en dus een betere fallback.

Zeker gezien de pincode ook toegang geeft tot de passwordmanagers van Edge, Chrome en andere browsers, maar ook serieuze passwordmanagers zoals LastPass en BitWarden. Die pincode ontsluit direct alle credentials on device (want lekker convenient met fingerprintreader).

Dus echt oprecht, leg het me uit. Het enige wat ik hier van jou tegenkom, op reddit, Internetblogs hiervoer is alleen, "want Microsoft". Zelfs microsoft zit in zijn eigen documentatie in een cirkeltje te redeneren, het is bijna beschamend.

A PIN is tied to a device: one important difference between an online password and a Hello PIN is that the PIN is tied to the specific device on which it's set up. That PIN is useless to anyone without that specific hardware. Someone who obtains your online password can sign in to your account from anywhere, but if they obtain your PIN, they'd have to access your device too. The PIN can't be used anywhere except on that specific device.

Dat is een wachtwoord óók als je MFA hebt ingeschakeld, dan heb je ook een telefoon nodig (met nog weer eigen credentials) én een gebruikersnaam.

Ik snap werkelijk waar niet hoe MS er bij komt dat een pincode die het hele apparaat daarna blootlegt (want alles hang ineens aan die code) als fallback acceptabeler is, als het alternatief (full log-in met MFA) minimaal 4 dingen nodig heeft,

• Gebruikersnaam
• sterk wachtwoord, want niet 6 cijfers
• extern apparaat
• wachtwoord voor extern apparaat

Gebruik dan passkeys als je daadwerkelijk naar passwordless wil voor home users.

[YoMarK]

Even terug naar de praktijk: het is een afweging tussen security en e.e.a. praktisch houden.
Daarnaast, als je thuis laptop gejat wordt, dan kom je er als er een pincode is ingesteld niet in. De boel gaat bij foute pogingen op vergrendelen.
Die pincode is niet de zwakste schakel als het gaat over toegang tot de data op de schijf.
Verder heeft het full-blowm MFA (naast dat het erg onhandig is) ook nadelen: je hebt netwerk/internet nodig. Vervelend als je pc issues heeft.

[supersnathan94]

Daarnaast, als je thuis laptop gejat wordt, dan kom je er als er een pincode is ingesteld niet in.

Ook niet als er een wachtwoord op staat.

De boel gaat bij foute pogingen op vergrendelen.

Altijd al zo geweest, ook zonder TPM kan dat gewoon. Minder effectief dat klopt, maar zonder device encryption maakt het toch niet uit.

Verder heeft het full-blowm MFA (naast dat het erg onhandig is) ook nadelen: je hebt netwerk/internet nodig. Vervelend als je pc issues heeft.

Nee hoor. Kan gewoon offline.

Die pincode is niet de zwakste schakel als het gaat over toegang tot de data op de schijf.

Als device encryptie niet is ingeschakeld niet nee.

[YoMarK]

"Offline" in b.v. de vorm van b.v. TOTP daar kan je security technisch gezien ook van alles van vinden.
Ik gebruik dat zelf ook voor sommige diensten, maar je TOTP code(seed) is te kopiëren, dupliceren zonder dat de uitgever danwel de user daar ooit achter komt.

Wat betreft device encryptie, wachtwoorden, pincodes, etc., dit is hoe het platgeslagen werkt:
1) Geen device encryptie: het doet er allemaal totaal niet toe, data van device is er simpel vanaf te vissen.
2) Wel device encrytie: met pincode beveiliging ga je er niet zomaar inkomen. Uiteindelijk ga je ook tegen een bitlocker prompt aankijken.

Username, wachtwoord en MFA bij iedere login(en ontgrendeling beeldscherm) gaat dit niet significant verbeteren en het zorgt wel voor frustratie waardoor users achterdeurtjes gaan bedenken (wachtwoorden op briefjes, etc..). Dat zou allemaal niet moeten, maar dit is wel de praktijk.

Verder: het gaat er echt niet over wat Microsoft zelf allemaal "vind" dat je moet doen. Conceptueel is met het bovenstaande echt niet zoveel mis.

[Reactie gewijzigd door YoMarK op 1 december 2025 11:32]

[Bor]

Waarom? In mijn optiek maakt dit het alleen maar een betere fallback.

Dat staat letterlijk in mijn tekst. Wanneer je een niet device bound optie aanbiedt als fallback haal je het hele device bound deel onderuit omdat je altijd kan downgraden naar iets waar je overal mee kan inloggen en waar je bv offline mee aan de gang kan gaan om te kraken (je eigen bronnen nog wel).

De juist manier om dan te verifieren dat jij ook daadwerkelijk diegene bent om is om dan een step-up authenticatie af te dwingen.

Ware het niet dat het geen step up is maar een downgrade op bepaalde vlakken.

Een wachtwoord dat je als fallback gebruikt + MFA vereist twee factoren, waarvan één nooit reproduceerbaar is door een aanvaller.

Dat hoeft ook niet, Daarom zijn er zaken als fatique attacks, social engineering en frameworks als evilginx en anderen.

Dus echt oprecht, leg het me uit. Het enige wat ik hier van jou tegenkom, op reddit, Internetblogs hiervoer is alleen, "want Microsoft". Zelfs microsoft zit in zijn eigen documentatie in een cirkeltje te redeneren, het is bijna beschamend.

Tja, dat is ook wat ik hier lees. Ik zie van jou ook geen andere bronnen dan quotes. Je blijft je eigen waarheid herhalen. Dat maakt het niet ineens een universele waarheid.

Gebruikersnaam
sterk wachtwoord, want niet 6 cijfers
extern apparaat
wachtwoord voor extern apparaat

De gebruikersnaam is eenvoudig te achterhalen, simpelweg het e-mail adres bij de meeste bedrijven (of het device toont simpelweg wie er het laatst ingelogged is).
Een sterk wachtwoord, want niet 8 cijfers; dan stel je de pin requirements anders in. Non argument
Extern apparaat, mogelijk makkelijker aan te komen dan het betreffende systyeem maar ok.
Wachtwoord van het extern apparaat; dat is helemaal geen gegeven, legio mensen gebruiken helemaal geen wachtwoord op het externe apparaat, diverse MFA oplossingen vereisen helemaal geen wachtwoord. Waar er een wachtwoord wordt gebruikt is dat in de meeste gevallen de PIN waar je zo tegen ageert.

[Reactie gewijzigd door Bor op 1 december 2025 08:15]

[Llopigat]

Zelfs een 4 character letters+cijfers wachtwoord is al sterker, en doe er symbolen bij en je hebt met 4 characters een significant hogere entropie. Ongeveer ~77x sterker

Dat is waar maar met die pin authentificeer je je tegen de TPM aan. Die limiteert het aantal pogingen. Dus je kan niet bruteforcen zoals je met een wachtwoord wel kan. Ook een image maken en steeds opnieuw proberen helpt niet want de TPM slaat het aantal pogingen op in hardware.

Het is inderdaad wel heel erg makkelijk af te kijken over de schouder ja. Ik had ook liever gezien dat je gewoon een wachtwoord in de TPM kon zetten dan zo'n pin (als optioneel alternatief). TPM's kunnen dat wel degelijk. Zelfs de meeste smartcards kunnen lange alfanumerieke PIN's aan. Maar die doen dat zelden omdat je die niet kan invoeren op een pinpad.

[supersnathan94]

Dus je kan niet bruteforcen zoals je met een wachtwoord wel kan.

Nee maar inloggen met password kan altijd. Ook als Pin enabled is.

Pasword kit forensic zegt het volgende:

User/LiveID password + PIN (on TPM): Brute-force user password recovery

Dus dat de PIN op TPM staat is dan leuk, maar bij device access negeer je dat dus gewoon in zijn geheel.

Dat is wat ik ook aangaf met worst of both worlds. Als je 1 van beiden hebt, heb je alles, maar de ene is makkelijk af te kijken, de andere is weer te bruteforcen. Heb je ze allebei dan heb je dus ook beide nadelen.

https://support.passware.com/hc/en-us/articles/360058211414-Extracting-Passwords-from-the-Acquired-Windows-Registry

Hier iets naar beneden scrollen en dan zie je de tabel. maar zitten dus wel voorwaarden aan.

[Bor]

Nee maar inloggen met password kan altijd. Ook als Pin enabled is.

Wanneer je uiteindelijk overgaat tot passwordless is er helemaal geen wachtwoord meer, ook niet als fallback. Die password recovery bruteforcen is bovendien helemaal niet zo simpel omdat die je ook gaat vertragen, net als de anti hammering techniek van de TPM chip.

[Reactie gewijzigd door Bor op 30 november 2025 19:27]

[supersnathan94]

Wanneer je uiteindelijk overgaat tot passwordless is er helemaal geen wachtwoord meer,

Nee en dat is wat mij betreft ook de beste optie. Dan heb je wel daadwerkelijk een veilige oplossing die ook nog redelijk makkelijk bruikbaar is.

Het enige nadeel is dan wel weer dat je mogelijk zelf ook niet meer in je device komt. Goede recovery herhaaldelijk afdwingen is dan ook wel belangrijk.

Die password recovery bruteforcen is bovendien helemaal niet zo simpel omdat die je ook gaat vertragen

Die bruteforce gebeurt niet on device. Dat is extern en dus zonder enige vorm van vertraging. Dat werkt bij personal accounts ook beter omdat daar kennelijk een ander algoritme voor wordt gebruikt.

offtopic:
Maar ik zou zweren dat ik dit een half uur geleden ook al getypt heb. ik mis een reactie hier.

edit:
nee toch niet, passwordless betekent bij microsoft dat je alleen nog maar windows hello kunt gebruiken, precies datgene wat dus niet per se veiliger is.

[Reactie gewijzigd door supersnathan94 op 30 november 2025 22:23]

[Bor]

Die bruteforce gebeurt niet on device.

Die password recovery is in ieder geval met een online account gewoon een online dienst. Daar valt niet zo veel offline aaan te brute forcen. Daarbij zijn de password recovery opties helemaal niet zo kort dat bruteforce triviaal is. Heb je dit wel eens gedaan?

[Reactie gewijzigd door Bor op 30 november 2025 20:39]

[Bor]

nee toch niet, passwordless betekent bij microsoft dat je alleen nog maar windows hello kunt gebruiken, precies datgene wat dus niet per se veiliger is.

Dit klopt niet. Passwordless betekent dat je zonder wachtwoord werkt. Windows Hello for Business kan je daar voor inzetten maar ook oplossingen als FIDO-2, passkeys (software matige implementatie van FIDO-2 etc).

[supersnathan94]

Maar bij niet business variant kan dat niet. security keys vallen dan niet onder windows hello. staat letterlijk op de website van MS.

Je gaat te vaak uit van de business opties. Voor thuisgebruikers zijn die vaak helemaal niet relevant en daardoor echt beduidend slechter.

Voor deze hele thread is business usage eigenlijk helemaal niet relevant.

[Llopigat]

Dat is waar ja. Daarom hou ik ook niet zo van pin's. Het is inderdaad vervelend als dat wordt opgedrongen bij biometrische login.

Het beste dat je dan kan doen is altijd je wachtwoord gebruiken. Dan is je pin niet af te kijken zelfs als je er een hebt. Al zou een wachtwoord in de TPM nog veel beter zijn.

Ik zag gisteren nog een dame die me wat wou laten zien op haar telefoon. Tikt ze haar pin in... "555555". Duh. Dan heeft het gebruik van 6 cijfers ook geen zin 🫩

Ik dacht dat Android dat soort pin's allang niet meer toestond.

[Reactie gewijzigd door Llopigat op 30 november 2025 20:50]

[Bor]

Dat hangt van de versie Android af. PIN complexity is helaas nog lang niet zo "default" als nodig. Zelfs een security oplossing als de Yubikey accepteert standaard "slechts" pincodes. Er zijn inmiddels versies met PIN complexity maar die zijn nog niet zo breed ingeburgerd.

[Reactie gewijzigd door Bor op 30 november 2025 20:40]

[frank-vh]

De pin is niet noodzakelijk alleen cijfers.

Je kan een pin maken met letters...

[supersnathan94]

En symbolen!

En daarmee is het geen pincode meer, maar een wachtwoord.

Dan kun je net zo goed het account wachtwoord gebruiken en dat in de TPM zetten.

“Device bound” is absoluut niet relevant voor een thuisgebruiker en niemand hier heeft met harde bewijzen aangetoond dat deze implementatie ook daadwerkelijk veiliger is. Zelfs MS niet.

device bound security met passkeys is absoluut veilig ja, maar dat is iets anders dan een PIN wat juist weer een convenience feature is. Een compromis tussen security en usability.

[johnbetonschaar]

Voor bedrijfssystemen waar het Windows wachtwoord nog voor andere dingen relevant is dan alleen om de Windows PC te unlocken zou een PIN een goed idee kunnen zijn, echter zelfs dan lijkt het me verstandiger om gewoon 2 aparte 'normale' wachtwoorden te gebruiken voor inloggen vs. de rest.

Voor thuis gebruikers is inloggen met PIN volgens mij gewoon een slecht idee omdat thuisgebruikers hun Windows password alleen maar gebruiken om het systeem te unlocken, en dat wordt op deze manier gereduceerd tot een code die veel makkelijker te raden of af te kijken is. Voor de gemiddelde thuisgebruiker die meerdere systemen gebruikt gok ik ook nog eens dat ze dezelfde pin code voor al hun systemen en misschien ook nog voor hun telefoon etc. gebruiken dus nog meer manieren om hem te misbruiken als je de code weet af te kijken.

Als ik ooit iets met mijn 'echte' Windows wachtwoord moet voor bijvoorbeeld Microsoft cloud meuk dan zit daar volgens mij verplicht al minimaal 1 laag 2-factor authorisatie overheen dus aan dat Windows wachtwoord zelf heb je volgens mij ook niet veel meer dan aan de Hello PIN

[Reactie gewijzigd door johnbetonschaar op 30 november 2025 15:41]

[GoBieN-Be]

Het veiligste voor gebruikers in een bedrijfsomgeving is om in te loggen op een Windows apparaat met je Entra UPN (of local AD UPN in Sync met Entra) en dan overal SSO gebruiken. Dan kan je de gebruikers aanleren dat ze nooit nergens hun account wachtwoord moeten invullen, alles werkt via SSO. En die 1 of 2 uitzonderingen documenteer je goed in een handleiding.

En aanmelden op het Windows apparaat kan met een device bound PIN of biometrie via Hello for Business.

[L3TUC3]

Voor gedeelde PCs met generieke accounts geven we het wachtwoord niet eens meer aan de gebruiker, we geven ze alleen de (random) PIN voor de PC en SSO doet de rest. De totp en wachtwoord staan in de password manager.

[mjl]

Er zwerft inderdaad ook nog aan dit wat legacy software rond die niet om kan gaan met het gebruik van PIN, dan moeten gebruikers een pin aanmaken maar kunnen die niet gebruiken. Maar dit wordt al wel een stuk minder.

[P_Tingen]

Nee, een PIN is helemaal niet veiliger. Integendeel zelfs. Op meerdere plekken en in meerdere apps is het nu mogelijk verplicht om met een pincode in te loggen. Als dat er 1 of 2 zijn is dat prima, maar inmiddels heb ik er meer dan tien. Het probleem is dat ik een pincode niet automatisch kan invullen met mijn ww-manager, dus wat doe ik dan? Precies, ik gebruik overal dezelfde pincode. Lekker veilig hoor!

Jaaaah, ik weet ook wel dat ik verschillende pincodes zou moeten gebruiken, maar omdat ik ze niet automatisch kan laten invullen, moet ik dus elke keer zelf mijn ww-manager opstarten, de site/app opzoeken en de pin onthouden. Nee, dát is lekker makkelijk. Doe me dan gewoon een 2FA code in laten voeren, dat gaat veel soepeler

[Oon]

Heel simpel: Je PIN werkt alleen voor je lokale account, en hoeft niet met de server te communiceren. Als je hetzelfde wachtwoord ook als PIN instelt zul je alsnog zien dat het sneller is, want het hoeft alleen maar een lokale check te doen.
Als je gezichtsherkenning of je vingerafdruk gebruikt moet alsnog Windows Hello aan staan, en dat systeem is waarschijnlijk gewoon zo gebouwd dat je PIN vereist is als fallback.

[sircampalot]

Je kunt bij PIN kiezen voor een langere pin met letters/cijfers/etc.
Op deze manier kan je je pin gelijk maken aan je wachtwoord.
Dit heeft als voordeel dat je je wachtwoord minder snel vergeet, je gebruikt deze immers regelmatig.

Er zullen veiligheidstechnisch vast wat haken en ogen aan deze methode zitten, dat is voor ieder een persoonlijke afweging.

[Reactie gewijzigd door sircampalot op 1 december 2025 08:19]

[Krommetenen]

Je kan het toch maken en nooit gebruiken (bio/ww ernaast)?

[Xerpan]

Bij PIN kun je ook een wachtwoord met tekst gebruiken ipv alleen een cijferreeks. Kwestie van toestaan dat tekst mag worden gebruikt. Dat kon in Windows 10. Een na de upgrade naar Windows 11 werkt dat bij mij ook nog steeds. Of het werkt op een nieuwe Windows 11, weet ik niet.

[StarLite]

Dit werkt ook op windows 11.
Microsoft 'dwong' me op een gegeven moment op over te stappen van wachtwoord naar een PIN (er was geen zichtbare 'No thanks' knop).
Gelukkig zijn letters toegestaan in een PIN (was een vinkje), dus mijn PIN is hetzelfde als mijn oude wachtwoord.

Ik blijf het gek vinden dat het nu ineens allemaal geen wachtwoord meer mag zijn, maar een 9default) zwakkere PIN...

[TigerXtrm]

Dit krijg je als je AI gaat gebruiken om je code te schrijven.

Maar gelukkig kan AI ons allemaal vervangen hoor

[nelizmastr]

Gelukkig is AI een bubbel. Zodra die barst gaan we terug naar een situatie waarin het terug gaat naar het hoofddoel: ondersteuning van werk en niet het vervangen van.

[R_Zwart]

AI is een bubbel voor sommige dingen. Maar er zijn ondertussen al zoveel zinvolle AI toepassingen dat het echt niet meer weggaat. Er van uit gaan dat het wel overwaait en het gaat negeren betekent vooral dat je je zelf uit de markt prijst.

[SirBlade]

Zoals het barsten van de internet bubbel er voor zorgde dat we alles weet offline met pen en papier gingen doen? Er was alleen minder geld beschikbaar voor ontwikkeling, verder ging er zo goed als niets terug naar de oude situatie.

[lenwar]

Zoals die internet-hype, of die hype om Airfryers (tafel-model-heteluchtoven), enz.

AI gaat niet meer verdwijnen. AI wordt voor en door van alles gebruikt. Het is een parapluterm voor een zwik technieken. Het is wel mogelijk dat LLMs in hun huidige vorm er over 5 jaar niet meer zijn.

[FPSUsername]

AI is eigenlijk de snellere stackoverflow als het gaat om coderen. Werkt wel prima, want als je klakkeloos copy-paste van stackoverflow (wat heel veel mensen doen), dan kom je vanzelf elke keer achter dat iets niet helemaal goed is. Gooi de error naar AI en je krijgt direct een fix. Ideaal voor de .. hobbyprogrammeur.

[The Zep Man]

Over de oorzaak van het verdwijnen van de knop is niets bekend.

Uiteraard niet. Er is wel een trend zichtbaar dat de QA voor Windows steeds vaker kwalitatief uitermate teleurstellend is. Dit correleert met het moment dat Microsoft intern en extern AI begon door te drukken zonder enige erkenning van de realiteit.

[Reactie gewijzigd door The Zep Man op 30 november 2025 15:09]

[ronansoleste]

Ja want win95 was zo stabiel. Dit is een ongefundeerde "vroeger was alles beter" opmerking.

[NoTechSupport]

Sorry, ik hoor echt niet vroeger was het beter. Ik hoor heel recent gaat het veel slechter. Komt overeen met mijn ervaring op het werk ook. Teams crasht regelmatig. Meldingen van meetings komen niet door. Startmenu opent maar je kan niks aanklikken of opzoeken. Heel rare problemen die ik pas recent zie. Ook in SharePoint zitten meer een meer bugs in de recentere features.

[ronansoleste]

Ik deel geen van deze ervaringen. Ook zijn share point en teams geen windows. Dat is een compleet andere afdeling.

[MadMarky]

nieuws: Patch Tuesday-update lijkt localhost op Windows 11 onbereikbaar te maken

nieuws: 'Recente Patch Tuesday-update geeft problemen bij zoeken op netwerkschijven'

nieuws: Windows 11 crasht na update door bug in explorer.exe en andere gui-elementen

Allemaal recente bugs veroorzaakt door een update van Windows, die opvallend/hinderlijk/ernstig genoeg zijn dat ze hun eigen nieuwsartikel hebben gekregen. En dit is nog maar een overzicht van de afgelopen 6 weken.

[hans-martijn]

De koplampen van jouw Volkswagen zijn niet van Volkswagen, maar van Bosch. Daarom mag je geen commentaar hebben op Volkswagen als ze het niet doen…

sharepoint en de synchronisatie ervan worden standaard ingebakken in Windows, dus voor de gebruiker is het hetzelfde. Daarnaast: blijkbaar functioneert de kwaliteitscontrole bij meerdere teams bij Microsoft niet, gezien jouw en voorgaande opmerking?

[ronansoleste]

Appels en peren vergelijking

[CivLord]

De koplampen van jouw Volkswagen zijn niet van Volkswagen, maar van Bosch. Daarom mag je geen commentaar hebben op Volkswagen als ze het niet doen…

Het mag natuurlijk wel, maar het is even zinloos.

[JWL92]

Who is affected?

This issue only affects those who still want to use a password when Windows Hello PIN or other methods are configured.

[pordkert]

Wordt de tabtoets niet ondersteunt op het vergrendelscherm? Dat lijkt mij een gemakkelijker optie dan met de muiscursor te moeten raden waar die knop staat. Tenminste, vaak verschijnt bij het benaderen van een knop door middel van de tabtoets ook de hovertekst.

[Mrgrind]

na deze berichten en mezelf wat dieper in windows gekeken te hebben,

ben ik over naar linux disto JA het is wennen maar het werkt perfect voor mijn smaak

geen windows meer voor mij

[Beeldbuisje]

Tegen zijn zin ga ik deze namiddag een nieuwe Mac installeren bij mijn pa. Zijn Windows 10 machine mag na 16 jaar eens vervangen worden.

Leuk dat er zulke berichten hier verschijnen. Van de week nog die bug over de UI die vastliep.
7 jaar geleden overgeschakeld op een Mac en dat is de beste beslissing die ik ooit genomen heb op computer gebied.

Als hij nog twijfelt tegen vanavond stuur ik gelijk de tweakers link

[Blokker_1999]

Want een bug die hem niet treft gaat hem overtuigen?

En waarom ga jij de keuze van een mac opdringen aan je vader? Als hij Windows wenst, waarom dan geen nieuwe Windows machine? Waarom iemand verplichten van met een totaal ander systeem aan de slag te gaan? De leercurve voor macOS is ook niet 0, er zijn vele dingen die anders werken in dat OS en enkele dingen die gewoon minder goed zijn in dat OS. Ja, je kan er natuurlijk aan wennen, maar dat moet je zelf wel wensen natuurlijk, en het moet een eigen keuze zijn.

Ik kan het niet, heb het zelf meer dan eens geprobeerd en ga altijd zo hard vloeken op hoe onlogisch heel dat OS in elkaar zit dat ik binnen de kortste keren weer op een ander systeem bezig ben.

[divvid]

Ik snap @Beeldbuisje zeker.

Exact hetzelfde gedaan bij mijn pa, in 2008, zo'n iMac ding. Beste beslissing ever.

Ineens ging hij niet meer bellen dat zijn computer het weer niet deed, maar over echte zaken, als hoe doe ik dit en dat in programma xyz, soms dingen waar ik ook geen antwoord op wist.

[Beeldbuisje]

en ook @Blokker_1999

Even uit eigen ervaring: Windows user sinds 1996 tot 2018. Tot Windows 10 kon ik elke twee jaar de computer formatteren omdat hij niet meer vooruit te branden was.
Nadat ikzelf een Win10 installatie om zeep had geholpen (die keer wel, andere keren niet) heb ik daar een hele zondagmiddag ingestoken om hem optimaal in te stellen. Alles, maar ook echt alles liep als een trein.

Einde van die week een bug ivm de printersturing. Zelfs de Win10 computers op mijn werk hadden hier last mee. Was nu eens echt de druppel toen ik dringend wat moest afdrukken en daar weer een half uur van mijn leven moest insteken om via een workaround de ellende op te lossen.
Ik had iets gelijkaardigs gehad met Android smartphones en stapte dik tegen mijn zin op aanraden van een vriend over naar een (zelf herstelde) iPhone7.
In de resp. 8 en 7 jaar iPhone en Mac gebruiker heb ik die gekke dingen nooit meer gehad. En zeker die Mac spaar ik niet.

Mijn moeder heb ik begin dit jaar ook een (herstelde) Macbook Air bezorgd. Zoals divvid vertelde over zijn pa, dat ervaar ik sinds dan ook met mijn moeder.

Ben trouwens net terug van de installatie van mijn vader z'n iMac. Hij vond het "op het eerste zicht" erg goed meevallen.
Toekomst gaat leren wie nu gelijk heeft.

[pordkert]

Stuur je dan ook de bugs mee die bij MacOS spelen? Elk OS bevat immers bugs.

Trouwens onlangs heb ik Linux Mint op de 15 jaar oude desktop van mijn schoonouders geïnstalleerd omdat ondersteuning Windows 10 afloopt. Het apparaat voldoet voor hen prima, maar upgraden naar Windows 11 is volgens Microsoft niet mogelijk. Ze wilden geen nieuw apparaat hebben, en Linux bevalt hen prima. Ze mailen en browsen toch alleen maar.

[Reactie gewijzigd door pordkert op 30 november 2025 23:14]

[Beeldbuisje]

Ik weet van die-hard computer nerds die echt álles uit hun systeem halen die uiteraard vreselijke bugs tegenkomen.
Als het voor mijn doelen en noden perfect werkt ben ik er blij mee. Dat doet het systeem al sinds 2018. Uiteraard blijven we in september of oktober van de eerste versie van het OS af.

Terug voor mijn ouders: mijn pa doet wat huis-tuin en keuken werk op de computer en hiervoor hing hij met de windows machine geregeld aan de telefoon. Dat hoop ik nu niet meer te hebben...
Als ik al geen last heb van eventuele bugs, zal hij het zeker niet hebben 😄

[D43m0n]

Die bugs bij macOS vind ik wel mee vallen. Ik begrijp @Beeldbuisje wel, als je bij je vader sowieso de helpdesk bent voor computer gerelateerde hulp, dan is het prettig dat je een goede referentie hebt (je eigen apparaat). Ik zal een ander geen besturingssysteem (apparaat) opleggen, maar als ze mij vragen naar wat ik zou doen, dan kocht ik een Mac. Een aantal mensen hebben me dit jaren geleden tot recent gevraagd. Zij hebben uit eigen beweging een Mac gekocht. Ze hadden voorheen een Windows XP/Vista/7/8/10 laptop of Pc. Ik werd door hen wel eens gevraagd om problemen met hun Windows apparaat op te lossen. Dat is me altijd gelukt. Ik verbaasde me wel elke keer over de oorzaak en oplossing. Soms was die oplossing ook niet meer dan een workaround. Na de aanschaf van een Mac, hadden ze me vrijwel niet meer nodig voor problemen met hun Mac. Ik heb ze ook na een tijdje gevraagd naar hun ervaring. Ze moesten wel even wennen maar dat ging snel. Sommige dingen werken anders dan op Windows en er werd wel eens wat gemist maar dat was geen dealbreker. Maar ze beaamden dat ze minder problemen hadden met hun Mac dan met hun Windows apparaat.

ik heb bij (schoon)ouders een oudere laptop wel eens van Ubuntu of Linux Mint voorzien. Daar had ik eenzelfde ervaring mee. Geen noemenswaardige steile leercurve bij hen en ook geen gemis aan functionaliteit. Ook daarna had ik minder omkijken naar dezelfde apparaten met Linux, waar er voorheen Windows op stond.

Als iemand mij vraagt, wat ik zou doen, stel ik wel de wedervraag wat zij verwachten of minimaal nodig hebben aan functionaliteit of software op hun apparaat. En dan zeg ik ‘t ook dat ze beter bij Windows kunnen blijven vanwege specifieke software of randapparatuur.

Dus ja, ik geef wel een gekleurd antwoord met mijn voorkeur. Maar bovenal ben ik er zelf bij gebaat dat ik minder hulp hoef te verlenen of geklaag hoef aan te horen vanwege een “verkeerd advies”.

[RoccoS]

Gelukkig is er bij Apple de laatste tijd op UI-gebied echt helemaal niets aan de hand...

[Beeldbuisje]

Goesting is koop zeggen ze hier bij ons. Ik begrijp dat niet iedereen houdt van Vista design dat Apple vandaag gekozen heeft, maar ik hou er wel van. Was trouwens het enige wat ik aan Win Vista destijds goed vond, de UI.


Ik ga toegeven, ik ben niet te spreken over de performance van mijn iPhone 14PM sinds iOS26.1. Laggy as hell, batterij houdt het maar 3/4 van de tijd meer dan met iOS18. Maar het werkt nog wel. Met iOS13.5 was dat net zo. 13.5.1 loste het deels op, 13.6 loste het volledig op.
De software is te ingewikkeld geworden om in de eerste releases volledig bug free te zijn volgens mij, maar dat een, voor mij belangrijke functie, echt NIET meer werkt maakte ik nog nooit mee.

In tegenstelling tot iOS en iPadOS vind ik het nieuwe MacOS wel lekker werken.

[supersnathan94]

Zeker wel, maar dat is tenminste consistent matig. Dat is bij windows, sinds 7 al niet het geval.

[CelisC]

Dit is echt een onsmakelijke bug. Gebeuren updates nog steeds in de achtergrond als je vast zit in de lockscreen? Als ik mijn laptop een tijd niet gebruikt heb en mijn PIN invoer, dan krijg ik direct het bericht dat ik teveel pogingen heb gedaan en 2 uur moet wachten. Na de eerste poging. Mocht ik zolang wachten, dan is het probleem nog steeds niet verholpen en móét ik dus met wachtwoord inloggen.

Maar als ze die optie er per abuis uit gesloopt hebben, dan heb ik niks meer. Ik zal als de wiedeweerga moeten kijken of auto-updates uit staat...

[Blokker_1999]

De optie is er niet uitgesloopt. Je kan nog altijd met je wachtwoord aanmelden, het icoon ervoor is alleen niet meer zichtbaar door deze bug. Ik zie op mijn lockscherm redelijk wat icoontjes, en tussen die rij aan icoontjes is er gewoon een gat waar normaalgezien het wachtwoordicoon zou staan. Heb je, zoals in de screenshot in dit artikel, heel weinig icoontjes, dan kan het zijn dat het wachtwoordicoon gewoon links of rechts van de bestaande iconen staat en dan is het net iets moeilijker om te zien dat het er nog staat.

[CelisC]

Dank voor de toelichting. Ook een mooie les voor mezelf om artikelen duidelijker te lezen. Ik betrap mezelf er steeds vaker op dat ik maar gedeeltelijk lees, oei.

[jpsch]

Apple maakt icoontjes transparant, Microsoft gaat nog een stapje verder.

Drie maanden en het zit er nog in.

[Davey400]

Nu in het nieuws, terwijl het probleem al sinds augustus speelt.

Dan lijkt het functioneel gezien ook niet zo’n heel groot probleem. Het is zelfs geen probleem als je je pin niet meer weet en toch probeert; dan komt het pw veld alsnog vanzelf. Ook als je altijd met pw inlogt is het probleem er niet.

Dit maakt het niet minder slordig, maar het is ook geen drama.

[henk717]

Dit is wel een probleem omdat ik in het verleden gebruikers moest uitleggen dat ze beter met de wachtwoord optie konden inloggen omdat anders de wachtwoord sync soms niet lekker liep. Dan hadden ze online hun account aangepast omdat hun wachtwoord was verlopen en liepen ze lokaal nog door op de oude omdat Windows Hello dat prima vond (en ik in 1 geval ook niet wilde cachen). Gebruiken ze de wachtwoord optie is meteen alles goed.

[divvid]

Wat een potje maken ze er van.