Wachtwoordmanagers in je browser

Hoe handig en veilig zijn ze?

Google Chrome

Chrome is de meestgebruikte browser ter wereld en de onderliggende Chromium-engine wordt door nóg meer browsers gebruikt. Edge en Brave maken er gebruik van, net als tientallen andere kleinere titels. Chromium heeft sinds een paar jaar een eigen wachtwoordmanager, inclusief generator, en een Sync-functie. In het geval van Chrome kun je Sync uiteraard gebruiken met je Google-account, maar andere browsers kunnen het gebruiken voor hun eigen inlogmethodes. Zo kun je Sync bij Edge gebruiken in combinatie met je Microsoft-account.

Omdat Chrome zo'n veelgebruikte browser is en zoveel gebruikers wel een Google-account hebben, is deze wachtwoordmanager in ieder geval wat gebruiksgemak betreft een van de betere die je kunt hebben. Ook op het gebied van veiligheid heb je er een goede aan.

Software

Chromes wachtwoordbeheerder heet simpelweg Wachtwoordmanager en is te bezoeken via passwords.google.com. In tegenstelling tot de andere wachtwoordbeheerders is de dienst alleen te gebruiken als je een Google-account gebruikt. Alleen een lokale opslag is geen optie. Je kunt het wel synchroniseren met andere diensten en dus de Google-servers.

Het allergrootste voordeel van Googles wachtwoordmanager is Android. Als je wachtwoorden synchroniseert met Google, kun je in heel Android gebruikmaken van Autofill. Dat werkt ook als je alternatieve browsers zoals Firefox of Brave gebruikt; de wachtwoordmanager zit ook in het besturingssysteem zelf. Dat maakt Wachtwoordmanager in een keer de nuttigste beheerder van alle beheerders die we hier behandelen. Het is zelfs nuttiger dan veel thirdpartymanagers, waarvan de autofill-functie op mobiele apparaten vaak veel minder goed werkt.

Googles beveiligingsbeheer in de browser is daarnaast een stuk overzichtelijker. Om je securityinstellingen, waaronder je wachtwoorden, te bekijken of aan te passen, hoef je niet in menu's in de browser te duiken. Je kunt dat van overal in je Google-account doen, of je nou op de desktop of in Android zit. Wat gebruiksgemak betreft steekt Google dan ook met kop en schouders boven de rest uit.

Hoe kun je de software beveiligen?

Met de beveiliging van je Google-account zelf zit het zeker snor. Google vraagt regelmatig om extra bevestigingschecks als je vanaf een onbekende locatie inlogt of een tijd offline bent geweest en je hebt veel opties voor tweetrapsauthenticatie. Daar staat tegenover dat je de Chrome-browser zelf niet kunt vergrendelen. Daar zijn wel extensies voor, maar alleen van derde partijen. Ook op mobiele apparaten kun je de browser niet vergrendelen.

Je kunt met Wachtwoordmanager ook geen masterwachtwoord instellen, zoals je dat bij Firefox' Lockwise kunt. Daarmee zijn je wachtwoorden beschikbaar voor iemand met toegang tot je systeem. Je kunt de wachtwoorden namelijk ook gewoon vinden in chrome://settings/passwords. Wel kun je een passphrase instellen, waardoor je je data tijdens het synchroniseren versleutelt. Daarover later meer.

Wat voor wachtwoorden kun je aanmaken?

Google heeft een eigen wachtwoordgenerator waarover de Chromium-ontwikkelaars niet veel technische documentatie bieden. De generator stelt zelf een wachtwoord voor bij het aanmaken van een nieuw account, maar er is geen optie om dat bijvoorbeeld vanuit het menu te doen.

Chrome maakt standaard een wachtwoord aan dat de ontwikkelaars 'generiek genoeg voor de meeste websites' noemen. Het wachtwoord is vijftien tekens lang en bevat kleine en hoofdletters, cijfers en leestekens. Je kunt helaas niets veranderen aan de wachtwoordeisen, zoals je dat bij standalonewachtwoordmanagers kunt doen. Google schrijft zelf dat het dat 'in de toekomst van plan is', maar wijdt daar niet over uit. Je kunt, in tegenstelling tot bij Firefox, wel constant een nieuw wachtwoord blijven genereren.

Kun je wachtwoorden makkelijk delen?

Je kunt wachtwoorden niet delen met anderen.

Kun je wachtwoorden im- en exporteren?

Je kunt wachtwoorden afzonderlijk of in bulk exporteren vanuit de browser en vanuit een Google-account. Je krijgt dan een csv-bestand met alleen de credentials, maar verder geen informatie over wanneer er voor het laatst is ingelogd.

Importeren kan niet in Chrome zelf, maar alleen in een Google-account. Je kunt maximaal duizend wachtwoorden per keer importeren in een csv-bestand, maar dat zal voor de meeste gebruikers geen écht obstakel zijn. Bovendien merkt tweaker wauske op dat het met een flag mogelijk is dat aantal op te hogen.

Wat weten we over de beveiliging van Chromes wachtwoordmanager?

Chrome slaat wachtwoorden lokaal niet versleuteld op, maar net als andere browsers worden die in de beveiligde kluis van het besturingssysteem gezet zoals Dpapi bij Windows of Keychain op macOS. Je kunt wachtwoorden in Chrome wel versleutelen voordat je ze synchroniseert. Dat kan op twee manieren: met je Google-credentials of met een Sync Passphrase. Dat laatste is een apart wachtwoord of een wachtwoordzin om de wachtwoorden extra te beveiligen, maar er is maar weinig informatie te vinden over welke beveiliging Google daar precies voor gebruikt. Bij het controleren van wachtwoorden op datalekken worden de wachtwoorden toch al eerst versleuteld voordat ze naar Google worden gestuurd, voor een analyse op basis van homomorfe encryptie.

Welke vormen van tweestapsverificatie zijn mogelijk?

Voor het beveiligen van je Google-account zit je bij Google wel goed. Google maakt alle denkbare vormen van tweetrapsauthenticatie mogelijk: hotp via sms of e-mail, totp via Google Authenticator of een andere app, of een prompt op een Android-toestel. Het bedrijf heeft zelfs eigen beveiligingssleutels.

Heeft Chrome een bugbountyprogramma?

Er is een bugbountyprogramma voor Chrome, en wat voor een. Google is een grote en belangrijke speler op het gebied van coordinated vulnerability disclosure. Er werken beveiligingsonderzoekers bij het Project Zero-team, dat actief zoekt naar bugs in andere software dan van Google zelf. Google volgt zijn eigen voorbeeld door bugs in zijn software binnen negentig dagen te patchen.

Het bugbountyprogramma voor Chromium is ruim opgezet. Vrijwel alle kwetsbaarheden vallen binnen de scope en beloningen lopen uiteen van vijfduizend tot wel dertigduizend dollar. De wachtwoordmanager wordt niet specifiek genoemd, maar het programma biedt beloningen aan voor types kwetsbaarheden.

Controleert Chrome op zwakke en gestolen wachtwoorden?

Google controleert van alle credentials in Wachtwoordmanager of ze voorkomen in bestaande databases. Google stelt die database zelf samen en zegt dat er momenteel meer dan vier miljard records in staan. Chrome controleert niet alleen of een e-mailadres is gestolen, maar ook op de veel nuttigere combinatie van e-mailadres+wachtwoord. Dat kan doordat Google de wachtwoorden in Chrome versleutelt voordat het die naar de server stuurt. Het bedrijf gebruikt k-anonimiteit en homomorfe encryptie om vervolgens berekeningen uit te voeren op die versleutelde data. Google controleert dus privacyvriendelijk op gestolen wachtwoorden. De manier waarop Google dat doet, is nuttiger dan hoe Firefox dat doet via een Have I Been Pwned-integratie en lijkt erg op wat Microsoft in Edge doet.

De check is onderdeel van Password Checkup. Die feature controleert niet alleen op gestolen wachtwoorden, maar ook op het hergebruik en de sterkte ervan. Dat is uitgebreider dan de andere managers in deze lijst doen.

Reacties (144)

[CAPSLOCK2000]

Ik gebruik GNU pass (aka passwordsstore) https://www.passwordstore.org/ .
Het is een geweldig systeem maar wel een beetje hard-core, dit is (nog) niet voor iedereen weggelegd.

Dat is gebaseerd op drie features die voor mij killer app opleveren.
- PGP,
- je meerdere 'master' encryptiesleutels opgeven,
- git.
pass zelf is niet meer dan een eenvoudige wrapper voor pgp en git. Het zware werk wordt dus gedaan door standaard componenten in plaats van dat pass het wiel zelf opnieuw heeft uitgevonden.

Ten eerste PGP, dat is een van de belangrijkste encryptiestandaarden en dat heeft het voordeel dat er ontzettende veel software voor is en het met vanalles en nog wat goed integreerd, zoals ondersteuning voor hardware tokens. Ik heb mijn belangrijkste sleutels op hardware tokens staan zodat die sleutels niet (digitaal) uit kunnen lekken en via NFC kan ik ze ook op mijn mobiele telefoon gebruiken.

Ten tweede dat je meerdere sleutels kan opgeven. Ik wil niet mijn hele leven afhankelijk maken van 1 yubikey die ik kwijt zou kunnen raken. Daarom wil ik perse een systeem waarin ik meerdere sleutels/tokens kan registreren en gebruiken zonder verder gedoe. Ik heb twee yubikeys die ik beide kan gebruiken dus als er iets mis gaat heb ik een 'hot spare' en kan ik de andere laten blokkeren. Ook heb ik nog backup keys die ik met wat meer moeite kan inzetten als beide active yubikeys stuk zouden gaan.
Dan heb ik ook nog verschillende sleutels voor werk en prive. Dat al deze sleutels netjes naast elkaar kunnen bestaan zie je niet vaak.

Ten derde ondersteuning voor git dat zorgt voor het synchroniseren van mijn wachtwoorden tussen verschillende devices. Decentraal data synchroniseren kan erg lastig zijn maar dat is nu net waar git heel sterk in is. Net als bij pgp is er een enorme sloot aan software die met git compatible is waarmee je pass kan aanvullen, bijvoorbeeld om een centraal repository te hebben of voor backups.

Omdat pass zelf zo'n lichte wrapper is, is het ook heel eenvoudig om tools te maken die er mee compatible zijn zoals handige front-ends of browser-plugins. Eenmaal geinstalleerd werkt het geweldig, maar die installatie is wel een beetje een dingetje want het is in beginsel een commandline applicatie en je moet wel een beetje weten wat pgp is.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 06:42]

[RuddyMysterious]

Hoe zit het met de integratie in allerlei software? Bv. voor browsers, is GNU Pass even gemakkelijk als bijvoorbeeld Keepass, BitWarden, etc?

[CAPSLOCK2000]

Hoe zit het met de integratie in allerlei software? Bv. voor browsers, is GNU Pass even gemakkelijk als bijvoorbeeld Keepass, BitWarden, etc?

Er zijn browser-plugins die vergelijkbaar werken met de rest. Ik heb alleen ervaring met de plugins voor Firefox en Android. Die van Android intergreert keurig met het systeem en functioneert dus gewoon op dezelfde manier als de reguliere wachtwoodbeheerder.

De Firefox plugin was iets minder gelikt maar min of meer gelijk aan andere wachtwoordmanagers die ik ken. In alle wachtwoordvelden komt een knopje en als ik daar op druk dan vraagt het me (indien nodig) om m'n yubikey in te steken en te activeren en vervolgens wordt dat wachtwoord ingevuld en doorgeklikt. Als je je PGP-key op een andere manier beveiligd (of niet, kan ook als je dat wil) dan werkt het uiteraard een beetje anders.

Maar je moet die browser-plugin koppelen aan je lokale installatie van de software en daarvoor moest ik ergens een directory in een .json file aanpassen (ik weet niet meer of dat altijd moet of dat ik afwijk van de default). Voor een beetje IT'er is een .json configuratiefile niet heel spannend maar de gemiddelde kantoormedewerker zou ik dat niet durven te vragen.

Ik weet dat er ook andere plugins zijn maar die ken ik niet. Wat ik heb werkt voor mij

[_Eend_]

Hier ga ik even mee stoeien. Alleen jammer dat er geen (recente) Windows client is, want dan kan ik Keepass en Syncthing de deur uit doen voor het syncen van kdbx files tussen mijn persoonlijke laptop, desktop die beide linux draaien en werk laptop, die windows draait. Het zal vast met WSL kunnen, maar dat is wel een beetje een mug doodschieten met een kanon.

Edit: ik zie nu dat gtpass ook op Windows draait.

[Reactie gewijzigd door _Eend_ op 23 juli 2024 06:42]

[jjjeck]

Interessant!
drie vragen;
1. Kun je het zo instellen dat je perse zowel een wachtwoord als een yubikey of andere 2FA nodig hebt?
Een yubikey kan “geleend” worden; vandaar dat ik graag ook nog een wachtwoord op een kluis heb. (Zou fijn zijn dat je net als bv bij een sudo tijdelijk geen authenticatie nodig hebt; zodat je in applicaties die geen automatische invulling van username password en 2FA niet drie keer moet unlocken.
2. Kun je ook oude wachtwoorden opslaan?
Bij het aanpassen van een wachtwoord moet je vaak je oude opgeven. Ik sla de oude altijd op; mocht een wachtwoord reset niet gelukt zijn dan kun je het opnieuw proberen.
3. Hoe regel je het dat je partner bij je kluis kan na je overlijden en viceversa?
Je hebt waarschijnlijk ook wel de verhalen gehoord over de problemen bij het opheffen van accounts van een overledenen.
Daartegenover staan de andere verhalen waarbij partners uit elkaar gingen en de een de ander het leven zuur kon maken door dat het stel een gemeenschappelijke e-mail account hadden en dus de toegang tot wachtwoord resets en het opheffen van diensten. Bij toegang tot jouw kluis krijg je dus ook toegang tot het wachtwoord van de e-mail (en de rest).

Ik gebruik daarom een 1Password familie abonnement dat wat mij betreft uitstekend werkt op alle platformen hier in huis (Linux, MacOS, Windows, OSX en Android) met een gedeelde kluis voor gemeenschappelijke zaken zoals WiFi, Netflix of het abonnement op de krant. We gebruiken Persoonlijke kluizen voor persoonlijke accounts. En dat wachtwoord van de persoonlijke kluis in een gemeenschappelijke (fysieke) bankkluis zodat je na het overlijden van een van ons, de ander de kluis kan openen. Als je onverhoopt uit elkaar gaat verander je je wachtwoord. Alleen als je partner er in eens van doorgaat zonder dat jij het ziet aankomen loop je een risico. Echter wanneer je een relatie hebt is imho vertrouwen sowieso het belangrijkste. Dus hoever moet je gaan 😉.

Tenslotte
Als vergelijk met de yubikey gebruik ik op mijn laptop mijn iWatch om 1Password te ontgrendelen. Twee keer drukken op de knop en 1Password is unlocken. Haal ik mijn watch van mijn pols moet je eerst een pin code opgeven voordat de iWatch gebruikt kan worden voor het ontgrendelen. Op mijn iphone wordt eea ontgrendeld via bekende gezichstscanner. Op de Android toestellen word de vingerafdrukscanner gebruikt. En vanzelfsprekend gaat de kluis naar een aantal minuten niet gebruiken vanzelf op slot.

[CAPSLOCK2000]

Interessant!
drie vragen;
1. Kun je het zo instellen dat je perse zowel een wachtwoord als een yubikey of andere 2FA nodig hebt?

De yubikey zelf is beveiligd met een pincode die na drie keer verkeerd gokken de hardware blokkeert.

2. Kun je ook oude wachtwoorden opslaan?

Het is gewoon een tekstfile, je kan er hele boeken in zetten als je dat zou willen.

3. Hoe regel je het dat je partner bij je kluis kan na je overlijden en viceversa?

killer-feature 2 van mijn lijst: je kan meerdere encryptiesleutels opgeven, dit is een van de redenen waarom het zo'n mooie feature is. Behalve mijn yubikeys heb ik ook nog een pgp-sleutel voor recovery-na-rampen, zoals mijn overlijden of als ik alle yubikeys tegelijk verlies. Die ligt ergens op een USB-key met instructies. Je hebt wel een partner nodig die behoorlijk technisch is...

Je hebt waarschijnlijk ook wel de verhalen gehoord over de problemen bij het opheffen van accounts van een overledenen.
Daartegenover staan de andere verhalen waarbij partners uit elkaar gingen en de een de ander het leven zuur kon maken door dat het stel een gemeenschappelijke e-mail account hadden en dus de toegang tot wachtwoord resets en het opheffen van diensten. Bij toegang tot jouw kluis krijg je dus ook toegang tot het wachtwoord van de e-mail (en de rest).

Ik heb een offline backup. Iedereen zal zelf een afweging moeten maken of je dat samen met je partner doet, bij je ouders of schoonouders bewaart of dat je een kluisje huurt bij een bank.
vertrouwen sowieso het belangrijkste. Dus hoever moet je gaan 😉.

Als vergelijk met de yubikey gebruik ik op mijn laptop mijn iWatch om 1Password te ontgrendelen. Twee keer drukken op de knop en 1Password is unlocken. Haal ik mijn watch van mijn pols moet je eerst een pin code opgeven voordat de iWatch gebruikt kan worden voor het ontgrendelen.

yubikey werkt dus ook zo, althans, zo heb ik die van mij geconfigureerd, er zijn andere mogelijkheden. Die yubikey is niet essentieel voor mijn setup, ander hardware tokens of ouderwets master-password kan ook.

[Dinsdale]

Browser Market Share in Netherlands - July 2021

Chrome 54.86%
Safari 25.36%
Edge 6.15%
Samsung Internet 5.16%
Firefox 4.09%
Opera 1.18%

https://gs.statcounter.co...ds/#monthly-202001-202006

En dan Safari niet behandelen in dit artikel? Zullen we dat dan maar een “gemiste kans” noemen?

[Reactie gewijzigd door Dinsdale op 23 juli 2024 06:42]

[Meiklokje]

Het is droevig gewoon dat mensen Chrome nog 100% blindelings vertrouwen. Ik heb nooit gehoord van brave. Gisteren heb ik die browser op mijn pc geïnstalleerd nu kom ik achter hoeveel rotzooi op de achtergrond van jou wordt verzameld (lees trackingscookies en Andere ongein) en dat krijg je bij het opstarten van brave mooi te zien. Chrome heb ik direct van mijn pc gewist. Edge vertrouw ik ook niet meer. Ik ben blij dat brave werkt met iedere streamingsdienst die ik gebruik en iedere website die ik bezoek. Dat ik DuckDuckGo als standaard kan instellen is nog een pluspunt zoals in mijn vm met Linux. De shield functie van brave vind ik gewoon geweldig. Ik zou nooit meer iets anders willen. Eindelijk gemoedsrust als ik ergens het internet nodig heb. Gewoon top.

[Reactie gewijzigd door Meiklokje op 23 juli 2024 06:42]

[Ce tan]

Maar waarom vertrouw je Brave wel? Alleen vanwege de tellertjes die het toont?
Ik ga niet beweren dat Brave gebruikers probeert op te lichten, maar ik hoop dat je kritischer kijkt dan naar de marketing info die in dit geval een browser toont.

Dat gezegd hebbende: Brave doet privacy-technisch veel dingen goed; als je wat rondkijkt op het net lijkt hun verhaal in ieder geval te kloppen. Ik zou wel zelf de advertising uitzetten, maar dat kan gelukkig ook.

Ik lees trouwens op meerdere reviewsites dat ook Firefox goed scoort op gebied van privacy en security. Veel beter als de grote concurrenten in ieder geval.

[thomasb14]

Firefox met bepaalde tweaks is veel beter voor je privacy dan Brave.

[Nomisma]

Moet je alleen wel oppassen dat je fingerprint niet te uniek wordt.

[thomasb14]

Dat is zeker waar! Maar die tweaks maken het echt beter. (Kijk eens op privacytools.io)

[Nomisma]

Die website ken ik ja! Ik gebruik een custom versie van deze user.js om Firefox te hardenen
Maar er zijn ook andere opties

[anon054630]

Ik gebruik Chrome password manager (vnl op iPhone en iPad overigens). Ik heb al vaak naar alternatieven gekeken maar nog steeds voor mij onvoldoende argumenten gevonden om te switchen. Vertrouw ik ze voor 100%? Nee, maar ook andere bedrijven vertrouw ik niet voor 100%. Ik vertrouw erop dat Google goed in de gaten gehouden wordt. Wat daar ‘droevig’ aan is, zie ik niet.

[Homme]

Want Brave is dan wel 100% blindelings te vertrouwen?
KLIK

Ik bedoel maar, de mensen bij Google zijn geen heiligen, maar bij Brave lijken ze dit ook niet te zijn
Zoals hier reeds door verschillende mensen aangehaald: Je kan nog het best Firefox gebruiken met extra privacy add-ons.

[rkeet]

Als je toch wat bewuster gaat kijken, kijk eens naar dit voor op je netwerk als DNS server: https://pi-hole.net/

kant en klare Raspberry Pi met Pi-hole wordt volgens mij niet meer verkocht, maar je kunt zelf een Pi kopen of het op een bestaande van je erbij installeren. Vervolgens instellen als de DNS server op (al) je router(s) en voilà: nog minder troep

Hoe het werkt?

Het heeft een lading lijsten (die je zelf kunt beheren) met domeinnamen die je niet (of juist wel) mag bezoeken. Wanneer websites van die extra requests gaan zitten doen, bijv. naar googleadservices.com, dan wordt dit binnen je netwerk al gekilled met de DNS request. Super snel.

Lijsten van domeinen zijn makkelijk te vinden en anders kun je een balletje opgooien op reddit.com/r/pihole

[AlfABetA]

We praten hier niet echt over eco systemen maar over browser paswoord managers. Safari komt nergens anders voor dan op Iphones en macs. Waarop de meeste andere browsers wel werken op iphones en macs en daarbij behoorde browserpaswoordmanagers. Dus die 25% safari gebruikers is puur van een eco systeem waarbij deze gebruikers vaak nog wel op andere systemen andere browsers gebruiken.

Bron:
https://www.cursuswp.com/...eld-google-chrome-safari/
Quote:
Safari webbrowser
Hoe komt het dat Safari zo hoog staat, met Macs die nog steeds op ongeveer 10% – -9,3% om precies te zijn, volgens DAP – van de pc-markt zijn vastgepend? Gemakkelijk. Tegenwoordig behoort iets meer dan de helft, rond de 50%, van de web browsing markt tot de smartphones in plaats van tot de PC’s. De rest, 3,1%, gaat naar tablets. Van de smartphones is 30% iPhones, terwijl 23% gebruik maakt van op Android gebaseerde smartphones. Het is dus op iPhones, en tot op zekere hoogte op iPads, waar de meeste Safari-gebruikers vandaan komen.

Dus voor dit artikel van browser paswoordmanagers niet echt interessant.

[CR2032]

Dus op macOS èn iPhones èn iPads. Meer dan genoeg redenen om deze niet over te slaan.

[CivLord]

Maar voor hoeveel van die macOS en iOS gebruikers is één van de andere genoemde browsers een alternatief?
Oftewel, hoe relevant is de beschrijving van de andere browsers voor Apple gebruikers?

[CR2032]

Omdat al die andere browsers er ook voor uitgebracht worden is er een markt voor.

[MadEgg]

Want smartphonegebruikers hebben geen behoefte aan een browser passwordmanager? Oh wacht…

Anders kun je dat hele Android-verhaal ook uit de vergelijking schrappen.

[AlfABetA]

Volgens mij lees jij niet goed, of begrijp je me niet goed.

[Dinsdale]

Ik vind je redenering inderdaad ook moeilijk te begrijpen. Omdat Apple gebruikers in een “eco systeem” zitten, is de browser die daar het meest gebruikt wordt niet relevant?

Volgens mij gaat het artikel over browsers in het algemeen en niet over “cross system” browsers, of heb ik dat ergens gemist?

[HollowGamer]

Het verhaal over Brave klopt niet helemaal. Zoals vrijwel elke op Chromium gebaseerde browser, kun je instellingen aanpassen door flags (brave://flags in dit geval). Daar kun je de wachtwoord generator aanzetten, waarschuwingen voor uitgelekte wachtwoorden, etc.

Toegeven dat het niet erg vriendelijk is, maar Brave is wel aan te passen. Grappig overigs dat jullie bij Brave niet stilstaan bij men hun adblock/anti-tracker, dat is namelijk de opzet van de browser. Of mag er hier op T.net niet over adblocking worden gesproken?

[Loller1]

Het verhaal over Brave klopt niet helemaal. Zoals vrijwel elke op Chromium gebaseerde browser, kun je instellingen aanpassen door flags (brave://flags in dit geval). Daar kun je de wachtwoord generator aanzetten, waarschuwingen voor uitgelekte wachtwoorden, etc.

Lijkt me niet dat experimentele, mogelijks niet werkende, features hier van belang zijn.

[HollowGamer]

Deze zijn toch niet experimenteel? Deze staan dacht ik standaard uit in Chromium, maar wel gewoon aan in Google Chrome.

[Ulysses]

Google Chrome is een andere "tak" van de Chromium basis ... Meer doorontwikkeld speciaal voor Google's doeleinden. Terwijl de Chromium basis door Edge en Brave gebruikt wordt op heel eigen manieren... Mijn ervaring met het compileren van Chromium (voor een eigen ChromeOS achtig iets ooit) is dat veel dingen in de basis nog experimenteel zijn, maar bij Chrome (de binary van Google) wel doorontwikkeld zijn.

[Christoxz]

En hoe heten deze flags dan? Ik kan ze niet vinden in Brave?

[HollowGamer]

enable-show-autofill-signatures, al gebruik ik persoonlijk liever iets als Bitwarden of KeepassXC.

[Christoxz]

en "waarschuwingen voor uitgelekte wachtwoorden"? Vind wel iets over weak passwords.

Tevens het aanzetten van "enable-show-autofill-signatures" doet niet zo veel, eigenlijk niks.
Zou ook wel een beetje raar zijn als niemand dat als oplossing bied in de issue

[Yoshi]

daar gaat het artikel toch ook helemaal niet over? Of dat nu de opzet van de browser is of niet? De links in de introductie van Brave in dit artikel zijn genoeg, en ook duidelijk genoeg m.i.

[Ulysses]

Ook al is het geen review, toch haal ik hier uit dat ik het handigste gebruik met mijn Google Chrome Wachtwoordmanager. Natuurlijk is dit door de jaren heen een beetje (lees: behoorlijk) gepusht om Google te gebruiken gezien ik al jaren Android telefoons gebruik.
Het valt mij dan ook op dat er geen enkele PW-managers voor Apple genoemd wordt. Maar ik kan zonder, daar ik toch geen Apple gebruik.
Ook is opvallend dat Brave en Edge, ondanks het gebruik van de Chromium-engine toch een stuk minder handig in gebruik zijn.
Onlangs heb ik zelf een akkefietje met Google gehad dat inhield dat ik mijn (zakelijk) Google Workspace account opgeheven heb. Ik heb toen niet alle export/import functies gebruikt. Wat daarbij opvallend is, is dat mijn mobiele telefoons meteen gewiped werden, op afstand, door Google (Device Management) toen ik het beheerder account had verwijderd. Echter, mijn Chrome Login, inclusief alle wachtwoorden, staat weliswaar uit sync, maar nog volledig toegankelijk op mijn desktop. Dit houdt in dat ik alle wachtwoorden, 1 voor 1 weliswaar maar toch, kan kopiëren tussen mijn oude WorkSpace account en inmiddels mijn bij gebrek aan beter nodige privé Google account. De vendor lockin is sterk bij Google kwam ik achter bij het migreren naar een eigen cloud oplossing.
Al ben ik al met al heel blij met de door Tweakers hier aangedragen optie van Nextcloud. Het draait als een zonnetje. Maar dat is een ander onderwerp.

[Mr. Freeze]

Apple heeft een prima wachtwoord beheerder voor iOS, hoe het bij Mac OS is weet ik niet, want heb ik niet, maar zal vast op dezelfde manier werken. Maar de wachtwoord beheerder werkt over het hele OS, dus ook in apps en andere browsers. Daarom zou een vergelijking niet eerlijk zijn, denk ik.

Overigens kan je in iOS je standaard wachtwoordmanager wijzigen of gebruiken in combinatie met, maar dit terzijde.

[Reactie gewijzigd door Mr. Freeze op 23 juli 2024 06:42]

[Campo di Casa]

Je bedoeld Apple Keychain (sleutelhanger) die idd ook gebruikt kan worden op MacOS.
Het rare is dat ik al jaren gebruiker ben van 1Password en als ik mij goed herinner al voordat Apple met Keychain kwam aanzetten. En daarom niks doe met Keychain.

Toch maar net op de Macbook geopend en bekeken en ga mij daar eens in verdiepen. Blijkt dat je daar toch meer mee kan dan alleen maar een wachtwoord onthouden.
Misschien komt er dan toch nog een moment om over te stappen van 1Password en Keychain te gaan gebruiken mits je makkelijk wachtwoorden kan overzetten.

nb. Ik heb destijds 1Password gekocht en betaal geen abbo hiervoor. Dat scheelt weer

[Sitelabs]

Daar komt bij dat in de volgende iOS en MacOS release het wachtwoord beheer eindelijk een eigen “app” heeft gekregen EN er 2FA zit ingebakken. Dat betekend dat voor wachtwoorden op websites en apps, waarvan het wachtwoord zit opgeslagen en 2FA is gelinked je nu met twee klikken (plus touchId of faceId) kunt inloggen zonder naar een aparte app te hoeven. Een verademing!

Omdat een filmpje nog duidelijk is: klik hier.

[Reactie gewijzigd door Sitelabs op 23 juli 2024 06:42]

[Mr. Freeze]

Het nadeel van Keychain is een beetje dat je in Windows en andere os’en je wachtwoorden niet (makkelijk) kan gebruiken, ze zijn een beetje in gijzeling als het ware. Vandaar dat ik naast Keychain ook Lockwise gebruik, een wachtwoord aangemaakt in Safari wil je natuurlijk ook in je browser op een PC kunnen gebruiken.

[Zsub]

iCloud op Windows heeft voor zover ik weet een Chrome plugin waarmee je iCloud Keychain wachtwoorden kan gebruiken.

[Mr. Freeze]

Dank voor de tip, maar Chrome? Liever niet.

[Zsub]

Ik las in andere reacties dat het ook voor Brave en misschien firefox werkt, dat ga ik in ieder geval eens proberen

[no_way_today]

Wel, sinds de laatste update kan je deze in Chrome gebruiken. Via iCloud. Om deze rede gebruik ik nu Chrome op de enige Windows pc die ik heb. Werkt perfect en snel.

[SirLenncelot]

Ik ben laatst bewust van Keychain afgestapt omdat ik een Windows-PC erbij ging gebruiken. De wachtwoorden in Keychain zijn niet te syncen naar Windows. Ook zijn ze niet te exporteren waardoor ik handmatig een kleine 1000 inlogs nagelopen ben. Ruimt wel mooi op (meteen niet-gebruikte accounts afgesloten) maar wat een werk….

Mijn advies: alleen Keychain gebruiken als je 100% zeker alleen Apple wil blijven gebruiken.

[Reactie gewijzigd door SirLenncelot op 23 juli 2024 06:42]

[john milton]

Ik heb laatst hetzelfde gedaan met mijn vriendin die ik eindelijk over kon halen (wat was mijn wachtwoord ook alweer?) gebruik te gaan maken van een van de lege spots van de LastPass familie die mijn broer en ik delen (uiteraard gescheiden vaults).

Alle wachtwoorden geëxporteerd uit Firefox, geïmporteerd in LastPass en daarna op de iPhone LastPass ingeschakeld en Keychain uitgeschakeld. En toen alles langs of ze ze nog gebruikte of ging gebruiken, zo ja nieuw ww, zo nee in de meeste gevallen gelijk account deleten. Grappige was dat ze eerst niet zeker wist of een WW manager wel veilig was, tot ik haar liet zien dat al haar wachtwoorden nu gewoon op te vragen waren in haar browser.

Ze is er happy mee tot nu toe. Maar idd, keychain werkt heel prima, maar aangezien ze ook een windows laptop heeft is dit handiger.

[Reactie gewijzigd door john milton op 23 juli 2024 06:42]

[Erwin1967]

Je vriendin had eerst twijfel over de veiligheid, maar na het zien van het gebruiksgemak, was dat niet meer belangrijk? Heel veel mensen denken er helaas zo over. Een wachtwoord manager is gewoon onveilig, zeker als de gegevens in de cloud worden opgeslagen. Met een wachtwoord, vaak ook nog eens te eenvoudig, krijg in een keer toegang tot alle(!) accounts. Ideaal voor overheden en criminelen.

[anon054630]

… dus dan maar geen ww manager gebruiken?

[laptopleon]

Tja, ik had 1PW ook gekocht maar daar heb je weinig aan als je macOS update naar een nieuwe iteratie. Dan moet je overstappen naar een nieuwe versie van 1PW en die moet je weer kopen. Als dat nog kan want men stuurt al jaren aan op het abonnementsmodel.

Het rare is dat ik al jaren gebruiker ben van 1Password en als ik mij goed herinner al voordat Apple met Keychain kwam aanzetten. En daarom niks doe met Keychain.

Apple’s Keychain is al van vóór macOS, uit 1999. Eigenlijk is het bedacht voor het beveiligen van mail, nog weer jaren daarvoor. 1PW is pas van 2006.

De reden dat veel mensen zich Keychain niet herinneren / ‘kennen’, zelfs mensen die het al jaren gebruiken, is omdat het nogal onopvallend zijn werk doet / is én omdat wachtwoorden (te) weinig aandacht kregen in het verleden. Ook Apple zelf zet het niet heel erg in de schijnwerpers of zo.

[Ghostery]

Als je een CSV kan maken, dan zou onderstaande methode ook voor 1Password moeten werken.

https://www.theverge.com/...ain-safari-apple-lastpass

En ik lees nu toevallig dat importen en exporten in keychain (sleutel hanger) een onderdeel wordt van macOS Monterey. Die als het goed is ergens eind september uitkomt.

https://www.iculture.nl/t...oud-sleutelhanger-safari/

[Reactie gewijzigd door Ghostery op 23 juli 2024 06:42]

[PrimusIP]

Ik heb zowel een iPhone als een macBook en die laatste gebruik ik privé als 'de' computer. Dan werkt Apple keychain echt fantastisch. (In de review van het artikel had ik die ook wel graag terug zien komen, al was het maar om te vergelijken.) Enorm gemak, zeker nu ook dat Apple sign in er bij zit en je burn accounts kunt maken. Enorm gemak om met vingerafdruk / Face ID in te loggen ongeacht het mijn telefoon of laptop is. Enige nadeel vind ik wel dat het niet met Apple TV werkt. Ben vergeten waarom niet, had te maken met een bewuste keuze in hun architectuur.

N.B. ik zeg uiteraard nergens dat wat ik hier beschrijf andere managers niet kunnen.

[Reactie gewijzigd door PrimusIP op 23 juli 2024 06:42]

[Nomisma]

Ik vind Google Chrome helemaal niet handig. Als ik eens een wachtwoord wil opzoeken is het proces zeer omslachtig. Evenals handmatig iets invullen.

[chevchelios]

Chrome heeft wel een master password.
Op je pc is dat je Windows wachtwoord. En op Android je vingerafdruk of pincode oid.

[Mr. Freeze]

Probleem met Windows wachtwoorden is wel dat ze makkelijk worden onthuld aan reperateurs, wie dat ook moge zijn. Nu zal dat voor ons geen gevaar zijn, maar voor de minder handige mensen een groot gevaar.

Een telefoon is een stuk persoonlijker denk ik dan. (En is een stuk minder “storingsgevoelig”.)

Ik maak al vaak genoeg mee dat ik een laptop ter reparatie krijg waar het wachtwoord op een post-it memo wordt meegeleverd.

[Reactie gewijzigd door Mr. Freeze op 23 juli 2024 06:42]

[vt220]

Maar je zegt dus eigenlijk dat windows gebruikers dom zijn en apple/linux gebruikers niet?
Of zie je nooit apple/linux laptops in de reparatie? Want dan is je steekproef niet echt representatief.
Boevendien gaat het stuk helemaal niet over het wachtwoord van het OS.

Dus wat wil je nu eigenlijk zeggen?

[Mr. Freeze]

Lees anders de reactie van @chevchelios nog eens waar ik op reageerde.

[vt220]

Dat weet ik
Maar dan nog is het geen probleem van windows wachtwoorden. Ook als je je telefoon laat repareren hebben ze je wachtwoord nodig.

[gaskabouter]

Nu heb ik best vaak een telfoon laten repareren maar nog nooit mijn wachtwoord gegeven? waarom zou je dat doen?

[nokiaClassic]

Om te controleren of het probleem is opgelost en alle functionaliteit nog werkt. Bijv. bij een headphone jack vervangen, moet hij uiteraard wel muziek afspelen. Ik backup altijd mijn telefoon vooraf en reset hem naar fabriek instellingen.

[gaskabouter]

Nou ja, met zo'n klassieke Nokia snap ik dat

[Polydeukes]

Dat is toch een gebruikersprobleem, geen specifiek Windows- of Android/Chrome-probleem? Dat mensen onveilig met hun (master)password omgaan, maakt het systeem niet onveilig m.i.

[Mr. Freeze]

Ja, helemaal waar, ik constateer het alleen maar.

[Polydeukes]

Probleem met Windows wachtwoorden is wel dat ze makkelijk worden onthuld aan reperateurs

Maar waarom specifiek Windows wachtwoorden noemen? Nu doe je het voorkomen of het een probleem is van Windows.

[Mr. Freeze]

Lees anders de reactie waar ik oorspronkelijk op reageerde, die persoon noemde Windows en Android.

[IStealYourGun]

Same in edge (beta), daar heb je de optie "sign in with device password". Het valt we wel op dat je daar geen gebruik kan maken van je vingerafdruk.

[CivLord]

Bij Edge op Android wel. (Geen vingerafdrukscanner op mijn laptop of tablet.)

[MadEgg]

Apart dat Apple Keychain niet behandelt wordt terwijl die dezelfde voordelen heeft als Google Wachtwoordmanager. Als je in het Apple ecosysteem zit werkt dat net zo perfect. Ook apart om het artikel te beginnen met dat de universaliteit van losse passwordmanagers niet relevant is als je alleen maar een browser gebruikt maar dit daarna toch als groot pluspunt van Google’s oplossing te noemen.

Ik gebruik zelf KeyPassXC en op iOS Strongbox als client. Werkt perfect en universeel, en op iOS integreer dit ook met het hele OS aangezien iOS je toestaat om een standaard password manager in te stellen. Dus in de browser op iOS, maar ook elk ander loginformulier op iOS kan ik rechtstreeks bij mijn wachtwoorden.

Beetje beperkte, eenzijdige insteek in dit artikel.

[gaskabouter]

Apple is dus geen browser. Dan had het artikel en andere insteek moeten nemen en was veel breder geworden. Wellicht Safari apart bespreken was een optie maar aangezien die denk ik vrijwel alleen op Apple wordt gebruikt weinig relevant. Ook @Dinsdale

[Reactie gewijzigd door gaskabouter op 23 juli 2024 06:42]

[MadEgg]

Dat geldt toch net zo goed voor Android? Toch wordt dat als groot pluspunt aangehaald voor Google Wachtwoordmanager. Je mag het Safari Keychain noemen als je daar blij van wordt maar het is nagenoeg 1-op-1 te vergelijken met Google’s oplossing.

Safari heeft een marktaandeel van 25% en is voor veel gebruikers de enige browser die ze gebruiken. Dus past dat prima in het verhaal.

[gaskabouter]

Heb je op zich natuurlijk gelijk in maar hoeveel windows gebruikers gebruiken safari? Ik denk dat de Chrome browser wel veel meer cross platform is dan Safari en in die zin gewoon veel meer een ecosysteem is dan de browser Chrome. Hoe dan ook had het niet misstaan maar ik vraag me wel af of de oplossing van Apple iets van de browser is of van het systeem, geen ervaring mee.

edit; nu lees ik dus net dat niemand safari gebruikt op windows, omdat het eigenlijk dood is.

https://support.apple.com/nl-nl/HT204416

[Reactie gewijzigd door gaskabouter op 23 juli 2024 06:42]

[Nomisma]

Safari is wel een browser, ik denk dat hij daarop doelt.

[gaskabouter]

Apart dat Apple Keychain niet behandelt wordt

Waar lees jij precies Safari? Mensen missen blijkbaar Apple in het overzicht, maar het gaat over browsers niet over OS, passwordmanagers of hardkey oplossingen. Wat dus meegenomen had kunnen worden is Safari maar wellicht heeft safari geen eigen manager maar zit dat ingebakken in het OS.

[Nomisma]

Als je een wachtwoord in Safari op MacOS opslaat komt het ook in Keychain Access terecht. Het is wel een eigen manager omdat deze manager ook op iOS zit, waar geen Keychain Access op zit

[gaskabouter]

Als je Safari gebruikt worden wachtwoorden gesynced via iCloud, doe je dat niet zijn ze alleen lokaal beschikbaar. Als je Safari gebruikt op windows moet je dus iCloud gebruiken om op meerdere apparaten je wachtwoorden te kunnen managen.

Ik zou dat geen browser manager noemen maar een hele dappere poging je hoe dan ook op die iCloud te krijgen. Dat verklaart denk ik ook dat het marktaandeel van Safari onder niet Apple gebruikers ongeveer 0 is. Een hele goede reden het als een niche te beschouwen en hem niet mee te nemen.

Edit; Safari is helemaal niet beschikbaar voor windows, je kan wel via chrome dan iCloud je wachtwoorden van Safari gebruiken

[Reactie gewijzigd door gaskabouter op 23 juli 2024 06:42]

[Nomisma]

In alle gevallen krijg je in Safari standaard passwordsuggesties, native out of the box. Het is een native manager. Passwords werken in Safari echt prima, extensies ben ik minder over te spreken.

[gaskabouter]

Als je een Apple hebt. Het nadeel van een ecosysteem creëren kan zijn dat je voor algemene toepassingen als een niche gezien wordt en dus niet relevant, blijkbaar geldt dat voor de wachtwoordmanager van Safari ook, aangezien die alleen op Apple apparaten werkt en niet via allerlei extensies.

[Nomisma]

En in het artikel worden andere ecosystemen behandeld.

[gaskabouter]

Nee browsers die op meerdere ecosystemen werken, in plaats van maar op één.

[Nomisma]

Een browser an sich is ook al een ecosysteem (denk aan de stores en accounts van firefox en chrome), dus ik denk dat we het eens zijn.

[gaskabouter]

Ja daar heb je gelijk in. Maar da's dan een microsysteem voor een macrosysteem. Of zo

[damaus]

Vraagje!
Ik zit namelijk ook te denken om die setup te doen, aangezien dat native kan integreren met macos en ios, maar ik vraag me af hoe ver dit gaat? worden bijvoorbeeld wifi-wachtwoorden dan ook daarin opgeslagen of blijft dat wel soort los? Worden die uberhaupt wel gesynced als je ben geswitcht? en moet je vaak je database unlocken of kan je dit echt gebruiken als drop-in replacement voor keychain?

[gekeren]

Voor Apple geldt: m.b.v. Twee plugin’s kun je via de Chrome store ( dus ook voor Firefox en Brave) uitstekend hun wachtwoordbeheerder gebruiken in die browsers.
Jammer dat het artikel daar volledig aan voorbijgaat.

[HollowGamer]

Dat geld niet alleen voor Apple in dit geval. Bij Chrome/Chromium browsers kun je op Linux kiezen voor de backend als kwallet of gnome-keyring.

Het enige nadeel is dat je wachtwoorden dan niet worden gesynchroniseerd, al kan ik dit ook mis hebben.

[Mr. Freeze]

Bedoel je niet Edge ipv Firefox? Firefox maakt toch geen gebruik van Chrome apps?

[gekeren]

Ja….

[Anoniem: 767041]

Toch vind ik dat jullie er een vergeten, ookal zit dat in een apple ecosysteem die heeft ook een wachtwoord manager ingebouwd, met wachtwoord generators. En die werkt super voor Apple mensen

[Christoxz]

Dat is een wachtwoord manager gebakken in je OS, niet in een browser waar het artikel overgaat.
Wellicht hadden ze Safari mee kunnen nemen. (neem aan dat het daar ook ingebakken is?, maar de besproken browsers zijn cross-platform en Safari niet.. )
Maar ja, voor de rest een prima manager voor Apple devices.

[Reactie gewijzigd door Christoxz op 23 juli 2024 06:42]

[Anoniem: 767041]

Dat werkt dus wel in de safari browser, die detecteert of jij een wachtwoord moet invullen of genereren

[Finraziel]

Diverse losse password managers werken ook in de browser middels plugins, die ook maar meenemen dan?

[Chintzy]

@Anoniem: 767041 bedoelt dat Keychain in de Safari browser op dezelfde manier is geïntegreerd als de andere voorbeelden die wel in het artikel worden meegenomen.
Nota bene in een reactie op @Christoxz die van mening is waarom de Keychain niet thuis hoort in een artikel wat gaat over wachtwoord managers die ingebakken zitten in een browser.

Even in het midden gelaten wie gelijk heeft; Het is jammer om te zien dat je reactie niet gaat over het bestaande argument (Keychain hoort wel/niet thuis in dit artikel, ondanks dat Safari als browser momenteel standaard ondersteuning biedt voor het beheren van wachtwoorden).
Daarentegen kom je met een redenering welke helemaal niet aan de orde was om je positie kracht bij te zetten.

Oftewel een stropopredenering

[Finraziel]

Ah ok, dat had ik niet zo begrepen en daar heb je een punt mee.

Maar kost het oefening om dat in zo'n ontzettend lange vreselijk neerbuigende reactie te typen of doe je dat van nature al? Jeetje, echt, ik ben je kind niet...

[Ulysses]

Valide opmerking.
Ik betrap mijzelf er ook wel eens op. Bijvoorbeeld door dingen aan mijn HBO-opgeleide vriendin uit te leggen. Ik denk dat het per ongeluk gaat. Bij mij wel althans. Ik heb zo vaak vragen van mensen die (lijken/doen alsof) kinderlijk / eenvoudig zijn...

[Nomisma]

En de Safari wachtwoordmanager werkt zónder plugins.

[gekeren]

Nee hoor. Ik gebruik de Apple keyring gewoon in Windows. Dat kan via je browser.
Twee plug-ins: idrive en Apple passwords.
Erg tevreden

[Christoxz]

Maar dat is dus niet een password manager van een browser, waar het artikel wel over gaat, niet over passwords managers die je in combinatie met een browser kan gebruiken.

Wat nou als je helemaal geen zin hebt in al dat gedoe en als je geen keuze wilt maken, omdat je eigenlijk alleen maar je browser gebruikt? Veel grote browsers hebben inmiddels een eigen wachtwoordmanager.

[S1NN3D]

In de eerste alinea refereert de schrijver naar reviews: Vijf wachtwoordmanagers onder de loep - Waarin verschillen ze?. Als je die tóch gebruikt, zit je niet vast in een eco-systeem. Het is écht niet veel gedoe. Mijn tip: gewoon doen.

[Elidibus]

Sterker nog, je bent bijna dom als je het niet doet. Jezelf bewust in een platform vastzetten met browser managers is gewoon zonde. De opties in het andere artikel zijn veelal ook gewoon gratis, of kosten heel weinig, en leveren zoveel meer vrijheid op.

[CivLord]

Waarom zou ik me vastzetten wanneer ik de browser manager van Edge of Firefox gebruik?
Ik gebruik de browser zo lang als het me uitkomt en zodra iets anders me beter uitkomt stap ik over.
Wellicht neem ik dan de moeite om uit te zoeken hoe ik mijn wachtwoorden kan ex- en importeren. Maar waarschijnlijk wacht ik tot ik een website met wachtwoord bezoek en verander dan mijn wachtwoord, die meteen in mijn nieuwe browser (of andere wachtwoordmanager) wordt opgenomen.

[casberrypi]

En wat gebeurt er als je Google account geblokkeerd wordt? Ben je dan uit je password manager gelockt? Ik begrijp best dat als de sync even niet werkt de passwords ook lokaal staan, maar als Chrome heeft gedetecteerd dat je account gelockt is en je password manager heeft geen mogelijkheid om daar bij te komen dan is dat een enorm risico. Hier kom je pas achter als dit een keer gebeurt.

Ik vind een browser als password manager verder een heel slecht idee. Een password manager met http client, HTML rendering en scripting engine is een te grote attack-surface voor iets dat zo enorm veilig moet zijn.

[Reactie gewijzigd door casberrypi op 23 juli 2024 06:42]

[Ulysses]

Zoals je kunt lezen in mijn reactie, is zelfs als je hele Google Account verwijderd is, de lokale opslag in de (desktop) browser daarmee niet kwijt.

[casberrypi]

Maar op je telefoon dus niet. En de vraag is maar of dit gedrag van Chrome een feature is of een bug. Zolang dat niet expliciet is, kun je er niet op vertrouwen.

Sterker nog: Als zakelijke gebruikers toegang hebben tot shared passwords met TeamPassword dan is het zelfs te beargumenteren dat een browser geen toegang moet geven tot die passwords als je account geblokkeerd is.