Archief - Password manager

Tgoh, dan zou ik al overal dezelfde username of hetzelfde email adres moeten gebruiken wat ook al niet is. En dat is toch echt alles behalve het nuttig besteden van resources om die link te laten maken, en manueel gaat die er zich ook niet mee bezig houden. Ik maak me er alvast geen zorgen over.

Carrion zei:

Ik gebruik gewoon overal dezelfde combinatie:

Een standaard wachtwoord van 10 karakters dat de basis is aangevuld met (ik zeg maar iets) elke oneven letter van de domeinnaam. Dus de basis is bijvoorbeeld KaR-xxx*39Hu! en xxx wordt dan vervangen. Dus voor 9lives zou dat dan KaR-lvs*39Hu! zijn en als ik zo'n "how strong is your password" website gebruik krijg ik resultaten van 4 miljoen tot 33 miljard jaar om het te kraken. Uiteraard wat overdreven, maar meer dan veilig genoeg lijkt mij voor dagdagelijks gebruik.

Voor de écht belangrijke accounts zoals m'n email adres gebruik ik nog een ander wachtwoord.

Klik om te vergroten...

Die 33 miljard jaar is ook alleen maar in de veronderstelling dat uw wachtwoord geencrypteerd is gestolen. Als je daarentegen uw strategie toepast op een louche onveilige site, dan zien ze direct wat uw wachtwoord is in plain text en dan halen ze daar dus ook direct al uw ander wachtwoorden uit.

Bijvoorbeeld, als 9 lives een bug zou hebben waardoor paswoorden ergens in plain text voorbij komen, en uw wachtwoord is KaR-lvs*39Hu! dan kan ik vrij snel uw Facebook Wachtwoord gokken.

Dan wordt die 33 miljard jaar ineens 10 seconden. Zeer onveilige manier dus. Beter dan overal hetzelfde wachtwoord gebruiken, maar niet veel beter.

Tonerider zei:

En dan nog gewoon alles in een excel-file en op google drive ad:
lokaal =/= offline
Dat boekje was een veel beter idee. Het enige wat het nu nog onveiliger kan maken is een paswoord ala `123paswoord`

Klik om te vergroten...

Ik heb ze nergens digitaal opgeschreven laat staan dat ik de google drive gebruik.. (onedrive +++)

Destel zei:

Ik kom effe dank u zeggen in naam van de hackers die je wachtwoord maar op 1 plaats moeten stelen en dan overal binnen geraken.

(Je wachtwoordbeveiliging is dus even sterk als de zwakst beveiligde website waar je een account hebt.)

Klik om te vergroten...

Yep 1 sterk wachtwoord is voor de normale internet gebruiker wel voldoende. Dat wilt niet zeggen dat ik maar 1 gebruik, ik heb er meerdere en dan nog met verschillende hoofdletter en leesteken varianten. Ook meerdere emailadressen. Ik maak me geen zorgen voor een hacker.

Elendil zei:

Ik heb ze nergens digitaal opgeschreven laat staan dat ik de google drive gebruik.. (onedrive +++)



Yep 1 sterk wachtwoord is voor de normale internet gebruiker wel voldoende. Dat wilt niet zeggen dat ik maar 1 gebruik, ik heb er meerdere en dan nog met verschillende hoofdletter en leesteken varianten. Ook meerdere emailadressen. Ik maak me geen zorgen voor een hacker.

Klik om te vergroten...

sorry, dat was iemand anders. Ik heb me gemist.

Last Pass, zowel privé als professioneel.

Ik gebruik zelf al jaren 1Password (met een tussenstop naar Bitwarden, maar ik ben daar terug van afgestapt wegens het ontbreken van goeie vault support) privé, en LastPass professioneel.

Ik gebruik ook 1Password ook als de 2FA app voor heel wat websites, want of het nu daar in steekt, of ik heb 2 apps op hetzelfde toestel staan, da's toch maar 1 point of failure. Als je dat echt veilig wil doen moet je uw password manager en 2FA manager op aparte devices beheren, en da's natuurlijk niet echt praktisch.

Elendil zei:

Yep 1 sterk wachtwoord is voor de normale internet gebruiker wel voldoende.

Klik om te vergroten...

Met alle respect hoor, maar dat is niet zo. 1 website die zijn zaakjes niet op orde heeft (plaintext wachtwoord DB's anyone? - yep, ze bestaan nog) en gehackt wordt en alles ligt op straat en men kan overal binnen met je credentials.
Er is al heel veel gezegd en geschreven rond wachtwoorden. Consensus is min of meer dat het een noodzakelijk kwaad is en dat de toekomst niet bepaald daar ligt, maar voor zover er wel nog nodig zijn is een password manager gewoon superieur. Ook voor de "normale internet gebruiker". Die normale gebruiker betaalt tegenwoordig ook met VISA op webshops, doet aan PC-banking, heeft profielen op sociale media en kan serieus wat narigheid krijgen indien die gehackt wordt.

Password managers hebben een bepaalde drempel maar zijn voor ronduit iedereen aan te raden.
Je argumenten contra zijn ook vrij eenvoudig te counteren.

- "een hacker raakt er wel in"
=> bewaar je password DB dan niet in de cloud, dan kan niemand erin

- "ik heb liever volledige controle"
=> je hebt volledige controle met je password manager

- "inloggen op een andere PC"
=> je neemt je password DB mee met jou

Ik vind het echt wat van de zotte dat zo'n beetje de #1 best practice rond wachtwoorden wordt weggezet als "tjaaa maar ik zou dat niet doen hoor". Jij doet dat niet, OK, niemand kan je verplichten. Maar slecht advies verlenen rond internet security is niet OK.

edit: ter illustratie van m'n eerste punt hierboven ergens, mail van Trainingpeaks:

Hi eniac,

Garmin is currently experiencing an outage that prevents us from syncing data with Garmin Connect, including structured and completed workouts. We are unsure of the extent of this issue or when this will be resolved, but we will share an update when we know more.

As a precaution, we always recommend using different passwords across platforms. If you think you may be using the same login credentials for both TrainingPeaks and Garmin, we recommend updating your password.

Klik om te vergroten...

Daarom is 1 en hetzelfde sterk wachtwoord niet OK.

eniac tot heden geen problemen gehad met mijn passwords. Als je 1 pw hebt verander je deze regelmatig. Als je er meerdere hebt kan je ze gewoon behouden.

Kzie pw managers eerder als een hulpmiddel om uw pw te onthouden. Dus dit kan je dan ook gwn onthouden en als je er teveel hebt gwn een notitieboekje gebruiken. Met de tijd leer je toch uw pw uit uw hoofd. Maar of PW manager een bonus gaat zijn aan veiligheid betwijfel ik ten zeerste. Je pw manager zou maar eens gehacked moeten worden dat is nog fataler dan de andere methoden.

Elendil zei:

eniac tot heden geen problemen gehad met mijn passwords.

Klik om te vergroten...

Err zijn veel rokers die nog niet gestorven zijn aan kanker. Roken is dus niet ongezond?

Als je 1 pw hebt verander je deze regelmatig.

Klik om te vergroten...

Probleem van hierboven blijft.

Kzie pw managers eerder als een hulpmiddel om uw pw te onthouden. Dus dit kan je dan ook gwn onthouden en als je er teveel hebt gwn een notitieboekje gebruiken. Met de tijd leer je toch uw pw uit uw hoofd. Maar of PW manager een bonus gaat zijn aan veiligheid betwijfel ik ten zeerste. Je pw manager zou maar eens gehacked moeten worden dat is nog fataler dan de andere methoden.

Klik om te vergroten...

Dit is gewoon herhalen wat ik al counterde.

Het blijft slecht advies, sorry. Je gaat in tegen quasi unanieme consensus.

Ik geneer mij wel dat ik niet eerder een passwoord manager heb ingeschakeld, zeker indien werkzaam in IT.
De tijd die ik ooit verloren heb met wachtwoorden te gokken, resetten, of twijfelachtig vragen om iemand anders zijn wachtwoord.
En het security risico is al lang veel te groot geworden.

De vereisten waaraan wachtwoorden eigenlijk moeten voldoen zijn niet meer manueel bij te houden als je u beweegt op het internet.

- gebruik een verschillend wachtwoord voor elke registratie (ben u dus ook bewust van alle wachtwoorden die je al op andere sites gebruikt hebt ooit)
- gebruik wachtwoorden van minstens 12 karakters met daarin een combinatie van grote letter, kleine letters, cijfers en special karakters
- gebruik geen woorden uit zegmaar de volledige wikipedia in uw wachtwoord, simpele substituties zoals a->@ en e->3 en i->! en o->0 helpen maar zijn ook niet ideaal. Behalve als je heel wat woorden combineert.
- verander uw wachtwoord van belangrijke sites regelmatig. Niet perse meer elke 3 maand meer, maar toch elke 2 jaar ofzo.
- gebruik een of andere vorm van 2FA voor de belangrijkste sites (smartphone access, fingerprint, face, sms, authentictor code)
(- hou bij welke site gehackt is en wanneer uw wachtwoord ergens is opgedoken in een lijst op het dark web)

Komt dan nog bij dat het wachtwoord resetten als je het vergeten bent, op bepaalde sites steeds omslachtiger wordt en dat gaat er niet op beteren.
In sommige gevallen moet ik een foto met mezelf, mijn identiteitskaart en recent krantenartikel doorsturen om te bewijzen dat ik het ben.
Dit is zeker te vermijden aangaande privacy issues.

Het enige wat tegenover een password manager kan staan imo, is een veilige vorm van single-sign-on die wereldwijd geaccepteerd is.
Zoals bijvoorbeeld "log in via facebook, log in via google" gecombineerd met een Its-me app dat wereldwijd geaccepteerd is.
Maar daar zijn we vandaag de dag zeker niet.

eniac zei:

Err zijn veel rokers die nog niet gestorven zijn aan kanker. Roken is dus niet ongezond?

Klik om te vergroten...

Die vergelijking slaat nergens op.
Roken biedt een garantie tot ongezondere longen (+ nog veel meer).
Een eigen password gebruiken biedt geen garantie tot een hack.

Dat je niet akkoord bent en mijn advies slecht vindt, is subjectief. Net zoals ik een pw manager overbodig vind.

Elendil zei:

Dat je niet akkoord bent en mijn advies slecht vindt, is subjectief.

Klik om te vergroten...

Neen hoor, het is een heel erg objectieve vaststelling dat wanneer jouw wachtwoord op 1 website wordt achterhaald, heel jouw digitale leven op straat ligt itt iemand die verschillende wachtwoorden gebruikt 1 account op 1 website verliest. Dat hoeft niet eens te zijn door een database te hacken, het kan ook gewoon door brute-force oid.

Gewoon voor de lol, hoeveel hits heb je op haveibeenpwned?

Een 9lives mod die advies uitdeelt van 1 wachtwoord te gebruiken op alle sites, en dat hackers "overal toch in geraken als ze willen" en dat "onveiligheid geen garantie is tot een hack" en dit ander advies "subjectieve meningen" zijn. Ja dat soort gedoe hebben we ook gezien in 2014 toch. Als mod heb je wel een bepaalde extra verantwoordelijkheid of authoriteit, dus wat jij zegt over veiligheid online wordt extra op de korrel genomen als het fout is.

Elendil zei:

Die vergelijking slaat nergens op.

Klik om te vergroten...

Je impliceert dat je methode ok is omdat je er nog geen problemen mee hebt gehad. Dat is geen correcte redenering.

Ik kan genoeg voorbeelden aanhalen van problematische handelswijzen die geen garantie geven op slechte gevolgen. Dat maakt die zaken niet ineens ok.

Dat je niet akkoord bent en mijn advies slecht vindt, is subjectief.

Klik om te vergroten...

Neen. Aangeven dat 1 sterk wachtwoord OK is voor de meeste gebruikers is absoluut, objectief, verschrikkelijk slecht advies. De enige plaatsen waar daar discussie over bestaat is in kleine bubbeltjes zoals deze thread.

Hier gebruik ik al enkele jaren Lastpass. Voor 2FA gebruikte ik die Google app, maar nu recentelijk overgeschakeld naar Twilio Authy, omdat die ook een windows app hebben.
en lol @ raad hierboven om 1 wachtwoord te gebruiken voor alles. Zeg dan liever niets ipv dergelijk advies te geven.

Naar aanleiding van deze thread mij verder eens een ganse middag bezig gehouden om overal een uniek gegenereerd wachtwoord te maken en mijn database op te kuisen.
Ik gebruikte KeePass tot nu enkel om wachtwoorden te onthouden, nu heeft nagenoeg elke account een nieuw wachtwoord van ongeveer 120 bit.

Nu alles correct daarin zit ook eens alle wachtwoorden in iOS en Chrome gewist, voor de iPhone gebruik ik nu uitsluitend Strongbox (die op zich dezelfde KeePass-database gebruikt die ik in de cloud heb staan).
Op computer integratie ingesteld tussen Chrome en KeePass, nu zitten alle wachtwoorden in 1 centrale database ipv op 3 verschillende locaties.

Nu enkel nog eens de wachtwoorden van mijn broer en ouders wijzigen, zij werken nu ook nog met een beperkte reeks paswoorden voor alles.
Gelukkig hebben zij niet zoveel accounts.
Op zich zitten hun wachtwoorden ook in mijn database dus ik denk om voor hen gewoon de iCloud sleutelhanger te gebruiken/Chrome voor de computer (voor zover ze die nog veel gebruiken).

Frado2005 zei:

Hier gebruik ik al enkele jaren Lastpass. Voor 2FA gebruikte ik die Google app, maar nu recentelijk overgeschakeld naar Twilio Authy, omdat die ook een windows app hebben.
en lol @ raad hierboven om 1 wachtwoord te gebruiken voor alles. Zeg dan liever niets ipv dergelijk advies te geven.

Klik om te vergroten...

Ik heb in totaal zeker een 10tal verschillende passwords. Daar heb ik geen pw manager voor nodig, dat onthou ik natuurlijk zelf wel. Brains vriend
Daarbij zijn de meeste mensen niet eens actief bezig met het internet. Voor dat deel van de bevolking zijn teveel codes en laat staan pw managers allemaal overkill.

Één goed pw, en deze om de 2 maand veranderen is voor zo'n mensen voldoende. Of je gebruikt er 2, 1tje op echt belangrijke zaken zoals email, banking, etc. De andere op random sites. Password managers en dergelijke zou ik pas enkel gebruiken als uw leven (hobbies, carriére, enzovoort) indd afhangt van het internet.

Ugh. Ik ga er verder geen woorden meer aan vuil maken, word of caution naar eenieder die dit leest: luister niet naar bovenstaande. 1 wachtwoord is voor geen enkele gebruiker aan te raden, daarover is iedereen unaniem die iet of wat kent van veiligheid.

/out

Elendil zei:

Ik heb in totaal zeker een 10tal verschillende passwords. Daar heb ik geen pw manager voor nodig, dat onthou ik natuurlijk zelf wel. Brains vriend
Daarbij zijn de meeste mensen niet eens actief bezig met het internet. Voor dat deel van de bevolking zijn teveel codes en laat staan pw managers allemaal overkill.

Één goed pw, en deze om de 2 maand veranderen is voor zo'n mensen voldoende. Of je gebruikt er 2, 1tje op echt belangrijke zaken zoals email, banking, etc. De andere op random sites. Password managers en dergelijke zou ik pas enkel gebruiken als uw leven (hobbies, carriére, enzovoort) indd afhangt van het internet.

Klik om te vergroten...

Met te insinueren dat ik dom ben maak je uw case zeker niet veel beter... Ga nog wat verder spelen...
Als jij wachtwoorden in de zin van y7Q12egdmKSm kan onthouden, good luck....

Zoals Eniac zegt kan er beter naar het ander advies geluisterd worden

Password manager for the win.

Ik gebruik al jarenlang LastPass, zalig dingske.

Bij paar vorige bedrijven gebruikte ze die ook. Keepass heb ik ook bij een multinational gebruikt voor lange tijd.

In het algemeen is het wel waard te gebruiken.

Alles wat Elendil hierboven zegt gewoon negeren want hij kent er duidelijk niets van.

Ik ken van men eigen pw's nog maar een aantal vanbuiten en da zijn degene waar ik nog moet zelf typen om in te loggen omdat ik er geen copy paste in kan doen. Paar die reused zijn maar gaat meestal om mijn MMO accounts waar ik 10 accounts op heb staan zoals EvE online.

Handige is ook dat tegenwoordig veel van die managers actief tracking doen op breaches en je meteen inlichten als er een breach is. Je kan zelfs zo ver gaan dat je hem toelaat om bepaalde sites automatisch je paswoord aan te passen van zodra er nieuws is over een breach. Good Stuff