Wachtwoordmanagers kiezen en gebruiken

Module 2: Wachtwoorden en inloggen · Leestijd: 9 minuten

Leerdoel: Na deze les kun je een wachtwoordmanager kiezen en instellen, het hoofdwachtwoord beschermen en wachtwoorden veilig delen in een team.

Kernbegrippen: wachtwoordmanager, hoofdwachtwoord, kluis, end-to-end-versleuteling, gedeelde kluis, noodtoegang, browser-wachtwoordmanager

Wat een wachtwoordmanager doet

In les 2.1 zag je dat elk account een eigen, lang en willekeurig wachtwoord nodig heeft. Niemand onthoudt er tachtig van. Een wachtwoordmanager is software die dat voor je doet. Hij:

• maakt voor elke dienst een sterk, willekeurig wachtwoord;
• bewaart alle wachtwoorden versleuteld in een kluis;
• vult ze in op de juiste website, en alleen daar;
• waarschuwt vaak voor zwakke, dubbele of gelekte wachtwoorden;
• kan bij veel producten ook de codes voor tweestapsverificatie bewaren en passkeys opslaan (les 2.3 en 2.4).

Jij onthoudt er nog maar één: het hoofdwachtwoord waarmee je de kluis opent. Het NCSC raadt een wachtwoordmanager aan als vaste basis, ook voor kleine organisaties, met duidelijke afspraken welke manager je gebruikt en voor welke accounts hij verplicht is.

Soorten wachtwoordmanagers

Er is niet één beste soort. Het NCSC onderscheidt de manager in de browser, de losse app, en online (cloud) tegenover offline (lokaal). In de praktijk kom je deze vormen tegen:

Bekende voorbeelden van losse managers zijn Bitwarden, 1Password, KeePassXC en Proton Pass, naast de managers die in browsers en besturingssystemen zitten. Dit is geen aanbeveling: kies op basis van de vragen hieronder.

Vragen bij het kiezen

• Werkt hij op al je apparaten en browsers, ook die van collega's?
• Kun je kluizen delen met rechten per map, en iemand weer uit een kluis halen?
• Is de kluis end-to-end versleuteld, en wat staat er wel en niet versleuteld (bijvoorbeeld de adressen van websites)?
• Kun je de kluis beveiligen met tweestapsverificatie of een passkey?
• Is er noodtoegang of een herstelregeling, en hoe werkt die precies?
• Kun je je gegevens exporteren als je wilt overstappen?
• Bij gratis versies: wat is het verdienmodel?

End-to-end-versleuteling: wat als de leverancier gehackt wordt?

Bij een goede cloudmanager wordt je kluis op jouw apparaat versleuteld met een sleutel die uit je hoofdwachtwoord wordt afgeleid. De leverancier krijgt alleen het versleutelde pakket. Dat heet end-to-end-versleuteling (soms "zero knowledge"). De leverancier kan je wachtwoorden niet lezen, en kan je hoofdwachtwoord dus ook niet voor je terugzetten.

Wordt de leverancier gehackt, dan kan een aanvaller de versleutelde kluizen stelen. Hij kan ze dan offline proberen te kraken, zoals in les 2.1. Je hoofdwachtwoord is op dat moment je enige bescherming. Daarom:

• Het hoofdwachtwoord is lang en uniek: een wachtwoordzin van minstens vijf, liever zes willekeurige woorden.
• Je gebruikt het nergens anders.
• Na een lek bij de leverancier wijzig je je hoofdwachtwoord én de wachtwoorden van je belangrijkste accounts. De oude, gestolen kluis is immers versleuteld met het oude hoofdwachtwoord.

Tweestapsverificatie op de kluis helpt tegen iemand die je hoofdwachtwoord heeft en via de website wil inloggen. Het helpt niet tegen het kraken van een gestolen kluisbestand. Het NCSC zegt het ook: 2FA op de manager is geen reden voor een zwak hoofdwachtwoord.

Het hoofdwachtwoord beschermen

Het hoofdwachtwoord vergeten is bij een goede manager vaak definitief: de leverancier kan het niet terughalen. Regel dit dus vooraf:

• Schrijf het hoofdwachtwoord op papier en bewaar dat thuis op een veilige plek. Het NCSC vindt dat prima, zolang je er niet bij schrijft waar het voor is.
• Maak de herstelkit of noodcode die je manager aanbiedt, druk hem af en bewaar hem bij het papier.
• Typ het hoofdwachtwoord alleen in de app of extensie van de manager zelf, nooit op een website die erom vraagt.
• Zet de automatische vergrendeling na een paar minuten stilstand aan.

Waarom automatisch invullen tegen phishing helpt

Een wachtwoordmanager koppelt elk wachtwoord aan het adres van de website. Op https://mijnbank.example vult hij je wachtwoord in. Op een lookalike als https://rnijnbank.example (rn in plaats van m) of https://mijnbank-veilig.example doet hij niets, want die adressen staan niet bij het item.

Een mens ziet het verschil tussen rn en m vaak niet. De manager vergelijkt tekens en wordt niet moe of gehaast. Dat is een echte beveiliging, maar alleen als je hem laat werken:

Vult je manager ineens niets in op een site waar dat altijd wel gebeurde? Ga er dan niet omheen door het wachtwoord met de hand te kopiëren. Kijk eerst heel goed naar het adres. Dit is precies het moment waarop de manager je waarschuwt.

Een goede reden om niet in te vullen bestaat soms ook: een dienst die is verhuisd naar een nieuw adres. Controleer dat dan via een andere weg, bijvoorbeeld door zelf het adres te typen dat je al kende.

Delen in een team

Bij een klein bedrijf zijn er altijd accounts die je samen gebruikt: de webwinkel op webwinkelplatform.example, het account bij koeriersdienst.example, de social media van de zaak. Het beste is als iedereen een eigen account heeft (module 7). Kan dat niet, gebruik dan een gedeelde kluis:

• Maak kluizen of mappen per onderwerp ("Webwinkel", "Financieel", "Social media") en geef alleen toegang aan wie het nodig heeft.
• Deel nooit via mail, chat of een spreadsheet. Wie toegang heeft tot de gedeelde kluis, ziet het wachtwoord daar.
• Vertrekt iemand? Haal hem uit de kluis en wijzig de wachtwoorden die hij kon zien. Uit de kluis halen alleen is niet genoeg: hij kan ze hebben overgetypt of opgeslagen.
• Regel noodtoegang: wat gebeurt er als jij, de eigenaar, ziek bent of wegvalt? Veel managers kennen een functie waarmee een vertrouwd persoon na een wachttijd toegang krijgt. Of je bewaart de herstelgegevens in een verzegelde envelop bij een tweede persoon.

In de praktijk: overstappen in één middag

1. Kies een manager en installeer hem op computer en telefoon, met de browserextensie.
2. Maak een hoofdwachtwoord (wachtwoordzin), schrijf het op, bewaar de herstelkit.
3. Zet tweestapsverificatie op de kluis.
4. Importeer wachtwoorden die je browser al bewaarde. Een export is vaak een onversleuteld bestand: verwijder het meteen na de import, ook uit de prullenbak.
5. Begin met de belangrijkste accounts en geef elk een nieuw, willekeurig wachtwoord: je mailbox (info@example.com), je hosting en domeinregistratie, je bank en je boekhouding (bijvoorbeeld op boekhoudpakket.example).
6. Werk de rest bij als je er toch inlogt. De waarschuwingen voor dubbele wachtwoorden helpen je.

Gebruik je een dienst in de WebOké-omgeving, zoals een mailbox of Nextcloud, met apps op je telefoon? Daarvoor maak je soms een apart app-wachtwoord (zie Kennisbank 436). Ook dat bewaar je in de manager, bij het juiste item. Bij andere aanbieders werkt dat vergelijkbaar.

Samenvatting

• Een wachtwoordmanager maakt, bewaart en vult unieke wachtwoorden in; jij onthoudt alleen het hoofdwachtwoord.
• Soorten: ingebouwd in browser of systeem, losse app met cloud, lokaal, open source of zelf gehost. Kies op apparaten, delen, versleuteling en herstel.
• Bij end-to-end-versleuteling is je hoofdwachtwoord de laatste verdediging als de leverancier gehackt wordt.
• Vult de manager niet in, kijk dan naar het adres in plaats van te kopiëren.
• Deel via een gedeelde kluis en wijzig wachtwoorden als iemand vertrekt.

Quiz

Opdracht

Opdracht D2.2: Je wachtwoordmanager inrichten. Kies een wachtwoordmanager, maak een hoofdwachtwoord en een herstelkit, zet tweestapsverificatie op de kluis en geef je vijf belangrijkste accounts een nieuw, uniek wachtwoord. Vink de checklist af en beantwoord de reflectievragen. Je vult nergens een wachtwoord in.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 3.7: Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord
• App-wachtwoord aanmaken (nodig om te verbinden met apps en apparaten)
• Nextcloud handleiding 3.5: App-wachtwoorden: wanneer en hoe
• NCSC, Hoe kies ik een wachtwoordmanager?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• NCSC, Vier stappen om je wachtwoorden veiliger te maken: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken