Privacygerichte Linux-distro Tails vervangt KeePassXC door Secrets

Het op privacy gerichte besturingssysteem Tails vervangt wachtwoordmanager KeePassXC door Secrets, de standaardwachtwoordmanager van Gnome. Volgens de makers heeft Secrets een betere interface en werkt het beter samen met Gnome, wat nu al de desktopomgeving van Tails is.

Wat is Tails?

Tails staat voor The Amnesic Incognito Live System. Het is een Linux-distributie die bedoeld is voor tijdelijk gebruik, bijvoorbeeld door het direct vanaf een USB-stick te draaien zodat er geen bestanden op een pc achterblijven na het gebruik. Tails heeft daarnaast een hele trits software die op privacy is gericht, bijvoorbeeld Tor als standaardbrowser, de Secrets-wachtwoordmanager, metadatascrubbers en OnionShare om bestanden te delen. Tails is onderdeel van dezelfde organisatie als Tor.

Die aanpassing zit in release 7.6 van Tails. Een van de belangrijkste wijzigingen in die op privacy gerichte Linux-distributie is dat Secrets de vervanging is van wachtwoordmanager KeePassXC. Secrets is een wachtwoordmanager voor Gnome, die nog niet standaard in Linux-distro's zit die op Gnome draaien, zoals Ubuntu, maar wel via bijvoorbeeld Snap te downloaden is.

Secrets is gebaseerd op de KeePass-standaard en kan dus omgaan met bestaande kdbx-bestandsformaten die gebruikers al hebben. Het is dus niet nodig om de wachtwoordenkluis te migreren. Bovendien kunnen gebruikers KeePassXC alsnog zelf installeren als ze dat willen.

Volgens de ontwikkelaars van Tails heeft Secrets een aantal voordelen boven KeePassXC. Zo ziet Secrets er meer uit zoals de rest van Gnome en heeft het 'een eenvoudigere interface'. Ook werkt de wachtwoordmanager beter samen met Gnome, bijvoorbeeld doordat de toegankelijkheidsfuncties van Gnome kunnen worden geïntegreerd.

Tor-bridges

In Tails 7.6 is het verder makkelijker om Tor-bridges te beheren. Zo kunnen gebruikers instellen dat ze automatisch verbinden met een bridge als ze de browser opstarten. Dat zat overigens al langer in Tor zelf, maar nog niet in de versie die Tails bevatte. Zoals vaker zijn verder verschillende softwarepakketten bijgewerkt naar recentere versies, zoals Electrum, Tor en Thunderbird.

Reacties (12)

[Gamebuster]

wel handig om je TOTP secrets in je ww kluis op te slaan; Zo maken we van een 2FA weer een 1FA

[Chris7]

Mja dat dacht ik ook eerst, maar het gebeurt heel regelmatig dag ik op mijn mobiel ergens inlog. Dan haal ik het wachtwoord uit mijn wachtwoordkluis (op mijn mobiel) en een TOTP code uit de authenticator app (op mijn mobiel). Heel “two-factor” is het dan niet. Ik ben er zelf niet strict mee, maar dan zou ik eigenlijk mijn hardware key (Yubikey) overal voor moeten gebruiken om echt 2FA te hebben. Tegenwoordig sla ik veel TOTP codes dus ook maar in mijn wachtwoordkluis op - ik verwacht niet dat die gekraakt wordt. Maar voor echt belangrijke dingen heb ik een aparte authenticator app, soms samen met hardware key.

1Password heeft er wel een aardig artikeltje over: https://1password.com/blog/totp-and-1password#totp-isnt-the-same-as-two-factor-security

[Reactie gewijzigd door Chris7 op 27 maart 2026 18:57]

[UPPERKEES]

Eerst kijken hoe het werkt voordat je conclusies trekt. Je kan gewoon een hardware key zoals een Yubikey gebruiken als 2FA met Secrets. Net zoals dat kan met KeepassXC.

[William_H]

Je bedoelt het ontgrendelen van de database doen met een Yubikey?
Ik denk dat wat @Chris7 zegt wel goed klopt. Feitelijk is een ander apparaat gebruiken voor 2FA de meest veilige optie, dus bijv een Yubikey. Maar dan dus niet om de database te openen, maar om de 2FA te valideren.

[UPPERKEES]

Je moet dan nog steeds je wachtwoorden ergens opslaan, toch? En je OTP secrets en recovery codes. MFA op je keystore is een must en dat heeft Secrets.

[Soldaatje]

Ja en nee.

KeePassXC allows me to store my TOTP secrets. Doesn't this undermine any advantage of two-factor authentication?

Yes. But only if you store them in the same database as your password. We believe that storing both together can still be more secure than not using 2FA at all, but to maximize the security gain from using 2FA, you should always store TOTP secrets in a separate database, secured with a different password, possibly even on a different computer.

https://keepassxc.org/docs/#faq-security-totp

Ik hoop wel dat Secrets wel met meerdere databases kan omgaan.

[TheVivaldi]

Nuja, in weze wel, maar een hacker moet dan alsnog het wachtwoord van de databank weten. Als je dat moeilijk genoeg én uniek maakt, en nergens in platte tekst/op papier noteert, is de kans dat je databank wordt gekraakt al veel kleiner. En zonder dat wachtwoord geen totp.

[Reactie gewijzigd door TheVivaldi op 28 maart 2026 14:17]

[halfgaar]

Er is iets voor te zeggen dat het zelfs veiliger is om je wachtwoord manager die TOTP automatisch te laten invullen. Hij vult hem namelijk niet in op de verkeerde site. Mensen wel, vooral mobiel. Dat is regelmatig gebleken, en zo worden ook ontwikkelaars gehackt.

[The Zep Man]

Secrets is gebaseerd op de KeePass-standaard en kan dus omgaan met bestaande kdbx-bestandsformaten die gebruikers al hebben. Het is dus niet nodig om de wachtwoordenkluis te migreren. Bovendien kunnen gebruikers KeePassXC alsnog zelf installeren als ze dat willen.

De kdbx-compatibiliteit is fijn, met name als je je wachtwoordbestand ook wel eens op een systeem opent dat geen Gnome draait. Dan kan je gewoon een Keepass-variant of andere compatibel wachtwoordmanager pakken.

[Reactie gewijzigd door The Zep Man op 27 maart 2026 14:43]

[HakanX]

Zeker gezien de bedoeling van Tails is dat je niks opslaat, dan is het wel handig je bestaande wachtwoordendatabase te kunnen openen.

[Llopigat]

Nou niet helemaal zo, je hebt wel de optie tot een persistent storage tegenwoordig. Met wel alle risico's vandien (de kans dat iets bewaard blijft dat je tussen sessies door kan identificeren)

https://tails.net/doc/persistent_storage/index.en.html

Maar ze hebben wel slim gedaan en niet het browser profiel er in opgeslagen dus cookies en andere browser instellingen resetten elke keer.

[Tonk]

Ik ben helemaal niet bekend met hoe Tails precies werkt dus misschien een domme vraag.
Maar hoe werkt een wachtwoord manager in een OS dat na afsluiten geen data zal achterlaten? Of ken ik het OS niet goed en zie ik iets over het hoofd? Want naar mijn weten veegt hij zichzelf weer leeg na gebruik te hebben gemaakt, wat is dan het voordeel van een password manager? Puur voor het importeren en dan éénmalig gebruiken van deze wachtwoorden of slaat hij deze wachtwoorden wel permanent op?